Sicher ohne IT-Abteilung

Warum Grundschutz vor KI kommt

Wer sich mit dem Einsatz künstlicher Intelligenz im Betrieb beschäftigt, stößt schnell auf eine Reihenfolge, die nicht verhandelbar ist: zuerst das Fundament der Informationstechnik, dann die Risiken, die neue Werkzeuge mitbringen. Band 1 dieser Reihe hat das in einem Satz gesagt und in fünf Punkten ausgeführt. Dieses Handbuch ist die Ausführung dieser fünf Punkte in der Tiefe, die ein Betrieb ohne IT-Abteilung braucht, um sie selbst umzusetzen — oder um zu prüfen, ob sein Dienstleister sie umgesetzt hat.

Band 1 stellt in Abschnitt 12 „Informationssicherheit“ fest, die Reihenfolge sei „fachlich vorgegeben: zunächst das grundlegende Fundament der Informationstechnik, danach die KI-spezifischen Risiken. Nicht ersatzweise.“ Vor jeder KI-spezifischen Maßnahme seien fünf Punkte zu ordnen, die „unspektakulär“ seien und „den überwiegenden Teil der tatsächlich eintretenden Vorfälle“ abdeckten:

Datensicherung, getrennt vom Netz vorgehalten, mit mindestens einmal erfolgreich erprobter Wiederherstellung. — Aktuelle Software auf allen Geräten — Betriebssysteme, Browser, Server, auch selten genutzte Geräte. — Zugänge: personengebundene Konten, Zwei-Faktor-Anmeldung, unverzügliche Sperrung bei Ausscheiden. — Zuständigkeit: eine namentlich benannte verantwortliche Person, auch wenn externe Unterstützung hinzugezogen wird. — Notfallregelung: festgelegte Erreichbarkeiten für den Fall eines Ausfalls.

Diese fünf Punkte sind die Gliederung von Teil II und III dieses Handbuchs: Zugänge (Abschnitte 4 und 5), Sicherung (6), aktuelle Software und Geräte (7), Zuständigkeit (9), Notfall (10 und 11). Dazu kommt ein Punkt, den Band 1 unter den KI-spezifischen Risiken führt, der aber jeden Betrieb trifft, ob er KI nutzt oder nicht: E-Mail und Betrug (8).