Jaya Baloo über Cyber-Prioritäten in einer KI-geprägten Welt

Nach einer intensiven Woche mit Keynotes beim ISF in Prag und bei der Atlantic Convergence in Lissabon hat sich CISO Jaya Baloo mit revel8 zusammengesetzt, um über die Hebel zu sprechen, die in der Cybersicherheit wirklich etwas bewegen.

Jayas Laufbahn führte sie durch einige der anspruchsvollsten Umfelder der globalen Infrastruktursicherheit – von France Télécom (heute Orange) und Verizon über die Leitung der Sicherheitsfunktion als CISO bei KPN, dem größten Telekommunikationsanbieter der Niederlande, und als CISO von Avast bis hin zur Rolle als CSO bei Rapid7.

Ihre Führungsarbeit wurde vielfach ausgezeichnet – unter anderem mit dem Titel Cyber Security Executive of the Year im Jahr 2015 und einem Platz auf der Liste der Top 100 CISOs weltweit.

Heute konzentriert sich Jaya auf AISLE, das von ihr gegründete Unternehmen, das mit KI Software-Schwachstellen autonom und in großem Maßstab identifiziert und behebt.

Im Gespräch räumt sie mit dem Grundrauschen auf und benennt die tatsächlichen Prioritäten der Cybersicherheit, zeigt, wie KI Angriffe und Verteidigung zugleich verändert, und erklärt, was Vorstände verstehen müssen, um Security wirksam zu steuern – alles unmittelbar aus ihrer eigenen Erfahrung.

Jaya, was hat Sie ursprünglich zur Cybersicherheit gebracht, und was hält Sie bis heute in diesem Feld?

„Meinen ersten Computer bekam ich mit neun Jahren und habe mir BASIC selbst beigebracht. Eines meiner ersten Programme wählte Telefonnummern durch, um lokale Mailboxsysteme zu finden, und mich faszinierte, wie ein winziger Einstiegspunkt ein ganzes Netzwerk öffnen konnte. Das hat mir gezeigt, was eine Hacker-Denkweise zutage fördern kann, aber auch, dass ich diese Neugier verantwortungsvoll einsetzen wollte. Meine Eltern arbeiteten bei den Vereinten Nationen, ich bin also mit einem starken Gemeinsinn aufgewachsen. Menschen und Systeme zu schützen fühlte sich deshalb wie ein natürlicher Weg an.

Was mich heute in der Cybersicherheit hält, ist die Dringlichkeit: Wir stapeln KI, Robotik und Automatisierung auf ein Fundament, das voller technischer Schulden steckt. Ich bleibe, weil wir genau dieses Fundament in Ordnung bringen müssen, damit Innovation sicher bleibt, während sich die Technologie weiterentwickelt.“

Welche drei bis fünf Themen der Cybersicherheit halten Sie derzeit für die dringendsten – und warum?

„Wenn es um die dringendsten Themen der Cybersicherheit geht, nenne ich immer dieselben drei. Identität, ein starkes Schwachstellenmanagement und Phishing-Resilienz bilden den Kern, denn genau dort beginnen die meisten Angriffe. Starke MFA, das schnelle Schließen kritischer Schwachstellen und kontinuierliche Awareness gegenüber Phishing und Deepfakes verschließen die Mehrzahl der initialen Zugangswege.

Ich wende hier gern das Pareto-Prinzip an: Wenn Sie 20 % Ihres Aufwands auf diese drei Bereiche konzentrieren, erreichen Sie damit bereits rund 80 % Ihrer Risikoreduktion. Sie sind das Fundament.“

Sie sprechen das Schwachstellenmanagement an. Wie beeinflusst KI diese Schwachstellen und die Art, wie Angriffe aufgebaut und skaliert werden – und wie sollten CISOs darauf reagieren?

„KI verändert das Schwachstellenmanagement, weil Angreifende Schwachstellen heute deutlich schneller finden und ausnutzen können. CISOs müssen KI als organisationsweit geteiltes Risikofeld behandeln, mit klaren Rollen etwa für Recht, Compliance und Engineering. Entscheidend ist zu wissen, wo KI eingesetzt wird, und sich durch Isolation, Monitoring und Tests vor dem Rollout gegen Probleme wie Datenabfluss, Missbrauch oder Prompt-Manipulation zu schützen.

Gleichzeitig kann KI uns helfen, besser zu verteidigen: Sie erkennt ungewöhnliche Aktivitäten früher, unterstützt Analystinnen und Analysten und automatisiert Routineaufgaben. Es geht also darum, KI abzusichern und sie zugleich zu nutzen, um die Cybersicherheit insgesamt zu stärken.“

Können Sie ausführen, warum KI auch die Cyberabwehr stärken kann, und welche Rolle Awareness-Trainings in diesem Ansatz spielen?

„KI verbessert die Verteidigung erheblich, weil sie in Maschinengeschwindigkeit arbeitet: Sie findet Schwachstellen schneller, unterstützt Detection und Response und hilft, langjährige technische Altlasten abzubauen. Am wirksamsten ist ein Modell aus Mensch plus KI, bei dem die KI die technische Arbeit beschleunigt und Menschen Urteilsvermögen und Kontext einbringen.

Genau bei diesem menschlichen Faktor setzt Awareness-Training an. Selbst die beste KI kann Angriffe nicht verhindern, die durch menschliche Fehler entstehen. Identitätsschutz und Patching haben also die größte unmittelbare Wirkung – Awareness ist dennoch unverzichtbar, um menschliche Entscheidungen zu stärken und die Einfallstore zu schließen, auf die Angreifende setzen.“

{{quote}}

Wie können CISOs vor diesem Hintergrund ihre Vorstände gewinnen und davon überzeugen, mehr Verantwortlichkeit und Awareness zu priorisieren?  

„Um Vorstände wirklich zu erreichen, müssen CISOs in finanziellen Größen sprechen. Wenn Sie Risiken quantifizieren und den Return on Security Investment zeigen – vor allem im Vergleich zwischen den Kosten eines Vorfalls und den Kosten der Prävention –, wird der Wert offensichtlich. Verknüpfen Sie Security-Kennzahlen mit Geschäftsergebnissen: MFA-Abdeckung, Backlog kritischer Schwachstellen, Mean Time to Remediation, Melderaten bei Phishing. Diese Zahlen verstehen Vorstände, zumal neue europäische Compliance-Vorgaben ihre Verantwortlichkeit erhöhen.

Um das zu unterstützen, habe ich meine CISO-Policies und einen Kosten-/ROSI-Rechner in der KPN CISO App als Open Source veröffentlicht. Das hilft, Risiken zu quantifizieren, Erwartungen abzugleichen und den Wert vermiedener Schäden zu zeigen – ein praktisches Werkzeug, mit dem CISOs dauerhafte Investitionen absichern können.“

Sie haben neue EU-Regulierungen erwähnt. Was haben Sie aus Ihrer Zeit im Quantum Flagship Strategic Advisory Board der EU-Kommission über Europas regulatorischen Einfluss in KI und Cybersicherheit gelernt, und wo bestehen weiterhin Lücken?

„Lücken bestehen darin, dass die Abstimmung zwischen den Mitgliedstaaten langsam sein kann und die Umsetzung oft ungleichmäßig ausfällt. Die EU wirkt manchmal wie ein Öltanker – träge im Wenden, aber wenn sie einmal gewendet hat, verschiebt sie die globale Richtung. Die Einführung der DSGVO hat das bewiesen, und die kommenden Wellen etwa des Cyber Resilience Act werden dasselbe bewirken. Europas eigentliche Stärke liegt darin, globale Normen zu setzen und über Regulierung Marktveränderungen anzustoßen. “

Und zum Schluss: Frauen sind im Feld der Cybersicherheit noch immer selten vertreten. Sie wurden für Ihre Führungsarbeit in diesem Feld wiederholt ausgezeichnet – von Cyber Security Executive of the Year bis zur Aufnahme in die Top 100 CISOs weltweit. Wie blicken Sie heute auf das Thema Frauen in der Cybersicherheit?

„Für Frauen im Feld der Cybersicherheit ist es nach wie vor nicht leicht. Vorurteile – bewusste wie unbewusste – sind weiterhin sehr präsent. Und in diesem Feld hängt Erfolg nicht allein von technischer Tiefe ab: Kommunikation, Führung und Geschäftsverständnis sind ebenso entscheidend, gerade in börsennotierten Unternehmen mit hohem regulatorischem Druck.

Sichtbare Repräsentanz ist wirklich wichtig. Wenn mehr Frauen sichtbare Führungsrollen übernehmen, erweitert das den Talentpool und bringt Perspektiven ein, die Sicherheitsergebnisse verbessern. Inklusive Teams aufzubauen ist weder Wohltätigkeit noch das Abhaken von Vorgaben. Es geht darum, blinde Flecken zu verringern, Entscheidungen zu verbessern und letztlich widerstandsfähigere Organisationen zu bauen. Diversität ist eine Sicherheitsmaßnahme.“