0:00:05 Emily Wearmouth: Hallo und willkommen zum Security Visionaries Podcast. Ich bin Ihre Gastgeberin Emily Wearmouth, und heute wird mir Seb Leal Bennett zugeschaltet, der bei einer großen europäischen Investmentbank die Bereiche Architektur und Cloud leitet. Er hat seine bisherige Karriere ausschließlich im Bereich Finanzdienstleistungen verbracht, was, wie wir sicherlich zustimmen können, wahrscheinlich der anspruchsvollste Teil einiger der am strengsten regulierten und risikoreichsten Technologieumgebungen ist, die man finden kann. Er ist ein Profi im Entwerfen von Architektenlösungen für Cloud, Belastbarkeit und Sicherheit, wo der Spielraum für Fehler wahrscheinlich bei Null liegt. Willkommen in der Sendung, Seb.
0:00:36 Seb Leal Bennett: Das ist großartig. Vielen Dank.
0:00:36 Emily Wearmouth: Es ist schön, dass Sie dabei sind.
0:00:39 Seb Leal Bennett: Ich freue mich darauf.
0:00:40 Emily Wearmouth: Ich habe ein paar kritische Fragen und werde gleich darauf eingehen, da dieser Punkt der starken Regulierung meiner Meinung nach wirklich sehr treffend ist. Und das ist einer der Gründe, warum ich wirklich froh bin, dass wir Sie dabei haben. Was ich zu Beginn ansprechen wollte: Was bedeutet es eigentlich, wenn man für die Cloud architektonisch plant und all diese Vorschriften wahrscheinlich irgendwo im Regal liegen – haben Sie diese stets im Kopf, beginnen Sie damit, berücksichtigen Sie die damit verbundenen Einschränkungen und überlegen Sie dann, was im Rahmen dieser Vorgaben möglich ist? Oder entwerfen Sie das Konzept, das Sie für den richtigen Ansatz halten, und prüfen es dann kritisch: Moment mal, entspricht das überhaupt den Vorschriften? In welcher Reihenfolge gehen Sie die Dinge an?
0:01:18 Seb Leal Bennett: Definitiv Ersteres. Es geht nicht nach dem Prinzip „Einfach aufbauen und schauen, was passiert“. Es ist absolut so, dass wir sicherstellen, dass die Dienste, die wir in der Cloud nutzen, einen extrem strengen Prozess durchlaufen haben – was die Frage betrifft, was Sie damit tun dürfen und was nicht, welche Daten Sie darin speichern dürfen und welche nicht, sowie die Art und Weise, wie Sie sie verwenden können. Daher wissen Sie, dass die Dienste, die Ihnen für Architektur- oder Entwicklungszwecke zur Verfügung stehen, bereits genehmigt wurden. Bei der Nutzung dieser Dienste liegt es jedoch weiterhin in Ihrer Verantwortung sicherzustellen, dass Sie diese ordnungsgemäß verwenden. Wenn Sie also Bedenken hinsichtlich der Datenhoheit oder -souveränität haben, stellen Sie sicher, dass sich der von Ihnen genutzte Dienst in der richtigen Zone, im richtigen Bereich und in der richtigen Region befindet, und weisen Sie dies nach. Es ist also so, dass wir stark reguliert sind und sicherstellen, dass alle von uns genutzten Dienste dieselben Vorschriften einhalten.
0:02:04 Seb Leal Bennett: Und wir haben Spezialistenteams, die sich jeden Tag aufs Neue damit befassen, und das ist ein sehr schwieriger Prozess. Ich habe das einmal für einen unserer Dienste gemacht und dachte mir: Wow, diese Leute machen eine Menge.
0:02:13 Emily Wearmouth: Sie glauben, dass Sie das ausbremst? Wenn Sie Ihre Branche mit anderen Branchen vergleichen, schränkt das dann die Geschwindigkeit ein, mit der Sie Innovationen annehmen können?
0:02:24 Seb Leal Bennett: Ein bisschen vielleicht, aber vergessen Sie nicht, dass es sich um große Organisationen handelt. Man kann also eine große Technologieorganisation sein und wird ausgebremst, weil man seine eigenen Richtlinien und Prozesse durchlaufen muss. Aber wir müssen auch sicherstellen, dass wir es richtig nutzen, denn wenn wir Fehler machen, den Markt verfehlen und marktrelevante Vorfälle verursachen oder wenn unsere Daten abgreifen werden, ist der Reputationsschaden einfach immens. Das können wir also nicht einmal riskieren. Es ist also besser, langsam und stetig vorzugehen und es gleich beim ersten Mal richtig zu machen, anstatt das Negativbeispiel zu sein, das die Regulierungsbehörde hochhält und sagt: Schaut euch an, was die falsch gemacht haben. Niemand möchte diese Person sein.
0:02:58 Emily Wearmouth: Ich habe Sie als Cloud- und Architekturexpertin vorgestellt. Wie viel von dem, was Sie tun, befindet sich in der Cloud? Setzen Sie voll auf die Cloud oder arbeiten Sie in Umgebungen, in denen Sie eine Mischung aus On-Premise und Cloud haben?
0:03:14 Seb Leal Bennett: Das hängt stark von der jeweiligen Anwendung und der verfügbaren Technologie ab. Alles, was eine geringe Latenz erfordert, bleibt also vor Ort und wird in den Colocation-Rechenzentren direkt neben den Rechenzentren untergebracht. Wenn Sie etwas haben, das nur eine durchschnittliche, sagen wir mal dreistufige Anwendung ist, haben Sie Ihre mittlere und Ihre Backend-Schicht, die in die Cloud verlagert werden können, dann kann das dorthin gehen. Solange es Sinn ergibt. Drücken Sie Zeug nicht einfach so heraus, nur weil Sie eine Kennzahl haben, die besagt, dass Sie 10 % oder 100 % Ihrer Anwendungen dorthin verlagern müssen. Solange die Position Sinn ergibt, sollten Sie es unbedingt versuchen.
0:03:46 Emily Wearmouth:Und wie viel Komplexität bringt dieser hybride Ansatz mit sich? Wenn Sie alles auf eine Karte setzen oder alles auf eine andere, planen Sie vermutlich einen einzigen Ansatz und duplizieren sofort zwei verschiedene Ansätze, zwei verschiedene Systeme und Strukturen. Wo liegen dabei die Komplexitäten?
0:04:04 Seb Leal Bennett: Nun, auch das hängt wieder vom Ansatz ab. Sie könnten also – wenn Sie einen hybriden Ansatz wählen – den hybriden Ansatz so gestalten, dass Sie Ihren Nicht-Produktionszustand in der Cloud haben, weil Sie ihn abschalten können, weil Sie effizient sein können, weil Sie elastisch sein können. Das ist an Abenden oder Wochenenden nicht der Fall, das brauchen Sie nicht. Schalten Sie ihn aus, um Geld zu sparen. Das kann nicht in der Cloud in die Produktion gehen, weil Ihnen die Dienste fehlen, die Sie dafür benötigen. Sie behalten also diese beiden Stacks bei, oder Sie könnten einen Ansatz wählen, bei dem Sie entweder alle Anwendungen und alle Umgebungen On-Premises oder in der Cloud betreiben. Es liegt also wiederum wirklich am Architekten und am Team, dort die richtige Entscheidung zu treffen. Wir können leiten, wir können helfen, wir können in dieselbe Richtung weisen und ihnen Informationen geben, aber es gibt hier keine Einheitslösung für alle. Wir verlassen uns sehr stark auf unsere Architekten, die uns dabei helfen, diese richtigen Entscheidungen zu treffen.
0:04:53 Emily Wearmouth:Und wie groß ist der Vor- oder Nachteil dieses dezentralen Entscheidungsfindungsansatzes, dass Sie nicht verbindlich vorgeben, dass unternehmensweit genau diese eine Sache gelten muss, sondern dass Sie es von Fall zu Fall betrachten, da die Anforderungen jedes Einzelnen anders sind? Wie stark führt das zu Risiken oder dem Potenzial für einen unübersichtlichen Stack, bei dem alles für jeden Anwendungsfall maßgeschneidert und einzigartig ist?
0:05:21 Seb Leal Bennett: Nun, die Art und Weise, wie man das umgeht – wie man das angeht, Entschuldigung –, erfolgt einfach durch gute Leitplanken, gute Standards und gute Muster. Sie sorgen also dafür, dass nicht jedes Team dieselbe Diskussion 30 Mal führt, denn wenn das erste Team die richtige Diskussion erfolgreich durch den Architektur- und Governance-Prozess geführt hat, ist das das Muster, das wiederholt wird. Andernfalls haben Sie etwa 30 Teams und wahrscheinlich 60 verschiedene Arten, dieselbe Sache zu tun, und das ist nicht sehr effizient. Und genau da sind Architektur und Governance wirklich wichtig. Die Leute denken, dass wir Sie ausbremsen, aber die Kehrseite ist: Wenn wir die Katze erst einmal aus dem Sack lassen, ist es etwas schwierig, sie wieder hineinzubekommen.
0:05:58 Emily Wearmouth:Sie haben vorhin Souveränität erwähnt, und ich wollte das Thema Souveränität noch einmal aufgreifen, weil es das aktuellste ist. Wir haben das Jahr begonnen und KI war das Schlagwort. KI wird nicht verschwinden, aber es fühlt sich so an, als ob die Souveränität zum Schlagwort geworden ist, egal ob es sich um KI-Souveränität oder ganz allgemein um digitale oder Datensouveränität handelt. Wie betrachten Sie als internationale Organisation dieses wachsende Interesse an Souveränität?
0:06:24 Seb Leal Bennett: Ich denke eigentlich, dass wir dort, wo wir jetzt stehen, ganz gut dastehen, weil wir das Konzept, wo sich Daten in unserer Organisation befinden dürfen und wo nicht, von Anfang an hatten. Das ist also nichts New für uns. Wir haben Vorschriften, die kontrollieren, was wir tun dürfen und was nicht – das war schon immer so und wird auch immer so sein. Und daher ist es wirklich wichtig. Sie können nicht zulassen, dass Ihre Daten die zulässige Zone verlassen, sei es Schweizer Daten, Daten aus Liechtenstein oder taiwanische Daten. Sie müssen sicherstellen, dass die von Ihnen verwendeten Dienste auch von der Aufsichtsbehörde in dieser Region genehmigt wurden, um zu bestätigen, dass dieser Cloud-Dienstanbieter Ihnen die richtigen Tools zur Verfügung stellt. Stellen Sie normalerweise sicher, dass Sie dies bei den Anwendungen ordnungsgemäß tun. Und wenn sich Daten über die Grenzen hinaus schleichen, müssen Sie über die entsprechenden Tools verfügen, um dies zu finden, zu sehen, zu beheben und höchstwahrscheinlich den Aufsichtsbehörden selbst zu melden: Hallo, wir haben einen Fehler gemacht.
0:07:18 Seb Leal Bennett:Es tut uns leid. Lassen Sie uns das durchgehen. Never hide
0:07:21 Emily Wearmouth:Es. Sie sprachen also vorhin über Souveränität, und ich wollte noch einmal darauf zurückkommen, weil es derzeit ein sehr aktuelles Thema zu sein scheint. Es gab in jüng Zeit einige Vorfälle auf makropolitischer Ebene, bei denen wir gesehen haben, wie es aussehen könnte, wenn bestimmte Nationen beschließen würden, den Export ihrer digitalen Dienste zu kontrollieren. Und es ist zu einer Art Resilienzdiskussion geworden, bei der die Souveränität dabei hilft: Wenn alles lokal innerhalb Ihres souveränen Marktes stattfindet, werden Sie von regulatorischen Änderungen in anderen Nationen nicht herumkommandiert. Aber natürlich ist es der globale Charakter der Infrastruktur, der auf andere Weise für Resilienz sorgt – wenn Sie Ausfälle in bestimmten Ländern aufgrund von sogenannten „Black Swan“-Ereignissen haben, möchten Sie dieses Backup, dieses nahegelegene, aber vielleicht grenzüberschreitende Backup haben. Wie denken Sie über Souveränität und wie gehen Sie die Dinge an?
0:08:15 Emily Wearmouth:Ist das Resilienz oder nicht?
0:08:18 Seb Leal Bennett:Interessant. Das Gesetz verbietet es Ihnen, dass die Daten eine bestimmte Jurisdiktion verlassen. Es ist Ihnen nicht erlaubt, sie außerhalb der Regulierungsbehörde zu speichern. Ich meine, China ist auf Provinzebene sehr streng. Offensichtlich ist die Schweizer Regierung sehr streng und in einigen Bereichen sogar das Vereinigte Königreich. Sie müssen also im Rahmen des Gesetzes widerstandsfähig sein. Es gibt also mehrere Rechenzentren oder Regionen, einen Cloud-Service-Provider im Vereinigten Königreich, in Frankreich, in Schweden, in Norwegen. Sie sind alle da. Sie müssen also wissen, wo sich Ihre Daten befinden und in welchen Zonen sie sich befinden, und dementsprechend im Einklang mit dem Gesetz handeln, wenn Sie diese Dienste nutzen, da Sie sie nicht woanders speichern können. Sie haben also mehr als einen Cloud-Diensteanbieter und wahrscheinlich auch Ihre eigenen Rechenzentren vor Ort. Wenn es also wirklich wichtig ist, dass Sie den Ausfall einer Region oder Zone überstehen können, können Sie das entweder intern absichern – das betrifft die Daten, das ist möglich.
0:09:18 Seb Leal Bennett:Oder einen Multi-Cloud-Ansatz wählen, der teuer ist. Das weiß ich, weil Sie Ingress- und Egress-Kosten für Daten haben, aber es hängt wirklich von der Kritikalität dieses Dienstes ab und davon, wie Sie den Dienst architektonisch gestalten müssen, um geopolitischen oder Naturkatastrophen standzuhalten, wo sich die Rechenzentren befinden. Und deshalb ist es auch sehr wichtig, sofern möglich, die Standorte der Zonen zu kennen oder zumindest die Entfernung zwischen ihnen bei Ihrem Cloud-Diensteanbieter. Wenn Sie also wissen, dass es in Ihrer Zone 1 eine Überschwemmung gibt, wissen Sie, dass Sie auf der sicheren Seite sind, wenn Ihre Daten auch in Zone 2 oder Zone 3 repliziert werden. Aber wenn Sie Cloud-Diensteanbieter haben, bei denen diese ganz nah beieinander liegen oder zwei von drei, müssen Sie wissen, welche beiden nahe beieinander liegen, um sicherzustellen, dass sich Ihr Backup im anderen befindet. Und das ist wirklich wichtig.
0:10:03 Emily Wearmouth:Und wie erhalten Sie diese Art von Informationen von Ihren Anbietern? Und glauben Sie, dass Sie mehr Informationen erhalten, wenn Sie in einem großen Finanzunternehmen tätig sind, als einige unserer Zuhörer in kleineren Unternehmen vielleicht bekommen?
0:10:14 Seb Leal Bennett:Ich denke, das hängt von Ihrer Beziehung zum Cloud-Diensteanbieter ab. Manchmal können Sie Informationen erhalten. Den genauen Standort, nein, den herauszufinden ist definitiv unmöglich, aber Sie können sie fragen, wie groß die Entfernung zwischen ihnen ist, und ich denke, das ist keine unvernünftige Frage, die man ihnen stellen kann. Der von uns genutzte Dienstanbieter – denn wenn Sie ein Abonnement erstellen, können Sie die gewünschten Zonen angeben, aber bei jedem Abonnement ist Zone 1 unter der Haube eine andere tatsächliche physische Zone. Das führt also dazu, dass nicht alle beispielsweise zu Zone 1 und Zone 3 gehen. Und das verhindert, dass sich alle in dieselben Zonen drängen, aber sie bieten tatsächlich eine API an, um herauszufinden: Was ist die physische Zone? Ist das Zone 1, 2 oder 3? Ihre Zone 3 entspricht also möglicherweise tatsächlich der physischen Zone 2. Sie können diese Informationen also nutzen, um physisch herauszufinden, wo es sich befindet.
0:11:02 Seb Leal Bennett:Und mit den anderen Informationen können Sie dann die richtigen Entscheidungen darüber treffen, wo Sie Ihre Daten speichern.
0:11:07 Emily Wearmouth:Es klingt fast unnötig verwirrend mit der Bezeichnung. Ich habe das Gefühl, dass hier etwas mehr Klarheit rein gebracht werden könnte.
0:11:15 Seb Leal Bennett:Das ist er, aber das geschieht aus einem sehr guten Grund. Es soll verhindern, dass sie sich beispielsweise alle in die Zonen eins und drei drängen und Zone zwei dann leer bleibt. Damit Sie die Hintergründe verstehen.
0:11:26 Emily Wearmouth:Ja. Ich denke, das ist eine wirklich nützliche Frage, die man stellen kann – wenn man weiß, dass bestimmte Dinge aus Sicherheitsgründen verschleiert werden müssen, kann die Frage nach der Entfernung dazwischen für einige unserer Zuhörer eine sehr nützliche Frage sein.
0:11:39 Seb Leal Bennett:Und man muss nicht genau wissen, ist es ein oder zwei Kilometer? Sind es mehr als 10? Sind es mehr als 30? Damit Sie die Informationen, die Sie bereitstellen müssen, wirklich so verschleiern können, dass Sie eine präzise und fundierte Entscheidung treffen können.
0:11:52 Emily Wearmouth:Und haben Sie für sich selbst als Unternehmen oder befürworten Sie Richtlinien darüber, was Sie als akzeptabel erachten, oder ist das etwas flexibler, sodass Sie sich ansehen, was sie anbieten, und dann das Risiko basierend auf dem jeweiligen Anwendungsfall ermitteln?
0:12:09 Seb Leal Bennett:Wir haben unsere eigenen Richtlinien und Verfahren, sodass wir wissen, was akzeptabel ist und wie groß der Abstand zwischen Rechenzentren ist – denn als wir alle auf unseren eigenen Systemen (on-prem) liefen, hatten wir Abstände zwischen unseren Rechenzentren, und wir versuchen, beim Thema Cloud-Dienstanbieter denselben Standard oder einen noch höheren einzuhalten.
0:12:25 Emily Wearmouth:Ich schätze, in einigen Märkten mit größeren Landmassen ist das vielleicht einfacher. Ich meine, wir sitzen beide im Vereinigten Königreich. Das Vereinigte Königreich gehört nicht zu den größeren Ländern der Welt. Die Landmasse ist ziemlich beschränkt.
0:12:37 Seb Leal Bennett:Das stimmt. Man landet beispielsweise östlich oder westlich des Landes oder auf der einen oder anderen Seite von London. Es liegt einfach daran, dass man sich ansieht, welche Ereignisse dazu führen könnten, dass beide Rechenzentren ausfallen. Und ehrlich gesagt, wenn das passiert, haben wir glaube ich größere Probleme zu bewältigen als herauszufinden, wie man einen bestimmten Dienst bereitstellt.
0:12:55 Emily Wearmouth:Ja, absolut. Können wir über Zero Trust sprechen?
0:12:59 Seb Leal Bennett:Ja, wir können es versuchen.
0:13:01 Emily Wearmouth:Wir haben also ein wenig darüber gesprochen, dass Sie diese hybride Umgebung betreiben, und ich frage mich, ob Sie bei der Betrachtung von Zugriffen und Zugriffsstrukturen dafür ebenfalls einen hybriden Ansatz wählen müssen, und ob Sie über Zero-Trust-Richtlinien verfügen oder diese befürworten und wie Sie das in einer hybriden Umgebung verwalten.
0:13:21 Seb Leal Bennett:Die zugrunde liegenden Authentifizierungs- und Autorisierungssysteme sind also dieselben. Wir haben unsere Bankstandards, wir haben unsere Banksysteme, und diese lassen sich nativ mit denen des Cloud-Anbieters integrieren. Und deshalb werden die Zugriffsberechtigungen nicht an drei verschiedenen Orten kontrolliert. Man hat eine, man hat eine Version der Wahrheit, eine einzige Informationsquelle, und man muss sicherstellen, dass man das Prinzip der geringsten Rechte (Least Privilege) befolgt. Man gibt also nicht einfach jedem Zugriff, nur weil es bequem ist. Sie geben ihnen die Informationen und den Zugriff, die sie für ihre Rolle benötigen, und das war's. Andernfalls können sieben verschiedene Dinge schiefgehen, und in dieser Situation möchten Sie einfach nicht sein. Also ja, splitten Sie Ihre Berechtigungen und Ihre Systeme nicht auf. Sie haben nicht eine Cloud-Version und eine lokale Version, sondern Sie haben eine einzige, und das ist Ihre Version der Wahrheit.
0:14:07 Emily Wearmouth:Darf ich etwas zum Thema KI fragen? Manche Leute stöhnen, wenn ich KI sage. Es wirkt einfach wie ein unvermeidliches Thema, weil es mich neugierig macht, wie viel Kontrolle Sie über a... Ich schätze, Sie arbeiten mit einem sehr großen Team und vielen aufgeteilten Verantwortlichkeiten. Wie stark beeinflusst KI das, womit Sie sich gerade beschäftigen, oder verändert die Art und Weise, wie Sie Dinge planen?
0:14:31 Seb Leal Bennett:KI ist überall. Sie realisieren gar nicht, wo KI überall helfen kann. Um völlig vom Thema abzukommen: Ich habe neulich mit jemandem über KI gesprochen, und seine Tochter tanzt und singt gerne. Und ich meinte so: „Nun, wo kann KI dabei helfen?“ Und er meint, dass das tatsächlich beim Singen hilft, weil es das als Tonfall erkennt. Und plötzlich ist seine Tochter total skeptisch gegenüber allem, was auch nur im Entferntesten ihre Karriere in Bezug auf KI beeinflussen könnte, und fängt plötzlich an, KI zu nutzen, um beim Singen noch tonfester zu sein. Man kann jetzt noch kein Video machen, weil das das Bild einfriert, aber Ihnen ist gar nicht bewusst, wie KI tatsächlich helfen kann und dass sie anfangen sollten, damit zu experimentieren. Wenn Sie also im Berufsleben und auch im Privatleben nicht damit experimentieren, gibt es Dinge zu Hause, für die Sie KI nutzen können. Gutes Beispiel: Vor Kurzem habe ich eine Menge Protokolldateien für ein CCTV-System erhalten, das ständig offline geht.
0:15:21 Seb Leal Bennett:Ich habe sie einfach bei Claude hochgeladen und gesagt: Was ist da los? Ich konnte drei Fehler erzeugen, und es ist in der Lage, genau zu lokalisieren, dass ich eine VLAN-Konfiguration vermasselt habe, was großartig ist. Es gibt keine Möglichkeit, dass ich das von meiner Seite aus überhaupt getan hätte. Das wäre ein Support-Ticket gewesen. Aber zurück an die Arbeit
0:15:35 Seb Leal Bennett:Probieren Sie es aus, tüfteln Sie daran, spielen Sie damit. Was ist wichtig, was versuchen Sie herauszufinden? Denn wenn Sie etwas mehr als einmal oder zweimal tun, ist es so gut wie garantiert, dass ein anständiger Prompt Ihnen helfen kann. Und ich glaube auch, was die Leute oft übersehen, ist, dass sie versuchen, den Prompt selbst zu schreiben, KI verwenden, um die Prompts zu schreiben, und das kann Ihnen wirklich auch dabei helfen, voranzukommen. Wenn man also im Architekturbereich anfängt und sagt: „Na ja, wenn ich all diese Prinzipien, Muster, Leitlinien und Unternehmensanforderungen habe, kann ich diese dann kodieren, damit ich ein paar Agenten über meinen Code-Baum, meine Lösungsarchitekturdokumente oder meine Entwurfsdokumente laufen lassen kann?“ Das Gute daran ist, dass der KI-Agent, anstatt dass ein Architekt versucht, die Schwachstelle im Entwurf in einem 30-seitigen Dokument zu finden, sagen kann: „Wir sind der Meinung, dass Sie sich auf diesen, diesen und diesen Punkt konzentrieren sollten, denn Sie sind nicht da, um wirklich gutes Verhalten einfach nur abzustempeln.“
0:16:26 Seb Leal Bennett:Sie sind hier, um die Ausnahmen zu verstehen, und es ist besser, ein zehnminütiges Gespräch darüber zu führen, warum Sie gegen die Strategie verstoßen, als ein 40-minütiges Gespräch darüber, dass Sie BCM richtig umgesetzt haben.
0:16:37 Emily Wearmouth:Ja. Und wie sieht es mit der KI-Nutzung innerhalb des Teams aus? Mögen Sie den Eindruck haben, dass dies Ihre Ansichten darüber verändert, wie Sie das Team langfristig mit Ressourcen ausstatten könnten, wie diese Modelle aussehen, wie Sie New Talente in das Team einbringen könnten und wie dies Ihre Sichtweise auf diese New Talente verändern könnte?
0:16:55 Seb Leal Bennett:Ich sehe KI nicht als Ersatz für das Team. KI ist dazu da, das Team effizienter und effektiver zu machen und auch eine Gegenmeinung einzubringen, denn manchmal stellt man ihr eine Frage, sie gibt eine Antwort und sagt dann: „Und außerdem ...“ Und manchmal bringt das „Und außerdem“ einen dazu, zu denken: „Oh, Moment mal.“ Ich kann hierbei einen anderen Ansatz wählen. „Sie können es also entweder für Aufgaben wie das einfache Schreiben oder Ändern von E-Mails verwenden, oder Sie können es dazu bringen, Teil des Teams zu sein, mit Ihnen zusammenzuarbeiten und Feedback zu geben oder sogar mit Lösungen zurückzukommen und autonomer zu sein.“ Es gibt also viele verschiedene Stufen, auf denen Sie KI integrieren können. Es geht darum, womit Sie sich wohlfühlen und was Sie als Nächstes tun möchten.
0:17:33 Emily Wearmouth:Ich würde sagen, manchmal ist es das, womit man sich eben gerade nicht wohlfühlt. Letzte Woche fühlte ich mich ein wenig angespannt und habe Claude gebeten, nicht mehr so einschmeichelnd zu sein. Das Ganze hat mich schon vor einiger Zeit gepackt und war gar nicht mal so schlecht, aber es hat mich einfach extrem genervt. Und ich habe es gebeten, geradezu unhöflich zu sein. Und das ging die gesamte letzte Woche über so aggressiv und unhöflich, dass ich es wieder ändern und sagen musste: „Nein, du kannst wieder ein bisschen netter zu mir sein.“ Vielen Dank. „Aber in dieser Woche hat es Dinge vorgeschlagen, von denen ich nicht glaube, dass es sie zuvor vorgeschlagen hätte.“ Einige davon lagen völlig falsch. Sie waren einfach nur um des Streits willen streitsüchtig. Aber manchmal, wenn man diese Barriere dessen abbaut, womit ich mich wohlfühlte und wie man bereit war, mit mir zu sprechen – es gab wirklich ein paar Punkte, bei denen ich dachte: Ja, das wäre diese Woche nicht passiert, wenn ich es nicht zugelassen hätte, dass sie mich beschimpft, zum Beispiel.
0:18:18 Seb Leal Bennett:Absolut. Es kommt also ganz auf den Prompt an und darauf, wie Sie möchten, dass er mit Ihnen zusammenarbeitet. Sie können also sagen: „Seien Sie nicht immer derselben Meinung wie ich. Ich habe nicht immer Recht. Ihre Aufgabe als dieser spezielle Bot oder Agent ist es, nicht anderer Meinung zu sein als ich, sondern gegen mich zu arbeiten, aber auch Bereiche zu finden, die wir noch nicht erkundet haben. „Und man muss eben daran denken, diese Fragen zu stellen und diese Prompts einzugeben, und manchmal kann das ein wenig zeitaufwändig sein. Da also viele Leute dieselbe Frage stellen, gibt es quasi einen Prompt Store, von dem man etwas kopiert, einfügt und übernimmt. Es gibt also so viel, was wir in diesem Bereich tun können, und wir kratzen buchstäblich erst an der Oberfläche.
0:18:50 Emily Wearmouth:Tun Sie mit Ihrem Team irgendetwas Systematisches, vielleicht ganz informell, nur um dieses Wissen im gesamten Team aufzubauen? Denn ich stelle fest, dass es einige Leute gibt, die sich sehr wohlfühlen und vorpreschen, und da lohnt es sich durchaus, einige Strukturen zu schaffen, um denen zu helfen, die sich weniger wohlfühlen oder weniger Zeit haben, einfach herumzubasteln. Vielleicht haben sie Verpflichtungen, sodass sie nicht vier Stunden an einem Wochenende für Weiterbildungen aufwenden können, um sicherzustellen, dass das Team an einem Strang zieht. Gibt es etwas, wofür Sie gerade etwas aufbauen?
0:19:16 Seb Leal Bennett:Ich denke, es ist wichtig, das mitzuteilen. Also habe ich mich vielleicht zwei Wochen lang mit meinem Team getroffen, ohne etwas zu fragen, und meinte dann: Gut, wer macht was zum Thema KI? Erzählen Sie mir, was interessant war, und was Sie so gemacht haben. Und das muss nicht nur im Arbeitsumfeld sein. Es ist auch zu Hause – wo waren Sie erfolgreich? Wo sind Sie gescheitert? Und was haben Sie gelernt? Es geht also im Grunde nur darum, darüber zu reden und zu verstehen, was nicht funktioniert. Und natürlich gibt es Leute, die etwas mehr Freizeit haben oder sich die Zeit nehmen, darin zu investieren und noch einen Schritt weiterzugehen. Und wieder können sie zurückkommen und sagen: Ich habe das getan, sodass Sie alle daraus lernen können. Ich halte es also für wirklich wichtig, dass Sie das gemeinsam als Team tun, und nicht nur ein oder zwei Personen vorauseilen – ich denke, das ist der richtige Weg nach vorn.
0:19:59 Emily Wearmouth:Ja. Ich wollte über Sicherheit sprechen, den Podcast Security Visionaries. Es wäre eine Unterlassung, wenn ich nicht eine Frage hätte, die sich speziell auf das Thema Sicherheit bezieht. Und ich weiß, Sie sind nicht das Sicherheitsteam, Sie arbeiten mit Sicherheitsexperten zusammen, aber als Architektureinheit frage ich mich, ob das Sicherheitsteam von Anfang an mit am Tisch sitzt oder ob Sie es hinzuziehen, in welcher Phase des Prozesses Sie die Sicherheit einzubinden pflegen und ob Sie Ihren Ansatz als Security by Design betrachten oder ob das vielleicht nicht ganz zutrifft, wenn Sie sie erst etwas später hinzuziehen. Was
0:20:35 Seb Leal Bennett:meinen Sie damit, sie erst später einzubinden? Denn es ist nicht so, dass Sie allein dastehen, eine Anwendung bauen und sagen: "Ich muss jetzt eine Authentifizierungs- und Autorisierungsfunktion hinzufügen", denn als Unternehmen haben Sie strenge Standards und wiederverwendbare Muster im Code, die standardmäßig für Sicherheit sorgen. Ich denke, wenn man OSS oder andere kommerzielle Produkte einbindet, ist Sicherheit wirklich wichtig, und sie müssen von Anfang an dabei sein. Sie müssen also sagen: "Wie sollten wir dieses Berechtigungssystem in das Banksystem integrieren? Wie stellen wir sicher, dass die geringsten Zugriffsrechte gelten, damit Sie Personen nicht mit zu vielen Berechtigungen ausstatten?" Ich habe Situationen erlebt, in denen Personen versehentlich etwas weggelassen und das Integrationsmuster nicht ganz verstanden haben, und aus diesem Grund wurden ihnen Berechtigungen erteilt, mit denen sie ihre Bekannten zu Administratoren befördern können. Offensichtlich passiert das nicht. Sie tun das nicht absichtlich.
0:21:35 Seb Leal Bennett:Sie haben das einfach irgendwie weggelassen. Daher denke ich, dass Sicherheit wirklich wichtig ist. Ich glaube nicht, dass es dazu einen einheitlichen Ansatz gibt, aber es ist wirklich wichtig, sich mit Ihrem CISO-Team abzustimmen und sicherzustellen, dass die Art und Weise, wie Sie Anwendungen in die Bank einbinden, von Anfang an so konzipiert ist. Andernfalls werden Sie am Ende Probleme haben. Aber wir haben es erlebt, als CloudFirst aufkam, dass Leute ihren Blob-Speicher aus Versehen für die öffentliche Nutzung freigaben, samt aller Passwörter oder was auch immer sich darauf befand. Daher ist es wirklich wichtig, dass Sie das von Anfang an unter Dach und Fach haben, andernfalls werden Sie Probleme bekommen. Und das haben wir unter Dach und Fach. Die Jungs sind genial. Sie sind auf allem. Und deshalb gilt: Wenn Sie Dienste von unserem Dienstanbieter in Anspruch nehmen und diese bereitstellen, sind diese Teil davon und sorgen dafür, dass Sie alles absichern können, dass keine Daten verloren gehen und all diese Dinge.
0:22:23 Seb Leal Bennett:Und wenn Sie es daher als Engineer nutzen, haben Sie das Vertrauen, dass Sie es auf die richtige Weise nutzen.
0:22:29 Emily Wearmouth:Es ist interessant, weil ich diese Frage jemandem manchmal so stelle und sie, genau wie Sie, leicht ungläubig darüber sind, wie ich sie gestellt habe. Und der Grund, warum ich es so frage, ist folgender: Manchmal stelle ich diese Frage beispielsweise einem Sicherheitsexperten und er antwortet: "Es ist so frustrierend in meiner Organisation. Die Dinge sind bereits halb auf dem Weg, bevor die Sicherheit hinzugezogen wird." Das passiert also durchaus, aber es ist großartig zu hören, dass das nicht Ihre Erfahrung ist, und es klingt so, als ob Sie bei allem, was Sie tun, Hand in Hand mit der Sicherheit gehen.
0:22:55 Seb Leal Bennett:Ja, das müssen wir. Hier darf man sich keinen Fehler erlauben.
0:23:22 Seb Leal Bennett:Ja, absolut. Wir behalten das also immer im Auge und sobald eine New Technologie auf den Markt kommt – wie die Cloud –, stürzt sich jeder darauf. Es ist im Grunde wie Kinder im Süßwarenladen. Aber wenn Sie keine Maßnahmen ergriffen haben, um sicherzustellen, dass Sie das Richtige tun, werden Sie am Ende zu viel ausgeben. Und Sie werden feststellen, dass Unternehmen bei ihrem Wechsel in die Cloud sowohl ihren On-Premises-Stack als auch ihren Cloud-Stack betreiben. Sie verdoppeln also sofort die Kosten. Sie müssen den On-Premises-Stack also so schnell wie möglich loswerden. Wenn Sie sich jedoch in der Cloud befinden, können die Kosten hoch sein, wenn Ihre Teams nicht wissen, was sie tun. Wenn Sie sich zum Beispiel ansehen, wie Sie Speicher vor Ort (on-premises) erhalten, können Sie fragen: Nun, wie viel brauchen Sie? Welchen Typ brauchen Sie? Wo brauchen Sie es? Und brauchen Sie ein Backup? Sie bekommen etwa vier oder fünf Fragen gestellt.
0:24:06 Seb Leal Bennett:Wenn man sich mit Speicher in der Cloud beschäftigt, gibt es etwa 15 bis 20 Fragen, wie zum Beispiel: Wie viele kontinuierliche Lese- und Schreib-IOPs benötigen Sie? Ingenieure sind historisch gesehen nicht darauf ausgelegt, diese Fragen zu beantworten, daher werden wir es falsch machen. Und aus diesem Grund überprovisionieren wir. Und da wir überprovisionieren, bezahlen wir dafür. Sie müssen also irgendeine Art von Governance, Forum oder Mechanismus haben, in dem Sie Ihre Kosten überprüfen. Sie fragen sich also: Haben wir überprovisioniert? Können Sie identifizieren, wo Sie Geld sparen können? Sie haben zum Beispiel all Ihren Speicher im Hot-Storage, obwohl Cold-Storage eigentlich völlig ausreicht. Es gibt einen großen Preisunterschied. Es könnte daran liegen, dass Ihre Nicht-Produktionsumgebung rund um die Uhr läuft. Sie muss wahrscheinlich nicht abends oder am Wochenende laufen, also schalten Sie sie ab und schalten Sie sie ein, wenn Sie sie brauchen. Und es gibt so viele verschiedene Möglichkeiten, wie Sie betrachten können, wie Sie Geld sparen.
0:25:54 Seb Leal Bennett:Daher sagen die Leute, dass Cloud kein Kostenfaktor, sondern ein Effizienzfaktor ist. Nun, es kann ein Kostenfaktor sein, wenn Sie Anwendungen von Anfang an richtig konzipieren und sich in der Cloud von vornherein richtig verhalten. Und diese Lupe auszupacken, diese Speicherungen zu finden und sie zu teilen. Das ist nicht nur etwas, das eine Person oder ein Team allein tun kann. Sie müssen über Mechanismen verfügen, bei denen Sie zum Beispiel sagen: Wir haben gerade 10 % unserer jährlichen Kosten eingespart. Wer kann davon noch profitieren? Und dann Wege zu finden, das zu automatisieren. Anstatt also zu sagen „machen Sie diese fünf Schritte“, bringen Sie die Daten zu den Leuten und sagen: „Wir glauben, dass Sie dort 10 % Einsparung erzielen können“, und verfolgen das dann. Streben Sie ein OKR an, geben Sie es von oben nach unten vor, und Sie werden erstaunt sein, denn ich denke, im Durchschnitt sind 30 % aller Cloud-Ausgaben Verschwendung. Wow. Wir haben hier stark investiert.
0:25:42 Seb Leal Bennett:Jedes Jahr legen wir ein OKR bankweit fest, wir verfolgen es, wir treiben es voran, wir betrachten es und tauschen uns darüber aus, und das ist das Beste, was man tun kann.
0:25:52 Emily Wearmouth:Und glauben Sie, dass der Löwenanteil dieser 30 % eine Überprovisionierung ist oder sind es Dienste, die überhaupt nicht genutzt werden?
0:26:03 Seb Leal Bennett:Es ist eine Mischung aus beidem. Überwiegend handelt es sich dabei um Überprovisionierung. Ich habe mir neulich tatsächlich ein paar Statistiken angesehen, weil wir seit 2023 eine Kostenverfolgung durchführen, um zu sehen, wie viel wir eingespart haben, und wir haben das kategorisiert. Der Großteil davon entfiel – man kann sagen, etwa ein Drittel, vielleicht sogar mehr als ein Drittel – auf die Überprovisionierung. Jetzt fangen wir an, Dinge abzuschalten. Wir stellen fest, dass das tatsächlich auch ein ziemlich großer Faktor ist. Aber machen Sie Ihre Anwendung auch Cloud-nativ. Ich meine, alle Cloud-Anbieter sagen, man solle sie gut architektieren, Cloud-nativ gestalten, elastisch machen und dafür sorgen, dass sie je nach Bedarf von null auf hundert skaliert, was bedeutet, dass sie sich selbst an Wochenenden ausschaltet. Ganz einfach. Geben Sie kein Geld aus, wo Sie es nicht müssen.
0:26:41 Emily Wearmouth:Wenn die Leute über Überprovisionierung sprechen, frage ich mich immer: Sie haben ein Geschäftsnarrativ, das eher zu Optimismus neigt. Das Unternehmen möchte also Wachstumspläne und die Absicht zur Skalierung prognostizieren, aber innerhalb des Unternehmens müssen Sie zwischen den Zeilen lesen können und sehen, wie viel davon Prahlerei und Aussagen sind, die Sie treffen möchten. Und realistisch betrachtet: Müssen Sie auf ein aggressives Wachstum hin aufbauen und planen, oder können Sie auf einen Mittelweg hinarbeiten, aber mit Skalierbarkeit, die Sie absichert, wenn der bestmögliche Fall eintritt? Wie sehr sollte man auf die Botschaften hören, die das eigene Unternehmen in den Markt sendet, und inwiefern muss man sie ein wenig relativieren, um eine Überdimensionierung zu vermeiden?
0:27:22 Seb Leal Bennett:Unser Unternehmen kennt seinen Markt, absolut. Sie wissen, wo sie wachsen möchten. Wir verfügen über historische Daten, sodass wir unsere Höchstmarken kennen und sehen können, wie sie im Allgemeinen steigen. Wir wissen, ob ein Marktauswirkungsereignis eine New Höchstmarke setzen wird. Ich denke, das Wichtigste – und darin sind nicht alle Teams in jedem Unternehmen gut – sind Ihre SLAs oder Qualitätsattribute. Was muss diese Anwendung Ihrer Meinung nach leisten? Denn das ist ziemlich wichtig, wenn es auch um Ihr Design und die Kosten geht. Wenn Sie beispielsweise eine Website haben, muss diese Seite dann in einer halben Sekunde geladen sein oder sind eigentlich 30 Sekunden in Ordnung? Denn die Antwort auf diese Frage wird Ihre Architektur verändern, diese Architektur bestimmt die Kosten und auch, wie einfach sie nach oben und unten skaliert werden kann.
0:28:09 Seb Leal Bennett:Und wenn Sie diese Fragen nicht stellen, wenn Sie also bei Gesprächen mit dem Unternehmen nicht neugierig sind, werden Sie Ihre Anwendung entweder über- oder unterdimensionieren. Sie müssen also dieses Gespräch führen, um sicherzustellen, dass Sie den Nagel auf den Kopf treffen, und von dort aus weiterarbeiten. Holen Sie sich einfach diese SLAs und die Qualitätsattribute für Ihr Unternehmen. Sie wissen, was sie damit tun wollen, aber Sie können auch Gegenwind geben. Aber nutzen Sie Daten, das ist von dort aus der Schlüssel. Führen Sie kein subjektives Gespräch nach dem Motto: „Nun, ich denke, das schaut man sich tatsächlich bei den Daten an, das können wir beweisen.“ Wir sind der Meinung, dass wir im aktuellen Zustand darauf skalieren können. Und wenn wir mehr brauchen, wenn das in die Cloud verlagert wurde, sollte es einfach elastisch hochskaliert werden, wenn Sie das können.
0:28:50 Emily Wearmouth:Der Punkt, den Sie bezüglich der Frage erwähnten, ob das in einer halben Sekunde geladen werden muss oder 30 Sekunden dauern kann: Mein Gedanke ging sofort zu agentischer KI und wie das die Dinge verändern könnte. Denn wenn Sie Architekturen für Menschen entwickeln, wissen wir, dass unsere Geduld – vielleicht auch nur meine Geduld – recht gering ist und wir wollen, dass Dinge sehr, sehr schnell passieren. Wenn es sich dabei jedoch nicht mehr um einen menschlichen Prozess handelt, der mit dieser architektonischen Reise interagiert, sondern um einen Agenten, können Sie möglicherweise eine größere Toleranz für Bereiche akzeptieren, in denen dies nicht der Fall ist. Solange das Endprodukt nicht super schnell sein muss, wenn es also nicht zeitkritisch ist, hat der Agent möglicherweise mehr Toleranz für einen langsameren Weg und Sie können kostengünstigere Dienste stärker berücksichtigen.
0:29:34 Seb Leal Bennett:Das könnten Sie tun, und das führt alles wieder zu der Frage zurück, welche Benutzererfahrung für diese bestimmte Funktion erwartet wird. Ob agentenbasiert oder nicht, das wird die Architektur bestimmen. Aber ja, das ist ein interessanter Punkt.
0:29:45 Emily Wearmouth:Ja. Das gibt es von mir gratis dazu, Seb. Das können Sie übernehmen. Das
0:29:51 Seb Leal Bennett:schreibe
0:29:51 Emily Wearmouth:ich mir auf. Jeden Tag einen Mehrwert schaffen. Großartig. Nun, ich bin mir der Zeit bewusst, aber wir haben Ihnen viel Zeit gestohlen und ich weiß, dass Sie zu einem weiteren Meeting müssen. Deshalb sage ich vielen herzlichen Dank, Seb. Dieses Gespräch hat mir enorm viel Spaß gemacht und hoffentlich unseren Zuhörern auch.
0:30:05 Seb Leal Bennett:Das ist großartig. Danke, dass ich dabei sein durfte. Es hat wirklich Spaß gemacht und ich freue mich darauf, auch in zukünftigen dabei zu sein.
0:30:09 Emily Wearmouth:Großartig. Sie haben den Security Visionaries Podcast gehört und ich war Ihre Gastgeberin, Emily Wearmouth. Wenn Ihnen diese Episode gefallen hat, teilen Sie sie bitte unbedingt, aber stellen Sie auch sicher, dass Sie uns auf Ihrer bevorzugten Podcast-Plattform oder auf YouTube folgen, damit Sie in Zukunft keine Episode mehr verpassen. Und wir hören uns das nächste Mal.
){kind=icon}
