Exige que cambie el plan, no solo el registro de riesgos

Un ejercicio de red team que no cambia el plan no ha logrado nada.

Why it works

Los hallazgos del red team a menudo se recogen en un registro de riesgos y después se dejan de lado, con el plan original intacto. Esto ocurre porque los hallazgos se enmarcan como una lista de preocupaciones en lugar de como entradas que exigen una respuesta. El mecanismo de valor del red teaming es la adaptación del plan: el plan mejora porque se expone a presión adversaria, no porque las preocupaciones adversarias se documenten y se archiven.

How to do it

1. Tras la sesión de red team, lista los tres hallazgos principales junto con una respuesta obligatoria para cada uno.
2. Las respuestas deben ser una de estas: cambiar el plan para abordarlo, aceptar el riesgo con un razonamiento explícito, o anotar una prueba que lo resolverá.
3. Revisa el plan contra los hallazgos antes de cerrarlo: cualquier hallazgo sin respuesta registrada es un hueco.
4. Programa una comprobación de seguimiento seis semanas después para confirmar que las respuestas se sostuvieron.

Evidencia

El valor de la revisión adversaria depende de si se actúa sobre los hallazgos. La investigación sobre aprendizaje organizativo muestra que los bucles de retroalimentación que producen respuestas superan a los que producen documentación sin adaptación. (mechanistic)

Razonamiento de principio a partir de la teoría del aprendizaje organizativo; no es un hallazgo estudiado específicamente sobre red teams. El requisito concreto de cambiar el plan o aceptar el riesgo explícitamente es un protocolo de profesionales.

Common mistake

Dar por completo el ejercicio de red team cuando el informe está escrito. El informe no es el resultado: el resultado es el plan revisado. Si el plan no cambió, el red team fue teatro.