本页导览
第3、4页确立了“干预什么”与“组织如何落地”，但落地必须借助具体工具：钓鱼演练平台是嵌入式培训（可教时刻）、脉冲式演练与报告文化建设的工程载体，其能力边界直接决定前述人因设计能否执行。本页对演练工具生态做中立、可核查的盘点与选型评估：① 商业平台格局（只陈述可公开验证的事实：产品定位、归属、能力方向，不做效果排名）；② 开源与自建方案；③ 选型评估十维框架；④ 部署架构与数据合规（《个人信息保护法》口径）；⑤ 演练运营成熟度模型。需要声明：本页不构成商业推荐，所有厂商信息以其官网公开资料为准，引用时已注明访问性质。
数据口径说明
本页涉及的厂商与产品信息（成立背景、产品能力、收购事件）均可在各公司官网、官方文档或权威科技媒体的公开报道中查证：GoPhish为开源项目（源码托管于GitHub，采用MIT许可证）；Social-Engineer Toolkit（SET）由TrustedSec维护并开源；Microsoft的Attack Simulation Training为Microsoft Defender for Office 365 Plan 2的可选功能；KnowBe4于2023年宣布收购Terranova Security（公司官方公告）。凡涉及市场份额、效果对比的内容一律不采用厂商单方宣称数字，均以同行评审研究或中立基准报告（如KnowBe4年度基准报告，其口径见“安全行为实验与度量”专题）为准。
商业演练平台格局
商业安全意识与钓鱼模拟平台市场自2010年代起快速形成。以下按产品定位梳理主流选项（按字母与知名度排序，不代表推荐序）：
| 平台 | 归属/背景（可查证事实） | 产品定位与能力方向 |
|---|---|---|
| KnowBe4 | 美国厂商，2010年由IT安全专家Stu Sjouwerman创立，2024年在纳斯达克上市（股票代码KNBE） | 以模拟钓鱼+安全意识培训一体化为核心，提供多向量模板库、嵌入式教育、Phish Alert一键报告按钮；其年度Phish-prone基准报告（基于自身客户样本）为行业引用最广的基准数据源之一——样本口径详见“安全行为实验与度量”专题 |
| Proofpoint Security Awareness | Proofpoint（NASDAQ: PFPT已退市被Thoma Bravo私有化收购）旗下安全培训产品线 | 与其邮件网关产品联动，强调基于真实攻击遥测的定向演练（谁被真实攻击优先测谁）；发布年度State of the Phish报告 |
| Cofense | 美国厂商，以“人作为传感器”（Human-as-Sensor）理念运营，运营真实钓鱼邮件情报共享社区Cofense Intelligence | 强调报告侧能力：员工报告可疑邮件后的人工/自动分诊（Triage）、与SOAR联动的响应闭环；提供恶意邮件样本库 |
| Hoxhunt | 芬兰厂商 | 以“游戏化+自适应难度”演练为特色，演练邮件难度根据个人表现动态调整；强调员工体验与微学习融合（厂商定位，效果数字属厂商口径） |
| Microsoft Attack Simulation Training | Microsoft Defender for Office 365 Plan 2的内置功能（Microsoft Learn官方文档可查） | 与Microsoft 365生态原生集成（Teams/Exchange/Sentinel），免额外采购平台；适合已全面采用M365 E5的组织降低集成成本 |
| GoPhish（开源） | 开源钓鱼模拟框架，源码托管于github.com/gophish/gophish，MIT许可证 | 自托管、可审计、零许可费；需自行承担模板制作、教育内容、报告分析与合规责任——适合有开发能力且数据必须留在内网的组织（详见下节） |
格局判断的三个要点
- 能力趋同、侧重分化：各平台的共性能力（多向量模板、即时教育、遥测看板）已趋同，差异主要在三个侧重度：KnowBe4侧重培训内容库与基线数据，Proofpoint侧重与邮件网关联动，Cofense侧重报告分诊与响应闭环。选型应围绕组织自身的短板（培训内容不足 vs 响应闭环缺失）而非品牌知名度。
- 基准数据可复用、效果宣称须打折：厂商公布的“培训后PPP降幅”基于其客户自选择样本（有安全投入意愿的组织），不能作为对本组织的收益承诺——期望值估算应回到第4页的期望损失法与FAIR参数化路径。
- 集成成本常被低估：平台本身之外的真实成本在集成（SSO/SIEM/邮件网关联动）、模板本地化（中文话术、国内品牌仿冒场景）与持续运营人力；M365内置方案对M365深度用户可显著降低前者。
开源与自建方案
开源方案的价值不在“免费”，而在于可审计性与数据主权：演练采集的员工行为数据全部留在组织自有的基础设施内，满足《个人信息保护法》最小必要与本地化存储的合规偏好。
- GoPhish：Go语言编写的自托管钓鱼模拟框架（MIT许可证），提供Web界面配置发送策略、目标分组、着陆页与结果遥测（点击/提交/报告事件）。其设计初衷是“足够简单以避免误用”，因此不内置培训内容——嵌入式教育材料需自建着陆页呈现，正好实现第3页“具体性原则”（逐条指出可疑线索）的深度定制，但内容质量责任完全在运营方。
- Social-Engineer Toolkit（SET）：TrustedSec维护的开源社会工程框架（GitHub公开仓库），能力覆盖钓鱼邮件、伪造登录页、凭据收集与多种攻击向量模拟。其定位偏渗透测试教育，强于攻击向量多样性、弱于培训与度量闭环，适合红队/安全团队演练而非全员意识项目。
- 完全自建：基于邮件发送服务+自研着陆页的轻量方案。适用前提：组织具备前端与运维能力；必须内置匿名化采集、留存期限与访问控制（见下节合规要求），否则“自建”反而放大隐私风险。
开源≠无责任
无论商业平台还是开源工具，对员工实施模拟钓鱼均构成《个人信息保护法》下的个人信息处理活动：需要告知（或依第13条例外审慎评估）、限定目的与最小范围、设定留存期限、控制访问权限。开源工具若不自带匿名化与权限控制功能，运营方必须自行补齐——合规义务不因工具免费而豁免。同时，面向员工的模拟须遵守第3页确立的伦理边界：不索取真实口令、不诱导真实转账、不用健康威胁类内容。
选型评估十维框架
基于本专题前六页的人因要求，将“好平台”的操作化定义拆解为十个可打分的评估维度（每维0–2分，总分20）：
| # | 评估维度 | 人因设计依据（对应章节） | 打分要点 |
|---|---|---|---|
| 1 | 多向量覆盖 | 第2页邮件/第5页语音视频/第6页短信二维码 | 邮件+短信+语音+协作工具≥3通道得2分 |
| 2 | 嵌入式教育质量 | 第3页可教时刻设计规范 | 教育内容能否逐条指出当次邮件的可疑线索（具体性） |
| 3 | 一键报告能力 | 第2页邮件UX/第1页NCSC SERS | 报告按钮在邮件客户端原生可用、反馈即时 |
| 4 | 遥测颗粒度 | 第1页CSBI五子指标 | 能否输出悬停率、报告率、时延，而非仅点击率 |
| 5 | 部门匿名化呈现 | 第1页社会规范原则 | 指标能否聚合到部门/团队粒度且去个人化 |
| 6 | 本地化能力 | 第6页中文语境研究议程 | 中文模板库、国内品牌/平台仿冒场景、中文界面 |
| 7 | 数据驻留与合规 | 第4页PIA思路/《个保法》 | 数据存储位置、匿名化、留存期限可配置可审计 |
| 8 | 生态集成 | 第4页零信任接口 | SSO、SIEM/SOAR、HR系统（离职自动退出演练） |
| 9 | 难度自适应 | 第3页逼真度梯度 | 能否按个人表现动态调整演练难度（避免天花板/地板效应） |
| 10 | 总拥有成本 | 第4页ROI | 许可+集成+运营人力三年TCO，而非单看订阅价 |
部署架构与数据合规
推荐的部署与治理架构遵循“采集最小化、呈现聚合化、留存限期化”三原则：
发送/着陆/记录
去标识/聚合
CSBI/PPP/报告率
部门级看板
- 采集最小化：只采集研究问题必需字段（第1页SEED-5检查清单同条原则）；不采集邮件正文内容、不采集非演练邮件的任何行为；IP地址如非必要不存或仅存网段级。
- 匿名化与聚合：个体级原始事件仅在统计窗口内可关联到个人（用于嵌入式教育的“当次反馈”）；超过窗口即不可逆匿名化；对外呈现一律以≥5人最小聚合单元（见“安全行为实验与度量”专题第4页规则）输出。
- 留存限期化：原始事件建议留存不超过完成一轮纵向分析所需周期（如12个月），到期删除或不可逆聚合；留存策略应写入演练伦理文件并接受审计。
- 跨境评估：使用境外SaaS平台时，员工行为数据出境须依《个人信息保护法》第38–40条完成相应合规路径（安全评估/标准合同/认证），并将此列入采购合同条款。
演练运营成熟度模型
| 级别 | 特征 | 标志行为 | 升级动作 |
|---|---|---|---|
| L1 合规驱动 | 年度一次培训+演练，指标仅点击率 | “完成任务”心态；无对照无基线设计 | 引入SEED-5基线测量；增加报告按钮 |
| L2 频率驱动 | 月度/季度演练，有即时教育 | 可教时刻交付；但无难度梯度 | 引入逼真度分档与部门弱点分析 |
| L3 度量驱动 | 多指标（CSBI式）组合，聚合匿名呈现 | 报告率与时延成为正式指标；脉冲学习上线 | 接入真实威胁情报定制场景；高管专属演练 |
| L4 情报驱动 | 演练主题源自本组织真实攻击与行业IOC，报告闭环接入SOC分诊 | 员工报告进入真实事件响应管线（Cofense式Human-as-Sensor） | 参与跨组织基准共享；演练数据反哺防御规则 |
多数组织的现实路径是：先用L1满足合规，再在12个月路线图（第4页）内推进到L2–L3；L4要求报告管线与SOC/SOAR的真实集成，是“报告文化”从文化口号变成检测能力的分水岭——英国NCSC SERS（第1页案例）证明了该模式在全民尺度上的可行性。
本页检查清单
演练平台选型与运营检查清单
- 是否用十维框架对至少2个候选方案完成POC评分，而非仅凭品牌决策？
- 平台能否输出悬停率、报告率、报告时延（而非仅点击率）？
- 嵌入式教育内容能否逐条指出当次邮件的可疑线索？
- 员工报告按钮是否在邮件客户端一键可达且反馈即时？
- 原始行为数据是否设定了留存期限与不可逆匿名化机制？
- 使用境外SaaS时是否完成数据出境合规路径评估？
- 演练数据是否以最小聚合单元（≥5人）对外呈现？
- 离职员工是否自动退出演练名单（HR系统集成）？
- 是否明确平台处于成熟度模型哪一级，并规划了12个月内的升级动作？
参考文献（第7页）
参考文献
- GoPhish 开源项目（MIT许可证）. https://github.com/gophish/gophish ；官方文档 https://getgophish.com/documentation/
- TrustedSec. Social-Engineer Toolkit (SET). https://www.trustedsec.com/resources/tools/the-social-engineer-toolkit-set/ ；源码 https://github.com/trustedsec/social-engineer-toolkit
- Microsoft Learn. Attack simulation training in Microsoft Defender for Office 365. https://learn.microsoft.com/en-us/defender-office-365/attack-simulation-training-get-started
- KnowBe4. 公司信息. https://www.knowbe4.com/about-us ；2023年Terranova Security收购公告（公司新闻稿）. https://www.knowbe4.com/press-releases
- Proofpoint. Security Awareness Training. https://www.proofpoint.com/us/products/security-awareness-training
- Cofense. Cofense Triage与安全意识产品说明. https://cofense.com/
- Hoxhunt. 产品说明. https://hoxhunt.com/
- Kumaraguru, P., et al. (2010). Teaching Johnny Not to Fall for Phish. ACM TOIT, 10(2). doi:10.1145/1754393.1754396（嵌入式教育的平台化交付依据）
- Verkijika, S. F., & De Wet, L. (2018). E-Learning Security Awareness: A Systematic Review and Meta-analysis. Computers & Security, 79, 187–199.
- NCSC (UK). Suspicious Email Reporting Service. https://www.ncsc.gov.uk/collection/suspicious-email-actions（报告闭环的全民尺度标杆）
- 《中华人民共和国个人信息保护法》（2021年施行）第十三条、第三十八条——个人信息处理的告知与出境合规依据。
- KnowBe4. (2025). Phishing by Industry Benchmarking Report 2025. https://www.knowbe4.com/phishing-by-industry-benchmarking-report（基线数据源；样本口径见“安全行为实验与度量”专题）