Für Start-ups in den Bereichen (KI) und (Deep Tech) gab es im vergangenen Monat gute Nachrichten, als Barclays die Eröffnung eines neuen „Innovation Hub“ in London ankündigte – eines Accelerator-Programms für Technologieunternehmen, das von Barclays Eagle Labs, dem Inkubator-Ökosystem der Bank, unterstützt wird und in Zusammenarbeit mit einer Reihe von Technologiegiganten, darunter Microsoft und Nvidia, ins Leben gerufen wurde.
Als führendes Finanzinstitut Großbritanniens ist Barclays daran gewöhnt, diese einflussreiche und zugleich heikle Position einzunehmen: Das Unternehmen finanziert Innovationen in umstrittenen neuen Branchen wie der KI und behält gleichzeitig seine Rolle als Risikoberater für Unternehmen in ganz Großbritannien und weltweit bei. Und CISO Andy Piper spielt bei diesem risikoreichen Balanceakt eine Schlüsselrolle.
Als Chief Information Security Officer (CISO) bei Barclays im Bereich „ “ ist er daran beteiligt, die KI- und Automatisierungslösungen zu identifizieren und zu überwachen, die die Bank tatsächlich einsetzt. Das bedeutet, Systeme und Protokolle für die Bankfilialen von „ “ in über 40 Ländern einzurichten und gegenüber mehr als 74 Aufsichtsbehörden Rechenschaft abzulegen.
Gewiss, die Finanzdienstleistungsbranche nutzt den algorithmischen Handel bereits seit über einem Jahrzehnt, sodass sie sich mit KI einigermaßen vertraut und erfahren ist – solange diese sicher, transparent und gut reguliert ist, wie Piper anmerkt. Dennoch hat seine Begeisterung ihre Grenzen. Insbesondere macht er sich Gedanken darüber, wie die künstliche Intelligenz die Landschaft der Cybersicherheit auf ganz eigene und einschneidende Weise verändert.
Piper gehört zu den 23 herausragenden Führungskräften aus den Bereichen IT und Sicherheit, die in dem neuen Online-Bericht „ “ „The Interconnection of People, Process and Technology“ ihre praktischen Erfahrungen und Sichtweisen teilen. Der Bericht basiert auf ausführlichen Interviews mit diesen Führungskräften aus der gesamten Branche weltweit.
Im folgenden Auszug – sowie in weiteren, die in den nächsten Wochen folgen werden – gibt Ihnen „ “-Ansprechpartner einen Vorgeschmack auf das hochkarätige Fachwissen, das Sie in diesem Buch finden werden. Das Buch wurde von „Chief Disruptor“, einer in Großbritannien ansässigen Mitglieder-Community für Innovatoren aus Wirtschaft und Technologie, in Zusammenarbeit mit Tanium, einem führenden Anbieter von Cybersicherheitslösungen und autonomem Endpunktmanagement (sowie Herausgeber dieses Magazins), erstellt.
(Dieses Interview wurde aus Platzgründen und zur besseren Verständlichkeit gekürzt.)
ANDY PIPER. . .
Zu den wichtigsten Kompetenzen, über die ein CISO in der heutigen Zeit verfügen muss, in der sich die technologischen Fortschritte – KI, Automatisierung, Quantentechnologie usw. – rasant entwickeln:
Die Fähigkeit, die ich als besonders nützlich erachte, ist die Fähigkeit, gut zu kommunizieren, da ein wesentlicher Aspekt meiner Tätigkeit darin besteht, mit Aufsichtsbehörden oder Vorständen zu sprechen – insbesondere wenn diese keine Technikexperten sind.
“Sie verstehen nicht unbedingt den äußerst fachspezifischen Cyber-Jargon, und das müssen sie auch gar nicht. Vorstände legen Wert darauf, wie sich Cybersicherheit auf strategische Ziele, Risiken und den Geschäftsbetrieb auswirkt.”
Für einen CISO ist es unerlässlich, komplexe Themen der Cybersicherheit gegenüber nicht-technischen Entscheidungsträgern in einer für diese verständlichen Sprache erläutern zu können. Sie verstehen nicht unbedingt die äußerst detaillierte Fachsprache im Bereich „ “, und das müssen sie auch gar nicht. Vorstände legen Wert darauf, wie sich die Cybersicherheit auf strategische Ziele, Risiken und den Geschäftsbetrieb auswirkt. Meine Aufgabe besteht darin, [das Risiko] zu erläutern und es mit den Prioritäten des Kunden abzugleichen.
Zu den Auswirkungen von Compliance-Vorschriften auf Finanzdienstleistungen:
Eine meiner wichtigsten Aufgaben im Alltag ist der Umgang mit Aufsichtsbehörden – nach letzter Zählung sind es über 74 . Jede davon hat einzigartige Anforderungen an die Cybersicherheit, von denen sich einige überschneiden und andere im Widerspruch zueinander stehen. Die Verwaltung und die Einhaltung aller Vorschriften ist eine Vollzeitbeschäftigung. Selbst die Meldung von Vorfällen ist unterschiedlich geregelt: Einige Aufsichtsbehörden erwarten eine Meldung innerhalb von Minuten, andere innerhalb von Stunden und wieder andere erst dann, wenn es neue wesentliche Informationen gibt.
„“Wenn eine Aufsichtsbehörde ein Weißbuch vorschlägt, das vielleicht eines Tages zu einer Verordnung wird, stellen wir sicher, dass wir es verstehen, und lenken es hoffentlich in eine Richtung, die für uns von Nutzen ist.“
Wir verfügen über Verfahren zur Zukunftsbeobachtung, mit denen wir vorausschauend prüfen, wann sich diese Vorschriften ändern könnten. Wir fragen: Worin besteht die Veränderung? Und wie passen wir unsere Technologie an, um dieser Entwicklung einen Schritt voraus zu sein? Wenn eine Aufsichtsbehörde ein Weißbuch vorlegt, das vielleicht eines Tages zu einer Verordnung wird, stellen wir sicher, dass wir es verstehen, und versuchen hoffentlich, es in eine Richtung zu lenken, die für uns von Nutzen ist. Außerdem sind wir verpflichtet, uns vierteljährlich, halbjährlich oder jährlich mit den Aufsichtsbehörden zu treffen. Eine effektive Kommunikation mit den Aufsichtsbehörden ist an sich schon eine Schlüsselkompetenz. Auch hier geht es darum, technische Gegebenheiten in verständliche und präzise Darstellungen zu übersetzen.
Regulierung ist eine enorme, enorme – ich hätte fast gesagt: Belastung. Das ist keine Belastung. Es ist … es ist eine Herausforderung, etwas, das wir bewältigen müssen, und wenn wir es nicht richtig angehen, könnte dies erhebliche Auswirkungen auf das Unternehmen haben.
Zum Problem mit KI-Chatbots:
Die Nutzung generativer KI- n hat explosionsartig zugenommen, und dieses Tempo führt zu einer Kluft, die wir alle nun aufzuholen versuchen. Es ist mittlerweile in allem enthalten. Fast jeder Anbieter, mit dem ich spreche, sagt: „Hey, wir haben einen neuen KI-Chatbot namens ‚ ‘.“ In vielen Fällen stellt das für mich ein Problem dar. Häufig müssen wir Tools von Drittanbietern, die KI nutzen, deaktivieren, da wir deren Sicherheitsstatus nicht überprüfen können, was in direktem Zusammenhang mit der Einhaltung von Vorschriften steht. Die Geschwindigkeit stellt also derzeit eine erhebliche Herausforderung dar.
“„Ich möchte, dass mein Team als Wegbereiter und nicht als Hemmnis angesehen wird.“
Dann gibt es noch zwei Aspekte: Da ist zum einen die Frage: „Wie lässt sich KI absichern?“ und „Wie setzen Sie KI ein, um andere Dinge zu sichern?“ Wir stellen kritische Fragen: Wohin gelangen die Eingaben der Nutzer, werden sie gespeichert, werden sie zum Trainieren von Modellen verwendet, und können wir den Ergebnissen vertrauen? Wir möchten nicht, dass sensible Daten wie personenbezogene Daten (PII) oder [geschützte Markendaten] in Tools gelangen, die wir nicht vollständig kontrollieren oder prüfen können. Umgekehrt hilft uns die KI dabei, Milliarden von täglichen Sicherheitsereignissen zu sichten, um echte Bedrohungen zu identifizieren, und unterstreicht damit den operativen Nutzen der Automatisierung.
Ebenso sind aus Sicht der Bedrohungslage viele der Aspekte, auf die wir unsere Mitarbeiter geschult haben, nicht mehr vorhanden. Die von einer KI generierte Phishing-E-Mail „ “ ( ) ist nahezu perfekt – sowohl hinsichtlich der Grammatik als auch des Tons und des Aufbaus. Dadurch werden herkömmliche Schulungen zum Thema E-Mail-Bedrohungen überflüssig. Das sogenannte „Model Poisoning“ stellt eine weitere reale Bedrohung dar, bei der böswillige Akteure das Verhalten von KI-Systemen beeinflussen.
Zur Verbesserung des Ansehens von Sicherheitsteams:
Mein Ziel ist es, die Wahrnehmung von Sicherheit neu zu definieren und mich von der alten Vorstellung des CISO als „dem Haus des Nein“ zu lösen. Ich möchte, dass mein Team als Wegbereiter und nicht als Hemmnis angesehen wird. Das bedeutet, partnerschaftlich mit dem Unternehmen zusammenzuarbeiten, unsere Ziele und Strategien aufeinander abzustimmen. Die Standardantwort gegenüber dem Unternehmen sollte lauten: „Ja, sofern die entsprechenden Kontrollmechanismen vorhanden sind.“
WEITERE INFORMATIONEN:
Lesen Sie die Erkenntnisse von 22 weiteren IT- und Sicherheitsverantwortlichen bei WPP, Spotify, Unilever, NHS Digital und anderen Organisationen in „“ „The Interconnection of People, Process and Technology“.
