邮箱与人员信息为什么要划边界
从公开渠道整理企业邮箱命名规则（统一前缀、部门缩写、外包与子公司后缀）可以判断账号体系规模，也能为授权范围内的安全意识演练提供背景。但人员信息比技术资产敏感得多：一旦从「统计命名规则」滑向「收集个人资料」，就已经越过评估的必要范围。合法性与必要性是两条独立标准，公开可见不等于可以收集使用。
基本信息
| 允许用途 | 授权范围内的安全意识评估与演练背景 |
|---|---|
| 整理粒度 | 域名、命名规则、部门数量等聚合信息 |
| 禁止动作 | 收集个人手机号、家庭信息、社交账号 |
| 演练前提 | 钓鱼与社工类动作必须单独授权并审批 |
| 依据 | 个人信息保护法等属地法规 |
典型使用场景
- 为邮件安全评估统计账号命名规律，判断是否存在可猜解的弱规则
- 与客户确认账号体系范围：正式员工与外包人员是否共用域名
- 授权演练前核对目标人群的界定，避免波及范围外人员
- 解释「为什么同域名的账号在多个系统里都存在」这类账号治理问题
- 判断域名是否被用于外部伪造邮件，纳入邮件安全评估结论
合规示例
合规示例
可整理：统一邮箱前缀规则（如 姓名缩写 + 数字）
可整理：域名数量与部门缩写，用于理解账号体系规模
不可整理：个人手机号、家庭住址、社交账号、个人行程
不可执行：未经单独授权的钓鱼邮件与社工话术测试
留存要求：聚合结论写进报告，原始样本清单按约定销毁信息类型与处置
| 信息类型 | 可否写入报告 | 说明 |
|---|---|---|
| 域名与命名规则 | 可 | 聚合信息，不指向个人 |
| 单个员工邮箱 | 谨慎 | 仅用于授权范围内的必要验证 |
| 个人联系方式 | 不可 | 超出评估必要性，属个人隐私 |
| 演练样本回复内容 | 脱敏 | 只统计响应比例，不保留个人内容 |
人员信息遵循最小必要原则：能通过聚合统计说明问题的，就不要落到单个自然人；确实需要接触个人数据时，先确认授权文本是否覆盖。
任何形式的钓鱼与社工演练都需要单独授权：主授权书通常不包含这类动作，越界实施会直接影响项目合法性与交付。