Avaliação da Eficácia do Programa de Red Team

Bem-vindo(a)! Esta pesquisa (aproximadamente 14 minutos) trata de sua experiência com o nosso programa de red team nos últimos 12 meses. Sua participação é voluntária, e você pode parar a qualquer momento. Não há respostas certas ou erradas—queremos sua perspectiva honesta com base em experiência direta. Todas as respostas são confidenciais e serão relatadas apenas de forma agregada para melhorar o programa.

Qual das opções melhor descreve seu envolvimento principal com os exercícios de red team nos últimos 12 meses?

• Utilizo os achados para tomar decisões
• Implemento correções técnicas
• Operações defensivas / blue team
• Parte interessada de produto ou operações
• Compliance / governança
• Patrocinador executivo / de liderança
• Outro

Aproximadamente com quantos exercícios de red team você se envolveu diretamente nos últimos 12 meses?

• 0 (ciente, mas sem envolvimento direto)
• 1–2
• 3–5
• 6–10
• Mais de 10

As perguntas a seguir avaliam o quão bem os exercícios de red team cobriram áreas-chave nos últimos 12 meses. Se você não tiver experiência direta com uma área, selecione o ponto médio.

O quão bem os exercícios de red team cobriram a segurança da camada de aplicação (web, mobile, APIs)?

O quão bem os exercícios de red team cobriram os ambientes de infraestrutura e nuvem?

O quão bem os exercícios de red team cobriram a gestão de identidade e acesso (autenticação/autorização)?

O quão bem os exercícios de red team cobriram os riscos de terceiros e da cadeia de suprimentos?

O quão bem os exercícios de red team cobriram engenharia social e fatores humanos?

O quão bem os exercícios de red team cobriram a segurança física?

De modo geral, quão confiante você está de que o red team está atualmente focado em nossas áreas de maior risco?

Classifique as seguintes áreas de acordo com onde um foco adicional do red team mais reduziria o risco organizacional nos próximos 6 meses (topo = maior prioridade).

1. Camada de aplicação (web, mobile, APIs)
2. Infraestrutura e nuvem
3. Gestão de identidade e acesso
4. Terceiros e cadeia de suprimentos
5. Engenharia social e fatores humanos
6. Segurança física

Em sua opinião, quais áreas específicas são mais subtestadas em relação ao seu potencial impacto no negócio? (Selecione até 3)

• Aplicações críticas (crown-jewel)
• Gestão de segredos
• Caminhos de escalonamento de privilégios
• Rotas de exfiltração de dados
• Fatores humanos / engenharia social
• Integrações com terceiros
• Plano de controle da nuvem
• Movimentação lateral
• Outro (especifique)

Qual periodicidade de relatório você prefere para os resultados e tendências do red team?

• Após cada exercício
• Consolidação trimestral
• Semestral
• Anual
• Somente sob demanda
• Não tenho certeza

Classifique os seguintes elementos de um relatório de red team, do mais valioso ao menos valioso para o seu trabalho.

1. Resumo executivo com impacto no negócio
2. Narrativa / linha do tempo do ataque
3. Detalhamento de evidências e impacto
4. Passos de reprodução / prova de conceito
5. Justificativa de explorabilidade / probabilidade
6. Plano de correção priorizado

Os relatórios de red team são entregues em tempo hábil em relação à conclusão do exercício.

Os relatórios de red team comunicam claramente o impacto no negócio juntamente com os achados técnicos.

As recomendações de correção nos relatórios de red team são específicas e acionáveis.

Os relatórios de red team contêm o nível certo de detalhe técnico para as minhas necessidades.

Os achados nos relatórios de red team são priorizados de forma eficaz por severidade de risco.

De modo geral, quão valiosos são os achados do red team para o seu trabalho?

Em sua experiência, com que rapidez as equipes costumam conseguir agir sobre os achados do red team após a entrega do relatório?

O que mais comumente dificulta o acompanhamento dos achados do red team? (Selecione até 3)

• Capacidade limitada de engenharia
• Divergência sobre risco ou severidade
• Responsabilidade indefinida sobre os achados
• Lacunas de ferramentas ou visibilidade
• Dependência de fornecedor ou terceiros
• Prioridades concorrentes
• Restrições orçamentárias
• Outro (especifique)

Compartilhe um exemplo dos últimos 12 meses em que um achado do red team levou a uma melhoria ou correção significativa. Se nenhum lhe vier à mente, você pode pular esta pergunta.

Como você avaliaria a maturidade geral do nosso programa de red team atualmente?

Se você pudesse mudar uma coisa no programa de red team para o próximo ciclo, o que seria?

Você compartilhou ideias sobre como melhorar o programa de red team. Você poderia detalhar quais mudanças específicas teriam o maior impacto na postura de segurança da sua equipe?

Com base em suas respostas nesta pesquisa, compartilhe quaisquer pensamentos ou sugestões adicionais sobre o programa de red team que não tenhamos abordado.

Qual das opções melhor descreve sua função organizacional principal?

• Engenharia / Desenvolvimento
• Segurança (incluindo blue team)
• TI / Infraestrutura
• Produto / Operações
• Compliance / Risco / GRC
• Executivo / Liderança
• Outro

Qual é o nível do seu cargo?

• Colaborador individual
• Gerente
• Gerente sênior
• Diretor
• VP / Nível C
• Outro / Prefiro não dizer

Há quanto tempo você está em seu cargo atual nesta organização?

• Menos de 1 ano
• 1–2 anos
• 3–5 anos
• 6–10 anos
• Mais de 10 anos

Onde você está localizado principalmente?

• Américas
• EMEA
• APAC
• Prefiro não dizer

Obrigado pelo seu tempo. Sua opinião influencia diretamente a forma como melhoramos a cobertura, os relatórios e o impacto geral do programa de red team.