Nur 4 von 10 Schweizer CIOs kennen ihre Software-Lieferkette wirklich

News

Es steht schlecht um die IT-Governance in Schweizer Unternehmen. Laut einer Umfrage von Red Hat kennt längst nicht jeder Schweizer CIO seine Software-Lieferkette. Und nur jedes zweite Unternehmen bewertet die Risiken von KI-Anbietern kontinuierlich.

(Source: Vectorelements / Unsplash.com)

Schweizer CIOs sind offenbar gut darin, KI-Agenten in ihren Unternehmen einzuführen. Doch um die Governance ist es nicht so gut bestellt. Zu diesem Schluss kommt Red Hat. Der IT-Anbieter stützt sich dabei auf eine Umfrage unter 1400 CIOs aus 14 Ländern, darunter auch der Schweiz.

Ganze 100 Prozent der Schweizer CIOs gaben dabei an, autonome KI-Agenten im Produktivbetrieb zu haben. Fast alle (95 Prozent) gaben sich ferner überzeugt, dass ihre KI-Agenten sicher arbeiteten und regulatorische Vorgaben erfüllten. Zuversichtlich geben sich schliesslich 85 Prozent der Befragten, dass sie kritische Schwachstellen in Software binnen 24 Stunden schliessen können.

Diesen positiven Befunden fügt Red Hat aber diverse beunruhigende hinzu. Nur noch 46 Prozent der hiesigen CIOs gaben etwa an, sich beim Betrieb von KI-Agenten vollständig auf getestete Guardrails, ein kontinuierliches Monitoring und automatische Interventionsmechanismen verlassen zu können. 49 Prozent der Schweizer Unternehmen seien "ziemlich zuversichtlich", dass sie Sicherheit und Compliance im Griff hätten, mussten aber kleine Lücken bei Guardrails und Monitoring einräumen, schreibt Red Hat.

Mit 45 Prozent kennt nicht einmal die Hälfte der Befragten die Datenflüsse in ihrem Unternehmen genau und weiss, wo Daten gespeichert und verarbeitet werden – bei gleichzeitig umfassendem Einblick in die damit verbundenen Datenströme über ihre gesamte technologische Umgebung hinweg. Nur knapp die Hälfte (49 Prozent) bewertet die von KI-Anbietern ausgehenden Risiken kontinuierlich und nicht nur beim initialen Onboarding. Dagegen verlassen sich 21 Prozent allein auf eine initiale Evaluierung. Nur 1 Prozent verlasse sich bei Risikobewertungen allein auf externe Audits, Zertifizierungen und Zusicherungen in Verträgen. 7 Prozent führten Bewertungen zu Sicherheit, Compliance und Data Governance durch, überwachten jedoch das Risiko bei Anbietern nicht kontinuierlich, schreibt Red hat.

Bei vielen fehlt der Überblick über die Software-Lieferkette

Schliesslich erwähnt das Unternehmen die gerade mal 38 Prozent der Befragten, die einen umfassenden Überblick über ihre Software-Lieferkette und alle direkten und indirekten Abhängigkeiten haben. 51 Prozent der hiesigen Unternehmen hätten zwar einen guten Überblick über die Komponenten und Versionen, müssten jedoch Abstriche beim Wissen um deren Herkunft und indirekten Abhängigkeiten machen, fügt das Unternehmen hinzu. 10 Prozent räumten ein, ihnen fehle ein vollständiger Überblick.

Immerhin stehen Schweizer CIOs in manchen Bereichen etwas besser da als der von Red Hat ermittelte internationale Durchschnitt. So haben nur 33 Prozent der weltweit befragten IT-Chefs einen vollständigen Überblick über die Software-Lieferkette. Bei der kontinuierlichen Risikobewertung übertreffen Schweizer CIOs (49 Prozent) jene aus den Niederlanden (22 Prozent), schneiden aber weniger gut ab als jene aus Italien (51 Prozent), wie es weiter heisst.

Eduard Modalek, Country Manager Schweiz von Red Hat, kommentiert: "Schweizer Unternehmen zeigen sich in unserer Umfrage weit überwiegend überzeugt, KI-Agenten wirksam überwachen und beherrschen zu können. Doch dieses Vertrauen in die eigenen Fähigkeiten ist nicht immer gerechtfertigt, denn unsere Untersuchung zeigt, dass es oft an lückenloser und kontinuierlicher Transparenz über Datenflüsse, Software-Abhängigkeiten und Anbieterrisiken fehlt." Er plädiert für offene Architekturen mit zentralisiertem Management. Diese, sagt er, könnten Unternehmen helfen, die Kontrolle zu behalten und bei der Auswahl von Modellen und Anbietern flexibel zu bleiben.

Lesen Sie auch: Schatten-IT gefährdet die Cybersicherheit von Unternehmen und Regierungen. Die Gäste der diesjährigen Swiss Cyber Storm erklärten, wie CISOs mit Schatten-IT und Schatten-KI umgehen können. Dazu lieferten sie Impulse für die Schwachstellenbewertung und für menschenfreundliches Awareness-Training.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.