Vertrauen, das sich überprüfen lässt: Sicherheitsgarantie für das Zeitalter der KI

Wenn du dich für eine cloud-Plattform entscheidest, vertraust du einem Anbieter sensible Geschäftsinformationen, Kundendaten, kritische Anwendungen und einen wachsenden Teil deiner betrieblichen Ausfallsicherheit an. Zunehmend vertraust du ihm auch KI an. Und das verändert die Fragen, die du stellen solltest.

Marketingversprechen können diese Fragen nicht beantworten. Unabhängige Nachweise hingegen schon. Hier erfährst du, wie diese Nachweise bei Upsun aussehen und warum sie für deine nächste Anbieterbewertung wichtig sind.

Nachweisbarkeit, die du deinen Prüfern vorlegen kannst

Upsun verfügt über eine akkreditierte Zertifizierung nach ISO/IEC 27001:2022 und unterhält einen SOC-2-Typ-2-Prüfbericht, der Sicherheit, Verfügbarkeit und Datenschutz abdeckt. Unser Compliance-Programm umfasst außerdem PCI DSS Level 1.

Diese Formen der Sicherheit beantworten ergänzende Fragen:

ISO 27001 bestätigt, dass die Informationssicherheit durch ein strukturiertes, risikobasiertes Managementsystem mit festgelegten Verantwortlichkeiten, kontinuierlicher Überwachung und fortlaufender Verbesserung verwaltet wird. Es handelt sich nicht um eine Ansammlung unzusammenhängender technischer Kontrollen.

SOC 2 Typ 2 geht über eine einmalige Zertifizierung hinaus. Es liefert unabhängig geprüfte Nachweise dafür, dass die im Geltungsbereich liegenden Kontrollen über einen längeren Berichtszeitraum hinweg effektiv funktioniert haben.

Für eure Sicherheits- und Beschaffungsteams liegt der praktische Nutzen auf der Hand: anerkannte, unabhängig geprüfte Dokumentation, die die Anbieter-Due-Diligence beschleunigt und es euch ermöglicht, eure Bewertung auf die Risiken und Konfigurationen zu konzentrieren, die für eure eigene Nutzung der Plattform spezifisch sind – anstatt hinter unbegründeten Anbieterangaben herzujagen.

Hinter den Berichten stehen die operativen Kontrollmaßnahmen selbst: gehärtete Laufzeitumgebungen, schreibgeschützte Dateisysteme, verschlüsselte Datenpfade, Netzwerkisolierung, rollenbasierte Zugriffskontrolle, Multi-Faktor-Authentifizierung, automatisiertes TLS, verwaltete Plattform-Updates und Audit-Protokollierung.

Ein Punkt, den dir jeder glaubwürdige Anbieter ehrlich sagen muss: Cloud-Sicherheit ist eine gemeinsame Verantwortung. Upsun verwaltet die Kontrollen innerhalb der Plattform; du bleibst verantwortlich für deine Anwendungen, Daten, deinen Code, deine Integrationen und deine Zugriffsentscheidungen. Ein zertifizierter Anbieter macht deine Anwendung nicht konform; er bietet dir eine stärkere, belegte Grundlage, auf der du deine eigenen Kontrollen nachweisen kannst.

KI legt die Messlatte höher. Die meisten Anbieter sind noch nicht bereit.

Herkömmliche Sicherheitsmaßnahmen umfassen Zugriffskontrolle, Verschlüsselung, Überwachung, Reaktion auf Vorfälle und Änderungsmanagement. Diese Kontrollen bleiben unverzichtbar. Doch KI wirft Governance-Fragen auf, für deren Beantwortung sie nie konzipiert wurden: Welchen Kontext ein KI-System erhält, welche Berechtigungen es besitzt, wann eine menschliche Genehmigung erforderlich ist, wie Ergebnisse validiert werden und wie Entscheidungen im Nachhinein rekonstruiert werden können.

Die 2023 veröffentlichte Norm ISO/IEC 42001 ist genau dafür konzipiert. Sie verlangt von Organisationen, KI durch definierte Verantwortlichkeit, Transparenz, Rückverfolgbarkeit und kontinuierliche Verbesserung zu steuern. Sie ist keine Garantie dafür, dass ein KI-System niemals eine falsche Antwort liefert, da kein Compliance-Standard das versprechen kann. Ihr Wert liegt darin, nachzuweisen, dass KI unter Governance betrieben wird.

Upsun ist auf dem Weg zur Zertifizierung nach ISO 42001. Noch wichtiger ist jedoch, dass die dahinterstehenden Prinzipien wie Risikobewertung, Verantwortlichkeit, menschliche Aufsicht, Rückverfolgbarkeit und Überwachung bereits fest in unserer Entwicklungsarbeit verankert sind.

Governance by Design: Upsun Dispatch™

Für uns ist das keine Theorie. Upsun hat kürzlich Upsun Dispatch™ eingeführt, eine Plattform für den agentenbasierten Softwareentwicklungszyklus, auf der KI-Agenten und Menschen gemeinsam Software über definierte Workflows bereitstellen – anstatt dass Agenten als unbeaufsichtigte Tools auf einzelnen Laptops agieren.

Dispatch wurde rund um die Governance-Fragen konzipiert, die dein Risikoteam stellen wird:

• Agenten laufen in isolierten cloud-Umgebungen, nicht auf privaten Rechnern, wo Produktionsgeheimnisse und Zugriffsrechte auf Tools unkontrolliert verbreitet werden, ohne dass protokolliert wird, worauf die einzelnen Agenten zugegriffen haben.
• Die Arbeit durchläuft Schritt für Schritt euren definierten Workflow und lässt sich in die Tools integrieren, die eure Teams bereits nutzen, wie GitHub, GitLab, Linear und Jira.
• Workflows werden angehalten, wenn ein Mensch entscheiden muss. Geschwindigkeit geht nicht auf Kosten der Kontrolle.
• Jeder Durchlauf wird protokolliert, einschließlich der Kosten, sodass die Aktivitäten überprüft werden können und nicht aus dem Gedächtnis rekonstruiert werden müssen.

Das Prinzip ist einfach: Du solltest dich nicht zwischen KI-gestützter Entwicklungsgeschwindigkeit und angemessener menschlicher Kontrolle entscheiden müssen. 

Im Rahmen unserer Roadmap für kontinuierliche Sicherheit ist geplant, Upsun Dispatch in den Geltungsbereich unseres ISO 27001- und SOC 2-Sicherheitsprogramms aufzunehmen. Dies spiegelt unser Engagement wider, denselben disziplinierten Ansatz in Bezug auf Governance, Risikomanagement, Sicherheit und Nachvollziehbarkeit auch auf neue Produkte und Anwendungsfälle für aufkommende Technologien auszuweiten.

Für Kunden bedeutet das, dass Dispatch nicht nur als KI-gestützte Produktivitätsplattform entwickelt wird, sondern als geregeltes Betriebsmodell für die Bereitstellung autonomer Software – eines, das speziell für Sicherheitsteams, Compliance-Teams, Entwickler und Führungskräfte konzipiert wurde.

Sechs Fragen, die du jedem KI-gestützten Anbieter stellen solltest

Wenn KI in eure Software-Lieferkette Einzug hält, legt bei jedem Anbieter – auch bei uns – denselben Maßstab an:

1. Wer ist für KI-Systeme und die Entscheidungen über deren Einsatz verantwortlich?
2. Auf welche Daten und welchen Kontext greifen KI-Systeme zu, und wie werden diese geschützt?
3. Wo findet menschliche Kontrolle statt – Überprüfung, Genehmigung, Eskalation?
4. Lassen sich Aktivitäten ausreichend nachverfolgen, um Untersuchungen und die Sicherstellung der Sicherheit zu unterstützen?
5. Wie wird die Performance überwacht, wenn sich Modelle, Anwendungsfälle und Risiken weiterentwickeln?
6. Wie werden Modelle und Anbieter von Drittanbietern geregelt?

Anbieter, die diese Fragen mit Belegen beantworten können, verdienen dein Vertrauen. 

Schau dir die Belege an

Die Zertifizierung ist ein Meilenstein. Die eigentliche Herausforderung liegt darin, was danach passiert: Risiken entwickeln sich weiter, Produkte ändern sich, und Kontrollen müssen kontinuierlich getestet und verbessert werden. Diese Disziplin ist das eigentliche Ergebnis eines Sicherheitsprogramms.

Unser aktueller SOC-2-Typ-2-Bericht ist auf Anfrage über deinen Upsun-Kundenbetreuer erhältlich, und unsere ISO-27001-Zertifizierung sowie unser umfassendes Compliance-Programm sind in unserem Upsun Trust Center dokumentiert.

Doch Vertrauen verdient man sich nicht allein durch ein Zertifikat. Wir bei Upsun glauben, dass man es sich verdient, indem man Verpflichtungen konsequent in Kontrollmaßnahmen, Kontrollmaßnahmen in Nachweise und Nachweise in Vertrauen umsetzt.