Passen Sie die NIST-Grundsätze für KI-Governance an Ihr TPRM-Programm an
Das US-amerikanische National Institute of Standards and Technology (NIST) hat im Januar 2023 dasAI Risk Management Framework (AI RMF)eingeführt. Laut NIST besteht das Ziel des AI RMF darin, „Organisationen, die KI-Systeme entwerfen, entwickeln, einsetzen oder nutzen, eine Ressource zur Verfügung zu stellen, die ihnen hilft, die zahlreichen Risiken der KI zu bewältigen und eine vertrauenswürdige und verantwortungsvolle Entwicklung und Nutzung von KI-Systemen zu fördern“.
Das RMF beschreibt vier Funktionen, die Organisationen dabei helfen, die Risiken von KI-Systemen zu bewältigen: Steuern, Abbilden, Messen und Verwalten.
Prevalent kann Ihrem Unternehmen dabei helfen, sein TPRM-Programm an das NIST AI Risk Management Framework anzupassen, um eine bessere Kontrolle und Verantwortlichkeit über die Nutzung von KI durch Dritte zu erreichen.
Relevante Anforderungen
-
Legen Sie im Rahmen Ihres gesamten TPRM-Programms Richtlinien, Standards und Prozesse fest, um Daten und Systeme vor KI-Risiken zu schützen.
-
Profilieren und einstufen Sie Dritte und quantifizieren Sie gleichzeitig die mit der Nutzung von KI durch Dritte verbundenen Risiken, um sicherzustellen, dass alle Risiken erfasst werden.
-
Führen Sie umfassende Risikobewertungen durch Dritte durch und überwachen und messen Sie kontinuierlich KI-spezifische Risiken im Rahmen des TPRM.
-
Sicherstellung einer umfassenden Reaktion auf Vorfälle im Zusammenhang mit KI-spezifischen Risiken durch Dritte
TPRM-Überlegungen im NIST AI RMF
Die folgende Tabelle gibt einen Überblick über die vier Funktionen und ausgewählte Kategorien des NIST-KI-Rahmenwerks und enthält Empfehlungen zum Umgang mit potenziellen KI-Risiken durch Dritte.
HINWEIS: Dies ist eine zusammenfassende Tabelle. Für eine vollständige Prüfung des NIST-Rahmenwerks für das Risikomanagement im Bereich künstliche Intelligenz laden Sie bitte dieVollversionherunter und beziehen Sie die Teams für interne Revision, Recht, IT, Sicherheit und Lieferantenmanagement Ihres Unternehmens mit ein.
| NIST AI RMF-Kategorie | Wie wir helfen |
|---|---|
| Governist die grundlegende Funktion im RMF, die eine Kultur des Risikomanagements etabliert, Prozesse definiert und dem Programm eine Struktur verleiht. | |
|
GOVERN 1:Richtlinien, Prozesse, Verfahren und Praktiken in der gesamten Organisation in Bezug auf die Erfassung, Messung und Steuerung von KI-Risiken sind vorhanden, transparent und werden effektiv umgesetzt. GOVERN 2:Es gibt Strukturen zur Rechenschaftspflicht, damit die zuständigen Teams und Personen befugt, verantwortlich und geschult sind, um KI-Risiken zu erfassen, zu messen und zu verwalten. GOVERN 3:Prozesse zur Förderung der Vielfalt, Gleichberechtigung, Inklusion und Barrierefreiheit der Belegschaft haben bei der Erfassung, Bewertung und Steuerung von KI-Risiken während des gesamten Lebenszyklus Priorität. GOVERN 4:Die Teams der Organisation verpflichten sich zu einer Kultur, die KI-Risiken berücksichtigt und kommuniziert. GOVERN 5:Es gibt Prozesse für eine intensive Zusammenarbeit mit relevanten KI-Akteuren. GOVERN 6:Es gibt Richtlinien und Verfahren, um Risiken und Vorteile der KI zu bewältigen, die sich aus Software und Daten von Drittanbietern sowie anderen Problemen in der Lieferkette ergeben. |
Prevalent arbeitet mit Ihnen zusammen, um KI-Richtlinien und -Verfahren als Teil Ihres umfassenden Programms zum Risikomanagement von Drittanbietern (TPRM) zu entwickeln, das mit Ihren allgemeinen Rahmenwerken für Informationssicherheit und Governance, Risiko und Compliance im Einklang steht. UnsereExpertenarbeiten mit Ihrem Team zusammen, um KI- und TPRM-Prozesse und -Lösungen zu definieren und zu implementieren, Fragebögen und Rahmenwerke für die Risikobewertung auszuwählen und Ihr Programm zu optimieren, um KI-Risiken während des gesamten Lebenszyklus von Drittanbietern – von der Beschaffung und Due Diligence bis hin zur Kündigung und Entlassung – entsprechend der Risikobereitschaft Ihres Unternehmens zu adressieren. Im Rahmen dieses Prozesses definieren wir:
|
| Die Karteist die Funktion, die den Kontext für die Einordnung von Risiken im Zusammenhang mit einem KI-System schafft. | |
|
KARTE 1:Der Kontext wird hergestellt und verstanden. MAP 2:Die Kategorisierung des KI-Systems wird durchgeführt. KARTE 3:KI-Fähigkeiten, gezielte Nutzung, Ziele und erwartete Vorteile und Kosten im Vergleich zu geeigneten Benchmarks werden verstanden. KARTE 4:Risiken und Vorteile werden für alle Komponenten des KI-Systems, einschließlich Software und Daten von Drittanbietern, kartiert. KARTE 5:Die Auswirkungen auf Einzelpersonen, Gruppen, Gemeinschaften, Organisationen und die Gesellschaft werden charakterisiert. |
Prevalent kann Ihrem Unternehmen dabei helfen, einen soliden Risikomanagementprozess zu entwickeln und den Kontext der KI-Nutzung zu verstehen, indem es Dritte profiliert und einstuft unddie inhärenten Risikenfür alle Dritten quantifiziert – in diesem Fall die inhärenten KI-Risiken. Zu den Kriterien, die zur Berechnung des inhärenten Risikos für die Klassifizierung und Kategorisierung von Dritten herangezogen werden, gehören:
Anhand dieser inhärenten Risikobewertung kann Ihr Team Lieferanten automatisch nach ihrer AI-Risikobelastung einstufen, angemessene Sorgfaltspflichten festlegen und den Umfang der laufenden Bewertungen bestimmen. Die regelbasierte Tiering-Logik ermöglicht die Kategorisierung von Anbietern anhand einer Reihe von Dateninteraktionen und regulatorischen Überlegungen. |
| Measureist die Funktion, die KI-Risiken und damit verbundene Auswirkungen analysiert, bewertet, vergleicht und überwacht. | |
|
MASSNAHME 1:Geeignete Methoden und Messgrößen werden identifiziert und angewendet. MASSNAHME 2:KI-Systeme werden auf vertrauenswürdige Eigenschaften hin bewertet. MASSNAHME 3:Es gibt Mechanismen, um erkannte KI-Risiken im Laufe der Zeit zu verfolgen. MASSNAHME 4:Feedback zur Wirksamkeit der Messung wird gesammelt und ausgewertet. |
Die Prevalent TPRM-Plattform verfügt über eine umfangreiche Bibliothek mit vorgefertigten Vorlagen für die Risikobewertung von Drittanbietern. Drittanbieter sollten bei der Aufnahme, Vertragsverlängerung oder in beliebigen erforderlichen Abständen (z. B. vierteljährlich oder jährlich) je nach wesentlichen Änderungen hinsichtlich ihrer KI-Praktiken bewertet werden. Die Bewertungen werden zentral verwaltet und durch Workflow-, Aufgabenmanagement- und automatisierte Funktionen zur Überprüfung von Nachweisen unterstützt, um sicherzustellen, dass Ihr Team während des gesamten Beziehungslebenszyklus Einblick in die Risiken von Drittanbietern hat. Wichtig ist, dass Prevalent integrierte Abhilfemaßnahmenempfehlungen auf der Grundlage von Risikobewertungsergebnissen enthält, um sicherzustellen, dass Dritte Risiken zeitnah und zufriedenstellend angehen und gleichzeitig den Prüfern die entsprechenden Nachweise vorlegen. Als Ergänzung zu den KI-Bewertungen von Anbietern verfolgt und analysiert Prevalent kontinuierlichexterne Bedrohungen für Dritte. Die Prevalent-Plattform überwacht das Internet und das Dark Web auf Cyber-Bedrohungen und Schwachstellen. Alle Überwachungsdaten werden mit den Bewertungsergebnissen korreliert und in einem einheitlichen Risikoregister für jeden Anbieter zentralisiert, wodurch die Risikoprüfung, Berichterstattung, Behebung und Reaktion optimiert werden. Zu den Überwachungsquellen gehören:
Schließlich misst Prevalent kontinuierlichdie KPIs und KRIs von Drittanbieternanhand Ihrer Anforderungen, um Ihrem Team dabei zu helfen, Risikotrends aufzudecken, den Risikostatus von Drittanbietern zu bestimmen und Abweichungen vom üblichen Verhalten zu identifizieren, die eine weitere Untersuchung rechtfertigen könnten. |
| Die Funktion„Verwalten”umfasst die regelmäßige Zuweisung von Risikoressourcen zu zugeordneten und gemessenen Risiken gemäß der Definition in der Funktion „GOVERN”. Dazu gehören Pläne zur Reaktion auf Vorfälle oder Ereignisse, zur Wiederherstellung nach solchen Vorfällen und zur Kommunikation darüber. | |
|
VERWALTEN 1:KI-Risiken, die auf Bewertungen und anderen Analyseergebnissen der Funktionen MAP und MEASURE basieren, werden priorisiert, behandelt und verwaltet. MANAGE 2:Strategien zur Maximierung der Vorteile und Minimierung der negativen Auswirkungen von KI werden geplant, vorbereitet, umgesetzt, dokumentiert und durch Beiträge relevanter KI-Akteure ergänzt. MANAGE 3:Risiken und Vorteile der KI durch Dritte werden verwaltet. MANAGE 4:Risikobehandlungen, einschließlich Reaktions- und Wiederherstellungsmaßnahmen, sowie Kommunikationspläne für die identifizierten und gemessenen KI-Risiken werden dokumentiert und regelmäßig überwacht. |
Als Teil Ihrer umfassendenStrategie zum Vorfallsmanagementträgt Prevalent dazu bei, dass Ihr Programm zur Reaktion auf Vorfälle bei Drittanbietern die Auswirkungen vonKI-Sicherheitsvorfällen bei Drittanbietern schnell identifizieren, darauf reagieren, darüber berichten unddiese mindern kann. Zu den wichtigsten Fähigkeiten gehören:
Mit diesen Erkenntnissen kann Ihr Team Drittanbieter besser verwalten und priorisieren, den Umfang und die Auswirkungen des Vorfalls besser einschätzen, feststellen, welche Daten betroffen waren, ob die Aktivitäten des Drittanbieters beeinträchtigt wurden und wann die Abhilfemaßnahmen abgeschlossen sind. |
