Susanne Senoff 01:00:00.000
Man muss wirklich anfangen, über ein minimal funktionsfähiges Unternehmen nachzudenken. Und genau so haben wir damit begonnen. Resilienz bedeutet: Welche Geschäftsprozesse müssen implementiert werden, welche Systeme unterstützen diese, welche Daten müssen vorhanden sein? Und so beginnt man, die Produktion zu betrachten.
Roy Akerman 01:00:12.240
Suzanne Sarnoff ist CSO bei Kona und CSO-Beraterin bei Pros.
Rob Ainscough 01:00:17.040
Suzanne bringt Erfahrungen aus erster Hand mit, was passiert, wenn ein Agent unsere traditionellen Sicherheitssysteme einem Stresstest unterzieht.
Susanne Senoff 01:00:23.400
Die Zukunft gehört der KI. Wir müssen davon ausgehen, dass der KI-Agent versuchen wird, darauf zuzugreifen. Ähnlich wie bei Bedrohungsakteuren – nur dass der Agent schneller sein wird.
Roy Akerman 01:00:33.560
Wir gehen einer der wichtigsten Fragen der Gegenwart nach: Wie können Unternehmen KI-Agenten absichern?
Susanne Senoff 01:00:40.320
Sie benötigen Experten für Identitätssicherheit. Sie müssen die Standards festlegen und sicherstellen, dass IAM tatsächlich funktioniert. Wenn Sie das noch nicht tun, sollten Sie es jetzt tun.
Roy Akerman 01:00:50.480
Identität ist nicht nur ein operatives Problem, sondern auch ein Sicherheitsproblem. Und die meisten Teams finden das gerade in Echtzeit heraus.
Rob Ainscough 01:00:57.240
Dies ist Identity Decoded, der Podcast, in dem wir die Bedeutung von Identitätssicherheit neu definieren. Wir führen offene Gespräche über die Menschen dahinter. Wir entwickeln, verbessern und überdenken Identitätssicherheit von innen heraus.
Roy Akerman 01:01:09.260
Ich bin Roy Ackerman.
Rob Ainscough 01:01:10.700
Und ich bin Rob Ainscough.
Roy Akerman 01:01:11.980
Lass uns eintauchen.
Rob Ainscough 01:01:13.060
Machen wir das.
Roy Akerman 01:01:19.620
Es gibt die Vorstellung, dass wir verstehen müssen, was im Netzwerk vor sich geht. Aber da KI-Agenten heutzutage – ich weiß nicht – 70 % des Datenverkehrs, vielleicht sogar nur 50 % übernehmen, ist es wirklich extrem schwierig zu erkennen, was menschlich und was nicht-menschlich ist. Und neulich erzählten Sie mir eine tolle Geschichte über eine Ihrer Erfahrungen. Würden Sie sie gerne mit unseren Zuhörern teilen?
Susanne Senoff 01:01:40.220
Oh, absolut. Ich denke, dass wir alle, die in Unternehmen mit hohem KI-Anteil arbeiten, unsere Sicherheitsstrategie größtenteils darauf basieren lassen. Also, das sollte dieser Agent in der Anfangszeit tun, als die Agenten auf den Markt kamen. Wir waren alle begeistert. Wir dachten: „Hey, das wird alles revolutionieren!“ Und wir dachten, wir hätten alles perfekt inventarisiert und sichergestellt, dass wir die richtigen Produkte im Einsatz hatten. Doch dann erhielt mein Sicherheitsteam eines Tages eine Warnung von unserem Cloud-Sicherheitsanbieter: „Oh, seht mal, in einem Speicherabbild einer unserer wichtigsten Datenbanken wurde ein Reverse-Proxy-Skript ausgeführt.“ Wir dachten nur: „Mist!“ Zum Glück hatten wir die Warnung. Und dann, zum Glück, meinte einer der Ingenieure, mit denen wir bei der Analyse des Vorfalls zusammenarbeiteten: „Diese Skripte sahen wirklich so aus, als ob sie von einem KI-Agenten geschrieben worden wären.“ Wir konnten den Ursprung also auf den Laptop der Datenbankadministratorin zurückverfolgen. Sie meinte nur: „Ach ja, ich habe lediglich einen Systemcheck durchgeführt.“ Das Problem war, dass der Agent den Systemcheck nicht bestanden hatte und sich daraufhin wie ein potenzieller Angreifer verhielt.
Rob Ainscough 01:02:53.360
Und das war quasi die völlig legale Nutzung eines KI-Produkts, das Sie verwenden. Also alles legitim? Ja, aber die Aktivität? Nicht wirklich.
Roy Akerman 01:03:01.470
Sehr viel. Also, Suzanne, du weißt ja, Identität ist der neue Sicherheitsmechanismus. Das sehen wir überall, nicht wahr? Und manchmal haben sie das Gefühl, dass es uns zurückhält, als würden wir dieselben Fehler machen wie bei der Netzwerksicherheit.
Susanne Senoff 01:03:12.230
Ich halte das Konzept der Identität als neuen Perimeter für absurd. Es wirkt, als ob die Marketingabteilung eines Identitätsunternehmens gesagt hätte: „Wenn wir das einfach so veröffentlichen, schnappen sich die Leute das, und dann können wir noch mehr verkaufen.“ Als ich mit der IT-Sicherheit anfing, ging es um den Burggraben. Und den musste man mit Netzwerksicherheit schützen. Ich habe den Eindruck, dass hier die Absicht herrscht: „Wenn wir nur unsere Identitäten richtig verwalten, haben wir einen neuen Burggraben.“ Und ich denke, das ist wirklich schädlich.
Roy Akerman 01:03:36.510
Du hasst diese Vorstellung also regelrecht, richtig? Oh ja. Und dieses Klischee, Rob, darüber haben wir vor der Sendung schon oft gesprochen. Was denkst du darüber?
Rob Ainscough 01:03:45.070
Ich sehe das etwas anders. Ich interpretiere die Aussage etwas anders. Klar, es ist eine Marketingaussage. Das ist das Wichtigste. Es ist eben nur eine Marketingaussage. Aber ich denke, sie besagt, dass wir uns wieder auf unsere Identität als wichtigste Verteidigungslinie besinnen, als das A und O für die Sicherung unserer Geschäfte. Ich verstehe sie nicht als eine Art Burggraben-Aussage. Ich denke, der Schutzraum ist überall und drückt sich in der Identität aus. Und wenn ich mit Unternehmen in ganz Europa über Identität spreche, stelle ich fest, dass viele von ihnen sehr offen agieren, nicht wahr? Es besteht eine große Chance, dass Unternehmen diese Grenzen mithilfe ihrer Identität überschreiten. Und ich glaube, selbst wenn man sich für einige von ihnen einen kleinen Schutzraum geschaffen hat, in der Hoffnung, dass es besser sein wird als heute, ist das nicht die endgültige Lösung, aber sicherlich ein Anfang.
Susanne Senoff 01:04:31.370
Man muss wirklich anfangen, über ein minimal funktionsfähiges Unternehmen nachzudenken. Genau so haben wir damit begonnen. Resilienz bedeutet: Welche Geschäftsprozesse müssen implementiert werden, welche Systeme unterstützen diese, welche Daten müssen vorhanden sein? So betrachtet man die Produktion.
Roy Akerman 01:04:44.210
Wenn ich das Ganze aus Sicherheitssicht betrachte, dann ist es so, dass wir darauf ausgelegt sind, Erkennungsmechanismen einzusetzen, sobald etwas schiefgeht. In diesem Moment lässt sich aber nicht wirklich verstehen oder definieren, was genau schiefgeht. Welche Identität wollen wir schützen? Wer ist der Akteur? Handelt es sich um einen stabilen Akteur? Wie schaffen wir dafür ein Framework? Transparenz schaffen, entdecken, protokollieren, erkennen, reagieren, beheben, wiederherstellen. Und wir haben diesen Feedback-Kreislauf, der ständig läuft.
Susanne Senoff 01:05:11.150
Du arbeitest für Nest.
Roy Akerman 01:05:13.630
Ich verstehe das Framework und schätze es sehr. Allerdings befinden wir uns meiner Meinung nach in einer völlig anderen Welt. Es ist, als würde alles zusammenbrechen, sodass wir alles gemeinsam angehen müssen. Und wo genau trifft das auf Authentifizierung? Wo trifft es auf IAM-Praktiken?
Rob Ainscough 01:05:28.430
Ich finde es wirklich interessant, auf die Idee des minimalen funktionsfähigen Unternehmens zurückzukommen. Wenn ich mit Unternehmen über Identität spreche, fällt mir oft auf, dass der Fokus auf der Nullstufe liegt. Sie konzentrieren sich also auf die Nullstufe. Wir investieren viel Mühe in die einzelnen Stufen – toll, gut gemacht, das ist wichtig. Aber was ist mit dem Bereich, in dem das eigentliche Geschäft läuft? Denn wenn man am Ende keine Geschäftsanwendungen hat, aber die Nullstufe nutzt, ist das dann wirklich etwas, wofür das Unternehmen bezahlen möchte? Ich denke, das ist eine sehr häufige Priorisierung im Bereich Identität. Sie resultiert letztendlich aus der Frage: Verstehe ich wirklich, was für mein Unternehmen wichtig ist?
Susanne Senoff 01:06:04.450
Nun, ich denke auch, dass Sie etwas wirklich Wichtiges ansprechen, nämlich diese einseitige Fokussierung auf bestimmte Dinge. Wir betrachten das auch aus der Perspektive der Identität. Richtig. Es geht darum, ob uns Nutzer, nicht-menschliche Systeme oder Agenten wichtiger sind, und welche Menschen und welche Agenten. Man muss aber den Zusammenhang erkennen, wie alles zusammenwirkt. Und ich glaube, dass dieser Zusammenhang manchmal übersehen wird.
Roy Akerman 01:06:26.690
Wir sprechen hier von einer Art Welt ohne feste Grenzen. Tut mir leid, Rob, aber zweitens können grundlegende Berechtigungen für böswillige oder vermeintlich böswillige Zwecke missbraucht werden. Wie schafft man ein System, das die Verbreitung solcher Systeme unmöglich macht? Ich meine, es gibt Millionen davon in Ihrer Organisation, wahrscheinlich auch in unserer. Ich mag mir das gar nicht vorstellen.
Susanne Senoff 01:06:46.050
Ich glaube nicht, dass wir ihre Verbreitung stoppen sollten. Die Zukunft gehört der KI. Wir müssen wieder wissen, was wir schützen wollen, und die entsprechenden Maßnahmen ergreifen. Wir müssen davon ausgehen, dass der KI-Agent versuchen wird, auf diese Daten zuzugreifen, ähnlich wie wir Bedrohungsakteure betrachten – nur dass der Agent schneller sein wird. Und wir werden ihn vielleicht nicht immer so kommen sehen wie früher einen Bedrohungsakteur. Das ist irgendwie spannend. Es ist ein interessantes Problem, das es zu lösen gilt. Ich habe eine 15-jährige Tochter und denke oft über Agenten wie sie nach. Ich persönlich finde, dass ich einen fantastischen Job gemacht habe. Mein Mann und ich haben dieses wundervolle Mädchen großgezogen. Sie hat alle nötigen Anweisungen erhalten, alle erforderlichen Schulungen absolviert und verfügt über das richtige Fundament. Alles ist bestens. Sie ist jetzt 15 und geht hinaus in die Welt. Weißt du, in ein paar Monaten hat sie ihren Führerschein, verstehst du? Dann hat sie eine Identität. Super. Stimmt. Aber worauf ich jetzt angewiesen bin, ist die Frage, welche Kontrollmechanismen es da draußen gibt, die ihren Aufenthaltsort ermitteln können. Und übrigens, ich habe ihr einen Peilsender angelegt, der dazugehört.
Roy Akerman 01:07:50.790
Sie weiß.
Susanne Senoff 01:07:53.390
Aus ihrer Sicht. Aber wissen Sie, es sind Dinge wie: In den USA muss man 21 sein, um in eine Bar zu kommen. Ich bin mir also ziemlich sicher, dass sie da nicht reinkommt. Führerscheine sind heutzutage extrem sicher. Die lassen sich kaum fälschen. Und wir wissen ja auch, dass es Verhaltenskontrollen gibt. Wenn sie zum Beispiel auf der Autobahn Schlangenlinien fährt, werden Kameras sie erfassen und Polizisten sie anhalten. Deshalb müssen wir bei der Planung der Sicherheitsvorkehrungen im Unternehmen so denken, als ob eine 15-Jährige macht, was sie will.
Roy Akerman 01:08:25.140
Eine unberechenbare 15-Jährige. Oder so ähnlich. Ja, das kann ich verstehen. Mir fällt es schwer zu akzeptieren, dass sie Auto fahren darf, oder? Sie darf Geld ausgeben. Stimmt's? Es gibt Bereiche, in denen diese Privilegien missbraucht werden können. Wenn wir jetzt über einen Agenten sprechen, zum Beispiel über einen Health-Check oder einen Reverse-Proxy, der die Netzwerkfähigkeit des Agenten aufrechterhält, gilt dasselbe Berechtigungsmodell. Kann man die Welt noch mit einer Liste beschreiben, die vorschreibt, was man tun darf? Haben wir die nötige Sprache, um die Kontrollen an den richtigen Stellen zu implementieren?
Susanne Senoff 01:09:07.400
Früher war Identität sehr zweidimensional und flach. Dann kam der Wandel hin zu KI-gestützter Benutzeridentität. Und das reicht einfach nicht mehr aus. Denn Identität erweitert sich und umfasst nun drei Dimensionen: Absicht und Verhalten. Man kann also nicht nur einen Aspekt betrachten, sondern muss die Kombination berücksichtigen.
Roy Akerman 01:09:30.040
Und wenn wir uns verstärkt auf das Verhalten konzentrieren, was müssten wir wissen, um basierend auf diesem Sensor, der die Vorgänge erfasst, Kontrolle ausüben zu können? Es geht nicht nur darum, eine böswillige Absicht zu erkennen. Wie können wir das feststellen? Das ist interessant. Mir scheint, dass uns dieser Bereich die Möglichkeit bietet, zu überdenken, wie sich Sicherheit ständig weiterentwickelt. Zuerst erkennen wir alle potenziellen Gefahren, dann versuchen wir, Mechanismen zu entwickeln, um einige davon zu verhindern, bevor überhaupt etwas passiert und die ersten Schritte des Angreifers eingeleitet werden. Aber wir befinden uns in einem schwierigen Gleichgewicht zwischen den Kontrollmechanismen, die wir nicht optimal nutzen, sodass wir erneut eine Warnung ausgeben müssen, die wir hätten vermeiden können.
Rob Ainscough 01:10:14.220
Ich denke, das Interessante daran ist, dass einige der Hebel, auf die wir uns in der Vergangenheit verlassen haben – sei es Erkennung und Reaktion oder das Schließen von Sicherheitslücken – immer weniger Zeit zur Verfügung stehen. Der Spielraum, diese als primäre Kontrollmechanismen zu nutzen, ist sehr gering und wird sich mit der Zeit wahrscheinlich weiter verringern. Daher kehren wir zur Identität als zentraler Säule zurück und fragen uns: Was müssen wir anders machen? Es ist zwar gut zu sagen, dass die Absicht entscheidend ist, aber was bedeutet das konkret? Was werden wir anders machen? Was bedeutet das für uns? Ich denke, das ist eine wirklich schwierige Herausforderung. Es erfordert eine völlig neue Herangehensweise an dieses Problem. Es geht nicht um Governance oder das Ausfüllen von Formularen, und Genehmigungen sind dafür zu schnell. Was werden wir also anders machen? Das ist mein zentraler Gedanke.
Roy Akerman 01:11:04.880
Wenn Sie an diesem Tag im SOC-Raum sitzen und live beispielsweise die Warnmeldung des Reverse-Proxys des Cloud-Anbieters sehen, was veranlasst Sie dann, die Meldung durchzulassen oder sie zu blockieren?
Susanne Senoff 01:11:21.040
Folgendes ist der Punkt: Es kommt darauf an. Genau. Und ich glaube, genau das ändert sich gerade. Wir wissen schon lange: Wenn Ihr SoC nicht in Ihr Unternehmen integriert ist und der Kontext nicht sofort verfügbar ist, haben wir keine Zeit mehr, einen Techniker anzurufen, ein Ticket zu erstellen und zu fragen: „Ist das so korrekt? Betrifft Sie das?“ Wir brauchen quasi vordefinierte Einschätzungen, ob es sich um eine Bedrohung handelt oder nicht. Wie in dem Beispiel, das ich Ihnen genannt habe, haben wir es abgeschaltet. Es sah nach einem Angreifer aus. Wir haben es gestoppt.
Roy Akerman 01:11:50.600
Und bevor man es versteht.
Susanne Senoff 01:11:51.880
Bevor wir es verstanden haben, weil es wie ein Bedrohungsakteur aussah. Und ich muss Ihnen sagen, das Produkt, die Führungskraft, die waren begeistert, das war genau die richtige Vorgehensweise.
Rob Ainscough 01:12:00.420
Ich denke, das führt wahrscheinlich zu einer Denkweise, bei der die Sicherheitsabteilung bisher eher zurückhaltend war, den Geschäftsbetrieb zu behindern und schwierige Entscheidungen zu treffen, nach dem Motto: „Das lassen wir nicht zu.“ Denn wir wollen ja, dass das Geschäft reibungslos läuft. Wir wollen nicht im Weg stehen. Aber ich glaube, angesichts der Risiken aus einer realistischen Perspektive können wir vielleicht proaktiver auftreten und klarstellen, was wir tolerieren und was nicht – insbesondere bei Dingen, die uns wirklich wichtig sind. Vielleicht beginnt damit eine neue Ära, was unsere Durchsetzungsfähigkeit und die Grenzen betrifft, die wir dem Unternehmen setzen. Wir müssen deutlich machen: „Das ist etwas Neues.“
Roy Akerman 01:12:37.380
Ich denke, wir werden letztendlich einen Mechanismus benötigen, der diese neuen Entwicklungen und Verhaltensweisen zulässt und nicht standardmäßig blockiert. Wenn wir etwas beobachten, das möglicherweise von einem Hacker genutzt werden könnte, ist die Absicht ein wichtiger Punkt, der derzeit vielleicht noch in der Luft liegt. Es ist das neue Schlagwort: Absicht, Firewall, Schutz und so weiter. Aber wenn man versteht, dass die Absicht eine Art Sicherheitsprüfung ist und dieser Agent von einem Laptop aus bedient wird, der einem vertrauenswürdigen, verifizierten Menschen gehört, dann wäre der Auslöser für die Blockierung etwas anders, oder würde sich das Verhalten nicht ändern? Das ist die entscheidende Frage: Sollten wir Agenten einsetzen, die diese Entscheidungen für uns treffen, um die bestehende Unsicherheit zu verringern? Wer hat was warum getan? Und wie sieht der Kontext in der exakten Sekunde und Bruchteilsekunde aus, bevor der Datenverkehr zugelassen wird oder nicht?
Susanne Senoff 01:13:34.290
Ja. Und genau das zeichnet zukunftsorientierte Cloud-Sicherheitsanbieter aus. Sie berücksichtigen diesen Kontext sofort und erkennen, dass sie nicht einfach nur die Entdeckung eines Problems liefern können. Ich wollte noch einmal auf etwas zurückkommen, das Sie zur Geschwindigkeit gesagt haben. Die Cloud Security Alliance hat kürzlich als Reaktion auf Mythos und Glassing ein Papier veröffentlicht, das eine Grafik enthielt, die mich wirklich umgehauen hat. Ich habe sie sofort an mein gesamtes Team weitergeleitet. Darin stand, dass die Zeit von der Entdeckung bis zur Ausnutzung von Schwachstellen im Jahr 2018 etwa 50 oder 60 Tage betrug. Und im Jahr 2026 sollen es nur noch 20 Stunden sein. Die Entwicklung verläuft exponentiell. Und ich denke, mit KI wird es auf Minuten heruntergehen.
Roy Akerman 01:14:19.150
Was bedeutet das für uns Menschen? Wir müssen uns vorbereiten. Wir müssen Teil der Geschichte sein. Aber was kann unser Publikum konkret anders machen, zum Beispiel am Montagmorgen? Ich muss eine neue Initiative entwickeln, die meinen CISO und das Team anspricht. Wie können wir da mitmischen? Ich denke immer wieder an die Privilegien, an Dinge, die man nicht sagen darf. Ja, es ist ein Privileg, das zu tun. Okay. Denn man weiß nicht, wer es ist. Und man kennt die Privilegien nicht. Man weiß nicht, wohin die Auswirkungen führen. Deshalb braucht man ein neues Framework, um das zu schützen. IAM sollte sich mehr auf das Verhalten konzentrieren, mehr auf die Echtzeit-Entscheidungsfindung und weniger auf die Verwaltung. Es geht nicht darum, die Kontrolle einzurichten und dann zu hoffen, dass es funktioniert. Das ist was anderes. Äh, und Cecil sollte IAM auch zu der Party einladen. Stimmt. Und du solltest dich da hinsetzen. Es ist so... Hm. Hast du das etwa zugelassen? Äh, was bedeutet das? Wohin kann das führen?
Rob Ainscough 01:15:23.810
Das ist es doch, worauf es Unternehmen letztendlich ankommt, oder? Und um auf das Thema zurückzukommen: Wir haben darüber gesprochen, was für das Unternehmen wichtig ist und was ich tue, um das zu schützen. Und ich denke, genau das ist der Unterschied. Für mich leuchtet das ein. Für andere mag es nicht einleuchtend sein, aber es ist ein Unterschied zwischen dem Schutz von Identitäten, um Dinge zu schützen, und dem Schutz von Dingen durch Identität. Genau. Und das ist tatsächlich ein ziemlich großer Unterschied, wenn man mal darüber nachdenkt. Was ist wirklich wichtig und wie nutze ich diesen Hebel der Identität – also Verhalten, Absicht, Kontext –, um Entscheidungen darüber zu treffen, was im Hinblick auf das Risiko angemessen ist und was nicht?
Roy Akerman 01:15:57.890
Und um diese Frage zu beantworten: Was würden Sie von der neuen Generation Ihrer IAM-Mitarbeiter erwarten, was sie besser können sollten?
Susanne Senoff 01:16:04.310
Erinnerst du dich, dass wir über Geschwindigkeit gesprochen haben? Menschen können Dinge nur begrenzt schnell erfassen. Du hast auch von KI-Agenten gesprochen, die KI-Agenten schützen, richtig? Ich weiß nicht mehr, wo ich das gehört habe, aber die Theorie besagt, dass die Angreifer in den nächsten zwei Jahren – also in diesem Mythos – im Vorteil sind. Ich weiß nicht, wer auf die zwei Jahre gekommen ist oder woher diese Annahme stammt. Aber nach zwei Jahren geschieht aus irgendeinem Grund etwas Magisches. Dann übernehmen die Verteidiger die Kontrolle. Und ich glaube fest daran, dass die Verteidiger die Kontrolle übernehmen werden. Es wird eine Welt geben, in der sich unsere KI-Agenten mit dieser Geschwindigkeit bewegen und uns signalisieren, dass sie zwar Angriffe blockieren, aber es nur Bruchteile von Sekunden dauern kann, bis sie den Kontext erfassen.
Roy Akerman 01:16:49.830
Man muss also eine IAM-Einheit entwickeln, die zu etwa 50 % aus KI-Agenten besteht, die jede Transaktion im Millisekundentakt verifizieren, bevor sie als vertrauenswürdig eingestuft wird. Und ich bin überzeugt, dass wir neue, andere Kontrollmechanismen benötigen werden, die sich in Echtzeit implementieren lassen. Aber was sagen die neuen Anbieter dazu? Was genau sind sie? Wie sehen sie diese Entwicklung?
Susanne Senoff 01:17:11.250
Ich glaube nicht, dass die Anbieter schon aufgeholt haben. Es herrscht allgemein die Stimmung: „Hey, wir müssen das klären.“ Was ist eigentlich ein Burggraben? Ich habe gehört, dass es in manchen Fällen nicht mehr um die Technologie geht, sondern um die Umsetzung, das Marketing. Und darum, dem Markt einen Schritt voraus zu sein. Das ist eine Theorie. Eine andere besagt, dass es am Ende genauso laufen wird wie beim Aufkommen von SaaS. Erinnern Sie sich noch, wie es vor Jahren hieß: „Warum sollten wir überhaupt etwas kaufen? Wir können es doch einfach selbst entwickeln!“ Aber die Leute haben das nicht getan, weil sie keine Entwickler im Team hatten. Sie brauchten operative Mitarbeiter, Sicherheitsexperten und Risikoanalysten. Ich weiß es also noch nicht genau. Ich denke, wir sind gerade dabei, es herauszufinden.
Roy Akerman 01:17:49.330
Angenommen, Sie kehren morgen in die IAM-Welt zurück und müssen eine Einheit neu aufbauen oder, ich weiß nicht, eine Einheit von IAM-Operatoren und -Leitern wiederbeleben. Was sollten Sie anders machen, um mit angeblich fehlerhaften Agenten umzugehen? Wie können Sie diese Herausforderungen flexibler meistern?
Rob Ainscough 01:18:11.790
Eine hervorragende Frage. Das ist eine wichtige Frage, Roy. Eine wirklich wichtige, wie ich finde.
Roy Akerman 01:18:15.470
Erwarten Sie auch von der Antwort viel. Einfach mal was ganz anderes.
Rob Ainscough 01:18:18.870
Schraubt eure Erwartungen einfach etwas herunter. Ich denke, es läuft für mich auf einige der Grundlagen hinaus, über die wir gesprochen haben. Genau. Und ich glaube, seit RSA und insbesondere Mythos hat sich stark darauf konzentriert, die Grundlagen gut zu beherrschen, Sicherheit zu gewährleisten und sicherzustellen, dass man für das wirklich Wichtige abgesichert ist. Wenn es dabei um Verhaltenskontext geht, also um klare Regeln, was einem wirklich wichtig ist und was durch Identitätsmanagement möglich ist und was nicht, dann ist das ein hervorragender Ausgangspunkt. Denn wir werden die Welt nicht von heute auf morgen lösen. Es ist ein großes Problem. Und Unternehmen sind so groß und technisch so komplex, dass es nicht über Nacht gelöst werden kann. Deshalb muss man zu den Grundlagen zurückkehren, zu dem, was für das eigene Unternehmen wirklich zählt, und messen können, was man richtig gemacht hat. Und ich denke, das ist der Schlüssel. Und oft besteht eine Lücke in unserer Kommunikation, insbesondere in unserer Fähigkeit, die von uns eingeführten Kontrollmechanismen und deren Auswirkungen auf das Unternehmen sowie die damit verbundenen Kompromisse zu erläutern. Denn wir werden sagen: Wenn ich ein hohes Risiko für diesen wichtigen Datenspeicher feststelle, werde ich das nicht zulassen.
Roy Akerman 01:19:24.580
Und ich denke, wenn wir für unser Publikum versuchen, diese Diskussion zu entschlüsseln, sollten wir uns aus IAM-Perspektive fragen: Welche Kontrollmechanismen gibt es? Welche Auslöser gibt es, um diese Kontrollmechanismen zu ändern und sie in dieser neuen Realität zu nutzen? Wir können nicht mehr im Entwicklungsprozess verharren, keine administrativen Aufgaben mehr erledigen und Einstellungen vornehmen. Wir müssen spontan reagieren. Wir müssen innerhalb von Sekundenbruchteilen Ja oder Nein sagen.
Rob Ainscough 01:19:55.700
Das wird die Schlüsselkompetenz werden. Ich denke, Governance ist derzeit wirklich gut und wichtig. Aber wird sie auch wirklich das leisten, was man braucht, wenn man es braucht? Das ist die entscheidende Frage. Und genau darum geht es: um die Echtzeit-Durchsetzung, um die Festlegung von Leitplanken und Regeln. Ich glaube, das wird für Identity-Teams unerlässlich sein. Es geht nicht mehr nur darum, den Geschäftsbetrieb aufrechtzuerhalten oder neue Mitarbeiter einzuarbeiten. Wir müssen einfach alles richtig machen. Governance ist nach wie vor wichtig, aber sie geht jetzt darüber hinaus und konzentriert sich auf Sicherheit.
Roy Akerman 01:20:23.520
Und CISOs müssen gegenüber Außenstehenden deutlich toleranter sein. IAM muss in die Sicherheitsarchitektur integriert werden.
Susanne Senoff 01:20:31.560
Ich glaube nicht, dass ich außen vor bin. Wissen Sie, ich denke, die Funktionsweise von IAM kann manchmal vorhanden sein, aber wenn Sie als CISO noch keine haben, benötigen Sie Experten für Identitätssicherheit oder -architektur. Vielmehr müssen Sie selbst die Standards festlegen und sicherstellen, dass IAM tatsächlich funktioniert. Wenn Sie das also noch nicht tun, sollten Sie es jetzt tun.
Roy Akerman 01:20:53.600
Und im Krisenmodus.
Susanne Senoff 01:20:54.760
Oh ja. Absolut. Ich meine, das hätte mindestens vor drei Jahren passieren müssen.
Roy Akerman 01:20:59.500
Ich glaube, dass Rob es mit der Antwort, die er zu Beginn unserer letzten Sitzung gegeben hat, ernst meinte, nämlich mit den Fragen zum Thema Feuer.
Rob Ainscough 01:21:06.620
Schnellfragerunde. Genau. Wir sprechen mit jedem Gast darüber. Wir werden also über Mythen, Fehlverhalten, die bittere Wahrheit und Hype sprechen. Fangen wir mit einem Mythos an. Welcher Mythos betrifft Identität oder Sicherheit?
Susanne Senoff 01:21:20.180
Ein Mythos der Identitätssicherheit besagt, dass nicht-menschliche Identitäten völlig andere Prozesse durchlaufen als menschliche.
Roy Akerman 01:21:28.260
Das ist interessant. Es gibt einen regelrechten Hype. Die Leute lassen sich immer noch davon mitreißen. Es gibt viele nicht-menschliche Identitäten. Und manche Anbieter sagen: „Nein, ihr müsst etwas anders machen“, aber ihr behauptet etwas ganz anderes.
Susanne Senoff 01:21:40.700
Ja, ich behaupte, dass das nicht für alle gilt. Um ehrlich zu sein. Es gibt natürlich Unterschiede, aber im Grunde muss man sie erst entdecken, richtig? Man muss herausfinden, welche Privilegien sie haben. Sie müssen im Inventar erfasst werden. Man muss wissen, wem sie gehören. Man muss wissen, welche Privilegien sie haben, um sicherzustellen, dass sie nicht überprivilegiert sind, und man muss die Möglichkeit haben, sie abzuschalten.
Rob Ainscough 01:22:06.520
Ich muss sagen, da stimme ich Ihnen zu, richtig? Ich denke, der Unterschied ist nicht so groß, wie uns glauben gemacht wird. Es gibt Überschneidungen in dem, was wir tun müssen. Richtig. Welche Fähigkeiten brauchen wir für all diese Dinge? Ich denke, da gibt es definitiv Überschneidungen, über die nicht gesprochen wird. Gut. Zweitens: Fehlverhalten. Was ist also das eine, was Führungskräfte – ich nehme an, das sind Verantwortliche für Identität oder Sicherheit – falsch machen?
Susanne Senoff 01:22:32.040
Wir machen so vieles falsch. Wo soll ich anfangen? Wo soll ich anfangen? Ich glaube, viele Führungskräfte irren sich, wenn sie denken, es handele sich um ein rein technisches Problem. Okay. Ich finde, sie sind wirklich effektiv. Sicherheitsverantwortliche sind diejenigen, die gelernt haben, das gesamte Unternehmen zu beeinflussen und mit ihm zusammenzuarbeiten. Und das ist eine Fähigkeit, die man entwickeln muss. Manchmal hat man sie von Natur aus, aber es ist trotzdem beeindruckend und man muss sie sich aneignen. Deshalb denke ich, dass wir manchmal fälschlicherweise annehmen, wir könnten das Problem nur aus technischer Sicht lösen.
Rob Ainscough 01:23:13.340
Technologie ist wichtig, aber sie reicht nicht aus.
Susanne Senoff 01:23:15.340
Nein. Und insbesondere wenn man Technologie ohne einen zugrunde liegenden Prozess einsetzt, ist es, als wäre sie nur ein Werkzeug und dann funktioniert sie nicht so gut, wie sie sollte.
Rob Ainscough 01:23:22.820
In meiner alten Firma, mit 400,000 Mitarbeitern, dachte ich immer: Das ist eher wie die Umgestaltung eines kleinen Landes als eines Konzerns mit all den verschiedenen Menschen – Menschen, die in Läden, Lagern und Büros arbeiten, so viele verschiedene Länder mit unterschiedlichen Anforderungen. Man muss das Ganze als ein Problem der Menschen angehen, oder? Und es geht darum, das richtig anzugehen.
Roy Akerman 01:23:40.500
Ja. Und natürlich aus Sicherheitssicht oder aus der Perspektive von Hackern. Hacker versuchen nicht, das System zu knacken. Sie versuchen, in den Prozess einzudringen, Geld und Daten zu stehlen. Wenn man das nicht versteht, dann fehlt einem etwas. Ja.
Rob Ainscough 01:23:53.540
Dritte Frage. Harte Wahrheit. Was ist eine harte Wahrheit?
Susanne Senoff 01:23:58.260
Zurück zu meiner 15-Jährigen. Ich glaube, Sicherheit ist ähnlich wie Kindererziehung. Immer wenn ich denke, ich hätte alles im Griff und wüsste, was ich tue, taucht etwas Neues auf.
Roy Akerman 01:24:09.170
Welcher Begriff oder welches Thema wird Ihrer Meinung nach momentan am meisten überbewertet?
Susanne Senoff 01:24:15.130
Ach so, Sie meinen, dass neben der Identität auch andere Aspekte in Ihrem Verantwortungsbereich liegen? Ja, ich denke immer noch, es geht um Zero Trust. Das taucht ständig auf. Und die Prinzipien von Zero Trust sind wirklich großartig. Wissen Sie, Zero Trust gibt es eigentlich gar nicht. Es geht vielmehr um explizites Vertrauen und darum, wirklich zu verstehen, welchen Ebenen wir vertrauen. Wie vertrauen wir einander?
Roy Akerman 01:24:42.370
Verstanden. Wenn Sie also das nächste Mal eine E-Mail von einem Anbieter erhalten, sollte „Zero Trust“ nicht in der Betreffzeile stehen.
Rob Ainscough 01:24:46.610
Nun, was wir besprochen haben – wir haben ja schon einiges angesprochen. Wir haben unter anderem über Genetik gesprochen, das war ja klar, dass wir das irgendwann ansprechen würden. Wir haben darüber gesprochen, was für Unternehmen wirklich wichtig ist. Wenn Sie unseren Zuschauern eine zentrale Botschaft zum Thema Identität und zu den besprochenen Themen mitgeben müssten, welche wäre das?
Susanne Senoff 01:25:06.430
Ich würde Ihnen empfehlen, dass Sie, falls Ihr Team sich noch nicht mit dem Einsatz von KI auseinandersetzt und falls Sie Ihre Fähigkeiten noch nicht analysieren und darüber nachdenken, wie Ihr Team in Zukunft aussehen sollte, dies jetzt tun.
Roy Akerman 01:25:22.950
Viele Menschen stehen noch immer hinterher und warten ab, was passieren wird.
Rob Ainscough 01:25:27.430
Vielen Dank fürs Mitmachen. Es war ein tolles Gespräch. Mir hat es sehr gefallen.
Rob Ainscough 01:25:32.270
Und vielen Dank, dass Sie den weiten Weg nach Houston auf sich genommen haben, um dieses Gespräch zu führen.
Roy Akerman 01:25:38.750
Das ist toll. Danke.
Rob Ainscough 01:25:40.270
Das war’s für diese Folge von Identity Decoded.
Roy Akerman 01:25:42.830
Falls dieses Gespräch Ihre Sicht auf Identitätssicherheit verändert hat, teilen Sie es mit jemandem, der vor ähnlichen Herausforderungen steht.
Rob Ainscough 01:25:49.110
Und vergesst nicht, die Sendung zu verfolgen, damit ihr nicht verpasst, was als Nächstes kommt.
