钓鱼模拟演练应该用哪些指标衡量效果？

Cofense 的官方立场是：员工是组织对抗邮件攻击最强的资产，不应被当作风险本身。绝大多数成功的企业网络攻击都始于一封绕过既有邮件安全措施（包括新的 AI 类措施）的钓鱼邮件，因此员工邮件安全意识项目是分层防御中的关键一环。这就决定了衡量口径必须从「有多少人中招」转向「有多少人能识别并上报」——只统计点击率的项目，本质上只在给失败计数，无法量化组织实际获得了多少检测能力。Cofense 公开数据称其在 2024 年交付了第 10 亿次员工培训模拟。

PhishMe 的 Employee Engagement Index 持续监测员工与模拟演练的交互，生成实时数据与不断更新的熟练度评分，覆盖个人、群组、部门等维度：

• 上报率（Reporting Rate）：员工识别并上报钓鱼尝试的活动情况，反映一线团队的意识与响应度。
• 易感率（Susceptibility Rate）：识别容易中招的员工或群体，用于定向强化与补救。
• 熟练度评分（Proficiency Score）：衡量个人准确识别并上报钓鱼的能力。
• 用户级指标（User-Level Metrics）：定位各层级员工的参与度与韧性缺口。
• 排行榜视图（Leaderboard View）：按韧性排名，识别标杆员工与需要额外支持的人员。
• 弹性指标（Flexible Metrics）：按组织自身需要裁剪评估标准。

其价值在于「快速定位需要改进的区域，并立即开展有针对性的补救」，而不是年终出一张全局点击率报表。

Cofense 官方产品页强调训练应基于真实钓鱼数据做自适应模拟，并明确要求覆盖短信钓鱼（smishing）、语音钓鱼（vishing）与二维码钓鱼，使员工能识别并应对不断演化的攻击方式；模拟应在员工邮件活跃时段投递以创造真实的学习情境。工具侧的关键是一键上报按钮（Reporter），它既缩短响应时间、推动正向行为改变，又把上报动作直接接入全球情报网络。Cofense 公开数据称其全球网络由超过 3,500 万名经过训练的人工上报者构成，钓鱼威胁分析准确率达 99.996%，并且平均每 120 秒（2 分钟）就检测到一封绕过客户标准邮件安全方案的恶意邮件。

指标只有闭环才有意义。合理的落地顺序是：其一，用上报率与易感率划分人群，对高易感群体做定向再培训而非全员重复通训；其二，把 Reporter 上报的邮件接入分析与自动隔离流程，让「员工上报」成为真实检测源而不仅是培训动作——Cofense 的模式即上报邮件经分析后标记安全或恶意，恶意者实时自动隔离，威胁画像再共享回全网；其三，向管理层提供板级可读的报告与分析，用以跟踪表现、度量风险并调整训练策略。这样，安全意识项目才从合规动作转化为可审计、可对标、能直接降低邮件威胁停留时间的运营能力。