CISO-debatten på DeiC-konferencen: "Vi kan ikke nå at forsvare os uden AI" 

Spørgsmålene fra publikum kom hurtigt til at kredse om det samme grundlæggende dilemma: Hvordan beskytter man en organisation, når teknologien udvikler sig hurtigere end både processer, retningslinjer og lovgivning?  

Panelet var langt hen ad vejen enige om, at AI fundamentalt har ændret vilkårene for cybersikkerhed. 

Scriptkiddies er blevet mere kapable 

Debatten blev indledt med en diskussion af de AI-drevne angreb, som flere af universiteternes sikkerhedsansvarlige allerede oplever. 

Pointen var at AI gør mindre avancerede angribere betydeligt mere effektive. Teknologien fungerer som en kompetenceforstærker, der kan løfte relativt begrænsede tekniske færdigheder til et niveau, som tidligere krævede langt større erfaring.  

Samtidig vokser mængden af sårbarheder, softwareopdateringer og sikkerhedshændelser så hurtigt, at flere deltagere beskrev AI som en nødvendighed snarere end et valg. 

Skygge-IT får nyt liv med AI 

Et andet centralt emne var den voksende angrebsflade. 

Universiteterne oplever, at AI-løsninger dukker op overalt i organisationerne. Forskere, undervisere, studerende og administrative medarbejdere tager nye værktøjer i brug hurtigere, end centrale funktioner kan nå at etablere styring og retningslinjer.  

Det blev beskrevet som en moderne udgave af det klassiske skygge-IT-problem. 

Forskellen er blot, at en AI-tjeneste ofte ikke bare håndterer data, men også træffer beslutninger, bearbejder information og kan kobles til andre systemer. Dermed bliver konsekvenserne af manglende styring væsentligt større.  

Publikum spurgte til Copilot og cloud-modellerne 

Et af spørgsmålene fra salen handlede om Microsoft Copilot og de store cloudbaserede AI-platforme. 

Her blev bekymringen rejst om, hvorvidt organisationer reelt afgiver store mængder viden til eksterne leverandører, når AI-løsninger anvendes i dagligdagen. Det blev nævnt, at data indgår i større vidensstrukturer og analysemodeller, som organisationerne har begrænset indsigt i.  

Panelets svar afspejlede den grundlæggende spænding mellem nytteværdi og kontrol. 

På den ene side blev det fremhævet, at universiteter allerede anvender omfattende cloud-tjenester. På den anden side blev det understreget, at især forskning rejser særlige spørgsmål om datadeling, hjemmel, kontraktforhold og juridiske rammer. Flere pegede på nødvendigheden af tætte samarbejder mellem informationssikkerhed, GDPR-specialister og jurister.  

Prompt injection og agenter bekymrer 

Også nye angrebsformer blev nævnt i debatten. 

En fra publikum rejste problemstillingen omkring prompt injection og manipulation af sprogmodeller gennem dokumenter, data eller andre inputkilder. Hvis AI-værktøjer bliver en integreret del af arbejdsgange og beslutningsprocesser, opstår der samtidig helt nye angrebsveje.  

Spørgsmålet blev brugt som eksempel på, hvor hurtigt risikobilledet udvikler sig. Flere deltagere pegede på, at organisationerne må kombinere tekniske kontroller med løbende risikovurderinger og klare rammer for, hvilke AI-løsninger der er godkendt til hvilke formål.  

Fra teknisk problem til ledelsesproblem 

Mod slutningen bevægede diskussionen sig væk fra teknologien og over mod ledelse. 

Et spørgsmål fra salen handlede om, hvordan universiteter kan undgå, at forskellige dele af organisationen sender modstridende signaler om AI-anvendelse. Flere pegede på, at informationssikkerhed kun fungerer, hvis ledelsen tager ejerskab. Governance, prioriteringer og risikovillighed kan ikke delegeres til sikkerhedsafdelingen alene.  

Debatten endte derfor med spørgsmål om ansvar. Om hvem der træffer beslutningerne. Og om hvordan universiteterne navigerer mellem innovationspres, forskningsfrihed, compliance og cybersikkerhed i en tid, hvor teknologien udvikler sig hurtigere end de organisatoriske strukturer, der skal styre den.