幾乎每個(gè)做安全建設(shè)的人都會(huì)遇到同一個(gè)尷尬你費(fèi)盡心思申請(qǐng)預(yù)算做防釣魚(yú)演練、上郵件網(wǎng)關(guān)、搞全員安全意識(shí)培訓(xùn)老板一句“這能省多少錢”就把你問(wèn)住了。我們習(xí)慣了用漏洞掃描報(bào)告、事件響應(yīng)次數(shù)去證明安全工作的價(jià)值但這些指標(biāo)在財(cái)務(wù)語(yǔ)境里往往缺乏說(shuō)服力。換一個(gè)視角把社會(huì)工程學(xué)攻擊當(dāng)作一門“生意”來(lái)看事情就清楚多了攻擊者要投入多少成本受害人會(huì)產(chǎn)生多少損失我們的防御措施又是在哪一環(huán)上改變了投入產(chǎn)出比。這套成本效益分析思路能讓你把安全預(yù)算從“費(fèi)用”變成“投資”。這篇文章我想把完整的分析框架、數(shù)據(jù)采集方法和計(jì)算過(guò)程都攤開(kāi)講清楚。內(nèi)容偏方法實(shí)操適合安全負(fù)責(zé)人、合規(guī)崗、運(yùn)維團(tuán)隊(duì)以及任何需要向管理層解釋“為什么必須做社工防御”的人。我不寫(xiě)教科書(shū)定義只講怎么把這件事算明白。1. 為什么從成本效益視角看社工攻擊1.1 社會(huì)工程學(xué)攻擊不是玄學(xué)是可以定價(jià)的風(fēng)險(xiǎn)很多人覺(jué)得社工攻擊無(wú)法預(yù)判因?yàn)槿耸亲兞壳榫w是變量騙術(shù)也在不斷翻新。但從成本效益的角度看攻擊者并沒(méi)有那么“隨心所欲”。一次大規(guī)模釣魚(yú)要租服務(wù)器、買域名、搭建釣魚(yú)頁(yè)面甚至要購(gòu)買現(xiàn)成的工具包一次針對(duì)財(cái)務(wù)人員的冒充老板詐騙要花時(shí)間研究目標(biāo)公司架構(gòu)、人員分工、付款流程。這些資源消耗都可以折算成錢。我們可以把單次社工攻擊的總成本拆成三塊基礎(chǔ)設(shè)施成本、人力時(shí)間成本和機(jī)會(huì)成本。基礎(chǔ)設(shè)施成本是最容易被量化的購(gòu)買一個(gè)仿冒域名大概幾十到幾百元租一臺(tái)用于發(fā)送郵件的服務(wù)器每月幾十元如果用現(xiàn)成的釣魚(yú)套件價(jià)格從幾十到上千元不等。人力時(shí)間成本稍微抽象一些但可以用目標(biāo)崗位的時(shí)薪來(lái)估算攻擊者花10個(gè)小時(shí)做信息收集按他對(duì)機(jī)會(huì)收入的犧牲來(lái)算這10個(gè)小時(shí)也是有價(jià)的。機(jī)會(huì)成本更隱蔽攻擊者把資源投入到A目標(biāo)就不能同時(shí)攻擊B目標(biāo)這意味著他會(huì)把資源集中在回報(bào)率最高的目標(biāo)上。把這三塊加起來(lái)你會(huì)發(fā)現(xiàn)一次瞄準(zhǔn)中小企業(yè)的社工攻擊前置成本可能只有幾百到幾千元。這個(gè)數(shù)字單獨(dú)看很小但乘上攻擊成功的概率和單次損失攻擊者的期望收益依然可觀。反過(guò)來(lái)說(shuō)當(dāng)我們?cè)u(píng)估防御措施時(shí)也應(yīng)該問(wèn)同一個(gè)問(wèn)題這筆防御投入能不能降低攻擊成功率或者降低成功后的損失規(guī)模。1.2 誰(shuí)需要這套分析框架這套成本效益分析不是只能給安全部門自嗨它適用三個(gè)典型角色。一是安全負(fù)責(zé)人。你需要向公司要預(yù)算要人要資源而決策層真正關(guān)心的是“風(fēng)險(xiǎn)敞口大小”和“投入產(chǎn)出比”。如果你能拿出“去年因社工攻擊損失了X萬(wàn)元今年花Y萬(wàn)元做防御預(yù)計(jì)能規(guī)避Z萬(wàn)元損失”這樣的表達(dá)預(yù)算申請(qǐng)的通過(guò)率會(huì)高很多。二是合規(guī)和審計(jì)人員。很多行業(yè)標(biāo)準(zhǔn)和安全基線都要求企業(yè)做意識(shí)培訓(xùn)和釣魚(yú)演練但“做了”和“做得有效”是兩回事。成本效益分析可以為合規(guī)工作提供過(guò)程證據(jù)我們投入了多少甄別出了多少高風(fēng)險(xiǎn)員工培訓(xùn)后點(diǎn)擊率降低了多少。三是運(yùn)營(yíng)和財(cái)務(wù)管理人員。真正發(fā)生一起社工攻擊后財(cái)務(wù)部門需要核算損失申請(qǐng)保險(xiǎn)理賠甚至要在董事會(huì)層面披露風(fēng)險(xiǎn)。這時(shí)候如果有一套標(biāo)準(zhǔn)化的損失評(píng)估方法財(cái)務(wù)和業(yè)務(wù)部門就不會(huì)各說(shuō)各話。1.3 數(shù)據(jù)從哪里起步開(kāi)始量化之前先想清楚一個(gè)問(wèn)題你要衡量誰(shuí)的成本誰(shuí)的效益我見(jiàn)過(guò)很多團(tuán)隊(duì)一上來(lái)就照著行業(yè)報(bào)告套數(shù)字結(jié)果發(fā)現(xiàn)報(bào)告里統(tǒng)計(jì)的是跨國(guó)企業(yè)的大樣本和自己公司幾十人的規(guī)模完全不匹配。最可靠的起步方式是先建立自己的基線數(shù)據(jù)。哪怕你只有過(guò)去一兩年的安全事件記錄也可以從中提取損失金額、響應(yīng)工時(shí)、業(yè)務(wù)中斷時(shí)長(zhǎng)。如果企業(yè)此前幾乎沒(méi)有記錄那就從訪談開(kāi)始找IT運(yùn)維、財(cái)務(wù)、銷售負(fù)責(zé)人分別聊了解過(guò)去是否發(fā)生過(guò)轉(zhuǎn)賬詐騙、賬號(hào)被盜、敏感信息被套取等情況分別造成了什么后果。真實(shí)數(shù)據(jù)再少也比外部報(bào)告里漂亮的平均數(shù)有說(shuō)服力。2. 數(shù)據(jù)怎么來(lái)構(gòu)建一套可復(fù)用的量化框架2.1 攻擊側(cè)成本一個(gè)可估算的投入模型要做成本效益分析不必真正站在攻擊者角度去調(diào)研暗網(wǎng)定價(jià)但至少要理解對(duì)方的成本結(jié)構(gòu)。我把攻擊側(cè)成本整理成下面這張表你在做內(nèi)部分析時(shí)可以直接參考。成本類別具體項(xiàng)目估算邏輯一個(gè)量級(jí)參考基礎(chǔ)設(shè)施仿冒域名、VPS、郵件發(fā)送通道、釣魚(yú)頁(yè)面搭建按市場(chǎng)常見(jiàn)價(jià)格估算域名幾十元VPS幾十到幾百元每月單次攻擊幾百到一千元工具獲取釣魚(yú)套件、惡意附件生成器、信息收集腳本有免費(fèi)工具也有商業(yè)化的套件取中位值即可0到一千元信息收集在公開(kāi)渠道研究目標(biāo)員工、架構(gòu)、供應(yīng)商信息按攻擊者投入的小時(shí)數(shù)和小時(shí)成本折算幾小時(shí)到幾天不等攻擊執(zhí)行編寫(xiě)話術(shù)、發(fā)送郵件、接聽(tīng)電話、跟進(jìn)回復(fù)涉及的人力時(shí)間按機(jī)會(huì)成本估算1到3人日失敗成本嘗試多個(gè)目標(biāo)后均失敗前期投入全部沉沒(méi)用“成功需要嘗試次數(shù)”乘以單次成本成功率越低沉沒(méi)成本越高不要被這張表里的絕對(duì)數(shù)字誤導(dǎo)不同行業(yè)、不同攻擊手法的成本差異很大。但你要抓住這個(gè)邏輯攻擊者也在做“性價(jià)比”分析如果驅(qū)動(dòng)他的是低成本高回報(bào)那么高價(jià)值目標(biāo)財(cái)務(wù)部門、高管郵箱、核心系統(tǒng)管理員一定是他優(yōu)先攻擊的對(duì)象.我們的防御資源也應(yīng)該優(yōu)先落在這些高價(jià)值目標(biāo)上。2.2 受害側(cè)損失不要只算錢算五項(xiàng)一旦攻擊成功損失往往不是一個(gè)孤立的金額。我習(xí)慣把損失拆成五類分別估值之后再匯總。第一類是直接資金損失比如被詐騙轉(zhuǎn)賬、被篡改收款賬戶、被勒索支付贖金。這是最好量化的直接看銀行流水和財(cái)務(wù)入賬記錄。第二類是響應(yīng)處置成本。事件發(fā)生后安全團(tuán)隊(duì)、IT部門、法務(wù)、公關(guān)、管理層都要投入時(shí)間每人每小時(shí)的成本可以用該崗位的綜合用工成本工資加社保辦公分?jǐn)倎?lái)折算。我見(jiàn)過(guò)一個(gè)典型案例一筆25萬(wàn)元的釣魚(yú)轉(zhuǎn)賬騙局后期光是調(diào)查取證和系統(tǒng)重置就耗掉了安全團(tuán)隊(duì)整整一周。第三類是業(yè)務(wù)中斷損失。如果核心系統(tǒng)被勒索、賬號(hào)被鎖定業(yè)務(wù)可能要停擺數(shù)小時(shí)甚至幾天。計(jì)算方式很簡(jiǎn)單日均營(yíng)收或日均處理業(yè)務(wù)量乘以中斷天數(shù)。第四類是恢復(fù)成本。包括重新部署系統(tǒng)、重置所有憑據(jù)、購(gòu)買新的安全設(shè)備、聘請(qǐng)外部應(yīng)急響應(yīng)顧問(wèn)這些都是一次性支出。第五類是長(zhǎng)期聲譽(yù)與信任損失。這個(gè)最難量化但也有討巧的辦法保守一點(diǎn)按直接損失的10%到30%估算。如果因?yàn)樾孤读丝蛻魯?shù)據(jù)導(dǎo)致客戶流失那就直接按流失客戶的年合同金額來(lái)算。2.3 防御側(cè)投入別只統(tǒng)計(jì)軟件費(fèi)用很多團(tuán)隊(duì)在做投入產(chǎn)出分析時(shí)只把安全軟件的采購(gòu)成本算進(jìn)去這是不對(duì)的。防御社工攻擊的核心投入是人是時(shí)間是流程。展開(kāi)說(shuō)防御投入至少包括四塊培訓(xùn)教育成本全員安全意識(shí)培訓(xùn)課時(shí)的占用成本按員工時(shí)薪乘課時(shí)折算新員工入職培訓(xùn)也要計(jì)入如果采用在線學(xué)習(xí)平臺(tái)還要算平臺(tái)訂閱費(fèi)。釣魚(yú)演練成本演練工具的訂閱費(fèi)、設(shè)計(jì)釣魚(yú)場(chǎng)景的人力耗時(shí)、發(fā)送郵件和執(zhí)行統(tǒng)計(jì)的時(shí)間。每次覆蓋全公司的演練從策劃到復(fù)盤通常需要安全團(tuán)隊(duì)兩到三人投入三到五個(gè)工作日。技術(shù)控制成本郵件網(wǎng)關(guān)、鏈接隔離、賬號(hào)異常檢測(cè)、SIM換卡提醒等安全產(chǎn)品的采購(gòu)和維護(hù)費(fèi)用按年度攤銷計(jì)算。流程管理成本事件響應(yīng)流程的制定、演練后的整改追蹤、高風(fēng)險(xiǎn)人員的再培訓(xùn)這部分工作大多由內(nèi)部人員完成也要折算成工時(shí)。算完防御投入后你才能真正回答“這筆錢花得值不值”的問(wèn)題。3. 實(shí)操建模五步跑通一次完整分析3.1 第一步定義邊界別做一鍋燴開(kāi)始分析之前把分析范圍限定得越具體越好。不要籠統(tǒng)地問(wèn)“全民防社工投入值不值”而是聚焦到一個(gè)具體的攻擊場(chǎng)景比如“冒充高管郵件誘導(dǎo)財(cái)務(wù)轉(zhuǎn)賬”或“釣魚(yú)郵件竊取員工郵箱憑據(jù)”。確定場(chǎng)景后再劃定時(shí)間周期。一般建議按一個(gè)自然年來(lái)看因?yàn)榕嘤?xùn)效果、演練效果都在這個(gè)周期內(nèi)可以觀察。然后再確定目標(biāo)群體范圍是全部員工還是僅財(cái)務(wù)、人事、采購(gòu)等高風(fēng)險(xiǎn)崗位。邊界定清楚了后面的數(shù)據(jù)采集才不會(huì)亂。3.2 第二步采集基礎(chǔ)數(shù)據(jù)這個(gè)階段最重要的兩件事一是摸清公司的人員規(guī)模和高風(fēng)險(xiǎn)崗位分布二是調(diào)取過(guò)去一段時(shí)間的郵件安全日志和事件記錄。如果公司以前做過(guò)釣魚(yú)演練翻出歷史報(bào)告里面有員工的點(diǎn)擊率、報(bào)告率、提交憑據(jù)率這些數(shù)據(jù)可以直接用于估算“當(dāng)前防御水平下的成功率”。如果公司還沒(méi)有做過(guò)任何演練你可以用一次內(nèi)部測(cè)試釣魚(yú)郵件來(lái)獲得基線點(diǎn)擊率。注意測(cè)試郵件一定要在企業(yè)批準(zhǔn)和安全可控的前提下開(kāi)展并且要在測(cè)試結(jié)束后對(duì)所有點(diǎn)擊用戶進(jìn)行一對(duì)一說(shuō)明避免造成誤解。3.3 第三步建立損失場(chǎng)景這一步的目的是把“可能發(fā)生什么”翻譯成具體金額。拿“冒充高管誘導(dǎo)財(cái)務(wù)轉(zhuǎn)賬”來(lái)舉例你可以做這樣的假設(shè)一個(gè)財(cái)務(wù)人員如果被騙單次轉(zhuǎn)賬的金額上限是多少。很多公司的付款審批權(quán)限有上限比如普通會(huì)計(jì)5萬(wàn)元財(cái)務(wù)經(jīng)理20萬(wàn)元這個(gè)上限就是場(chǎng)景里的最大可能損失。成功概率按多少。結(jié)合過(guò)去一年財(cái)務(wù)部門的釣魚(yú)演練點(diǎn)擊率如果財(cái)務(wù)部點(diǎn)擊率有8%而轉(zhuǎn)賬類騙局需要多輪郵件溝通才能成功成功率可以按點(diǎn)擊率的四分之一到五分之一估算。事件發(fā)生后響應(yīng)處置需要多少人力和多長(zhǎng)時(shí)間。按公司規(guī)模估算安全組三人、IT兩人、財(cái)務(wù)兩人、管理層兩人處理一起事件大概需要兩到三天。把這些假設(shè)寫(xiě)清楚每個(gè)數(shù)字都注明判斷依據(jù)。老板質(zhì)疑的時(shí)候你可以逐一解釋這些依據(jù)從哪來(lái)。3.4 第四步計(jì)算損失期望值與防御ROI這里會(huì)用到最簡(jiǎn)單的期望值公式年損失期望 單次成功攻擊的損失金額 × 每年預(yù)計(jì)發(fā)生次數(shù)舉一個(gè)具體例子。假設(shè)某公司財(cái)務(wù)部單次被成功詐騙的損失是20萬(wàn)元當(dāng)前防御水平下每年預(yù)計(jì)發(fā)生1次成功攻擊那么年損失期望就是20萬(wàn)元。再假設(shè)一套完整的防御方案包含全員培訓(xùn)、季度釣魚(yú)演練、郵件網(wǎng)關(guān)升級(jí)和響應(yīng)流程建設(shè)年度總成本是10萬(wàn)元。方案實(shí)施后預(yù)計(jì)釣魚(yú)點(diǎn)擊率從15%降到8%財(cái)務(wù)崗位的識(shí)別率明顯提升成功攻擊發(fā)生概率從每年1次降到0.3次。那么方案規(guī)避的損失是20萬(wàn) × (1 - 0.3) 14萬(wàn)元凈效益14萬(wàn) - 10萬(wàn) 4萬(wàn)元ROI(14 - 10) / 10 × 100% 40%光看ROI還不夠還要算盈虧平衡點(diǎn)。在這個(gè)案例里只要每年成功攻擊發(fā)生次數(shù)大于0.5次10萬(wàn)元 ÷ 20萬(wàn)元防御投入就不虧。0.5次這個(gè)數(shù)字很直觀管理層一聽(tīng)就明白。3.5 第五步輸出給決策層的匯報(bào)結(jié)構(gòu)最后的匯報(bào)不要堆數(shù)據(jù)要講一個(gè)完整的邏輯鏈。我先講現(xiàn)狀用過(guò)去一年內(nèi)發(fā)生的真實(shí)事件說(shuō)明風(fēng)險(xiǎn)再講趨勢(shì)引用自己的釣魚(yú)演練數(shù)據(jù)說(shuō)明員工風(fēng)險(xiǎn)點(diǎn)在哪接著講方案說(shuō)明要做哪些防御動(dòng)作然后講投入給出年度總成本最后講產(chǎn)出用期望損失對(duì)比給出ROI和盈虧平衡點(diǎn)。匯報(bào)里最忌諱只講中位數(shù)或平均數(shù)。決策者真正關(guān)心的是極端情況最壞情形下我們會(huì)損失多少。所以匯報(bào)中要有一個(gè)“最壞場(chǎng)景”預(yù)測(cè)比如財(cái)務(wù)部三個(gè)付款權(quán)限最高的員工同時(shí)被騙總損失可能達(dá)到百萬(wàn)級(jí)。這個(gè)數(shù)字比平均損失更能推動(dòng)決策。4. 常見(jiàn)問(wèn)題與排查實(shí)錄4.1 數(shù)據(jù)失真“一次都沒(méi)中招”不代表風(fēng)險(xiǎn)為零有次我在某公司做評(píng)估安全主管拿出過(guò)去一年的郵件攔截日志說(shuō)釣魚(yú)郵件成功到達(dá)員工的案例為零所以不需要做額外的培訓(xùn)投入。我反問(wèn)了他一個(gè)問(wèn)題你們攔截了所有外部郵件嗎是不是還有從個(gè)人郵箱、即時(shí)通訊工具進(jìn)入的釣魚(yú)信息他沉默了。安全日志只能證明從某一條路徑進(jìn)來(lái)的攻擊被攔住了不能證明人的風(fēng)險(xiǎn)意識(shí)已經(jīng)到位。社工攻擊最常見(jiàn)的變化是繞道今天走郵件明天走短信后天走語(yǔ)音電話。只盯著一類日志做判斷成本效益分析就會(huì)失真。我建議在分析中加入“未知路徑攻擊”的假設(shè)占比。哪怕企業(yè)內(nèi)部沒(méi)有發(fā)生過(guò)完整攻擊外部情報(bào)顯示的同類攻擊趨勢(shì)和本企業(yè)的痛點(diǎn)高度相關(guān)也要按一定的概率計(jì)入損失期望。寧可高估一點(diǎn)風(fēng)險(xiǎn)也不要因?yàn)槁┧銓?dǎo)致防御投入不足。4.2 隱性成本容易漏算很多團(tuán)隊(duì)算損失時(shí)只算直接轉(zhuǎn)賬金額漏掉了大量隱性成本導(dǎo)致防御投入看起來(lái)不劃算。比如賬號(hào)被釣魚(yú)后,重置全公司憑據(jù)這件事如果公司開(kāi)了單點(diǎn)登錄和強(qiáng)制多因素認(rèn)證重置成本會(huì)低很多但如果還沒(méi)有啟用統(tǒng)一身份體系IT部門可能要花兩三天重新同步所有系統(tǒng)。再比如事件發(fā)生后客服部門要接大量客戶問(wèn)詢電話銷售要安撫客戶情緒這些工時(shí)都要折算成錢。還有一種隱性成本是員工心理陰影。被騙的員工往往會(huì)長(zhǎng)時(shí)間自責(zé)甚至離職招聘和培訓(xùn)新人的成本遠(yuǎn)高于想象。我見(jiàn)過(guò)一家企業(yè)因?yàn)橐幻?cái)務(wù)人員被騙后離職重新招聘加培訓(xùn)花了兩萬(wàn)多元這個(gè)損失在最初的評(píng)估里完全沒(méi)被算進(jìn)去。4.3 管理層不買賬怎么辦“數(shù)據(jù)都是你編的”“每年都在演練也沒(méi)見(jiàn)誰(shuí)真被騙”——這兩句話我聽(tīng)過(guò)太多次。應(yīng)對(duì)方法不是辯解而是把分析邏輯再往前推一步。如果管理層覺(jué)得內(nèi)部數(shù)據(jù)不可信那就用行業(yè)基準(zhǔn)數(shù)據(jù)做交叉驗(yàn)證。找?guī)准夜_(kāi)披露過(guò)社工攻擊損失案例的同行企業(yè)測(cè)算它們的人均損失規(guī)模再乘以本公司員工數(shù)得到一個(gè)量級(jí)參考。雖然不精確但可以建立“這不是我們一家的事”的認(rèn)知。如果管理層覺(jué)得演練沒(méi)有效果那就把演練數(shù)據(jù)拿出來(lái)對(duì)比培訓(xùn)前后的點(diǎn)擊率變化。點(diǎn)擊率顯著下降說(shuō)明投入有效點(diǎn)擊率沒(méi)變化說(shuō)明培訓(xùn)方式需要改進(jìn)而不是直接否定投入的必要性。一個(gè)重要經(jīng)驗(yàn)匯報(bào)時(shí)不要只放一張數(shù)據(jù)表而是把“如果什么都不做三個(gè)季度后的累計(jì)損失期望”這個(gè)數(shù)字放上去。老板不怕花錢怕的是看不到花錢的理由。5. 實(shí)操心得與擴(kuò)展方向5.1 我個(gè)人最常用的一組指標(biāo)做了多年成本效益分析我最后沉淀出了一組很簡(jiǎn)單的指標(biāo)每次匯報(bào)都用它們?nèi)司烙杀灸甓确烙偝杀境詥T工總數(shù)。這個(gè)數(shù)字讓管理者直觀知道每人頭上花了多少安全費(fèi)用。每次演練識(shí)別率釣魚(yú)演練中員工主動(dòng)報(bào)告釣魚(yú)郵件的比例。這是衡量培訓(xùn)效果的最核心指標(biāo)。成功攻擊的年化頻率根據(jù)歷史數(shù)據(jù)和外部情報(bào)估算每年可能發(fā)生的成功社工攻擊次數(shù)。單次成功攻擊的損失中位數(shù)用近三年的事件記錄和行業(yè)公開(kāi)數(shù)據(jù)共同估算。防御ROI規(guī)避損失減防御成本再除以防御成本。這五個(gè)指標(biāo)足夠支撐一次10分鐘的預(yù)算匯報(bào)而且財(cái)務(wù)背景的聽(tīng)眾很容易理解。5.2 這套方法的擴(kuò)展空間成本效益分析做到一定階段后可以和保險(xiǎn)、外包風(fēng)險(xiǎn)管理結(jié)合起來(lái)。比如保費(fèi)測(cè)算保險(xiǎn)公司評(píng)估企業(yè)風(fēng)險(xiǎn)時(shí)通常會(huì)問(wèn)過(guò)去幾年的安全損失和防御措施你若能提供一套嚴(yán)謹(jǐn)?shù)某杀拘б娣治霾坏茏尡ＹM(fèi)定價(jià)更合理有些保險(xiǎn)公司還會(huì)給安全成熟度高的企業(yè)提供費(fèi)率優(yōu)惠。還可以把這個(gè)分析思路用在供應(yīng)商管理上。很多企業(yè)被攻擊是因?yàn)楣?yīng)商的賬號(hào)失守如果你能對(duì)核心供應(yīng)商做一次社工防御能力評(píng)估就能在合同里約定安全指標(biāo)。這不只是安全部門的事采購(gòu)部門和法務(wù)部門也會(huì)歡迎這種量化工具。最后成本效益分析本身也需要周期復(fù)評(píng)估。建議每半年復(fù)盤一次模型里的假設(shè)員工流動(dòng)率變了防御工具升級(jí)了外部攻擊手法變了損失期望都要跟著調(diào)整。一套模型用三年不迭代還不如不建?；氐阶铋_(kāi)頭那個(gè)問(wèn)題安全預(yù)算到底能省多少錢我的回答是當(dāng)你把社工攻擊當(dāng)作一門生意來(lái)研究把自己當(dāng)成風(fēng)險(xiǎn)投資人每一分防御開(kāi)支都會(huì)在賬本上找到位置。這個(gè)賬本不是給別人交差的是給自己做決策用的。最后再分享一個(gè)小技巧下一次釣魚(yú)演練結(jié)束后別只統(tǒng)計(jì)點(diǎn)擊率把點(diǎn)擊者的崗位、所在部門、點(diǎn)擊時(shí)間都記錄下來(lái)。三個(gè)月后你會(huì)感謝這份記錄的。