服務
社交工程演練（Social Engineering）

滲透測試著重於應用程式、系統或基礎架構的技術弱點。社交工程評估則著重於人為因素、驗證流程及辨識詐騙行為的能力。兩者評估的是不同層面的風險，可以相輔相成。

預設不會。演練的目標是在安全範圍內衡量行為與意識。情境及互動類型會事先在測試規範中確定，並經企業核准後才執行。

不應蒐集或保存真實密碼。若演練需評估輸入憑證的行為，模擬系統可設計為僅依企業核准的範圍記錄互動行為，而不保存實際的密碼內容。

執行前，Musk-IS 會與企業約定對象、攻擊管道、時間、情境及執行限制。所有活動僅在核准範圍內進行，以確保安全並降低非預期的影響。

頻率取決於企業的風險程度及資安意識計畫。一年可執行一次或多次演練，特別是在訓練之後、人員大幅異動時，或企業需要衡量意識計畫成效時。

可以。服務範圍可彈性設計。企業可先從電子郵件社交工程演練開始，有需要時再擴大至語音釣魚、簡訊釣魚或實體社交工程。實務上，大多數企業都從電子郵件網路釣魚開始，因為這是最常見、也最容易大規模執行的攻擊管道。其他管道通常在後續演練中加入，屆時企業已有基準數據可比較改善程度。

演練的設計以降低對日常運作的影響為原則。情境、時間、範圍及停止條件皆事先與企業以書面約定。企業會指定知悉演練資訊的窗口，以處理非預期狀況，並約定需排除的族群或時段。目的在於衡量人為風險程度，而非中斷工作或對員工施加壓力。

可追蹤多次演練間的指標，例如點擊率、互動率、通報率、通報時間、依族群或部門區分的結果，以及訓練後的改善比例。其中通報率——主動通報可疑郵件的員工比例——通常比點擊率更能反映成效，因為它顯示員工不僅避開陷阱，還啟動了企業的應變流程。指標只有在同一範圍的連續演練間相互比較時才有意義。

適合。範圍可依員工人數、模擬管道及評估目標調整。小型企業可從範圍較精簡的電子郵件社交工程演練開始。規模小並不代表風險低：人員少的企業通常沒有專責資安團隊與內部驗證流程，一封針對會計或人資部門的偽冒郵件，可能直接送到有權執行交易的人手上。

結果可依管理系統範圍及稽核方的要求，作為資安意識活動及控制措施成效評估的部分佐證。能否滿足特定稽核要求，需依個案判斷。