레드팀 프로그램 효과성 평가

환영합니다! 본 설문(약 14분 소요)은 지난 12개월 동안 저희 레드팀 프로그램에 대한 귀하의 경험을 묻습니다. 참여는 자발적이며 언제든지 중단하실 수 있습니다. 정답이나 오답은 없으며, 저희는 직접적인 경험에 기반한 귀하의 솔직한 관점을 원합니다. 모든 응답은 기밀로 유지되며 프로그램 개선을 위해 집계된 형태로만 보고됩니다.

지난 12개월 동안 레드팀 훈련에 대한 귀하의 주된 관여를 가장 잘 설명하는 것은 무엇입니까?

• 의사 결정을 위해 결과를 활용함
• 기술적 수정 사항을 구현함
• 방어 운영 / 블루팀
• 제품 또는 운영 이해관계자
• 컴플라이언스 / 거버넌스
• 임원 / 리더십 스폰서
• 기타

다음 질문들은 지난 12개월 동안 레드팀 훈련이 주요 영역을 얼마나 잘 다루었는지에 관한 것입니다. 특정 영역에 대한 직접적인 경험이 없으시면 중간값을 선택해 주십시오.

레드팀 결과 및 동향에 대해 선호하는 보고 주기는 무엇입니까?

• 각 훈련 후
• 분기별 종합 보고
• 반기별
• 연간
• 요청 시에만
• 잘 모르겠음

귀하의 경험상, 보고서가 전달된 후 팀들이 일반적으로 얼마나 신속하게 레드팀 결과에 따라 조치를 취할 수 있습니까?

현재 저희 레드팀 프로그램의 전반적인 성숙도를 어떻게 평가하시겠습니까?

본 설문에서의 응답을 바탕으로, 저희가 다루지 않은 레드팀 프로그램에 관한 추가 의견이나 제안이 있으시면 공유해 주십시오.

귀하의 주된 조직 기능을 가장 잘 설명하는 것은 무엇입니까?

• 엔지니어링 / 개발
• 보안 (블루팀 포함)
• IT / 인프라
• 제품 / 운영
• 컴플라이언스 / 리스크 / GRC
• 임원 / 리더십
• 기타

시간을 내주셔서 감사합니다. 귀하의 의견은 저희가 레드팀 커버리지, 보고, 그리고 전반적인 프로그램 영향력을 개선하는 방식에 직접 반영됩니다.

지난 12개월 동안 직접 참여한 레드팀 훈련은 대략 몇 회입니까?

• 0회 (인지하고 있으나 직접 참여하지 않음)
• 1~2회
• 3~5회
• 6~10회
• 10회 초과

레드팀 훈련이 애플리케이션 계층 보안(웹, 모바일, API)을 얼마나 잘 다루었습니까?

다음 레드팀 보고서 요소들을 귀하의 업무에 가장 가치 있는 것부터 가장 가치가 적은 것 순으로 순위를 매겨 주십시오.

1. 비즈니스 영향이 포함된 경영진 요약
2. 공격 서사 / 타임라인
3. 증거 및 영향 세부 사항
4. 재현 단계 / 개념 증명
5. 악용 가능성 / 발생 가능성 근거
6. 우선순위가 매겨진 개선 계획

레드팀 결과에 대한 이행을 가장 흔히 저해하는 것은 무엇입니까? (최대 3개 선택)

• 제한된 엔지니어링 인력
• 리스크 또는 심각도에 대한 이견
• 결과의 담당자가 불분명함
• 도구 또는 가시성의 공백
• 벤더 또는 서드파티 의존성
• 경합하는 우선순위
• 예산 제약
• 기타 (구체적으로 기재해 주십시오)

다음 주기를 위해 레드팀 프로그램에서 딱 한 가지를 바꿀 수 있다면, 그것은 무엇이겠습니까?

귀하의 직급은 어떻게 되십니까?

• 실무 담당자
• 매니저
• 선임 매니저
• 디렉터
• VP / C레벨
• 기타 / 답변하고 싶지 않음

레드팀 훈련이 인프라 및 클라우드 환경을 얼마나 잘 다루었습니까?

레드팀 보고서는 훈련 완료 대비 적시에 전달된다.

지난 12개월 동안 레드팀 결과가 의미 있는 개선이나 수정으로 이어진 사례를 하나 공유해 주십시오. 떠오르는 것이 없으시면 이 질문을 건너뛰셔도 됩니다.

귀하는 레드팀 프로그램 개선에 대한 생각을 공유해 주셨습니다. 어떤 구체적인 변화가 귀하 팀의 보안 태세에 가장 큰 영향을 미칠지 자세히 설명해 주시겠습니까?

이 조직에서 현재 직무를 수행해 온 기간은 얼마나 됩니까?

• 1년 미만
• 1~2년
• 3~5년
• 6~10년
• 10년 초과

레드팀 훈련이 자격 증명 및 접근 관리(인증/인가)를 얼마나 잘 다루었습니까?

레드팀 보고서는 기술적 결과와 함께 비즈니스 영향을 명확하게 전달한다.

귀하는 주로 어디에 위치해 계십니까?

• 아메리카
• EMEA
• APAC
• 답변하고 싶지 않음

레드팀 훈련이 서드파티 및 공급망 리스크를 얼마나 잘 다루었습니까?

레드팀 보고서의 개선 권고 사항은 구체적이고 실행 가능하다.

레드팀 훈련이 사회공학 및 인적 요인을 얼마나 잘 다루었습니까?

레드팀 보고서는 내 필요에 맞는 적절한 수준의 기술적 세부 사항을 담고 있다.

레드팀 훈련이 물리적 보안을 얼마나 잘 다루었습니까?

레드팀 보고서의 결과는 리스크 심각도에 따라 효과적으로 우선순위가 매겨진다.

전반적으로, 레드팀이 현재 우리의 최고 위험 영역에 집중하고 있다고 얼마나 확신하십니까?

전반적으로, 레드팀 결과가 귀하의 업무에 얼마나 가치 있습니까?

다음 영역들을, 향후 6개월 동안 추가적인 레드팀 집중이 조직의 리스크를 가장 크게 줄일 수 있는 곳 순으로 순위를 매겨 주십시오(맨 위 = 최우선순위).

1. 애플리케이션 계층 (웹, 모바일, API)
2. 인프라 및 클라우드
3. 자격 증명 및 접근 관리
4. 서드파티 및 공급망
5. 사회공학 및 인적 요인
6. 물리적 보안

귀하가 보시기에, 잠재적 비즈니스 영향 대비 가장 테스트가 부족한 특정 영역은 무엇입니까? (최대 3개 선택)

• 핵심 자산 애플리케이션
• 비밀 정보 관리
• 권한 상승 경로
• 데이터 유출 경로
• 인적 요인 / 사회공학
• 서드파티 통합
• 클라우드 제어 평면
• 측면 이동
• 기타 (구체적으로 기재해 주십시오)