Protezione CUI: Gestione sicura delle informazioni non classificate controllate

Le informazioni non classificate controllate (CUI) sono informazioni sensibili ma non classificate che richiedono misure di protezione o controllo della diffusione secondo la legge federale, regolamenti o politiche governative generali. Per le agenzie federali e i contraenti nei settori della difesa, energia, sanità e altri settori regolamentati, l'obbligo di gestire correttamente la CUI comporta significative implicazioni di conformità e contrattuali.

Tuttavia, molte organizzazioni mancano ancora delle procedure, dei controlli di sistema e della visibilità necessari per soddisfare i requisiti federali. Con l'implementazione di CMMC Phase 1 in corso e il governo che si sta muovendo verso requisiti più uniformi per la gestione dei contraenti tramite la regola FAR CUI, la conformità a CUI non è più solo un obiettivo. È un prerequisito contrattuale.

Le organizzazioni che non possono dimostrare controlli adeguati di identificazione, marcatura, protezione e diffusione per CUI rischiano risultati di audit negativi, ritardi nei contratti e perdita di idoneità per futuri premi.

Questa guida spiega cosa sia realmente il CUI, quali siano i requisiti di protezione e come costruire un approccio pratico per gestirlo in modo sicuro.

Che cos'è l'informazione non classificata controllata (CUI)?

Le informazioni non classificate controllate sono informazioni create o possedute dal governo federale, o create o possedute da un'entità per conto del governo, che richiedono protezioni o controlli di diffusione conformi alle leggi, regolamenti e politiche governative applicabili.

Come categoria formale di informazioni, CUI è stata istituita da Executive Order 13556 e codificata in 32 CFR Part 2002. Ha sostituito un patchwork di marcature legacy come FOUO, LES e SBU con un unico e coerente quadro per la protezione delle informazioni sensibili ma non classificate tra le agenzie federali e i loro appaltatori.

Un principio fondamentale sostiene l'intero programma: solo le informazioni che richiedono protezione ai sensi della legge federale, regolamento o politica governativa generale possono essere designate come CUI. Le agenzie non possono creare categorie CUI basate solo su preferenze amministrative.

CUI si divide in due categorie di gestione:

• CUI Base è il predefinito. Applica standard uniformi dal 32 CFR Parte 2002 a tutto il CUI a meno che il Registro CUI NARA non annoti specificamente una categoria come CUI Specificato. Le marcature del banner appaiono come CUI o CUI//PRVCY.
• CUI Specificato si applica quando la legge o regolamento autorizzativo contiene controlli specifici di gestione che differiscono dai valori predefiniti di CUI Basic. Queste categorie hanno un prefisso "SP-", come CUI//SP-CTI.

La differenza riguarda la fonte dei controlli, non il livello di sensibilità; CUI Basic colma eventuali lacune dove l'autorità specifica è silenziosa.

Il NARA CUI Registry è la fonte autorevole, che copre oltre 125 categorie. È il luogo dove i contraenti dovrebbero andare per determinare la corretta classificazione, marcatura e gestione di qualsiasi CUI incontrino.

Esempi comuni di CUI

Non tutti i dati sensibili sono CUI; devono essere collegati a un’autorità elencata nel Registro CUI. Ecco esempi comuni di CUI nelle principali categorie:

• Difesa (CTI): Le informazioni tecniche controllate (CTI) includono schemi tecnici, documenti di progettazione del sistema e codice sorgente sviluppati per applicazioni militari, contrassegnati come CUI//SP-CTI sotto l'autorità di DFARS 252.204-7012.
• Controllo delle esportazioni: I disegni tecnici per articoli di difesa nella U.S. Munitions List e i dati tecnici soggetti a licenze di esportazione sono coperti dalle categorie di controllo delle esportazioni del Registro CUI.
• Forze dell'ordine: Le informazioni sui precedenti penali, i profili del DNA e i dati di identificazione degli informatori rientrano nelle categorie CUI relative alle forze dell'ordine.
• Privacy: Numeri di previdenza sociale, numeri di conti finanziari, dati biometrici e HIPAA coperti da informazioni sanitarie sono gestiti sotto categorie CUI relative alla privacy/salute.
• Infrastruttura critica: Le informazioni sulle vulnerabilità relative al terrorismo chimico, le informazioni sulle infrastrutture energetiche critiche e le informazioni sulle vulnerabilità dei sistemi informativi compaiono nelle categorie di infrastruttura critica.

Questi esempi sono rappresentativi, non definitivi. Verificate sempre la categoria specifica, l'autorità e le marcature richieste nel Registro CUI e nel linguaggio del vostro contratto prima di impostare le regole di gestione.

Requisiti chiave per la protezione del CUI

Proteggere la CUI non significa solo bloccare i file. Comprende la marcatura, la protezione fisica e digitale e il controllo di chi può accedere e condividere le informazioni. Ognuna di queste aree comporta requisiti federali specifici, e una lacuna in una qualsiasi di esse può compromettere l'intera postura di conformità. Ecco cosa devi fare correttamente nei tre pilastri fondamentali della protezione.

Marcatura e etichettatura di CUI

Le marcature incoerenti sono uno dei modi più rapidi per fallire una valutazione di conformità. Le marcature guidano l'intera catena di gestione del CUI: indicano ai titolari autorizzati chi può accedere alle informazioni, come possono essere condivise e quali protezioni si applicano.

Esempi di marcatura standard:

• CUI Base senza categoria: CUI
• CUI specificato: CUI//SP-CTI
• CUI specificato con controllo di diffusione: CUI//SP-SGI//FEDONLY

In pratica, marcature accurate dei banner insieme a un'etichettatura coerente a valle (oggetti delle email, intestazioni dei file, copertine e repository) sono ciò che impedisce alla CUI di fuoriuscire in canali non controllati.

Ogni documento CUI deve includere un indicatore di designazione che identifichi l’agenzia di controllo. Le linee guida raccomandano inoltre di applicare le marcature banner CUI nelle righe dell’oggetto e nei corpi dei messaggi email quando le email contengono CUI.

Ambienti protetti e controllati

La CUI deve essere gestita in ambienti controllati con adeguati controlli di accesso e protezioni contro la visualizzazione o l'ascolto non autorizzati.

NIST SP 800-171 Rev. 1 ha stabilito la baseline: il valore dell'impatto sulla riservatezza per CUI non è inferiore a FIPS 199 moderato. Secondo FIPS 199, moderato significa che la perdita di riservatezza "potrebbe avere un effetto avverso serio sulle operazioni organizzative, sugli asset organizzativi o sugli individui."

Le organizzazioni devono descrivere il confine del sistema CUI in un Piano di Sicurezza del Sistema (SSP), incluso l'ambiente operativo, come vengono implementati i requisiti e le connessioni con altri sistemi.

I requisiti di sicurezza fisica includono limitare l'accesso alle persone autorizzate, scortare i visitatori, mantenere i registri di controllo degli accessi e applicare misure di protezione nei siti di lavoro alternativi.

Controllo degli accessi e controlli di diffusione

L'accesso a CUI segue un principio chiaro: solo gli utenti autorizzati con una legittima necessità di conoscere e una formazione adeguata possono accedervi.

NIST SP 800-171 Rev. 3 ha rafforzato la gestione degli account richiedendo la definizione dei tipi di account consentiti, l'autorizzazione dell'accesso basata su necessità valide e uso previsto, e il monitoraggio continuo dell'uso degli account di sistema.

Secondo 32 CFR 2002.16, la diffusione deve rispettare le leggi che hanno istituito la categoria CUI, perseguire uno scopo governativo legittimo e non essere limitata da un controllo di diffusione limitata autorizzato.

Prima di condividere CUI con parti esterne, verifica che il destinatario abbia una legittima necessità di conoscere, comprenda i requisiti di CUI e possa proteggere adeguatamente le informazioni.

Anche la formazione è importante qui. La regola FAR CUI di gennaio 2025 stabilisce che i contraenti non possono permettere a nessun dipendente di gestire CUI a meno che quel dipendente non abbia completato la formazione adeguata, e i contraenti devono fornire la prova della formazione su richiesta.

CUI e framework di cybersecurity

Gli obblighi di protezione CUI non esistono in un vuoto. Si trovano all'interno di una pila stratificata di framework federali di cybersecurity che traducono i requisiti politici in controlli di sicurezza specifici e verificabili.

Comprendere come questi framework si collegano è essenziale per costruire un ambiente conforme, specialmente quando diversi contratti fanno riferimento a revisioni o baseline differenti.

NIST SP 800-171 e CUI

NIST SP 800-171 traduce gli obblighi di protezione CUI in requisiti di sicurezza specifici per sistemi non federali. La versione attuale, Rev. 3, contiene 97 requisiti di sicurezza in 17 famiglie di controllo. La Rev. 2 aveva 110 requisiti in 14 famiglie.

I domini chiave che influenzano direttamente la gestione del CUI includono:

• Controllo degli accessi: gestione degli account, minimo privilegio, separazione dei compiti, controllo del flusso delle informazioni
• Audit e responsabilità: registri di audit che catturano tipo di evento, tempistica, fonte, esito e identità; conservazione allineata ai requisiti dell'organizzazione e del contratto
• Risposta agli incidenti: capacità operativa di gestione, monitoraggio e test con frequenza definita dall'organizzazione
• Protezione dei supporti: sanificazione prima dello smaltimento, protezione crittografica durante il trasporto

Considerati nel loro insieme, questi domini definiscono i controlli operativi quotidiani che gli auditor cercano quando valutano se la gestione del CUI è effettivamente applicata, non solo documentata.

Livelli di impatto FIPS 199 e CUI

La cascata di conformità funziona così: FIPS 199 classifica i livelli di impatto, FIPS 200 stabilisce i requisiti minimi di sicurezza e la selezione dei controlli si basa sulle baseline di controllo della sicurezza NIST. Queste baseline vengono poi adattate in NIST SP 800-171 per le organizzazioni non federali che gestiscono CUI.

Le implicazioni pratiche sono significative:

• Hosting cloud: Per i sistemi CUI in ambienti cloud, FedRAMP Moderate è ampiamente considerato come la baseline minima appropriata per sistemi informativi a impatto moderato.
• Crittografia: I moduli crittografici devono essere convalidati FIPS 140-2, non solo utilizzare algoritmi approvati da FIPS. La guida CMVP del NIST osserva inoltre che la crittografia non convalidata è considerata priva di protezione.
• Protezioni di rete: La baseline moderata copre il controllo degli accessi, la protezione dei confini, la segregazione della rete, la riservatezza e l'integrità della trasmissione e il monitoraggio della rete.

Per CUI associato a programmi critici o High Value Assets, NIST SP 800-172 fornisce requisiti di sicurezza migliorati, ma questi si applicano solo quando esplicitamente indicati nel linguaggio contrattuale.

Best practice per gestire in sicurezza le CUI

Le seguenti best practice traducono gli obblighi di conformità CUI in passaggi concreti su cui il tuo team può agire, dalla scoperta iniziale dei dati fino alla governance degli accessi, alla crittografia e alla risposta agli incidenti.

1. Identificare e classificare correttamente CUI

Solo le agenzie federali possono designare le informazioni come CUI. Quando i contraenti incontrano CUI potenzialmente non contrassegnati, devono segnalarlo all’ufficiale del contratto per una determinazione ufficiale, non contrassegnarlo da soli. La regola FAR CUI richiede di segnalare la scoperta di potenziale CUI entro otto ore.

Iniziate con una revisione contratto per contratto. Mappate le categorie CUI specificate in ogni contratto rispetto ai vostri flussi informativi effettivi. I fallimenti comuni nella definizione dell'ambito includono:

• Sistemi mancanti: trascurando i sistemi che elaborano CUI al di fuori del tuo ambiente principale
• Punti ciechi di terze parti: non considerare i fornitori di servizi che gestiscono CUI per vostro conto
• Shadow IT: dimenticando gli strumenti di collaborazione e i servizi cloud, dove potrebbe finire la CUI

La formazione è altrettanto importante e dovrebbe avvenire a tre livelli:

• Consapevolezza universale: per chiunque possa incontrare CUI
• Formazione specifica per ruolo: per i dipendenti che gestiscono regolarmente CUI
• Formazione tecnica avanzata: per amministratori di sistema che gestiscono ambienti CUI

Questo investimento nella formazione è fondamentale perché il fattore umano rimane una delle principali vulnerabilità; secondo il Netwrix 2024 Hybrid Security Trends Report, il 47% dei professionisti IT cita errori e negligenza dei dipendenti come una delle principali sfide di sicurezza.

La sfida della scoperta è altrettanto diffusa; un sondaggio del 2025 SANS Attack Surface Management (ASM) Survey sponsorizzato da Netwrix ha rivelato che solo il 28% delle organizzazioni ritiene che le loro piattaforme ASM identifichino efficacemente i file sensibili, mentre un altro 41% afferma che lo fanno solo parzialmente.

È qui che gli strumenti fanno davvero la differenza. Ad esempio, First National Bank Minnesota ha utilizzato Netwrix Auditor e Netwrix Data Classification per scoprire, classificare e spostare dati sensibili in posizioni sicure, completando una ricostruzione di Active Directory in 3 settimane invece di 6 mesi.

2. Gestire l'accesso a livello di oggetto

Le autorizzazioni a livello di cartella e sito non sono abbastanza granulari per CUI. NIST SP 800-171 riconosce che i meccanismi di applicazione degli accessi possono essere implementati a livello di applicazione e servizio per aumentare la protezione di CUI.

Il controllo degli accessi basato su attributi (ABAC), come definito in NIST SP 800-162, valuta gli attributi dell'utente, dei dati e dell'ambiente rispetto alle regole di policy definite ad ogni richiesta di accesso. Il vantaggio per CUI è il privilegio minimo dinamico:

• Modifiche di ruolo: quando cambia l'assegnazione della missione di qualcuno, il suo accesso al CUI non più necessario viene revocato automaticamente tramite attributi soggetto aggiornati
• Modifiche della classificazione: quando la classificazione dei dati cambia, le restrizioni di accesso si adattano per tutti gli utenti interessati senza riconfigurazione manuale

3. Crittografa la CUI in transito e a riposo

NIST SP 800-171 richiede la crittografia per i CUI trasmessi o archiviati al di fuori di ambienti controllati. All’interno di ambienti protetti, altre misure di sicurezza possono soddisfare il requisito, ma qualsiasi CUI che esce da tale confine deve essere crittografata

Il requisito fondamentale è che i moduli di crittografia siano convalidati secondo FIPS 140-2, con i numeri di certificato documentati. Utilizzare semplicemente AES-256 non è sufficiente se il modulo specifico non ha superato il Programma di Validazione dei Moduli Criptografici del NIST.

La gestione delle chiavi merita la stessa attenzione, quindi dovrebbe essere considerata un'infrastruttura fondamentale, non un ripensamento.

4. Monitorare, registrare e rispondere agli incidenti

NIST SP 800-171 richiede registri di audit che catturino il tipo di evento, il momento, la posizione, la fonte, l’esito e l’identità associata. Le azioni degli utenti individuali devono essere tracciabili in modo univoco e la conservazione dei registri di audit deve essere conforme ai requisiti definiti dall’organizzazione e dal contratto.

Nella risposta agli incidenti, le tempistiche si stanno restringendo. Si applicano diversi obblighi di segnalazione a seconda del settore:

• Regola FAR CUI: una finestra di otto ore per segnalare incidenti sospetti o confermati di CUI
• DFARS 252.204-7012: I contraenti del DoD segnalano tramite DIBNet
• CIRCIA: le entità delle infrastrutture critiche segnalano a CISA entro 72 ore

Rispettare queste scadenze richiede capacità forensi e procedure di indagine predefinite, non solo rilevamento.

Correlare i dati delle attività con i permessi di accesso qui dà i suoi frutti. Nel mondo reale, anche un solo picco sospetto nelle modifiche ai file può diventare una corsa di giorni se il tuo team deve ricostruire risposte da log disconnessi.

Come Netwrix aiuta le organizzazioni a proteggere la CUI

Nessun singolo processo o checklist rende la conformità CUI immediata. La sfida per i contraenti è collegare i punti tra la scoperta dei dati, la governance degli accessi e la preparazione all’audit, senza assemblare strumenti disconnessi che lasciano lacune che un valutatore potrebbe trovare.

Se il tuo ambiente funziona su infrastruttura Microsoft con una combinazione di server di file on-premises, Active Directory e Microsoft 365, hai bisogno di una piattaforma che copra tutto questo da un unico posto.

La piattaforma 1Secure offre la scoperta automatizzata su file system, database, piattaforme di collaborazione e archiviazione cloud, così puoi trovare dati rilevanti per CUI prima di un valutatore.

Può mettere in quarantena file sensibili in posizioni non sicure, spostarli in aree protette, rimuovere permessi eccessivi e incorporare tag di classificazione nei file, trasformando settimane di inventario manuale in un processo automatizzato e ripetibile.

Ma la sola scoperta non basta. La domanda più difficile è: chi può accedere a quei dati, quell'accesso è appropriato e puoi dimostrarlo? La piattaforma 1Secure segnala oggetti di dati sensibili sovraesposti, strutture dettagliate di permessi su contenuti classificati e attività relative a file e cartelle sensibili.

Ciò significa che puoi identificare dove si trova CUI con permessi eccessivi e intervenire prima che diventi una constatazione di audit.

Netwrix Endpoint Protector estende quella copertura al livello endpoint, impedendo che CUI esca da ambienti controllati tramite canali non autorizzati. Blocca i trasferimenti verso dispositivi USB non approvati, monitora e controlla i caricamenti tramite browser, client di posta elettronica e applicazioni di archiviazione cloud. Inoltre, applica la crittografia sui supporti rimovibili approvati, affrontando direttamente i rischi di esfiltrazione che i requisiti di gestione di CUI sono progettati per prevenire.

I report di conformità predefiniti mostrano chi ha avuto accesso ai dati, cosa è cambiato e quando, mentre la ricerca interattiva ti aiuta a rispondere alle domande degli auditor in pochi minuti anziché in giorni.

Richiedi una demo di Netwrix per vedere come una piattaforma ti aiuta a scoprire, proteggere e dimostrare la conformità per CUI nel tuo ambiente ibrido.