Mend.io hat einen Leitfaden mit dem Titel „AI Security Governance: A Practical Framework for Security and Development Teams“ veröffentlicht. Das Rahmenwerk soll Unternehmen helfen, die Sicherheitsrisiken zu managen, die durch die schnelle Einführung von KI-Tools in ihren Betrieb entstehen.
- Mend.io stellt ein neues Rahmenwerk vor, das Unternehmen bei der Überbrückung der kritischen Lücke zwischen rasanter KI-Einführung und interner Sicherheits-Governance unterstützt.
- Um unregulierte Schatten-KI aufzudecken, empfiehlt der Leitfaden eine lückenlose und explizit nicht-bestrafende Erfassung aller verwendeten KI-Assets durch die Entwickler.
- Ein integriertes Bewertungssystem teilt alle KI-Anwendungen anhand von fünf Risikodimensionen in drei Stufen ein, welche die jeweils erforderlichen Überwachungsmaßnahmen diktieren.
Das Problem, das Mend.io identifiziert, ist eine Sicherheitslücke: Während Entwickler und Analysten schnell KI-Anwendungen wie GitHub Copilot oder LLM-Tools integrieren, hinkt die Sicherheits-Governance oft hinterher. Dies führt dazu, dass KI-Systeme in der Produktion laufen, bevor Sicherheitsteams davon Kenntnis nehmen oder entsprechende Richtlinien implementieren können.
Ein zentraler Bestandteil des Frameworks ist das „Inventory Problem“. Es betont, dass Governance ohne vollständige Transparenz über alle verwendeten KI-Assets unmöglich ist. Zu diesen Assets gehören Entwicklungstools, Drittanbieter-APIs, Open-Source-Modelle, KI-Funktionen in SaaS-Tools, interne Modelle und autonome KI-Agenten. Um das Problem der „Schatten-KI“ zu lösen, also der Nutzung von Tools ohne Genehmigung der Sicherheitsabteilung, schlägt das Rahmenwerk einen nicht-bestrafenden Ansatz vor. Dies soll Entwickler ermutigen, die Verwendung solcher Tools offenzulegen.
Zudem führt das Framework ein gestuftes Risikobewertungssystem ein. Jedes KI-Asset wird anhand von fünf Dimensionen bewertet: Datensensitivität, Entscheidungsbefugnis, Systemzugriff, externe Exposition und Lieferkettenherkunft. Die Gesamtpunktzahl bestimmt die erforderliche Governance-Stufe:
- Stufe 1 (Geringes Risiko): Punktzahl 5–7. Erfordert eine standardmäßige Sicherheitsüberprüfung und leichtes Monitoring.
- Stufe 2 (Mittleres Risiko): Punktzahl 8–11. Löst eine erweiterte Überprüfung, Zugriffskontrollen und vierteljährliche Verhaltensprüfungen aus.
- Stufe 3 (Hohes Risiko): Punktzahl 12–15. Erfordert eine vollständige Sicherheitsbewertung, Designüberprüfung, kontinuierliche Überwachung und einen einsatzbereiten Incident-Response-Plan.
Es wird betont, dass sich die Risikostufe eines Modells erheblich ändern kann, auch ohne Modifikation der zugrunde liegenden Technologie.
❓ Häufig gestellte Fragen
✍️ Editorial / Meinungsbeitrag — basiert auf Einordnung der Redaktion, nicht auf externen Primärquellen.
📚 Quellen
