CUI: Controlled Unclassified Information — USA:s etikett "Känsligt men inte hemligt"

CUI (Controlled Unclassified Information) är ett standardiserat märkningssystem som används av USA:s federala regering för att identifiera information som:

• Är inte klassificerad (Confidential/Secret/Top Secret)
• Men är tillräckligt känslig för att kräva skydd och kontrollerad spridning
• Måste skyddas enligt lag, förordning eller regeringens gemensamma policy

Vad räknas som CUI?

Över 125 kategorier över 20+ grupperingar, inklusive:

• Integritet: PII (personnummer, medicinska, finansiella), FERPA, HIPAA-data
• Rättsväsende: Utredningshandlingar, informantidentiteter, metoder
• Kritiskt infrastruktur: Sårbarhetsbedömningar, nätkartor, SCADA-data
• Exportkontroll: ITAR, EAR tekniska data (inte klassificerade men begränsade)
• Finansiella: Bank tillsyn, inköpsintegritet, bidragsdetaljer
• Eget företag: Affärshemligheter, anbudsförslagsinfo inlämnad till staten
• Statistiska: Folkräkningsmikrodata, BLS-enkät svar

Varför CUI existerar

Före 2010 (EO 13556) använde myndigheter 50+ inkonsekventa märkningar (FOUO, SBU, LES, etc.). CUI skapar ett enhetligt ramverk för:

• Märkning (banderollrader, delmärkningar: CUI//CAT//SP-CTRL)
• Hantering (åtkomstkontroller, kryptering, need-to-know)
• Avmärkning (auktoriserad frigivning, förstöring)
• Utbildning & revision

Vem måste följa?

Alla federala myndigheter, entreprenörer, bidragsmottagare och underentreprenörer som hanterar CUI — krävs av 32 CFR Part 2002 och NIST SP 800-171 (för icke-federala system). CMMC (Cybersecurity Maturity Model Certification) genomdriven för försvarentreprenörer.

CUI är inte "hemligt" — men att förlora det kan skada integritet, säkerhet, konkurrenskraft eller allmänna förtroendet. Behandla det som om det spelar roll. För det gör det.