KI-Identitätsrisiko vs. KI-Zugriffsrisiko: Worin liegt der Unterschied?

KI-Agenten haben ein neues Identitätsproblem in Unternehmen eingeführt.

Sie können sich über Anwendungen, Dienstkonten, Maschinenidentitäten, API-Anmeldeinformationen, OAuth-Berechtigungen, Cloud-Rollen oder delegierte Benutzerberechtigungen authentifizieren. Sie können Unternehmensinformationen abrufen, Tools auswählen, Entscheidungen treffen, mit anderen Agenten interagieren und systemübergreifende Aktionen durchführen.

Dadurch entstehen zwei eng miteinander verbundene Sicherheitsfragen, die Organisationen häufig zusammenfassen:

Ist diese KI-Identität an sich riskant?

Und:

Besitzt diese KI-Identität riskante Zugriffsrechte?

Die Fragen überschneiden sich, sind aber nicht identisch.

Das KI-Identitätsrisiko betrifft den KI-Akteur selbst, einschließlich der Frage, ob Teams wissen, dass er existiert, wem er gehört, warum er existiert, welche Identitäten und Anmeldeinformationen er verwendet, wie er sich verhält, welche Autorität er ausüben kann und ob Teams seinen Lebenszyklus kontrollieren.

Das Zugriffsrisiko von KI betrifft die Möglichkeiten und Aktionen dieser KI-Identität, einschließlich sensibler Daten, Anwendungen, Tools, APIs, Berechtigungen, Aktionen und Ziele, die über ihren legitimen Geschäftsbedarf hinausgehen.

Diese Unterscheidung gewinnt zunehmend an Bedeutung, wenn sich Organisationen von Copiloten, die Fragen beantworten, zu Agenten entwickeln, die Daten abrufen, Tools aufrufen, Aufgaben delegieren und autonom handeln.

Selbst ein perfekt ausgestatteter KI-Agent kann über übermäßige Zugriffsrechte verfügen.

Auch ein entsprechend berechtigter KI-Agent kann ein Identitätsrisiko darstellen, wenn er niemandem gehört, seine Zugangsdaten nicht verwaltet werden oder die Organisation sein Verhalten nicht nachverfolgen kann.

Organisationen müssen sowohl den Akteur als auch die Autorität hinter dem Akteur kontrollieren.

Worin besteht der Unterschied zwischen KI-Identitätsrisiko und KI-Zugriffsrisiko?

Die einfachste Unterscheidung ist:

Das KI-Identitätsrisiko fragt, ob der KI-Akteur selbst über eine angemessene Identitätsverwaltung verfügt.

Bei der Frage nach dem Zugriffsrisiko für KI geht es darum, ob die dem Akteur zugeschriebene Autorität zu einer unangemessenen oder unnötigen Offenlegung von Informationen führt.

Die Unterscheidung ähnelt einem bekannten Prinzip der Identitätssicherheit.

Ein Mitarbeiterkonto kann ein Identitätsrisiko darstellen, wenn es einem ausgeschiedenen Mitarbeiter gehört, keinen Kontoinhaber hat oder verdächtiges Verhalten aufweist. Dasselbe Mitarbeiterkonto kann auch ein Zugriffsrisiko darstellen, da es weiterhin Berechtigungen für Informationen enthält, die der Mitarbeiter nicht mehr benötigt.

Künstliche Intelligenz führt die gleiche Trennung ein, ergänzt sie aber um Entscheidungen in Maschinengeschwindigkeit, delegierte Autorität, nicht-menschliche Berechtigungen, dynamischen Abruf und autonome Aktionen.

Was ist KI-Identitätsrisiko?

Das KI-Identitätsrisiko ist das Sicherheits- und Governance-Risiko, das entsteht, wenn einer KI-gestützten Entität angemessene Transparenz, Eigentumsverhältnisse, Zweckbestimmung, Zuordnung, Berechtigungsverwaltung, Verhaltensüberwachung oder Lebenszykluskontrolle fehlen.

Beispiele für KI-Identitäten sind Agenten, Copiloten, Assistenten, KI-fähige Anwendungen, autonome Arbeitsabläufe, Orchestrierungssysteme und andere KI-gestützte Entitäten, die mit Unternehmenssystemen oder Daten interagieren.

Eine KI-Identität kann über mehrere zugrunde liegende technische Identitäten operieren, darunter:

• Servicekonten
• Anwendungsidentitäten
• API-Zugangsdaten
• OAuth-Berechtigungen
• Cloud-Rollen
• Token
• Maschinenidentitäten
• Delegierte Benutzerberechtigungen
• Andere KI-Agenten

Dadurch entsteht eine wichtige Unterscheidung zwischen dem KI-Akteur und den Anmeldeinformationen, die die Anfrage enthalten.

Ein Sicherheitsprotokoll kann Folgendes zeigen: svc-ai-finance Der Zugriff auf eine Datenbank beweist etwas über die technische Identität, die die Authentifizierung durchgeführt hat. Es gibt dem Team jedoch möglicherweise keine Auskunft darüber, welcher Agent die Anfrage initiiert hat, wem dieser Agent gehört, warum er die Informationen angefordert hat oder was er anschließend getan hat.

Die Anmeldeinformationen können die Verbindung authentifizieren, ohne den KI-Akteur hinter der Entscheidung vollständig abzubilden.

KI-Identitätsverwaltung Daher ist es notwendig, KI-Identitäten mit Eigentumsverhältnissen, Zweck, Maschinenidentitäten, Berechtigungen, Aktivitäten, sensiblen Daten und Lebenszyklus zu verknüpfen.

Was birgt das Risiko von KI-Identitätsrisiken?

Unbekannte KI-Identitäten

Sicherheitsteams können Agenten, Copiloten oder autonome Arbeitsabläufe, deren Existenz ihnen unbekannt ist, nicht steuern. Schatten-KI kann daher zu einem Identitätsproblem werden, bevor sie zu einem Zugriffsproblem wird.

Fehlende Eigentumsverhältnisse

Jede sinnvolle KI-Identität braucht jemanden, der dafür verantwortlich ist, warum sie existiert, was sie kann, welche Systeme sie unterstützen und wann Teams sie ändern oder außer Betrieb nehmen sollten.

Ein KI-Agent ohne Besitzer erzeugt selbst dann eine grundlegende Governance-Lücke, wenn seine aktuellen Berechtigungen noch begrenzt sind.

Unklarer Geschäftszweck

Die Verwaltung von Identitäten erfordert einen Existenzgrund für die Identität. Ohne einen definierten Zweck können Teams nicht beurteilen, ob der Zugriff, die Aktivitäten, die Autonomie oder die fortgesetzte Existenz einer Identität noch sinnvoll sind.

Gemeinsame oder mehrdeutige technische Identitäten

Mehrere Agenten können über dasselbe Dienstkonto, dieselbe Anwendungsidentität oder dieselben API-Anmeldeinformationen agieren.

Dies kann die Zuordnung erschweren, da die Protokolle möglicherweise die gemeinsame technische Identität anzeigen, anstatt die KI-Entität, die die Aktion initiiert hat.

Schwache Lebenszyklussteuerung

Akteure wechseln. Geschäftsprozesse enden. Modelle migrieren. Integrationen verschwinden. Teams reorganisieren sich.

KI-Identitäten benötigen Lebenszykluskontrollen, die Erstellung, Genehmigung, Änderung, Eigentümerwechsel, Zugriffsänderungen, Sperrung und Deaktivierung regeln.

Nicht nachvollziehbares Verhalten

Eine Identität lässt sich nur schwer kontrollieren, wenn Sicherheitsteams nicht feststellen können, was sie tatsächlich getan hat.

Die KI-gestützte Identitätsverwaltung muss zunehmend die Identität mit der Aktivität verknüpfen, da autonome Systeme viele Aktionen schneller ausführen können, als regelmäßige menschliche Überprüfungen erklären können.

Was ist das KI-Zugriffsrisiko?

Das Zugriffsrisiko einer KI ist das Risiko, das entsteht, wenn ein KI-System auf Daten, Systeme, Anwendungen, Werkzeuge oder Aktionen zugreifen kann, die über das hinausgehen, was sein legitimer Geschäftszweck erfordert.

Beim Zugriffsrisiko geht es weniger darum, ob Teams die Identität kennen und kontrollieren, sondern vielmehr um die Autorität, die diese Identität ausüben kann.

Ein KI-System kann sich auf folgende Weise Zugang verschaffen:

• Direkte Berechtigungen
• Geerbte Benutzerberechtigungen
• Gruppen und verschachtelte Gruppen
• Anwendungsberechtigungen
• Servicekonten
• Maschinenidentitäten
• OAuth-Bereiche
• API-Berechtigungen
• Cloud-Rollen
• Steckverbinder
• Delegierter Zugriff
• Ein weiterer KI-Agent

Die entscheidende Frage lautet:

Was verbirgt sich hinter diesen Berechtigungen?

Ein Agent mit umfassendem Lesezugriff auf die öffentliche Produktdokumentation stellt ein anderes Sicherheitsproblem dar als ein Agent mit der gleichen technischen Berechtigung für personenbezogene Daten von Kunden, Anmeldeinformationen, Finanzdaten, Quellcode oder geistiges Eigentum.

AI Access Governance Verbindet KI-Systeme mit den sensiblen Unternehmensinformationen hinter ihren Berechtigungen, damit Teams übermäßige Zugriffe erkennen und das Prinzip der minimalen Berechtigungen stärken können.

Was birgt das Zugriffsrisiko für KI?

Übermäßige Berechtigungen

Ein Agent kann zwar legitimen Unternehmenszugriff haben, aber dennoch über mehr Befugnisse verfügen, als seine Aufgabe erfordert.

Ein Vertriebsmitarbeiter, der beispielsweise nordamerikanische Kundendatensätze benötigt, kann über eine Anwendungsidentität arbeiten, die die gesamte globale Kundendatenbank abfragen kann.

Das Konto funktioniert genau wie konfiguriert. Der Zugriff übertrifft weiterhin die geschäftlichen Anforderungen.

Geerbter Zugriff

KI-Assistenten und -Anwendungen können Berechtigungen von Benutzern, SaaS-Anwendungen, Dienstkonten, APIs und bestehenden Arbeitsabläufen erben.

Das bedeutet, dass jahrelange Berechtigungsschulden zu einem KI-Zugriffsrisiko werden können, ohne dass irgendjemand der KI absichtlich neue Berechtigungen erteilt.

Sehen Wie KI-Agenten Berechtigungen erben.

Reichweite sensibler Daten

Berechtigungen gewinnen deutlich an Bedeutung, wenn sie KI mit sensiblen oder geschäftskritischen Informationen verbinden.

Das macht Entdeckung und Klassifizierung von Daten zentral für die Priorisierung von Zugangsrisiken.

Wirkungsvolle Aktionen

Die Leseberechtigung und die Berechtigung zum Löschen, Senden, Exportieren, Genehmigen, Ausführen oder Ändern sollten nicht die gleiche Risikopriorität haben.

Agenten machen dies besonders wichtig, da sie Zugriff mit Autonomie verbinden können.

Unsichere Reiseziele

Ein Agent kann zwar auf legitime Weise sensible Informationen abrufen, verfügt aber möglicherweise nicht über die erforderliche Befugnis, diese Daten an eine andere Anwendung, API, einen anderen Benutzer, ein externes System oder einen anderen Agenten weiterzuleiten.

Bei der Zugangssteuerung muss zunehmend nicht nur berücksichtigt werden, was KI lesen kann, sondern auch, was sie anschließend mit diesen Informationen anfangen kann.

Der Unterschied in einem Bild

Kann eine KI-Identität ein geringes Identitätsrisiko, aber ein hohes Zugriffsrisiko aufweisen?

Ja.

Stellen Sie sich einen gut verwalteten Finanzagenten vor. Die Sicherheitsabteilung kennt seine Existenz. Er gehört zum Finanzbereich. Die Teams dokumentieren seinen Zweck. Der Agent verfügt über eine eindeutige technische Identität, klare Lebenszykluskontrollen und vollständige Aktivitätsprotokolle.

Die Governance-Struktur im Bereich Identitätsmanagement wirkt stark.

Das zugrunde liegende Servicekonto hat jedoch Zugriff auf alle Finanzdatenbanken, einschließlich Gehaltsabrechnungen, Akquisitionsdokumente, Vergütungsdaten der Führungskräfte und Finanzplanungsdaten, die für die eigentliche Aufgabe des Agenten nicht erforderlich sind.

Das Identitätsrisiko bleibt möglicherweise relativ unter Kontrolle, während das Zugriffsrisiko hoch bleibt.

Diese Unterscheidung ist wichtig, weil ein starker Bestand und ein sauberes Eigentumsmodell einen übermäßigen Zugriff nicht ausgleichen können.

Kann eine KI-Identität ein hohes Identitätsrisiko, aber ein geringes Zugriffsrisiko aufweisen?

Ja, auch.

Stellen Sie sich einen KI-Assistenten einer Abteilung vor, der ausschließlich auf öffentliche Produktdokumentationen zugreift. Sein Datenzugriff birgt ein relativ begrenztes Wirkungspotenzial.

Die Sicherheitsabteilung hat den Assistenten jedoch nie freigegeben. Er gehört niemandem. Mehrere Teams teilen sich eine API-Zugangsberechtigung. Es existiert kein Lebenszyklusprozess, und die Organisation kann keine Aktivitäten einer bestimmten KI-Identität zuordnen.

Das aktuelle Zugriffsrisiko mag begrenzt bleiben, während das Risiko der Identitätsverwaltung hoch bleibt.

Wenn Teams später dieselbe unkontrollierte KI-Identität mit Kundendaten oder Produktionsanwendungen verknüpfen, kann das Gesamtrisiko schnell ansteigen.

Das höchste Risiko entsteht, wenn Identitätsrisiko und Zugriffsrisiko zusammentreffen

Die folgenreichsten KI-Umgebungen kombinieren oft eine schwache Identitätskontrolle mit einem breiten Zugriff.

Der Zustand unten rechts verdient besondere Aufmerksamkeit, da er begrenzte Verantwortlichkeit mit einem großen potenziellen Explosionsradius verbindet.

Ein autonomer Agent, dessen Eigentümer niemand eindeutig ist und der sensible Kundendatensätze lesen, APIs aufrufen, Anwendungen modifizieren und Informationen extern senden kann, birgt sowohl Identitäts- als auch Zugriffsrisiken.

Warum sensible Daten das Zugriffsrisiko für KI verändern

Teams für Identitäts- und Zugriffsmanagement können Berechtigungen messen, ohne zu wissen, welche Daten dahinterstecken.

Das führt zu einem erheblichen Priorisierungsproblem.

Betrachten wir zwei Agenten mit Lesezugriff auf 50.000 Dateien.

Die erste betrifft die öffentliche Produktdokumentation und veröffentlichte Marketinginhalte.

Die zweite Zugriffsmöglichkeit umfasst personenbezogene Daten von Kunden, Mitarbeiterinformationen, Zugangsdaten, Verträge, Finanzprognosen und geistiges Eigentum.

Die Anzahl der Berechtigungen scheint identisch zu sein.

Die Auswirkungen auf das Geschäft sind nicht gegeben.

Das Zugriffsrisiko für KI wird dann relevant, wenn Unternehmen die Zugriffsrechte direkt mit der Sensibilität der Daten und dem Geschäftswert verknüpfen.

Hier unterscheidet sich der datenbasierte Identitätsansatz von BigID von einer rein identitätsorientierten Sichtweise. BigID verknüpft menschliche, maschinelle und KI-Identitäten mit den sensiblen Unternehmensdaten, die hinter ihren Zugriffen stehen, und unterstützt Teams so bei der Priorisierung von Berechtigungen, die ein erhebliches Datenrisiko darstellen.

Wie KI-Agenten die Grenze zwischen Identität und Zugang verwischen

Traditionelle Identitäten dienen typischerweise der Authentifizierung und der Ausführung von Aktionen, die von einer Anwendung oder einem Benutzer definiert werden.

KI-Agenten fügen eine Entscheidungsebene hinzu.

Ein Agent kann Anweisungen interpretieren, Informationen abrufen, Werkzeuge auswählen, APIs aufrufen, Aufgaben delegieren und kontextbezogen entscheiden, welcher nächste Schritt unternommen werden soll.

Dadurch entsteht eine geschlossene Kette:

KI-Identität → Autorität → Zugriff → Sensible Daten → Entscheidung → Werkzeug → Aktion

Identitätsrisiken treten auf der gesamten linken Seite dieser Kette auf. Teams müssen den Akteur identifizieren, die Zuständigkeit klären, die zugehörigen technischen Identitäten ermitteln und die Verantwortlichkeit für sein Verhalten sicherstellen.

Das Zugriffsrisiko entsteht, sobald der Akteur auf Daten und Systeme zugreift, Berechtigungen ausübt und Funktionen aufruft.

Agenten erschweren daher die operative Trennung der beiden, auch wenn die konzeptionelle Unterscheidung weiterhin nützlich bleibt.

KI-Identitätsrisiko vs. Maschinenidentitätsrisiko

KI-Identitäten hängen oft ab von Maschinenidentitäten, Die Begriffe sollten jedoch nicht synonym verwendet werden.

Eine Maschinenidentität repräsentiert die nicht-menschliche Authentifizierung und den Zugriff, der von Anwendungen, APIs, Workloads, Dienstkonten, Automatisierung, Zertifikaten, Token und anderen Software-Entitäten verwendet wird.

Eine KI-Identität repräsentiert den KI-gestützten Akteur, der Kontext interpretieren, Entscheidungen treffen, Werkzeuge auswählen oder Aktionen ausführen kann.

Ein KI-Agent kann während eines Arbeitsablaufs mehrere Maschinenidentitäten verwenden.

Zum Beispiel:

Erneuerungsagent → CRM-Anwendungsidentität → Analytics-API-Token → Dokumentendienstkonto → Kundendaten

Sicherheitsteams müssen sowohl den KI-Akteur als auch die technischen Identitäten, die seinen Zugriff ermöglichen, kontrollieren.

Einen detaillierten Vergleich finden Sie unter KI-Identität vs. Maschinenidentität vs. Dienstkonto.

KI-Identitätsrisiko vs. KI-Datenexposition

Diese Konzepte beschreiben auch verschiedene Punkte in der Risikokette.

Der Ablauf könnte wie folgt aussehen:

Unkontrollierte KI-Identität → Übermäßiger KI-Zugriff → Offenlegung sensibler Daten → Weitergabe oder Datenexfiltration

Das bedeutet nicht, dass jedes Identitätsproblem einen Sicherheitsvorfall auslöst. Es zeigt vielmehr, warum Unternehmen mehr Kontrolle erlangen, wenn sie Identitäts- und Zugriffsprobleme angehen, bevor es zu schwerwiegenden Folgen kommt.

Wie man das KI-Identitätsrisiko reduziert

1. KI-Identitäten entdecken

Inventaragenten, Copiloten, autonome Arbeitsabläufe, KI-gestützte Anwendungen und andere KI-Entitäten, die im gesamten Unternehmen eingesetzt werden.

2. Einen Eigentümer zuweisen

Jede materielle KI-Identität sollte einen verantwortlichen Eigentümer haben, der ihren Zweck, ihre Abhängigkeiten, ihren Zugriff und ihren Lebenszyklus versteht.

3. Dokumentieren Sie den Geschäftszweck

Definieren Sie, was die KI-Identität leisten soll. Der Zweck liefert die Grundlage, die Teams benötigen, um zu beurteilen, ob Zugriff und Verhalten weiterhin angemessen sind.

4. Kartenunterstützung für Maschinenidentitäten

Identifizieren Sie Dienstkonten, Anwendungsidentitäten, API-Anmeldeinformationen, OAuth-Berechtigungen, Cloud-Rollen und andere nicht-menschliche Identitäten, die KI-Zugriff ermöglichen.

5. Aktivität überwachen

Verknüpfen Sie die KI-Identität mit ihren tatsächlichen Funktionen, damit Teams unerwartetes Verhalten untersuchen und überprüfen können, ob die Aktivität dem genehmigten Zweck entspricht.

6. Den Lebenszyklus steuern

Prozesse entwickeln, um KI-Identitäten zu genehmigen, zu modifizieren, auszusetzen und zu löschen, wenn sich Systeme, Eigentümer, Zwecke und Risiken ändern.

Wie man das Zugriffsrisiko für KI reduziert

1. Effektive Zugänglichkeit kartieren

Identifizieren Sie direkten, vererbten, delegierten, gruppenbasierten, anwendungsbezogenen, API-bezogenen, dienstkontobezogenen und maschinenidentitätsbezogenen Zugriff.

2. Berechtigungen mit sensiblen Daten verknüpfen

Ermitteln Sie, welche Berechtigungen Zugriff auf regulierte, vertrauliche, geschützte, personenbezogene, anerkennungsrelevante, finanzielle, gesundheitsbezogene und geschäftskritische Informationen haben.

3. Übermäßigen Zugriff feststellen

Vergleichen Sie den effektiven Zugriff mit dem genehmigten Zweck der KI-Identität und entfernen Sie Berechtigungen, die der Workflow nicht benötigt.

4. Trennung von Abruf und Aktion

Die Berechtigungen Lesen, Schreiben, Senden, Exportieren, Ändern, Löschen und Ausführen dürfen nicht als gleichwertig betrachtet werden.

5. Delegierte Befugnisse steuern

Wenn Agenten im Namen von Benutzern oder anderen Agenten handeln, ist sicherzustellen, dass die nachgelagerte Befugnis mit dem ursprünglichen Zweck und dem genehmigten Umfang übereinstimmt.

6. Aktivitätskontext hinzufügen

Ermitteln Sie, wie KI tatsächlich auf sensible Daten zugreift. Die aktive Nutzung kann die Priorität von Abhilfemaßnahmen beeinflussen, während ungenutzte, übermäßige Berechtigungen möglicherweise weiterhin entfernt werden sollten.

7. Kontinuierlich neu bewerten

KI-Systeme erhalten schnell neue Werkzeuge, Repositories, Integrationen und Verantwortlichkeiten. Die Zugriffsverwaltung sollte diesen Änderungen folgen und sich nicht nur auf periodische Überprüfungen stützen.

Was sollten Sicherheitsverantwortliche messen?

Die Anzahl der KI-Identitäten liefert zwar nützliche Bestandsinformationen, aber allein der Bestand sagt den Verantwortlichen nicht, ob sich das Risiko verbessert.

Sicherheitsteams sollten sowohl den Zustand des Identitätsmanagements als auch die Gefährdung durch Zugriffe messen.

Ein ausgereiftes Programm sollte weniger unkontrollierte KI-Identitäten und weniger unnötige Autorität hinter den verbleibenden Identitäten aufweisen.

Checkliste zur Risikobereitschaft im Bereich KI-Identität und -Zugriff

Wie BigID KI-Identitätsrisiken und KI-Zugriffsrisiken verbindet

BigID geht bei der Identitätssicherheit vom Datenumfeld aus.

Das ist wichtig, denn eine KI-Identität erhält nicht automatisch hohe Priorität, nur weil sie existiert. Die potenziellen Auswirkungen auf das Geschäft hängen von den damit verbundenen Berechtigungen, sensiblen Daten, Aktivitäten und Befugnissen ab.

BigID hilft Organisationen bei der Vernetzung:

KI-Identität → Besitzverhältnisse → Maschinenidentität → Berechtigungen → Sensible Daten → Aktivität → Risiko → Maßnahmen

BigID unterstützt Organisationen:

• KI-Identitäten entdecken und verwalten: Inventaragenten, Copiloten, KI-Anwendungen, autonome Arbeitsabläufe, unterstützende Identitäten, Eigentumsverhältnisse, Berechtigungen, Aktivitäten und Lebenszykluskontext.
• KI-Zugang steuern: Verbinden Sie KI-Identitäten direkt mit sensiblen Unternehmensdaten und identifizieren Sie Fälle, in denen Berechtigungen über legitime Geschäftsanforderungen hinausgehen.
• Sichere Maschinenidentitäten: Identifizieren Sie Servicekonten, Anwendungen, APIs, Workloads und andere Maschinenidentitäten, die Zugriff auf Unternehmenssysteme und -daten ermöglichen.
• Kontext für sensible Daten hinzufügen: Identifizieren Sie regulierte, vertrauliche, geschützte, persönliche, anmeldebezogene, finanzielle, gesundheitsbezogene und geschäftskritische Informationen hinter dem Identitätszugriff.
• Übermäßigen Zugriff feststellen: Identifizieren Sie weit gefasste, veraltete, geerbte, unnötige, externe und risikoreiche Berechtigungen im Zusammenhang mit sensiblen Daten.
• Stärkung der am wenigsten Privilegierten: Priorisieren Sie die Einschränkung des Zugriffs nach Identität, Berechtigungen, Sensibilität, Gefährdung, Aktivität, Eigentumsverhältnissen und Geschäftskontext.
• Aktivitätskontext hinzufügen: Verstehen Sie, wie Identitäten auf sensible Informationen zugreifen, diese nutzen, verschieben, weitergeben, verändern, herunterladen und löschen.
• Laufwerksbereinigung: Übermäßigen Zugriff reduzieren, Zuständigkeiten zuweisen, Richtlinien durchsetzen, riskante Identitäten untersuchen und Korrekturmaßnahmen koordinieren.

Traditionelle Identitätskontrollsysteme bieten wichtige Funktionen für Authentifizierung, Anmeldeinformationen, Berechtigungen, Bereitstellung und Lebenszyklusmanagement.

BigID wirft eine weitere Frage auf:

Welche sensiblen Daten gefährdet die Autorität dieser Identität tatsächlich?

Dieser Kontext hilft Teams, einen unkontrollierten KI-Assistenten mit eingeschränktem Zugriff von einem autonomen Agenten zu unterscheiden, der schwache Besitzverhältnisse, weitreichende Berechtigungen, Zugriff auf sensible Daten und weitreichende Aktionen vereint.

Ziel ist es nicht einfach, KI-Identitäten zu erfassen oder Berechtigungen zu zählen. Es geht darum zu wissen, welche KI-Akteure relevant sind, welche Berechtigungen ein Sicherheitsrisiko darstellen und welche Teams zuerst Maßnahmen ergreifen sollten.

Häufig gestellte Fragen zu KI-Identitätsrisiken vs. KI-Zugriffsrisiken

Was ist das KI-Identitätsrisiko?

Das KI-Identitätsrisiko ist das Sicherheits- und Governance-Risiko, das entsteht, wenn einer KI-gestützten Entität angemessene Transparenz, Eigentumsverhältnisse, Zweckbestimmung, Zuordnung, Berechtigungsverwaltung, Verhaltensüberwachung oder Lebenszykluskontrollen fehlen.

Was ist das KI-Zugriffsrisiko?

Das Zugriffsrisiko einer KI ist das Risiko, das entsteht, wenn ein KI-System auf Daten, Anwendungen, Systeme, Werkzeuge oder Aktionen zugreifen kann, die über das hinausgehen, was sein legitimer Geschäftszweck erfordert.

Worin besteht der Unterschied zwischen KI-Identitätsrisiko und KI-Zugriffsrisiko?

Das KI-Identitätsrisiko konzentriert sich auf den KI-Akteur selbst, einschließlich Inventar, Eigentumsverhältnisse, Zweck, Verantwortlichkeit, unterstützende Identitäten, Verhalten und Lebenszyklus. Das KI-Zugriffsrisiko konzentriert sich auf die Autorität, die der KI-Akteur besitzt, einschließlich Berechtigungen, Zugriff auf sensible Daten, Tools, Aktionen, Ziele und übermäßigen Zugriff.

Kann eine KI-Identität ein geringes Identitätsrisiko, aber ein hohes Zugriffsrisiko aufweisen?

Ja. Eine Organisation kann einen KI-Agenten kennen, ihm einen eindeutigen Verantwortlichen zuweisen, seinen Zweck dokumentieren und seinen Lebenszyklus überwachen, während sie dem Agenten dennoch übermäßigen Zugriff auf sensible Informationen oder weitreichende Aktionen gewährt.

Kann eine KI-Identität ein hohes Identitätsrisiko, aber ein geringes Zugriffsrisiko aufweisen?

Ja. Eine nicht genehmigte oder schlecht verwaltete KI-Identität kann derzeit möglicherweise nur auf Informationen mit geringem Risiko zugreifen. Dennoch birgt die Identität ein Governance-Risiko, da es den beteiligten Teams an Zuständigkeit, Zuordnung, Lebenszyklus oder angemessener Aufsicht mangeln kann.

Wie hängen KI-Identitätsrisiken und Maschinenidentitätsrisiken zusammen?

KI-Identitäten operieren häufig über Maschinenidentitäten wie Dienstkonten, Anwendungen, API-Zugangsdaten, Cloud-Rollen und Token. Unternehmen müssen sowohl die KI-gestützten Akteure als auch die technischen Identitäten, die ihnen Zugriff gewähren, kontrollieren.

Was versteht man unter übermäßigem KI-Zugriff?

Übermäßiger KI-Zugriff liegt vor, wenn ein KI-System über mehr Berechtigungen oder Zugriff auf sensible Daten verfügt, als für seinen genehmigten Geschäftszweck erforderlich ist. Der Zugriff kann direkt oder über Benutzer, Anwendungen, Gruppen, Dienstkonten, APIs, Maschinenidentitäten, Konnektoren oder delegierte Berechtigungen erfolgen.

Warum spielen sensible Daten bei der Messung des Zugriffsrisikos von KI eine Rolle?

Berechtigungen allein zeigen nicht die potenziellen Auswirkungen auf das Geschäft. Der Zugriff auf öffentliche Informationen hat andere Konsequenzen als der Zugriff auf personenbezogene Daten von Kunden, Zugangsdaten, Gesundheitsdaten, Finanzinformationen, Quellcode oder geistiges Eigentum.

Wie erhöhen KI-Agenten das Identitäts- und Zugriffsrisiko?

KI-Agenten können nicht-menschliche Identitäten, vererbte Berechtigungen, Zugriff auf sensible Daten, dynamische Entscheidungen, Werkzeugnutzung, Delegation und autonome Aktionen kombinieren. Dies kann sowohl die Komplexität der Identitätsverwaltung als auch die potenziellen Auswirkungen übermäßiger Zugriffe erhöhen.

Wie können Organisationen das KI-Identitätsrisiko reduzieren?

Organisationen sollten KI-Identitäten ermitteln, verantwortliche Eigentümer zuweisen, den Geschäftszweck dokumentieren, unterstützende Maschinenidentitäten zuordnen, die Aktivitäten überwachen, Lebenszykluskontrollen einrichten und KI-Identitäten, die keinen genehmigten Zweck mehr erfüllen, außer Betrieb nehmen.

Wie können Organisationen das Zugriffsrisiko für KI reduzieren?

Organisationen sollten effektive Berechtigungen abbilden, den Zugriff auf sensible Daten verknüpfen, übermäßige Zugriffe identifizieren, das Prinzip der minimalen Berechtigungen anwenden, Aktionen mit hoher Auswirkung einschränken, delegierte Befugnisse regeln, Aktivitäten überwachen und Berechtigungen bei Änderungen an KI-Systemen neu bewerten.

Wie trägt BigID zur Reduzierung von KI-Identitäts- und Zugriffsrisiken bei?

BigID verknüpft KI-Identitäten, Maschinenidentitäten, Eigentumsverhältnisse, Berechtigungen, Aktivitäten und den Kontext sensibler Daten, um Organisationen dabei zu helfen, KI-Identitäten aufzudecken, übermäßigen Zugriff zu erkennen, die Offenlegung zu priorisieren, das Prinzip der minimalen Berechtigungen zu stärken und Abhilfemaßnahmen einzuleiten.