Informações não classificadas controladas (CUI)

Proteja seu negócio com a CyberHoot hoje mesmo!!!

Inscreva-se para assistir

Informações Não Classificadas Controladas (CUI, na sigla em inglês) são informações federais não classificadas (informações que o governo federal cria ou possui, ou que uma entidade cria ou possui para ou em nome do governo) que exigem salvaguardas ou controles de disseminação em conformidade com a lei, os regulamentos e as políticas governamentais. O Programa Federal de CUI é uma abordagem governamental abrangente para criar um conjunto uniforme de requisitos e controles de segurança da informação direcionados à proteção de informações governamentais sensíveis.

CUI é um termo que contém diversas marcações diferentes para identificar informações que não são classificadas, mas que devem ser protegidas. Alguns exemplos com os quais você pode estar familiarizado incluem:  

• Informações de identificação pessoal (PII) 
• Informações Pessoais Identificáveis Sensíveis (SPII) 
• Informações Comerciais Proprietárias (PBI) ou atualmente conhecidas pela EPA como Informações Comerciais Confidenciais (CBI) 
• Informações Técnicas Controladas Não Classificadas (UCTI) 
• Sensível, mas não classificado (SBU) 
• Somente para uso oficial (FOUO) 
• Sensível à aplicação da lei (LES) e outros.

O que CUI não é são informações classificadas ou ultrassecretas. Ambas são ainda mais críticas que CUI.

Um exemplo de CUI pode ser a agenda de negócios de políticos no Senado. O que é classificado como confidencial seria a agenda do presidente e do vice-presidente (exceto compromissos públicos divulgados à mídia). Top Secret pode ser alguma movimentação de tropas das Forças Armadas dos Estados Unidos ou a venda de armas para nossos aliados.

O que isso significa para uma PME ou MSP?

A maioria das PMEs e MSPs não precisa se preocupar com Informações Não Classificadas Controladas (CUI), a menos que trabalhem com entidades governamentais ou sejam elas próprias contratadas pela área de defesa. Se sua empresa estiver interessada em trabalhar com o governo, sua organização pode precisar de conformidade com o CMMC . Os requisitos de conformidade com o CMMC variam dependendo do contrato, sendo que muitos contratos exigem apenas conformidade de Nível 1 ou Nível 2, mas alguns contratos exigem Nível 3 (controles obrigatórios mais rigorosos).

Se você ainda não trabalha com o governo, mas planeja trabalhar na indústria de Defesa no futuro, ainda assim deve começar sua jornada no CMMC. Muitos estimam que uma organização pode levar de 12 a 18 meses para atingir o Nível 2 do CMMC e mais tempo para o Nível 3.

Você também deve contratar um consultor do CMMC para ajudá-lo a se preparar. Há muitos caminhos que podem levar a um beco sem saída. No entanto, outras decisões relacionadas à conformidade com o CMMC ainda precisam ser tomadas – principalmente quem pode autodeclarar a conformidade de Nível 2 e quem precisará ser certificado por uma organização certificadora licenciada.

Os princípios básicos da conformidade com o CMMC estão relacionados às melhores práticas de segurança proativas e consistentes, baseadas nos objetivos de controle do NIST 800-171. Esses são controles que a maioria das organizações deve se concentrar em implementar para programas de segurança cibernética de defesa em profundidade e, simplesmente, para sua tranquilidade. 

As recomendações adicionais abaixo ajudarão a colocar sua organização no caminho certo para a conformidade com o CMMC. 

Recomendações adicionais de segurança cibernética

Além disso, as recomendações abaixo ajudarão você e sua empresa a se manterem seguros contra as diversas ameaças que podem surgir no dia a dia. Todas as sugestões listadas abaixo podem ser obtidas ao contratar os serviços de desenvolvimento do Programa vCISO da CyberHoot.

1. Governe os funcionários com políticas e procedimentos. Você precisa, no mínimo, de uma política de senhas, uma política de uso aceitável, uma política de tratamento de informações e um programa de segurança da informação (WISP) por escrito.
2. Treinar os funcionários sobre como identificar e evitar ataques de phishing. Adote um sistema de gerenciamento de aprendizagem como o CyberHoot para ensinar aos funcionários as habilidades necessárias para que eles sejam mais confiantes, produtivos e seguros.
3. Teste funcionários com ataques de phishing para praticar. Os testes de phishing da CyberHoot permitem que as empresas testem funcionários com ataques de phishing confiáveis e submetam aqueles que falham a um treinamento corretivo de phishing.
4. Implementar tecnologia crítica de segurança cibernética, incluindo autenticação de dois fatores em todas as contas críticas. Habilite a filtragem de SPAM de e-mail, valide backups, implante proteção de DNS, antivirus, e antimalware em todos os seus endpoints.
5. Na era moderna do trabalho em casa, certifique-se de gerenciar dispositivos pessoais que se conectam à sua rede validando sua segurança (patches, antivírus, proteções de DNS, etc.) ou proibindo seu uso completamente.
6. Se você não passou por uma avaliação de risco terceirizada nos últimos 3 anos, deveria ter uma agora. Estabelecer uma estrutura de gestão de riscos na sua organização é fundamental para lidar com os riscos mais graves com seu tempo e dinheiro limitados.
7. Contrate um Seguro Cibernético para se proteger em caso de desastre. O Seguro Cibernético não é diferente de um seguro de carro, incêndio, inundação ou vida. Ele está lá quando você mais precisa.

Todas essas recomendações estão integradas ao produto CyberHoot ou aos serviços vCISO da CyberHoot. Com o CyberHoot, você pode governar, treinar, avaliar e testar seus funcionários. Visite CyberHoot.com e inscreva-se em nossos serviços hoje mesmo. No mínimo, continue aprendendo assinando nossos boletins informativos mensais sobre segurança cibernética para ficar por dentro das últimas novidades da área.

Para saber mais sobre Informações Não Classificadas Controladas (CUI), assista a este breve vídeo de 2 minutos:

Fontes: 

UMICH.Edu

NIST

DCSA

.

Leitura Adicional:

Tornando-se compatível com o CMMC

Termos relacionados:

Certificação de modelo de maturidade de segurança cibernética (CMMC)

O CyberHoot também oferece outros recursos. Abaixo, você encontra links para todos os nossos recursos. Sinta-se à vontade para consultá-los sempre que quiser: 

• Blog
• Cybrary (Biblioteca Cibernética)
• Infográficos
• newsletters
• Comunicados de imprensa
• Vídeos instrucionais (como fazer) – muito útil para nossos SuperUsuários!

Nota: Se desejar se inscrever em nossa newsletter, acesse qualquer link acima (exceto os infográficos), insira seu endereço de e-mail no lado direito da página e clique em " Enviar newsletters".