風行華府國安級戰略單位與智庫機構，
美國「紅隊作業」圈內人首次完整揭露：
「像敵人一樣思考而成功」的策略對抗內幕與弱點驗證演練

　　．設立假想敵或壓力測試者，用獨立的眼光找出自己的弱點。
　　．17個橫跨軍事、企業、公共安全領域精采案例解說評述，實際看見「紅隊」作業對強化自身能力，找出策略弱點的貢獻。

　　一群「白帽駭客」正故意尋找簡易的漏洞，讓企業資安系統出盡洋相。
　　一隊安檢調查員正試圖佯裝無害者，混入本該森嚴的機場海關或情報機構大樓。
　　一支被設定為劣勢敵方的演訓團隊，正以正規美軍作戰指揮官料想不到的方式部署與反擊高科技武器。

　　以上這些人，都是「紅隊」。他們是組織特意設計出的「嚴厲反對者」。

　　人們未必喜歡被他們檢驗，卻往往會因為他們的貢獻而得以「像敵人一樣思考」辨識出自身盲點。

　　紅隊的作業看似神秘，但他們可能會告訴所有被他們擊敗的脆弱組織、共錯團體領導者，「……這不過是換個角度應用常識。」

　　「紅隊作業」（red teaming）的概念可追溯至十一世紀梵蒂岡負責質疑封聖候選人資格的「魔鬼代言人」。如今公共和私營部門均廣泛應用紅隊作業，而紅隊人員主要是由無畏的懷疑者和扮演破壞者的人組成，他們致力加強了解目標機構或潛在對手的意圖、能力和關注事項。紅隊作業手段包括模擬、探查弱點和另類分析，有助競爭環境下的機構辨明弱點、質疑假設，以及在下一次的突擊行動、惡意網路攻擊或企業併購之前，預見潛在的威脅。但是，紅隊並非都是一樣的；事實上，有些紅隊造成的損害比它們防止的損害還大。

　　美國的國家安全專家岑科在本書中將深入探索紅隊的工作，闡明典範做法、常見陷阱，以及這些現代「魔鬼代言人」最有效的應用方式。紅隊典範做法可以應用在中央情報局（CIA）、紐約市警察局或某家製藥公司。紅隊作業應用得當，可以產生出色的成效：企業可以占據競爭優勢，情報單位可以找出關鍵推測報告中的錯誤，軍方可以遠在執行危險任務之前辨明潛在問題、改善行動計畫。但是，紅隊能發揮多大的作用，也取決於組織領導層的意願。本書不但說明如何建立紅隊並賦予他們力量，還闡述如何運用紅隊產生的資訊。

　　本書是企業領袖、政策制定者和好奇讀者的必讀之作，徹底揭露這種對組織思考體制長處和弱點的獨到方式。透過鮮為人知的案例內幕和對各國紅隊精英空前廣泛深入的訪問，說明了從軍事部門到友善駭客，所有群體都可以利用「敵方思維」取得勝利之道。

名人推薦

　　全球局勢思考專家，《微權力》作者摩伊希斯．奈姆  特別薦讀

　　─ 深度探索決策驗證世界，名家好評 ─

　　政治、政府、戰爭和商界方面的重大失敗，事後最常見的解釋是自滿、團體盲思、惰性和視野狹窄。岑科在這本書中提出清晰的分析，輔以許多趣味盎然的常見錯誤例子，並整理出一套有用的典範做法。所有組織的決策者都應該看這本書。
　　奈姆（Moises Naim），卡內基國際和平基金會傑出研究員，著有《微權力》（The End of Power）

　　人人都聽過有關「扮演魔鬼代言人」或「避免團體盲思」的陳詞濫調。本書探討組織可以如何發揮內部反向思維的最大價值，以重視實用的態度，提出了清晰且具說服力的論述。
　　法羅斯（James Fallows），《大西洋雜誌》特派員

　　在現今的複雜世界裡，決策者需要精明、縝密、有見地的選項。本書告訴決策者，利用組織人才的最好方式，是打破組織的運作常態。
　　雅米．米希克（Jami Miscik），前美國中央情報局情報副局長

　　本書是紅隊社群渴望已久的著作，有助接觸和培養新一代的紅隊人員。它記錄了奠定這領域基礎的經歷和故事，這些事跡以前僅零散流傳於少數圈內人之間。岑科撰寫本書，對現在和未來的紅隊社群都是一大貢獻。
　　梅特斯基（Mark Mateski），水印協會（Watermark Institute）總監暨紅隊與策略分析副總裁

作者簡介

米卡．岑科（Micah Zenko）

　　美國外交關係協會（Council on Foreign Relations）資深研究員，居於紐約。

譯者簡介

許瑞宋

　　香港科技大學會計系畢業，曾任路透中文新聞部編譯、培訓編輯和責任編輯，亦曾從事審計與證券研究工作。2011年獲第一屆林語堂文學翻譯獎。譯有《大鴻溝》、《資本社會的17個矛盾》（重譯）和《交易本事》等數十本書。（facebook.com/victranslates）

引言 白帽駭客，情報局長與魔鬼代言人
艾其巴：「務必保密，務必確信正確」
組織失敗但不自知的原因
紅隊的作業方式
紅隊成敗的原因
探索紅隊世界

第1章 紅隊作業典範做法
一、老闆必須支持
二、若即若離，客觀又明事理
三、無畏且有技巧的懷疑者
四、足智多謀
五、願意聽壞消息並據此採取行動
六、適可而止，不多不少
典範做法的最高原則

第2章 起源──現代軍隊中的紅隊作業
紅隊大學
紙牌把戲：減輕層級和團體盲思問題
海軍陸戰隊的紅隊作業：挑戰指揮風氣
千禧挑戰：被踢屁股的一次演習
美國以外的軍事紅隊作業
結論

第3章 另類分析──情報系統的紅隊作業
B隊：「反映他們眼中的世界」
西法製藥廠：錯失機會的例子
中情局紅色小組：「我希望刺激一下自己的頭腦」
賓拉登的大宅：零至五○％的機率
結論

第4章 敵人──國家安全的紅隊作業123
九一一之前的航空安全紅隊：「重大且明確的公共危險」
如何擊落飛機：評估肩射飛彈的威脅
NYPD的桌上演練：「絕對不要讓他們認為自己已經解決了問題」
資訊設計保證紅隊：把紅隊作業變成一種大宗化工具
結論

第5章 競爭對手──民間部門的紅隊作業
模擬策略決策：商戰模擬
白帽駭客與倉鼠輪：網路滲透測試
我能聽見你（和所有其他人）：駭入Verizon
安全的大樓為何不安全：實體滲透測試
結論

第6章 紅隊作業的實際結果、錯誤印象和未來
紅隊作業的實際結果
有關紅隊作業的錯誤印象和誤用
對政府紅隊的建議
紅隊作業的未來

致謝
各章注釋

引言

白帽駭客，情報局長與魔鬼代言人（節錄）

　　組織失敗但不自知的原因

　　本書探討如何幫助組織以一種新的、不同的方式看世界，藉此改善組織的表現。無論是軍事單位、政府機構或小型企業，組織都是根據長期策略、近期計畫、日常作業和待辦事項的某種組合來運作。決策者和組織人員並不是每天上班時，當場重新決定要做什麼和怎麼做。組織既有的指南、常規和文化，是組織有效運作必需的。但是，組織如果在資訊不完整和快速變化的競爭環境中運作，則它面臨的一個難題，是必須設法確定其標準程序和策略何時開始導致不理想的結果，甚至可能釀成大災難。更糟的是，如果組織用來處理修正資訊（corrective information）的方法本身是有問題的，則這些方法最終可能導致組織失敗。

　　這種固有的問題關係到本書的核心主題：你不能替自己的表現評分。回想一下你高中時覺得很難的一科。想像一下：老師授權你替自己的作業評分。起初這似乎是一件大好事：你每次都可以給自己一百分！無論你實際上做得多差，你都可以決定每一份作業的分數。替自己的作業評分時，你會想出各種理由，說服自己值得最高的分數，儘管你其實做得不好。這些理由可能包括：「課堂上沒教這些」、「老師教得很差」、「我累壞了」，又或者「這是最後一次」。再想像一下你面臨以下情況時感受到的震撼：在自我評分一學期之後，老師發出期末考卷，並宣佈這一次她將親自評分。如此一來，你應學但沒學好、以為自己懂但其實不懂的東西，全都將暴露出來。替自己評分或許能使你短期內自我感覺良好，但也可能令你完全失去自知之明，最終導致你不及格。

　　「你不能替自己的表現評分」是一個重要警告，其意義遠非僅限於學校。我們來看看美國中情局的一個例子：該組織在九一一恐怖攻擊之後的拘留和訊問方案，錯誤採用了自我評估策略。對於中情局對付疑似恐怖份子的行動（包括使用「加強型訊問手段」，也就是動用酷刑）有多必要和有效，中情局的內部評估，是由負責策劃和管理行動的同一批人和外部承包商（延續和擴大行動規模顯然有助他們賺更多錢）做的。二○一三年六月，中情局的內部檢查發現，中情局人員藉由「臨時起意的評估」、觀察遭拘留者舉止的變化，來確定「各種加強型訊問手段是否有效」。中情局人員和外部承包商都自信地宣稱他們負責的方案非常有效，而且很有必要；這結果毫不令人意外。

　　儘管國家安全顧問萊斯（Condoleezza Rice）和參議院情報特別委員會二○○五年左右曾提出要求，希望中情局針對那些行動做相當於紅隊另類分析的評估，但中情局高層從不曾下令做這種分析。中情局承認：「中情局訊問方案僅有的外部分析，仰賴兩名評審；其中一人承認欠缺評估該方案所需要的知識和技術，另一人則表示，他未能得到準確評估該方案所需要的資料。」中情局若能安排得到充分資訊和授權、由通過必要安全審查的專家組成的紅隊做分析，應該可以得到真實得多的評估結果，以及有關如何修改（或乾脆結束）拘留和訊問方案的建議。

　　數目多得驚人的高層領袖「系統性失能」，無法辨明所在組織最明顯和危險的缺點。這不是因為他們愚蠢，而是源自限制所有人的思想和行為的兩種慣常問題。第一種是個人的認知偏差，例如鏡像效應（mirror imaging）、定錨效應（anchoring）和驗證偏誤（confirmatory bias）。在不確定的情況下，我們的決定無意識地受這些認知偏差影響，我們因此很難評估自己的判斷和行為，而且這是一種本質上的困難。康乃爾大學心理學教授鄧寧（David Dunning）已在無數的實驗中證明，技能和知識很差的人，對自身表現的判斷也非常不準確。例如在突擊測驗中成績最差的人，對自身分數的估計與實際分數的差距也是最大的。

　　第二種問題源自組織偏差：員工成為組織文化的俘虜，接受了老闆的個人喜好和他們日常體驗到的組織文化。逾一個世紀前，傑出經濟學家和社會學家范伯倫（Thorstein Veblen）便說明了我們的日常事務如何塑造和窄化了我們的心智：

　　人可以輕鬆做的是他們慣常做的事，而這決定了他們可以輕鬆思考和知道些什麼。人因為日常活動而熟悉的各種概念，便是他們感到自在的概念。慣常的活動構成慣常的思路，產生用來理解事實和事件、進而歸納成一個知識體系的觀點。與慣常的行動方案相符，便是與慣常的思路相符；決定性的知識基礎，以及任何社群中自滿和認可的傳統標準由此產生。

　　雖然我們會嘲笑這種失去批判反省能力的情況（例如持續研究某個題目多年的人，可能無法再以批判的態度去理解該題目），誠實的員工應該承認這種非常普遍的現象造成組織偏差。這種問題在某些工作中尤其顯著，例如必須長期埋首研究技術或機密知識的工作，以及採用嚴格層級制度的組織（軍方是一個明顯的例子）中的工作。這些常見的個人和組織問題結合起來，普遍導致組織難以聽到壞消息，因此也就不會採取行動去處理既有問題或新浮現的問題。

　　組織領袖談到自己的領導和管理風格時，通常會承認必須鼓勵和感謝員工提出反對意見，必須傾聽並認真考慮這些意見。受尊敬的領袖不會宣稱：「我特地打擊員工暢所欲言的意願，並且維持一種嚴防員工發表異議的組織文化。」多數領袖甚至會說，他們是支持員工發表異議的。這種觀點經常出現在《紐約時報》「角落辦公室」專欄（Corner Office）中。這個專欄每週在該報商業版刊出，訪問企業、大學和非營利組織的領袖。在這些訪問中，受訪的領袖被問到他們的管理技巧，而許多人會宣稱自己持續鼓勵下屬在組織內部提出抗議。媒體業者Clear Channel Communications執行長皮特曼（Bob Pittman）受訪時便說：「我希望我們能聽這些異議者的說法，因為他們可能想告訴你為什麼我們做不到某件事。但如果你認真聽，他們真正想告訴你的，是你必須做些什麼才能做成某件事。」我們聽美國的領袖描述他們領導的組織，會以為這些組織的管理方式比較像無政府主義者的合作社，而非採用層級制度的組織。

　　皮特曼的想法是有問題的，因為他錯誤假定替領袖做事的人有辨明潛在問題的技能（可能性很低）、會向上司報告這些問題（這麼做可能損害自己的職涯），以及向上司提出這些問題不會有不良後果（通常會有，因為這會擾亂傳統觀念）。想想你覺得自己在工作上顯而易見的缺點。你會冒著損害自己名聲或職涯的風險，向上司報告這些缺點嗎（即使上司要求你這麼做）？又或者假設組織面臨一些即將發生、但未有人察覺的災難。在受到種種限制的情況下，你認為自己辨明潛在災難並向上司報告的可能性有多大？哈佛商學院教授艾蒙森（Amy Edmondson）研究為什麼員工在多種情況下會認為，承認和向上司報告他們工作中觀察到的嚴重問題是不安全的。「我們繼承了一種根深柢固的觀念，導致我們擔心自己在層級制度中留給別人什麼印象。」她並補充道：「從來沒有人因為不講話而被開除。」我們不能指望組織可以公正地替自身的表現評分；同樣道理，我們也不能指望組織可靠地自行產生異見，並提交給領導高層參考。

第5章　競爭對手──民間部門的紅隊作業（節錄） 白帽駭客與倉鼠輪：網路滲透測試 紅隊作業非常符合民間部門的網路保安需求，尤其是因為網路安全漏洞一旦遭利用，代價和後果可能非常慘重。雖然企業相當成功地隱瞞了它們不時遇到的網路攻擊，這種攻擊的頻率和嚴重程度無疑正與日俱增。針對網路保安人員的匿名調查顯示，企業如果不認真做網路滲透測試， 因此承受的代價非常可觀，而且正愈來愈大（以金錢和時間損失衡量均如此）。卡巴斯基實驗室（Kaspersky Lab）二○一四年調查三千九百名資訊科技專業人士，發現員工少於一千五百人的公司遇到一次資料安全事件的平均損失為四萬九千美元，員工超過一千五百人的公司則是平均損失七十二萬美元。研究機構Ponemon Institute二○一四年做過一項類似調查，訪問五十九家美國公司，發現解決一次網路攻擊平均需要四十五天，平均耗費一百六十萬美元，較上一年的平均三十二天和略高於一百萬美元顯著增加。這些攻擊主要是阻斷服務、惡意的內部人士和網頁式攻擊（web-based attacks），總共占網路安全成本逾五五％；約八六％的犯案者是在公司以外，一二％在公司內部，二％為內外部人士聯手。員工超過兩千五百人的大公司曾經是多數網路攻擊的直接目標，但如今愈來愈多犯案者轉向從較小型的公司竊取資料，或是藉由攻擊第三方供應商侵入大公司。