研究概述（第8页）
前七页解决"测什么、怎么测、测得准、对得上威胁"，本页解决"在中国合规地落地"。核心立场：合规不是演练的对立面，而是演练可信度的基础设施——取得员工信任与取得监管认可，是同一件事的两个侧面。本页法律条文以现行有效文本为准，建议由组织法务最终复核；标注"本研究整理"的工具为建议性模板。
法律框架条款映射
| 法律 | 与演练/行为测量直接相关的条款 | 落地要求（本研究整理） |
|---|---|---|
| 《个人信息保护法》（2021施行） | 第28条：生物识别、特定身份等属敏感个人信息；第29条：处理敏感个人信息须取得单独同意；第55–56条：处理敏感个人信息等情形须事前开展个人信息保护影响评估（PIA），评估报告与处理记录至少保存三年；第6条：最小必要与目的限定 | 采集鼠标/击键/眼动等生物特征前完成PIA+单独同意；行为日志按最小必要裁剪字段；到期删除 |
| 《数据安全法》（2021施行） | 数据分类分级保护制度（第21条方向）；重要数据处理者的风险评估义务 | 演练数据纳入组织数据分类分级清单；含真实邮件地址等的数据集按相应级别管理 |
| 《网络安全法》（2017施行，修正后） | 网络运营者安全保护义务；关键信息基础设施运营者的专门要求 | 演练平台本身属组织信息系统，纳入等级保护范围（见下） |
| 《关键信息基础设施安全保护条例》（2021施行） | 运营者须设置专门安全管理机构，开展网络安全教育培训 | 关基单位的钓鱼演练属于法定安全教育载体的组成部分 |
单独同意的实践要点
"一揽子同意书"中包含生物特征采集条款，在执法口径下难以被认定为第29条的"单独同意"。规范做法：为行为生物识别类采集出具独立的同意书，列明采集类型、目的、保存期限、撤回方式；撤回机制必须真实可用（技术上有退出开关），否则同意形同虚设。无法取得单独同意的场景（如全员强制演练），则不采集生物特征，仅使用行为终点遥测——这是合规倒逼设计简化的正面案例。
标准与行业监管要求
- GB/T 22239-2019（等保2.0基本要求）：安全管理体系中的"人员安全管理"要求对各类人员进行安全意识教育、岗位技能培训和相关技术培训——钓鱼演练是满足该要求的标准化证据载体；演练平台自身也应纳入定级备案范围；
- GB/T 35273-2020《个人信息安全规范》：虽为推荐性国标，但提供了敏感个人信息识别的操作细则（含生物识别、行踪轨迹、特定身份），是PIA执行的实务依据；
- GB/T 37988-2019《数据安全能力成熟度模型》（DSMM）：其"人员能力"域包含安全意识培训与测评要求，可作为演练体系成熟度对标的国内框架（与第4页SBMM互补：SBMM度量行为结果，DSMM度量管理能力）；
- 行业维度：金融行业监管（人民银行、金融监管总局）对反诈宣传、账户分级分类管理有持续要求；医疗行业受《医疗卫生机构网络安全管理办法》约束；教育行业需关注教育部网络安全责任制要求。演练内容（如涉财务指令、涉患者信息）应叠加行业场景，但仍以本页通用合规底线为前提。
个人信息保护影响评估（PIA）清单【本研究模板】
演练行为数据采集PIA八问
- 处理目的是否明确、合理？（如"评估钓鱼识别能力"而非泛化"员工监控"）
- 是否处理敏感个人信息？（生物特征/特定身份/行踪轨迹——是则触发单独同意）
- 是否满足最小必要？（字段清单逐项问"不采这个字段，研究问题是否仍然可答"）
- 对个人权益的影响与安全风险是否评估？（含泄露、滥用、歧视性使用风险）
- 保护措施是否与技术同步上线？（去标识化、加密、访问分级、到期删除）
- 保存期限是否设定且有到期处置机制？（建议：个体级原始遥测≤12个月，聚合指标可长期）
- 是否向个人告知处理方式？（隐私告知文本覆盖采集范围）
- 评估报告与处理记录是否归档保存≥3年？（第56条硬性要求）
演练数据全生命周期治理
最小必要·告知
加密·境内
分级·去标识
k≥5聚合
审批·脱敏
到期·留痕
- 跨境：使用境外SaaS演练平台时，员工行为数据出境须满足出境合规路径（安全评估/标准合同/认证之一），且须向个人告知境外接收方；无法完成出境合规的，选用境内部署方案；
- 去标识化执行细则：分析库中移除工号/姓名/IP末段；部门归属保留到≥5人单元；个体级"重复失败者"名单属于高敏数据（第4页指标字典已标注），限安全团队2人以内授权访问并记录查询日志；
- 演练内容素材：使用真实事件改编模板时，去除可识别当事人的一切信息；涉及真实品牌仿冒的，仅限组织控制环境内传播。
演练治理授权流程【本研究模板】
| 步骤 | 责任方 | 产出物 | 周期 |
|---|---|---|---|
| 1. 年度演练计划评审 | 安全部门牵头，HR/法务/工会参与 | 年度计划（主题、范围、边界红线） | 每年Q4 |
| 2. 伦理与合规审查 | 法务+伦理委员会（或合规负责人） | 伦理审批意见+PIA报告 | 计划批准后、首轮前 |
| 3. 全员告知 | HR+内部沟通 | "不定期未预告演练"告知书（延迟告知的合法基础） | 首轮演练前≥15天 |
| 4. 单轮执行审批 | 安全负责人 | 模板审查记录（红线核验，见第5页检查表） | 每轮前 |
| 5. 结果使用约束 | 管理层+HR | "不用于处分"书面承诺 | 制度层面一次，年度重申 |
| 6. 年度审计 | 内审/独立第三方 | 演练合规审计报告（数据处置、授权留痕） | 每年一次 |
供应商与平台评估（中国情境补充项）
- 数据驻留：境内存储、可出具数据流向说明；支持数据删除权响应并给出时限承诺；
- 协助合规：可配合组织完成PIA（提供处理活动说明）、等保测评材料、出境评估所需文件；
- 证据链：模拟事件级原始数据API可导出（避免平台锁定与"黑箱指标"）；指标口径文档完整（承接第5页清单第1、4条）；
- 国有/关基单位：关注供应链安全审查、源代码或组件透明度要求；
- 退出机制：合同终止后的数据返还/销毁证明条款。
预算与ROI期望值模型【本研究模板·示意】
用期望值法把安全投入翻译成财务语言，全部参数须以本组织数据替换：
期望值模型（示意参数，非实证常数）
年度期望损失降低 = 基线年期望损失 × 归因于演练的损失概率降幅。
示例：组织规模1,000人，参考IBM CODB 2025钓鱼泄露平均成本约488万美元（【厂商研究】，仅作量级锚点；识别与遏制天数以报告原文为准）；假设基线年钓鱼成功概率经评估为8%，其中经演练+流程改造可归因降低50%——期望损失降低≈488万×8%×50%≈19.5万美元/年。对照投入（演练平台+内容+内部工时，按本组织实际报价填列）即可得出保守ROI。
三点纪律：①"50%降幅"必须来自本组织纵向数据或标注为假设；②不叠加多个不确定参数制造精确假象——参数给区间，结论给区间；③ROI只做预算对话语言，不作为削减演练的依据（期望损失对尾部事件不敏感，而一次BEC均损即12.3万美元，IC3 2025）。
管理层汇报一页纸模板【本研究模板】
汇报结构（A4一页，固定模板）
- 头部：本期CSBI及SBMM等级（与上期箭头）+ 报告率/报告时延两个文化指标
- 左栏·风险：基线点击率先验、高危岗位Top3（聚合呈现，不出现个人）、外部威胁三条（来自第7页一级证据）
- 中栏·行动：本季度演练主题与覆盖率、嵌入式培训触达人数、流程改进项（双人复核覆盖度）
- 右栏·资源：投入（人/财）、下季度计划、需管理层决策事项（如供应商续签、专项预算）
- 底部：口径声明（数据版本、聚合规则、k≥5）——固定模板保证跨年可比（第2页报告规范的组织版）
无责报告与Just Culture
借鉴航空安全的"公正文化"（Just Culture）：对诚实报告不设处罚，对鲁莽违规才追责——区分"人会犯错"与"系统纵容 reckless 行为"。落到演练体系：①报告可疑邮件的员工获得正向反馈（感谢、积分、公开匿名表扬），无论邮件最终是否恶意；②演练点击结果不进入个人绩效考核；③对"明知流程仍绕过"的个案走流程改进而非个人处分——绝大多数"绕过"是流程设计问题（影子安全，Kirlappos & Sasse 2012）。报告率的长期曲线（第4页指标字典中的鼓励公开指标）是Just Culture是否落地的最灵敏晴雨表。
小结
至此全专题八页构成完整闭环：理论（认知偏差专题）→设计（第1–2页）→测量（第3页）→度量与成熟度（第4页）→工具与案例（第5页）→统计纪律（第6页）→威胁校准（第7页）→合规落地（第8页）。"测得科学"的最终检验，是员工愿意报告、管理层看得懂、监管查得清——三者缺一，体系即不完整。