CUI: Controlled Unclassified Information — L'etichetta USA "Sensibile ma non Segreto"

CUI (Controlled Unclassified Information) è un sistema di marcatura standardizzato usato dal governo federale USA per identificare informazioni che:

• Non sono classificate (Confidential/Secret/Top Secret)
• Ma sono abbastanza sensibili da richiedere salvaguardia e disseminazione controllata
• Devono essere protette per legge, regolamento, o policy governativa

Cosa conta come CUI?

Oltre 125 categorie in 20+ raggruppamenti, inclusi:

• Privacy: PII (SSN, medicali, finanziari), FERPA, dati HIPAA
• Law Enforcement: Fascicoli indagini, identità informatori, tecniche
• Infrastrutture Critiche: Valutazioni vulnerabilità, mappe rete, dati SCADA
• Export Control: ITAR, EAR dati tecnici (non classificati ma ristretti)
• Finanziari: Supervisione bancaria, integrità appalti, dettagli grant
• Business Proprietario: Trade secrets, info bid/proposta sottomesse a gov
• Statistici: Microdati censimento, risposte sondaggi BLS

Perché esiste CUI

Prima 2010 (EO 13556), agenzie usavano 50+ marcature inconsistenti (FOUO, SBU, LES, ecc.). CUI crea framework unificato per:

• Marcatura (banner lines, portion markings: CUI//CAT//SP-CTRL)
• Gestione (controlli accesso, crittografia, need-to-know)
• Decontrollo (rilascio autorizzato, distruzione)
• Training e auditing

Chi deve conformarsi?

Tutte agenzie federali, contractor, beneficiari grant, e subcontractor che gestiscono CUI — mandatario per 32 CFR Part 2002 e NIST SP 800-171 (per sistemi non-federali). CMMC (Cybersecurity Maturity Model Certification) lo impone per contractor difesa.

CUI non è "segreto" — ma perderlo può danneggiare privacy, sicurezza, competitività, o fiducia pubblica. Trattatelo come conta. Perché conta.