谷歌报告：钓鱼邮件测试员工能力，效果适得其反

　　5月24日消息，近日，谷歌发布了一份研究报告，对众多企业常采用的钓鱼邮件测试方法提出了质疑。该报告指出，尽管许多公司通过发送模拟钓鱼邮件来评估员工的应急响应能力，但这种做法的实际效果并不理想，甚至可能带来诸多负面影响。

　　据了解，这类测试通常包含制造含有诱饵链接或附件的钓鱼邮件，以监测员工的反应。一旦员工点击这些链接或下载附件，他们就会被标记出来并接受所谓的强化培训。然而，谷歌安全经理Matt Linton认为，这种方式不仅不能有效提升员工的防范意识，反而会给员工带来不必要的困扰，同时增加信息安全部门的工作压力。

　　据本站了解，Matt Linton在报告中明确表示，目前没有科学研究证明这种钓鱼邮件测试能够降低企业遭受真实钓鱼攻击的风险。他以谷歌自身的经验为例，指出尽管公司进行了大量的此类测试，但仍有员工不慎点击了来自黑客的真实钓鱼邮件。

　　此外，从技术角度来看，进行这类测试需要企业IT管理员降低系统安全权限，并设立特定的群发邮件白名单。这种做法在一定程度上增加了系统被黑客利用的风险，因为如果这些白名单被不法分子获取，后果将不堪设想。

　　研究人员还指出，这类测试导致信息安全部门的工作量大幅增加。因为除了设计和发送测试邮件外，还需要投入大量时间和资源来记录和分析员工的行为数据。同时，员工可能会因为感到被公司愚弄而降低对信息安全部门的信任，这种情况在长期内可能对公司的整体安全性构成威胁。