为什么演练必须走审批
钓鱼演练直接作用于员工，涉及个人评价、内部管理与品牌信任：若缺少 HR 与法务会签，容易演变为劳动争议或内部矛盾；若邮件模板冒充敏感角色或财政部门，还可能被误解为真实攻击事件而触发上报。规范的审批链让演练目标、抽样方式与善后安排都在事前确认，事后不易翻车。
基本信息
| 审批链 | 安全部门发起，HR 与法务会签，管理层批准 |
|---|---|
| 目标设定 | 明确抽样的部门、人数与比例 |
| 模板预审 | 不冒充敏感角色，不放真实恶意链接 |
| 发送节奏 | 分批发送，避免集中影响正常办公 |
| 善后安排 | 演练后 24 小时内全员通报与培训 |
典型审批要点
- 目标人群与样本比例：新人、财务、管理层是否单独设定
- 模板内容预审：主题、发件人显示名、落地页文案
- 发送时间窗：避开月末结算与业务高峰
- 数据收集范围：只统计点击与提交行为，不做个体排名
- 中止条件：出现批量转发或上报时如何收口
- 善后通报：结果如何呈现给管理层与全员
演练流程
演练流程
# 1. 确定目标部门、样本比例与演练周期
# 2. 模板预审：主题、显示名、落地页文案逐项确认
# 3. 平台配置：统计口径、白名单、发送时段
# 4. 分批发送，实时监控上报与外转情况
# 5. 通报结果并安排安全意识培训与复测计划职责与产出读法
| 角色 | 职责 | 产出 |
|---|---|---|
| 安全部门 | 方案设计与执行 | 演练方案、统计报告 |
| HR | 员工沟通与培训衔接 | 通报口径、培训安排 |
| 法务 | 合规与风险审查 | 审批意见、边界说明 |
| 管理层 | 批准与资源支持 | 批准记录、改进要求 |
演练目标是提升意识而不是抓人：结果用于培训设计，避免点名批评，否则后续演练配合度会显著下降。
模板中不得使用真实的外部钓鱼域名或恶意附件，落地页也不得收集口令；一旦收集口令即构成凭据处理风险。