社工测试的额外授权
社会工程学测试涉及人员与心理影响，风险性质与技术测试完全不同：它可能造成信任损伤、情绪困扰与内部关系紧张，因此需要更高层级的单独书面授权，并提前设计保护措施与申诉渠道。授权时通常在人力与法务知悉的前提下，明确可触及的人员范围与禁用话题。执行原则包括：内容不含恐吓与羞辱信息；不针对范围外人员；结束后统一说明并做心理疏导；结果报告匿名化。社工测试的伤害常常不是技术的，而是信任与情绪的，授权与善后同等重要。
基本信息
| 范围 | 钓鱼邮件、电话诱导、现场试探 |
|---|---|
| 额外授权 | 人力与法务知悉，明确可触及人员范围 |
| 保护措施 | 设定禁用话题（健康、家庭），提供退出机制 |
| 执行原则 | 不含恐吓与羞辱，不针对范围外人员 |
| 收尾 | 统一说明、心理疏导，报告匿名化 |
典型使用场景
- 钓鱼演练：评估员工对可疑邮件的识别与上报能力
- 电话诱导：评估客服或前台的信息核实流程
- 现场试探：评估门禁与陪同制度的执行情况
- 内部流程验证：验证敏感操作是否有第二人复核
- 安全意识培训：用演练结果设计针对性培训内容
执行原则
执行原则
# 内容不含恐吓与羞辱信息
# 不针对非范围人员
# 设置禁用话题与退出机制
# 结束后统一说明与心理疏导
# 结果报告匿名化处理风险与保护措施
| 风险 | 表现 | 保护措施 |
|---|---|---|
| 信任损伤 | 员工发现被测试后产生被欺骗感 | 提前报备高层，结束后统一说明 |
| 情绪困扰 | 内容触及私人话题引发不适 | 设定禁用话题，提供申诉渠道 |
| 内部关系紧张 | 同事之间互相举报猜疑 | 结果匿名化，不做个人点名 |
| 范围外波及 | 邮件转发到非目标人员 | 控制分发范围，设置退出机制 |
| 合规风险 | 涉及个人信息或隐私 | 人力与法务提前知悉并签署授权 |
社工测试的伤害常常不是技术的，而是信任与情绪的：授权与善后同等重要，缺一不可。
结果报告匿名化是基本要求：可以统计部门与岗位的上当比例，但不宜点名到个人，否则容易引发对立。