社交工程演練（常見形式是模擬釣魚郵件）是用一封「看起來像真的」的信或訊息，觀察同仁會不會點連結、輸入帳密，或主動通報。它量的是行為，這是講座和測驗都量不到的。
但演練牽涉寄送技術、員工觀感與個資，事前規劃比寄信本身重要。以下整理從規劃到收尾的做法。
誰需要做社交工程演練？
公務機關及特定非公務機關依《資通安全管理法》及其子法，須依資通安全責任等級定期辦理社交工程演練。民間企業則常因客戶或委託機關的資安要求、ISO 27001 稽核，或自身曾發生釣魚事件而開始辦理。
無論是否被要求，只要公司有人每天收信、處理匯款或管理帳號，演練都是量出真實風險最直接的方法。
演練前一定要先處理的四件事
這四件事沒處理好，演練數據會失真，甚至引發糾紛。
- 取得書面授權：由管理階層核准演練範圍、時間與對象，並事先知會人資與法務。
- 使用專屬的演練寄件域名：不要用公司正式網域或正式產品網域寄演練信，避免網域信譽受損，也避免員工一看網址就識破。
- 請 IT 設定郵件允許清單：把演練寄件來源加入郵件系統允許清單，否則信被攔截，量到的是過濾器而不是人。
- 決定落地頁型態：點擊後顯示教學頁；若要量「輸入帳密」行為，假登入頁只能記錄「有送出」，絕不儲存任何輸入的內容。
情境怎麼設計：依部門而不是一封通用信
一封通用的「中獎通知」很容易被識破，量不出真實風險。真正的攻擊會鎖定職務：財務收到「供應商變更匯款帳戶」、人資收到「應徵者履歷附件」、IT 收到「VPN 帳號即將停用」。
依部門設計情境（魚叉式釣魚）才能量到各單位真正的弱點，也讓演練後的補救訓練更有針對性。寄件人顯示名稱可以模擬內部單位，但建議不要冒充特定真人，若要冒充須先取得當事人同意。
該看哪些指標？別只看點擊率
演練報告常只給一個點擊率，但真正有用的是整條漏斗，以及「改善了沒有」。
- 點擊率：點了連結的比例，是最主要的行為指標。
- 輸入率：點擊後還送出帳密的比例，風險比點擊更高。
- 通報率：主動向 IT 通報可疑信件的比例，這是「越高越好」的正向指標。
- 開信率僅供參考：郵件隱私保護與資安掃描器會自動載入或點開內容，開信數字容易灌水，不宜當成風險依據。
- 補救完成率與多次中招名單：中招者是否完成補救訓練、哪些人在多次演練中都中招。
最常見的五個錯誤
- 用正式網域寄演練信，導致公司網域被郵件服務標記為可疑。
- 假登入頁真的收下員工密碼，反而製造新的資安與個資風險。
- 公開中招名單或懲處中招者，員工從此不敢通報，比中招更糟。
- 只寄一封通用信，數字好看卻量不到真實風險。
- 演練完沒有補救訓練，只交出一張點擊率報表，下次結果一樣。
自建、國際平台還是在地化服務？
常見選擇有三種：自行架設開源工具、使用 KnowBe4 等國際資安意識平台，或部分 Microsoft 365 高階授權內含的攻擊模擬功能。選擇時可以看這幾點：
- 情境是否在地化：中文內容、本地常見的詐騙手法與職務情境。
- 演練與訓練是否串在一起：中招後能否自動派補救訓練，結果能否直接進訓練紀錄與稽核報告，而不是兩套系統各自一張表。
- 寄送基礎設施：是否提供專屬演練域名與寄件設定，與公司正式郵件信譽隔離。
- 是否需要代操：內部沒有人力設計情境與處理寄送時，有沒有人能協助執行。
全体の流れ
一次完整的社交工程演練可以分成六個步驟：
-
1
取得授權並知會相關單位
管理階層書面核准範圍與時間，知會人資、法務與 IT，並說明演練目的是學習而非懲處。
-
2
準備寄送環境
使用專屬演練域名與寄件帳號，請 IT 設定郵件允許清單，先寄給自己測試能否正常收到。
-
3
依部門設計情境
財務、人資、IT、業務各自用貼近職務的情境，並決定落地頁是教學頁或假登入頁。
-
4
正式寄送並觀察
分批寄送避免同時湧入，期間記錄點擊、送出與通報行為。
-
5
對中招者推補救訓練
點擊或送出的同仁自動導向補救訓練與測驗，完成後回填紀錄。
-
6
產出報告並排定下一次
彙整漏斗、各部門風險與補救完成率，作為稽核證據，並排定下一次演練追蹤是否改善。
用 LabLearn 執行演練與補救
LabLearn 的釣魚模擬支援 Email 與 Slack 兩種通道、專屬演練寄件域名、依部門派送不同情境，假登入頁只記錄送出行為、不儲存任何輸入。中招的同仁會自動被派補救訓練，演練與補救結果直接進入 ISO 稽核報告，不必再對兩套系統的資料。內部沒有人力時，也可以由我們協助設計情境與代為執行。
よくある質問
演練前要先告知員工嗎？+
建議事先公告「公司會定期進行社交工程演練」，但不透露時間與內容，這樣既尊重員工，又能量到真實行為。
社交工程演練多久做一次？+
常見做法是每年至少一到兩次，風險較高的單位可以每季一次，用多次結果追蹤改善趨勢。
中招的員工要懲處嗎？+
不建議。懲處會讓員工不敢通報，反而增加風險。比較好的做法是自動派補救訓練，並追蹤多次中招的同仁。
演練會不會蒐集到員工的真實密碼？+
不應該。假登入頁只需要記錄「有送出」這個行為，任何輸入的帳號密碼都不該被儲存。
演練信被公司郵件系統擋掉怎麼辦？+
請 IT 先把演練寄件來源加入允許清單，否則量到的是過濾器的效果，不是員工的行為。