Jeder weiß, dass CISOs in ihren komfortablen Büros eigentlich gar nicht so hart arbeiten. Ach was, sie verhindern doch nur die Einhaltung von Vorschriften , wehren kostspielige Cyberangriffe ab, schützen Mitarbeiter vor böswilligen Phishing-E-Mails – und jetzt weichen sie sogar den Bundesbehörden aus – Sie wissen schon, nur die kleinen Dinge, die zum Schutz der Informationsressourcen eines Unternehmens notwendig sind.
Das war natürlich nur ein Scherz.
Tatsächlich führen die zunehmende Verbreitung und der Wandel in Unternehmen durch künstliche Intelligenz (KI) – wie beispielsweise , und – sowie generative KI – wie – dazu, dass die Leiter der Informationssicherheit (Chief Information Security Officers) – siehe und – ihre ohnehin schon überfüllten Arbeitspläne um weitere Aufgaben ergänzen müssen. Sie lernen, wie sie die Sicherheitsherausforderungen bewältigen können, die die KI mit sich bringt, wie sie deren Chancen nutzen und sich an neue Arbeitsweisen anpassen können – all dies erfordert in diesem rasanten und sich ständig wandelnden Zeitalter der KI neue Prioritäten in der Führung.
„Die KI ist mittlerweile so weit ausgereift, dass sie in jedem Bereich unseres Lebens präsent ist“, sagt Candy Alexander, CISO und Leiterin des Bereichs Cyberrisiken beim Technologieberatungsunternehmen NeuEon. „Und obwohl die Auswirkungen für Unternehmen größtenteils positiv waren, stellt dies zugleich eine größere Herausforderung dar, insbesondere für CISOs.“ „Sie müssen sicherstellen, dass sie angemessene Rahmenbedingungen für den Einsatz von KI und maschinellem Lernen festlegen, ohne dabei jedoch Kreativität und Innovation zu unterdrücken – und das ist eine große Herausforderung.“
Um mit dem Wandel Schritt zu halten und eine widerstandsfähige Organisation im Sinne des „ “ zu gewährleisten, müssen CISOs neuen Führungsstrategien Priorität einräumen – sowohl innerhalb ihrer eigenen Teams als auch unternehmensweit. Diese vier Schwerpunkte sind ein guter Ausgangspunkt.
1. Die Führungsspitze beraten
Da Unternehmen bestrebt sind, KI effektiv einzuführen, können CISOs eine wichtige Rolle dabei spielen, die Führungsetage in einer Vielzahl von Fragen zu beraten, angefangen bei der Prüfung von KI-Anwendungsfällen, so Alexander. „Es handelt sich hierbei um Gespräche mit Fachleuten aus den Bereichen Technik, Sicherheit und Wirtschaft.“ „Man kann nicht einfach in den KI-Bereich einsteigen, ohne wirklich zu verstehen, was man eigentlich erreichen möchte und wie man dabei vorgehen will“, sagt sie. „Möchten Sie Ihr Kundenerlebnis verbessern? Großartig. „Auf dieser Grundlage können Sie das Annäherungsprogramm entwickeln, verfügen aber gleichzeitig von Anfang an über entsprechende Schutzmaßnahmen.“
“Man kann nicht einfach in den KI-Bereich einsteigen, ohne wirklich zu verstehen, was man eigentlich erreichen möchte und wie man dabei vorgehen will.“Candy Alexander, CISO und Leiterin des Bereichs Cyberrisiken bei NeuEon
CISOs sollten zudem die Diskussion über „ “-Daten und KI- anführen, so Jordan Rae Kelly, Senior Managing Director und Leiter des Bereichs Cybersicherheit für Nord- und Südamerika bei der Unternehmensberatungsfirma FTI Consulting. „Der CISO muss Diskussionen darüber anstoßen, wo Daten gespeichert werden, wie sie erfasst werden und welche Gesetze durch die Nutzung dieser Daten betroffen sind“, sagt sie. „Früher mussten CISOs lediglich die geschäftlichen Anforderungen an die Daten verstehen, doch heute müssen sie sowohl die geschäftlichen Anforderungen als auch die damit verbundenen Auswirkungen verstehen.“
Ebenso sollten CISOs in die Diskussionen rund um die „ “-Governance einbezogen werden, fügt Alexander hinzu. „Die KI macht die Notwendigkeit einer Datenverwaltung wirklich deutlich“, sagt sie. „Wem gehören die Daten? Wer nutzt die Daten? Wer sollte Zugriff darauf haben? Wie wird sich der Datenlebenszyklus weiterentwickeln und verändern? Wie werden Sie diese Daten schützen? „Das sind alles Gespräche, an denen CISOs teilnehmen müssen.“
2. Legen Sie den Schwerpunkt auf organisatorische Kompetenz
Unternehmen setzen KI auf vielfältige Weise ein – vom Verfassen von Marketingtexten bis hin zur Entwicklung von Code –, doch diese Anwendungsfälle werden aus Unternehmenssicht nicht immer als solche erkannt, warnt Alexander. Mitarbeiter sind sich beispielsweise möglicherweise nicht bewusst, dass die unbefugte Nutzung von KI sensible Unternehmensdaten gefährden kann. „Ohne Sicherheitsvorkehrungen könnte es vorkommen, dass Personen vertrauliche Informationen in ein generatives KI-Tool eingeben, die dann in das Sprachtrainingsmodell einfließen.“ „Das ist absolut erschreckend.“
„Früher mussten “CISOs lediglich die geschäftlichen Anforderungen an die Daten verstehen, doch heute müssen sie sowohl die geschäftlichen Anforderungen als auch die damit verbundenen Auswirkungen verstehen.“Jordan Rae Kelly, Senior Managing Director und Leiter des Bereichs Cybersicherheit für Nord- und Südamerika bei FTI Consulting
CISOs sollten KI wie jedes andere Programm zur Sensibilisierung für „ “ behandeln und sicherstellen, dass alle Mitarbeiter über ein grundlegendes Verständnis davon verfügen, was KI ist und in welchem Zusammenhang sie mit ihrer jeweiligen Rolle steht. „Man muss in der Lage sein, alle Mitarbeiter des Unternehmens über das Konzept der KI aufzuklären und [sicherzustellen, dass sie] stets auf dem neuesten Stand bleiben“, sagt Gatha Sadhir, globale CISO bei der Carnival Corporation, in einem Interview „ “ mit dem SANS Institute.
CISOs sollten den Schwerpunkt dieser unternehmensweiten Sensibilisierungsmaßnahmen auf folgende Aspekte legen: den Einsatz von KI in verschiedenen Geschäftsprozessen, die ethischen Implikationen von KI, die Richtlinien des Unternehmens zum verantwortungsvollen Umgang mit KI sowie die potenziellen Sicherheitsbedrohungen und bewährte Verfahren zu deren Eindämmung.
Als Orientierungshilfe zur Förderung der KI-Kompetenz in Unternehmen empfiehlt Alexander, die Ressourcen von Branchenverbänden zu konsultieren, wie beispielsweise die „ “, die „Cloud Security Alliance“ (CSA) und sowie das „Open Web Application Security Project“.
3. Legen Sie den Schwerpunkt auf Aus- und Weiterbildung in Sicherheitsteams
Eine große Herausforderung für Sicherheitsorganisationen besteht darin, sowohl über breites als auch über tiefgreifendes Wissen in Bereichen wie der KI zu verfügen, die sich rasch weiterentwickeln, so Kelly.
„CISOs haben eine wirklich schwierige Aufgabe: Sie müssen ein Team leiten, das wahrscheinlich ohnehin schon überlastet und überfordert ist und für ein breites Spektrum an Themen verantwortlich ist – und nun ändern sich diese Themen rasch, da sich die KI so schnell weiterentwickelt“, sagt sie. „Es besteht ein großer Druck, die Teams zu schulen und sicherzustellen, dass sie in Bezug auf die Themen auf dem neuesten Stand sind, damit die nächste Weiterentwicklung eines Toolkits sie nicht in Schwierigkeiten bringt.“
Tatsächlich geht aus einem Bericht der CSA mit dem Titel „ 2024 “ ( ) hervor, dass Führungskräfte der obersten Ebene eine deutlich höhere (52 %) selbst eingeschätzte Vertrautheit mit KI-Technologien aufweisen als ihre Mitarbeiter (11 %). „Dies widerspricht der gängigen Meinung, die wir über Sicherheitsverantwortliche und KI hören, sowie der Annahme, dass ‚alle Angst haben‘“, sagte Caleb Sima, Vorsitzender der KI-Sicherheitsallianz der CSA, kürzlich in einem Interview mit VentureBeat unter dem Titel „ “ ( ). Die Umfrage widerlegt die Vorstellung, dass jeder junge Mitarbeiter allein aufgrund seines Alters irgendwie mit den neuesten Entwicklungen im Bereich der KI vertraut sei und dass „jeder CISO Nein zur KI sagt, da sie ein enormes Sicherheitsrisiko und ein riesiges Problem darstelle“, so Sima. Wenn überhaupt, dann ist dies eine gute Erinnerung daran, dass unternehmensweite Sensibilisierungsstrategien (wie oben erläutert) konkrete Schulungsmaßnahmen für IT-Abteilungen umfassen müssen.
Auch wenn die Teams möglicherweise bereits bis an ihre Grenzen ausgelastet sind, ist es laut Alexander wichtig, dass CISOs bewusst Zeit in den Zeitplänen ihrer Teams für gezielte Schulungen im Bereich KI einplanen. Im Rahmen dieser Schulung sollten die neuesten KI-Tools und -Technologien, deren Auswirkungen auf die Cybersicherheit und die spezifischen Aufgaben der Teammitglieder sowie neu auftretende Bedrohungen im Vordergrund stehen.
4. Schaffen Sie eine Kultur der Neugier
„Es ist zwar wichtig, dass CISOs der KI-Schulung ihrer Teams Priorität einräumen, doch ebenso wichtig ist es, ihre Teams dazu zu ermutigen, mit KI zu experimentieren“, erklärt Sadhir gegenüber dem SANS Institute.
“Führungskräfte müssen von hinten führen, nicht von vorne. Man muss Denker denken lassen. Viele Ideen stammen von den Teammitgliedern selbst.”Gatha Sadhir, globaler CISO der Carnival Corporation
„Man muss eine Kultur des Lernens und der Innovation pflegen“, sagt sie. „Im Bereich der KI müssen Führungskräfte von hinten führen, nicht von vorne.“ Man muss Denker denken lassen. Tatsächlich stammen viele Ideen von den Teammitgliedern selbst. „Man muss ihnen die Möglichkeit geben, dies zu fördern, damit sie die richtigen Lösungen für die Zukunft finden können.“
Sicherheitsteams dazu zu ermutigen, mit KI zu experimentieren, bringt eine Reihe von Vorteilen mit sich. Dies motiviert diese Teams dazu, neue KI-Technologien und -Methoden zu erforschen, was zu neuen Lösungen für komplexe Sicherheitsherausforderungen führen kann. Zudem fördert es die kontinuierliche Weiterentwicklung von Kompetenzen, regt Teams zur Zusammenarbeit und zum Austausch von Erkenntnissen an und hilft Sicherheitsteams letztendlich dabei, zu verstehen, wie KI die übergeordneten Unternehmensziele und -strategien unterstützen und mit diesen in Einklang bringen kann. Dies kann zudem die allgemeine Mitarbeitererfahrung eines Arbeitnehmers positiv beeinflussen – ein Aspekt, dem CISOs und Führungskräfte in Unternehmen auf dem heutigen, von hohem Druck geprägten Arbeitsmarkt zunehmend mehr Aufmerksamkeit schenken.
Da sich CISOs in der sich wandelnden KI-Landschaft zurechtfinden müssen, ist es wichtig, dass sie eine Führungsrolle bei der KI-Strategie des Unternehmens übernehmen, so Kelly. „[CISOs] sind längst keine Hinterzimmer-Tätigkeit mehr“, sagt sie. „Sie müssen eine umfassende Führungsrolle übernehmen und in der Lage sein, innerhalb einer Organisation zu agieren, um die Entwicklungen des Unternehmens zu antizipieren und Entscheidungen über strategische Investitionen in KI zu treffen.“
