Minimierung des Explosionsradius in der unerforschten Welt der KI-Datensicherheit

Sie kennen es sicher schon: Kein Geschäftsbereich kommt ohne Daten aus. Ob Sie nun als CISO einer Großstadt im Nordosten der USA für die kritische Infrastruktur verantwortlich sind, als größter Einzelhändler der Welt im hart umkämpften E-Commerce-Markt bestehen wollen oder als Gesundheitsunternehmen an der Lösung des Alzheimer-Problems arbeiten – Daten sind die Lebensader von allem.

Daran wurde ich erinnert, als ich mit dem CISO eines großen Unterhaltungsunternehmens sprach, das Streaming-Inhalte für seine Kunden entwickelt und mit Unternehmen wie Netflix konkurriert. Er meinte, wenn er den prozentualen Anteil der datenbasierten Geschäftsprozesse seines Unternehmens ermitteln könnte, wäre der Wert enorm.

Was er eigentlich meinte, war: Nennen Sie mir die Daten, die für mich am wichtigsten sind, und ich werde meine Sicherheitsbemühungen darauf konzentrieren, anstatt alles übermäßig zu schützen und damit meine Mitarbeiter zu frustrieren. Schließlich entsteht der größte Schaden bei Daten. Obwohl Daten das größte Risiko für das Unternehmen darstellen, verbringen die meisten Sicherheitsteams unverhältnismäßig viel Zeit mit ergänzenden Sicherheitstools wie Endpunktsicherheit und Inline-Zugriffskontrollen wie Security Service Edge – anstatt die Daten zu kennen und zu schützen. Tatsächlich geben über 60 % der Unternehmen an, dass ihnen angemessene Sicherheitsvorkehrungen fehlen. Einblick in die Daten innerhalb ihrer Umgebung.

Das wäre so, als würde man alle Sicherheitsbemühungen auf den Brinks-Geldtransporter, die Geldautomaten der Bank (die Endpunkte) und die Route dieser Transporter konzentrieren – aber nicht auf den eigentlichen Tresorraum. Natürlich befindet sich etwas Bargeld auf den Transportern, während sie zwischen verschiedenen Filialen oder Geschäften pendeln, natürlich befinden sich auch ein paar Dollar in den Geldautomaten, und natürlich ist es immer gut, eine schnelle und sichere Route zu gewährleisten – aber im Tresorraum lagern die wahren Kronjuwelen.

Mit dem zunehmenden Einsatz von KI am Arbeitsplatz entsteht eine völlig neue Herausforderung für Datenschutzbeauftragte. KI, die möglicherweise der Schlüssel zu einer neuen Ära der Produktivität für Unternehmen ist und in aller Munde ist, birgt aufgrund fehlender Kontrollmechanismen auch Risiken.

Um diese Herausforderung zu meistern, ist ein Umdenken erforderlich. Viele Sicherheitsverantwortliche, mit denen ich spreche, konzentrieren sich in der KI-Diskussion meist darauf, den Abfluss sensibler Daten zu verhindern – und stellen dann immer wieder Fragen zu Technologien wie … DLP (Wir alle wissen, wie die Leute über DLP denken.) Ja, der Schutz gestohlener Daten ist entscheidend, aber DLP für KI ist immer noch nur eine natürliche Erweiterung der bisherigen Vorgehensweise, und das reicht im Zeitalter der KI nicht mehr aus.

Eine weitere, potenziell größere Herausforderung besteht darin, das von Ihrem Team entwickelte, kundenspezifische LLM vor böswilliger oder versehentlicher Eingabe fehlerhafter Daten zu schützen. Stellen Sie sich ein Gesundheitsunternehmen vor, dessen für das neueste Alzheimer-Medikament entwickeltes LLM plötzlich falsche Daten eingibt. Oder es verwendet versehentlich personenbezogene Daten oder Kundendaten aus Produktionsumgebungen – und testet damit die Grenzen der KI-Konformität. Auch dies gehört zu den neuen Herausforderungen der KI-Sicherheit und erklärt, warum traditionelle Ansätze nicht ausreichen.

Wo fängt man also an? Das Hauptproblem, das ich sehe, ist, dass die meisten Sicherheitsverantwortlichen ihre Daten schlichtweg nicht kennen. Im Laufe der Zeit haben sie isolierte Datenanalyselösungen eingeführt, deren Fähigkeiten für strukturierte, unstrukturierte und semistrukturierte Daten stark variieren. Diese Lösungen wurden für On-Premise-Umgebungen entwickelt und bieten oft nur wenige SaaS-, Public-Cloud- oder PaaS-Funktionen. Diese ungünstige Kombination erschwert es, die wirklich wertvollen Daten in ihren Datenbeständen zu identifizieren.

Da sie ihre Daten nicht kennen, wissen sie nicht, wer Zugriff darauf hat oder wie diese Daten verwendet werden. Dadurch wird es schwierig, die Verbindung zwischen Nutzern (Einzelpersonen, Nutzergruppen oder nicht-menschlichen Systemen) herzustellen und zu ermitteln, wer von ihnen Zugriff auf KI-Copiloten hat oder welche Daten dem KI-LLM zugeführt werden. Die potenziellen Gefahren der KI sind sehr real.

Aber es ist nicht alles so düster. Unternehmen sollten sich kurz Zeit nehmen, ihre Daten analysieren und dann ihre Copilot-Lösung einführen. Das wird ihnen langfristig vieles erleichtern. Warum ich das sage? Die meisten Sicherheitsteams verstehen nicht, wie Copilots in Bezug auf Standardzugriffsregeln funktionieren. Tools wie Microsoft CoPilot, Google Gemini, Amazon SageMaker und Salesforce Einstein sind nur einige Beispiele für die vielen großartigen Funktionen, die in Zukunft für jede Anwendung verfügbar sein werden. Doch wie so viele bahnbrechende Innovationen wurden auch diese nicht von Anfang an mit Blick auf die Sicherheit entwickelt.

So funktionieren sie alle:

• Mitarbeiter mit Zugriff auf den Copilot fordern das LLM auf.
• LLM hat Zugriff auf dieselben Daten wie die Mitarbeiter. Diese Tools sind auf Offenheit ausgelegt – und nicht für Zero Trust. Der Zugriff muss deaktiviert werden.
• Falls die entsprechenden Zugriffskontrollen noch nicht eingerichtet sind, haben Sie soeben Ihren ersten Sicherheitsvorfall im Bereich der KI erlebt.

So schnell und einfach geht das.

Minimierung des Explosionsradius – eine Fünf-Schritte-Anleitung

Schritt 1

Um sich davor zu schützen, benötigen Sie eine Lösung, die Ihnen hilft, Ihre Daten zu erkennen und zu klassifizieren. Solche Funktionen bieten Dienste für das Datensicherheitsmanagement (DSPM). Noch besser ist es, wenn der Anbieter eine intelligente Methode zur Datenklassifizierung mithilfe von KI einsetzt, da Sie sich dann nicht mehr ausschließlich auf die Klassifizierung mittels regulärer Ausdrücke verlassen müssen und Daten sogar auf Datei-/Objektebene präzise klassifizieren können. Nach der Klassifizierung können Sie die Sensibilität der Daten in Ihrem digitalen Datenspeicher bestimmen. Denken Sie daran: Nicht alle Daten in Ihrem Datenspeicher sind gleichwertig (siehe mein Kundenbeispiel oben).

Schritt 2

Anschließend müssen Sie die Erkenntnisse aus der Datenanalyse mit den Erkenntnissen zur Identitätsprüfung kombinieren. Ich bezeichne dieses Konzept oft als Zero Trust Data Access (ZTDA). Vielleicht habe ich zu lange im Bereich IT-Sicherheit gearbeitet und erfinde jetzt meine eigenen Akronyme! Im Grunde geht es darum, festzustellen, wer Zugriff auf Ihre sensiblen Daten hat und wer von diesen Zugriff auf Ihren KI-Copiloten – und zu prüfen, ob dies angesichts der Sensibilität der Daten sinnvoll ist. Dies bestimmt dann den nächsten Schritt.

Schritt 3

Passen Sie die Zugriffsrechte Ihrer KI-Tools an – das erhöht die Sicherheit Ihrer KI erheblich!

Profi-Tipp: Denken Sie darüber nach. Ihre Fähigkeit, die Transparenz hinsichtlich der vorhandenen Daten und ihrer Sensibilität zu verbessern, ermöglichte es Ihnen, sich zu fokussieren und Prioritäten zu setzen – und die potenziellen Auswirkungen eines KI-Sicherheitsvorfalls zu minimieren.

Schritt 4

Bereinigen Sie Ihre Daten. Verbessern Sie Ihre Datenhygiene. Identifizierung und Entfernung unnötiger Daten Das reduziert die Angriffsfläche zusätzlich. Wurde die Datenbank nach einer Cloud-Migration in einem lokalen Datenspeicher zurückgelassen? Dann löschen Sie sie. Gibt es mehrere Backups derselben Daten? Löschen Sie einige davon. Weniger Daten bedeuten eine kleinere Angriffsfläche. Und das bedeutet auch weniger Kosten (Ihr Infrastrukturleiter und Ihr Finanzchef werden es Ihnen danken).

Schritt 5

Führen Sie Überwachung, Erkennung und Reaktion Ihrer Datenumgebung durch, um die kontinuierliche Überwachung Ihrer Daten zu gewährleisten.

Letztendlich sollten Sicherheitsverantwortliche KI positiv gegenüberstehen. Schließlich hat jeder CISO die Möglichkeit, sein Unternehmen bei der Einführung von KI zu unterstützen und gleichzeitig die Daten in seinen Multi-Cloud-Umgebungen zu schützen.

Wie bei jedem Job gilt: Mit dem richtigen Werkzeug und einem guten Plan geht alles viel leichter. Das funktioniert auch bei dem Heimwerkerprojekt, das Sie schon so lange aufgeschoben haben, und hilft Ihnen außerdem, die Auswirkungen von KI zu minimieren.

Alles beginnt damit, herauszufinden, welche Daten sich in Ihren Datenspeichern befinden. Wenn Ihr Unternehmen einen KI-Copiloten benötigt, sollten Sie sich an einen Anbieter für Datensicherheit wenden. Wir von [Name des Unternehmens/der Organisation] unterstützen Sie dabei. Cyera Ich helfe Ihnen gerne.