Le Informazioni non classificate controllate, o CUI, sono dati sensibili legati al governo che non sono classificati ma devono comunque essere protetti. In pratica, possono includere registri di appaltatori, dati tecnici, informazioni sul personale o dettagli operativi che potrebbero danneggiare un'agenzia o un programma se divulgati. Il CUI spesso determina i requisiti di sicurezza perché definisce quali sistemi rientrano nell'ambito, quali utenti possono accedere ai dati e quali misure di protezione devono essere documentate e monitorate.
Nel campo della sicurezza informatica, il CUI è importante perché gli attaccanti spesso lo prendono di mira anche quando non è segreto in senso tradizionale. Furto, ransomware, condivisione configurata in modo errato e controlli di accesso deboli possono tutti esporre il CUI e creare rischi contrattuali, legali e operativi. I difensori lo proteggono con segmentazione, crittografia, accesso con privilegi minimi, registrazione dei log, backup sicuri e procedure chiare di marcatura e gestione. Un buon controllo del CUI supporta anche gli audit, poiché le prove devono mostrare che le protezioni sono effettivamente operative, non solo descritte in una policy.