CUI: Informação Controlada Não Classificada — O Rótulo "Sensível Mas Não Secreto" do Governo dos EUA

CUI (Controlled Unclassified Information) é um sistema de marcação padronizado usado pelo governo federal dos EUA para identificar informações que:

• Não são classificadas (Confidencial/Secreto/Ultra Secreto)
• Mas são suficientemente sensíveis para exigir salvaguarda e disseminação controlada
• Devem ser protegidas por lei, regulamento ou política governamental

O Que Conta como CUI?

Mais de 125 categorias em 20+ agrupamentos, incluindo:

• Privacidade: PII (SSN, médico, financeiro), FERPA, dados HIPAA
• Aplicação da Lei: Registros de investigação, identidades de informantes, técnicas
• Infraestrutura Crítica: Avaliações de vulnerabilidade, mapas de rede, dados SCADA
• Controle de Exportação: Dados técnicos ITAR, EAR (não classificados mas restritos)
• Financeiro: Supervisão bancária, integridade de aquisições, detalhes de subsídios
• Negócios Proprietários: Segredos comerciais, info de propostas/licitações submetidas ao governo
• Estatístico: Microdados do censo, respostas de pesquisas BLS

Por Que CUI Existe

Antes de 2010 (EO 13556), agências usavam 50+ marcações inconsistentes (FOUO, SBU, LES, etc.). CUI cria estrutura unificada para:

• Marcação (linhas de banner, marcações de porção: CUI//CAT//SP-CTRL)
• Manuseio (controles de acesso, criptografia, need-to-know)
• Descontrole (liberação autorizada, destruição)
• Treinamento e auditoria

Quem Deve Cumprir?

Todas as agências federais, contratantes, beneficiários e subcontratantes manuseando CUI — mandatado pelo 32 CFR Part 2002 e NIST SP 800-171 (para sistemas não federais). CMMC (Cybersecurity Maturity Model Certification) reforça para contratantes de defesa.

CUI não é "secreto" — mas perdê-lo pode prejudicar privacidade, segurança, competitividade ou confiança pública. Trate-o como importante. Porque é.