CUI関連の規格概要2010年11月に出された大統領令(EO13556)によりNARAがCUIに関する執行機関に指名され、CUIプログラムを履行するために必要な指令を開発・発行しなければならない、と定められています。(ISOO)がその実務を執行しています。管理対象となるCUIについてその種類、区分等をCUIレジストリーに挙げています。カテゴリーは23種類あり、一部はさらに細分化されています。800-171で管理されるBasic区分と、法律、規則等で管理方法を規定されているSpecialに区分して管理しています。CUIレジストリーの内容は現在のものであり、今後もそのニーズに応じて拡張整理されていくものと考えられます。800シリーズ3種類の合計5種類のものを挙げています。現在までに発行されている、CUIに関連するガイドライン等については以下の通りです。Services」(202、204、212、239、252)の施行に至りました。サイバー攻撃全容の解明、及びクラウド・コンピューティング攻撃の脆弱性軽減等の緊急の必要性から新たな規制を施行しました。Controls」規程が含まれています。800-171全面適用が規定されました。これにより、今後DFARSを含む、連邦政府各部門の調達規則が変更されることも予想されます。800-171は2015年6月に初版が公開され、2017年12月にはRev.1が公開されました。主契約企業がDoDと2018年1月以降に契約した場合は、新しいバージョンが適用されるので注意が必要です。この改版では、規程の明確化と手順の強化が実施されています。system”という言葉の明確化が実施されました。一部である個人デバイスと再定義して、明確化しました。様々なシステムが連携する時代において、CUIの紛失等から発生する問題の提供が拡大していることを示しています。この変更に伴い要求事項も見直しが行われています。system”の立場で記述されており、今後この変更の影響が様々な規程にも反映されてくるものと思われます。要求事項として「3.12.4項」を新たに起こし、システムセキュリティ計画書を策定し、文書化と定期的な更新を新たに求めています。この管理策の具体的な目的は、組織内で情報セキュリティの実施や運用を行い、統制するための管理の枠組みを作るものです。組織の資産が不正に変更されたり利用されたりすることを防ぐため、相反する職務や責任の範囲は、異なる人に分離させる必要があります(職務の分離)。ISMSでは、情報セキュリティの為の組織(A6.1.2)に相当する部分となります。DFARSでは、システムセキュリティ計画書と行動計画書の提出を求められています。800-171の全面適用をうたったことによります。この中では、以下4点を要求しました。コンプライアンスに関する膨大な課題に直面しています。)にギャップ分析と実行計画を提出する必要があります。米国は明確な意志をもって準備を進めている、という印象が強くあります。大統領令等をスタートとして、上流から下流に向けて様々な作業を行い、新たな仕組みを構築しています。Rev.1ではないでしょうか。ここで行われた用語の再定義により、”system”の範囲が、明確化され拡大され本規程がその領域まで適用されることとなった点は注目に値します。FARも改訂されたことから、政府調達の全領域に広がることとなった点も見逃せません。今後、民間企業の調達にどの様に影響するかにも注意する必要があると考えます。Information(CUI)」をリリースしました。252.204-7012に従ってCUIにマークを付けて処理する方法について、DoDが長い間期待していたガイダンスを提供するものです。2020)一方、DoDマニュアル5200.01、第4巻「DoD情報セキュリティプログラム:機密情報の管理」に基づく従来のCUIガイダンスをキャンセルしています。CUIレジストリを発表します。CUIレジストリは、DoDが請負業者に提供されるCUIを肯定的に特定するためにすぐに使用を開始するインデックスとカテゴリの公式リストを提供することを目的としており、契約コミュニティの一般的な混乱の原因となっているものを明らかにする可能性があります。5200.48は、CUIプログラムを完全に実装するためのDoDの「段階的」アプローチの一部であり、追加のガイダンスが間もなく発表されることを全体的に指摘しています。セルフアセスメントをリニューアルしました。25項目の遵守状況などが診断されます。ご自由にお試しください。