Protection CUI : Gestion sécurisée des informations non classifiées contrôlées

Les informations non classifiées contrôlées (CUI) sont des informations sensibles mais non classifiées qui nécessitent des mesures de protection ou des contrôles de diffusion en vertu de la loi fédérale, de la réglementation ou de la politique gouvernementale. Pour les agences fédérales et les entrepreneurs dans les secteurs de la défense, de l'énergie, des soins de santé et d'autres secteurs réglementés, l'obligation de traiter correctement la CUI entraîne des implications importantes en matière de conformité et contractuelles.

Yet many organizations still lack the procedures, system controls, and visibility needed to meet federal requirements. With CMMC Phase 1 implementation underway and the government moving toward more uniform contractor handling requirements via the FAR CUI rule, CUI compliance is no longer aspirational. It is a contract prerequisite.

Les organisations qui ne peuvent pas démontrer une identification, un marquage, une protection et des contrôles de diffusion appropriés pour le CUI risquent des résultats d'audit défavorables, des retards de contrat et une perte d'éligibilité pour de futures récompenses.

Ce guide décompose ce qu'est réellement le CUI, à quoi ressemblent les exigences de protection et comment construire une approche pratique pour le gérer en toute sécurité.

Qu'est-ce que l'information non classifiée contrôlée (CUI) ?

Les informations non classifiées contrôlées sont des informations que le gouvernement fédéral crée ou possède, ou qu'une entité crée ou possède au nom du gouvernement, qui nécessitent des contrôles de sauvegarde ou de diffusion conformes aux lois, règlements et politiques gouvernementales applicables.

As a formal information category, CUI was established by Executive Order 13556 and codified in 32 CFR Part 2002. It replaced a patchwork of legacy markings like FOUO, LES, and SBU with a single, consistent framework for safeguarding sensitive but unclassified information across federal agencies and their contractors.

Un principe clé sous-tend l'ensemble du programme : seules les informations nécessitant une protection conformément à la loi fédérale, à la réglementation ou à la politique gouvernementale peuvent être désignées comme CUI. Les agences ne peuvent pas créer de catégories CUI uniquement sur la base de préférences administratives.

CUI se divise en deux catégories de gestion :

• CUI de base est le défaut. Il applique des normes uniformes de 32 CFR Partie 2002 à tous les CUI, sauf si le Registre CUI de NARA annotait spécifiquement une catégorie comme CUI Spécifié. Les marquages de bannière ressemblent à CUI ou CUI//PRVCY.
• CUI Spécifié s'applique lorsque la loi ou le règlement autorisant contient des contrôles de traitement spécifiques qui diffèrent des valeurs par défaut de CUI de base. Ces catégories portent un préfixe "SP-", comme CUI//SP-CTI.

La différence concerne la source des contrôles, pas le niveau de sensibilité ; CUI Basic comble les lacunes là où l'autorité spécifique est silencieuse.

Le Registre CUI de NARA est la source autoritaire, couvrant plus de 125 catégories. C'est là que les entrepreneurs doivent se rendre pour déterminer la classification, le marquage et la gestion appropriés pour tout CUI qu'ils rencontrent.

Exemples courants de CUI

Tous les données sensibles ne sont pas CUI ; elles doivent être liées à une autorité figurant dans le Registre CUI. Voici des exemples courants de CUI dans les principales catégories :

• Défense (CTI): Les informations techniques contrôlées (CTI) comprennent des schémas techniques, des documents de conception de systèmes et du code source développé pour des applications militaires, marqué CUI//SP-CTI sous l'autorité de DFARS 252.204-7012.
• Contrôle des exportations : Les dessins techniques pour les articles de défense figurant sur la liste des munitions des États-Unis et les données techniques soumises à une licence d'exportation sont couvertes par les catégories de contrôle des exportations du registre CUI.
• Application de la loi : Les informations sur les dossiers criminels, les profils ADN et les données d'identification des informateurs apparaissent sous les catégories CUI liées à l'application de la loi.
• Confidentialité: Numéros de sécurité sociale, numéros de comptes financiers, données biométriques et HIPAAles informations de santé couvertes sont traitées dans le cadre des catégories CUI liées à la confidentialité/santé.
• Infrastructure critique :Les informations sur les vulnérabilités liées au terrorisme chimique, les informations sur les infrastructures énergétiques critiques et les informations sur les vulnérabilités des systèmes d'information apparaissent sous les catégories d'infrastructure critique.

Ces exemples sont représentatifs, non définitifs. Validez toujours la catégorie spécifique, l'autorité et les mentions requises dans le registre CUI et le langage de votre contrat avant de définir les règles de gestion.

Exigences clés de protection du CUI

Protéger la CUI ne consiste pas seulement à verrouiller des fichiers. Cela englobe le marquage, la protection physique et numérique, et le contrôle de qui peut accéder et partager des informations. Chacune de ces zones comporte des exigences fédérales spécifiques, et un manque dans l'une d'elles peut compromettre l'ensemble de votre posture de conformité. Voici ce que vous devez bien faire dans les trois piliers fondamentaux de la protection.

Marquage et étiquetage CUI

Des marquages incohérents sont l'un des moyens les plus rapides d'échouer à une évaluation de conformité. Les marquages pilotent l'ensemble de la chaîne de gestion du CUI : ils indiquent aux titulaires autorisés qui peut accéder à l'information, comment elle peut être partagée et quelles protections s'appliquent.

Exemples de marquage standard :

• CUI de base sans catégorie : CUI
• CUI Spécifié : CUI//SP-CTI
• CUI spécifié avec contrôle de diffusion : CUI//SP-SGI//FEDONLY

In practice, accurate banner markings plus consistent downstream labeling (email subjects, file headers, cover sheets, and repositories) are what keep CUI from leaking into uncontrolled channels.

Chaque document CUI doit inclure un indicateur de désignation identifiant l'agence de contrôle. Les directives recommandent également d'appliquer des marques de bannière CUI dans les lignes de sujet des e-mails et dans les corps des messages lorsque les e-mails contiennent des CUI.

Protection et environnements contrôlés

Le CUI doivent être traitées dans des environnements contrôlés avec des contrôles d'accès et des protections contre la visualisation ou l'écoute non autorisée.

NIST SP 800-171 Rev. 1 a établi la ligne de base : la valeur d'impact sur la confidentialité pour CUI n'est pas inférieure à celle modérée de FIPS 199. Selon FIPS 199, modéré signifie que la perte de confidentialité "pourrait avoir un effet négatif grave sur les opérations organisationnelles, les actifs organisationnels ou les individus."

Les organisations doivent décrire la limite de leur système CUI dans un Plan de Sécurité du Système (SSP), y compris l'environnement opérationnel, comment les exigences sont mises en œuvre et les connexions à d'autres systèmes.

Les exigences en matière de sécurité physique comprennent la limitation de l'accès aux personnes autorisées, l'accompagnement des visiteurs, la tenue de journaux d'audit d'accès et l'application de mesures de sécurité sur des sites de travail alternatifs.

Contrôles d'accès et contrôles de diffusion

L'accès au CUI suit un principe clair : seuls les utilisateurs autorisés ayant un besoin légitime de connaître et une formation appropriée peuvent y accéder.

NIST SP 800-171 Rev. 3 a renforcé la gestion des comptes pour exiger la définition des types de comptes autorisés, l'autorisation d'accès basée sur un besoin valide et un usage prévu, et la surveillance continue de l'utilisation des comptes système.

Selon 32 CFR 2002.16, la diffusion doit respecter les lois qui ont établi la catégorie CUI, poursuivre un but gouvernemental légitime et ne pas être limitée par un contrôle de diffusion limité autorisé.

Avant de partager CUI avec des parties externes, vérifiez que le destinataire a un besoin légitime de connaître, comprend les exigences CUI et peut protéger les informations de manière appropriée.

La formation est également importante ici. La règle FAR CUI de janvier 2025 établit que les entrepreneurs ne peuvent pas permettre à un employé de gérer le CUI à moins que cet employé n'ait suivi une formation appropriée, et les entrepreneurs doivent fournir une preuve de formation sur demande.

CUI et cadres de cybersécurité

Les obligations de protection CUI n'existent pas dans un vide. Elles se situent dans une pile de couches de cadres fédéraux de cybersécurité qui traduisent les exigences politiques en contrôles de sécurité spécifiques et auditables.

Comprendre comment ces cadres se connectent est essentiel pour construire un environnement conforme, surtout lorsque différents contrats font référence à différentes révisions ou lignes de base.

NIST SP 800-171 et CUI

NIST SP 800-171 traduit les obligations de protection CUI en exigences de sécurité spécifiques pour les systèmes non fédéraux. La version actuelle, Rev. 3, contient 97 exigences de sécurité dans 17 familles de contrôles. La Rev. 2 avait 110 exigences dans 14 familles.

Les domaines clés qui affectent directement la gestion du CUI incluent :

• Contrôle d'accès : gestion des comptes, moindre privilège, séparation des fonctions, contrôle du flux d'informations
• Audit et responsabilité : journaux d'audit capturant le type d'événement, le moment, la source, le résultat et l'identité ; conservation alignée sur les exigences de l'organisation et du contrat
• Réponse aux incidents : capacité de gestion opérationnelle, suivi et tests à une fréquence définie par l'organisation
• Protection des médias : désinfection avant élimination, protection cryptographique pendant le transport

Pris ensemble, ces domaines définissent les contrôles opérationnels quotidiens que les auditeurs recherchent lorsqu'ils évaluent si la gestion des CUI est réellement appliquée, et pas seulement documentée.

Niveaux d'impact FIPS 199 et CUI

La cascade de conformité fonctionne comme suit : FIPS 199 catégorise les niveaux d'impact, FIPS 200 fixe les exigences de sécurité minimales, et la sélection des contrôles est tirée des lignes de base de contrôle de sécurité NIST. Ces lignes de base sont ensuite adaptées à NIST SP 800-171 pour les organisations non fédérales traitant des CUI.

Les implications pratiques sont significatives :

• Hébergement cloud : Pour les systèmes CUI dans des environnements cloud, FedRAMP Moderate est largement considéré comme la ligne de base minimale appropriée pour les systèmes d'information à impact modéré.
• Chiffrement : Les modules cryptographiques doivent être validés FIPS 140-2, et ne pas se contenter d'utiliser des algorithmes approuvés par FIPS. Les directives CMVP du NIST notent également que la cryptographie non validée est considérée comme ne fournissant aucune protection.
• Protections réseau : La ligne de base modérée couvre le contrôle d'accès, la protection des frontières, la séparation des réseaux, la confidentialité et l'intégrité des transmissions, ainsi que la surveillance du réseau.

Pour CUI associé à des programmes critiques ou des actifs de grande valeur, le NIST SP 800-172 fournit des exigences de sécurité renforcées, mais celles-ci ne s'appliquent que lorsqu'elles sont explicitement désignées dans le langage du contrat.

Meilleures pratiques pour gérer CUI en toute sécurité

Les meilleures pratiques suivantes traduisent les obligations de conformité CUI en étapes concrètes sur lesquelles votre équipe peut agir, depuis la découverte initiale des données jusqu'à la gouvernance des accès, le chiffrement et la réponse aux incidents.

1. Identifier et classer CUI avec précision

Only federal agencies can designate information as CUI. When contractors encounter potentially unmarked CUI, they should report it to the contracting officer for official determination, not mark it themselves. The FAR CUI rule requires reporting the discovery of potential CUI within eight hours.

Commencez par une révision contrat par contrat. Cartographiez les catégories CUI spécifiées dans chaque contrat par rapport à vos flux d'informations réels. Les échecs d'étendue courants incluent :

• Systèmes manquants : négligeant les systèmes qui traitent des CUI en dehors de votre environnement principal
• Points aveugles des tiers : ne pas tenir compte des prestataires de services qui manipulent CUI en votre nom
• Shadow IT: oubliant les outils de collaboration et les services cloud, où CUI peut se retrouver

La formation est tout aussi importante et doit avoir lieu à trois niveaux :

• Conscience universelle : pour quiconque pourrait rencontrer CUI
• Formation spécifique au rôle : pour les employés qui traitent régulièrement le CUI
• Formation technique avancée : pour les administrateurs système gérant des environnements CUI

Cet investissement dans la formation est essentiel car le facteur humain reste une vulnérabilité majeure ; selon le Rapport sur les Tendances de Sécurité Hybride Netwrix 2024, 47 % des professionnels de l'informatique citent les erreurs et la négligence des employés comme un défi de sécurité majeur.

Le défi de la découverte est tout aussi répandu ; une enquête de 2025 SANS Attack Surface Management (ASM) parrainée par Netwrix a révélé que seulement 28 % des organisations estiment que leurs plateformes ASM identifient efficacement les fichiers sensibles, tandis qu'un autre 41 % affirme qu'elles le font seulement partiellement.

C'est ici que les outils font une réelle différence. Par exemple, First National Bank Minnesota a utilisé Netwrix Auditor et Netwrix Data Classification pour découvrir, classer et déplacer des données sensibles vers des emplacements sécurisés, et a terminé une reconstruction d'Active Directory en 3 semaines au lieu de 6 mois.

2. Gouverner l'accès au niveau de l'objet

Folder-level and site-level permissions aren't granular enough for CUI. NIST SP 800-171 acknowledges that access enforcement mechanisms can be implemented at the application and service levels to increase protection for CUI.

Le contrôle d'accès basé sur les attributs (ABAC), tel que défini dans le NIST SP 800-162, évalue les attributs de l'utilisateur, des données et de l'environnement par rapport aux règles de politique définies à chaque demande d'accès. L'avantage pour CUI est le privilège minimum dynamique :

• Changements de rôle : lorsque l'affectation de mission de quelqu'un change, son accès au CUI qui n'est plus nécessaire est automatiquement révoqué grâce à des attributs de sujet mis à jour
• Changements de classification : lorsque la classification des données change, les restrictions d'accès s'ajustent pour tous les utilisateurs concernés sans reconfiguration manuelle

3. Chiffrer CUI en transit et au repos

La norme NIST SP 800-171 exige le cryptage des CUI transmis ou stockés en dehors des environnements contrôlés. Dans les environnements protégés, d'autres mesures de sécurité peuvent satisfaire à l'exigence, mais tout CUI qui quitte cette limite doit être crypté

L'exigence critique est que les modules de cryptage doivent être validés FIPS 140-2, avec des numéros de certificat documentés. Utiliser simplement AES-256 ne suffit pas si le module spécifique n'a pas été soumis au Programme de Validation des Modules Cryptographiques du NIST.

La gestion des clés mérite une attention égale, elle doit donc être considérée comme une infrastructure fondamentale, et non comme une réflexion après coup.

4. Surveiller, enregistrer et répondre aux incidents

Le NIST SP 800-171 exige des enregistrements d'audit capturant le type d'événement, le moment, le lieu, la source, le résultat et l'identité associée. Les actions individuelles des utilisateurs doivent être traçables de manière unique, et la conservation des enregistrements d'audit doit être conforme aux exigences définies par l'organisation et aux exigences définies par le contrat.

Dans la réponse aux incidents, les délais se resserrent. Différentes obligations de reporting s'appliquent en fonction de votre secteur :

• Règle FAR CUI : une fenêtre de huit heures pour signaler des incidents CUI suspects ou confirmés
• DFARS 252.204-7012: Les entrepreneurs du DoD rapportent via DIBNet
• CIRCIA: les entités d'infrastructure critique doivent faire rapport à CISA dans les 72 heures

Respecter ces délais exige des capacités d'analyse criminelle et des procédures d'enquête préétablies, pas seulement de la détection.

Corréler les données d'activité avec les autorisations d'accès porte ses fruits ici. Dans le monde réel, même un seul pic suspect dans les modifications de fichiers peut devenir une course de plusieurs jours si votre équipe doit rassembler des réponses à partir de journaux déconnectés.

Comment Netwrix aide les organisations à protéger CUI

Aucun processus ou liste de contrôle unique ne permet de garantir la conformité CUI du jour au lendemain. Le défi pour les entrepreneurs est de relier les points entre la découverte des données, la gouvernance des accès et la préparation à l'audit, sans assembler des outils déconnectés qui laissent des lacunes qu'un évaluateur découvrira.

Si votre environnement fonctionne sur une infrastructure Microsoft avec un mélange de serveurs de fichiers sur site, Active Directory et Microsoft 365, vous avez besoin d'une plateforme qui couvre tout cela à partir d'un seul endroit.

La plateforme 1Secure fournit une découverte automatisée à travers les systèmes de fichiers, les bases de données, les plateformes de collaboration et le stockage cloud, afin que vous puissiez trouver des données pertinentes pour CUI avant qu'un évaluateur ne le fasse.

Il peut mettre en quarantaine des fichiers sensibles dans des emplacements non sécurisés, les déplacer vers des zones sécurisées, supprimer des autorisations excessives et intégrer des étiquettes de classification dans les fichiers, transformant des semaines d'inventaire manuel en un processus automatisé et répétable.

Mais la découverte à elle seule n'est pas suffisante. La question plus difficile est : qui peut accéder à ces données, cet accès est-il approprié et pouvez-vous le prouver ? La plateforme 1Secure fait état des objets de données sensibles surexposés, des structures de permission détaillées sur le contenu classé et des activités liées aux fichiers et dossiers sensibles.

Cela signifie que vous pouvez identifier où se trouve le CUI avec des autorisations excessives et remédier avant que cela ne devienne un constat d'audit.

Netwrix Endpoint Protector étend cette couverture au niveau des endpoints, empêchant le CUI de quitter des environnements contrôlés par des canaux non autorisés. Il bloque les transferts vers des dispositifs USB non approuvés, surveille et contrôle les téléchargements via des navigateurs, des clients de messagerie et des applications de stockage cloud. Il applique également le chiffrement sur les supports amovibles approuvés, s'attaquant directement aux risques d'exfiltration que les exigences de manipulation du CUI sont conçues pour prévenir.

Les rapports de conformité préétablis montrent qui a accédé aux données, ce qui a changé et quand, tandis que la recherche interactive vous aide à répondre aux questions des auditeurs en quelques minutes plutôt qu'en jours.

Demandez une démonstration de Netwrix pour voir comment une plateforme vous aide à découvrir, protéger et prouver la conformité pour CUI dans votre environnement hybride.