FLOH

adviseert verdediging te baseren op procesontwerp

“verdediging begint bij het ontwerp van je proces rond geld, data en toegang, en niet bij scherpere medewerkers of duurdere software”

adviseert vertraging bij herstelverzoeken

“Het eerste is vertraging: een herstelverzoek wordt nooit afgerond in hetzelfde gesprek waarin het is aangevraagd.”

stelt dat het herstelkanaal de hoofdingang voor aanvallers is

“Mijn stelling is dat die achterdeur inmiddels de hoofdingang is.”

adviseertmaatregelentegen risicovanthird-party_scripts

“Vier maatregelen beperken dat risico.”

stelt de vraag of bedrijven binnen een week kunnen aantonen welk model waar in hun stack draait

“De vraag die daaruit volgt [...] gaat over of je binnen een week kunt laten zien welk model waar in je stack draait”

adviseert bedrijven om het onderscheid tussen verschillende gebruiksstatistieken te maken bij de planning

“Wie de groei van OpenAI als graadmeter gebruikt voor de eigen planning, doet er goed aan die twee uit elkaar te houden.”

stelt dat ontwerpen op misbruik een keuze is ontwerpen op misbruik

“Ontwerpen op misbruik blijft een keuze die je zelf maakt”

stelt dat risico contractlijn niet meer volgt risico

“Risico volgt de contractlijn allang niet meer”

stelt vast dat er een gat is tussen ambitie en financiering voor AI-gigafabriek

“Wat deze aanbesteding vooral zichtbaar maakt, is de afstand tussen de Europese ambitie en het geld dat er nu ligt.”

beoordeelt effectiviteit van bewustwordingstraining

“Bewustwordingstraining is een controle op precies één aanvalspad: het pad waarop een mens iets gevraagd wordt.”

adviseert operationele benadering

“Dat maakt de vraag welke modellen onder je product liggen... een operationele vraag in plaats van een juridische.”

vindt wachtwoordmanager beste antwoord wachtwoordprobleem

“Een wachtwoordmanager blijft het beste antwoord op het wachtwoordprobleem.”

stelt dat een wachtwoordmanager risico concentreert wachtwoordmanager

“Mijn stelling is dat een wachtwoordmanager je risico niet oplost maar concentreert.”

adviseert te vergelijken op kosten per taak

“Daarmee wordt het advies om modellen te vergelijken op kosten per taak in plaats van per token harder dan het was.”

adviseert focus op verificatieprocedure na drie maanden

“Vanaf ongeveer maand drie verschuift de waarde naar iets veel saaiers: je verificatieprocedure.”

adviseert dat benchmarkcijfers afhankelijk zijn van de configuratie en dat de kleine lettertjes belangrijker zijn dan de score Benchmarkscores

“De ranglijsten die volgen gaan daarmee net zo goed over configuratie als over modellen, en de kleine lettertjes bij een score worden belangrijker dan de score zelf.”

stelt de open-modelrace gaat over efficiëntie, niet over omvang

“De open-modelrace gaat over efficiëntie, niet over omvang”

stelt dat de vraag na elk lek in een basismodel is welke productiemodellen die zwakte erven

“De vraag die na elk lek in een basismodel als eerste komt, luidt welke productiemodellen die zwakte erven en hoe je dat weet.”

stelt dat de verdediging tegen AI-aanvallen zit in instellingen, niet in het herkennen van de aanvaller

“Voor wie n8n, Langflow of een vergelijkbare automatiseringsstack zelf host, zit de verdediging niet in het herkennen van de aanvaller, maar in de instelling die er al stond voordat hij langskwam.”

vraagt of je kunt zien welk model op welke data draait

“De interessante vraag is of je kunt zien welk model op welke data draait, of je het kunt uitzetten, en wat het bovenop je licentie kost.”

stelt dat het persbericht voorzichtiger is dan de kop

“Het persbericht is voorzichtiger geformuleerd dan de kop doet vermoeden.”

adviseert versies vastpinnen tot op de hash, code-uitvoering bij installatie uitzetten, en een minimale pakketleeftijd van zeven dagen aanhouden

“versies vastpinnen tot op de hash, code-uitvoering bij installatie uitzetten, en een minimale pakketleeftijd van zeven dagen aanhouden”

adviseert vast kanaal voor IT-contact afspreken

“Spreek een vast, herkenbaar kanaal af waarlangs IT contact opneemt”

adviseert externe toegang in Teams beperken tot vertrouwde domeinen

“In het Teams-beheercentrum kun je externe toegang beperken tot een lijst met vertrouwde domeinen”

adviseert agenten een eigen account geven

“geef de agenten die nu draaien een eigen account”

adviseert dat bedrijven naast de GPU-prijs ook de softwarelaag moeten overwegen bij het kiezen van een AI-cloud

“Wat een GPU-uur kost is nog maar de helft van het antwoord. De andere helft is welke laag er standaard bij zit, en hoeveel werk het is om alleen die laag weer te vervangen.”

waarschuwt dat samenvoegen van gegevens het kenmerk van phishing verwijdert

“Wie ze samenvoegt, haalt precies het kenmerk weg waaraan je medewerkers een phishingmail nu nog herkennen.”

stelt de modellaag wordt inwisselbaar

“de modellaag wordt inwisselbaar”

adviseert bedrijven om de scheiding vooraf in te bouwen

“Wie zijn AI-codeerstack wil kunnen missen, bouwt die scheiding vooraf in, en niet in de maand dat de promotiecredits aflopen”

concludeert dat de prijs van rekenkracht wordt gezet door partijen die haar liever zelf gebruiken

“De les uit deze kwartaalcijfers is niet dat er geen capaciteit te koop is, maar dat de prijs wordt gezet door partijen die haar liever zelf gebruiken.”

adviseert om migratie te doen op bestaande standaarden en niet te wachten

“Dat pleit ervoor de migratie te doen op wat er nu ligt ... in plaats van te wachten op iets beters”

stelt dat de vraag bij een AI-contract niet welk model deze maand het beste is, maar hoe makkelijk je eraf komt

“Daarmee verschuift de vraag die bij een AI-contract echt telt. Niet welk model deze maand het beste is, maar hoe makkelijk je eraf komt”

adviseert dat bedrijven moeten nadenken over beveiliging van hun installaties, wie firmware kan veranderen, cloudverbinding, en wat werkt als uitgeschakeld

“Voor een bedrijf met een eigen zonnedak, een batterij of een magazijn vol rijdende robots is de bruikbare vraag daarom niet of Nederland dit gaat kopiëren. De vraag is wat er in je eigen installatie g”

adviseert dat bedrijven het patchtempo van Microsoft moeten meewegen bij aankoop

“Wie op Microsoft-software draait, koopt vanaf nu niet alleen functionaliteit in, maar ook het patchtempo van de leverancier.”

stelt dat het niet beantwoorden van de vraag wie het merkt als de automatisering stopt leidt tot dure automatisering met doorgeschoven rekening

“Beantwoord je die tweede vraag niet, dan heb je geen goedkope automatisering gekocht. Je hebt een dure gekocht en de rekening doorgeschoven naar de maandafsluiting.”

stelt dat automatisering niet als een bouwproject maar als een abonnement moet worden begroot

“Je begroot automatisering als een bouwproject, maar het is een abonnement”

stelt dat een flow met veel eigen logica en drie externe koppelingen bruto het mooist scoort maar netto het slechtst vanwege afhankelijkheid van drie kalenders

“Die met veel eigen logica en drie externe koppelingen scoort bruto het mooist en netto het slechtst, want hij hangt aan drie kalenders tegelijk”

stelt dat in de beslisfase de flow met de hoogste nettowaarde over drie jaar moet winnen, niet die met de hoogste brutobesparing

“Tussen twee kandidaat-flows wint niet degene met de hoogste brutobesparing, maar degene met de hoogste nettowaarde over drie jaar”

stelt dat de vraag bij een offerte moet zijn wat het kost om de automatisering vijf jaar te laten draaien, niet alleen de bouwkosten

“De vraag bij een offerte is daarom niet wat het kost om dit te bouwen. De vraag is wat het kost om dit vijf jaar te laten draaien”

stelt dat automatisering geen eenmalige aankoop is maar een abonnement op releasekalenders van gekoppelde partijen

“Wie een automatisering laat bouwen, koopt geen machine die af is. Je neemt een abonnement op de releasekalender van iedereen aan wie je hem hebt geknoopt”

stelt dat een melding zonder afgesproken reactietijd niet meer is dan een archief van ongelezen dingen

“een melding zonder afgesproken reactietijd is niet meer dan een archief van dingen die niemand las.”

beveelt aan dat een offerte voor automatisering een onderhoudsregel met bedrag, een detectie-afspraak met tijd en een eigenaar per flow moet bevatten

“Laat je een automatisering bouwen, of bouw je hem zelf, dan horen er naast de bouwsom drie dingen op papier te staan.”

stelt dat een offerte zonder onderhoudsregel niet goedkoper maar onvolledig is

“Een offerte zonder die regel is geen goedkopere offerte, het is een onvolledige.”

raadt aan voor de meeste bedrijven een no-code-platform te gebruiken in plaats van zelf een connector te schrijven

“ik vrijwel nooit iemand aanraad om zelf een Shopify-connector te schrijven.”

stelt dat de bedrijfslogica in een flow niet wordt onderhouden door het no-code-platform en kwetsbaar is voor API-updates

“Die kant onderhoudt niemand. En een connector-update die keurig werkt volgens de nieuwe API kan jouw aanname stukmaken.”

stelt dat een no-code-platform zoals Zapier, Make of n8n de onderhoudslast van connectoren afkoopt

“Het sterkste tegenargument tegen dit hele stuk is dat je die last allang hebt afgekocht.”

stelt dat de onderhoudslast van automatiseringen vaak wordt onderschat in de terugverdiensom

“Vervang in de terugverdiensom de bespaarde uren door nettobespaarde uren, dus bespaard min onderhoud.”

stelt een no-code-platform is geen bouwkost maar een abonnement

“Een no-code-platform is geen bouwkost maar een abonnement”

stelt vuistregel reken per draaiende koppeling op vier tot zestien uur per jaar

“reken per draaiende koppeling op vier tot zestien uur per jaar”

merkt op dat twintig jaar later software vaker per maand dan per project wordt gekocht, en de verhouding niet gunstiger is geworden

“Twintig jaar later koop je software vaker per maand dan per project, en is die verhouding er niet gunstiger op geworden.”

stelt dat de gangbare afweging voor automatisering een eenmalig bedrag tegenover een maandelijkse besparing zet, terwijl er aan de kostenkant ook iets maandelijks staat

“Hij zet een eenmalig bedrag tegenover een maandelijkse besparing, terwijl er aan de kostenkant ook iets maandelijks staat.”

stelt dat detectietijd de enige knop is om kosten van een stille breuk te verlagen detectietijd

“Detectietijd is daarmee de enige knop waarmee je de kosten van een stille breuk echt indrukt”

stelt dat een gemiste vervaldatum leidt tot een stille breuk zonder foutmelding stille breuk

“Een stille breuk geeft geen foutmelding, hij geeft een leegte”

stelt dat terugverdiensommen die alleen eenmalige bouwkosten meenemen te gunstig uitkomen

“Elke terugverdiensom die alleen de eenmalige bouwkosten afzet tegen de bespaarde uren laat de grootste kostenpost buiten beeld”

stelt dat een draaiende automatisering een doorlopende verplichting is, geen afgeronde investering

“Een draaiende automatisering is geen afgeronde investering maar een doorlopende verplichting”

stelt dat automatiseringsbegrotingen missen de doorlopende verplichting

“Wat er niet in staat, is dat je vanaf die opleverdatum een verplichting hebt die elk jaar terugkomt”

adviseert een vaste controlestap op AI-output voordat die de deur uitgaat

“het antwoord ligt in een vaste controlestap op AI-output voordat die de deur uitgaat”

stelt dat hallucinaties geen incidentele bug zijn maar een structureel bedrijfsrisico

“hallucinaties geen incidentele bug zijn maar een structureel bedrijfsrisico”

adviseert om twee voetnoten aan te klikken voordat een rapport onder een investeringsbeslissing gaat

“Twee voetnoten aanklikken voordat een rapport onder een investeringsbeslissing gaat, is geen wantrouwen meer maar de goedkoopste controle die er is.”

stelt dat de waarde van een bronnenlijst is veranderd hij bewijst niets meer en nodigt uit tot steekproef

“hij bewijst niets meer, hij nodigt uit tot steekproef”

oordeelt verhulling van herkomst is de echte diskwalificatie

“de echte diskwalificatie in deze casus is niet Rusland. Het is de verhulling”

adviseert vraag te stellen wie de partij kan dwingen en hoe snel eruit

“Zet er dus één regel bij, en alleen voor de software die de sleutels bewaart: wie kan deze partij dwingen, en hoe snel ben ik eruit als het antwoord verandert”

stelt bij beveiligingssoftware koopt men een jurisdictie

“bij beveiligingssoftware koop je geen functie, je koopt een jurisdictie”

stelt dat de enige systemische controle op ontvanger bij bulkbetalingen een los product is dat structureel uitvalt

“De enige systemische controle op de ontvanger is bij zakelijke bulkbetalingen een los product, in een los scherm, met een aparte autorisatie”

stelt dat automatisering van crediteurenverwerking geen fraudeweerstand biedt

“automatisering lost het overtypen op en levert uit zichzelf nul fraudeweerstand op ten opzichte van de handmatige situatie”

stelt uitgelekte sleutel is toegangsweg voor incidenten

“Een uitgelekte sleutel in een oude repository, bucket of demo-omgeving is dan geen theoretisch hygiënepunt meer, maar de toegangsweg waarlangs je in het incident van een ander terechtkomt”

concludeert dat de achterstand verplaatst zich van detectie naar herstel

“De achterstand verplaatst zich van detectie naar herstel, en dat is precies de kant waar de meeste organisaties het minst op zijn ingericht.”

concludeert dat offboarding is ontworpen voor een wereld waarin mensen de enige sleutelhouders waren

“Offboarding is ontworpen voor een wereld waarin mensen de enige sleutelhouders waren.”

adviseert dat elke koppeling, token of gedeeld account een einddatum moet hebben bij aanmaak

“geen koppeling, token of gedeeld account zonder een naam en een einddatum, ingevuld op het moment dat je het aanmaakt”

stelt dat wie toegang uitgeeft, eigenaar is van het intrekmoment

“Mijn stelling is dit: wie toegang uitgeeft, is ook eigenaar van het moment waarop die toegang weer weggaat.”

adviseert bedrijven om beter naar contracten te kijken dan naar interviews bij het kiezen van AI-modellen

“Wie op deze modellen bouwt, kan dus beter naar de contracten kijken dan naar de interviews.”

stelt dat het open-versus-gesloten-debat gaat over regels, niet over licenties

“Het open-versus-gesloten-debat gaat allang niet meer over licentievoorwaarden. Het gaat over wie de regels schrijft”

stelt dat wie zijn processen aan één specifieke modelversie vastknoopt, koopt daarmee niet alleen een technische afhankelijkheid maar ook een politieke

“Wie zijn processen aan één specifieke modelversie vastknoopt, koopt daarmee niet alleen een technische afhankelijkheid maar ook een politieke”

stelt dat nu de chief scientists van de vier grootste labs en de ceo van Anthropic de verklaring ondertekenen, vertraging een serieuze uitkomst wordt in plaats van een randscenario

“Nu de chief scientists van de vier grootste labs en de ceo van Anthropic er zelf hun naam onder zetten, wordt vertraging een serieuze uitkomst in plaats van een randscenario”

stelt dat beschikbaarheid van open Chinese modellen en leverbaarheid van hardware geen technische eigenschap meer is maar een dossier met uitkomst op 1 augustus

“voor wie een open Chinees model in productie heeft of aan de chipketen levert, is de beschikbaarheid van dat model en de leverbaarheid van die hardware geen technische eigenschap meer. Het is een doss”

stelt dat de mens nu de flessenhals is

“De mens is nu de flessenhals”

stelt dat een implementatiefout patch je, een fout in het cijfer niet

“Een lek patch je, een cijfer niet”

stelt dat crypto-agiliteit de enige maatregel is die op beide niveaus werkt

“Daarmee is crypto-agiliteit de enige maatregel die op beide niveaus werkt”

stelt dat veiligste kopie van paspoort is nooit gemaakte kopie

“De veiligste kopie van een paspoort blijft de kopie die nooit is gemaakt”

stelt dat datalek omvang = aantal velden aantal mensen bewaartijd

“De omvang ervan is een som: het aantal velden, keer het aantal mensen, keer het aantal jaren dat je die velden bewaart”