CMMC và NIST 800-171: Điều các Nhà Sản Xuất Quốc Phòng Cần ở Kiểm Tra bằng AI

Đồng hồ đã bắt đầu chạy đối với các nhà sản xuất quốc phòng. CMMC 2.0 đã được chính thức hóa trong DFARS vào tháng 11 năm 2025, biến nó từ một chính sách sắp tới thành một yêu cầu hợp đồng có hiệu lực thi hành. Mốc thời gian quan trọng tiếp theo là ngày 10 tháng 11 năm 2026, cột mốc của Giai đoạn 2, khi các cuộc đánh giá bắt buộc bởi bên thứ ba trở thành tiêu chuẩn cho các hợp đồng Level 2 liên quan đến Controlled Unclassified Information. Đối với phần lớn công việc Level 2, thời kỳ tự chứng nhận kết thúc tại đó.

Sự thay đổi đó làm thay đổi cách bạn nên suy nghĩ về mọi hệ thống tiếp xúc với CUI, bao gồm cả các công cụ thị giác AI trên dây chuyền kiểm tra của bạn. Các hình ảnh, mô hình và hồ sơ mà một hệ thống kiểm tra tạo ra có thể chứa Controlled Unclassified Information, và nơi lưu giữ dữ liệu đó quyết định bên đánh giá phải xem xét bao nhiêu phần hoạt động của bạn. Nói cách khác, kiến trúc giờ đây đã trở thành một vấn đề tuân thủ.

CMMC Level 2 Yêu Cầu Gì ở Bạn

Cybersecurity Maturity Model Certification là khuôn khổ của Bộ Quốc phòng nhằm bảo vệ thông tin được kiểm soát trên toàn bộ nền tảng công nghiệp quốc phòng. Level 2 là cấp độ áp dụng cho các nhà thầu xử lý CUI, và nó tương thích với NIST SP 800-171 cùng 110 biện pháp kiểm soát an ninh của nó. Các biện pháp kiểm soát này bao gồm kiểm soát truy cập, kiểm toán và trách nhiệm giải trình, quản lý cấu hình, tính toàn vẹn của hệ thống và thông tin, cùng nhiều nội dung khác.

Sau ngày 10 tháng 11 năm 2026, việc chứng minh tuân thủ Level 2 nhìn chung đồng nghĩa với một cuộc đánh giá bởi bên thứ ba do một Certified Third-Party Assessment Organization, tức C3PAO, thực hiện, thay vì một bản tự chứng nhận. Chuẩn bị một cách thực tế cần từ 6 đến 12 tháng. Bạn xác định phạm vi, vẽ ra ranh giới an ninh, chạy đánh giá khoảng cách theo 110 biện pháp kiểm soát, viết một System Security Plan, và xử lý khắc phục. Càng ít hệ thống và luồng dữ liệu được đưa vào ranh giới đó, thì càng ít thứ phải đánh giá và bảo vệ.

Vì Sao Dữ Liệu Kiểm Tra Thuộc Về Bên Trong Ranh Giới của Bạn

Rất dễ bỏ sót các hệ thống kiểm tra khi lập bản đồ CUI, nhưng chúng tạo ra đúng loại dữ liệu mà CMMC quan tâm. Các hình ảnh mà một camera ghi lại về một bộ phận được kiểm soát, mô hình đã huấn luyện mã hóa cách bộ phận đó phải trông như thế nào, và các hồ sơ kiểm tra mà bạn lưu giữ đều có thể mang Controlled Unclassified Information. Nếu chúng có, thì mọi hệ thống lưu trữ hoặc xử lý chúng đều nằm trong ranh giới đánh giá của bạn.

Đây là lúc một công cụ kiểm tra dựa trên đám mây gây bất lợi cho bạn. Việc gửi hình ảnh ra bên ngoài để huấn luyện hoặc xử lý sẽ bổ sung thêm các hệ thống bên ngoài, các luồng dữ liệu mới và các kết nối bên thứ ba mà bên đánh giá phải xem xét theo toàn bộ 110 biện pháp kiểm soát. Mỗi sự bổ sung đều mở rộng ranh giới và bề mặt tấn công của bạn. Giữ việc kiểm tra tại chỗ và tại biên thì làm điều ngược lại: CUI ở lại bên trong ranh giới mà bạn đã quản lý, do đó có ít thứ phải đưa vào phạm vi hơn.

Đám Mây và Biên cho Phạm Vi CMMC

Cách Kiến Trúc tại Biên Hỗ Trợ Chương Trình của Bạn

Overview.ai chạy mọi bước của quá trình kiểm tra ngay trên chính camera. Mỗi thiết bị đều tích hợp sẵn một GPU NVIDIA tại biên, vì vậy việc thu thập hình ảnh, suy luận AI và huấn luyện mô hình đều diễn ra trên thiết bị. Không có gì được tải lên một đám mây dùng chung, hệ thống có thể chạy air-gap trên một mạng sản xuất biệt lập, và giao diện là một trình duyệt được phục vụ cục bộ bên trong mạng của bạn. Không có bên thứ ba truy cập dữ liệu.

Đối với một chương trình CMMC Level 2, kiến trúc đó giữ CUI kiểm tra bên trong ranh giới mà bạn đã kiểm soát, qua đó hỗ trợ các biện pháp kiểm soát NIST 800-171 của bạn thay vì làm chúng phức tạp hơn. Các dây chuyền quốc phòng cũng hưởng lợi từ bảo mật trên thiết bị ở lớp công nghệ vận hành. Bài tổng quan của chúng tôi về AI tại biên và bảo mật OT trình bày cách giữ suy luận cục bộ làm giảm bề mặt tấn công an ninh mạng, và hướng dẫn của chúng tôi về kiểm tra thị giác AI tuân thủ ITAR trình bày cùng một cách tiếp cận ưu tiên biên dành cho dữ liệu kỹ thuật chịu kiểm soát xuất khẩu.

Xây Dựng Lập Luận Tuân Thủ của Bạn

Vị thế vững chắc nhất khi bước vào một cuộc đánh giá của C3PAO là vị thế mà CUI ngay từ đầu không hề có cơ hội rời khỏi ranh giới của bạn. Một kiến trúc kiểm tra chỉ tại biên mang lại điều đó theo mặc định, thay vì dựa vào các chính sách đám mây và thỏa thuận xử lý dữ liệu để giữ thông tin được kiểm soát trong giới hạn. Đó là một lập luận đơn giản hơn để ghi lại trong System Security Plan của bạn, và là một lập luận đơn giản hơn để bảo vệ trong một cuộc đánh giá.

Nếu bạn đang xác định phạm vi thị giác AI cho một dây chuyền Level 2 trước ngày 10 tháng 11 năm 2026, hãy bắt đầu bằng việc lập bản đồ nơi dữ liệu kiểm tra của bạn sẽ lưu giữ ở từng bước. Với Overview.ai, câu trả lời là như nhau ở mọi bước: bên trong cơ sở của bạn, bên trong ranh giới của bạn.