Avaliação da Eficácia do Programa de Red Team

Bem-vindo(a)! Esta pesquisa (aproximadamente 14 minutos) trata de sua experiência com o nosso programa de red team nos últimos 12 meses. Sua participação é voluntária, e você pode parar a qualquer momento. Não há respostas certas ou erradas—queremos sua perspectiva honesta com base em experiência direta. Todas as respostas são confidenciais e serão relatadas apenas de forma agregada para melhorar o programa.

Qual das opções melhor descreve seu envolvimento principal com os exercícios de red team nos últimos 12 meses?

• Utilizo os achados para tomar decisões
• Implemento correções técnicas
• Operações defensivas / blue team
• Parte interessada de produto ou operações
• Compliance / governança
• Patrocinador executivo / de liderança
• Outro

As perguntas a seguir avaliam o quão bem os exercícios de red team cobriram áreas-chave nos últimos 12 meses. Se você não tiver experiência direta com uma área, selecione o ponto médio.

Qual periodicidade de relatório você prefere para os resultados e tendências do red team?

• Após cada exercício
• Consolidação trimestral
• Semestral
• Anual
• Somente sob demanda
• Não tenho certeza

Em sua experiência, com que rapidez as equipes costumam conseguir agir sobre os achados do red team após a entrega do relatório?

Como você avaliaria a maturidade geral do nosso programa de red team atualmente?

Com base em suas respostas nesta pesquisa, compartilhe quaisquer pensamentos ou sugestões adicionais sobre o programa de red team que não tenhamos abordado.

Qual das opções melhor descreve sua função organizacional principal?

• Engenharia / Desenvolvimento
• Segurança (incluindo blue team)
• TI / Infraestrutura
• Produto / Operações
• Compliance / Risco / GRC
• Executivo / Liderança
• Outro

Obrigado pelo seu tempo. Sua opinião influencia diretamente a forma como melhoramos a cobertura, os relatórios e o impacto geral do programa de red team.

Aproximadamente com quantos exercícios de red team você se envolveu diretamente nos últimos 12 meses?

• 0 (ciente, mas sem envolvimento direto)
• 1–2
• 3–5
• 6–10
• Mais de 10

O quão bem os exercícios de red team cobriram a segurança da camada de aplicação (web, mobile, APIs)?

Classifique os seguintes elementos de um relatório de red team, do mais valioso ao menos valioso para o seu trabalho.

1. Resumo executivo com impacto no negócio
2. Narrativa / linha do tempo do ataque
3. Detalhamento de evidências e impacto
4. Passos de reprodução / prova de conceito
5. Justificativa de explorabilidade / probabilidade
6. Plano de correção priorizado

O que mais comumente dificulta o acompanhamento dos achados do red team? (Selecione até 3)

• Capacidade limitada de engenharia
• Divergência sobre risco ou severidade
• Responsabilidade indefinida sobre os achados
• Lacunas de ferramentas ou visibilidade
• Dependência de fornecedor ou terceiros
• Prioridades concorrentes
• Restrições orçamentárias
• Outro (especifique)

Se você pudesse mudar uma coisa no programa de red team para o próximo ciclo, o que seria?

Qual é o nível do seu cargo?

• Colaborador individual
• Gerente
• Gerente sênior
• Diretor
• VP / Nível C
• Outro / Prefiro não dizer

O quão bem os exercícios de red team cobriram os ambientes de infraestrutura e nuvem?

Os relatórios de red team são entregues em tempo hábil em relação à conclusão do exercício.

Compartilhe um exemplo dos últimos 12 meses em que um achado do red team levou a uma melhoria ou correção significativa. Se nenhum lhe vier à mente, você pode pular esta pergunta.

Você compartilhou ideias sobre como melhorar o programa de red team. Você poderia detalhar quais mudanças específicas teriam o maior impacto na postura de segurança da sua equipe?

Há quanto tempo você está em seu cargo atual nesta organização?

• Menos de 1 ano
• 1–2 anos
• 3–5 anos
• 6–10 anos
• Mais de 10 anos

O quão bem os exercícios de red team cobriram a gestão de identidade e acesso (autenticação/autorização)?

Os relatórios de red team comunicam claramente o impacto no negócio juntamente com os achados técnicos.

Onde você está localizado principalmente?

• Américas
• EMEA
• APAC
• Prefiro não dizer

O quão bem os exercícios de red team cobriram os riscos de terceiros e da cadeia de suprimentos?

As recomendações de correção nos relatórios de red team são específicas e acionáveis.

O quão bem os exercícios de red team cobriram engenharia social e fatores humanos?

Os relatórios de red team contêm o nível certo de detalhe técnico para as minhas necessidades.

O quão bem os exercícios de red team cobriram a segurança física?

Os achados nos relatórios de red team são priorizados de forma eficaz por severidade de risco.

De modo geral, quão confiante você está de que o red team está atualmente focado em nossas áreas de maior risco?

De modo geral, quão valiosos são os achados do red team para o seu trabalho?

Classifique as seguintes áreas de acordo com onde um foco adicional do red team mais reduziria o risco organizacional nos próximos 6 meses (topo = maior prioridade).

1. Camada de aplicação (web, mobile, APIs)
2. Infraestrutura e nuvem
3. Gestão de identidade e acesso
4. Terceiros e cadeia de suprimentos
5. Engenharia social e fatores humanos
6. Segurança física

Em sua opinião, quais áreas específicas são mais subtestadas em relação ao seu potencial impacto no negócio? (Selecione até 3)

• Aplicações críticas (crown-jewel)
• Gestão de segredos
• Caminhos de escalonamento de privilégios
• Rotas de exfiltração de dados
• Fatores humanos / engenharia social
• Integrações com terceiros
• Plano de controle da nuvem
• Movimentação lateral
• Outro (especifique)