Folge 23: Von TikTok bis KI-Regulierung – Wie die US-Cyberpolitik Unternehmen leiten kann

Zusammenfassung

Als weltbekannter Wissenschaftler und einer der Architekten der nationalen US-Cybersicherheitspolitik berät Richard J. Harknett regelmäßig Regierungsverantwortliche im In- und Ausland zu den Cyber-Bedrohungen, denen Nationen höchste Priorität einräumen sollten. In unserer vorherigen Episode erläuterte er den heutigen proaktiven Ansatz zur Cybersicherheit und wie Unternehmen davon profitieren können.

Dieses Gespräch wird hier mit konkreten Ratschlägen für Unternehmensführer zu einigen der derzeit drängendsten Cyber-Bedrohungen fortgesetzt. Im Folgenden gibt es offene Worte darüber, worauf Marken wirklich achten müssen – und welche Themen weniger besorgniserregend sind, als sie vielleicht denken. Seine Perspektive auf die aktuellen Cyber-Schlagzeilen könnte Sie überraschen.

Moderator: Mike Curran, VP of Global Talent, Tanium Gast: Richard J. Harknett, Direktor des Center for Cyber Strategy and Policy und Co-Direktor des Ohio Cyber Range Institute, University of Cincinnati

Shownotes

Weitere Informationen zur US-Cybersicherheitspolitik und dazu, wie autonomes Endpoint-Management Sie aktiv statt reaktiv hält, finden Sie in unseren Artikeln in Focal Point, Taniums preisgekröntem Online-Cyber-Nachrichtenmagazin, sowie in diesen weiteren nützlichen Ressourcen.

• Was Unternehmen über die neue US-Cybersicherheitsstrategie wissen müssen | Focal Point
• Was viele über Persistent Engagement falsch verstehen und warum es für Unternehmen wichtig ist | Focal Point
• Die Warnungen des Surgeon General zu sozialen Medien entfachen Kontroversen – und eine Chance für Unternehmensführer | Focal Point
• Wie man sich auf den KI-Act der EU vorbereitet: Beginnen Sie mit Ihrer Risikostufe | Focal Point
• Wie Automatisierung und KI Ihre Software-Lieferkette schützen | Focal Point
• Diese Tipps aus dem Cybersicherheitsmonat sind zu jeder Jahreszeit wertvoll | Tanium
• Die nächste Entwicklungsstufe des Endpunkt-Managements ist autonom | Tanium
• Die Vorteile des kontinuierlichen Endpunkt-Managements (und wie es sich von Antivirensoftware unterscheidet) | Tanium
• Einführung von Tanium Automate: Einfach zu erstellende Orchestrierung und Automatisierung in großem Maßstab | Tanium

Das folgende Interview wurde zur besseren Verständlichkeit bearbeitet.

"Die meisten Amerikaner haben nichts dagegen, Ziel von Werbung zu sein, oder? Aber wir möchten weder manipuliert noch kontrolliert werden. Im Cyberspace gibt es eine sehr feine Linie, Mike, zwischen dem Empfangen von Werbung, dem Manipuliertwerden und dem Kontrolliertwerden."

Richard J. Harknett, Direktor des Center for Cyber Strategy and Policy und Co-Direktor des Ohio Cyber Range Institute, Universität Cincinnati

Mike Curran: Hallo, ich bin Mike Curran, VP of Global Talent bei Tanium, und heute sprechen wir in Let's Converge über das Thema „Ihr Unternehmen vorausschauend verteidigen".

Dies ist der zweite Teil unseres zweiteiligen Gesprächs mit Richard Harknett, der an der Entwicklung der nationalen Cybersicherheitsstrategie der USA mitgewirkt hat.

Unsere nationale Cyber-Politik des „Defending Forward" folgt der Doktrin des dauerhaften Engagements – eine proaktive Haltung, die nicht nur für Nationalstaaten gilt. Auch Unternehmen können beständig und proaktiv vorgehen.

In unserer ersten Episode haben Richard und ich besprochen, wie Unternehmen diese Strategie übernehmen und als Aushängeschild bei Vertragsverhandlungen sowie bei Entscheidungen über Drittanbieter einsetzen können. Richard ist Direktor des Center for Cyber Strategy and Policy und Co-Direktor des Ohio Cyber Range Institute an der Universität Cincinnati. Er war der erste Gastwissenschaftler beim U.S. Cyber Command und der National Security Agency und hat gemeinsam mit anderen ein lesenswertes Buch verfasst mit dem Titel Cyber Persistence Theory: Redefining National Security in Cyberspace, erschienen beim Oxford University Press.

Lassen Sie uns weitermachen. Als wir aufgehört hatten, erklärte Richard gerade, dass Cybersicherheit in vielerlei Hinsicht dem Trainieren einer Mädchen-Fußballmannschaft ähnelt – etwas, das er aus eigener Erfahrung kennt.

Richard J. Harknett: Ich trainiere eine Mädchen-Fußballmannschaft an einer weiterführenden Schule, und vor einigen Jahren hatte ich das Glück, bei der Erringung einer Staatsmeisterschaft mitzuwirken. Wenn ich ihnen ein Buch gegeben und gesagt hätte: Hier ist ein Buch darüber, wie man Fußball spielt. Trefft mich zur Turnierzeit und schauen wir, ob wir einen Staatsmeistertitel gewinnen können. Das wäre nicht passiert. Nicht wahr?

Curran: Genau.

Harknett: Es kommt davon, das Spiel durch das Tun zu lernen, indem man es spielt. Und beim Cyber dreht sich alles ums Tun. Wenn Sie also in Ihrer Organisation kein kontinuierliches Sicherheitsprotokoll haben, das die Menschen dazu bringt, aufmerksam darauf zu achten, wie sie ausgenutzt werden könnten, werden sie in diesem Spiel von dem Gegner geschlagen, der hundert Prozent seiner Zeit damit verbringt, über Ausbeutung nachzudenken.

Eines meiner Lebensziele, Mike, ist es daher, den Monat der Cybersicherheit abzuschaffen. Und als jemand aus dem Bereich Cybersicherheit würden Sie fragen: Warum würden Sie diesen Fokus aufgeben wollen? Wir brauchen Cybersicherheit rund um die Uhr. Ich meine, wenn Sie meiner Theorie zustimmen, dass es um Beständigkeit geht, kann man nicht einen Monat im Jahr herausgreifen und die Mitarbeiter bitten, ein 20-minütiges Video anzuschauen, das sie vor einem Jahr gesehen haben, und dann sagen: „Okay, wir sind startklar."

Curran: Ich stelle mir vor, dass mit der weiter wachsenden Angriffsfläche Nationalstaaten und böswillige Akteure Unternehmen mit derselben Intensität angreifen wie vor Jahren. Wie teilt die Regierung die Ressourcen auf, um diese beiden Seiten zu bewältigen?

Harknett: Ich möchte dabei nur vorsichtig sein. Ich arbeite nicht für die US-Regierung. Ich berate sie. Ich helfe, wenn das Bat-Signal aufleuchtet. Daher möchte ich vorsichtig sein. Ich bin keiner von denen, ich spreche nicht im Namen einer US-Regierungsbehörde. Also schauen Sie, das ist ein Auf und Ab. Ich möchte unsere Gegner nicht auf ein Podest heben. Jeder hat Einschränkungen bei den Ressourcen. Natürlich rüsten diejenigen, die Wahlen beeinflussen wollen, rund um die Wahlperioden auf und lassen dann nach.

Eines der Dinge, die viele – ich bin sicher, Ihre Zuhörer würden zunächst daran denken – aus Sicht der Wahlsicherheit ist: Können sie dort eingreifen und die Stimmen verändern? Können sie die Abstimmung manipulieren? Und wir könnten einen ganzen Podcast darüber machen, aber die kurze Antwort lautet: nein, und nicht in wesentlichem Ausmaß. Es gibt eine ganze Reihe von Gründen, warum das nicht passiert. Und wir haben seit 2020 und seit 2016 wirklich gute Arbeit geleistet, um das noch besser zu machen.

Unsere Gegner wissen das. Und so verbringen sie ihre Zeit mit dem, was wir als cyber-gestützte, spaltende Informationskampagnen bezeichnen. In den Medien wird viel über Desinformation und Fehlinformation gesprochen. Was unsere Gegner tatsächlich betreiben, nennen wir spaltende Information. Sie suchen nach dem, was uns entzweit.

Leider verbringen die meisten von uns derzeit ihre Zeit in sozialen Medien und traditionellen Medien nur mit Menschen, denen wir zustimmen. Sie verstärken diese Spaltung lediglich.

Wenn wir zum Beispiel zur selben Familie gehören würden, als Brüder, und uns in etwas wirklich Bedeutendem uneinig wären, aber jemand von außen käme und anfinge, sich in unsere Auseinandersetzung einzumischen, würden wir beide ihn ansehen und sagen: „Hey, verschwinde hier. Wir mögen uns uneinig sein, aber wir sind Familie. Das geht dich nichts an."

Und so lautet mein Argument, dass wir uns gegen diese Kampagnen mit genau dieser Mentalität verteidigen müssen.

Das sind wirklich hochentwickelte Akteure, und es gibt eine unterschwellige Strömung von Dingen, die der durchschnittliche Nutzer in sozialen Medien nicht wahrnimmt. Deshalb machen wir uns Sorgen um TikTok. Weil es mit einem bestimmten staatlichen Akteur übereinstimmt, nämlich China, das eine ganz andere Art von Regierung hat [und] seine Bevölkerung ganz anders betrachtet. Es geht nicht um die Stärkung des Einzelnen, sondern darum, wie der Einzelne dem Staat dient, und sie stimmen mit unserer Lebensweise nicht wirklich überein. Und so ein Megafon in unsere Richtung zu haben….

Einige Ihrer älteren Zuhörer erinnern sich vielleicht an die Voice of America während des Kalten Krieges. Wir haben Radio hinter den Eisernen Vorhang gesendet und sie davon überzeugt, dass die Demokratie eine bessere Idee ist als das, was ihr habt. Und 70 Jahre lang haben wir das getan, und die Russen und Sowjets versuchten, diese Signale zu blockieren. Sie beschlagnahmten Radios und dergleichen, um es schwieriger zu machen, aber wir haben ihnen diese Informationen weiterhin zugespielt. Wann hat das einen Unterschied gemacht? Es machte einen Unterschied, dass die Menschen nach dem Zusammenbruch der Sowjetunion nicht ins Leere fielen. Sie sagten tatsächlich: Oh, es gibt eine Alternative, zum Beispiel diese Demokratie. Warum versuchen wir das nicht?

Wenn ich Vorsitzender Xi [Jinping] wäre, wenn ich an der Spitze der Kommunistischen Partei Chinas stünde, und jemand käme zu mir und sagte: Hey, Vorsitzender, wir sind in 150 Millionen Taschen von Amerikanern auf einem Gerät, das sie kumulativ nutzen – manche von ihnen verbringen über 10 Stunden täglich damit. Es wäre der Gipfel der Unverantwortlichkeit als Führungsperson, dieses Gerät nicht zu nutzen, wenn ich tatsächlich der Meinung bin, dass die amerikanische Lebensweise nicht im chinesischen Interesse liegt. Es ist also ein bidirektionales Gerät, das erfassen kann, wie lange ich über ein Video verweile – nicht ob ich auf ein Video klicke, sondern ob ich über ein Video verweile – und ein Algorithmus, der dann anpasst, was mir gesendet wird, und anfängt zu beeinflussen, was ich mir … ansehe.

Die meisten Amerikaner haben nichts dagegen, Ziel von Werbung zu sein, oder? Aber wir möchten weder manipuliert noch kontrolliert werden. Im Cyberspace gibt es eine sehr schmale Grenze, Mike, zwischen gezielter Werbung, Manipulation und Kontrolle.

Curran: Niemand wird zugeben, dass er manipuliert wird, selbst wenn es so ist. Ich denke also, das führt uns zur großen Diskussion darüber, ob es verboten werden sollte – sollte TikTok verboten werden? Ich meine, was sind Ihre Gedanken dazu?

Harknett: Ja, erinnern Sie sich, ich habe Ihnen gesagt, ich trainiere Mädchen an der High School. Das ist also keine sehr populäre Ansicht bei ihnen. Es gibt zu viele Belege dafür, dass es sich um ein Gerät handelt, das einem Propagandainstrument wie Voice of America ähnelt, aber wir haben keine Möglichkeit, einfach damit zu interferieren. Wir werden nicht hingehen und den Leuten ihre Handys wegnehmen. Wir werden das alles nicht tun. Es geht nicht darum, dass wir den Amerikanern etwas verweigern wollen – denen von uns, die in diesem Lager sind und sagen: Ja, wissen Sie was, dieses Ding muss umstrukturiert werden. Wir geben viel zu viele Daten an jemanden weiter, dem die Art, wie wir unsere Gesellschaft organisieren, nicht wirklich gefällt.

Ich bin sicher, dass es da draußen einen wirklich cleveren Unternehmer gibt, der eine App entwickeln könnte, die etwas Ähnliches tut – nämlich kurze Videos aufnimmt und bestimmte Arten von Inhalten kommuniziert –, die transparenter in Bezug auf den verwendeten Code und transparenter beim Schutz der bürgerlichen Freiheiten wäre als dieses Gerät.

Was also im Kongress diskutiert wurde, lautet: Schauen Sie, die US-Regierung ist einverstanden, wenn TikTok bestimmte Dinge ändert, wie etwa Transparenz über seinen Code, wo diese Daten gespeichert sind, wer sie einsehen darf, und so weiter und so fort. Der Ball wurde also zurück zu ByteDance, dem Mutterkonzern, gespielt. Das klingt wirklich übertrieben und nach einer Art übermäßigem staatlichem Eingriff. Aber ja, es gibt so etwas wie Weltpolitik, und leider führen Länder aus verschiedenen Gründen Krieg miteinander, und man muss die amerikanische Bevölkerung vor dem schützen, was man gerade geschehen sieht.

Also ja, es könnte für manche 14-Jährigen ein schmerzhafter Übergang sein, aber ich denke, wir könnten das mit unternehmerischem Geist überwinden.

Curran: Verstanden. Um das Thema zu wechseln – ich dachte, es wäre ein Versäumnis, wenn wir KI nicht erwähnen. Offensichtlich ist sie in den letzten 18 Monaten sehr verbreitet geworden. Wie hat das die Strategie, die „Defend Forward"-Strategie, beeinflusst?

Harknett: Es gibt eine Sache, in der ich Präsident Putin zustimme. Er sagte, dass derjenige, der die künstliche Intelligenz beherrscht, die zweite Hälfte des 21. Jahrhunderts dominieren wird, und ich denke, er hat recht.

Meiner Ansicht nach müssen wir aufhören, sie als Code und Werkzeuge zu betrachten, und sie stattdessen aus der Perspektive eines Entscheidungsmodells betrachten. Aus geschäftlicher Sicht stellt sich also die Frage: Wie setze ich sie im Kontext meiner Organisation ein?

Welche Rollen und Verantwortlichkeiten werde ich ihr also zuweisen? Soll sie lediglich Daten für mich sammeln? Soll sie Daten sammeln und diese für mich analysieren? Soll sie diese Daten sammeln, analysieren und organisieren, damit ich eine Entscheidung treffen kann, oder werde ich ihr die Fähigkeit geben, die Entscheidung selbst zu treffen? Das sind Optionen, die Ihnen zur Verfügung stehen, wenn Sie sie aus der Perspektive von Rollen und Verantwortlichkeiten betrachten, anstatt aus der Perspektive von Code [und] technischen Werkzeugen. Ich denke daher, so sehr ich hoffe, dass die Arbeit, bei der ich mitgewirkt habe, einen Paradigmenwechsel von der Abschreckung hin zur proaktiven Cybersicherheit bewirkt hat, das ist mein nächstes Ziel, gegen das ich ankämpfe, Mike: Wir müssen aufhören, KI aus der Perspektive eines Werkzeugs zu betrachten, und sie stattdessen aus der Perspektive von Entscheidungsrollen und -verantwortlichkeiten verstehen.

Curran: Ja, dem würde ich zustimmen. Ich denke, wir sind uns alle einig, dass wir diesen Krieg gewinnen müssen. Und ich denke immer wieder, wenn ich es mir jetzt ansehe: Wir können KI nicht überregulieren, auch wenn wir die möglichen Folgen nicht kennen – wir können keine potenziellen Ergebnisse regulieren. Wir müssen KI gewissermaßen wachsen lassen und dann schauen: Okay, wir müssen sie vielleicht hier etwas zurückhalten, dort etwas zurückhalten – anstatt zu versuchen, sie von vornherein zu regulieren.

Harknett: Ja, ich meine, dazu zwei kurze Gedanken: Erstens werden wir hier ziemlich schnell ein Energieproblem bekommen, angesichts der rasanten Verbreitung von KI. Wir haben schlicht nicht das Stromnetz, um die Verarbeitungsleistung zu unterstützen. Das ist also ein Problem, über das wir ernsthaft nachdenken müssen und bei dem Regierung und Wirtschaft ziemlich schnell handeln müssen.

Und meine Sorge beim Argument „Lasst die Pferde laufen" ist, dass es einige Trainingsumgebungen geben wird, die viel zu weit gehen werden. Und wenn sie erst einmal viel zu weit gegangen sind, wie holt man sie dann zurück?

Ich bin derzeit in einer Gruppe. Ich soll dort gewissermaßen der Störenfried sein – eine Runde auf VP-Ebene, bestehend aus Social-Media-Unternehmen und Telekommunikationsunternehmen – und ich versuche immer wieder, sie aus diesem gespaltenen Denkmuster herauszubringen, dass Regulierung ipso facto eine Einschränkung bedeutet. Vorschriften sind lediglich Parameter. Sie sind die Regeln des Straßenverkehrs. In meiner alten Fußballmetapher meine ich, dass sie die Spielregeln sind.

Nun verstehe ich das Argument, nun ja, schauen Sie, die Chinesen werden ein anderes Spiel nach einem anderen Regelwerk spielen. Die Russen werden nach einem anderen Regelwerk spielen, und so weiter. Ich sage, großartig – unser Durchbruch liegt bei demjenigen, der den optimalen Punkt findet, um bürgerliche Freiheiten zu schützen und wirtschaftliche Chancen zu maximieren, das ist die KI, die wir entwickeln müssen. Wir müssen keine KI für die Autoritären entwickeln. Wir müssen die KI für die liberalen demokratischen Staaten auf der [ganzen Welt] entwickeln, denn dort befinden sich die Marktwirtschaften und jene Marktwirtschaften, die es werden wollen. Warum also nicht das Beste anstreben? Die Autoritären werden das nicht entwickeln.

Lassen Sie uns also nicht mit ihnen in der falschen Version davon konkurrieren. Also haben alle die Mathematik, alle haben die Art von Supercomputing, oder die meisten, die in diesem Bereich führend sein werden. Es geht um die Qualität der Daten und darum, was man mit den Daten in der Trainingsumgebung erreichen möchte. Ihr Vorteil ist, dass sie alles aufsaugen, weil sie keine Parameter für bürgerliche Freiheiten haben. Aber das wird ihnen einen bestimmten trainierten Algorithmus liefern, der immer noch darauf ausgerichtet sein wird, die Staatsmacht zu schützen, und nicht die Stärkung des Einzelnen.

Für mich geht es also darum, das Training auf eine andere Weise zu modellieren. Wie positioniert und stärkt man in einer Marktwirtschaft den Einzelnen innerhalb der Gesellschaft? Das ist ein anderer Algorithmus als der, den der autoritäre Algorithmus haben wird. Und das wird von uns verlangen, innerhalb bestimmter Parameter zu leben und zu arbeiten. Es gibt bestimmte Datenbereiche, auf die wir keinen Zugriff haben werden. Das ist lediglich eine technische Schulungsherausforderung. Und ich denke, wir sollten uns dieser Herausforderung einfach stellen und sagen: „Hey, wir können tatsächlich sehr effektive algorithmische Agenten haben, die bürgerliche Freiheiten wirklich schützen und in Bezug auf bürgerliche Freiheiten eine klare Grenze ziehen."

Und wir haben dafür ein Beispiel. Wir haben HIPAA [den Health Insurance Portability and Accountability Act], das Gesundheitsgesetz, umgesetzt, das im Grunde besagt, dass wir es Menschen nicht erlauben werden, medizinische Daten zu monetarisieren. Alle waren sich irgendwie einig, ja, das ist keine gute [Idee], wir wollen nicht, dass die Medikamente, die ich für meine Krankheit nehme, dann an Werbetreibende und dergleichen verkauft werden. Also haben wir eine Ausnahme geschaffen – die Regierung hat mit moderater Regulierung eingegriffen, die einen Schutz für Einzelpersonen im Bereich der medizinischen Daten geschaffen hat. Und die Welt ist nicht untergegangen.

Ich denke, wir können beides haben. Ich denke, wir können im KI-Bereich äußerst innovativ sein und gleichzeitig Sicherheit und Schutz einbringen.

Curran: Das wäre ideal, wie man so sagt. Aber…

Harknett: Ja. Nun, ich bin bei den meisten Dingen halbwegs optimistisch.

Curran: Ja, das gefällt mir sehr gut. Das gefällt mir wirklich. Hey, zum Abschluss für heute: Richard, Sie haben Nationalstaaten, unsere Verbündeten und die US-Regierung in Sachen Cyberstrategie beraten. Wenn Sie mit einem Unternehmen sprechen würden – und jetzt konkret, lassen Sie uns nicht über die großen Konzerne sprechen, die über alle Ressourcen verfügen. Nehmen wir an, es handelt sich um einen mittelgroßen regionalen Einzelhändler, nicht um jemanden so Großes wie Target.

Was wären die ersten Schritte einer proaktiven Strategie, die sie unternehmen könnten, um einfach den ersten oder zweiten Schritt nach vorne zu machen?

Harknett: Ich würde sagen, machen Sie Ihren CIO und Ihren Chief Information Security Officer genauso wichtig wie Ihren VP für Marketing und Produktentwicklung. Ich meine, sie müssen am Tisch sitzen, und sie können nicht die Leute am Ende des Flurs sein, die Ihnen durch Effizienz Geld sparen sollen, während man ihnen gleichzeitig nicht die Ressourcen gibt, um alles zu schützen – Ihr gesamtes geistiges Eigentum. Ich könnte Ihnen eine lange Liste technischer Maßnahmen nennen, aber aus organisatorischer und geschäftsplanerischer Sicht geht es darum, sicherzustellen, dass diejenigen, denen Sie das Portfolio der Cybersicherheit als Hauptverantwortliche anvertrauen, ein integraler Bestandteil Ihrer Geschäftspraktiken sind.

Und dann zu erkennen, auf der Führungsebene und auf der Managementebene, dass es kein IT-Problem ist.

Cybersicherheit ist eine wirtschaftliche, organisatorische und verhaltensbezogene Herausforderung in einem technisch dynamischen Umfeld. Das ist mein Leitspruch. Ich kann ihn nicht auf einen Leitspruch reduzieren, er ist zu lang. Aber wenn Sie es als technisches Problem behandeln, verpassen Sie den entscheidenden Punkt. Es geht um Organisation, es geht um Verhalten. Und deshalb müssen Sie Ihre organisatorischen Abläufe neu ausrichten.

Und wenn Sie als CEO nicht wissen, wie Ihr Vorbereitungs- und Resilienzplan angesichts eines Ransomware-Angriffs aussieht, dann müssen Sie herausfinden, was das bedeutet.

Curran: Gehen Sie auf lange Sicht, zumindest ausreichend. Ja. Nun, sehr guter Rat, Richard. Das Gespräch hat mir wirklich gut gefallen…

Harknett: Ja, mir auch.

Curran: Ich habe mich mit Richard Harknett unterhalten, dem Direktor des Center for Cyber Strategy and Policy und Co-Direktor des Ohio Cyber Range Institute an der University of Cincinnati.

Wenn Sie mehr über proaktive Cybersicherheitsstrategien erfahren möchten, besuchen Sie Focal Point, Taniums preisgekröntes Online-Cyber-Nachrichtenmagazin. Links zu Artikeln finden Sie in den Shownotes, oder besuchen Sie tanium.com/p für Publikationen.

Wenn Sie weitere Gespräche mit den derzeit führenden Wirtschaftsvertretern und Sicherheitsexperten hören möchten, abonnieren Sie den Podcast bitte in Let's Converge Ihrer bevorzugten Podcast-App. Und wenn Ihnen diese Episode gefallen hat, geben Sie uns bitte eine Fünf-Sterne-Bewertung.

Danke fürs Zuhören. Wir freuen uns darauf, in der nächsten Episode von Let's Converge weitere Cyber-Einblicke mit Ihnen zu teilen.