Nederlandse defensiecontractanten willen AI-assistenten inzetten om engineering, offerteschrijven en ketenwerk te versnellen. Die assistenten kunnen ook bij technische tekeningen, specificaties van onderaannemers en programmacorrespondentie komen. Dat materiaal is formeel niet gerubriceerd, maar ligt er vlak onder.
Dat is het probleem. Bijna-gerubriceerde data heeft zelden een eenduidig label, en een AI-assistent vraagt niet of een bestand gevoelig is. Het gaat vaak mis op het moment van verzending. Een bericht of bijlage verlaat dan de organisatie, per e-mail of als groot bestand, zonder dat iemand de inhoud nog controleert.
Dit artikel beschrijft hoe Nederlandse defensiecontractanten AI-toegang tot bijna-gerubriceerde data beheersen. Het behandelt classificatie, rechten, beleidshandhaving en auditbewijs, steeds vanuit de communicatiestroom waarlangs data de organisatie verlaat.
Samenvatting voor het management
Nederlandse defensiecontractanten beheersen AI-toegang door elk verzoek en elke verzending als een beleidsbeslissing te behandelen. Zij classificeren data bij binnenkomst, bepalen wat medewerkers en hun hulpmiddelen mogen doen, handhaven regels op het moment van uitwisseling en bewaren auditbewijs dat zowel security- als compliancemedewerkers kunnen gebruiken.
Dit is belangrijk, omdat de inzet van AI sneller gaat dan de inrichting van governance. Leiders die handhaving op de communicatiestroom plaatsen, verkleinen hun aanvalsoppervlak, korten onderzoeken in en geven auditors bewijs in plaats van beloftes. Bestaande tools voor datadiscovery, cloudconfiguratie en identiteitsbeheer blijven op hun plek en krijgen een aanvullende beveiligingslaag voor e-mail en bestandsoverdracht.
Belangrijkste inzichten
- Bijna-gerubriceerde data heeft classificatie nodig die machines toepassen, geen beleidsdocumenten. Slimme, ML-gebaseerde classificatie signaleert gevoelige inhoud op het moment van verzenden, zodat medewerkers niet hoeven te raden welk beveiligingsniveau nodig is.
- Medewerkers en hun hulpmiddelen mogen nooit meer kunnen verzenden dan hun rol toelaat. Verkeerde-ontvangerdetectie en preventie van datalekken naar privé-e-mail vangen fouten af voordat een bericht de organisatie verlaat.
- Posture-tools vinden risico's, maar handhaving stopt de overdracht. Tools voor DSPM, CSPM en IAM blijven onmisbaar, maar bescherming van gevoelige data tijdens verzending dicht de kloof tussen signaleren en handelen.
- Versleuteling en controle horen vóór de verzending te komen, niet erna. Zero-knowledge AES-256-versleuteling, veilige bestandsoverdracht tot 5TB en intrekking zonder tijdslimiet houden gevoelige bijlagen onder controle van de afzender.
- Auditbewijs moet auditors en security operations tegelijk dienen. Audit logs en rapportage maken zichtbaar wie wat heeft verstuurd, en Bewijs van Aflevering legt de ontvangst juridisch vast.
Waarom AI-assistenten een governancekloof creëren rond bijna-gerubriceerde data
Bijna-gerubriceerde data omvat materiaal dat formeel niet is gerubriceerd, maar een programma toch ernstig kan schaden als het uitlekt. Denk aan technische gegevens met exportbeperkingen, prijsinformatie van onderaannemers, testresultaten en integratietekeningen. Contractanten delen dit dagelijks met hoofdaannemers en toeleveranciers. Een AI-assistent die aan zulke bronnen is gekoppeld, erft het bereik van de gebruiker die hem inschakelt en werkt sneller dan welke controleur ook. Het risico is niet dat AI kwaadwillend is. Het risico is dat niemand heeft bepaald wat de assistent mag lezen, samenvatten of versturen.
Neem een realistisch scenario. Een engineer vraagt een assistent een leveranciersoverzicht samen te stellen, en de assistent haalt daarvoor een map op met een beperkt toegankelijke tekening. Als er op het moment van verzenden geen controle plaatsvindt, verlaat die tekening de organisatie als e-mailbijlage, mogelijk naar een verkeerde ontvanger. Weinig organisaties meten hoe vaak dit gebeurt, dus elk concreet cijfer zou een gok zijn. De blootstelling is wel goed te zien zodra u in kaart brengt langs welke routes data de organisatie kan verlaten. Het aanvalsoppervlak verkleint u door elke route te kennen. Governance moet daarom op de communicatiestroom zitten en niet alleen rond het model.
Data beheersen voordat een AI-assistent erbij komt
Governance begint vóór de assistent. Contractanten die dit goed aanpakken, nemen eerst twee beslissingen: hoe data wordt geclassificeerd en wat gebruikers en hun hulpmiddelen mogen doen. Beide beslissingen moeten door systemen af te dwingen zijn, omdat een beleidsdocument in pdf-vorm geen verzending kan tegenhouden.
Bijna-gerubriceerde data classificeren bij verzending
Zivver gebruikt ML-gebaseerde slimme classificatie om gevoelige inhoud in e-mails en bijlagen te herkennen op het moment dat een medewerker een bericht opstelt of verzendt. Daarnaast kan automatische signalering van gevoelige inhoud (DLP) medewerkers wijzen op berichten die extra bescherming nodig hebben. Zo kiest niemand het beveiligingsniveau op gevoel. Reviewers werken met één consistente beoordeling in plaats van met meerdere, wat handmatige triage beperkt en latere audits eenvoudiger maakt.
Rechten en acties beperken per gebruiker
De medewerker blijft verantwoordelijk voor wat hij verstuurt, ook wanneer een AI-assistent heeft meegeholpen aan de inhoud. Zivver integreert met Microsoft 365, Outlook en Gmail, zodat beveiliging werkt in de omgeving waarin mensen al werken. Verkeerde-ontvangerdetectie waarschuwt als een adres niet past bij eerdere communicatie. Preventie van BCC-fouten en bescherming tegen datalekken naar privé-e-mailadressen beperken bovendien de schade van een vergissing. Het praktische gevolg is een kleinere impact bij iedere fout, hoe snel het werk ook gaat.
Waar posture-tools ophouden en Zivver begint
DSPM ontdekt en classificeert gevoelige data die is opgeslagen. CSPM controleert de cloudconfiguratie. IAM stelt vast wie een persoon of dienst is, en zero trust vraagt om voortdurende verificatie. Elk van deze maatregelen is noodzakelijk. Geen van hen bepaalt wat er gebeurt wanneer een bericht of bestand daadwerkelijk onderweg is naar een partner of een mailbox. Posture meldt een bevinding, maar houdt de overdracht niet tegen.
Zivver vult die leemte aan als complementaire laag, niet als vervanging. De oplossing richt zich op beveiligde e-mailcommunicatie, het voorkomen van menselijke fouten, e-mailcompliance en bescherming van uitgaande data, aangevuld met bescherming tegen inkomende bedreigingen. Zivver sluit aan op Microsoft 365, Outlook en Gmail en past versleuteling en controles toe op het moment van uitwisseling
