Steve Tait, Chief Technology Officer bei Skyhigh Security – Interview-Serie

Steve Tait, Chief Technology Officer bei Skyhigh Security, ist ein erfahrener Executive Technology Leader mit über 25 Jahren Erfahrung in den Bereichen Cybersicherheit, Verteidigung, Finanzdienstleistungen und Gesundheitswesen. Er trat Skyhigh im August 2024 bei, um die technologische Vision, Architektur und Cloud-Infrastruktur-Strategie des Unternehmens für Security Service Edge (SSE) zu leiten.

Skyhigh Security ist ein privat gehaltenes, cloud-natives Cybersicherheitsunternehmen mit Sitz in San Jose, Kalifornien, das eine umfassende Security Service Edge (SSE)-Plattform anbietet. Die Plattform vereint Lösungen wie CASB, Secure Web Gateway, Zero Trust Private Access, CNAPP, DLP und Remote Browser Isolation, um Daten zu schützen und sichere Zusammenarbeit über Web, Cloud, E-Mail und private Anwendungen zu gewährleisten. Mit dem Fokus auf Echtzeit-Datenschutz, Bedrohungsprävention und Compliance dient Skyhigh Security über 3.000 Kunden weltweit, darunter viele Fortune-500-Unternehmen und große Finanzinstitute, durch eine skalierbare, datenbewusste Architektur, die für moderne Hybrid-Arbeitsumgebungen konzipiert ist.

Sie begannen Ihre Karriere im Bereich Mobile Data, bevor Sie durch verschiedene Rollen in Ingenieur- und Führungsfunktionen in verschiedenen Branchen aufstiegen – welche frühe Erfahrung prägte Ihre Leidenschaft für Cybersicherheit und führte Sie zu Ihrem heutigen Standort?

Als ich bei BAE Systems anfing, gewann ich Einblicke in die Arbeit der unglaublichen Teams, die die schädlichsten Viren und Malware dekonstruieren, um zu lernen, wie man sich dagegen verteidigen kann. Die enorme Größe und professionelle Organisation der Cyberkriminalitätsindustrie war ein echter Augenöffner. Zum Beispiel kann der Code hinter Cyber-Angriffen manchmal auf mehrere nationale Akteure und kriminelle Organisationen zurückgeführt werden. Es sind nicht Teenager in ihren Schlafzimmern, es ist ein ernstes globales Geschäft. Sich dagegen zu verteidigen, ist ein echter Beitrag zur Gesellschaft, und ich wollte Teil davon sein.

Sie haben gesagt, dass “digitale Transformation vorbei” ist und wir jetzt in eine Ära der AI-Transformation eintreten – wie unterscheiden Sie eine Phase von der anderen in Bezug auf Unternehmensstrategie und Ergebnisse?

Die digitale Transformation war darauf ausgerichtet, Geschäftsprozesse mit Hilfe von Technologie zu optimieren, um sie effizienter, effektiver und kundenfreundlicher zu machen. Die AI-Transformation zielt aus geschäftlicher Sicht auf das gleiche Ziel ab. Der grundlegende Unterschied jedoch ist, dass die digitale Transformation dies durch Prozessautomatisierung, Datenaggregation und fortschrittliche Datenvisualisierung erreicht, während die AI-Transformation dies durch Originalinhalts-Erstellung, Begleitanalyse und autonome Entscheidungsfindung erreicht. Die digitale Transformation zielte darauf ab, menschliche Entscheidungsprozesse zu optimieren und zu straffen. Die AI-Transformation hat die Fähigkeit, viele davon vollständig zu eliminieren!

Was halten Sie für die größten organisatorischen Herausforderungen, denen Unternehmen bei der Umstellung von klassischer Automatisierung auf die Integration von generativer AI gegenüberstehen?

Das Maß an Transformation, das erforderlich ist, um wirklich von dieser Technologie zu profitieren, ist enorm. Unternehmen könnten – und sollten vielleicht – in ein paar Jahren völlig anders aussehen. Jetzt jedoch, trotz des Hypes, ist es noch in den Anfängen. Das größte organisatorische Problem heute ist tatsächlich die Schulung. Viele Unternehmen haben das übliche 20-minütige Corporate-Training-Video über AI erstellt, aber das reicht einfach nicht aus. Mitarbeiter müssen lernen, wie sie diese Technologie nutzen, die realen Risiken, die sie birgt, und verstehen, auch wenn nur ein wenig, wie sie funktioniert. Auf diese Weise können Mitarbeiter auf allen Ebenen dazu beitragen, das Unternehmen mit der Technologie zu transformieren.

In Security Magazine haben Sie Prompt-Injektionen und Halluzinationen als Top-Risiken hervorgehoben – welche Bedrohungsquelle bereitet Ihnen die größten Sorgen, und wie geht Skyhigh damit um?

Unbeabsichtigte Datenexfiltration ist mit Abstand die größte korporative Bedrohung in Bezug auf Volumen. Allein aus den Daten, die wir bei Skyhigh verfolgen, sahen wir eine Zunahme der Daten, die an LLMs hochgeladen wurden, um 80 % innerhalb des letzten Jahres. Viele Schnittstellen funktionieren wie Geschäftsassistenten und ermutigen zur Upload von immer mehr Informationen. Die Handlung, Informationen mit einer anderen Person zu teilen – eine Datei zu komprimieren und an einen SFTP-Ort für die Analyse durch Dritte zu senden – lässt einen Mitarbeiter innehalten und über die potenziellen Risiken nachdenken. Es sind nur einige Schritte, um dies zu tun, und man wird sehr bewusst, dass man es an jemanden sendet. Wenn man jedoch mitten in einer Analyse mit einem AI-Tool ist und einfach einen Datenblock in eine Prompt-Eingabe kopiert, um eine schnelle Antwort zu erhalten, ist dies nur Sekundenarbeit, aber die Frage bleibt: Wohin ging diese Daten und wie wurden sie verwendet? Deshalb konzentriert sich Skyhigh hauptsächlich auf den Schutz vor Datenverlust bei AI-Anwendungen, insbesondere bei Copiloten.

Sie haben Statistiken genannt, die zeigen, dass 94 % der AI-Anwendungen LLM-Risiken aufweisen und 11 % der Dateien, die an AI hochgeladen werden, sensibel sind – welche Trends sehen Sie darin, wie Unternehmen auf diese Probleme reagieren?

Unternehmen verwenden immer noch “Benutzerpolitik” und “Blockierung” als ihre primären Techniken, aber viele Unternehmen bleiben blind für die Menge an AI, die jeden Tag verwendet wird. Wir sehen großes Interesse an der Erhöhung der Entdeckung, Sichtbarkeit und der Erweiterung von Data-Loss-Prevention-Techniken auf AI, insbesondere für große Copilot-Anwendungen.

Unternehmens-Copiloten können auf große Mengen an proprietären Daten zugreifen – welche Strategien sind am effektivsten, um unbefugte Datenlecks oder Missbrauch über diese Systeme zu verhindern?

Es beginnt immer mit der Politik und der Schulung. Danach sind eine Kombination aus Datenkennzeichnung und DLP-Techniken von entscheidender Bedeutung. Microsoft (MSFT ) AIP-Kennzeichnung kann beispielsweise verhindern, dass vertrauliche Daten von MSFT Copilot indiziert werden. In Kombination mit CASB- und DLP-Tools können AIP-Kennzeichnungen automatisch basierend auf Datenklassifizierungen hinzugefügt werden. DLP, das auf Dokumenten- und Prompt-Daten durchgeführt wird, kann die Verhinderung unbeabsichtigter Datenuploads gewährleisten.

Sie haben den Risiken hervorgehoben, die von “Citizen-Developern” ausgehen, die ihre eigenen Anwendungen erstellen – wie können Unternehmen ein Gleichgewicht zwischen der Förderung von Innovation und der Gewährleistung sicherer Entwicklung finden?

Es kommt immer zurück auf die Schulung. Nur weil jemand ein “Citizen-Developer” ist, bedeutet das nicht, dass er sich den Sicherheitsgrundlagen entziehen kann, die Teil einer standardmäßigen Ingenieurschulung wären. Sie müssen nicht alles wissen, was ein erfahrener Software-Ingenieur wissen muss, aber grundlegende Konzepte wie privilegierter Zugriff und horizontale Privilegierung sind wichtige Konzepte beim Aufbau einer Anwendung. Persönlich würde ich den Zugriff auf solche Tools nur nach abgeschlossener angemessener Schulung ermöglichen. Dann geht es darum, Sicherheits-Tooling zu implementieren, um unabsichtliche Fehler zu vermeiden, was wiederum auf Techniken wie DLP zurückzuführen ist.

Als CTO von Skyhigh Security, welchen Bereich der AI-Risikominderung – Copiloten, Citizen-Dev oder Compliance-Infrastruktur – priorisieren Sie für die nächsten 12-18 Monate?

Bewusstsein ist von entscheidender Bedeutung, und Skyhigh bietet bereits umfassende Shadow-AI-Entdeckungstooling. Microsoft Copilot und ChatGPT Enterprise sind unser Hauptaugenmerk im Jahr 2025. Wir haben bereits Kontrollen für beide eingerichtet und erweitern diese weiter im Laufe des Jahres 2025. Wenn wir in das Jahr 2026 eintreten, werden wir unsere Aufmerksamkeit mehr auf Prompt-Kontrolle richten, um gegen bösartige Prompts, Jailbreaking und andere wichtige LLM-Risiken zu sichern.

Welcher Durchbruch oder welche Veränderung sehen Sie voraus, die unsere Art und Weise, über Unternehmenssicherheit in einer AI-ersten Welt nachzudenken, vollständig umgestalten könnte?

Agente AI. Es beginnt gerade, aber der Einfluss ist potenziell enorm. Wenn immer mehr dieser Agenten zusammengefügt werden, erhöhen sich die Angriffsvectoren entlang der Kette. Viele Cyberkriminalitäten werden von Menschen “entdeckt”, weil etwas nicht stimmt. In diesen Agentenketten wird es eine echte Herausforderung sein, Anzeichen von Kompromissen zu erkennen.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Skyhigh Security besuchen.