Angesichts des rasanten Aufstiegs von „ “ („Schatten-KI“, ) sowie der zunehmenden Zahl von KI-gestützten Betrugsversuchen und Cyberangriffen ist jetzt (wie beispielsweise gestern) ein entscheidender Zeitpunkt für Unternehmen, der KI-Ausbildung Priorität einzuräumen – und CISOs können dabei eine Vorreiterrolle übernehmen.
Laut einer Umfrage von „ “ ( ), an der ISC2 von mehr als 15 000 ( ) Chief Information Security Officers ( ) sowie weitere Fachleute und Entscheidungsträger im Bereich Cybersicherheit teilnahmen, geben 90 % an, dass sie in ihrem Unternehmen mit Fachkräftemangel konfrontiert sind, wobei mehr als die Hälfte der Befragten der Ansicht ist, dass dieser Mangel ein erhebliches Risiko für ihr Unternehmen darstellt. Welche Qualifikationslücke wurde der internationalen Organisation für Cybersicherheitsschulungen und -zertifizierungen am häufigsten gemeldet? KI.
CISOs spielen eine entscheidende Rolle bei der Sensibilisierung für KI, dem Aufbau von Kompetenzen, der Entwicklung von Schulungsprogrammen sowie der Erstellung von Richtlinien für die sichere Nutzung. Ohne diese Maßnahmen seien theoretische Bedrohungen wie „Shadow AI“ – also Mitarbeiter, die KI-Tools oder -Apps ohne Genehmigung der IT-Abteilung nutzen oder, schlimmer noch, ohne deren Wissen überhaupt – so gut wie vorprogrammiert, sagt Jordan Rae Kelly, Senior Managing Director und Leiter des Bereichs Cybersicherheit für Nord- und Südamerika bei der Unternehmensberatungsfirma FTI Consulting.
„Unternehmen und Mitarbeiter werden einen Weg finden, KI einzusetzen, und wenn sie nicht über diese Technologien informiert oder mit ihnen vertraut sind, wird das Unternehmen die Kontrolle darüber verlieren, wie seine Daten genutzt werden und was es schützen kann“, sagt sie. Beispielsweise könnte ein Mitarbeiter KI-gestützte Analysetools nutzen, um Kundendaten, Verkaufszahlen oder Kundenfeedback auszuwerten, was in allen Fällen ein Risiko für sensible Daten darstellt.
Ein umfassender Überblick über alle Geräte eines Unternehmens ist unerlässlich, um solche Risiken unter Kontrolle zu halten; doch dadurch lastet die gesamte Verantwortung für die Sicherheit des Unternehmens auf den unterbesetzten und überlasteten Sicherheitsabteilungen. Umfassende Sicherheit erfordert Teamarbeit.
Um mit der sich ständig weiterentwickelnden KI-Landschaft Schritt zu halten, müssen CISOs der Weiterbildung auf allen Ebenen Priorität einräumen – innerhalb ihrer eigenen Abteilung, in der Führungsetage sowie im gesamten Unternehmen. Und dies muss vor, während und nach der Entwicklung von KI-Governance- -Richtlinien geschehen. Diese vier Leitlinien sind ein guter Ausgangspunkt.
1. Stimmen Sie sich zunächst auf die geschäftlichen Prioritäten ab, bevor Sie sich mit KI-Richtlinien befassen
Um den Umgang mit KI effektiv zu gestalten, müssen sich CISOs zunächst mit dem Geschäftsmodell des Unternehmens im Bereich KI vertraut machen, so Ali Aqel, Berater für Cybersicherheit und Fachexperte für KI-Sicherheit bei der Personalvermittlungsagentur ALKU.
„Mitarbeiter werden einen Weg finden, KI zu nutzen, und wenn sie nicht über diese Technologien informiert oder mit ihnen vertraut sind, wird das Unternehmen die Kontrolle verlieren.“Jordan Rae Kelly, Senior Managing Director und Leiter des Bereichs Cybersicherheit für Nord- und Südamerika bei FTI Consulting
„Ein CISO muss sich mit dem Unternehmen und den verschiedenen Bereichen der Technologieorganisation zusammensetzen, um zu verstehen, welche Workloads für KI genutzt werden sollen, welche Arten von Diensten zum Einsatz kommen, welche Funktionen diese bieten und welche geschäftlichen und funktionalen Anforderungen für KI erforderlich sind“, sagt er.
Im Zusammenhang mit dem Einsatz von KI umfassen Anwendungs-Workloads die Vorgänge und Aktivitäten, die KI-gesteuerte Anwendungen ausführen müssen – so können die Workloads für Datenverarbeitungs- und -analyseanwendungen beispielsweise Aufgaben wie die Bereinigung, Organisation und Transformation großer Datensätze umfassen, um diese für das Training von KI-Modellen geeignet zu machen. „Sobald sie ein klares Verständnis davon haben“, sagt Aqel, „kann das Sicherheitsteam damit beginnen, alle Anforderungen, Standards, Richtlinien und Prozesse zu erstellen und aufeinander abzustimmen, die mit dieser KI-Anforderung zusammenhängen.“
Durch das Verständnis der Geschäftsmodelle des Unternehmens können CISOs damit beginnen, Schulungs- und Sensibilisierungsprogramme zu entwickeln, die sich auf die relevantesten Bedrohungen und Chancen im Zusammenhang mit KI konzentrieren, sagt er.
[Lesen Sie auch: 4 kritische Führungsprioritäten für CISOs im KI-Zeitalter]
Als zusätzlichen Vorteil können CISOs sich dann an ihre Finanzvorstände und andere Führungskräfte wenden und aufzeigen, wie diese KI-Schulungsprogramme das Umsatzwachstum fördern und/oder Verluste verhindern. „Eine der Fähigkeiten, die in der Branche noch fehlt, ist die Fähigkeit, Cybersicherheit … als geschäftlichen Treiber einzuordnen“, bemerkt Andy Woolnough, Executive Vice President of Corporate Affairs bei ISC2 , in einer aktuellen Folge von „“ des Podcasts „ Solution Spotlight“ . „Sie müssen den Finanzvorstand überzeugen können; so einfach ist das.“
2. Sensibilisierung von Führungskräften durch Gespräche zur Entwicklung von KI-Richtlinien
CISOs spielen eine Schlüsselrolle dabei, die Führungsetage über die Risiken und Vorteile von KI- aufzuklären, und diese entscheidenden Gespräche müssen stattfinden, sobald (oder besser noch, bevor) Unternehmen mit der Ausarbeitung von Richtlinien zur KI beginnen, so Kelly. CISOs sollten diese Diskussionen unter Berücksichtigung einer Reihe von Sicherheitsaspekten vorantreiben.
„[Sicherheitsteams] müssen verstehen, was sie übersetzen, entwickeln und absichern.“Ali Aqel, Berater für Cybersicherheit und Fachexperte für KI-Sicherheit, ALKU
„Sie sollten Themen ansprechen, die für die Informationssicherheit des Unternehmens von Bedeutung sind, wie beispielsweise Datenschutz, geistiges Eigentum sowie die Art und Weise, wie die Ergebnisse von KI-Modellen bewertet und validiert werden“, sagt sie. „Sie sollten sehr konkret darlegen, wie diese Experimente aussehen, und an den Bewertungen von ‚ ‘ in Bezug auf Aspekte wie Voreingenommenheit us und Fairness mitwirken.“
„Es ist von entscheidender Bedeutung, diese Gespräche voranzutreiben, da sie Führungskräften helfen, die Risiken und Vorteile der KI zu verstehen, und letztendlich deren Unterstützung für das KI-Risikomanagement zu gewinnen“, so Aqel.
[Lesen Sie auch: 5 wichtige Ziele als Leitfaden für Cybersicherheitsbudgets im Jahr 2025]
Angesichts der fortschreitenden Entwicklung der KI sollten CISOs die Führungsetage mit über neue Bedrohungen, Chancen und aufkommende Trends auf dem Laufenden halten. Regelmäßige Unterrichtungen oder Berichte können dazu beitragen, die Führungskräfte auf dem Laufenden zu halten.
3. Erwerb von Grundkenntnissen zu den Grundlagen der KI innerhalb des Sicherheitsteams
CISOs müssen sicherstellen, dass ihr Sicherheitsteam über ein grundlegendes Verständnis der Funktionsweise von KI verfügt, so Aqel.
„Sie müssen verstehen, was sie übersetzen, entwickeln und absichern.“ „Sie müssen die verschiedenen Modelle der KI verstehen, wie beispielsweise maschinelles Lernen, Deep Learning, natürliche Sprachverarbeitung sowie spezialisierte Modelle“, sagt er. „Für Sicherheitsmitarbeiter ist es äußerst wichtig, diese Zusammenhänge zu verstehen, da sie wissen müssen, wie sie die Sicherheitsmaßnahmen für diese Modelle nachbilden können.“
Aqel empfiehlt, dass Sicherheitsteams monatlich mindestens vier Stunden in einstündigen Blöcken für die Weiterbildung im Bereich KI aufwenden. Diese Fortbildung könnte in verschiedenen Formaten stattfinden – beispielsweise in geschlossenen Sitzungen, in denen sich Teams intensiv mit einem bestimmten Thema befassen, in Form von formellen Schulungen mithilfe von Ressourcen wie Pluralsight oder in Form von Schulungen bzw. Zertifizierungen durch den KI-Anbieter des Unternehmens. „Es ist wichtig“, fügt Aqel hinzu, „dass Sicherheitsteams über ein eigenes Budget verfügen, um die Schulung der Mitarbeiter in neuen Technologien wie KI zu fördern.“
4. Förderung unternehmensweiter KI-Schulungen
Die Schulung aller Mitarbeiter im sicheren Umgang mit KI schafft Bewusstsein und Verständnis für die spezifischen Risiken, die mit KI-Technologien verbunden sind – von adversarialen Angriffen und Datenvergiftung bis hin zu ethischen Bedenken und der Einhaltung gesetzlicher Vorschriften . Dies hilft dem Unternehmen, seine KI-Systeme besser zu sichern, Daten zu schützen und die Einhaltung der Branchenvorschriften zu gewährleisten.
Zudem trägt dies dazu bei, bei allen Mitarbeitern auf allen Ebenen ein Gefühl der Verbundenheit zu wecken: Jeder ist Teil des Teams , wenn es um den Schutz der Organisation geht.
Die Schwerpunkte im Weiterbildungsprogramm eines Unternehmens variieren je nach Unternehmen, so Kelly. Beispielsweise stützen sich viele KI-Systeme, die für Analysen eingesetzt werden, auf Daten, die häufig sensible oder personenbezogene Informationen enthalten. Die Mitarbeiter sollten darüber geschult werden, wie wichtig der Schutz dieser Daten und die Einhaltung bestimmter Vorschriften sind, um Datenschutzverletzungen und rechtliche Konsequenzen zu vermeiden.
Damit diese Programme erfolgreich sind, sollten sie laut Kelly mit Beispielen angereichert sein, die für die an der Schulung teilnehmenden Mitarbeiter relevant sind. Dazu könnte beispielsweise eine E-Mail gehören, die scheinbar vom CEO des Unternehmens stammt und in der eine dringende Überweisung für ein neues Geschäftsvorhaben angefordert wird. Dabei sollten Mitarbeiter auf mögliche Warnzeichen (verräterische Hinweise wie ungewöhnliche Formulierungen, Unstimmigkeiten beim Absender oder die Abfrage sensibler Informationen) achten, die auf einen Phishing-Versuch vom Typ „ “ ( ), einen „Business Email Compromise“ () () oder andere Formen von Social Engineering ( ) () hindeuten.
„Dies hilft ihnen, wirklich bis ins Detail zu verstehen, wie sich die Entscheidungen bezüglich KI-Risiken konkret auf das Unternehmen auswirken werden“, sagt sie.
