管理された非機密情報

管理された非機密情報( CUI ) は、米国連邦政府内の非機密情報のカテゴリです。CUI プログラムは、情報の共有と保護のための合理的な方法を作成するために、オバマ大統領の大統領令 13556 によって作成されました。情報セキュリティ監視室 (ISOO) は、国立公文書記録管理局 (NARA) の執行エージェント (EA) として機能し、CUI プログラムの監視を担当しています。ISOO は、行政機関による CUI プログラムの実装を監視します。CUI は、新しいデータに対して、公式使用のみ(FOUO)、機密だが非機密(SBU)、法執行機関機密(LES) などの機関固有のラベルを置き換え、従来のラベルが付いた一部のデータも管理された非機密情報として分類されます。^{[2] [3] CUI を取り扱う連邦政府の請負業者は、サイバー AB (認定委員会) の}サイバーセキュリティ成熟度モデル認証 (CMMC)で自己評価する必要があります (または、場合によっては政府職員によるレビューが必要です) 。

2008年5月9日のジョージ・W・ブッシュ大統領の署名入り大統領覚書では、CUIフレームワークの実施を監督・管理する責任を国立公文書館（NARA）に割り当てました。 ^[4]この覚書は2010年11月4日の大統領令13556号によって撤回され、その中で以前に概説されていたガイドラインは、すべての連邦機関の統一性を向上させ、管理された機密解除プロセス自体に関する標準ポリシーを策定するために拡張されました。^[5]

同様の取り組みとして、米国下院は2009年3月17日に情報管理指定削減法案（HR 1323）を可決した。この法案は米国上院の第111議会の国土安全保障および政府問題委員会に付託されたが、上院で可決されることはなかった。

管理された非機密情報の原則、ポリシー、およびプロセスは、 2004 年に国土安全保障省の事務局下、情報分析およびインフラストラクチャ保護の情報共有およびコラボレーション オフィスで行われた調査とポリシー変更提案から生まれました。管理された非機密情報 (CUI) という用語は、当時連邦政府全体で使用されていた 140 を超えるさまざまな形式の非機密情報をレビューした調査の著者によって造られました。調査の著者は、新しい原則とポリシーのフレームワークを推奨し、NARA 内の ISOO に新しい原則とポリシーの実装と監視の責任を負わせることを推奨しました。ポリシー フレームワークの提供時に、NARA はリソース不足を理由にこの取り組みに着手することに反対を表明しました。ポリシー推奨事項は、DHS から ODNI に移動された情報共有環境のプログラム マネージャーの一部として、DHS とその他の政府機関内で引き続き検討されました。大統領令、大統領令の撤回、それに続く政策構造が政府内で検討される一方で、調査/分析、政策草案と枠組みの作成、政治プロセス、そして結果としての政策実施のタイムラインは 2005 年から 2017 年まで続きました。この調査は、グレース・マスタリとリチャード・ラッセルが主導しました。

米国国防総省は、2008 年の大統領覚書が発行され、NARA が 2010 年に執行機関となる前から「管理された非機密情報」を扱ってきました。国防総省の用語には、同様の種類のデータ カテゴリが含まれています。ただし、国防総省と NARA は、「CUI」として定義されるデータの特定のカテゴリについて、当時も現在も (2019 年) 意見が異なります。DoDM 5200.01 Vol 4 は、NARA の定義に合わせて改訂されるまで、国防総省の CUI ポリシーを定義します。海軍長官は、1993 年 11 月に「機密軍事情報および管理された非機密情報の開示」と題する SECNAV 5510.34 を発行しました。

2020年12月時点で、当時の国家情報長官ジョン・ラトクリフは、国家安全保障問題担当大統領補佐官宛てに、大統領令13556号を撤回するよう米国大統領（トランプ大統領）に求める覚書を発行した。覚書の中で、ラトクリフ長官は、この政策を「飛躍的に複雑化」し、「非常に複雑すぎる」と述べている。覚書によると、「現在考えられているように、少数の文書マークを簡素化して1つの新しいCUIマークに置き換えるのではなく、CUIプログラムは、60の特定カテゴリと60以上の基本カテゴリを含む、20のグループで124を超えるカテゴリに拡大されています。」彼は引き続き、多大なコスト、不明確なガイダンスについてインテリジェンスコミュニティからの懸念を表明し、撤回と大統領の行動のプロセスを要求した。

DNIラトクリフは、撤回後、非機密情報を保護するために、現在のFOUOおよび関連マークの行政部門によるレビューと置き換えに支援が与えられると述べた。以前の2020年12月31日のタイムラインの延長は提案されておらず、その期限はすでに過ぎており、この要求に対してどのような措置が取られるかは現時点では不明である。^{[6] [7]} 国防総省は、 FOUOなどのレガシーマークに関するポリシーを明確にしている。^[8]「以前にFOUOとしてマークされた情報は、国防総省の管理下にあるか、オンラインでアクセスされ、国防総省内で使用するためにダウンロードされる限り、再マークする必要はありません。」 CFR 32 Part 2002に基づいて、各機関はCUIプログラムでレガシーマークを処理するための手順を開発する。

国防総省 (DoD) は、A ～ F の 6 つのディストリビューションを定義しています。技術的には、ディストリビューション A は CUI ではありませんが、ディストリビューション B ～ F は CUI です。ディストリビューションは次のように定義されます。

^[9]