Mend hat einen praktischen Leitfaden für Teams in Sicherheit und Entwicklung veröffentlicht, um die Governance von KI-Systemen in Unternehmen zu verbessern. Das Dokument mit dem Titel „AI Security Governance: A Practical Framework for Security and Development Teams“ adressiert die Herausforderung, dass KI-Anwendungen oft unkontrolliert in Unternehmen eingeführt werden, bevor Sicherheits- und Governance-Teams involviert sind.
- Mend veröffentlicht ein neues Framework, das Unternehmen hilft, die unkontrollierte Nutzung von KI-Anwendungen sicher und transparent zu steuern.
- Ein Kernbestandteil ist die straffreie Erfassung aller eingesetzten KI-Werkzeuge, um Entwickler zur Offenlegung ihrer Schatten-KI zu motivieren.
- Ein integriertes Risikostufensystem bewertet jede KI-Lösung anhand von fünf Kriterien und ordnet automatisch passende Sicherheitsmaßnahmen zu.
Der Kern des Frameworks ist die Notwendigkeit der Transparenz über alle eingesetzten KI-Assets. Dazu zählen Entwicklungstools wie GitHub Copilot, APIs von Drittanbietern wie OpenAI, Open-Source-Modelle, KI-Funktionen in SaaS-Produkten (z.B. Notion AI), interne Modelle und autonome KI-Agenten. Das Framework betont, dass die Erfassung dieser „Schatten-KI“ in einem nicht-bestrafenden Umfeld erfolgen sollte, um Entwickler zur Offenlegung zu ermutigen.
Ein zentraler Bestandteil des Frameworks ist ein Risikostufensystem zur Kategorisierung von KI-Implementierungen. Jedes KI-Asset wird anhand von fünf Kriterien mit 1 bis 3 Punkten bewertet: Datenempfindlichkeit, Entscheidungsbefugnis, Systemzugriff, externe Exposition und Ursprung der Lieferkette. Die Gesamtpunktzahl bestimmt die erforderlichen Governance-Maßnahmen:
- **Tier 1 (Niedriges Risiko):** 5-7 Punkte, erfordert Standard-Sicherheitsprüfung und leichtes Monitoring.
- **Tier 2 (Mittleres Risiko):** 8-11 Punkte, führt zu erweiterter Überprüfung, Zugriffskontrollen und vierteljährlichen Verhaltensprüfungen.
- **Tier 3 (Hohes Risiko):** 12-15 Punkte, erfordert eine vollständige Sicherheitsbewertung, Designprüfung und kontinuierliches Monitoring.
Der Leitfaden zielt darauf ab, AppSec-Leads, Engineering-Managern und Datenwissenschaftlern einen Ausgangspunkt für den Aufbau einer KI-Sicherheitsstrategie zu bieten, auch wenn noch kein ausgereiftes Sicherheitsprogramm für KI existiert.
❓ Häufig gestellte Fragen
✍️ Editorial / Meinungsbeitrag — basiert auf Einordnung der Redaktion, nicht auf externen Primärquellen.
📚 Quellen
