CUI: Controlled Unclassified Information – USAs "Følsomme men ikke hemmelige" mærke

CUI (Controlled Unclassified Information) er et standardiseret mærkningssystem, der bruges af USAs federale regering til at identificere information, der:

• Er ikke klassificeret (Confidential/Secret/Top Secret)
• Men er tilstrækkeligt følsom til at kræve beskyttelse og kontrolleret udbredelse
• Skal beskyttes per lov, regulation, eller regeringssomfattende politik

Hvad tæller som CUI?

Over 125 kategorier på tværs af 20+ grupperinger, herunder:

• Privatliv: PII (SSN, medicinsk, finansiel), FERPA, HIPAA-data
• Retslignende: Efterforskningsjournaler, informator-identiteter, teknikker
• Kritisk Infrastruktur: Sårbarhedsvurderinger, net-kort, SCADA-data
• Eksportkontrol: ITAR, EAR tekniske data (ikke klassificeret men begrænset)
• Finansielle: Banketilsyn, indkøbsintegritet, tilskudsdetaljer
• Virksomhedshemmeligheder: Forretningshemmeligheder, bud/forslag info indsendt til regeringen
• Statistisk: Folketælling mikrodata, BLS undersøgelse-svar

Hvorfor CUI findes

Før 2010 (EO 13556) brugte agenturer 50+ inkonsekvente mærkninger (FOUO, SBU, LES, osv.). CUI skaber et forenet rammeværk til:

• Mærkning (banner-linjer, portion-mærkninger: CUI//CAT//SP-CTRL)
• Håndtering (adgangskontrol, kryptering, need-to-know)
• De-kontrol (autoriseret frigivelse, destruktion)
• Træning & revision

Hvem skal overholde?

Alle federale agenturer, entreprenører, tilskudsmodtagere, og underentreprenører der håndterer CUI – pålagt af 32 CFR Part 2002 og NIST SP 800-171 (for ikke-federale systemer). CMMC (Cybersecurity Maturity Model Certification) pålægger det for forsvarentreprenører.

CUI er ikke "hemmeligt" – men at miste det kan skade privatliv, sikkerhed, konkurrenceevne, eller offentlig tillid. Behandl det som om det betyder noget. Fordi det gør.