Resumen
La Información No Clasificada Controlada, o CUI, es información del gobierno que es sensible pero no está clasificada. Lo difícil no es marcarla, sino mantenerla bajo control cuando ingenieros, subcontratistas y evaluadores necesitan leerla. En la mayoría de los programas CUI la filtración no es un hackeo: es una copia que nunca debió existir.
Qué cuenta como CUI — y qué no
La CUI la define el Registro CUI, que agrupa la información en categorías como privacidad, aplicación de la ley, contratación y datos técnicos. Un contratista rara vez ve la definición abstracta. Ve planos marcados como distribución limitada, resultados de ensayos que no deben salir del programa y cronogramas sensibles para la adquisición. Un programa de protección de CUI empieza por los documentos que los ingenieros intercambian de verdad, no por la carpeta de políticas. Para proveedores del DoD, esta guía de CUI empieza por los documentos que ingenieros y subcontratistas intercambian de verdad.
En la práctica se confunden tres etiquetas: clasificado, controlado y público. La información clasificada tiene su propio régimen. La CUI queda en el medio — suficientemente sensible como para que un mal manejo sea un problema contractual y a veces legal, pero no clasificada, que es justamente la razón por la que circula en herramientas corporativas comunes.
La obligación se traslada hacia abajo. Cuando un contratista principal comparte datos técnicos con un subcontratista, se espera que los controles sigan al documento y no se detengan en el firewall del principal. Ese traslado es donde se multiplican las copias y donde la mayoría de las evaluaciones encuentran la brecha.
- Sensibilidad sin clasificación — la CUI no es secreta, pero tampoco es compartible.
- Obligaciones que se trasladan — los subcontratistas heredan los requisitos de manejo, no solo el archivo.
- Marcar no es controlar — una leyenda en la página no impide una descarga.
Por qué la copia descargada rompe el modelo
Todo modelo de control de acceso supone un límite. En el momento en que un usuario descarga el original, el límite se traslada a su portátil, a su nube personal o a su correo — lugares donde el contratista no tiene política, ni registros, ni revocación.
Los flujos de ingeniería lo empeoran. Los planos se intercambian con proveedores de herramientas, los datos de ensayo se envían a un laboratorio, un subcontratista necesita un archivo de modelo para una simulación. Cada entrega es legítima; cada una también crea una copia que ya no aparece en ningún sistema de acceso. La protección de CUI es un problema de control de acceso antes que de etiquetado.
La alternativa es cambiar qué llega al endpoint. Si el servidor renderiza las páginas a píxeles y transmite solo esos píxeles, el usuario obtiene la información sin el archivo. La rasterización server-side es el mecanismo; las marcas de agua forenses y la revocación en vivo son lo que lo vuelve defendible.
NIST SP 800-171 y CMMC en la práctica
Las familias de controles de NIST SP 800-171 que tocan documentos son conocidas para cualquiera que haya pasado por una evaluación: control de acceso, auditoría y rendición de cuentas, protección de medios y respuesta a incidentes. CMMC evalúa si esos controles están realmente implementados, y el nivel 2 se alinea con los requisitos de 800-171.
El cambio importante es pasar de documentos a resultados. Control de acceso significa una decisión explícita por usuario y documento. Auditoría significa un registro que un evaluador pueda leer. Protección de medios significa que el archivo sensible no viaja en medios extraíbles. Respuesta a incidentes significa poder reconstruir qué se expuso.
- Control de acceso — denegación por defecto, concesiones explícitas y una política que se puede simular antes de publicarla.
- Auditoría y rendición de cuentas — registros inmutables y exportables de quién vio, descargó o modificó un documento.
- Protección de medios — el original permanece en infraestructura que tú controlas, no en los endpoints.
- Respuesta a incidentes — evidencia a nivel de sesión para acotar rápido una exposición, que es donde rinden las políticas documentales deterministas.
Evidencia que sobrevive a una evaluación
Los evaluadores están entrenados para pedir artefactos, no intenciones. Una declaración de política prueba lo que querías hacer; una exportación de registros prueba lo que ocurrió. Si las dos no se pueden reconciliar, la evaluación se detiene.
Lo que un revisor necesita ver es un registro completo: qué usuario abrió qué documento, cuándo, desde dónde y qué política lo permitió. Idealmente, el mismo registro muestra que el original no se pudo descargar.
Aquí la honestidad importa. Una plataforma documental puede apoyar objetivos de control; no puede certificar al contratista. El plan de seguridad del sistema, la evaluación y la responsabilidad siguen siendo de tu organización — y cualquier proveedor que insinúe lo contrario te está vendiendo un atajo que no sobrevive a una auditoría.
- Registros inmutables — solo de anexado, exportables y filtrables por usuario, documento y fecha.
- Trazabilidad de la decisión de política — la regla exacta detrás de cada permiso o denegación.
- Atribución de sesión — marca de agua e identidad ligadas al mismo registro de sesión.
- Alcance claro — un límite escrito de lo que la plataforma cubre y lo que no.
Dónde encaja Aegis — y dónde no
Aegis Secure View es un visor documental on-premise y air-gapped construido alrededor de la custodia: políticas de acceso deterministas, renderizado server-side, marcas de agua forenses y pista de auditoría. Encaja en programas donde la CUI no puede salir del enclave y el endpoint no debe contener el original.
- Apoya objetivos de control — evidencia de acceso, entrega, trazabilidad y despliegue para tu SSP.
- Corre dentro del perímetro — on-premise o air-gapped, para que el documento no dependa de una nube de terceros.
- No reemplaza el programa — la evaluación CMMC, el marcado de CUI y el traslado contractual siguen siendo tuyos.
- Diseñado para evidencia — los mismos registros que ayudan a un evaluador te ayudan a investigar un incidente real.
La protección de CUI es un programa, no un producto, y los programas que resisten son aquellos donde los controles técnicos producen evidencia en lugar de promesas. Si tu equipo está mapeando flujos documentales a 800-171 o preparando una evaluación CMMC, solicita una demo y recorremos el mismo documento desde un contratista principal hasta un subcontratista y de vuelta. Para el contexto más amplio del sector público, lee seguridad documental para gobierno, y para el ángulo de contratación mira proteger documentos de contratación pública.