Neue Richtlinien des New Yorker DFS: Cybersicherheitsrisiken durch Künstliche Intelligenz und ihre Minderung für Finanzinstitute

Neue Richtlinien des New Yorker Finanzdienstleistungsministeriums zu KI und Cybersicherheitsrisiken

Das New Yorker Finanzdienstleistungsministerium (DFS) hat kürzlich wichtige Richtlinien veröffentlicht, die sich mit den Cybersicherheitsrisiken im Zusammenhang mit künstlicher Intelligenz (KI) befassen. Diese Empfehlungen richten sich an von DFS regulierte Unternehmen wie Banken, Versicherungen und andere Finanzdienstleister, und erläutern, wie sie diese Risiken aktiv angehen können. Obwohl die Richtlinien keine neuen Verpflichtungen jenseits der bestehenden DFS-Kennzahlen für Cybersicherheit (bekannt als Teil 500) auferlegen, geben sie wertvolle Hinweise dazu, wie diese Vorschriften auf KI-Bedrohungen angewendet werden sollten.

Wichtige Erkenntnisse

Die DFS hebt vier Hauptbedrohungen hervor, die durch KI verstärkt werden:

1. Soziale Ingenieurtechniken: Insbesondere durch den Einsatz von Deepfake-Technologie, die es ermöglicht, Personen zu imitieren und Angestellte dazu zu verleiten, vertrauliche Informationen preiszugeben.
2. Erweiterte Angriffe: KI kann die Geschwindigkeit und das Ausmaß bereits bestehender Cyberangriffe erhöhen, was zu einem rascheren Auffinden von Schwachstellen und einem weiten Zugriff auf Informationssysteme führt.
3. Vermehrte Speicherung sensibler Daten: Die Abhängigkeit von KI kann die Menge nicht-öffentlicher Informationen (NPI), die von Unternehmen gespeichert wird, vergrößern und damit die Anfälligkeit für Angriffe erhöhen.
4. Lieferkettenanfälligkeit: Die Nutzung von KI bringt Risiken mit sich, die durch Drittanbieter und Lieferanten verstärkt werden, die möglicherweise Sicherheitsanfälligkeiten bieten.

Strategien zur Risikominderung

Die DFS-Richtlinien geben klare Handlungsempfehlungen für Unternehmen:

• Risikobewertungen: Unternehmen sollten KI-Bedrohungen in ihre regelmäßigen Risikobewertungen einbeziehen und ihre Cybersicherheitsrichtlinien entsprechend anpassen.
• Lieferantenmanagement: Die Vorgehensweise bei der Auswahl von Drittanbietern sollte die möglichen KI-Risiken berücksichtigen. Verträge sollten Schutzmaßnahmen für die Daten, die mit diesen Anbietern geteilt werden, enthalten.
• Zugangsberechtigungen: Ab dem 1. November 2025 wird die Anwendung von Multi-Faktor-Authentifizierung (MFA) für den Zugang zu Informationssystemen obligatorisch sein. Die DFS empfiehlt zudem, Zugangskontrollen nach Zero Trust-Prinzipien zu gestalten, um das Risiko einer Kompromittierung zu minimieren.
• Cybersecurity-Training: Aus- und Fortbildungsprogramme sollte auch Trainingseinheiten enthalten, die sich mit KI-gestützten sozialen Ingenieurtechniken befassen.

Überwachung und Datenmanagement

Was die Überwachung betrifft, sollten Unternehmen eine permanente Überwachung ihrer Systeme implementieren, um ungewöhnliche Anfragen zu registrieren, die auf mögliche Angriffe hinweisen könnten. Das Datenmanagement sollte darüber hinaus sicherstellen, dass keine sensiblen Informationen unnötig gespeichert werden.

Fazit

In Anbetracht der rasanten Entwicklung von KI und den damit verbundenen Risiken müssen Unternehmen ihre Compliance mit den bestehenden Vorschriften und ihre Strategien zur Risikominderung regelmäßig überprüfen. Die DSF-Richtlinien werfen einen entscheidenden Blick auf die Herausforderungen, die mit der Integration von KI einhergehen, und bieten wertvolle Orientierung, um den sich ständig weiterentwickelnden Gefahren der Cybersicherheit zu begegnen.

Diese Entwicklungen werden von uns weiterhin genau beobachtet, um regelmäßige Updates zu bieten, die für Unternehmen im Bereich der Finanzdienstleistungen von Bedeutung sind.

Weitere Informationen

Für weiterführende Details zu den Richtlinien des DFS und deren Auswirkungen auf die Cybersicherheitspraktiken besuchen Sie den Bericht des DFS.