Evaluación de la Eficacia del Programa de Red Team

¡Bienvenido! Esta encuesta (aproximadamente 14 minutos) indaga sobre su experiencia con nuestro programa de red team durante los últimos 12 meses. Su participación es voluntaria y puede detenerse en cualquier momento. No hay respuestas correctas o incorrectas: queremos su perspectiva honesta basada en su experiencia directa. Todas las respuestas son confidenciales y se reportarán únicamente de forma agregada para mejorar el programa.

¿Cuál describe mejor su participación principal en los ejercicios de red team en los últimos 12 meses?

• Consumir hallazgos para tomar decisiones
• Implementar correcciones técnicas
• Operaciones defensivas / blue team
• Parte interesada de producto u operaciones
• Cumplimiento / gobernanza
• Patrocinador ejecutivo / de liderazgo
• Otro

¿Aproximadamente en cuántos ejercicios de red team ha participado directamente en los últimos 12 meses?

• 0 (al tanto pero sin participación directa)
• 1–2
• 3–5
• 6–10
• Más de 10

Las siguientes preguntas indagan sobre qué tan bien los ejercicios de red team cubrieron áreas clave en los últimos 12 meses. Si carece de experiencia directa con un área, seleccione el punto medio.

¿Qué tan bien cubrieron los ejercicios de red team la seguridad a nivel de aplicación (web, móvil, APIs)?

¿Qué tan bien cubrieron los ejercicios de red team los entornos de infraestructura y nube?

¿Qué tan bien cubrieron los ejercicios de red team la gestión de identidades y accesos (autenticación/autorización)?

¿Qué tan bien cubrieron los ejercicios de red team los riesgos de terceros y de la cadena de suministro?

¿Qué tan bien cubrieron los ejercicios de red team la ingeniería social y los factores humanos?

¿Qué tan bien cubrieron los ejercicios de red team la seguridad física?

En general, ¿qué tan seguro está de que el red team está actualmente enfocado en nuestras áreas de mayor riesgo?

Clasifique las siguientes áreas según dónde un mayor enfoque del red team reduciría más el riesgo organizacional en los próximos 6 meses (arriba = mayor prioridad).

1. Nivel de aplicación (web, móvil, APIs)
2. Infraestructura y nube
3. Gestión de identidades y accesos
4. Terceros y cadena de suministro
5. Ingeniería social y factores humanos
6. Seguridad física

En su opinión, ¿qué áreas específicas están más subevaluadas en relación con su posible impacto en el negocio? (Seleccione hasta 3)

• Aplicaciones críticas (crown-jewel)
• Gestión de secretos
• Rutas de escalamiento de privilegios
• Rutas de exfiltración de datos
• Factores humanos / ingeniería social
• Integraciones de terceros
• Plano de control de la nube
• Movimiento lateral
• Otro (especifique)

¿Qué frecuencia de reportes prefiere para los resultados y tendencias del red team?

• Después de cada ejercicio
• Resumen trimestral
• Semestral
• Anual
• Solo bajo demanda
• No estoy seguro

Clasifique los siguientes elementos de un informe de red team del más al menos valioso para su trabajo.

1. Resumen ejecutivo con impacto en el negocio
2. Narrativa / cronología del ataque
3. Detalle de evidencia e impacto
4. Pasos de reproducción / prueba de concepto
5. Justificación de explotabilidad / probabilidad
6. Plan de remediación priorizado

Los informes de red team se entregan de manera oportuna en relación con la finalización del ejercicio.

Los informes de red team comunican claramente el impacto en el negocio junto con los hallazgos técnicos.

Las recomendaciones de remediación en los informes de red team son específicas y accionables.

Los informes de red team contienen el nivel adecuado de detalle técnico para mis necesidades.

Los hallazgos en los informes de red team se priorizan eficazmente según la severidad del riesgo.

En general, ¿qué tan valiosos son los hallazgos del red team para su trabajo?

Según su experiencia, ¿con qué rapidez suelen los equipos poder actuar sobre los hallazgos del red team tras la entrega del informe?

¿Qué obstaculiza con mayor frecuencia el seguimiento de los hallazgos del red team? (Seleccione hasta 3)

• Capacidad limitada de ingeniería
• Desacuerdo sobre el riesgo o la severidad
• Propiedad poco clara de los hallazgos
• Brechas en herramientas o visibilidad
• Dependencia de proveedores o terceros
• Prioridades en conflicto
• Restricciones presupuestarias
• Otro (especifique)

Comparta un ejemplo de los últimos 12 meses en el que un hallazgo del red team condujo a una mejora o corrección significativa. Si no se le ocurre ninguno, puede omitir esta pregunta.

¿Cómo calificaría la madurez general de nuestro programa de red team en la actualidad?

Si pudiera cambiar una cosa del programa de red team para el próximo ciclo, ¿cuál sería?

Ha compartido ideas sobre cómo mejorar el programa de red team. ¿Podría detallar qué cambios específicos tendrían el mayor impacto en la postura de seguridad de su equipo?

Con base en sus respuestas en esta encuesta, comparta cualquier pensamiento o sugerencia adicional sobre el programa de red team que no hayamos abordado.

¿Cuál describe mejor su función organizacional principal?

• Ingeniería / Desarrollo
• Seguridad (incluido blue team)
• TI / Infraestructura
• Producto / Operaciones
• Cumplimiento / Riesgo / GRC
• Ejecutivo / Liderazgo
• Otro

¿Cuál es su nivel de rol?

• Colaborador individual
• Gerente
• Gerente sénior
• Director
• VP / Nivel C
• Otro / Prefiero no decirlo

¿Cuánto tiempo lleva en su rol actual en esta organización?

• Menos de 1 año
• 1–2 años
• 3–5 años
• 6–10 años
• Más de 10 años

¿Dónde se ubica principalmente?

• Américas
• EMEA
• APAC
• Prefiero no decirlo

Gracias por su tiempo. Su aporte contribuye directamente a mejorar la cobertura, los reportes y el impacto general del programa de red team.