CUI: Kontrollert uklassifisert informasjon – USAs "sensitivt men ikke hemmelig" merke

CUI (Controlled Unclassified Information) er et standardisert merkingsystem brukt av USA:s føderale regjering for å identifisere informasjon som:

• Ikke er klassifisert (Konfidensiell/Hemmelig/Topphemmelig)
• Men er sensitiv nok til å kreve beskyttelse og kontrollert utbredelse
• Må beskyttes per lov, regulering, eller regjeringssidig politikk

Hva teller som CUI?

Over 125 kategorier over 20+ grupperinger, inkludert:

• Personvern: PII (SSN, medisinsk, finansiell), FERPA, HIPAA data
• Lovpåfølging: Etterforskningsjournaler, informantidentiteter, teknikker
• Kritisk infrastruktur: Sårbarhetsvurderinger, nettkart, SCADA-data
• Eksportkontroll: ITAR, EAR tekniske data (ikke klassifisert men begrenset)
• Finansiell: Banktilsyn, anskaffelsesintegritet, stipenddetaljer
• Eierskap forretningsmessig: Forretningshemmeligheter, tilbuds/proposals info sendt til regjering
• Statistisk: Folketellingsmikrodata, BLS-undersøkelsessvar

Hvorfor CUI eksisterer

Før 2010 (EO 13556) brukte etater 50+ inkonsekvente merking (FOUO, SBU, LES, osv.). CUI skaper et enhetlig rammeverk for:

• Merking (bannerlinjer, delmerking: CUI//CAT//SP-CTRL)
• Håndtering (tilgangskontroller, kryptering, need-to-know)
• Avkontroll (autorisert frigivelse, destruksjon)
• Opplæring & revisjon

Hvem må følge?

Alle føderale etater, entreprenører, mottakere av stipend, og underentreprenører som håndterer CUI – obligatorisk ved 32 CFR Part 2002 og NIST SP 800-171 (for ikke-føderale systemer). CMMC (Cybersecurity Maturity Model Certification) påtvinger det for forsvarentreprenører.

CUI er ikke "hemmelig" – men å miste det kan skade personvern, sikkerhet, konkurranseevne, eller offentlig tillit. Behandle det som om det betyr noe. Fordi det gjør det.