CUI: Información Controlada No Clasificada — La Etiqueta «Sensible Pero No Secreta» del Gobierno EE. UU.

CUI (Controlled Unclassified Information) es un sistema de marcado estandarizado usado por el gobierno federal de EE. UU. para identificar información que:

• No está clasificada (Confidencial/Secreto/Ultra Secreto)
• Pero es suficientemente sensible para requerir salvaguarda y difusión controlada
• Debe protegerse según ley, regulación o política gubernamental general

Qué Cuenta como CUI

Más de 125 categorías en 20+ agrupaciones, incluyendo:

• Privacidad: PII (SSN, médica, financiera), FERPA, datos HIPAA
• Cumplimiento Legal: Registros de investigación, identidades de informantes, técnicas
• Infraestructura Crítica: Evaluaciones de vulnerabilidad, mapas de red, datos SCADA
• Control de Exportaciones: Datos técnicos ITAR, EAR (no clasificados pero restringidos)
• Financieros: Supervisión bancaria, integridad de adquisiciones, detalles de subvenciones
• Negocios Propietarios: Secretos comerciales, info de propuestas/licitaciones presentadas al gobierno
• Estadísticos: Microdatos del censo, respuestas a encuestas BLS

Por Qué Existe CUI

Antes de 2010 (EO 13556), agencias usaban 50+ marcados inconsistentes (FOUO, SBU, LES, etc.). CUI crea un marco unificado para:

• Marcado (líneas de banner, marcas de porción: CUI//CAT//SP-CTRL)
• Manejo (controles de acceso, cifrado, necesidad de saber)
• Descontrol (liberación autorizada, destrucción)
• Formación y auditoría

Quién Debe Cumplir

Todas las agencias federales, contratistas, subvencionados y subcontratistas que manejen CUI —obligatorio por 32 CFR Parte 2002 y NIST SP 800-171 (para sistemas no federales). CMMC (Certificación de Modelo de Madurez en Ciberseguridad) lo exige para contratistas de defensa.

CUI no es «secreto» —pero perderlo puede dañar privacidad, seguridad, competitividad o confianza pública. Trátelo como importa. Porque importa.