兰德-Issues-with-Access-to-Acquisition-Data-and-Information-in-the-Department-of-Defense_-Considerations-for-Implementing-the-Controlled-Unclassified-Information-Reform-Program_63页_1008kb

总结：DoD获取采购数据和信息的挑战

核心内容

本报告探讨了美国国防部（DoD）在实施《受控非密信息（CUI）改革计划》过程中，面临的获取和管理采购数据与信息的挑战。该计划旨在通过标准化和统一的标签系统，提高政府内部信息共享的效率，同时保护敏感信息免受未经授权的披露和利用。

主要观点

• CUI的重要性：CUI是保护非密信息的重要手段，包括个人可识别信息、专有商业信息、执法调查信息等。这些信息在国防采购过程中具有重要价值。
• CUI改革的背景：2010年11月4日，奥巴马总统签署的《执行令13556》推动了CUI改革计划，旨在应对日益增长的安全威胁，提升政府信息共享的效率。
• NARA的角色：国家档案和记录管理局（NARA）作为CUI执行代理，负责制定和管理超过100种CUI的分类方式，并在2016年9月发布CUI联邦注册规则，该规则于2016年11月14日生效。
• 标签改革的挑战：旧的DoD标签（如FOUO、PROPIN等）将被新的CUI标签取代，而这些标签的使用需要更详细的定义和培训，给DoD带来显著的实施难度。
• 实施的复杂性：CUI改革不仅涉及标签系统的标准化，还包括信息系统的调整、人员培训、数据分类和安全审计等方面，这将对DoD的日常运作产生重大影响。
• 数据聚合的挑战：尽管数据聚合有助于提升分析能力和决策支持，但其可能引发安全风险，如敏感信息的泄露或被对手利用。因此，NARA和DoD需制定明确的聚合指导方针。
• 未来路径的不确定性：CUI改革的实施路径尚不清晰，需要进一步明确标签标准、聚合规则及安全机制，同时需注意文化上的转变和培训的必要性。

关键信息

CUI分类及标签

• NARA已定义24个CUI类别，其中加粗部分与DoD采购工作密切相关。
• 一些旧标签（如FOUO、Business Sensitive等）已被淘汰，需替换为新的CUI标签（如CUI Basic、CUI Specified等）。
• 部分旧标签（如PROPIN）已被部分纳入新标签体系，但仍需进一步确定其适用性。

实施挑战

• 标签替换复杂：旧标签的替换需要重新评估信息内容，可能涉及联系原始信息拥有者或建立新的审核流程。
• 缺乏统一标准：目前DoD内部缺乏统一的CUI定义和标准操作流程，导致信息管理混乱。
• 培训需求大：所有DoD员工和承包商都需要接受新标签系统的培训，尤其是涉及部分标记（portion marking）的复杂情况。
• 资金与资源不足：CUI改革的实施尚未获得充分的资金支持，且对信息系统的调整可能带来较高的成本。

数据聚合的潜在风险与益处

• 益处：数据聚合有助于形成历史记录，支持采购决策和分析。
• 风险：聚合可能增加敏感信息泄露的风险，尤其是当信息被多个来源组合使用时。
• 政策支持：NARA、DoD、商务部和国土安全部已发布关于数据聚合和分类的指导方针，强调去标识化和总结分析的重要性。

选项建议

为了顺利实施CUI改革，OUSD(AT&L)应考虑以下选项：

• 指定联络人：设立专门的联络人协助过渡和指导CUI标签实施。
• 与USD(I)合作：积极参与与情报副部长办公室的讨论，确保改革符合DoD需求。
• 与NARA合作：深入理解联邦层面的指导方针，确保政策的一致性。
• 组织小型工作组：与各军种和DoD职能单位合作，评估改革对日常工作的具体影响。
• 制定培训计划：为员工和承包商提供针对性的CUI标签培训，避免依赖统一的DoD培训。
• 等待USD(I)的指导：在USD(I)完成相关指导前，暂缓实施部分复杂措施（如部分标记）。
• 监控政策变化：密切关注CUI注册和联邦CUI战略的更新，特别是特朗普政府可能带来的调整。
• 使用NIST工具：在数据聚合方面，考虑使用NIST提供的工具，系统化地评估信息系统的敏感性。

结论

CUI改革对DoD的采购数据管理具有深远影响。虽然改革旨在提升信息共享和安全性，但其实施过程仍面临诸多挑战，包括标签替换、培训需求、系统调整和政策执行等方面。OUSD(AT&L)需积极应对这些挑战，确保改革顺利推进并实现其预期目标。