想象一下，你收到老板發(fā)來的一封電子郵件，信中說工作中有新的晉升機(jī)會(huì)。你要做的就是登錄提供的安全門戶鏈接，回答5 個(gè)問題，你就可以獲得 200 美元的獎(jiǎng)金。

“哇”，你想?！斑@正是我所需要的，以支付我新衣服的費(fèi)用！終于解脫了！”

你登錄后會(huì)立即收到了通知，告知你已落入網(wǎng)絡(luò)釣魚測試。

你感覺如何？你可能會(huì)震驚、沮喪，甚至生氣?！斑@不公平！”你認(rèn)為。

作為讀者怎么看？這是一個(gè)公平的測試嗎？歡迎評(píng)論留下您寶貴的想法和意見。

有人可能會(huì)說。真正的攻擊者不會(huì)關(guān)心你的新衣服的費(fèi)用，那為什么不測試其他角度？

也有人會(huì)說，正因?yàn)槲覀儾皇钦嬲墓粽?，所以我們不?yīng)該以那種方式測試員工。

那如何測試才是正確的呢？

圣誕節(jié)測試

在疫情期間，一家公司進(jìn)行了一項(xiàng)網(wǎng)絡(luò)釣魚測試，就像開頭描述的場景那樣。他們用“公司今年度過了愉快的一年，現(xiàn)在在圣誕節(jié)獎(jiǎng)勵(lì)大家”這種場景來測試員工，并向所有填寫表格的員工描述公司會(huì)提供 650 美元的圣誕獎(jiǎng)金。這導(dǎo)致將近 500 名員工中招。

這些員工后來公開抱怨說這是一種麻木不仁和盲目的垃圾測試。這導(dǎo)致公司負(fù)責(zé)人公開向員工進(jìn)行道歉并作出補(bǔ)償。我們可以看到，這次測試顯然沒有給員工留下積極的影響。

顯然，測試本可以以更合乎道德的方式進(jìn)行。為何如此？公司本可以說他們將進(jìn)行圣誕節(jié)抽獎(jiǎng)活動(dòng)。類似于“如果您填寫所附表格，您將有機(jī)會(huì)贏取價(jià)值 15 美元的 iTunes 禮品卡。”?只需進(jìn)行一些更改，此測試就可以讓員工消除他們?cè)诔跏紲y試中肯定會(huì)感到的失落感?！?strong>有時(shí)候大金額的刺激和小金額的刺激讓人的反應(yīng)是完全不同的”

讓他們因?yàn)橛鲆娔愣杏X更好

在企業(yè)中，安全部門是一個(gè)不盈利但還花錢的部門，而社工專家在企業(yè)中做的事情又是一個(gè)不討好人但又不得不做的一件事情。所以社工專家在企業(yè)中進(jìn)行社工測試和加固時(shí)要遵循一個(gè)核心準(zhǔn)則：“讓他們因?yàn)橛鲆娔愣杏X更好”

作為一個(gè)合格的社工專家，出發(fā)點(diǎn)不僅僅是自己得到成功，最重要的是讓員工可以從測試、培訓(xùn)中得到學(xué)習(xí)，所以在社工領(lǐng)域需要以下三個(gè)準(zhǔn)則：

• 促進(jìn)行業(yè)專業(yè)化。

• 制定道德規(guī)范和政策，規(guī)定如何成為專業(yè)的 SE。

• 提供有關(guān)如何開展社會(huì)工程業(yè)務(wù)的指南。

它為什么如此重要？

為什么社會(huì)工程道德規(guī)范很重要，更具體地說，網(wǎng)絡(luò)釣魚和網(wǎng)絡(luò)釣魚很重要？因?yàn)榧词刮覀兓ㄥX模仿壞人，我們也不是壞人。我們的目標(biāo)是：培訓(xùn)員工并更好地保護(hù)公司以防范惡意攻擊者。

如果我們以各種方式模仿惡意攻擊者，我們就無法做到這一點(diǎn)。

想象一下我們像開頭講的那樣向員工發(fā)起攻擊。你認(rèn)為員工會(huì)記得那次“培訓(xùn)”經(jīng)歷的哪些內(nèi)容？更多的是感受到的負(fù)面情緒，而不是未來如何保持安全。

這正是我們作為專業(yè)社會(huì)工程師想要避免的。相反，我們希望給他們留下堅(jiān)實(shí)的、可學(xué)習(xí)的時(shí)刻。我們希望他們能夠?qū)Ｗ⒂谧R(shí)別威脅的跡象，而不是被我們創(chuàng)造的負(fù)面情緒所困擾。

保持好人

的確，以這種著眼于影響積極情緒的方式進(jìn)行培訓(xùn)并不總是那么容易。消極的借口通常更容易創(chuàng)造。但我們認(rèn)為這是值得的。將道德引入社會(huì)工程確保我們冒充壞人但仍然是好人。我為自己的工作和工作方式感到自豪。這就是我與眾不同的原因，他們因?yàn)檎J(rèn)識(shí)我而感覺更好。