Una conclusión que no ha sido atacada no es una conclusión. A conclusion that has not been attacked is not a conclusion.

Declarar el fracaso antes de que ocurra

Declaring failure before it happens

Antes de entregar una recomendación, la damos por fracasada. No preguntamos qué podría salir mal, que es una pregunta que el cerebro contesta con optimismo. Preguntamos otra cosa: han pasado dieciocho meses, la decisión se tomó como la recomendamos y el resultado fue un desastre. Reconstruya cómo.

Before delivering a recommendation, we declare it failed. We do not ask what could go wrong, a question the brain answers with optimism. We ask something else: eighteen months have passed, the decision was taken as we recommended and the outcome was a disaster. Reconstruct how.

El cambio es de tiempo verbal y parece menor. No lo es. Preguntado en futuro condicional, un equipo produce dos o tres riesgos genéricos. Preguntado en pasado, sobre un fracaso que se da por consumado, el mismo equipo produce una lista específica, incómoda y accionable. La técnica se le debe a Gary Klein y su valor está medido.

The change is one of verb tense and looks minor. It is not. Asked in the conditional future, a team produces two or three generic risks. Asked in the past tense, about a failure taken as accomplished, the same team produces a specific, uncomfortable and actionable list. The technique is owed to Gary Klein and its value is measured.

Aplicado a una arquitectura de protección: el ataque ocurrió igual. Buscamos por qué, y corregimos el diseño antes de que exista.

Applied to a protection architecture: the attack happened anyway. We find out why, and correct the design before it exists.

Pensar como el adversario, no como el defensor

Thinking as the adversary, not as the defender

El red team no busca errores en el informe. Adopta la posición del adversario y construye la cadena de ataque completa contra el propio diseño: cómo observa, cómo hace inteligencia previa, qué señales le entregamos sin darnos cuenta, cómo evade los sensores, qué punto ciego aprovecha, en qué momento del día actúa, y qué gana con ello.

A red team does not look for mistakes in the report. It adopts the adversary's position and builds the full attack chain against our own design: how it observes, how it conducts prior reconnaissance, what signals we hand it without noticing, how it evades sensors, which blind spot it exploits, at what hour it acts, and what it gains.

La diferencia con una auditoría es de sujeto. Una auditoría pregunta si el diseño cumple la norma. Un red team pregunta si el diseño resiste a alguien que quiere vencerlo y dispone de tiempo, paciencia e información.

The difference from an audit is one of subject. An audit asks whether the design complies with the standard. A red team asks whether the design withstands someone who wants to defeat it and has time, patience and information.

La prueba que casi nadie hace

The test almost no one runs

Hoy todo el mundo habla de red team. Muy pocos hablan de blue team, y ahí es donde se pierden las operaciones. El blue team somete a prueba la respuesta, no el diseño: quién detecta, en cuánto tiempo, quién verifica, quién decide, quién reacciona, con qué medios y bajo qué autoridad.

Everyone now talks about red teaming. Very few talk about blue teaming, and that is precisely where operations are lost. A blue team tests the response, not the design: who detects, in how long, who verifies, who decides, who reacts, with what means and under whose authority.

Un sistema puede estar correctamente especificado y ser inútil. Una alarma que nadie atiende a las cuatro de la madrugada no es una defensa: es un registro de que algo ocurrió. Un procedimiento que exige la firma de una autoridad que no está disponible los fines de semana no es un procedimiento: es una demora documentada.

A system can be correctly specified and still be useless. An alarm no one answers at four in the morning is not a defense: it is a record that something happened. A procedure requiring the signature of an authority unavailable at weekends is not a procedure: it is a documented delay.

Rojo y azul no son dos opiniones. Son dos preguntas distintas: puede el adversario entrar, y puede la organización responder. Responder solo la primera deja la mitad del problema sin tocar.

Red and blue are not two opinions. They are two different questions: can the adversary get in, and can the organization respond. Answering only the first leaves half the problem untouched.

El cuarto escenario

The fourth scenario

La planificación convencional trabaja con tres escenarios: mejor caso, peor caso y más probable. Los tres se construyen sobre las mismas variables y los mismos actores. Por eso los tres fallan al mismo tiempo cuando aparece un actor que nadie estaba mirando o una variable que nadie modeló.

Conventional planning works with three scenarios: best case, worst case and most likely. All three are built on the same variables and the same actors. That is why all three fail at once when an actor nobody was watching, or a variable nobody modeled, appears.

APS añade deliberadamente un cuarto: el escenario que nadie está considerando. No es el peor caso llevado al extremo. Es un futuro con causas propias, actores propios y señales de aviso propias. Buscarlo de manera sistemática es lo que separa la anticipación de la proyección.

APS deliberately adds a fourth: the scenario nobody is considering. It is not the worst case taken to an extreme. It is a future with its own causes, its own actors and its own warning signals. Searching for it systematically is what separates anticipation from projection.