Verantwortungsbewusster Einsatz von ISMS Copilot

Überblick

Der verantwortungsvolle Einsatz von KI-Tools erfordert ein Verständnis ihrer Möglichkeiten, Grenzen und angemessenen Anwendungen. Dieser Leitfaden bietet praktische Best Practices für den effektiven und ethischen Einsatz von ISMS Copilot in Ihrer Compliance-Arbeit.

Für wen dieser Artikel ist

Dieser Artikel richtet sich an:

• Compliance-Experten, die zum ersten Mal KI einsetzen

• Teams, die Richtlinien zur KI-Governance erstellen

• Berater, die mehrere Kundenprojekte verwalten

• Alle, die den Wert von KI maximieren und gleichzeitig Risiken minimieren wollen

Kernprinzipien der verantwortungsvollen KI-Nutzung

1. KI als Assistent, nicht als Ersatz

Die richtige Einstellung:

• Betrachten Sie ISMS Copilot als einen sachkundigen Junior-Berater

• Er liefert Entwürfe und Vorschläge, keine fertigen Ergebnisse

• Menschliches Fachwissen, Urteilsvermögen und Überprüfung bleiben unerlässlich

• KI beschleunigt die Arbeit, ersetzt aber nicht die fachliche Verantwortung

2. Prüfen vor dem Vertrauen

Stets validieren:

• Kontrollnummern und Framework-Zitate

• Regulatorische Anforderungen und Compliance-Vorgaben

• Technische Spezifikationen und Implementierungsdetails

• Statistiken, Zeitpläne und quantitative Behauptungen

Quellen zur Verifizierung:

• Offizielle Standards (ISO 27001:2022, SOC 2-Kriterien usw.)

• Regulatorische Leitfäden

• Branchen-Frameworks und Best-Practice-Leitfäden

• Rechts- und Compliance-Experten

3. Kontext ist alles

Die KI benötigt Ihren organisatorischen Kontext:

• Branchen- und Regulierungsumfeld

• Größe und Komplexität der Organisation

• Aktueller ISMS-Reifegrad

• Risikotoleranz und Geschäftsziele

• Verfügbare Ressourcen und Zeitplan

4. Transparenz beim KI-Einsatz

Gehen Sie offen mit der KI-Nutzung um:

• Geben Sie KI-unterstützte Arbeit gegenüber Kunden an, wenn dies angemessen ist

• Dokumentieren Sie den KI-Einsatz in Ihren Compliance-Prozessen

• Nehmen Sie KI-Tools in Ihre Auftragsverarbeitungsverträge auf

• Schulen Sie Ihr Team in der ordnungsgemäßen Nutzung und den Grenzen von KI

Best Practices für die Fragestellung

Seien Sie spezifisch und detailliert

Anstelle von vagen Fragen:

• ❌ "Erzähl mir was über ISO 27001"

• ❌ "Wie mache ich Zugriffskontrolle?"

• ❌ "Was ist SOC 2?"

Stellen Sie spezifische, kontextualisierte Fragen:

• ✓ "Wie implementiere ich die ISO 27001:2022 Maßnahme 5.15 (Zugangskontrolle) für ein SaaS-Unternehmen mit 50 Mitarbeitern?"

• ✓ "Welche Nachweise benötige ich für SOC 2 CC6.1 (Logische und physische Zugriffskontrollen) für unsere in AWS gehostete Anwendung?"

• ✓ "Was sind die wichtigsten Schritte zur Erstellung einer DSGVO-konformen Datenlöschrichtlinie für Kundensupport-Daten?"

Relevanten Kontext bereitstellen

Nützlicher zu berücksichtigender Kontext:

• Unternehmensprofil: "Wir sind ein Healthcare-SaaS-Unternehmen mit 200 Mitarbeitern..."

• Aktueller Status: "Wir implementieren ISO 27001 zum ersten Mal..."

• Spezifisches Ziel: "Wir müssen uns auf unser Stage-2-Audit in 3 Monaten vorbereiten..."

• Einschränkungen: "Wir haben begrenztes IT-Sicherheitspersonal und ein kleines Budget..."

• Framework-Version: "Wir arbeiten mit ISO 27001:2022, nicht mit der Version von 2013..."

Komplexe Fragen aufteilen

Anstatt einer massiven Frage:

❌ "Wie implementiere ich ISO 27001 von Grund auf, einschließlich Risikobewertung, Kontrollen, Richtlinien, Verfahren und Vorbereitung auf die Zertifizierung?"

In gezielte Fragen unterteilen:

1. "Was sind die wichtigsten Phasen der ISO 27001-Implementierung für eine Organisation, die dies zum ersten Mal tut?"

2. "Wie führe ich eine ISO 27001-Risikobewertung für eine cloudbasierte SaaS-Plattform durch?"

3. "Welche Richtlinien sind für eine ISO 27001:2022-Zertifizierung erforderlich?"

4. "Welche Nachweise sollte ich für ein ISO 27001 Stage-2-Audit vorbereiten?"

Fragen Sie nach Erklärungen, nicht nur nach Antworten

Fragen, die das Verständnis fördern:

• "Erkläre den Unterschied zwischen den ISO 27001 Kontrollen 5.15 und 8.2"

• "Warum ist die Aufgabentrennung für die SOC 2-Compliance wichtig?"

• "Was ist die Logik hinter dem DSGVO-Prinzip der Datenminimierung?"

• "Führe mich durch die Logik der Entscheidungsfindung bei der Risikobehandlung in ISO 27001"

Vorteile:

• Vertieft Ihr Verständnis von Compliance-Konzepten

• Hilft Ihnen, Anforderungen gegenüber Stakeholdern zu erklären

• Ermöglicht eine bessere Anpassung an Ihr Unternehmen

• Macht Sie zu einem effektiveren Compliance-Experten

Best Practices für die Dokumentenerstellung

Nutzen Sie KI für erste Entwürfe

Gute Anwendungsfälle für KI-Entwürfe:

• Vorlagen für Richtlinien und Verfahren

• Frameworks für Risikobewertungen

• Leitfäden zur Implementierung von Kontrollen

• Dokumentation von Gap-Analysen

• Checklisten zur Audit-Vorbereitung

Arbeitsablauf:

1. Generieren: Bitten Sie ISMS Copilot, einen Richtlinienentwurf zu erstellen

2. Überprüfen: Auf Genauigkeit, Vollständigkeit und Relevanz prüfen

3. Anpassen: An den spezifischen Kontext Ihres Unternehmens angleichen

4. Verbessern: Unternehmensspezifische Details und Beispiele hinzufügen

5. Validieren: Von einem Compliance-Experten oder Auditor prüfen lassen

6. Genehmigen: Abschließende Freigabe durch die zuständige Stelle

Anpassung an Ihr Unternehmen

Bereiche, die eine Anpassung erfordern:

• Rollen und Verantwortlichkeiten: Tatsächliche Berufsbezeichnungen und Namen

• Technische Umgebung: Spezifische Systeme, Tools und Plattformen

• Geschäftsprozesse: Wie Ihr Unternehmen tatsächlich arbeitet

• Risikoprofil: Ihre spezifischen Bedrohungen, Schwachstellen und Ihre Risikobereitschaft

• Regulatorische Anforderungen: Branchenspezifische oder länderspezifische Regeln

Beispiel für eine Anpassung:

KI-generiert (generisch):

"Der Informationssicherheitsbeauftragte ist für die Überwachung der Zugriffskontrollprozesse verantwortlich."

Angepasst (spezifisch):

"Die Informationssicherheitsbeauftragte (CISO), Jane Smith, delegiert die Überwachung der Zugriffskontrolle an den IT-Operations-Manager, der Okta für das Identitätsmanagement nutzt und die Zugriffsprotokolle wöchentlich über Splunk überprüft."

Nachweise und Implementierungsdetails hinzufügen

KI-Richtlinien in auditreife Dokumentation umwandeln:

• Spezifische Tool-Namen hinzufügen (z. B. "Verwendung von Vanta zur Compliance-Automatisierung")

• Speicherorte für Nachweise angeben (z. B. "Zugriffsprotokolle gespeichert im S3-Bucket: company-audit-logs")

• Verweis auf zugehörige Verfahren (z. B. "Siehe SOP-001: Benutzer-Onboarding-Prozess")

• Überprüfungszyklen dokumentieren (z. B. "Richtlinie wird vierteljährlich vom Sicherheitsausschuss überprüft")

• Link zu Compliance-Artefakten (z. B. "Risikoregister wird im Jira Security-Projekt geführt")

Best Practices für Datei-Uploads

Was hochgeladen werden sollte

Gute Dokumente zur Analyse:

• Bestehende Richtlinien für Gap-Analysen

• Risikobewertungen zur Überprüfung und Verbesserung

• Audit-Berichte für die Sanierungsplanung

• Kontrollmatrizen für Vollständigkeitsprüfungen

• Sicherheitsfragebögen für Anbieter zum Entwurf von Antworten

Dateianforderungen:

• Maximal 10 MB für einfache Dateien (TXT, CSV, JSON), 5 MB für konvertierbare Dateien (PDF, DOC, DOCX, XLS, XLSX)

• Unterstützte Formate: PDF, DOCX, DOC, XLSX, XLS, TXT, CSV, JSON

• Jeweils nur eine Datei

Überlegungen zur Datensensibilität

Vor dem Hochladen sensibler Daten:

1. Prüfen Sie, welche personenbezogenen oder vertraulichen Informationen das Dokument enthält

2. Erwägen Sie die Anonymisierung von Kundennamen, Mitarbeiterdaten oder geschützten Informationen

3. Denken Sie daran, dass hochgeladene Dateien basierend auf Ihren Datenaufbewahrungseinstellungen gespeichert werden

4. Nutzen Sie Workspaces, um Daten verschiedener Kunden zu isolieren

Was NICHT hochgeladen werden sollte

Vermeiden Sie das Hochladen von:

• Urheberrechtlich geschützten ISO-Standards oder proprietären Frameworks (die KI wird diese nicht verarbeiten — siehe unsere Richtlinie zur Einhaltung geistigen Eigentums)

• Rohdateien mit Anmeldedaten oder Passwörtern

• Nicht anonymisierte PII (personenbezogene Daten) oder sensible persönliche Daten

• Kundendaten ohne entsprechende vertragliche Vereinbarungen

• Dokumente, die Geschäftsgeheimnisse enthalten, sofern nicht unbedingt erforderlich

Best Practices für die Workspace-Verwaltung

Nach Projekt oder Kunde organisieren

Empfohlene Workspace-Struktur:

• Für Berater: Ein Workspace pro Kunde

• Für Organisationen: Ein Workspace pro Framework oder Initiative

• Für mehrphasige Projekte: Getrennte Workspaces für Planung, Implementierung und Audit-Vorbereitung

Beispiele für Workspace-Namen:

• "Kunde A - ISO 27001:2022 Implementierung"

• "SOC 2 Type II Audit-Vorbereitung Q1 2024"

• "DSGVO-Compliance - Personalabteilung"

• "Risikobewertung - Cloud-Infrastruktur"

Benutzerdefinierte Anweisungen effektiv nutzen

Gute benutzerdefinierte Anweisungen:

• "Konzentriere dich auf ISO 27001:2022 Kontrollen. Wir sind ein Healthcare-SaaS-Unternehmen, das HIPAA unterliegt."

• "Wir bereiten uns auf ein SOC 2 Type II-Audit vor. Betone die Erfassung von Nachweisen und die Dokumentation."

• "Dies ist ein kleines Startup (20 Mitarbeiter) mit begrenzten Sicherheitsressourcen. Priorisiere praktische, kostengünstige Kontrollen."

Anweisungen, die nicht funktionieren:

• ❌ Versuche, Sicherheitseinschränkungen zu umgehen

• ❌ Anforderung von Inhalten, die nicht compliance-konform sind

• ❌ Aufforderung, Urheberrechtsschutz zu ignorieren

Abgeschlossene Workspaces bereinigen

Wann Workspaces gelöscht werden sollten:

• Das Projekt oder der Auftrag ist abgeschlossen

• Die Datenaufbewahrungsfrist für diesen Kunden ist abgelaufen

• Der Kundenvertrag schreibt die Datenlöschung vor

• Der Workspace wurde zu Test- oder Experimentierzwecken erstellt

Vor dem Löschen:

1. Exportieren Sie alle wichtigen Konversationen oder Dokumentationen

2. Archivieren Sie relevante Informationen in Ihrem Compliance-Managementsystem

3. Vergewissern Sie sich, dass Sie den Workspace nicht mehr für zukünftige Referenzen benötigen

4. Löschen Sie den Workspace, um die Datenhygiene aufrechtzuerhalten

Best Practices für die Datenaufbewahrung

Angemessene Aufbewahrungsfristen festlegen

Berücksichtigen Sie:

• Gesetzliche Anforderungen: Regulatorische Aufbewahrungsfristen für Ihre Branche

• Vertragliche Verpflichtungen: Kundenvereinbarungen zur Datenaufbewahrung

• Geschäftliche Anforderungen: Wie lange Sie den Konversationsverlauf als Referenz benötigen

• Risikoprofil: Abwägung zwischen Datennutzen und Minimierung des Expositionsrisikos

Empfohlene Aufbewahrungsfristen:

Exportieren vor Ablauf

Für wichtige Konversationen:

1. Kopieren Sie Konversationsinhalte, bevor die Aufbewahrungsfrist abläuft

2. Speichern Sie diese in Ihrem Compliance-Managementsystem oder Dokumenten-Repository

3. Fügen Sie relevante Metadaten hinzu (Datum, Workspace, Kontext)

4. Befolgen Sie die Verfahren zur Schriftgutverwaltung Ihrer Organisation

Angemessene Nutzung des temporären Chats

Wann der temporäre Chat genutzt werden sollte

Gute Anwendungsfälle:

• Kurze, einmalige Fragen, die keine dauerhafte Speicherung erfordern

• Sondierungsrecherche, bevor man sich auf einen Workspace festlegt

• Sensible Diskussionen, die Sie nicht im permanenten Verlauf haben möchten

• Testen der Formulierung komplexer Fragen

Nicht geeignet für:

• Wichtige Projektarbeit, auf die Sie später zurückgreifen müssen

• Erstellung von Dokumentationen für Audits

• Aufbau einer organisatorischen Wissensbasis

• Arbeit, die Sie eventuell als Nachweis für Compliance-Aktivitäten benötigen

Denken Sie an das 30-Tage-Sicherheitsfenster

Wichtige Einschränkung:

Auch temporäre Chats können zur Sicherheitsüberwachung und Missbrauchsprävention bis zu 30 Tage lang aufbewahrt werden.

Was das bedeutet:

• Der temporäre Chat ist nicht vollständig flüchtig

• Daten können überprüft werden, wenn Sicherheitsbedenken aufkommen

• Unterliegt weiterhin den Datenverarbeitungsvereinbarungen

• Verwenden Sie reguläre Workspaces, wenn Sie die vollständige Kontrolle über die Aufbewahrung benötigen

Ethische Erwägungen

Vertraulichkeit des Kunden

Schützen Sie Kundeninformationen:

• Verwenden Sie separate Workspaces für verschiedene Kunden

• Anonymisieren Sie Kundennamen in Dokumenten, wann immer möglich

• Nehmen Sie die KI-Nutzung in Ihre Kundenverträge und Vertraulichkeitsvereinbarungen auf

• Legen Sie Aufbewahrungsfristen fest, die den Kundenvereinbarungen entsprechen

• Informieren Sie Kunden, wenn Sie KI-Tools für deren Arbeit einsetzen

• Aktivieren Sie den erweiterten Datenschutzmodus (Advanced Data Protection Mode), wenn Kundenverträge eine reine EU-Datenverarbeitung oder eine Null-Aufbewahrung durch den KI-Anbieter vorschreiben

Urheberschaft und Offenlegung

Bei der Übergabe von Ergebnissen an Kunden:

• Seien Sie transparent bezüglich der KI-Unterstützung bei der Erstellung von Ergebnissen

• Betonen Sie Ihre fachliche Überprüfung und Anpassung

• Geben Sie KI-generierte Inhalte nicht als rein originäre Eigenleistung aus

• Erklären Sie, wie KI die Effizienz gesteigert hat, ohne die Qualität zu beeinträchtigen

Vermeidung übermäßiger Abhängigkeit

Warnsignale für zu starke Abhängigkeit:

• KI-Antworten ohne Verifizierung übernehmen

• Fachliche Überprüfung von KI-generierten Dokumenten überspringen

• KI als Ersatz für das Erlernen von Compliance-Frameworks nutzen

• KI-Inhalte ohne Anpassung liefern

• Kritische Entscheidungen ausschließlich auf Basis von KI-Empfehlungen treffen

Berufliche Kompetenz bewahren:

• Lernen Sie weiterhin über Frameworks und Standards

• Tauschen Sie sich mit der Compliance-Community und Vordenkern aus

• Nehmen Sie an Schulungs- und Zertifizierungsprogrammen teil

• Lesen Sie offizielle Standards und regulatorische Leitfäden

• Entwickeln Sie Fachwissen jenseits der KI-unterstützten Arbeit

Team-Schulung und Governance

Einführung von Richtlinien zur KI-Nutzung

Wesentliche Richtlinien-Elemente:

1. Zulässige Anwendungsfälle: Wofür KI eingesetzt werden darf und wofür nicht

2. Prüfungsanforderungen: Wer KI-generierte Inhalte überprüfen muss

3. Verifizierungsstandards: Wie KI-Ergebnisse zu validieren sind

4. Datenumgang: Welche Daten wie hochgeladen werden dürfen

5. Offenlegung gegenüber Kunden: Wann und wie Kunden über den KI-Einsatz informiert werden

6. Dokumentation: Wie die KI-Unterstützung in Arbeitsprodukten festzuhalten ist

Schulung Ihres Teams

Wichtige Schulungsthemen:

• Wie ISMS Copilot funktioniert und wo seine Grenzen liegen

• Erkennen und Melden von Halluzinationen

• Effektive Prompting-Techniken

• Anforderungen an Verifizierung und Anpassung

• Datensensibilität und Überlegungen zum Datenschutz

• Workspace- und Aufbewahrungsmanagement

• Prinzipien für den ethischen KI-Einsatz

Qualitätssicherungsprozesse

Prüfpunkte implementieren:

1. KI-Entwurf: Initialer, von der KI generierter Inhalt

2. Erste Prüfung: Fachexperte verifiziert die Genauigkeit

3. Anpassung: Anpassung an den organisatorischen Kontext

4. Zweite Prüfung: Compliance-Leiter prüft auf Vollständigkeit

5. Abschließende Genehmigung: Autorisierter Prüfer gibt den Inhalt frei

6. Audit-Trail: Dokumentation von Prüfung und Genehmigung

Effektivität messen

KI-Wert verfolgen

Zu berücksichtigende Kennzahlen:

• Zeitersparnis bei der Erstellung von Richtlinien

• Verkürzung der Compliance-Vorbereitungszyklen

• Anzahl der Audit-Feststellungen (um sicherzustellen, dass die Qualität nicht leidet)

• Zufriedenheit des Teams mit der KI-Unterstützung

• Kundenfeedback zur Qualität der Ergebnisse

Kontinuierliche Verbesserung

Verfeinern Sie Ihren Ansatz:

• Dokumentieren Sie effektive Prompts und Fragen

• Teilen Sie Best Practices innerhalb Ihres Teams

• Verfolgen und melden Sie Halluzinationen, um das System zu verbessern

• Aktualisieren Sie die KI-Nutzungsrichtlinien basierend auf Erfahrungen

• Passen Sie Strategien für Aufbewahrung und Workspaces nach Bedarf an

Checkliste für verantwortungsvolle KI

Vor der KI-Nutzung

• ✓ Verstehen Sie die KI-Nutzungsrichtlinie Ihrer Organisation

• ✓ Prüfen Sie Kundenverträge auf Einschränkungen bei KI-Tools

• ✓ Planen Sie Verifizierungs- und Überprüfungsprozesse

• ✓ Legen Sie angemessene Datenaufbewahrungsfristen fest

• ✓ Erstellen Sie Workspaces für verschiedene Projekte/Kunden

Während der KI-Nutzung

• ✓ Stellen Sie spezifische, kontextualisierte Fragen

• ✓ Überprüfen Sie Antworten auf Genauigkeit und Relevanz

• ✓ Passen Sie den KI-Output an Ihre Organisation an

• ✓ Vergleichen Sie die Ergebnisse mit offiziellen Standards

• ✓ Bewahren Sie Ihr fachliches Urteilsvermögen

Nach der KI-Nutzung

• ✓ Lassen Sie KI-generierte Inhalte von Experten prüfen

• ✓ Dokumentieren Sie die KI-Unterstützung in Arbeitsprodukten

• ✓ Melden Sie Halluzinationen oder Sicherheitsbedenken

• ✓ Archivieren Sie wichtige Konversationen vor dem Ablauf

• ✓ Löschen Sie abgeschlossene Workspaces ordnungsgemäß

Was kommt als Nächstes?

• Erfahren Sie mehr über KI-Sicherheitsvorkehrungen und Einschränkungen

• Verstehen Sie, wie man Halluzinationen erkennt und verhindert

• Starten Sie Ihre erste Konversation unter Anwendung der Best Practices

• Richten Sie Workspaces ein, um Ihre Arbeit zu organisieren

Hilfe erhalten

Bei Fragen zum verantwortungsvollen KI-Einsatz:

• Besuchen Sie das Trust Center für Leitfäden zur KI-Governance

• Kontaktieren Sie den Support über das Hilfe-Menü

• Melden Sie Sicherheitsbedenken oder unangemessenes KI-Verhalten

• Teilen Sie Feedback zur Effektivität und Benutzerfreundlichkeit der KI