KI frisst CISO?

>



KI-Modelle mit ausgeprägten Cybersecurity-Fähigkeiten triggern bei einigen CISOs den Fluchtreflex.Akos Nagy | shutterstock.com



CISOs haben keinen leichten Job: übermäßiger Stress, lange To-Do-Listen und Haftungsrisiken sind nur drei Komponenten, die die „Halbwertszeit“ von Sicherheitsentscheidern maßgeblich beeinträchtigen.



Der Tropfen, der für viele CISOs das Fass zum Überlaufen bringt, sind allerdings neue, fähige Frontier-KI-Modelle. Das legt zumindest ein aktueller Report von Absolute Security (Download gegen Daten) nahe.



Die Sicherheitsexperten befragten dafür rund 1.000 CISOs (in den USA und Großbritannien). Dabei fanden sie heraus, dass:




die Einführung von KI-Modellen wie Claude Mythos 50 Prozent der Befragten bereits dazu veranlasst hat, darüber nachzudenken, ihren Job an den Nagel zu hängen.



die Fähigkeiten des eigenen Unternehmens, KI zu kontrollieren und abzusichern, in den Augen von 60 Prozent der Umfrageteilnehmer nicht mit der von Vorstand und Geschäftsleitung geforderten Geschwindigkeit zur Einführung von KI in Einklang stehen.




Der „Mythos-Effekt“



Für Christine Gadsby, Chief Security Advisor bei BlackBerry, sind die Ergebnisse nachvollziehbar. Die Security-Expertin hatte jahrelang Führungspositionen im Bereich der Cybersicherheit inne und war bis zum Wechsel in ihre aktuelle Rolle als CISO von Blackberry tätig.  



Diese Zeit vermisst die Managerin nicht: „Dieser Job ist einfach Wahnsinn. Burnout war zuvor schon ein maßgebliches Problem: Viel Verantwortung und ein Übermaß an Aufgaben. Durch KI potenziert sich das nun noch. Ich würde nicht sagen, dass ich nie wieder eine CISO-Rolle annehmen würde, aber aktuell ist es eine besonders schwierige Zeit für diese Rolle.“



Diesbezüglich sei vor allem auch der Aspekt der persönlichen Haftungsrisiken relevant, meint Gadsby: „Die Branche hat die CISO-Rolle so ausgestaltet, dass sie das Gros der Verantwortung trägt. Insofern muss man sich jetzt nicht wundern, wenn die Menschen aussteigen wollen.“



Wenn CISOs in den Ruhestand eintreten, in weniger stressige Security-Rollen wechseln oder die Cybersicherheit ganz hinter sich lassen, entsteht für ihre Unternehmen ein neues Problem: Sie müssen scheidende Sicherheitsentscheider mit weniger erfahrenen Mitarbeitern ersetzen, die oft noch anfälliger für Burnout sind.   



Und weil keine IT-Umgebung der anderen gleicht, brauchen diese neuen CISOs auch Zeit, sich einzuarbeiten – was angesichts der Dynamik der heutigen Bedrohungslage zusätzliche Sicherheitsrisiken aufwerfen kann und die Security-Verantwortlichen noch mehr unter Druck setzt.



„Man muss schon eine besondere Person sein, um diesen Job machen zu wollen“, konstatiert Gadsby und vergleicht die Rolle mit der eines Feuerwehrmanns, der zu jeder Tages- und Nachtzeit in Bereitschaft ist.



Einen einfachen Ausweg aus dem Dilemma sieht auch IDC-Analyst Chris Kissel nicht: „Die durchschnittliche Amtszeit eines CISOs beträgt mittlerweile 18 Monate. Persönliche Haftungsrisiken für Cybervorfälle und die neuen Frontier-KI-Modelle tragen nicht dazu bei, diese Zeitspanne zu erhöhen – für CISOs ist es eine neue, beängstigende Welt.“



Um die Situation zu verbessern, schlägt Kissel unter anderem vor, die Mindestanforderungen für verantwortungsbewusstes Handeln durch Aufsichtsbehörden zu definieren und CISOs so weit wie möglich von persönlichen Haftungsrisiken zu befreien.



Dass (potenzielle) CISOs vor allem diese Haftungssorgen umtreiben, beobachtet auch Oliver Legg, Mitbegründer und Recruiter bei der auf IT-Security spezialisierten Beratung Aspiron Search.



„Vor zwei Jahren haben sich potenzielle CISO-Kandidaten vor allem für Budget und Personalbestand interessiert. Heute drehen sich die ersten Fragen regelmäßig um die Themen Haftungsfreistellung und entsprechenden Versicherungsschutz“, so Legg.



Mit Blick auf die wachsenden Cyberfähigkeiten von KI rät Mike Privette, ehemaliger CISO und Gründer des Webportals Return on Security, Sicherheitsentscheidern in erster Linie dazu, sich nicht verrückt machen zu lassen.



„Der Mythos-Effekt wird überbewertet. Diese Frontier-Modelle haben lediglich existierende Probleme ins Rampenlicht gerückt“, so der Sicherheitsprofi. Dabei betont er, dass es in seiner Wahrnehmung auch viele CISOs gebe, die begeisterter denn je sind, in ihrer Position zu arbeiten.  



„Das gilt insbesondere für diejenigen, die in Unternehmen tätig sind, die die KI-Einführung ernstnehmen – und die umfassende Unterstützung von ihrer Geschäftsleitung erhalten. Nicht nur in Form eines passenden Budgets, sondern auch mit Blick auf Spielraum für Experimente.“ (fm)



Dieser Artikel ist im Original bei unserer Schwesterpublikation CSOOnline.com erschienen.