CUI : Information non classifiée contrôlée — L'étiquette « sensible mais pas secret » du gouvernement US

CUI (Controlled Unclassified Information) est un système de marquage standardisé utilisé par le gouvernement fédéral US pour identifier l'information qui :

• N'est pas classifiée (Confidentiel/Secret/Très secret)
• Mais est assez sensible pour exiger protection et diffusion contrôlée
• Doit être protégée selon loi, règlement ou politique gouvernementale

Ce qui compte comme CUI

Plus de 125 catégories dans 20+ groupements, incluant :

• Vie privée : PII (SSN, médical, financier), FERPA, données HIPAA
• Application loi : Dossiers enquêtes, identités informateurs, techniques
• Infrastructures critiques : Évaluations vulnérabilités, cartes réseau, données SCADA
• Contrôle export : Données techniques ITAR, EAR (non classifiées mais restreintes)
• Financier : Supervision bancaire, intégrité marchés publics, détails subventions
• Propriété intellectuelle entreprises : Secrets commerciaux, infos offres/propositions soumises au gov
• Statistique : Microdonnées recensement, réponses enquêtes BLS

Pourquoi CUI existe

Avant 2010 (EO 13556), agences utilisaient 50+ marquages incohérents (FOUO, SBU, LES, etc.). CUI crée un cadre unifié pour :

• Marquage (lignes bannière, marquages portion : CUI//CAT//SP-CTRL)
• Gestion (contrôles accès, chiffrement, besoin-de-savoir)
• Déclassement (diffusion autorisée, destruction)
• Formation et audit

Qui doit se conformer ?

Toutes agences fédérales, contractants, bénéficiaires subventions, sous-traitants manipulant CUI — mandaté par 32 CFR Part 2002 et NIST SP 800-171 (pour systèmes non-fédéraux). CMMC (Cybersecurity Maturity Model Certification) l'impose aux contractants défense.

CUI n'est pas « secret » — mais le perdre peut nuire à vie privée, sécurité, compétitivité, confiance publique. Traitez-le comme s'il importait. Parce qu'il importe.