Wat de Abilene paradox me leert over de nodige aandacht voor cybersecurity...

Het is het lot wat uitdagen door terug te kijken op de corona-periode op een moment dat het aantal besmettingen toch weer sterkt toeneemt. Ik stelde afgelopen week in de Barn festivalkathedraal van Werchter vast, dat de aanwezigen niet echt nog wakker lagen van een 7de golf die zich momenteel ontplooit. Het is mij ook niet meer helemaal helder of die nu voorspeld was of niet.  Iets dat duidelijk werd in de pandemieperiode, is dat modellen soms beperkingen hebben in complexe systemen. Moest iedereen zich op dezelfde manier gedragen, is zo'n model zeer betrouwbaar. Niet dus. Artificiële intelligentie brengt dan ook geen soelaas als er nog geen duidelijke patronen herkenbaar zijn. Meer nog, bestaande algoritmes geraakten wat uit de wijs door de drastische wijzigingen in gedrag. AI kan niet goed om met evoluties die niet passen in historische patronen.  

Het draagvlak bij elke nieuwe beslissing smolt weg in het zelfde tempo waarmee de modellen mekaar begonnen tegenspreken.  Coronamaatregelen waren niet bepaald vrij van het NIMBY verschijnsel: we vonden ze allemaal belangrijk zolang ze maar niet te veel impact hadden op onze eigen leefwereld en vrijheid. Spreiding van de last over verschillende schouders lijkt dan nochtans het meest aanvaardbare compromis. Dat is niet noodzakelijk zo, want niet alle schouders zijn even sterk om die last te torsen. De culturele sector kreeg het extra zwaar te verduren doordat ze leeft van een box office businessmodel. Waar we box office nu vooral koppelen met de opbrengst van nieuwe films, dateert de term al uit de 18^de eeuw toen de meer begunstigden in theaters een aparte box konden reserveren. Letterlijk vertaald is het uiteraard het loket waar de tickets verkocht worden. Fysieke loketten lijken evenwel stilaan een anachronisme en dat is geen gevolg van corona. We moeten ook niet alles wat verandert op dat verdomde virus steken.

De maatregelen van de Nationale Veiligheidsraad hadden een sterke impact op de box office, digitaal en fysiek. Ze leken zeker einde vorig jaar ook onredelijk te focussen op één specifieke sector. Zoveel dat de culturele sector in het offensief ging met ongehoorzaamheidsacties en een Brusselse optocht. Redelijk ongezien. Wat me vooral opviel na die veiligheidsraad in december 2021 is dat niemand van de aanwezigen achteraf veel appetijt had om die beslissing te verdedigen. Nu zijn akkoorden per definitie een consensus. Voor de wiskundigen onder ons: hoe meer vergelijkingen (randvoorwaarden) je in een stelsel brengt, hoe minder vrijheidsgraden. Onderhandelingen leiden er vaak toe dat er uiteindelijk geen vrijheidsgraden meer overblijven en dus is het gevolg per definitie een suboptimale oplossing. 

Er bestaat echter ook een meer psychologische verklaring waarom  beslissingen genomen worden die uiteindelijk niemand blij maken. De naam Jerry Harvey zegt je allicht niks. Harvey is professor emeritus aan de George Washington Universiteit. Eigenlijk een management professor zoals er 1000-den op deze aardkloot rondlopen, ware het niet dat hij in 1974 een artikel schreef onder de titel "The Abilene Paradox: The management of Agreement". Hij vertelt daarin het verhaal van een familie die zich op een zondagmiddag ontspant met een spelletje domino. Plots stelt de vader voor om te gaan dineren in Abilene, een dorpje dat een 80 km noordelijker ligt. De dochter denkt: 'moet dat nu echt?' Ze wil haar vader echter een plezier doen en zegt dus: 'lijkt me een goed idee'. Haar echtgenoot denkt: 'zo ver rijden voor een diner?". Hij vreest voor een afwijkende mening en zegt: 'interessant idee, als je moeder het tenminste ook ziet zitten.' Die denkt: 'ik mis zo wel een aflevering van mijn geliefkoosde serie'. Ze wil de sfeer niet verbrodden en  knikt bevestigend. 

Een halve dag later komen ze uitgeput en een slechte ervaring rijker (het eten in Abilene was abominabel) terug thuis. De dochter zegt zonder veel overtuiging: 'Toch een leuke uitstap, niet?' De moeder zegt dat ze eigenlijk liever was thuisgebleven, maar meeging omdat de andere drie zo enthousiast waren.' Waarop haar dochter en partner zeggen dat ze meegingen om hun (schoon)vader een plezier te doen. Tot slot geeft de (schoon)vader zelf aan dat hij helemaal geen liefhebber is van Abilene. Hij stelde het voor omdat hij dacht daarmee de anderen een plezier te doen.  De Abilene paradox was geboren: groepen nemen soms beslissingen waar geen enkel lid zich goed bij voelt.

We vervangen de familie nu door een management team dat moet beslissen om al dan niet te investeren in cybersecurity. De zaakvoerder stelt dat hij het gevoel heeft dat dit investeringsproject voor de firma weinig relevant is. “Zo’n kleine kmo als de onze is toch geen interessant doel voor cybercriminelen.” De IT manager denkt even aan de problemen die een mogelijke hack kunnen veroorzaken in de productie, maar wil zich niet te kwetsbaar opstellen. “Het zal wel loslopen. Onze IT systemen zijn up-to-date.”  De CFO beseft dat een mogelijke hack de financiële stabiliteit van het bedrijf in gevaar kan brengen. Het standpunt van CEO en IT manager weerhoudt haar echter om dit als argument in te roepen. “We kunnen die middelen beter benutten om de ontwikkeling van dat nieuwe product te versnellen.”  Er wordt beslist om niet te investeren. 2 jaar later is het bedrijf 1 maand uit productie door een hack.

Groepsdenken is zowel bij GO als NO GO beslissingen nooit uit te sluiten. Zeker bij innovatieprojecten verhoogt de grote onzekerheid en dus de rol van intuïtie bij het nemen van de beslissing,  de kans op groepsdenken. De beste manier om groepsdenken tegen te gaan is kwetsbaarheid tonen door twijfel uit te spreken. Nu bieden niet alle omgevingen een veilige zone om kwetsbaarheid een plaats te geven. Onderhandelingen waar elke zet en tegenzet publiek gedeeld worden zijn niet bepaald legio.  Het klinkt op het eerste gezicht paradoxaal, maar bij het nemen van zo'n belangrijke beslissingen, is creativiteit een goede 'zandzak' tegen het binnensijpelen van de Abilene paradox. Een paar jaar terug sprak ik iemand die bij dergelijke beslissingen consequent de 6 denkhoeden van  De Bono toepaste. Het leek me op het eerste gezicht een techniek die voorbehouden is voor omgevingen waar vergaderingen een creatief verkleedfeest zijn. Toch niet. De techniek geeft immers in essentie een sterk kader om beslissingen bewust vanuit verschillende (feiten, intuïtie, pessimisme, optimisme, creativiteit, afstandelijk) invalshoeken te analyseren. Iedereen kan in principe elke rol op zich nemen, ook rollen die hem iets minder liggen. Rol en persoon worden zo losgekoppeld, waardoor beslissingen beter onderbouwd worden genomen. Het verkleint in elk geval de kans dat vooroordelen het beslissingsproces te sterk beïnvloeden. 

Als je niet in de Abilene paradox val trapt, komt je als management team mogelijk tot de conclusie dat aandacht voor investeringen in cybersecurity toch je aandacht en ook wat middelen vraagt. Op 13 september kan je je kennis over het belang en toepassingen van cybersecurity bijspijkeren op dit gratis event  in Mechelen aangeboden door VLAIO en partners. Weet ook dat VLAIO je ondersteunt in de stappen naar een meer cyberveilige bedrijfsvoering. Lees hier hoe. Je kan dan met een geruster hart met vakantie vertrekken. Ik wens je dan ook een prettige zomervakantie toe...