By Mhicole A. Moral, Special Features and Content Writer

Organisationen arbeiten heute in einer digitalen Wirtschaft, in der Technologie nahezu jeden Bereich der Geschäftstätigkeit antreibt. Mit der zunehmenden Abhängigkeit von vernetzten Systemen sind Cybersecurity und Datenschutz immer wichtigere Bestandteile einer langfristigen Unternehmensstrategie geworden.

Diese Themen prägten die erste Podiumsdiskussion des BusinessWorld Cybersecurity Summit mit dem Titel „Navigating Cybersecurity Laws and Compliance“. Das Panel untersuchte, wie globale Cybersicherheitsvorschriften philippinische Organisationen beeinflussen und warum Compliance allein nicht mehr ausreicht, um die Cybersecurity zu stärken.

Cybercrime Investigation and Coordinating Center Assistant Secretary und Deputy Executive Director Alvin M. Navarro sagte, Cybersecurity gehe weit über den Schutz von Unternehmen hinaus, da ihre Auswirkungen staatliche Institutionen, die nationale Sicherheit und gewöhnliche Bürger erreichen.

„Unter der Allgemeinbevölkerung wird die dunkle Seite der Ausnutzung von Cyber-Schwachstellen durch Betrug spürbar. Mehr als 60% aller Beschwerden, die wir erhalten, entfallen auf Betrugsfälle. Stellen Sie sich die Verluste, die Angst und das Leid vor, die die Menschen dadurch durchmachen“, erklärte er.

Herr Navarro betonte, dass die digitale Transformation weiterhin eine Priorität der Regierung sei, weil sie die Bereitstellung öffentlicher Dienste verbessere. Cybersecurity müsse jedoch in jede Phase dieser Transformation eingebettet werden.

„Wir müssen sicherstellen, dass Cybersecurity in unsere digitale Transformation eingebettet ist: erstens, um den öffentlichen Dienst zu verbessern; zweitens, um sicherzustellen, dass alle Systeme und Prozesse, die zur Bereitstellung dieser öffentlichen Dienste gedacht sind, robust und sicher sind“, fügte er hinzu. „Wenn all diese Dinge versagen, wird nicht nur die Wirtschaft ins Wanken geraten. Es wird die politische Stabilität und unser Überleben als Nation beeinträchtigen.“

Gilbert T. Trinchera, Technology Consulting Partner bei R.G. Manabat & Co. (KPMG in den Philippinen), sagte, die Cybersecurity trete in eine Phase ein, in der mehrere Kräfte nicht mehr unabhängig voneinander agierten, sondern sich über alle Organisationen hinweg überschneiden.

Gestützt auf KPMGs jüngste Anfang dieses Jahres veröffentlichte Cybersecurity-Überlegungen berichtete Herr Trinchera, dass acht wesentliche Kräfte die Cybersecurity heute und in den kommenden Jahren neu gestalten: künstliche Intelligenz, Geopolitik, Regulierung, Hyperkonnektivität, nicht-menschliche Identitäten, Abhängigkeiten in Lieferketten, Post-Quantum-Kryptografie und autonome Sicherheit.

„Diese Kräfte wirken nicht nur isoliert in Silos; sie konvergieren, und deshalb wird es zu einer wichtigen Notwendigkeit im gesamten Unternehmen, ganz gleich, ob es sich um eine staatliche Institution oder eine private Branche handelt. Das ist für alle eine große Überlegung, denn das Ziel besteht nicht darin, alle Compliance-Checklisten zu perfektionieren, sondern einfach zu verstehen, wo wir stehen, proaktiv und risikoavers zu sein und auf jeden Fall sicherzustellen, dass wir unseren Kunden und Stakeholdern gegenüber konsequent unser Vertrauen zeigen“, erklärte er.

Unterdessen nannte DivinaLaw Managing Partner Jay R C. Ipac zwei der einflussreichsten Vorschriften, die lokale Unternehmen heute betreffen, die Datenschutz-Grundverordnung der Europäischen Union (GDPR) und die NIS2-Richtlinie der Europäischen Union.

Auch wenn einige Rahmenwerke noch in Entwurfsform vorliegen, zeigten sie laut Herrn Ipac, wie sich die Cybersecurity-Debatte über technische Compliance hinaus hin zu organisatorischer Resilienz ausgeweitet hat.

Er verwies außerdem auf die Bangko Sentral ng Pilipinas als einen der aktivsten Regulierer des Landes in Fragen der Cybersecurity-Governance, da Finanzinstitute mit raschen technologischen Entwicklungen und zunehmend ausgefeilten digitalen Bedrohungen konfrontiert seien.

Kristoffer Rada, Head of Corporate Affairs bei Maya Philippines Inc., sagte, dass Cybersecurity-Gesetze weltweit die Verantwortung auf Vorstände und das obere Management verlagern, anstatt sie auf technische Teams zu beschränken.

„Der Fokus verlagert sich jetzt von der bloßen Prävention hin zur operationellen Resilienz, also der Fähigkeit, Bedrohungen zu erkennen, zu reagieren, sich zu erholen und wesentliche Dienste weiterhin bereitzustellen“, betonte er.

Technologie allein reiche jedoch nicht aus. Auch das Bewusstsein der Kunden sei ebenso wichtig, weshalb das Unternehmen technische Schutzmaßnahmen mit öffentlichen Aufklärungskampagnen kombiniere.

„Regulierung sollte risikobasiert und ergebnisorientiert sein, damit Institutionen für Ergebnisse verantwortlich sind und dennoch Spielraum haben, bessere Technologie einzusetzen. Außerdem sollte Transparenz zeitnah, präzise und für die Menschen nützlich sein. Schließlich muss Cybersecurity kollaborativ sein. Threat Intelligence, Betrugsprävention und die Koordination von Vorfällen erfordern zusammen mit der Verbraucheraufklärung, dass Regierung und Industrie zusammenarbeiten“, erklärte Herr Rada.

Von technischer Verantwortung zu Unternehmens-Governance

Der wachsende Einfluss internationaler Regulierung hat auch verändert, wie Organisationen Cybersecurity-Führung definieren.

Herr Ipac sagte, viele Organisationen würden Cybersecurity immer noch nahezu vollständig an Chief Information Security Officers oder IT-Abteilungen delegieren. Während Unternehmen häufig Richtlinien festlegen und Dokumentationen erstellen, erweisen sich diese Vorbereitungen bei einem tatsächlichen Cybervorfall oft als unzureichend.

„Das größte Missverständnis besteht weiterhin darin, Cybersecurity als reines Technikthema zu betrachten. Alle Stakeholder sollten ein echtes Interesse daran haben, sicherzustellen, dass [Cybersecurity] bei allen Unternehmen ganz oben auf der Agenda ihres digitalisierten Geschäfts steht“, sagte er. „Ihre Mitarbeiter sind Ihr größtes Kapital. Sie müssen in der Lage sein, eine Cybersecurity-Kultur zu schaffen, nicht nur Bewusstsein, sondern jene Resilienz, der die Öffentlichkeit vertraut.“

Herr Navarro wies unterdessen darauf hin, dass Führungskräfte über genügend technologisches Verständnis verfügen sollten, um fundierte Entscheidungen zu treffen und gleichzeitig Verantwortung für die Zukunft ihrer Organisation zu übernehmen. Ein wesentlicher Teil dieser Verantwortung bestehe darin, die Cybersecurity im gesamten Unternehmen stark zu halten.

„Cybersecurity hat ein Ausmaß angenommen, das nicht nur Unternehmen immens betrifft, sondern zweifellos auch die nationale Sicherheit“, erklärte er.

Künstliche Intelligenz erhöht die Risiken

Während Organisationen künstliche Intelligenz (KI) einsetzen, um Effizienz zu steigern und Abwehrmechanismen zu stärken, hat dieselbe Technologie Cyberkriminellen auch neue Möglichkeiten eröffnet, Angriffe zu starten, Informationen zu manipulieren und ahnungslose Nutzer auszunutzen.

Die Panelisten stellten fest, dass sich dadurch die Lücke zwischen technologischer Innovation und Regulierung vergrößert hat, was Organisationen mehr Verantwortung auferlegt, Governance-Strukturen zu schaffen, noch bevor neue Gesetze in Kraft treten.

Herr Trinchera sagte, die Philippinen befänden sich weiterhin in einer Phase, in der die KI-Adoption schneller voranschreite als die Gesetzgebung. Mehrere KI-bezogene Gesetzentwürfe seien eingebracht worden, doch Organisationen arbeiteten derzeit ohne einen umfassenden rechtlichen Rahmen, der die Verantwortung für den Einsatz von KI klar definiere.

„Die Konsequenz ist, dass jeder, der KI einsetzt, ob zu guten oder zu schlechten Zwecken, kein Gefühl von Verantwortlichkeit und Verpflichtung hat. Es ist lediglich ein Spielplatz“, erklärte er.

Er fügte hinzu, dass die weit verbreitete Nutzung von sozialen Medien, digitalen Plattformen, Online-Marktplätzen und neuen Technologien durch Filipinos zusätzliche Möglichkeiten für KI-gesteuerte Betrugsfälle, Desinformationskampagnen, Phishing-Versuche und andere Cyberbedrohungen schaffe.

Ohne ausreichendes Bewusstsein und Governance könne Technologie, so sagte er, die Verbreitung schädlicher Inhalte beschleunigen und Cyberangriffe überzeugender sowie schwerer erkennbar machen.

„Regulatorische Konvergenz sollte unser Ziel sein, und wir sollten sie an unserer letztendlichen Vision ausrichten, nämlich Vertrauen zu bewahren. Das ist die derzeitige universelle Währung, die jeder versteht, unabhängig von Branche oder Rechtsraum“, betonte er.

Herr Navarro sagte, die Gesetzgebung versuche, mit der KI Schritt zu halten, auch wenn der Gesetzgebungsprozess naturgemäß langsamer verlaufe als die technologische Entwicklung. In der Zwischenzeit ermutigte er Organisationen, interne Richtlinien für den KI-Einsatz auf Grundlage ihrer eigenen betrieblichen Anforderungen und Cybersecurity-Risiken zu erstellen.

Organisationen könnten daher bereits praktische Governance-Maßnahmen entwickeln, die einen verantwortungsvollen KI-Einsatz definieren und zugleich sicherheitstechnische Lücken adressieren, die spezifisch für ihre Abläufe seien.

„Es gibt zwar noch keine Gesetzgebung, aber es ist nicht völlig hoffnungslos. Es ist keine Situation, in der uns die Hände gebunden sind. Aus unseren Organisationen heraus können wir bereits die Richtlinie entwickeln, die spezifischer auf unsere Bedürfnisse sowie auf die Sicherheitsprobleme oder Lücken zugeschnitten ist, mit denen wir konfrontiert sind“, sagte Herr Navarro.

Ebenso finden Organisationen neue Wege, künstliche Intelligenz in ihre Cybersecurity-Operationen zu integrieren. Für Maya ist KI zu einem wichtigen Instrument geworden, um verdächtige Finanztransaktionen über das große Transaktionsvolumen des Unternehmens hinweg zu identifizieren.

Gleichzeitig räumte Herr Rada ein, dass Technologie sowohl Chancen als auch Risiken mit sich bringe. Richtlinien und Rahmenwerke blieben wertvoll, erzielten jedoch nur dann bedeutende Ergebnisse, wenn sie mit der Regierung zusammenarbeiteten.

„[Es sollte] eine Zusammenarbeit zwischen dem öffentlichen und dem privaten Sektor geben. Wir [sollten] sehr eng mit den politischen Entscheidungsträgern, den Gesetzgebern und den Vollzugsbehörden zusammenarbeiten, denn nur so können wir aufholen, wenn es darum geht, eine vernünftige Politik zu entwickeln“, erklärte er.