Ashley Rose, Gründerin und CEO von Living Security – Interview-Serie

Ashley Rose, Gründerin und CEO von Living Security, ist eine serielle Unternehmerin und Cybersicherheitsinnovatorin, die sich auf die Neugestaltung der Art und Weise konzentriert, wie Organisationen menschliches Risiko im Bereich der Sicherheit angehen. Seit der Gründung des Unternehmens im Jahr 2017 hat sie die Entwicklung eines datengetriebenen, verhaltensorientierten Ansatzes für Cybersicherheit geleitet, der über traditionelle Bewusstseinsbildung hinausgeht und auf messbare Risikoreduzierung und kulturellen Wandel abzielt. Durch ihre Erfahrung in Produktführung und Unternehmertum hat sie dazu beigetragen, Living Security in eine schnell wachsende SaaS-Plattform zu verwandeln, die von Unternehmen verwendet wird, und hat auch zum breiteren Cybersicherheits-Ökosystem als Mentorin, Beraterin und Fürsprecherin für Initiativen wie Women in CyberSecurity beigetragen.

Living Security ist ein Cybersicherheits-Unternehmen, das sich auf Human-Risiko-Management konzentriert und Organisationen hilft, die Risiken zu identifizieren, zu messen und zu reduzieren, die mit dem Verhalten von Mitarbeitern verbunden sind. Die Plattform aggregiert Verhaltens-, Identitäts- und Bedrohungsdaten, um hochrisikoträchtige Benutzer zu identifizieren und gezielte, Echtzeit-Schulungen und Interventionen bereitzustellen, die darauf abzielen, Datenlecks zu verhindern, bevor sie auftreten. Durch die Kombination von Analytik, Automatisierung und ansprechenden Schulungsmethoden wie Simulationen und gamifizierten Erfahrungen ermöglicht das Unternehmen es Unternehmen, von compliance-basierten Sicherheitsmaßnahmen zu proaktiver, messbarer Risikoreduzierung über die gesamte Belegschaft hinweg zu wechseln.

Sie haben Living Security 2017 gegründet, nachdem Sie zuvor Erfahrungen im Aufbau und in der Skalierung eines Verbraucher-Produkt-Unternehmens und als Produktbesitzer gesammelt hatten. Welcher spezifische Moment oder welche Erkenntnis führten Sie dazu, sich auf Cybersicherheit und menschliches Risiko zu konzentrieren, und wie hat sich diese ursprüngliche These im Laufe der Zeit entwickelt, als künstliche Intelligenz (KI) Teil der Belegschaft wurde?

Im Jahr 2017 behandelten die meisten Organisationen Sicherheitsbewusstseinsbildung als reine Check-box-Übung, und es änderte nicht das Verhalten. Der Wendepunkt war die Erkenntnis, dass, wenn menschliches Verhalten Datenlecks verursachte, die Antwort nicht in noch mehr vergesslicher Schulung bestand. Drew Rose, Mitgründer von Living Security, führte Sicherheitsprogramme selbst durch und begann, sie zu gamifizieren, indem er frühe Prototypen erstellte, die zu Cybersicherheits-Fluchtspielen wurden. Wir sahen mit eigenen Augen, dass, wenn man Sicherheit erfahrbar machte, Menschen sich engagierten, lernten und tatsächlich ihr Verhalten änderten. Das wurde zur Grundlage für Living Security.

Als Mitgründer erkannten Drew und ich schnell, dass Engagement nur der Anfang war. Als wir diese Erfahrungen in eine Plattform skalieren, begannen wir, Muster im Verhalten der Menschen zu erkennen, wo sie Schwierigkeiten hatten und wo Risiken tatsächlich konzentriert waren. Das deckte eine viel größere Lücke auf: Organisationen hatten keine echte Sichtbarkeit in Bezug auf menschliches Risiko oder darauf, wie man es gezielt reduzieren konnte. Diese Erkenntnis führte uns dazu, Human-Risiko-Management zu entwickeln, das darin besteht, Risiken auf der Grundlage individuellen Verhaltens, Zugriffs und Bedrohungen zu identifizieren, zu messen und zu reduzieren, und nicht nur Schulungen bereitzustellen. Als KI in der Belegschaft integriert wird, hat sich diese ursprüngliche These nur noch weiterentwickelt: Die Herausforderung besteht nicht mehr nur im menschlichen Verhalten, sondern darin, wie Menschen und KI-Systeme zusammenarbeiten. Menschen stehen immer noch im Mittelpunkt, jetzt als Manager und Bereitsteller von KI-Agenten, was bedeutet, dass man Sichtbarkeit auf diese Agenten ausdehnen und dieses Risiko auf den Einzelnen zurückführen muss. Das treibt unsere Evolution hin zu Workforce-Sicherheit voran.

Sie haben argumentiert, dass menschlicher Fehler eine unvollständige Erklärung für Datenlecks ist. Wie sollten Organisationen das Risiko in der Belegschaft heute neu denken, wenn sowohl menschliches Verhalten als auch KI-getriebene Aktionen zur Angriffsfläche beitragen?

Datenlecks als “menschlichen Fehler” zu bezeichnen, vereinfacht das Problem und verdeckt, woher das Risiko tatsächlich kommt. Menschliches Risiko ist nicht nur ein Fehler, sondern wird durch eine Kombination aus Verhalten, Zugriff und Exposition gegenüber Bedrohungen geprägt. Einige Mitarbeiter haben privilegierten Zugriff auf sensible Systeme, einige werden häufiger angegriffen, und einige zeigen riskantere Verhaltensweisen, sodass das Risiko von Datenlecks nicht gleichmäßig verteilt ist. Um Risiken wirklich zu verstehen, benötigen Organisationen Sichtbarkeit in Bezug auf die Schnittstellen dieser Faktoren und die Existenz menschlichen Risikos.

Als Ergebnis müssen Organisationen über awareness-basierte Modelle hinausgehen und das Risiko in der Belegschaft als gemeinsame, operative Herausforderung neu denken, die sowohl menschliches Risiko als auch KI-getriebene Aktionen umfasst. Dies bedeutet, sich auf kontinuierliche Sichtbarkeit in Bezug auf die Ausführung von Arbeit zu konzentrieren, zu verstehen, wo Risiken konzentriert sind, und gezielte, Echtzeit-Interventionen über eine hybride Belegschaft hinweg anzuwenden, anstatt Risiken als isolierte Benutzerfehler zu behandeln.

KI-Tools erstellen nun Code, bearbeiten Arbeitsabläufe und treffen sogar Entscheidungen. Ab welchem Punkt hören KI-Systeme auf, nur Werkzeuge zu sein, und werden als Teil der Belegschaft aus Sicht der Sicherheit behandelt?

KI-Systeme hören auf, nur Werkzeuge zu sein, und werden Teil der Belegschaft, sobald sie innerhalb von Unternehmensumgebungen tätig werden. Zu diesem Zeitpunkt führen sie Risiken ein, ähnlich wie Mitarbeiter, durch die Aktionen, die sie ausführen, die Berechtigungen, mit denen sie arbeiten, und die Daten, auf die sie zugreifen. Der Wechsel für Organisationen besteht darin, zu erkennen, dass KI-Agenten nicht nur Produktivitätsschichten sind, sondern operative Teilnehmer, die innerhalb eines einheitlichen Belegschafts-Risiko-Modells reglementiert, überwacht und gesichert werden müssen.

Wie sollten Unternehmen die Governance angehen, wenn Risiken nicht mehr nur auf Mitarbeiter beschränkt sind, sondern auch auf KI-Agenten mit unterschiedlichem Grad an Autonomie und Zugriff?

Unternehmen müssen über eine politikbasierte Governance hinausgehen und sie als kontinuierlichen, verhaltensgetriebenen Prozess behandeln, der sowohl auf Menschen als auch auf KI-Agenten anwendbar ist. Die meisten Organisationen haben bereits KI-Richtlinien, aber die Lücke besteht in der Durchsetzung und Sichtbarkeit, insbesondere wenn Mitarbeiter Tools außerhalb genehmigter Umgebungen verwenden und KI-Systeme mit unterschiedlichem Zugriff arbeiten.

Effektive Governance beginnt mit der klaren Definition des akzeptablen Gebrauchs basierend auf Rolle und Datenzugriff, erfordert aber auch Echtzeit-Anleitung, die in Arbeitsabläufe integriert ist, und kontinuierliche Messung, damit Organisationen sehen können, wo Risiken entstehen, und entsprechend anpassen können. Letztendlich muss die Governance der Art und Weise entsprechen, wie Arbeit heute tatsächlich geleistet wird: über eine hybride Belegschaft, in der sowohl Menschen als auch KI-Systeme Entscheidungen treffen, auf Daten zugreifen und Risiken einführen.

Living Security hat sich stark auf verhaltensgetriebene Sicherheitsmodelle konzentriert. Wie lässt sich diese Philosophie übersetzen, wenn einige Verhaltensweisen nun von KI-Systemen und nicht von Menschen kommen?

Living Securities verhaltensgetriebener Ansatz lässt sich natürlich auf KI erweitern, da der Fokus nie nur darauf lag, wer Risiken erzeugt, sondern wie Risiken durch Aktionen eingeführt werden. Ob es sich um eine Person oder ein KI-System handelt, Risiken manifestieren sich in Verhaltensweisen, wie Daten zugreifen, welche Aktionen durchgeführt werden und wie Entscheidungen innerhalb von Arbeitsabläufen ausgeführt werden. Wenn KI-Systeme mehr operative Verantwortung übernehmen, gilt dasselbe Modell: Organisationen benötigen Sichtbarkeit in diese Verhaltensweisen sowie die Fähigkeit, in Echtzeit zu leiten und zu intervenieren.

Das führte zur Entwicklung von Livvy, der KI-Intelligenz, die die Living Security-Plattform antreibt – prädiktive Intelligenz und kontinuierliche Überwachung über menschliche und KI-Aktivitäten hinweg. Anstatt KI als separate Herausforderung zu behandeln, ermöglicht es einen einheitlicheren Ansatz, bei dem Verhalten, sei es menschlich oder maschinell, kontinuierlich gemessen, geleitet und innerhalb eines einzigen Belegschafts-Risiko-Modells gemanagt wird.

Viele Organisationen verlassen sich immer noch auf periodische Sicherheitsbewusstseinsbildung. Warum bricht dieses Modell in modernen Umgebungen zusammen, und wie sieht ein wirklich adaptives, datengetriebenes Vorgehen in der Praxis aus?

Periodische Sicherheitsbewusstseinsbildung bricht zusammen, weil sie für eine statische Bedrohungslandschaft konzipiert wurde und annimmt, dass Risiken durch allgemeine Bildung reduziert werden können. In Wirklichkeit resultieren die meisten Vorfälle aus alltäglichen operativen Verhaltensweisen und nicht aus mangelnder Schulung, und Risiken sind oft auf eine kleine Gruppe von Benutzern konzentriert. Ein adaptiver, datengetriebener Ansatz konzentriert sich auf die kontinuierliche Identifizierung von Risiken und die Bereitstellung gezielter, Echtzeit-Anleitungen im Arbeitsablauf – von der Absolvierung von Schulungen zur messbaren Risikoreduzierung.

Ihr Plattform betont die Quantifizierung menschlichen Risikos mithilfe realer Daten. Welche Signale sollten Organisationen heute verfolgen, um Risiken dynamisch und nicht retrospektiv zu verstehen?

Organisationen sollten sich auf Verhalten, Identität und Zugriff sowie Bedrohungsexposition konzentrieren, Signale, die die Entstehung und Konzentration von Risiken über die Belegschaft hinweg widerspiegeln. Das umfasst nun auch KI, einschließlich der von Mitarbeitern verwendeten Tools, der Zugriffsrechte, die diese Systeme haben, und wie sie konfiguriert oder angestoßen werden. Allein sind diese Signale nützlich, aber der wahre Wert liegt in der Art und Weise, wie sie sich zu einer Geschichte über Risiken zusammenfügen.

Beispielsweise stellt ein CFO, der Zugriff auf Finanzsysteme hat, MFA nicht verwendet, KI-Tools mit sensiblen Daten verbindet und von Phishing-Kampagnen aktiv angegriffen wird, ein ganz anderes Risikoprofil dar als ein BDR mit begrenztem Zugriff und geringerer Exposition. Das Risiko liegt nicht nur in dem, was jemand tut, sondern in dem, was er zugreift, in den Systemen, die in seinem Namen handeln, und in der Häufigkeit, mit der er angegriffen wird. Wenn man diese Faktoren zusammen sehen kann, kann man verstehen, wo ein Datenleck am wahrscheinlichsten auftreten wird, und in Echtzeit handeln, sei es, indem man den Einzelnen alarmiert, Kontrollen verschärft oder Interventionen für diese Gruppe priorisiert.

KI schafft neue Verwundbarkeiten, wird aber auch defensiv eingesetzt. Wo liegt die Balance, und steuern wir auf eine netto-positive oder netto-negative Sicherheitswirkung von KI zu?

KI tut beides: Sie erweitert die Angriffsfläche und verbessert gleichzeitig, wie Organisationen Risiken erkennen und darauf reagieren. Einerseits ermöglicht sie komplexere Arbeitsabläufe und autonome Aktionen, die neue Verwundbarkeiten einführen können; andererseits ermöglicht sie Sicherheitsteams, Verhaltensweisen im großen Maßstab zu analysieren und schneller zu handeln. Wo die Balance liegt, hängt davon ab, wie gut Organisationen sich anpassen. Derzeit holen viele Unternehmen in Bezug auf Sichtbarkeit und Governance auf, insbesondere wenn KI auf Weise eingesetzt wird, die sie noch nicht vollständig kartiert haben. Langfristig kann es netto-positiv sein, aber nur, wenn Organisationen KI als Teil der Belegschaft behandeln und denselben Grad an Überwachung, Anleitung und Kontrolle anwenden wie bei menschlichem Risiko.

Nicht alle Mitarbeiter oder KI-Systeme bergen gleiches Risiko. Wie sollten Organisationen Interventionen priorisieren, ohne Reibung oder Überwachung zu erzeugen?

Nicht alle Risiken sind gleich, und sie als gleich zu behandeln, erzeugt Reibung. Der Schlüssel liegt darin, sich auf die Bereiche zu konzentrieren, in denen Risiken tatsächlich konzentriert sind – da etwa 10% der Benutzer 73% des Risikos verursachen – und gezielte Interventionen dort anzuwenden, anstatt sie breit über die gesamte Belegschaft zu verteilen. Das bedeutet, Verhaltens-, Zugriffs- und Expositionsdaten zu verwenden, um zu bestimmen, wer und was Aufmerksamkeit benötigt, und Anleitungen im Arbeitsablauf bereitzustellen, anstatt weitere Kontrollen zu implementieren. Wenn dies richtig gemacht wird, reduziert es Reibung, indem es den sicheren Weg zum einfachsten macht, anstatt Überwachung über alle zu erhöhen.

Wenn wir fünf Jahre in die Zukunft blicken, wie wird die Sicherheit der Belegschaft aussehen, und was unterschätzen die meisten Organisationen heute noch?

Wenn wir fünf Jahre in die Zukunft blicken, wird die Sicherheit der Belegschaft durch die Fähigkeit definiert, Risiken über menschliche und KI-Agenten hinweg zu verstehen und zu managen. Es wird nicht mehr um periodische Schulungen oder statische Kontrollen gehen, sondern um kontinuierliche Sichtbarkeit, Echtzeit-Risikobewertung und die Fähigkeit, dynamisch zu handeln, wenn sich Verhalten, Zugriff und Bedrohungen ändern. Menschen werden immer noch im Mittelpunkt stehen, aber sie werden sich durch KI erweitern, was bedeutet, dass Sicherheit sowohl menschliche als auch KI-getriebene Risiken berücksichtigen muss.

Was die meisten Organisationen unterschätzen, ist, dass es bereits heute eine Sichtbarkeitslücke im Bereich menschliches Risiko gibt, und KI verschärft dies. Viele denken, sie hätten eine KI-Strategie, aber in Wirklichkeit fehlt es an Sichtbarkeit in Bezug auf Menschen und die von ihnen verwendeten Tools. Schritt eins ist das Verständnis menschlichen Risikos, Verhaltens, Zugriffs und Exposition gegenüber Bedrohungen. Schritt zwei ist die Erweiterung dieser Sichtbarkeit auf die KI-Agenten, die Mitarbeiter verwenden, die nur so mächtig und riskant sind, wie der Zugriff und die Entscheidungen, die Menschen ihnen geben. Ohne diese Grundlage sind Organisationen nicht nur im Bereich KI im Rückstand, sondern operieren mit wachsenden blinden Flecken über ihre gesamte Belegschaft hinweg.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Living Security besuchen.