بسیاری از پیمانکاران دولتی با چالش درک مفهوم اطلاعات کنترل‌شده غیرمحرمانه (Controlled Unclassified Information یا CUI) و الزامات مربوط به گواهینامه بلوغ امنیت سایبری (CMMC) روبرو هستند. این گزارش به بررسی دقیق ماهیت CUI، زمان استفاده از نشانه‌گذاری‌ها (Markings) و نحوه مدیریت صحیح این داده‌ها می‌پردازد.
تعریف و شناسایی CUI
از دیدگاه یک پیمانکار، CUI شامل اسناد یا ایمیل‌هایی است که مستقیماً از سوی دولت دریافت می‌شود. سازمان‌های دولتی موظف هستند پیش از انتشار، تمامی موارد CUI را طبق استانداردهای NARA نشانه‌گذاری کنند. نشانه‌گذاری‌ها معمولاً شامل موارد مشخصی هستند که باید پیش از رسیدن به دست پیمانکار، در اسناد موجود باشد.
- نشانه‌گذاری‌های استاندارد: اسناد باید دارای نشانه‌های مشخصی باشند تا از ماهیت CUI آن‌ها مشخص شود.
- برگه پوششی (Coversheet): برخی اسناد ممکن است دارای یک برگه پوششی بنفش رنگ باشند که این مورد اختیاری است.
تمایز CUI با سایر دسته‌ها
بسیار مهم است که پیمانکاران تفاوت‌های زیر را درک کنند تا از بروز خطا در مدیریت داده‌ها جلوگیری شود:
- اطلاعات طبقه‌بندی‌شده (Classified): اطلاعاتی که با برچسب‌های Confidential، Secret یا Top Secret مشخص شده‌اند، جزو CUI محسوب نمی‌شوند و قوانین حفاظتی متفاوتی دارند.
- کنترل‌های صادراتی (EAR و ITAR): اطلاعات تحت کنترل صادرات (Export Control) لزوماً CUI نیستند؛ مگر اینکه همزمان تعریف CUI را نیز داشته باشند. در صورت همپوشانی، اسناد باید هر دو نشانه‌گذاری CUI و کنترل صادراتی را داشته باشند.
- اطلاعات قرارداد فدرال (FCI): اکثر اطلاعاتی که پیمانکاران برای دولت ایجاد می‌کنند اما نشانه‌گذاری نشده‌اند، در دسته Federal Contract Information یا FCI قرار می‌گیرند. الزامات حفاظتی برای FCI بسیار ساده‌تر از CUI است.
قوانین نشانه‌گذاری برای پیمانکاران
پیمانکاران نباید بدون دستورالعمل صریح دولت، اقدام به نشانه‌گذاری اطلاعات کنند. نشانه‌گذاری وظیفه‌ای است که عمدتاً بر عهده دولت است. تنها دو حالت وجود دارد که پیمانکار باید اسناد را به عنوان CUI نشانه‌گذاری کند:
- زمانی که اطلاعات CUI را از یک سند اصلی به سند جدید کپی می‌کنند (در این حالت نشانه‌گذاری‌ها باید به سند جدید منتقل شوند).
- زمانی که دولت به طور مشخص در قرارداد (مانند فرم‌های CDRL) دستورالعمل نشانه‌گذاری را ارائه داده باشد.
نکته مهم: اطلاعات اختصاصی (Proprietary) یک پیمانکار که از سوی دولت دریافت نشده است، هرگز CUI محسوب نمی‌شود. اگر پیمانکاری بخواهد اطلاعات اختصاصی خود را با یک زیرپیمانکار به اشتراک بگذارد، باید از قراردادهای عدم افشا (NDA) استفاده کند، زیرا پروتکل‌های CUI شامل اطلاعات اختصاصی پیش از ورود به چرخه دولتی نمی‌شود.
چالش‌های انطباق (Compliance)
بسیاری از پیمانکاران به اشتباه تصور می‌کنند تمام اطلاعات تولید شده تحت یک قرارداد، CUI است. این یک باور نادرست است. اکثر این داده‌ها در دسته FCI قرار می‌گیرند. همچنین، پیمانکاران نباید سعی کنند اطلاعات خود را به صورت خودسرانه با نشانه‌های CUI برچسب‌گذاری کنند، زیرا این کار منجر به عدم انطباق با استانداردهای رسمی NARA می‌شود. مدیریت صحیح این فرآیند نیازمند پیگیری دقیق دستورالعمل‌های موجود در قرارداد و رعایت استانداردهای NIST SP 800-171 است.
