Richiedi che il piano cambi, non solo il documento

Un esercizio di red team che non cambia il piano non ha ottenuto nulla.

Why it works

I risultati del red team vengono spesso catturati in un registro dei rischi e poi messi da parte, lasciando il piano originale invariato. Questo accade perché i risultati del red team sono inquadrati come una lista di preoccupazioni piuttosto che come input che richiedono una risposta. Il meccanismo di valore nel red teaming è l'adattamento del piano: il piano migliora perché è esposto a pressione avversariale, non perché le preoccupazioni avversariali vengono documentate e archiviate.

How to do it

1. Dopo la sessione di red team, elenca i primi tre risultati insieme a una risposta richiesta per ciascuno.
2. Le risposte devono essere una tra: cambiare il piano per affrontarlo, accettare il rischio con motivazione esplicita, o annotare un test che lo risolverà.
3. Rivedi il piano rispetto ai risultati prima di finalizzarlo; qualsiasi risultato senza una risposta registrata è una lacuna.
4. Costruisci un controllo di follow-up sei settimane dopo per confermare che le risposte abbiano effettivamente retto.

Prove scientifiche

Il valore della revisione avversariale è una funzione di se i risultati vengono agiti. La ricerca sull'apprendimento organizzativo mostra che i cicli di feedback che producono risposte superano quelli che producono documentazione senza adattamento. (mechanistic)

Ragionamento di principio dalla teoria dell'apprendimento organizzativo; non un riscontro studiato specifico per il red team. Il requisito specifico di cambiare il piano o accettare esplicitamente il rischio è un protocollo dei professionisti.

Errore comune

Trattare l'esercizio di red team come completo quando il rapporto è scritto. Il rapporto non è l'output — il piano rivisto lo è. Se il piano non è cambiato, il red team era teatro.