Cửa ngõ mới cho xuất khẩu quốc phòng Hàn Quốc sang Mỹ: Chứng nhận CMMC

Bộ Quốc phòng Mỹ đã áp dụng quy định cuối cùng về Chứng nhận Mô hình Trưởng thành An ninh mạng (CMMC) từ ngày 10 tháng 11 năm 2025. Các nhà thầu chính và nhà thầu phụ cung cấp linh kiện cho Bộ Quốc phòng Mỹ phải có chứng nhận CMMC để tham gia thị trường quốc phòng Mỹ. Đối với ngành công nghiệp quốc phòng Hàn Quốc, CMMC không chỉ là quy định an ninh mà còn là cửa ngõ sống còn.

CMMC có ba cấp độ dựa trên độ nhạy cảm của thông tin hợp đồng liên bang (FCI) và thông tin không phân loại cần kiểm soát (CUI). Các công ty quốc phòng cần chuẩn bị cho cấp độ 2, yêu cầu tuân thủ 110 tiêu chí bảo mật theo NIST SP 800-171 và kiểm tra định kỳ ba năm một lần bởi tổ chức chứng nhận thứ ba (C3PAO). Thời gian chuẩn bị thường từ 12 đến 18 tháng, với chi phí từ 2,6 tỷ đến 4 tỷ won.

Gánh nặng này chủ yếu đè nặng lên các doanh nghiệp vừa và nhỏ. Theo khảo sát của Hiệp hội Phát triển Công nghiệp Quốc phòng Hàn Quốc, 90% trong số 29 công ty tham gia là doanh nghiệp vừa và nhỏ, nhiều công ty không có nhân viên chuyên trách an ninh. 52% cho rằng chi phí và thiếu thông tin, đào tạo là khó khăn chính. 31% không có ý định đầu tư vào CMMC, cho thấy khó khăn trong việc tự mình tham gia thị trường Mỹ.

Các rào cản kỹ thuật cũng đáng kể. Cấp độ 2 yêu cầu mô-đun mã hóa được xác minh FIPS 140-2/140-3, nhưng sản phẩm K-CMVP của Hàn Quốc không được công nhận bởi Mỹ. Các yêu cầu khác như xác thực đa yếu tố (MFA) và kiến trúc mạng dựa trên zero trust cũng đòi hỏi sự thay đổi lớn. Hơn nữa, 61 trong số 110 tiêu chí không cho phép lập kế hoạch cải tiến, phải hoàn thành trước khi ký hợp đồng. Chưa có tổ chức C3PAO được công nhận trong nước, nên phải mời kiểm tra viên nước ngoài, làm tăng chi phí và lo ngại về rò rỉ công nghệ.

Vai trò của chính phủ là cần thiết. Thứ nhất, cần làm rõ cơ sở pháp lý cho hỗ trợ. Thứ hai, cần điều chỉnh các yêu cầu của CMMC với khảo sát hiện tại để giảm gánh nặng cho các công ty. Thứ ba, cần phát triển hệ sinh thái CMMC trong nước, hỗ trợ mạnh mẽ cho việc cấp phép C3PAO và giải quyết các vấn đề liên quan đến FOCI và điều tra lý lịch Tier 3. Thứ tư, cần tăng cường ngân sách hỗ trợ, xem xét thành lập quỹ hỗ trợ CMMC. Thứ năm, cần điều chỉnh để chi phí đầu tư an ninh được tính vào giá thành sản phẩm quốc phòng.

CMMC không thể áp dụng trong thời gian ngắn, nhưng không thể tránh nếu muốn tham gia thị trường Mỹ. Các nước cạnh tranh đã hỗ trợ quốc gia cho các công ty của họ trong việc đáp ứng CMMC. Chính phủ, Hiệp hội Phát triển Công nghiệp Quốc phòng, các địa phương và ngành công nghiệp cần hợp tác để xây dựng quản trị tích hợp và kích hoạt cơ chế phối hợp liên bộ. Tương lai của ngành công nghiệp quốc phòng Hàn Quốc phụ thuộc vào việc vượt qua cửa ngõ này.