Antifragility: gecontroleerd falen
Een vliegtuig mag falen. Maar nooit ongecontroleerd. In die twee zinnen zit eigenlijk alles besloten wat we in het digitale domein nog aan het leren zijn. Ik kom uit de aerospace. Daar is falen geen theoretische mogelijkheid, maar een ontwerpparameter. Hydrauliek kan uitvallen. Sensoren kunnen verkeerde waarden geven. Een motor kan in brand raken. De vraag is nooit of een systeem perfect is. De vraag is wat er gebeurt als het dat niet meer is. Een vliegtuig dat alleen veilig is zolang alles werkt, is per definitie onveilig.
Dat is antifragility in technische vorm. Het begrip werd populair gemaakt door Nassim Nicholas Taleb in zijn boek Antifragile. Hij beschrijft systemen die niet alleen bestand zijn tegen schokken, maar sterker worden van volatiliteit en stress. In de luchtvaart is dat geen filosofische exercitie, maar dagelijkse realiteit. Elk incident, elk bijna-incident, elke afwijking wordt geanalyseerd. Niet om schuldigen aan te wijzen, maar om het systeem veiliger te maken.
Luchtwaardigheid is ingebouwde antifragility
Luchtwaardigheid betekent dat een toestel alleen mag vliegen als het aantoonbaar veilig is. Niet ‘waarschijnlijk veilig’, maar aantoonbaar veilig. Wereldwijde luchtvaartautoriteiten hebben dat vertaald in een fijnmazig systeem van eisen, inspecties en certificeringen. Redundantie is verplicht. Single points of failure zijn onacceptabel. Gecontroleerde degradatie is onderdeel van het ontwerp. Als systeem A uitvalt, neemt systeem B het over. Als meerdere systemen falen, volgt een procedure. Als onzekerheid te groot is, blijft het toestel aan de grond. Grounded. Dat woord zouden we vaker moeten gebruiken in digitale omgevingen.
In de IT-wereld zie ik te vaak het tegenovergestelde. Systemen gaan “weer live” terwijl de oorzaak van een incident nog niet volledig begrepen is. Back-ups blijken niet getest. Logs ontbreken of zijn onvolledig. Ketenafhankelijkheden zijn diffuus. Maar we willen weer door. Beschikbaarheid is immers heilig. Beschikbaarheid zonder aantoonbare integriteit is echter geen kracht, maar een risico.
De digitale dreiging neemt toe. AI maakt aanvallen adaptief. Identiteiten worden gekaapt met een geloofwaardigheid die nauwelijks van echt te onderscheiden is. Ketens maken ons flexibel, maar ook afhankelijk van partijen die we niet volledig controleren. Met de komst van de Europese NIS2 Directive verschuift cybersecurity bovendien van technische zorg naar bestuurlijke verantwoordelijkheid. Toch blijft de reflex vaak defensief: hoe houden we indringers buiten? Dat is de verkeerde vraag. De juiste vraag is: wat gebeurt er als ze binnen zijn? Wat gebeurt er dan en wat doen we dan!
Gecontroleerd falen
In de luchtvaart is die vraag allang beantwoord. Een vliegtuig is ontworpen met het besef dat er onderweg iets misgaat. Daarom zijn er meerdere hydraulische circuits. Daarom zijn er dubbele en driedubbele systemen. Daarom worden piloten getraind op scenario’s die ze hopelijk nooit meemaken. Daarom bestaan checklists voor het moment dat de druk wegvalt of de motor stilvalt. Het toestel mag falen, maar nooit ongecontroleerd. Voor vrijwel elk faalscenario is vooraf een respons bedacht. Digitale antifragility begint precies daar. Niet bij het idee van perfecte beveiliging, maar bij het ontwerp van gecontroleerde degradatie.
Wat is het minimale functionele niveau waarop een organisatie veilig kan blijven opereren? Welke kernprocessen moeten absoluut blijven draaien? Welke data is kritisch? Welke identiteiten zijn cruciaal? En belangrijker: kunnen we terugschakelen naar dat veilige niveau als het nodig is? Dat is digitale luchtwaardigheid. Niet als certificaat aan de muur, maar als bestuursfilosofie. Een periodieke “airworthiness review” van de eigen digitale infrastructuur. Zijn er single points of failure? Is er redundantie in kritieke systemen? Kunnen we autonoom herstellen, of zijn we volledig afhankelijk van een leverancier? Wat gebeurt er als een identity provider uitvalt? Wat gebeurt er als een cloudomgeving niet beschikbaar is? Ik heb bij klanten veel ‘What if....‘ sessies mogen leiden, die altijd tot enorm veel lering leidden door onbekende of onbedachte afhankelijkheden of gevolgen.
Digitale soevereiniteit
Soevereiniteit krijgt hier een praktische betekenis. Niet als geopolitiek statement, maar als operationele zelfredzaamheid. Kunnen we veilig landen zonder hulp van buiten? In aerospace is er nog een ander element dat essentieel is voor antifragility: de flight recorder. De zwarte doos die alles vastlegt. Gesprekken in de cockpit. Technische parameters. Tijdlijnen tot op de seconde nauwkeurig. Na een crash — hoe tragisch ook — volgt een diepgravend onderzoek. Het doel is niet vergelding, maar begrip. Wat gebeurde er werkelijk? Welke aannames klopten niet? Welke procedures faalden? Welke ontwerpkeuzes moeten worden aangepast?
Het wrange is dat de luchtvaart veiliger wordt door crashes. Dat is geen troost voor verloren levens, maar wel een systeemkeuze: we leren structureel. We documenteren. We delen bevindingen. We passen standaarden aan. Wat vandaag een tragedie is, mag morgen niet opnieuw gebeuren. In digitale omgevingen ontbreekt die volwassenheid nog te vaak. Incidenten worden geminimaliseerd. Reputatieschade weegt zwaarder dan transparantie. ‘Root cause analyses’ blijven intern en oppervlakkig. Logs worden niet lang genoeg bewaard om werkelijk te reconstrueren wat er gebeurde.
Ieder zijn digitale flight recorder
Een antifragiele digitale organisatie heeft haar eigen flight recorder. Logging en monitoring zijn niet optioneel, maar fundamenteel. Post-incident reviews zijn standaard. Lessons learned leiden tot architectuuraanpassingen, niet tot tijdelijke pleisters. En soms betekent het: we blijven grounded. Dat is misschien wel de moeilijkste les. In aerospace is het ondenkbaar dat een toestel opnieuw opstijgt zonder inspectie na een incident. In het digitale domein zetten we systemen online omdat de business door moet. Begrijpelijk, maar gevaarlijk.
Antifragility vraagt om bestuurlijke discipline. De moed om tijdelijke beschikbaarheid op te offeren voor structurele veiligheid. De bereidheid om afhankelijkheden zichtbaar te maken. De volwassenheid om te accepteren dat incidenten onvermijdelijk zijn — en dat juist daar de kans ligt om sterker te worden. Dat raakt ook aan cultuur. In de luchtvaart is het melden van bijna-incidenten geen zwakte, maar professionaliteit. Transparantie redt levens. Een piloot die een afwijking rapporteert, beschermt zijn collega’s. Een engineer die een fout documenteert, verhoogt de standaard.
Gecontroleerd durven falen, is oefenen
Digitale organisaties kunnen die cultuur overnemen. Niet zoeken naar schuldigen, maar naar oorzaken. Niet alleen investeren in preventie, maar in herstelcapaciteit. Niet streven naar het onmogelijke — absolute veiligheid — maar naar gecontroleerde beheersing van falen. Een vliegtuig dat veilig kan landen met één motor minder, is sterker dan een toestel dat alleen onder ideale omstandigheden kan vliegen. Een organisatie die kan blijven functioneren onder digitale verstoring, is sterker dan een organisatie die alleen floreert zolang alles meezit.
Antifragility is geen hype. Het is luchtwaardigheid voor het digitale tijdperk. De vraag is niet of systemen falen. De vraag is of wij hebben ontworpen voor het moment dat ze dat doen. En dat we dan genoeg geoefend hebben om te weten hoe we het beste kunnen – of moeten – reageren! Dat is werkelijke digitale luchtwaardigheid...
Door: Hans Timmerman (foto)
