想象一下，你收到老板发来的一封电子邮件，信中说工作中有新的晋升机会。你要做的就是登录提供的安全门户链接，回答5 个问题，你就可以获得 200 美元的奖金。

“哇”，你想。“这正是我所需要的，以支付我新衣服的费用！终于解脱了！”

你登录后会立即收到了通知，告知你已落入网络钓鱼测试。

你感觉如何？你可能会震惊、沮丧，甚至生气。“这不公平！”你认为。

作为读者怎么看？这是一个公平的测试吗？欢迎评论留下您宝贵的想法和意见。

有人可能会说。真正的攻击者不会关心你的新衣服的费用，那为什么不测试其他角度？

也有人会说，正因为我们不是真正的攻击者，所以我们不应该以那种方式测试员工。

那如何测试才是正确的呢？

圣诞节测试

在疫情期间，一家公司进行了一项网络钓鱼测试，就像开头描述的场景那样。他们用“公司今年度过了愉快的一年，现在在圣诞节奖励大家”这种场景来测试员工，并向所有填写表格的员工描述公司会提供 650 美元的圣诞奖金。这导致将近 500 名员工中招。

这些员工后来公开抱怨说这是一种麻木不仁和盲目的垃圾测试。这导致公司负责人公开向员工进行道歉并作出补偿。我们可以看到，这次测试显然没有给员工留下积极的影响。

显然，测试本可以以更合乎道德的方式进行。为何如此？公司本可以说他们将进行圣诞节抽奖活动。类似于“如果您填写所附表格，您将有机会赢取价值 15 美元的 iTunes 礼品卡。” 只需进行一些更改，此测试就可以让员工消除他们在初始测试中肯定会感到的失落感。“有时候大金额的刺激和小金额的刺激让人的反应是完全不同的”

让他们因为遇见你而感觉更好

在企业中，安全部门是一个不盈利但还花钱的部门，而社工专家在企业中做的事情又是一个不讨好人但又不得不做的一件事情。所以社工专家在企业中进行社工测试和加固时要遵循一个核心准则：“让他们因为遇见你而感觉更好”

作为一个合格的社工专家，出发点不仅仅是自己得到成功，最重要的是让员工可以从测试、培训中得到学习，所以在社工领域需要以下三个准则：

• 促进行业专业化。

• 制定道德规范和政策，规定如何成为专业的 SE。

• 提供有关如何开展社会工程业务的指南。

它为什么如此重要？

为什么社会工程道德规范很重要，更具体地说，网络钓鱼和网络钓鱼很重要？因为即使我们花钱模仿坏人，我们也不是坏人。我们的目标是：培训员工并更好地保护公司以防范恶意攻击者。

如果我们以各种方式模仿恶意攻击者，我们就无法做到这一点。

想象一下我们像开头讲的那样向员工发起攻击。你认为员工会记得那次“培训”经历的哪些内容？更多的是感受到的负面情绪，而不是未来如何保持安全。

这正是我们作为专业社会工程师想要避免的。相反，我们希望给他们留下坚实的、可学习的时刻。我们希望他们能够专注于识别威胁的迹象，而不是被我们创造的负面情绪所困扰。

保持好人

的确，以这种着眼于影响积极情绪的方式进行培训并不总是那么容易。消极的借口通常更容易创造。但我们认为这是值得的。将道德引入社会工程确保我们冒充坏人但仍然是好人。我为自己的工作和工作方式感到自豪。这就是我与众不同的原因，他们因为认识我而感觉更好。