此初始活動首先建立了基準。所以，是的，這很正常。 “我們作為一家公司的立場如何？我們需要培訓到什麼水平？我們總體上擁有安全的用戶，還是整體上有不安全的用戶？”該報告確定了這一點以及管理層需要進行網絡釣魚培訓的程度。如果只有5％的用戶因網絡釣魚而墮落，那麼培訓重點將大為不同。就目前而言，現在管理層知道他們在本質上存在企業範圍的問題，網絡釣魚活動基本上有70％的成功機會。

現在，當公司進行以後的網絡釣魚培訓時，他們可以比較結果並確定培訓是否成功。 “我們最初的失敗率是70％。這次，我們的失敗率是68％。因此，這並不成功。”或者說：“我們最初70％的時間都失敗了，現在50％的時間都失敗了。我們做得更好，但需要進一步培訓。”

不，因為通過給您指名來指責，安全需要遠離指責個人，而應將其視為一個整體。這與在網站中發現安全漏洞相同：您不應責怪開發人員，而應著眼於改善整個過程。

我們運行網絡釣魚活動，並且不識別用戶。我們使用它的目的是發現我們自己的弱點，並且我們需要更好地培訓我們的員工。

運動結束後，我們向所有員工發送電子郵件，提供失敗/成功的統計信息，然後提供發現網絡釣魚的技巧以及一般如何處理電子郵件的提示

我認為看待這個問題的正確角度是，提出以下問題：

隨著測試失敗的人數眾多，如果公司擁有這些目標，將會實現哪些（安全）目標？

我會說：無。

公司範圍內的網絡釣魚測試的安全目標是什麼？

通常，在每個依賴IT且擁有一定數量員工的公司中，這些員工都接受信息安全培訓。這些培訓主要涵蓋基本主題，例如電子郵件通信，桌面安全性等。在進行網絡釣魚測試時，管理層想知道：

1. 這些培訓是否成功（例如：物有所值）
2. 是否屬於任何數據或IT系統如果缺乏良好的培訓，公司可能會受到損害。
ol>

如果您作為承包商，告訴他們“您的員工中有70％的測試不及格”，那就可以回答上述兩個問題。如果管理層要求在擁有300多名員工的公司中提供姓名，他們將無法獲得更多相關信息，並且不能正確地完成工作。

下一步是定義新的安全目標。它應顯示如下內容：

”“在接下來的X個月中，每位員工都必須參加安全培訓。在$ year美元的月份之前，我們希望$ contractor進行另一次網絡釣魚測試，並要求百分比

如果只有那些不得不通過網絡釣魚測試的員工必須參加，這些培訓是否會更具成本效益？可能是。
但是：您將它們呈現給公司30％的股份（不必去），因為它們“愚蠢到無法識別網絡釣魚企圖”。這對鼓舞士氣的影響超過了僅僅派遣所有員工參加培訓的所有成本。另外：30％關於信息安全的另一個提示並沒有真正受到傷害。
這是一個好主意的另一個原因是：通常，如果您進行網絡釣魚測試，您將不知道為什麼人們不喜歡它。也許其中一些人由於正在休假，生病或只是略過而沒有閱讀電子郵件，因為他們的收件箱中充滿了更重要的郵件。沒有人可以告訴您，他們下次是否會通過測試。員工始終是您的頭號風險因素，如果可以的話，對他們進行培訓。

我想提一提的是，到目前為止，其他答案中還沒有提到的另一點是，這取決於您如何傳達結果：大多數人會知道自己在測試中未通過 。
您必須以一種或多種方式通知您的員工，我認為這是大多數公司這樣做的方式：發送全公司範圍的電子郵件，其中包含網絡釣魚郵件的屏幕快照。

“親愛的員工們，很抱歉告訴您，但這是一次網絡釣魚測試。沒有免費的遊艇在等您。未通過測試的人數很糟糕，那就是為什麼我們會在不久的將來接受一些安全培訓？承包商為我們做了這件事，我們沒有收集任何個人數據，所以我們不知道是誰點擊了鏈接，誰沒有點擊鏈接，因此不會有任何影響。仿冒郵件可能會造成非常嚴重的後果，例如... yadda，yadda，yadda ..”。

人們會檢查他們的收件箱，如果不是很久以前，請記住他們做了什麼。 此將提高對安全培訓和行為調整的接受度。施加恐懼和向人們施壓是沒有好處的。

對於這些測試的目的似乎有些誤解。

使用標識符意味著找到負責任的人，以教育和/或懲罰他們。沒有人可以被識別可能是測試的一個明確參數。在許多歐洲國家/地區，地方工人委員會或工會代表必須同意這種測試，並可能以此作為條件。

使用統計信息意味著確定績效指標。您可以相互衡量這些指標，以識別（例如）您是否在進步，或者您開展的某些宣傳活動是否有效。您不需要確定的人員，這甚至可能使結果模糊。

最後，客戶付款。您為他們工作，因此儘管您應該指出自己的任何專業問題或想法，除非這違反了您的個人或職業道德（例如，如果您是會員，則是ISACA道德標準），則可以滿足客戶的要求。 / p>

回答您的問題：

這是否不破壞網絡釣魚活動和提高網絡信息安全性的目的？這甚至正常嗎？

否。如果客戶希望獲得研究結果的精簡版本，那麼最終就是他們的要求。但是您擁有提供最佳建議並給予他們選擇權的所有權利。

面對這些類型的客戶反應是否正常？是的，它可能一直發生，這可能是很多事情的結果。客戶可能有自己的不安全感（例如，如果管理層成員被抓住，該如何處理），或者可能不想輕視自己的員工，一旦報告公開後可能不知道如何處理他們的培訓。

如果他們為此付出代價，作為顧問，您必須最終尊重他們的決定。

作為補充說明，關於我注意到的一些事情：

我有禮貌地指責他們選中了一個框，實際上對教育沒有興趣他們的用戶。

無法禮貌地說出您剛才說的話。但是還有其他說法可以避免遇到任何錯誤。歡迎來到政治世界。我看到其他大多數答案都涉及安全方面，因此我希望在我的答案中涵蓋其他微妙的政治方面。

您顯然擁有很多善意和專有技術，並且您的客戶出現了從您的角度出發，固執己見，因為他沒有充分進行這項練習。

我發現交流這樣的事情的最好方法是使用稍微不同的說法，這可以促進您的事業，而不必惹惱客戶或讓客戶覺得您不讓他們打電話鏡頭，否則您會批評他並遇到錯誤的方式。

您可以通過以下幾種方式說出來，這可能有助於提升您的視野。這都是政治因素，可以單獨研究。

• 大多數政治上正確的方法（最大程度地稀釋信息）：如果我們省略練習的那一部分，那麼我們將錯失良機。您確定要這樣做嗎？客戶先生？
• 在政治上不太正確，但信息不那麼分散，仍然沒有脫口而出：如果我們不盡全力允許培訓在適當的時候進行，那將會浪費很多時間的能量。您確定要這樣做嗎？客戶先生？

在這兩種情況下，我都完成了您確定要這樣做嗎？客戶先生？。這就是選擇的力量，在任何試圖改變他們的行為或思想的嘗試結束時，將選擇權交還給他們。

如果您沒有成功，但他們仍然不願意，那就順其自然。無論如何，您沒有權限，您所能做的就是盡力建議他們。但是，在另一種情況下，您可能會影響客戶的想法並按自己的方式行事。但這並非總是如此。

我剛剛完成了這樣的活動（作為客戶），並希望用戶絕對匿名。

原因有很多，其中最重要的原因是

• 隱私權，在某些國家/地區是一件複雜的事情
• 我將向全球發送有關該運動及其結果的說明

您的客戶可能還有其他原因原因。您給了他們獲得完整結果的機會，可能還會提供一些建議。他們想要匿名版本，他們的選擇。

注意：很抱歉輸入錯誤（或者實際上是我的手機錯誤填寫），使我的最初回答看起來很奇怪。

我完全掌握您捕獲數據的願望。因此，將它們匿名化。一般的想法是，您將其小寫的電子郵件地址作為MD5哈希，並根據需要獲取盡可能多的分辨率，然後將其保留為 b7R + 或轉換為“ AOL密碼”，例如-pen-osram 。

禁止

 約翰·史密斯（John Smith）失敗弗蘭克·弗林克（Frank Frink）失敗朱莉安娜·克蘭（Juliana Crain）通行證 

可能會允許您使用什麼

  Rufus-Castle-Uniform-Enemy FAIL Zion-Lathe-Shoot-Loyal FAIL Flee-Worldly-Variable-Key PASS  

還有什麼更安全的

  Bucket Stop-Bad 4/6失敗（66％）Bucket Wax-Scissors 5/6失敗（83％）Bucket Memory-Egg 4/5失敗（80％） 

有匿名化有兩種方法，假設 n 位可以包含僱員數量（例如，employees = 700 n = 10）。

• 您可以很少的額外位，例如 n +6位，在這種情況下，匿名化是可逆的，並且員工可能會暴露： Rufus-Castle-Uniform-Enemy 通常僅散佈到jsmith@foo.com ... 陷阱！可能會有第二封電子郵件，但是位數越多，可能性就越小。
• 您可以添加幾個太短位，例如 n -3位，在這種情況下，反向運行將顯示 Stop-錯誤的散佈到jsmith，emccarthy，jcrian，tkido，ctagawa，和 ffrink，使得報復變得不切實際。這樣就照原樣創建了一組“存儲桶”。
• 您可以給MD5加鹽，但是如果迫害者
  • 通過蠻力加密攻擊來學習鹽，則失敗
  • 簡單地命令您將其翻轉
  • 記錄已記錄的活動模式，並推斷出用戶

您不同意他們的原因是一個經典的 workplace.se問題，但他們可能沒有告訴您所有的原因*。無論您必須遵守向他們提交的報告。

我在此處提供的匿名化方法使您可以在報告中呈現要呈現的詳細數據，同時在技術上遵循其指令。您可以使用 n +許多表單來執行此操作，如果他們確實願意，則可以允許他們回溯到單個用戶；也可以不使用存儲桶表單。

除非您顯示“在類別127中，有4/6個用戶被網絡釣魚吸引”，否則，以70％的百分比進行套準是完全沒有用的。當點擊率是存儲桶數量的1/3或更少時，存儲桶效果最好，因此在同一存儲桶中2次匹配是很少見的。 “在512個桶中，有90個桶受到了打擊，很可能是90-95人，這是您想要的人數。

*作為訴訟人，我可以想到一個非常大的人。如果是我，我將“作為日常事務”刪除個性化數據，直到傳票傳出為止，永久保存所有東西都是很有趣的遊戲。

我同意，客戶的選擇似乎阻止了任何改進的機會。但是，還有另一種改進方法。

讓所有員工都知道：“我們不知道誰為之付出了，誰沒有為此付出，所以我們無法解僱或獎勵任何人。但是，我們每個月都會進行一次此測試，並且我們將發布百分比。如果到年底將70％的比例降低到20％，則所有員工都將獲得獎金。獎金的大小將取決於二十以下。為了幫助我們實現這一目標，每週將有一封電子郵件介紹一種識別網絡釣魚的技術。明年，獎金將是每個季度，但目標也將是每個季度較小。”