„Geschwindigkeit ist derzeit die größte Herausforderung", sagte Weatherford in einer Konferenzsitzung über den Wandel der CISO-Rolle im KI-Zeitalter. „Die Technik verändert sich so schnell, dass es für uns wirklich schwer ist, mitzuhalten."

Der Wandel schlage sich auch in alltäglichen Praktiken nieder. Penetrationstests viermal im Jahr hätten früher als ausreichend gegolten; inzwischen teste wahrscheinlich zu wenig, wer nicht rund um die Uhr prüfe.

Weatherford war in der Regierung Obama stellvertretender Unterstaatssekretär für Cybersicherheit im US-Heimatschutzministerium (DHS) und zuvor Chief Information Security Officer der Bundesstaaten Colorado und Kalifornien. Zu seinen weiteren beruflichen Stationen zählen die Position des Chief Security Officer der North American Electric Reliability Corporation (NERC) sowie eine Führungsrolle im Sicherheitsbereich bei Booking Holdings.

Als Treiber vieler KI-Projekte nannte Weatherford die Angst, etwas zu verpassen (FOMO). Sie bringe Organisationen dazu, KI einzuführen, ohne stets eine geschäftliche Sorgfaltsprüfung vorzunehmen oder zu verstehen, welchen Nutzen sie aus ihrer Investition ziehen könnten. In vielen Fällen könne der schnelle Mitteleinsatz sinnvoll sein, in anderen sei die Begründung für KI weniger eindeutig.

Umgekehrt neigten CISOs häufig dazu, beim geringsten Risiko reflexhaft „Nein" zu sagen. Weatherford verwies dagegen auf das Marinekonzept der „command by negation": Untergebene handeln eigenständig auf ein übergeordnetes Ziel hin, solange der Vorgesetzte sie nicht stoppt. Sicherheitsverantwortliche sollten in ähnlicher Weise bereit sein, eigenständig mehr Risiko zu akzeptieren – abgestimmt auf die Risikobereitschaft des eigenen Unternehmens. „Man muss neugierig sein. Man muss bereit sein, die Komfortzone zu verlassen", sagte er.

CISOs sollten kontinuierlich darüber nachdenken, wie KI Geschäft und Sicherheit verändern könne, und nach Gelegenheiten suchen, in ihrer Rolle besser zu werden. Wer erwarte, dass Ruf und frühere Arbeit allein ihn in die Zukunft tragen, begrenze sein Potenzial, warnte Weatherford. „Seid neugierig, seid kreativ, seid bereit, zu lernen und umzulernen", sagte er. Ein Weg, bei KI auf Stand zu kommen, sei, sich jede Woche ein neues Thema vorzunehmen.

Die Sorge, KI zu langsam zu nutzen, treffe zugleich auf die wachsende Befürchtung, dass Organisationen KI zu schnell einführten – ohne angemessene Kontrollen und ohne die damit verbundenen Risiken vollständig zu erfassen. Es sei Aufgabe des CISO sicherzustellen, dass der Vorstand die Risiken versteht und weiß, wer für welches Risiko verantwortlich ist, gerade wenn das Risiko durch die Einführung einer Technologie durch eine andere Führungskraft entsteht.

Solche Offenheit könne der eigenen Karriere mitunter schaden, räumte Weatherford ein. Doch CISOs würden oft für Entscheidungen verantwortlich gemacht, die nicht ihre eigenen seien, und müssten dem widersprechen. „Ich würde sagen, wir müssen sicherstellen, dass diejenigen, die das Risiko eingehen, auch für das Risiko verantwortlich sind."

Beim Nachwuchs setzt Weatherford auf bezahlte Praktika, die junge, mit KI aufgewachsene Menschen ins Unternehmen holen und ihnen das Geschäft vermitteln. Eine seiner Ideen für Bewerbungsgespräche: Man gibt Kandidaten ein geschäftliches Problem und lässt sie es live mit KI lösen – ohne eine einzige richtige Antwort, um die Flexibilität zu testen.

Wichtig sei außerdem, dass CISOs für Karrierewege und Aufstiegsmöglichkeiten innerhalb der Organisation sorgen. Es sei ein Irrtum, anzunehmen, man könne Talente halten, indem man sie besser bezahle und zugleich in denselben Rollen belasse.