Press Release

Nieuw Kiteworks Data Security en Compliance Risk: Jaarlijks Onderzoeksrapport onthult kritieke beveiligingsgaten voor de defensie-industriebasis

Kiteworks, dat organisaties in staat stelt om risico’s effectief te beheren bij elke verzending, het delen, ontvangen en gebruiken van privégegevens, heeft vandaag de bevindingen bekendgemaakt uit het 2025 Data Security and Compliance Risk: Annual Survey Report. Hieruit blijkt dat defensie-aannemers aanzienlijke governance-uitdagingen ondervinden bij de voorbereiding op de CMMC 2.0-vereisten.

Uit de enquête blijkt dat slechts 56% volledige end-to-end encryptie heeft geïmplementeerd voor alle gevoelige gegevens, en iets meer dan de helft heeft gecentraliseerde governanceprocessen. Deze beveiligingsgaten zijn vooral zorgwekkend voor defensie-aannemers die werken met Controlled Unclassified Information (CUI), omdat CMMC 2.0 uitgebreide governance en beveiligingsmaatregelen vereist in de volledige toeleveringsketen. Opmerking: Hoewel het volledige onderzoek 461 organisaties uit diverse sectoren omvatte, toont de analyse van de 104 organisaties die actief streven naar CMMC 2.0-certificering specifieke uitdagingen voor de defensie-industrie aan.

“De gegevens tonen een fundamentele uitdaging voor defensie-aannemers,” aldus Frank Balonis, CISO en SVP Operations bij Kiteworks. “Zonder de juiste governancecontroles kunnen organisaties niet aantonen dat zij de volledige CUI-bescherming bieden die CMMC vereist. De weg naar naleving begint met inzicht in en controle over je datalandschap.”

Kernproblemen in Governance Bedreigen CMMC-Gereedheid

Het onderzoek identificeert kritieke beveiligingslekken die directe impact hebben op CMMC-naleving:

Onvolledige Beveiligingsfundamenten. Defensie-aannemers die CMMC 2.0 nastreven, ondervinden aanzienlijke uitdagingen bij het implementeren van fundamentele beveiligingsmaatregelen. Onder de 104 CMMC-organisaties die zijn onderzocht, varieert de implementatie van encryptie sterk per organisatiegrootte, waarbij grotere ondernemingen opvallende beveiligingsgaten vertonen. Slechts 38% van de organisaties met meer dan 20.000 werknemers behaalt topniveau encryptie (76-100% dekking), tegenover 59% van de middelgrote bedrijven (5.000-9.999 werknemers).

Het governance tracking-gat laat een sterke afhankelijkheid van handmatige processen zien: Hoewel 95% van de CMMC-organisaties enkele effectiviteitsmetingen bijhoudt, heeft slechts 38% uitgebreide governancecontrole- en volgsystemen ingevoerd. Dit verschil van 57 procentpunten wijst op een brede afhankelijkheid van handmatige workflows, wat de kans op menselijke fouten vergroot, continue monitoring bemoeilijkt en audittrail-uitdagingen creëert die CMMC-beoordelaars eisen. Organisaties zonder governance tracking laten 5 procentpunten hogere percentages lage-encryptie-uitkomsten zien (20% versus 15%), wat hun vermogen om de volledige CUI-bescherming te demonstreren direct beïnvloedt.

Gebrek aan Inzicht in Derdenecosysteem. Organisaties die CMMC nastreven, worstelen met risicobeheer van leveranciers, ondanks dat zij te maken hebben met dezelfde toeleveringsketencomplexiteit als andere sectoren. De 104 CMMC-organisaties tonen bijna identieke leveranciersverdelingen als de algemene populatie, maar naleving door leveranciers is hun op één na grootste uitdaging (score 73 van 100), waarbij 39% dit als topprioriteit noemt—7 procentpunten meer dan niet-CMMC-organisaties.

Kritieke gaten ontstaan in contractuele governance: Slechts 22% van de CMMC-organisaties hanteert contractuele beveiligingsvereisten voor leveranciers, onder het sectorgemiddelde van 27%. Dit vormt een fundamenteel compliance-risico, aangezien defensie-aannemers controle over CUI moeten aantonen binnen hun volledige ecosysteem.

Opkomende AI-Governancecrisis. De uitdaging van nauwkeurige gegevensinventarisatie treft 27% van de CMMC-organisaties, waarmee dit de zesde plaats inneemt van zeven belangrijkste uitdagingen. Dit suggereert dat hoewel de meeste organisaties basiscontroles hebben, de complexiteit van het volgen van AI-gegenereerde content en het correct classificeren van CUI problematisch blijft.

Het gebrek aan meetdiscipline onthult de kern van het probleem: Organisaties die effectiviteitsmetingen bijhouden, laten 6 procentpunten minder ernstige encryptiegaten zien (19% versus 25%), wat aangeeft dat ongemeten AI-gebruik kan leiden tot niet-gedocumenteerde CUI-stromen. Dit is vooral zorgwekkend omdat:

• AI-systemen onbedoeld CUI kunnen verwerken, opslaan of verzenden zonder juiste classificatie
• Generatieve AI-tools CUI kunnen blootstellen via trainingsdata of output
• Organisaties zonder uitgebreide governance tracking kunnen niet aantonen dat zij de continue monitoring van AI-gegevensinteracties uitvoeren die CMMC-beoordelaars eisen

Geografische Spreiding en Gevolgen. De geografische spreiding van CMMC-respondenten (63% Noord-Amerika, 11% Europa, 20% Azië-Pacific, 7% Midden-Oosten/Afrika) benadrukt de concentratie van defensie-toeleveringsketen-activiteiten en laat aanzienlijke regionale verschillen in gereedheid zien. De regionale uitsplitsing toont zorgwekkende voorbereidingsgaten: Europa’s verrassend lage vertegenwoordiging van 11% gezien de NAVO-partnerschappen suggereert mogelijke bewustzijnsgaten, terwijl de 20% deelname uit Azië-Pacific vooral wordt gedreven door technologie- en productiepartners in bondgenotenlanden. De betrokkenheid in het Midden-Oosten blijft beperkt tot 7%, wat de huidige marktdynamiek weerspiegelt. Cruciaal is dat 51% van alle CMMC-respondenten die internationale gegevensstromen beheren, een toegenomen complexiteit rapporteert bij het ontwikkelen van beleid en het implementeren van controles. Dit creëert extra compliance-uitdagingen voor organisaties die actief zijn in meerdere rechtsbevoegdheden waar CUI mogelijk wordt verwerkt of opgeslagen.

“CMMC 2.0-naleving draait niet alleen om het afvinken van lijstjes—het gaat om het aantonen van volwassen, consistente governance binnen je volledige data-ecosysteem,” besluit Balonis. “De gaten die ons onderzoek blootlegt, laten zien dat veel defensie-aannemers nog veel werk te doen hebben. Wie nu actie onderneemt om deze governancegaten te dichten, positioneert zichzelf niet alleen voor compliance, maar ook voor een competitief voordeel binnen de defensie-industrie.”

Lees het CMMC-rapport: Meer dan de helft van de DoD-leveranciers faalt met hun governancecontroles hier.

Over Kiteworks

De missie van Kiteworks is om organisaties in staat te stellen risico’s effectief te beheren bij elke verzending, het delen, ontvangen en gebruik van privégegevens. Het Kiteworks-platform biedt klanten een Private Data Network dat gegevensbeheer, naleving en bescherming levert. Het platform verenigt, volgt, beheert en beveiligt gevoelige gegevens die binnen, naar en uit hun organisatie bewegen, wat het risicobeheer aanzienlijk verbetert en naleving van regelgeving bij alle uitwisselingen van privégegevens waarborgt. Met het hoofdkantoor in Silicon Valley beschermt Kiteworks meer dan 100 miljoen eindgebruikers en meer dan 1.500 wereldwijde ondernemingen en overheidsinstanties.

Perscontact:
David Schutzman
PR Manager
David.schutzman@kiteworks.com