Nick Kathmann, CISO/CIO bei LogicGate – Interview-Serie

Nicholas Kathmann ist der Chief Information Security Officer (CISO) bei LogicGate, wo er das Informationsicherheitsprogramm des Unternehmens leitet, die Sicherheitsinnovationen der Plattform überwacht und mit Kunden über die Verwaltung von Cyber-Risiken zusammenarbeitet. Mit über zwei Jahrzehnten Erfahrung in der IT und 18+ Jahren in der Cybersicherheit hat Kathmann Sicherheitsoperationen in kleinen Unternehmen und Fortune-100-Unternehmen aufgebaut und geleitet.

LogicGate ist eine Plattform für Risiko- und Compliance-Management, die Organisationen hilft, ihre Governance-, Risiko- und Compliance-Programme (GRC) zu automatisieren und zu skalieren. Mit seinem Flaggschiff-Produkt, Risk Cloud®, ermöglicht LogicGate es Teams, Risiken im gesamten Unternehmen mit anpassbaren Workflows, Echtzeit-Einblicken und Integrationen zu identifizieren, zu bewerten und zu verwalten. Die Plattform unterstützt eine breite Palette von Anwendungsfällen, einschließlich Drittanbieter-Risiken, Cybersicherheits-Compliance und internem Audit-Management, und hilft Unternehmen, agilere und widerstandsfähigere Risikostrategien aufzubauen.

Sie sind sowohl CISO als auch CIO bei LogicGate — wie sehen Sie die Veränderung der Verantwortlichkeiten dieser Rollen durch KI in den nächsten 2-3 Jahren?

KI verändert bereits beide Rollen, aber in den nächsten 2-3 Jahren denke ich, dass wir eine große Zunahme von Agentic KI sehen werden, die die Art und Weise, wie wir mit Geschäftsprozessen auf täglicher Basis umgehen, neu definieren kann. Alles, was normalerweise an einen IT-Helpdesk gehen würde — wie das Zurücksetzen von Passwörtern, das Installieren von Anwendungen und mehr — kann von einem KI-Agenten gehandhabt werden. Ein weiterer wichtiger Anwendungsfall wird die Verwendung von KI-Agenten sein, um langweilige Audit-Bewertungen zu handhaben, sodass CISOs und CIOs strategischere Anfragen priorisieren können.

Wie sollten Unternehmen AI-Einsatz bei gleichzeitiger Wahrung einer starken Sicherheitslage angehen, angesichts der federalen Cyber-Entlassungen und Deregulierungstrends?

Während wir in den USA einen Deregulierungstrend sehen, werden die Vorschriften in der EU tatsächlich verschärft. Wenn Sie also ein multinationales Unternehmen sind, sollten Sie damit rechnen, globalen regulatorischen Anforderungen an die verantwortungsvolle Nutzung von KI gerecht zu werden. Für Unternehmen, die nur in den USA tätig sind, sehe ich eine Lernphase in Bezug auf die KI-Adoption. Ich denke, es ist wichtig für diese Unternehmen, starke KI-Governance-Richtlinien zu entwickeln und menschliche Aufsicht während des Einsatzprozesses zu gewährleisten, um sicherzustellen, dass nichts außer Kontrolle gerät.

Welche blinden Flecken sehen Sie heute bei der Integration von KI in bestehende Cybersicherheitsframeworks?

Während es einige Bereiche gibt, an die ich denken kann, ist der bedeutendste blinde Fleck der, wo Ihre Daten gespeichert sind und wo sie übertragen werden. Die Einführung von KI wird diese Überwachung in diesem Bereich nur noch herausfordernder machen. Anbieter ermöglichen KI-Funktionen in ihren Produkten, aber diese Daten gehen nicht immer direkt an das KI-Modell/Anbieter. Das macht traditionelle Sicherheitswerkzeuge wie DLP und Web-Überwachung effektiv blind.

Sie haben gesagt, dass die meisten KI-Governance-Strategien “Papertiger” sind. Was sind die Kernbestandteile eines Governance-Frameworks, das tatsächlich funktioniert?

Wenn ich “Papertiger” sage, beziehe ich mich speziell auf Governance-Strategien, bei denen nur ein kleines Team die Prozesse und Standards kennt und diese nicht durchgesetzt oder sogar im gesamten Unternehmen verstanden werden. KI ist sehr umfassend, was bedeutet, dass sie jeden Bereich und jedes Team betrifft. “Einheitslösungen” werden nicht funktionieren. Ein Finanzteam, das KI-Funktionen in sein ERP integriert, ist anders als ein Produktteam, das eine KI-Funktion in einem bestimmten Produkt integriert, und die Liste geht weiter. Die Kernbestandteile eines starken Governance-Frameworks variieren, aber IAPP, OWASP, NIST und andere Beratungsstellen haben gute Frameworks für die Bewertung dessen, was zu bewerten ist. Der schwierigste Teil ist, herauszufinden, wann die Anforderungen für jeden Anwendungsfall gelten.

Wie können Unternehmen KI-Modell-Drift und -Degradation vermeiden und eine verantwortungsvolle Nutzung über die Zeit hinweg gewährleisten, ohne ihre Richtlinien zu überingenieuren?

Drift und Degradation sind einfach Teil der Nutzung von Technologie, aber KI kann diesen Prozess erheblich beschleunigen. Wenn jedoch der Drift zu groß wird, sind korrektive Maßnahmen erforderlich. Eine umfassende Teststrategie, die Genauigkeit, Voreingenommenheit und andere Warnsignale misst, ist über die Zeit hinweg notwendig. Wenn Unternehmen Voreingenommenheit und Drift vermeiden möchten, müssen sie zunächst sicherstellen, dass sie die Werkzeuge haben, um sie zu identifizieren und zu messen.

Welche Rolle sollten Changelogs, begrenzte Richtlinien-Updates und Echtzeit-Feedback-Schleifen bei der Aufrechterhaltung einer agilen KI-Governance spielen?

Während sie derzeit eine Rolle spielen, um Risiken und Haftung für den Anbieter zu reduzieren, behindern Echtzeit-Feedback-Schleifen die Fähigkeit von Kunden und Benutzern, KI-Governance durchzuführen, insbesondere wenn Änderungen in den Kommunikationsmechanismen zu häufig auftreten.

Welche Bedenken haben Sie hinsichtlich KI-Voreingenommenheit und Diskriminierung bei der Kreditwürdigkeit oder der Bonitätsprüfung, insbesondere bei “Kaufen Sie jetzt, zahlen Sie später” (BNPL)-Diensten?

Letztes Jahr sprach ich mit einem KI/ML-Forscher bei einer großen, multinationalen Bank, der mit KI/LLMs in ihren Risikomodellen experimentiert hatte. Die Modelle, auch wenn sie auf großen und genauen Datensätzen trainiert wurden, würden überraschende, nicht unterstützte Entscheidungen zur Genehmigung oder Ablehnung von Krediten treffen. Zum Beispiel würden die Modelle, wenn die Wörter “großartige Kreditwürdigkeit” in einem Chat-Transkript oder in der Kommunikation mit Kunden erwähnt wurden, den Kredit standardmäßig ablehnen — unabhängig davon, ob der Kunde oder der Bankmitarbeiter es sagte. Wenn KI verlässlich sein soll, benötigen Banken bessere Aufsicht und Rechenschaftspflicht, und diese “Überraschungen” müssen minimiert werden.

Was ist Ihre Meinung dazu, wie wir Algorithmen auditen oder bewerten sollten, die hochriskante Entscheidungen treffen — und wer sollte dafür verantwortlich sein?

Dies führt zurück zu dem umfassenden Testmodell, bei dem es notwendig ist, den Algorithmus/Modell kontinuierlich in Echtzeit zu testen und zu benchmarken. Dies kann schwierig sein, da das Modell-Output wünschenswerte Ergebnisse haben kann, die von Menschen identifiziert werden müssen. Als Beispiel aus der Bankenbranche: Ein Modell, das alle Kredite ablehnt, hat eine großartige Risikobewertung, da keine Kredite, die es genehmigt, jemals ausfallen werden. In diesem Fall sollte die Organisation, die das Modell/Algorithmus implementiert, für das Ergebnis des Modells verantwortlich sein, genauso wie sie es wäre, wenn Menschen die Entscheidung treffen würden.

Wie verändern KI-Tools die Risikolandschaft und die Versicherungsunterzeichnung selbst, da immer mehr Unternehmen Cyberversicherungen benötigen?

KI-Tools sind großartig darin, große Mengen an Daten zu verbreiten und Muster oder Trends zu finden. Auf der Kundenseite werden diese Tools instrumental sein, um das tatsächliche Risiko des Unternehmens zu verstehen und dieses Risiko zu verwalten. Auf der Seite des Versicherungsanbieters werden diese Tools hilfreich sein, um Inkonsistenzen und Unternehmen zu finden, die im Laufe der Zeit unreif werden.

Wie können Unternehmen KI nutzen, um proaktiv das Cyberrisiko zu reduzieren und bessere Konditionen auf dem heutigen Versicherungsmarkt zu verhandeln?

Heute ist der beste Weg, KI für die Risikoreduzierung und die Verhandlung von besseren Versicherungsbedingungen zu nutzen, die Filterung von Rauschen und Ablenkungen, um sich auf die wichtigsten Risiken zu konzentrieren. Wenn Sie diese Risiken umfassend reduzieren, sollten Ihre Cyberversicherungsprämien sinken. Es ist zu einfach, sich von der schieren Menge an Risiken überwältigen zu lassen. Lassen Sie sich nicht von dem Versuch behindern, jedes einzelne Problem anzugehen, wenn die Konzentration auf die wichtigsten Risiken einen viel größeren Einfluss haben kann.

Welche taktischen Schritte empfehlen Sie Unternehmen, die KI verantwortungsvoll implementieren möchten — aber nicht wissen, wo sie anfangen sollen?

Zuerst müssen Sie verstehen, welche Anwendungsfälle Sie haben und die gewünschten Ergebnisse dokumentieren. Jeder möchte KI implementieren, aber es ist wichtig, zunächst an Ihre Ziele zu denken und von dort auszugehen — etwas, mit dem ich denke, viele Organisationen heute kämpfen. Sobald Sie ein gutes Verständnis Ihrer Anwendungsfälle haben, können Sie die verschiedenen KI-Frameworks recherchieren und verstehen, welche der anwendbaren Kontrollen für Ihre Anwendungsfälle und Implementierung relevant sind. Eine starke KI-Governance ist auch für die Risikominderung und Effizienz von entscheidender Bedeutung, da Automation nur so nützlich ist wie die Daten, die sie erhält. Unternehmen, die KI nutzen, müssen dies verantwortungsvoll tun, da Partner und Interessenten schwierige Fragen zu KI-Ausbreitung und -Nutzung stellen. Die Unfähigkeit, diese Fragen zu beantworten, kann dazu führen, dass Geschäftsabschlüsse verpasst werden und dies direkt den Unternehmenserfolg beeinträchtigt.

Wenn Sie das größte KI-bezogene Sicherheitsrisiko in fünf Jahren vorhersagen müssten — was wäre es — und wie können wir uns heute darauf vorbereiten?

Meine Vorhersage ist, dass Angreifer, wenn Agentic KI in mehr Geschäftsprozesse und Anwendungen integriert wird, diese Agenten manipulieren werden, um schädliche Ergebnisse zu erzielen. Wir haben bereits gesehen, wie dies bei der Manipulation von Kundenbetreuungsagenten der Fall war, was zu nicht autorisierten Geschäften und Rückerstattungen führte. Angreifer nutzten Sprachtricks, um Richtlinien zu umgehen und die Entscheidungsfindung des Agenten zu beeinflussen.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten LogicGate besuchen.