我建立了 网络安全成熟度模型认证，因为自我认证未能满足我们的战争工业基础。承包商可以简单地承诺他们遵循基本的网络安全实践，但没有任何验证支持这一承诺。我们的对手早在华盛顿之前就注意到了这一差距——而且自那以后他们并没有放松。实际上，情况正好相反。
国家行为者及其容忍或指挥的勒索软件团队比五年前更加激进、资金更充足、反应更迅速。现在不是放松标准的时候。CMMC背后的国防联邦采购法规补充要求不应改变，如果改变，我也不会支持。
但捍卫一个项目并不意味着假装它的目标是完美的。现在CMMC已成为一项最终规则，进入实际合同，这是一个正确的时机来问：我们的目标是否足够精准？我认为我们还没有——而且正确使用人工智能可以在不触动网络安全标准本身的情况下帮助解决这个问题。
问题在于目标，而不是标准
CMMC的要求依赖于受控未分类信息。但战争工业基础中的CUI判定不一致：两个进行几乎相同工作的分包商可能会得到完全不同的评估，因为这一判断仍然依赖于手动判断，而对数据实际流动的可见性不完整。一些小企业因处理的并非真正的CUI而被迫承担沉重的评估负担。其他处理真实敏感数据的企业则以较轻的要求逃过一劫。这两种结果都不利于国家安全；第一种浪费了合规资金，第二种则留下了真实的暴露未得到解决。
人工智能可以在这里进行初步分类——从合同语言和工作说明中标记可能的CUI，并捕捉主合同指定的内容与实际流向分包商之间的不匹配——比今天的手动审查拼凑要一致得多。在这种情况下，拥有合同权威的人仍然做出最终决定。但这个人应该从一个比我们现在提供的起点更好的基础上工作。
小企业是经济，而不仅仅是供应链
小企业 占美国公司99.9%，并雇佣了近一半的私营劳动力。而现在，他们面临着大多数人没有能力应对的威胁：可以在一夜之间关闭运营的勒索软件；每年都更难发现的人工智能驱动的欺诈，以及量子计算打破今天标准加密时即将到来的清算。量子威胁已经是真实的，因为现在收集的数据可以在以后被解密。
我很高兴小企业管理局正在关注这一点。 其小企业网络安全试点项目通过州合作伙伴进行了实际的资金培训工作。但培训补助金并不是资本，任何数量的咨询都无法帮助小制造商度过勒索软件恢复或量子抗性加密升级的难关。小企业无法像设备那样获得网络安全的优惠融资，因为大多数贷款人不知道如何进行承保。
我们需要一个专门的SBA贷款项目用于网络安全投资——向每个小企业开放，而不仅仅是与国防部合作的企业——以资助多因素认证的推广、端点检测、事件响应，以及向量子抗性加密的早期迁移，在这成为紧急情况而不是计划之前。
同一使命，两个战线
在战争工业基础内部，利用人工智能确保CUI的判定和流动与现实相符。在外部，给予更广泛的小企业经济资本，以抵御日益激进的对手……
国防部强调需要通过网络安全成熟度模型认证（CMMC）来增强国防承包商的网络安全标准。国家行为者在网络威胁方面日益激进，迫切需要改善对受控未分类信息（CUI）的评估。报告提倡使用人工智能以确保一致的CUI评估，并呼吁设立专门的贷款计划，以支持小企业加强其网络安全措施。
- CMMC的创建是为了应对承包商在网络安全自我认证方面的失败。
- 国家行为者在网络威胁方面变得更加激进。
- 人工智能可以提高受控未分类信息（CUI）评估的一致性。
- 小企业面临重大网络安全威胁，缺乏必要升级的资金。
- 建议设立专门的SBA贷款计划用于网络安全投资。