So finden CISOs den Weg in eine Zukunft mit KI IT-Sicherheit und KI am Scheideweg

Anbieter zum Thema

Zscaler Inc.

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FAST LTA GmbH

Während KI einerseits mehr Effizienz verspricht, wirft sie andererseits auch Fragen zur IT-Sicherheit und Ethik auf. Diese Ambivalenz darf Unternehmen nicht von der Nutzung abhalten. Eine völlige Blockade behindert Innovation und benachteiligt sowohl im Hinblick auf den Schutz vor Angreifern als auch auf die eigene Wettbewerbsfähigkeit.

In diesem Zwiespalt zwischen positiven und negativen Aspekten der KI-Nutzung ist es für CISOs wichtig, eine lenkende Rolle einzunehmen, die sicher durch Pro und Kontra navigiert. Für jeden IT-Sicherheitsverantwortlichen ist es entscheidend, KI und ihre Risiken zu verstehen, die Implementierung vorausblickend zu managen und damit die Vorteile zu nutzen, ohne dabei das Unternehmen zu gefährden.

Letztendlich muss die KI als ein weiterer Schritt einer technologischen Evolution betrachtet werden, mit dem CISOs lernen müssen umzugehen. Die gleichen Unsicherheiten gingen mit Bring Your Own Device (BYOD) und der Cloud einher, zwei Technologien, die heute zum Alltag in jedem Unternehmen zählen. Es ist zu erwarten, dass die KI in absehbarer Zukunft ähnlich allgegenwärtig werden wird. Dementsprechend sollten CISOs vorbereitet sein und die Einführung von KI proaktiv angehen, und sie sollten auch lernen, diese Technologie zu administrieren und zu steuern.

Entmystifizierung, Risikoverständnis und Regulierungsdurchblick

Eine strategische Vorgehensweise, die nicht von Angst, Unsicherheit und Zweifeln geprägt ist, hilft. Die folgenden drei Aspekte eignen sich, um sich dem Umgang mit der KI anzunähern: Entmystifizierung der KI, Verständnis für die damit einhergehenden Risiken zu entwickeln und Regularien zu beachten.

1. KI den Schrecken nehmen

Bei der Entmystifizierung der künstlichen Intelligenz hilft ein Innehalten, Lernen und Annehmen der neuen Gegebenheiten, um die Grundlagen zu begreifen. KI umfasst verschiedene Techniken, wie maschinelles Lernen, Natural Language Processing und Visionen für Einsatzmöglichkeiten. Alle Bereiche sind mit eigenen Risiken verbunden. Erst wenn die spezifischen Anwendungsbereiche definiert sind, können auch die damit einhergehenden Sicherheitsrisiken eruiert werden.

2. Typische Risiken verstehen

Best Practises aus der Industrie helfen bei der Identifikation von Risiken. Für KI sind die OWASP AI/ML Top 10 ein guter Start. Dieses Rahmenwerk hilft bei der Identifikation der zehn häufigsten Risiken im Zusammenhang mit künstlicher Intelligenz. Damit kann ein Verständnis für die Angriffsflächen entwickelt werden und eine Priorisierung von Abwehrstrategien erfolgen gegen beispielsweise Data Poisoning (der Manipulation von Daten zur Verfälschung von Ergebnissen), Model Inversion (Abfließen sensibler Informationen aus dem KI-Modell) und Datenschutzverletzungen. Ein solches Rahmenwerk kann als Blueprint agieren und kann auch auf der Vorstandsebene Überzeugungshilfe leisten, um den Fortschritt der gewählten Aktivitäten zu dokumentieren.

3. Regularien berücksichtigen

Rechtliche Vorgaben rund um die KI entwickeln sich rasant. Gesetzentwürfe wie der AI Act für die EU und auch die US Executive Order für AI müssen auf Relevanz für das eigene Unternehmen geprüft werden, da sie sich mit speziellen Auflagen hinsichtlich der Datenerfassung, Transparenz und auch der Rechenschaftspflicht im Zusammenhang mit KI befassen. Organisationen, wie das National Institute of Standards and Technology (NIST) bieten Hilfestellung bei der Entwicklung und der Umsetzung von vertrauenswürdigen KI-Anwendungen. Das Rahmenwerk des NIST AI Risk Management Framework (RMF) enthält Empfehlungen für die Implementierung. Die Sicherheit für KI sollte dabei nicht nachgelagert betrachtet werden, sondern in die übergeordnete Sicherheitsstrategie eingebunden werden. Auch für diesen Bereich gilt, dass die Belegschaft über die potenziellen Risiken der KI und auch die Rolle des Einzelnen bei der Risikoeingrenzung aufgeklärt werden muss.

Fünf Schritte zur Risikominimierung

Auch wenn es noch in weiter Zukunft liegt, dass Artificial General Intelligence (AGI) in der Lage ist, jede intellektuelle Aufgabe zu verstehen und zu erlernen, ist es ist wichtig, sich schon heute damit zu befassen. CISOs sollten die folgenden Punkte in ihrer Strategie zur Risikomitigierung von KI und vorausblickend von AGI berücksichtigen:

• 1. Transparenz und Nachvollziehbarkeit: Von KI-Entwicklern und -Anbietern ist Transparenz gefragt, um zu verstehen, wie die Anwendungen funktionieren und welche Überlegungen hinter den künstlichen Entscheidungsprozessen stehen. So können potenzielle Verzerrungen der Ergebnisse und Schwachstellen erkannt werden.

• 2. Menschliche Aufsicht und Kontrolle: KI-Systeme sollten nicht autonom arbeiten. Robuste menschliche Kontrollmechanismen sind zur Überwachung erforderlich, die bei Bedarf auch ein Eingreifen ermöglichen. Dies wird auch als HITL (Human in the Loop) bezeichnet und ist nicht neu oder einzigartig für die KI. Alles, was aus einem System kommt, muss überprüft werden. Es gilt der Leitsatz „Trust but verify”. Alle generierten Daten gehören auf Genauigkeit und Vollständigkeit geprüft, bevor sie weitergegeben werden. Durch einen solchen Schritt können Vorurteile, die aus der Eingabeaufforderung entstehen, sowie „Halluzinationen”, bei der sich die KI Dinge ausdenkt, wenn sie auf eine Benutzeraufforderung antwortet, erkannt werden.

• 3. Kontinuierliche Überwachung von Bedrohungen: Oberstes Prinzip ist die Wachsamkeit. KI-Systeme benötigen regelmäßige Überprüfungen auf Schwachstellen. Es gilt, vorhandene Sicherheitsmaßnahmen an die sich verändernde Bedrohungslandschaft anzupassen. Der CISO sollte in die gesamte Entwicklungs- und Testphase einbezogen werden und reaktionsbereit sein, um Veränderungen einzubringen.

• 4. Zusammenarbeit und Kommunikation: CISOs sollten einen offenen Dialog mit allen Stakeholdern wie Entwicklern, Rechtsabteilungen und Führungskräften führen. Dabei sollten sie sowohl Bedenken einbringen als auch gemeinsam erarbeitete Strategien für ein umfassendes Risikomanagement. Allianzen mit anderen Organisationen helfen dabei, Best Practises im Umgang mit der KI zu erarbeiten. Dazu gehört auch die Bereitschaft, eigene Vorgehensweisen mit der Community auszutauschen.

• 5. Investitionen in Sicherheitsforschung: Derzeit bilden sich verschiedenste Brancheninitiativen heraus, um gemeinsam Sicherheitslösungen für KI zu erarbeiten. CISOs sollten sich an diesen Initiativen beteiligen und beispielsweise mit akademischen Einrichtungen zusammenarbeiten, um die Entwicklung wirksamer Schutzmaßnahmen zu beschleunigen. Dabei sollte man sich vor Augen halten, dass es nicht um ein Abwägen zwischen KI und Sicherheit geht, sondern vielmehr um die sichere Nutzung der KI. Wie viel besser könnte die Industrie in der Gesamtheit vorbereitet sein, wenn Sicherheitsanalysten KI zur Hilfe nehmen und damit in die Lage versetzt werden, Cyberkriminelle zu bekämpfen, die ebenfalls KI einsetzen.

Fazit

Mit einem proaktiven, informierten Ansatz können CISOs durch die neue Welt der KI navigieren und gleichzeitig ihre Risiken effektiv managen. KI sollte als leistungsstarkes Werkzeug betrachtet werden. CISOs sollten in die Pflicht genommen werden für deren sichere und ethische Implementierung. Durch Wissensaufbau, Zusammenarbeit und Engagement für kontinuierliche Verbesserung können CISOs den Weg in eine Zukunft weisen, in der KI den Fortschritt fördert, ohne die Sicherheit zu gefährden.

Über den Autor: Benjamin Corll ist CISO in Residence bei Zscaler.

(ID:49998564)