Blog

For an intermission post:

Again, my hobby horse(s): The Mix. Squared.

• Neural networks, a.k.a. Machine Learning, a.k.a. “AI”, on its own will never cut it. Since any NN is too simple, with its single firing function for all (nodes), even when slightly varied – even when varied per (modifiable/learnable?) node-specific parameter. And ML needs tons of data (acknowledging the trend towards better data over more) that simply isn’t available for a great many applications (as in: applying the ‘solution’ to some problem, ill-defined more often than well-) since reality is so many factors more complex than all the data generated/processed with IT since the Seventies, even if all that was still available. – intermission in the same; my guess is what happens on the Internet, doesn’t stay on the Internet; your data will be forgotten much earlier than before. Yes, paper-file cabinets held many more erroneous data points but how many ‘WORM’ discs even have become unreadable or barely readable? Historic data is less and less; end of interintermission – And “AI” isn’t, even ChatG turns out to be driven, as ever again! by humans that ironically had outsourced part of their processing to ‘AI’ systems. We’ll need at least ANI before it’s deployable; symbolic reasoning isn’t there yet if at all possible (though my hunch is that…). And convergence is still too shaky to be able to use anything really.
• Deterministic programming (If-Then style) will not cut it, we know.
• Fuzzy logic systems alone will not cut it, we know. They may serve as interpretations of noisy firing functions within ML or stand-alone, but take too much human engineering and … ‘statistics’ yes I’ll go wash my mouth now.
• GMDH systems will not cut it, we know. E.g., from my graduation work some 30 years back. Only-slivers-of-results and much spurious correlations resulted, and fundamentally, that cnnot be solved by today’s faster/more number crunching the problem is in the inductive approach. Though it might help tons with ML training … Either seeding bare ML networks or training them to final state.
• Symbolic reasoning (think (waaayyyy back to) LISP and Prolog – do you remember © Earth, Wind & Fire) is too cumbersome, and needs, now ever more inherently incomplete, modelling of the subsystem / subject matter at hand. And bring to the fore another hobby horse of mine: How abstraction, the loss of specificity of that (the largest common denominator quickly drops to zero, the least common multiple mushrooms – the ‘character’ or feature/phenomenological aspect disappears in triviality but the potential / riches and variability away from the model explode – unused ..! and the only true model of reality is reality itself (Gell-Mann)) but also the mix of the former with the emergence of properties, seems to make a logica jump that can’t be brute forced. As e.g., ‘privacy’ is an emergent property of data protection, for confidentiality and availability (!).
  And with much human knowledge being input into the system. Slllloooowwwww! And a quite good definition of Incompleteness – of the trivial kind not the real issue. [Interintermezzo again: Is imperfection in logical reasoning required, e.g., for ‘human intelligence’? À la requisite variety, in here (in Dutch but G Translate should work); a suitable subject for a uni full of PhDs I guess.] Nevertheless, this doesn’t cut it on its own.

Even treating half- or ‘fully-baked’ neural nets of whatever proportion or module stacking, as glorified If-Then systems – hey, indeed, the firing function is a superclass, generalisation of the 0%/100% condition in deterministic If-Then – will miss the abovementioned Emergent Property requirement that ‘intelligence’ needs. Unsure whether any philosopher has figured that out (like: proving that, if proof exists or is a (derivative) Halting Problem class, or runs into Gödelian issues) or what his (sic) name would be, but for me, it’s a fact.

Which brings me to:
We’ll need to mix systems. Not (only): stacking a variety of modules, but mixing in the modules as well. And learning – a life long, or at least some 25 years. Hoping for any success; watching current under-40yrs-old humans isn’t encouraging.
But after that, we could clone indefinitely quite quickly..? Maybe not, if the mind/body problem needs to be included – then, cloning will not work because every new copy is a different instance if only because they take different physical space, and can’t exist out of nothing in the exact same instant / quantum time leap. [Yes you read that correctly; time seems to come in quantum leaps as well.]
For this intermission post, I deviate. I’ll return for the home straight:

But mixing we must. Let’s start with bringing back abovementioned all too much abandoned programming / development foundations and languages. Thoughts ..!?

Oh, and of course:

[Even this has so many sides all essential to present the whole; for no apparent reason in the Wiesbaden museum]

Iedereen wéét hoe abnormaal hinderlijk het achteruitrijalarm van de KIA Niro is, zeker voor omwonenden. [En iedereen wéét dat een Niro-chauffeur tegen een achteruit overredene kan zeggen ‘eigen schuld ik waarschuwde toch’ en dat dat dus een vol-slagen flauwekulredenering is en een wederrechtelijke bewuste poging de verantwoordelijkheid te ontkennen]
Niet iedereen weet dat het alarm (nu, hier) op de verpleegsterskamer vrij precies hetzelfde klinkt.

Mij is bekend dat de ‘bitch in the backseat’ die alle WarningWarning-alarmen doorgeeft van achter de stoel in F16s een vrouwenstem is omdat (het voor vrouwen niks uitmaakt, man of vrouw – ja er zijn al decennia vrouwelijke F16-vliegers) bij mannen is geconstateerd dat een (jonge-)vrouwenstem een overheersende attentieprikkel uit de hersenstam geeft om dit signaal vóór alle andere eens goed te checken.

Is het toeval of is het specifieke geluid zo gekozen dat het maximale attentiewaarde heeft voor toevallig aanwezigen?
Dit roept om onderzoek!

Inmiddels zijn KIA NL en fabrikant Ascom-voor-al-uw-ziekenhuisalarms aangeschreven over eventuele uitleg. Maar ondanks een zeer positieve reactie (2e) kan het spoor hier doodlopen. [Naschrift: Inderdaad, (1e) komt niet verder dan Toeval.]
Navraag bij de opleiding Audio Engineering bij de HKU loopt.

… Hold your horses; Ascom komt wél terug, en heeft: De (piezo)zoemer wordt (ook) door de meeste autofabrikanten gebruikt. De frequentie is inderdaad 2,7-4KHz (met 250ms intervallen) omdat dit voor de meeste mensen het beste hoorbaar is! [Dat wil ik dan nog wat preciezer hebben; mijn autosignalen klinken divers(er) en hoe&wat wat die betreft…]
En verwijst naar deze …! (towards the end)
Inderdaad, dat dus. Maar een ander signaal…

En de navraag bij Audio Engineering loopt nog.
Yes I need to know! Omdat het idee doorvertaalbaar is naar a. SOC/SIEM-omgevingen, b. struikeldraad-controls die behalve ‘gewone’ meter-standen de hele keten overzien en alleen bij de Echt Belangrijke dingen aanslaan om nader onderzoek door de keten te kunnen doen.

Ah, now I see: All the nice (and so utmostly necessary) work on Risk Management the Real Kind – Quantitative, driven top-down from business objectives down to tech control / parameter settings, all the way mixed with qualitative sense-making and sensibility checks –, COSO/CObIT/ISO2700x/CSF/…/…/… my keyboard is running out of ‘…’, will fail for a particular reason. A reason that goes (went) by the name of Von Moltke the Elder.

Particularly, this quote: No plan of operations extends with certainty beyond the first encounter with the enemy’s main strength.
Which demonstrates (well, not the quote or its meaning but practice demonstrates everywhere where ideas are put into practice ..!) that the plan is nothing. But planning is everything. But if one focuses on the planning – can you hear me, eager “PDCA” (not! the correct version is Shewhart) beavers? –, one doesn’t see:

• The bigger picture; one is drafting, and executing most often just somewhat, somehow, – an error in itself, that ‘somewhat’ logical-or somehow – a strategic plan. In an external environment that changes faster than a battlefield, relative to one’s own response;
• One finds oneself not in hierarchical command. No organisation can be run as absolutely reliably as an army in battle – errors and omissions happen everywhere and one’s own aren’t that reliably on one’s side, and to a degree that one doesn’t know which are that 50%, or which are correct and true. And all sorts of change unrelated to what one wants to achieve, also takes place. The internal environment is a mess, too;
• Too many are discussing things about which they know – in a Wisdom sense of know – too little. They’re touching the elephant, and even if some (collectively) have the whole picture, they cannot see inside. Meanwhile, some are just Trojan horseing around…
• This may be the leading cause of the need for Requisite Variety, as outlined in e.g., my post below (in Dutch so let’s see what G Translate can do). Which demands some internal variety or you’re toast. Overly regimented things don’t last, and your security controls are a bad case / good example of that. But at what point are top-down plans half-baked, and where is the Too Far limit ..?
• Boyd.
  Read the real work, then study what’s being made of it these (latter) days. That’s how you do “PDCA” … As in: ‘Agile’ – quod non, almost always exactly the opposite! – organisational operations. As in: If you think you’re Agile enough, you’re not going fast enough; quote from the ancient Chinese philosopher Emerson, Fittipaldi, the elder – yes, since this).

These five are not alike, I know, but yet, they do tie into a Gordian knot and still, they ‘collaborate’ against you.

There, you see why and how all plans re risk management and information security are so ideal, and reality isn’t. [Don’t start me on Idealism which again gains ground, even in the hardest-proving science of theoretical physics if it isn’t the bedrock foundation of that already.]
In the mean time, the operational battle, where every bullet counts, rages on. Don’t forget to patch everything not just the highest risk-scoring vulns. And chase operational-style best of breed standards, e.g., this, and others, when properly applied and with much risk-based scrapping from chapter(s) 1 onwards, not splatter-under-the-weight-of-bureaucracy ones with Der Totalen All Details Are Musts.

Hence, heed the quote!

In the mean time, here’s …:
Another kind and a better kind of particle accelerator; Ployez-Jacquemart, Ludes]

A blink of an eye ago, COBOL was the bombe.
Now, not so much anymore you’d say. Though many life-critical systems still rely on it. Like, core mil systems (not all that pertains to nat’l security is (still) in ADA, unfortunately), core banking, etc.

A real blink of an eye ago, I was reminded that there’s still Old People (over 25) that do code reviews on bug fixes in COBOL.
But wasn’t that problem solved a decade ago by transformation of respective systems into something more modern (if anything in IT is; once released, already replacements are on their way)..? Or was the stop gap solution of enterprise-bus’ing the whole thing to buy time, not followed up by a better back end?
No references to the best of these, being mine, please; that’s not to be touched on pain of protracted death but by a few.

Again, wouldn’t one want to use a cocktail? Of e.g., Expert Systems and a dose of ML in the mix, to do a. the above patching and testing, b. the reverse engineering, c. pacemakering the whole thing (like a couple of posts down below here); shaken, not stirred. The idea of CI/CD attaches itself to this, too, and may be expanded to elsewhere – but let’s first mvp this idea on, relatively simple since relatively highly structured, CO-Bowl.

I’ll take my meds now (as per that below pacemaker post; I haven’t any but you’ll get the drift), and leave you with:
[Mummelsee, Black Forest, but completely like e.g., Idaho, Wyoming et al. (here) including the smell, the road side tables, the atmosphere, the sounds (nature, people) as it was back in the Seventies… Ah so there’s this pic’s relevance-angle…]

Internal organisation (like, of organisations yes I’ll continue to use the UK s not the simpleton’s z), wehn done on a (success) case basis, will fail.
Since it is reverse engineering. Capturing only what with hindsight is top-down design as if there was only the design, then clean execution. Yes, with some leeway for unexpected developments but those are support-hypothesis-taken back into the fold.

As if organisations didn’t develop (and by definition will have to develop) from the word Go (start-ups) to accomodate the imminent environment, growing by adapting.

Never believe ‘gurus’ (Semmler comes to mind). If you follow someone else’s teachings, you will not be enlightened.

Yes one can conclude something from studying current and past organisations. Make it Deming, Drucker (and Boyd), then. That level. Still having Mintzberg’s models floating in my head; after all those years, they still come back to be(ing) applicable to even today’s footlight organisations (secmed and others) – doesn’t it look like they all fall back into the fold of the previously famous, now neglected models?

Engineerability does not exist. Not of organisations, so much less for societies as a whole. See below’s posts on pacemakers; those that act as if they can engineer organisations/societies, only demonstrate their sheer total lack of insight (stupidity) by not seeing the enormous complexity of (oh so many) people-that-live-in-the-world-and-only-partially-Venn-overlap-with-work working together towards keeping up the organisation as much as fits their own interest. Even nudging doesn’t work, and is a cross-over between gaslighting and brainwashing, anyway.

Now, to continue re- and re-re-studying Mintzberg and the others from half a century back, to see what we can learn from them not Dunning-Kruger n00bs that babble about the Old Ones’ irrelevance (quod non, the opposite!).

After this, for your viewing pleasure:
[Your ship is moored on anchor in the back, being too big/inflexible; we are the flex ones in the front, pleasure sailing along quite nicely. Off Porto]

Despite circumstances: This.

Een blogpost is never Done, ongeacht uw definitie daarvan.
[Let alone well done; wij hebben toch liever à point.]

U las al over pacemakers als controls, óók in uw administratieve (en andere! organisatie)systemen.
U las nog niet over de rol die Robotic Process Automation daarbij kan vervullen.

Waar het bij RPA over gaat, is het vangen van bestaande transactiepatronen voor, inderdaad, het aloude straight through processen. Al vier jaar bekende bezwaren: 1. het oude straight-through werkte ook al niet, 2. het kost banen.
2. is debunked, want (?) 1., en nu want-2: RPA, met alle ‘intelligentie’, werd ingezet als simpel vervangertje, oude-patronen-ophoester van wat in het verleden gebeurde. Ja, de meest advanced (quod non?) vormen deden wel wat aan drift in de patronen maar het blééf begripsloos op een symbolisch vlak. I.e., alles boven pure betekenisloze data reproduceren/construeren bleef achterwege. Waardoor op het niveau van ‘systeem’ in cyber-zin, dus niet #ditchcyber maar echt (als hier en https://en.wikipedia.org/wiki/Complex_system), niet aangepast raakte. Om maar te zwijgen van de ‘gewone’ stationaire RPA die steeds verder weg raakt(e) van de vereiste variëteit (zie weer deze).

Maar dat betekent niet dat de RPA-‘technologie’ niet uitstekend (dubbele ontkenning, ha eindelijk kan ik er weer een infietsen; gebrek aan bewijs is geen bewijs van gebrek maar andersom wel of zo, springt dan in m’n hoofd) dienst kan doen bij het zelflerende-vangrailsidee van hieronder (ten derde male); onderin.
Bijvoorbeeld door RPA in te zetten als controller (‘dat intelligentieniveau kan RPA best aan, (want) Excel ook wel’ en dat soort tussenwerpingen – no worries RCs, er zijn zat REs die zo ver niet komen en zelfs een draaitabel alleen als woord kennen) met beperkte bevoegdheid om, als er échte uitzonderingen zijn of als de massa van afwijkingen een te apart gedrag vertoont, navraag te doen bij een expert; een echte IT-auditor bij voorbeeld/uitstek.
De crux zit ‘m natuurlijk in dat ‘massa van afwijkingen’ en ‘te‘ apart. Wat is massa genoeg, wat is te?

[Intermezziaal: gedachte aan ‘branching’ van transactiestroompatronen à la boomtakken, geïnspireerd door weer een onderzoek, catheterisatie deze keer #fraaieplaatjes. Oh nee, in ieder geval combi met Sanky-diagrammen (als hier) anders geeft iedere (officieel goedkeurde OR(lazy evauation) feitelijk geïmplementeerde ..!) nieuwe systeemfunctionaliteit een leren-vanaf-scratch fase – leren van het RPA-systeem dat leerde als hier.]

Hier komt alweer een (gebrek aan?) kennis over statistiek en met name kansverdelingen (u denkt gelijk: momentgenererende functies, of bent u zo’n RE als boven?), non-lineaire regressieanalyse and the like. Zijn we toch weer terug bij m’n oude lament over het gebrek aan symbolisch (kunnen) redeneren in ‘moderne’ technologie.
[Alsof ik wel een sneller paard voor m’n wagen kon inspannen maar niet eventjes een sterkere en opgeladen battery pack in m’n hybride (sic) kan leggen; dat zou achteruitgang zijn! Oh.]
Kunnen we niet een labelling pool opzetten, net zoals de (alle?) data voor LLPs van vandaag door humans worden getagd?
[Afgezien van de humans die hun handenarbeid dan weer schijnen uit te besteden aan “AI”-systemen zie boven over recursie]
Maar dan alleen voor accountants bijvoorbeeld, of IT’ers die zich met logging bezighouden. De eersten, toch massaal werkloos (??) wegens RPA, toch, de laatsten zijn met een kaarsje te zoeken omdat er zo veel ‘plat’ rails- en geautomatiseerd toezicht is – zie wederom hier en zo héél weinig gebeurt met logging in the first place. Althans, véél te weinig ten opzichte van de plaats die het ooit had. Vandaar dat bij uitstek dé plek waar de data-overwhelm van de afgelopen twee decennia toesloeg – nauwelijks een splinter opslag beschikbaar t.o.v. het benodigde, maar onverwerkbaar veel om kaas van te kunnen maken – nog steeds zo weinig vooruitgang is. Tsja, ‘positief‘ gebruik van data in warehouses (weten we het nog?), data lakes en zo, dat is er want levert geld op (oh ja? wat is de ROI ..? ooit bepaald?), versus het voorkomen van negatieve dingen…

Maar nevertheless … RPA for pacemaker control regulation (als inregeling), het zou toch wat moeten kunnen helpen! Het Gaat Beginnen, als we op operationeel niveau (level 0 process automation als pacemaker controls) en nu op tactisch niveau (level 1 process automation, van de control functie) RPA kunnen inzetten. Dan nog level 2/3/…/∞ en dan zijn we in de buurt van ASI.

Ik sluit even; zijpaden te over…
For your viewing pleasure:
[Extreem aardige muurschildering links recent herontdekt en gerestaureerd, aardig interieur, maar don’t go there for het eten en al helemaal niet voor de service; Nancy]

Even een neerpennen (‘pen’? iig geheugendump) over een ideetje, uiteraard in de vorm van een vraag:
Hoe ‘werken’ pacemakers (inclusief ICDs) als controls; hoe ze zó scherp te houden dat ze zowel de requisite complexity buiten de Happy Flow (HF) toelaten, als de al te grote ruis signaleren en terugduwen naar redelijke bandbreedte?
Niet schrikken van de elliptische omschrijving. Ook voor RE’s kan het nog wel duidelijk worden, als ik langzaam typ hieronder.
[Met in en na de tekst inmiddels een reeks Edited to add]

Trouwe lezers herinneren zich nog dat ik de requisite complexity naar voren haalde om het punt van control ≠ 100% Sigma-loos (nul sigma dus; handig voor degenen die alleen de termen denken te kennen maar de statistiek erachter niet kennen) nog eens duidelijk te maken. Requisite complexity: de noodzaak voor een intern ‘systeem’ om ten minste evenveel variëteit te moeten kunnen handlen als de omgeving heeft. Anders is er variëteit in de omgeving(sdata) die het systeem niet aankan.

Zoald altijd al duidelijk was: Overstandaardisatie intern, leidt tot grote botsingen. Zeker in informatiesystemenland – de klassieke invulling daarvan, klassiek ofwel sinds de Sumeriërs-t/m-de-Romeinen ofwel sinds pak ‘m beet de jaren ’80 – gold immers: het systeem is een afbeelding van de werkelijkheid. Ja, een model is een versimpelde weergave van de werkelijkheid om die werkelijkheid te kunnen bestuderen en hopelijk te begrijpen maar per definitie tekortschietend om normatieve uitspraken mee te doen. Nee Jurgen, toch niet altijd weer die verwijzingen naar de politiek Ja hoor wél zie de header bovenaan m’n blog.

De werkelijkheid vatten – ja dat is wat we zien bij (visualisering voor) process mining: de HF van ooit bedoelde geïdealiseerde eenvoudige transactiestromen wordt links er rechts ingehaald door een zekere / flinke / forse hoeveelheid afwijking omdat nu eenmaal zo goed (en soms kwaad) als mogelijk de (in de) werkelijk(heid) gedane transacties te vatten in een meestal toch wat te knellend, alleen versimpeld denken toelatend, al te geïdealiseerd top-down ontworpen systeem. Nog afgezien van de spreadsheets en majeure Waldorf-systemen met ‘een’, ‘twee’ en ‘drie’ in een numeriek veld, of 3.14-als-tekstveld, waar gewone getallen (met ‘=’, zonder ”’) hadden moeten staan. Da’s regelrechte dataontegriteit. Die vaak wordt afgedwongen omdat anders het systeem onacceptabel strak staat ingeregeld – quod non vaak, maar da’s een ander onderwerp: gebruikers die heel andere dingen blijken te willen van een systeem dan de officiële (detail)specs anders is het onacceptabel dus doe nou maar wat de gebruikers willen = hun input inkloppen ongeacht de resultaten want dat is hun pakkie-an niet. En het systeem is er voor de gebruikers, die moeten hun werk kunnen doen, kwijtkunnen in het systeem! Als dan de omgeving ruis afdwingt, so be it, het interne systeem (in brede zin; de gehele organisatie) moet dat aankunnen of (XOR) als fremdkörper worden bevroren en geïsoleerd door de omgeving; Einde Oefening.
[Ja hier hoort nog een stuk bij over Bestuurlijke Informatievoorziening als tweede (derde?) control-loop bovenop de operationele processen; dat vertoog loopt verder analoog dus is ter uwer invulling.]

Maar wel in process mining dus: helemaal ‘dicht’ op de HF krijg je het niet, nooit, en dat is maar goed ook, want enige flex is dus nodig. In de interimcontrole zal dan toch wel een kwalitatieve inschatting volgen over het ruisniveau?
Vergelijkbaar met:

• Een al te mooi hartritmepatroon is niet goed want gaat stuk als er een ietsje aanpassing nodig is – een modicum Ruis muss sein;
• Als de aandelenkoersen/financiële markten en parameters té stabiel zijn/stijgen (te kleine variatie) en iedereen elkaar op de schouder klopt omdat ‘we’ ‘het’ nu eindelijk beheersen, wees dan maar voorbereid op een grote correctie en een chaotische periode (Taleb). Inderdaad, borne out door Inflatie – de EU dacht die onder controle te hebben maar eigenlijk te dicht rond de nullijn en zie de explosie;
• Een wijkagent zal heus geen Zero Tolerance toepassen, dat werkt niet. Een verkeerd geparkeerde auto – die kent ‘ie en hij weet dat die zo weer weg is. Maar wanneer komt de Openbare Orde in het gedrang en moet er even een vingertje worden geheven, sussend of deëscalerend worden opgetreden ..? Als het uit de hand loopt, gaat het mis;
• Een verf(blikjes)fabriek of uw pastasaus wordt op de lopende band vervaardigd, met in de ingrediëntenmix en vullingsgraad (ja inderdaad, dat is de ℮ van environnement not environment bij de inhoudsopgave) altijd net een beetje variatie;
• ‘Punctuated equilibria’ (Dennet);
• Turbulentie is een onopgelost issue: Waar begint verstoring, waar gaat het over in (chaotische) turbulentie?
• Evolutie … een te lage mutatiegraad maakt kwetsbaar voor mutaties in de omgeving. Diversiteit is Rijkdom – dat geldt sowieso, ook geestelijk – en biedt mogelijkheid tot aanpassen; de graad van diversiteit (is er zoiets, dat alle mogelijke verdelingen kan karakteriseren?) biedt de kans de tijd de selectie te doen (à la Dawkins, dus niet dat de less fit afvallen maar crowded out worden door de sterkeren, in veel minder tijd dan vaak gedacht ..!), de populatie die te traag is, haalt het niet. Maar ja, hoe beschrijf je de optimale mutatiegraad?
• Identity & Access Management. Excuus – IA Governance want als het geen Governance heet, bent u niet Belangrijk of zo; zie dan hier. Op enig moment is controle nodig op de feitelijk uitstaande (dus openstaande niet uit staande, oh wat is taal toch prachtig) user-IDs en autorisaties want ondanks controles bij inschrijving (en uitschrijving, hopelijk), zál ruis optreden die zo ideaal is voor kwaadwillende lieden.
• Idem in database-land, waar ondanks buitengewoon goed sluitende integrity controls (zeker deze; waarom kennen zo weinig IT’ers ze?) toch een cumulatieve ‘vervuiling’ van 3-10% per jaar (jawel) doorsnee is. Zie boven over afgedwongen, geforceerde, doorbreking van perfecte functionaliteit;
• Een zekere VerkeersCentrale in NederLand heeft de meetlussen in de snelwegen onder beheer en merkte dat er ongeveer elke twee weken, ongeveer vijf minuten, ‘s nachts plots redelijk druk verkeer was (werd gemeten…) dat 200km/u reed. Waarop een Machine Learning-oplossing werd geïmplementeerd (we spreken over 15 jaar geleden…) die de foute signalen leerde redelijkerwijs te corrigeren. You hear me, pacemaker?
• Etc. Ja voorbeelden te over uit allerlei ongerelateerde (quod non) hoeken.
• Dit lijstje zelf is een voorbeeld van niet-perfecte analogieën – het gaat immers over diverse niveaus van abstractie en vooral over diverse niveaus van complexiteit… – dus dat is lekker recursief. En dat geldt voor mijn blogposts in het algemeen: De ene is best redelijk compleet, afgesloten, de andere is aan het begin en eind flink open ended.

Nou werd ik hier, nu nog op de observatie wegens 1e bullet met als potentiële (sic) oplossing tegen nog onduidelijke (statistisch bijzondere; heb ik weer) oorzaak een pacemaker, getriggerd om na te denken:

Is het concept ‘pacemakers’ ook inzetbaar in de vorm van controls die a. signaleren waar de Happy Flow al te zeer wordt gemeden en b. automatisch bijsturen tot weer een redelijke bandbreedte ruis rond de HF is hersteld?

Idem voor ‘cyber’ oftewel gewone informatiebeveiliging, dat mensenwerk is en dus evenzoveel meer gevoelig voor ‘afwijkend’ gedrag.

Met flankerend nog vragen die al eerder naar voren kwamen; wat is ‘al te zeer gemeden’, wat is ‘redelijke bandbreedte ruis’; hoe voorkomen we Der Totalen Micromanagement met ‘cameratoezicht’ op alle individuele HF-afwijkingen of zelfs individuele transacties; hoe voorkomen we door te schieten onder de n sigma, n to be defined op een of andere manier? Hoe wordt in de process mining het modelleren-om-inzicht-te-verkrijgen afgezet tegenover (?) het versimpelde model dat de resulterende plaatjes zijn?

Maar toch. De pacemaker als vangrails? Op enige afstand van de rijstrook/rijstroken; stippellijntjes daartussen en doorgetrokken lijnen op de flanken met hopelijk duurzame ribbels om de gebruiker (Tesla-chauffeur) wakker te maken en als het echt uit de band dreigt te lopen de vangrails als achtervang. Niet de rails die millimeter-knellend treinen in de band houden – als die, requisite complexity, door de ‘data entry’ gebruikers meer dan die paar mm worden gedwongen af te wijken, is het een train crash. Een ‘brittle’ systeem, dat; de integriteit verkruimelt bij een klein push’je.
Ja er zijn ook andere, meer traditionele types pacemakers, die continu pulsen, micromanagend, dwingend. Dat gaat sowieso niet werken buiten (niet Uber maar) überTayloristische besturing.

Nee, die vergelijking maakte ik al eerder, en klopt dus niet helemaal. We willen een soort hologram-vangrails; fysiek/operationeel niet permanent aanwezig, totdat het nodig blijkt en dan wel ‘fysiek’ zachtjes terug-nudgend.
De verffabriek heeft dat al, vanouds; de bewaking en terugsturing. Als hier. Vanzelfsprekend. Zó vanzelfsprekend dat ‘we’ het in administratieve ‘productiepijplijnen’ lees transactieverwerkende systemen à la uw SAP-met-spreadsheets, alweer al te veel zijn vergeten. ‘Managen’ is de controller zijn. Hoe ‘managen’ de meeste managers / controllers / welke naam u ze nog geven wilt, de transacties van hun afdeling? ‘Niet’ is wat kort door de bocht in het algemeen (hetgeen ik zo kwalificeer omdat de meeste lezers mijn opinie terzake wel kennen), ‘niet als zo’n soepel (feedback)proces’ toch wel heel vaak…

Of weet u hoe we ‘redelijke bandbreedte ruis’ nader kunnen definiëren en ‘operationaliseren’ (lelijke uitdrukking)? Ja, materialiteit, maar daar zitten toch nog wel meer aspecten in de mix die de discussie te veel verwarren! (een percentage zegt niks; de samenhang tussen allerlei detail-materialiteiten is heel anders dan bij de decompositie van totale post naar deel-materialiteiten aan bod kan komen, etc. – bepaald belangrijk om Statistiek en Kansrekening (twee verschillende kanten van de zaak!) nog eens op te halen. Bayesiaans of probablistisch? Als dat u niks zegt, heb ik slecht nieuws voor u.

En wat is ‘maximaal toegestane afwijking’ in een patch-proces, in IAM, in netwerkverkeer?
En wat is voldoende ruimte laten in het systeem (em toezicht, niet alles gelijk met continuous development dichtplakken met dikke pleisters?

Of werkt de hele analogie niet en gieten we toch gewoon de transactie-, logging-, etc.etc-schreef (zn, ad 2.) in beton?

Of denkt u ‘leuk idee, pacemakers, ik weet wel hoe dat uitwerkt’? Dan gaarne overleg!

[ Edited to add: ]
Enige gedachten inzake patronen:
Shannon’s signaaltheorie zal, uit de losse pols ingeschat, wel te veel op nauwkeurige ruisvermijding zijn gericht. Een ‘dB’-meetlat is sowieso te grof; misschien dat veeldimensionele Fourier-transformatie kan helpen maar I doubt it; te veel focus op signaal en te weinig op de ruis die daar integraal onderdeel van is.
En een tussenstap zou kunnen liggen in een categorisering [ Normaal het moet niet minder ruis worden; monnikenprocessie | Afwijkend maar stabiel gezond | (Abnormaal op het randje maar gezond) | Dit is niet normaal meer en kan niet gezond zijn; carnavalsstoet | Chaotisch ]
Want ik was boven vergeten te wijzen op de systeemgedragcategorieën Simpel < Gecompliceerd < Complex waarbij ons hart (ons interne SAP?? mag toch hopen van niet ...) ten minste Gecompliceerd is, en/maar hopelijk niet te veel meer. Hierbij aansluitend past een stuk – dat eigenlijk een bibliotheek aan proefschriften verdient – Een massa (à la Canetti) tendeert naar de grootste gemene deler die snel omlaag duikt naar iets absoluut simpels, stupide, asymptotisch. Terwijl we voor de complexe omgeving de tegenlijkertijd mushroomende kleinste (?) gemene veelvoud (optimaal gebruik van diversiteit) zouden willen kunnen benutten!

Niet vergeten als hint: It is not necessary to change. Survival is not mandatory. (W. Edwards Deming).

[ Edited to add: ]
Oh, en natuurlijk kan een pacemaker prima met AI worden ingeregeld om ook relatief-bizarre maar nabij-chaotische patronen te kunnen reproduceren, als die soort van default zijn voor betreffende persoon – voor wie een standaardpatroon te weird / ongezond zou zijn.

In ieder geval voor uw viewing pleasure:
[Ja hoor eens, niet iedereen heeft dezelfde vakantiefoto’s… Dijon, een hoekje van een veel grotere winkel]

Aanbevelenswaard, dit: Bruce Schneier’s A Hacker’s Mind. Onderstaande een bespreking zijnde tevens een vorm van samenvatting. Als u denkt hee Bruce heeft het anders nooit zo over audits dan zijn die stukjes juist mijn bijdrage. Als u denkt dit is opiniërend of erger, dan hebt u juist Bruce’s mening/content te pakken..! Here we go:

Na inmiddels een reeks van boeken over informatiebeveiliging, van cryptografie tot het waarom van stelsels van controls, is Bruce Schneier terug met A Hacker’s Mind, met een urgente boodschap dit keer. Over de risico’s van het hacken van code (stelsels van regels!) en de rol van AI daarin, voor … zowat alles wat ons dierbaar is aan waarheid en feiten, en maatschappelijke structuren en waarden als vrijheid en menselijke waardigheid.
Schneier begint met een aantal handvatten voor het beter ontwerpen van regels in software, of in andere structuren zoals controls, regelgeving, wetgeving, of instituties en maatschappelijke inrichting. Dat is allemaal code! Zijn regels gaan over het voorkomen van vulnerabilities, het detecteren en het oplossen van hacks. Klinkt bekend. En vooral het voorkomen ervan krijgt aandacht. Security by design… Het wordt wat minder met zijn aanwijzingen als het gaat om het inherent oplossen van hackbaarheid; daar is de wereld ook nog nauwelijks (bewust) mee bezig.
Het boek begint dan al ‘toepassingen’ van AI tussen de regels (van het boek, tsja) te vlechten. Want daar gaat het boek óók en uiteindelijk vooral over: AI kan mooie dingen brengen, maar als we niet uitkijken, zijn de slechte toepassingen eerder en die kunnen de goede toepassingen zeer wel pre-emptief onmogelijk maken. Hoe, dat komt vooral richting het eind van het boek steeds verder naar voren.

Maar voor deze diepe analyse van de dreiging van AI-voor-slechte-doeleinden (ook dat is al een positie maar wie niet kiest, is behalve slachtoffer ook mededader bij omissie), geeft Schneier een exposé over de vele methoden om te eigen bate door (stelsels van) controls te navigeren of ze te omzeilen – dát zijn hacks. Zo oud als de weg naar Rome of meer nog zo oud als de mens. Die hacks variëren van operationeel niveau tot meer strategische ‘ingrepen’, in termen van de ons bekende bon mots:

• Een stelsel van controls is als een spinnenweb: de kleine vliegjes worden gevangen, de grote vliegen er dwars doorheen – want kunnen de beste advocaten betalen om ofwel op Foutje Bedankt te spelen ofwel te overdonderen met ‘alternatieve’ interpretaties van de regels. Denk aan het recente onderzoek over anti-witwasmaatregelen: Het hielp niks. Maar we moeten wel betalingen boven €100,= gaan monitoren; u bent dan verdachte tot uw onschuld is bewezen.
• Iedereen is te koop – wie al geld of macht heeft, kan de beste advocaten betalen op de meest onbedoelde geitenpaadjes (over het hoofd geziene ‘functionaliteit’) te vinden; tegen de intenties of de ‘principles’ van de regelgeving en wetgeving in. Het hele Cum-Ex-gebeuren past hier prima bij. Stick to the little rules, then you can break the big ones, en hiding in plain sight als je de boel leegplukt, passen hier ook bij.
  En wie de media beheerst, kan welke ophef dan ook wel snel genoeg uit het nieuws krijgen. Zand erover. Of lezen we dagelijks in de krant (huh? papier?) of andere media wie er nu weer is veroordeeld wegens de Panama Papers onthullingen?
• De gouden regel: wie het goud heeft, bepaalt de regels – het makkelijkst is de wetgevers te kopen om de ‘benodigde’ aanpassingen en uitzonderingen in regelgeving en wetgeving te krijgen. Bij dat eerste: Er bestaat nog geen oplossing tegen regulatory capture. Bij dat laatste: Wie denk dat dat alleen over de Grote Plas een probleem is, kan beter leren analyseren hoe onze wetgeving in elkaar zit. Lobbyisten sponsoren politieke partijen en actiegroepen (pro en contra gevestigde belangen om de schijn op te houden!) dat het een lieve lust heeft, en maken de politiek inhoudelijk afhankelijk van deskundigen die ook niet on-afhankelijk zijn.

Waaroverheen op alle niveaus ook nog gewoonterecht geldt: Doe bovenstaande met voldoende aplomb en speel de vermoorde onschuld, en het misbruik wordt getolereerd en daarna gewoon, usance, en dan de norm of jurisprudentie.
Eerder had Schneier reeds Liars and Outliers, over hoe het normaal is dat steeds groter wordende groepen mensen, de mensheid, steeds meer en steeds hardere regels nodig heeft om de enkeling die zich er niet aan wil houden, in het gareel te houden. Die enkeling kan het ook niet helpen; het zit in de aard van het beestje (vertellen ook alle religies en levenswijsheden), en dat is nodig ook want anders versteent de boel en dat is slecht voor de hele mensheid; ontwikkeling moet er zijn.

Dat is geen probleem als de regels voldoende ontwikkelingsruimte bieden (principle-based zijn) en voor iedereen gelden, zonder uitzondering. Aan die laatste voorwaarde wordt dus steeds minder voldaan. En als het dan de beeldbepalende lieden zijn die bovenstaande mechanismen blijken te gebruiken voor pure zelfverrijking op het onbeschofte af, of überhaupt over ‘geitenpaadjes’ praten … Quod licet Jovi, ultimo licet bovi, toch? Bovendien toont Schneier dat het (terug?)hacken van bureaucratie soms nodig is om iets nuttigs te kunnen doen.
Laten we dan als auditors vooral blijven aandringen op nóg meer regeltjes om de kleine jongens (M/V, maar meestal M, nog) te pakken? Ook al roepen we te pas en te onpas ‘principle-based’, de roep om verduidelijking tot pietlut-regeltjes volgt steevast, waarna de principles worden vergeten want die zijn niet vinkbaar en zeker niet van evidence van compliance te voorzien. De ‘boosdoeners’ volgen toch de letter van de wet?

Denk daar nog eens aan als u alweer eens wordt gevraagd om een stelsel van controls te helpen ontwikkelen, of te toetsen. Compliance vervalt al te snel tot window dressing.
Waar Schneier duidelijk over is: Dit alles is zou oud als de mensheid. Waar Schneier over doorgaat: Met de komst van AI wordt de balans wel heel scheef. Al het bovenstaande is zo oneindig veel sneller en gemakkelijker te doen met AI-middelen. Ja, die zijn nog vrij dom maar kunnen al zo veel – dus weest gewaarschuwd als de versnelling in AI-ontwikkeling, van gewone ML/ANI langs AGI naar ASI doorontwikkelt. Nu reeds blijkt ChapGPT-3 à -4 heel fraaie teksten op te kunnen hoesten over van alles en nog wat, én de grootst mogelijke onzin, woke of juist bedroevend-reactionaire fantasieën als feiten te kunnen presenteren. Uitstekend bruikbaar voor beïnvloeding van de publieke opinie, nietwaar? Toen een mogendheid ten Oosten van de EU de Amerikaanse verkiezingen beïnvloedde via Facebook- en andere individueel gepersonificeerde biased artikelen en posts, was daar al veel ophef over die wegebde toen de bevoordeelde partij won en de media daarmee meebogen.

Dat was nog kinderspel met wat vandaag de dag aan beïnvloeding mogelijk is (gebleken) met verwrongen of verzonnen feiten, statistieken en modellen, onderdrukte tegengeluiden et al. De mecha-nismen die vanouds bestonden om hier tegenin te gaan, zoals wetshandhaving zonder aanzien des persoons, democratische besluitvorming over waar we als maatschappij heen willen, etc. – door de hoge snelheid van verandering én door de onmogelijkheid van objectieve en vrije (sic) nieuwsgaring, loopt die steeds verder achter de feiten aan.
Wat zal resten, is een minieme elite die de middelen beheerst. Ter eigen (geld)winst, onder het mom van het beste voor iedereen. Iedereen behalve die elite, die hoeft zich nooit aan de regels te houden; zie boven. Voor iedereen anders: Eenieder wordt geacht fysiek én geestelijk zich te voegen naar wat anderen bepalen. Hetgeen wat dat betreft vijf jaar geleden nog een schande, een outrage was toen het in China gebeurde, wordt hier om de dag als nieuwe Europese wetten voorgesteld.
Schneier zal het als Amerikaan niet zo snel letterlijk noemen, maar doorschemeren laat hij het wel: Als het zo doorgaat, rest slechts de opstand, de revolutie van de tot slaaf gemaakten – dat zijn allen behalve de minieme elite; als u dit leest dus inclusief u en ik. Tot zover het boek.

De afdronk zou dan ook kunnen zijn: Ik mis concrete handvatten. Nou ja, wellicht wordt u door lezing uitgedaagd om eens een keertje verder te kijken dan ‘concrete handvatten’, het gaat in het leven niet alleen om afvinkbare regeltjes.
Maar Schneier biedt bovendien dus wel degelijk handvatten om in ieder geval de hackbaarheid te doorzien en in het klein te zorgen voor goede regels: gebruik die dan ook! Denk na over de regeltjes die al te gemakkelijk klakkeloos over te nemen standaarden geven. Waarom staan die regels er; wat zouden ze moeten bereiken en hoe? En dieper: Doe zelf ook eens aan secure coding van control frameworks. Let ook op wie erop achteruit gaat (of niet kan profiteren): dat zijn degenen die gaan hacken, ook al hebben ze geen enkele noodzaak aan ‘nog meer’ – vrijheid en menselijke waardigheid van anderen be damned.
Ook in min of meer reguliere audits valt een hoop winst te halen door in te zien dat de risico-analyses om te bepalen wat wel wél gaan checken en waar we lichter overheen kijken (jawel, nota vaktechniek bene!), best wat scherper kunnen. Durf eens te kijken naar hogere niveaus van control objectives…
Schneier presenteert een en ander op een gemakkelijk leesbare maar feitelijke toon, en alle genoemde hacks en feiten zijn, hem te doen gebruikelijk, prima te checken. En hij veroordeelt niet; geeft hooguit her en der een lichte ecce homo.
Het is al met al een nuttig, lezenswaardig boek. Om de handvatten en om de aanzet tot overpeinzing.

For your viewing pleasure:

[Hot Nancy]

Suddenly, the similarities dawned on me, between latter-day ‘democratic’ governments and the blockchain’s 51%-attack ideas.

• A 51%-attack on a blockchain is that when (not if) one controls 51% (as in: a majority) of the votes needed to ‘certifiy’ a certain transaction on the blockchain, you basically have captured Truth decisions and can change transactions at will, because you will agree with yourself (51% of votes have it) that your alterations are valid.
  If you need more info on how blockchain (voting) works: here.
• A 51% attack on democracy would be where some party/potentate is able to coax a majority of voters, or rather of their representatives, into believing that their well is best served by following the Leader. This will protect the Leader from recourse against the (indicative for all) morally and ethically utterly unjust, fraudulent, unconstitutional and like decisions (in absentio or not), acts and speech acts (including flat-out lying, bullying, threats et al.), and goat trailing through just and equitable law (where they should be the penultimate protectors of that!), since no-one is able to stop him (not her, in general; exceptions apply). All the things a proper government (morale) and constitutional structure should systemically protect against. The ones to stop him, best serve themselves by not protesting; they profit. And they can’t be replaced quickly since that would require them to (majority)vote against themselves and even then. And in due time, the loss of systemic protection will be written into law. Look around the world; through the explosion of near-timefree communications, the bug has spread at record pace, on all continents.

Yes, that is the definition of mob rule. In the former case, at least a true majority (though probably commandeered by a handful) might benefit. In the latter, the voters are ousted of their constitutional powers to correct. I.e., democracy isn’t anymore, dictatorship remains.

Solutions?
Not many. Revolution (in its post-1789 understanding*) is one. But not a structural solution as such, only making room for a possible one – what comes after?
* Since before, it was the natural turn of events over the centuries that were recognised to be the wheel of fortune turning over types of governments as well. Democracy being (one of?) the most decrepid form of organising societies, remember?
And pointing out to the compliant accomplices that their benefits are all too temporal and they’re just pawns, e.g., by pointing to this (title) and explaining that it may not be their children but they themselves at whim’s notice, but these are too stupid (no less derogatory word needed) to understand.

It’s more the inherent flaw of democracy, as decried by all men (sic) of mind that considered it, throughout (the ages of) humanity. We’re back at ☐ one. When even the most thoughtful spirits of mankind haven’t been able to solve this, what can we do?
Apart from studying Bruce’s latest (at time of this writing), at least. Book review of this, here above (in Dutch).
And what solutions do blockchain thinkers have against 51%-attacks? We might learn.