持续安全意识培训对员工钓鱼易感率的影响研究

摘要

网络钓鱼长期占据企业初始入侵事件的首要来源，而员工作为钓鱼攻击的直接作用对象，其安全意识水平与行为倾向直接决定攻击能否成功。长期以来，企业安全意识培训多以年度合规课程的形式开展，其实际防护效果缺乏大样本实证数据的系统支撑。本文基于一项覆盖全球 19 个行业、四种组织规模、七个地区，涉及 64000 家组织、1480 万名用户、4200 万次模拟钓鱼测试的大规模实证研究，系统分析持续安全意识培训与模拟测试对员工钓鱼易感率的影响效应。研究发现，未接受培训前全球平均钓鱼易感率为 33.2%，持续开展培训与模拟测试 90 天后降至 20.1%，持续一年后进一步降至 4.2%，较基线总体下降约 87%。培训效果呈现明显的阶段性特征：短期干预可实现快速下降，但持久的行为改善依赖长周期的持续强化。研究同时揭示钓鱼易感率在组织规模、行业、地区维度上存在显著差异，超大型组织基线风险显著高于小型组织，医疗、保险、零售行业连续两年位居高风险前列。反网络钓鱼技术专家芦笛指出，钓鱼易感率的下降并非培训内容本身的直接产物，而是持续模拟、即时反馈、场景化施教与行为强化共同作用的结果，一次性合规课程无法实现同等效果。本文进一步剖析培训有效性的内在机理，论证持续培训与模拟测试协同、即时反馈、岗位场景适配等关键要素的作用机制，为企业优化安全意识培训体系、降低人因安全风险提供实证依据与实践参考。

关键词：安全意识培训；网络钓鱼；钓鱼易感率；模拟测试；人因安全；行为改变

1 引言

网络钓鱼作为社会工程攻击最成熟、最普遍的实施形态，始终是企业网络安全面临的首要威胁之一。大量安全事件溯源分析表明，钓鱼攻击是勒索软件部署、凭证窃取、商业邮件欺诈、内网横向渗透等后续攻击行动的关键初始入口。与利用软件漏洞的技术攻击不同，钓鱼攻击的核心作用对象是人，其成功与否不取决于系统防护强度，而取决于目标员工在收到恶意邮件后的判断与行为。正因如此，员工的安全意识水平与行为习惯被视为企业钓鱼防御体系中不可替代的关键环节。

过去十余年间，企业普遍将安全意识培训作为应对钓鱼威胁的标准措施，投入了相当的资源用于课程开发、平台部署与员工考核。然而，培训的实际效果长期存在争议。一方面，大量企业将安全意识培训简化为年度合规任务，以课程完成率作为核心考核指标，员工被动观看标准化视频后即可通过考核，培训内容与实际工作场景脱节，知识难以转化为行为习惯。另一方面，学术界与产业界对于安全意识培训能否真正降低员工在真实攻击场景中的受害风险，始终缺乏大样本、长周期的实证数据支撑，部分研究甚至对培训的实际效用提出质疑。

与此同时，钓鱼攻击本身正在经历快速演化。生成式人工智能技术的普及使钓鱼邮件的文本质量获得系统性提升，语法错误、拼写瑕疵等传统识别线索大幅减少；钓鱼即服务模式的成熟降低了攻击的技术门槛，使高质量钓鱼攻击得以规模化、低成本投放；个性化鱼叉式钓鱼、多渠道复合攻击、深度伪造语音诈骗等新型攻击形态不断涌现。攻击形态的演化对员工的安全识别能力提出了更高要求，也使传统培训模式的局限性更加凸显。

在此背景下，系统评估安全意识培训的实际效果、识别影响培训有效性的关键要素、探索能够驱动持久行为改变的培训模式，具有重要的理论价值与实践意义。本文基于一项大规模全球实证研究的数据，围绕持续安全意识培训与模拟测试对员工钓鱼易感率的影响展开系统分析，重点回答以下问题：持续培训能否显著降低员工的钓鱼易感率？培训效果在时间维度上呈现何种变化特征？钓鱼易感率在组织规模、行业、地区等维度上存在哪些差异？哪些培训要素是驱动持久行为改变的关键？通过对上述问题的实证分析，本文旨在为企业优化安全意识培训体系、提升人因防御能力提供数据支撑与实践指引。

2 研究设计与数据来源

2.1 数据来源与样本构成

本研究的数据来源于一项全球范围内的大规模安全意识培训效果实证研究。该研究由安全意识培训服务商 KnowBe4 组织实施，数据采集周期覆盖 2025 年至 2026 年，研究样本在规模与覆盖面上均处于同类研究前列。

从组织覆盖来看，研究共纳入全球范围内 64000 家开展安全意识培训与模拟钓鱼测试的组织，这些组织分布于 19 个行业门类，涵盖从员工人数少于 250 人的小型企业到员工人数超过 10000 人的超大型企业的四种规模层级，地理范围覆盖非洲、亚洲、欧洲、北美洲、南美洲、大洋洲及中东等七个主要地区。样本构成的广泛性使研究结论具备较好的外部效度，能够反映不同行业、不同规模、不同地区组织的普遍情况。

从用户覆盖来看，研究共涉及 1480 万名企业员工用户，这些用户在研究周期内参与了安全意识培训课程，并接收了模拟钓鱼测试邮件。用户样本的庞大规模有效降低了个体差异对统计结果的干扰，使钓鱼易感率的均值变化能够较为准确地反映培训干预的整体效应。

从测试覆盖来看，研究周期内累计开展了 4200 万次模拟钓鱼测试。每次测试向员工发送一封精心设计的模拟钓鱼邮件，记录员工的行为反应，包括是否点击邮件中的链接、是否打开附件、是否在仿冒页面提交凭证、是否主动举报可疑邮件等。海量测试数据为分析培训效果的时序变化、群体差异与行为模式提供了坚实的数据基础。

需要说明的是，本研究的数据来源于开展了安全意识培训项目的组织，未纳入完全未开展任何培训的组织作为对照组。因此，研究结论主要反映持续培训干预下钓鱼易感率的变化趋势，而非培训组与非培训组的直接对比。尽管存在这一局限，研究通过基线测试（培训开展前的首次测试）建立了组织内部的参照基准，使培训前后的变化对比具备可靠的内部效度。

2.2 核心指标界定：钓鱼易感率

本研究采用钓鱼易感率（Phish-prone Percentage，简称 PPP）作为衡量员工面对钓鱼攻击时脆弱程度的核心指标。PPP 的计算基于员工在模拟钓鱼测试中的实际行为表现，当员工在测试中执行了预设的风险操作 —— 包括点击恶意链接、打开可疑附件、在仿冒登录页面提交账号凭证、下载并运行可疑文件等 —— 即被判定为该次测试中 "易感"。PPP 即为在特定测试周期内，执行了风险操作的员工占参与测试员工总数的比例。

PPP 指标的设计具有几个重要特点。第一，它基于实际行为而非自我报告。传统安全意识评估多依赖问卷调查，询问员工 "是否会点击可疑链接"，这种自我报告方式存在社会期望偏差，员工倾向于给出符合安全规范的答案而非真实行为。PPP 直接观测员工在模拟测试中的实际操作，避免了自我报告的偏差，能够更真实地反映员工的行为倾向。

第二，它反映的是模拟环境下的行为倾向，而非真实攻击中的实际受害率。模拟测试邮件的难度、类型、发送频率与真实攻击存在差异，因此 PPP 数值不能直接等同于企业在真实钓鱼攻击中的受害比例。PPP 更适合被定位为一种人因风险基准指标，用于衡量组织内部员工面对钓鱼攻击时的相对脆弱程度，以及培训干预后行为风险的变化趋势。

第三，PPP 是一个可动态追踪的指标。通过定期开展模拟测试并计算 PPP，企业可以持续观测员工钓鱼易感率的变化，评估培训措施的实际效果，识别高风险部门与人群，为精准干预提供数据依据。相比于静态的培训完成率指标，PPP 的动态变化能够更准确地反映培训是否真正转化为行为改善。

在本研究中，PPP 的计算遵循统一的判定标准，所有参与组织的模拟测试均采用一致的测试框架与行为判定规则，确保不同组织、不同时间节点的 PPP 数据具备可比性。研究分别在培训开展前（基线阶段）、培训持续 90 天后、培训持续一年后三个时间节点计算全球平均 PPP，并按组织规模、行业、地区等维度进行分组统计。

2.3 培训干预的基本模式

本研究中各组织开展的安全意识培训并非单一的在线课程，而是一个包含多个环节的持续性干预体系。其基本模式包括以下核心要素：基线模拟测试，即在正式培训开展前向全体员工发送一轮模拟钓鱼邮件，测量初始 PPP，摸清组织的风险底数；常态化模拟钓鱼测试，即在培训周期内定期向员工发送不同类型、不同难度的模拟钓鱼邮件，持续观测员工的行为反应；场景化培训内容，即根据员工的岗位特征与历史测试结果，推送与其工作场景相关的安全培训模块，而非采用千人一面的通用课程；即时反馈机制，即当员工在模拟测试中执行了风险操作时，系统立即展示教学提示或推送微型补充课程，在错误发生的第一时间进行行为强化；行为分析与精准干预，即基于员工的测试数据识别高风险个体与群体，对反复出现风险行为的员工进行针对性补训。

这一培训模式的核心特征是持续性与闭环性。它不同于传统的年度一次性课程，而是将培训、测试、反馈、分析、再培训有机衔接，形成持续滚动的管理闭环。研究中各组织的培训实施细节可能存在差异，但均包含上述核心要素，且培训与模拟测试的持续时间不少于一年，这为分析长期培训效果提供了必要的时间跨度。

3 培训干预下钓鱼易感率的时序变化

3.1 基线阶段的全球风险水平

在正式开展安全意识培训之前，研究通过首轮模拟钓鱼测试测量了所有参与组织的基线钓鱼易感率。数据显示，全球平均基线 PPP 为 33.2%。这一数值意味着，在未接受任何针对性培训的情况下，平均每三名员工中就有一人会在模拟钓鱼测试中执行风险操作，点击可疑链接、打开附件或提交凭证。

33.2% 的基线水平揭示了企业人因安全风险的严峻现实。尽管网络钓鱼已经不是一个新的威胁概念，尽管大多数企业都部署了邮件安全网关等技术防护措施，尽管员工在日常工作中或多或少接触过安全提示，但在没有系统性持续培训的情况下，仍有超过三分之一的员工无法正确应对模拟钓鱼攻击。这一数据充分说明，仅凭技术防护与零散的安全宣传，远不足以建立有效的人因防线，员工在钓鱼攻击面前的脆弱程度远超许多企业管理者的预期。

基线 PPP 的高企还反映了钓鱼攻击本身的有效性。现代钓鱼邮件在外观上已经高度仿真，能够精准模仿企业内部通知、供应商沟通、业务系统提醒等常见邮件类型，员工在日常工作中面对大量邮件时，很难仅凭直觉区分真伪。特别是当钓鱼邮件与员工的实际业务场景高度贴合时，例如财务人员收到供应商付款通知、IT 人员收到系统维护提醒、人力资源人员收到简历投递邮件，攻击的可信度大幅提升，员工的警惕性自然下降。

反网络钓鱼技术专家芦笛强调，33.2% 的基线 PPP 是一个值得企业管理者高度重视的数字。它意味着如果企业未开展系统性安全意识培训，按照每三名员工一人中招的比例推算，一次针对全员的钓鱼攻击可能在组织内部造成大量终端沦陷或凭证泄露，而任何一个成功的钓鱼入口都可能成为后续勒索软件部署或内网横向渗透的跳板。人因风险的绝对水平，决定了企业在钓鱼攻击面前的基本暴露面。

3.2 短期干预效果：90 天数据

在持续开展安全意识培训与模拟钓鱼测试 90 天后，研究测量了第二阶段的全球平均 PPP。数据显示，90 天后全球平均 PPP 降至 20.1%，较基线的 33.2% 下降了约 40%。这一下降幅度表明，持续培训在短期内即可产生显著效果，员工的钓鱼识别能力在三个月的培训与模拟测试干预下获得了明显提升。

20.1% 的 90 天 PPP 意味着，经过三个月的持续培训，平均每五名员工中仍有一人可能在模拟测试中执行风险操作。虽然较基线水平已有显著改善，但这一比例仍然不低，说明短期培训虽然能够快速降低整体风险水平，但远未达到理想的防护状态。大量员工在面对钓鱼邮件时仍然会做出错误判断，培训效果的巩固与深化需要更长时间的持续强化。

90 天阶段 PPP 下降 40% 的短期效果，主要来源于几个方面的作用。第一，首轮模拟测试本身即具有警示效应。许多员工在第一次模拟测试中 "中招" 后，收到即时反馈与培训提示，对钓鱼攻击的实际形态有了直观认识，安全意识被快速激活，在后续测试中表现出更高的警惕性。第二，持续的模拟测试使员工不断接触不同类型的钓鱼邮件，逐步积累识别经验，对钓鱼攻击的常见模式与特征形成初步认知。第三，培训课程为员工提供了系统的识别方法与应对流程，使其在面对可疑邮件时有章可循，而非仅凭直觉判断。

然而，90 天阶段的效果也存在明显的局限性。短期培训主要提升了员工对明显钓鱼特征的识别能力，对于高度仿真、与业务场景深度贴合的复杂钓鱼攻击，员工的识别能力仍然不足。同时，短期培训带来的行为改变尚不稳定，部分员工的警惕性提升来源于对模拟测试的新鲜感与短期记忆，随着时间推移，如果培训与测试不能持续跟进，行为可能出现回弹。90 天数据所揭示的，更多是培训的 "止血" 效应，而非持久的行为固化。

3.3 长期干预效果：一年数据

当安全意识培训与模拟钓鱼测试持续开展一年后，研究测量了第三阶段的全球平均 PPP。数据显示，一年后全球平均 PPP 进一步降至 4.2%。与 90 天阶段的 20.1% 相比，下降幅度约为 79%；与基线阶段的 33.2% 相比，总体下降幅度约为 87%。这一结果表明，持续一年的培训与模拟测试能够将员工的钓鱼易感率压缩到极低水平，实现从 "每三人一人中招" 到 "每约 24 人一人中招" 的根本性转变。

4.2% 的一年期 PPP 具有重要的安全意义。它意味着在经过一年持续培训的组织中，绝大多数员工能够正确应对模拟钓鱼攻击，人因风险被控制在较低水平。虽然 4.2% 并不意味着零风险 —— 在大型组织中，4.2% 的员工绝对数量仍然可观 —— 但与基线 33.2% 相比，风险暴露面缩小了约八成，企业因员工误操作导致钓鱼攻击成功的概率大幅降低。对于以钓鱼为初始入口的后续攻击链而言，初始入口成功率的下降直接压缩了整个攻击链的成功概率，具有显著的风险缓释效应。

从 90 天的 20.1% 到一年的 4.2%，这一阶段的下降幅度（79%）甚至超过了从基线到 90 天的下降幅度（40%），说明培训效果并非随时间递减，而是在持续强化中不断深化。这一发现挑战了一种常见的认知，即培训的主要效果集中在初期，后续培训的边际效用递减。数据表明，恰恰是 90 天之后的持续培训与模拟测试，推动了 PPP 从 20.1% 向 4.2% 的质变，将员工的钓鱼识别能力从 "能够识别明显钓鱼" 提升到 "能够应对高度仿真钓鱼" 的更高水平。

一年期数据的另一个重要启示是，持久的行为改变需要长周期的刻意练习。安全行为的形成不是一次性知识灌输的结果，而是在反复的模拟测试、即时反馈、行为强化中逐步固化的过程。员工需要在不同场景、不同难度、不同类型的钓鱼邮件中反复练习正确的应对方式，才能将 "暂停、核实、举报" 等安全行为从需要刻意思考的操作，转化为近乎本能的工作习惯。一年的持续培训，为这种行为固化提供了必要的时间跨度与练习频次。

3.4 时序变化的阶段性特征

综合基线、90 天、一年三个时间节点的数据，可以清晰地观察到持续培训干预下钓鱼易感率变化的阶段性特征。

第一阶段为基线到 90 天的快速下降期。这一阶段 PPP 从 33.2% 降至 20.1%，下降约 40%，降幅显著但绝对值仍然较高。这一阶段的主要驱动力是安全意识的激活与基础识别能力的建立。员工通过首轮模拟测试的 "中招" 体验获得直观警示，通过培训课程掌握基本识别方法，通过持续测试积累初步经验，整体安全意识从 "无意识" 状态快速提升到 "有意识" 状态。但这一阶段的行为改变尚不稳定，员工对复杂钓鱼攻击的识别能力仍然不足，PPP 维持在 20% 以上的较高水平。

第二阶段为 90 天到一年的深化固化期。这一阶段 PPP 从 20.1% 降至 4.2%，下降约 79%，是实现质的飞跃的关键阶段。这一阶段的主要驱动力是行为模式的固化与识别能力的深化。随着模拟测试的持续开展，员工接触到更多类型、更高难度的钓鱼邮件，识别经验不断丰富；即时反馈机制在每次错误发生后及时进行行为强化，使正确的应对方式逐步内化；场景化培训内容使员工能够将通用识别原则与自身业务场景结合，提升对高度贴合业务的钓鱼攻击的识别能力。这一阶段结束时，安全行为已经从 "有意识地执行" 转化为 "习惯性地执行"，PPP 被压缩到较低水平。

两个阶段的对比揭示了一个重要规律：短期培训能够快速降低风险，但只有持续培训才能实现持久的行为改变。90 天的 20.1% 与一年的 4.2% 之间存在巨大差距，这一差距正是持续培训价值的集中体现。如果企业在培训开展 90 天看到初步效果后便减少投入或停止跟进，员工的钓鱼易感率很可能维持在 20% 左右的较高水平，无法实现真正有效的人因防护。只有将培训与模拟测试作为一项持续性的常态化工作，长期坚持、不断强化，才能将 PPP 压缩到较低水平，建立真正有韧性的人因防线。

反网络钓鱼技术专家芦笛指出，钓鱼易感率时序变化的阶段性特征，对企业的培训资源投入策略具有直接指导意义。企业应当认识到，安全意识培训不是一个可以一次性完成的项目，而是一项需要长期持续投入的常态化工作。前 90 天的快速下降容易让管理者产生 "培训已经见效" 的错觉，但真正决定防护水平的是 90 天之后的持续深化阶段。将培训预算集中在初期、后续逐年缩减的做法，无法实现最优的风险控制效果。

4 钓鱼易感率的跨维度差异分析

4.1 组织规模维度

研究数据显示，组织规模与基线钓鱼易感率之间存在明显的正相关关系。员工人数在 10000 人及以上的超大型组织，平均基线 PPP 高达 39.5%；而员工人数少于 250 人的小型组织，平均基线 PPP 仅为 24.7%。两者相差 14.8 个百分点，差距显著。中型与大型组织的基线 PPP 则介于两者之间，随规模增大而逐步上升。

这一差异并不意味着超大型组织的员工天生安全意识更差，而是反映了大型组织在人因安全管理上面临的固有复杂性。首先，大型组织人员构成庞杂，不同岗位、不同层级、不同地域的员工在数字素养、安全认知、工作习惯上存在巨大差异，统一的培训标准难以覆盖所有群体的实际需求。其次，大型组织管理半径过长，跨地区、跨部门的培训落地难度大，培训内容的传达与执行容易在层级传递中出现衰减。再次，大型组织人员流动性高，新员工、承包商、临时人员频繁进出，培训的持续覆盖面临挑战，而新加入人员往往是钓鱼攻击的高风险目标。此外，大型组织公开信息多，更容易成为攻击者实施定制化鱼叉式钓鱼的目标，攻击者能够获取员工姓名、职位、组织架构、业务关系等详细信息，制作高度个性化的钓鱼邮件，提升攻击成功率。最后，大型组织业务流程繁复，财务、IT、人力资源、管理层等不同岗位面临截然不同的攻击场景，通用型培训内容难以覆盖各岗位的特定风险，导致部分高风险岗位的培训效果不佳。

组织规模维度的差异对大型企业的培训策略具有重要启示。超大型组织不能采用 "一套课程打天下" 的标准化培训模式，而应当转向基于风险的分组管理。根据不同部门、不同岗位的业务特征与风险暴露，设计差异化的培训内容与模拟测试场景。例如，财务人员应当重点演练付款指令变更、银行账户篡改、高管冒充等场景；IT 管理员应当聚焦多因素认证疲劳攻击、恶意授权应用、远程支持工具滥用等场景；人力资源人员则应当加强对简历附件病毒、员工薪酬信息变更等攻击的识别。通过精准分组与因岗施教，大型组织可以有效缩小与小型组织在基线风险上的差距，提升培训的整体效能。

4.2 行业维度

研究数据显示，不同行业的基线钓鱼易感率存在显著差异。连续第二年，培训前钓鱼易感率最高的三个行业分别为医疗与制药（42.7%）、保险（38.1%）、零售与批发（36.0%）。这三个行业的基线 PPP 均高于全球平均水平 33.2%，其中医疗与制药行业更是超过 40%，意味着在未接受培训的情况下，该行业平均每两名多员工中就有一人可能在模拟测试中中招。

高风险行业的共性特征可以从业务模式中找到解释。这三个行业均具有高频外部沟通、极高业务时效性、大量涉及敏感数据与外部文件交换的业务特点。医疗机构需要频繁处理患者资料、化验报告、保险单据等外部邮件，这些邮件本身即包含大量链接与附件，员工在日常工作中已经形成了快速处理外部邮件的工作习惯，攻击者只需模仿这些常规业务流程即可制作高度可信的钓鱼邮件。保险机构涉及大量理赔申请、身份证明、付款信息的流转，业务处理的时效性要求高，员工在面对 "紧急理赔"" 付款通知 " 等邮件时容易因业务压力而放松警惕。零售企业则深陷订单、物流、发票、供应链沟通的邮件海洋，每天接收大量来自供应商、物流公司、客户的外部邮件，钓鱼邮件混杂其中，员工很难逐一甄别。

行业维度的差异表明，钓鱼攻击的成功率与员工的业务工作模式密切相关。当钓鱼邮件能够完美嵌入员工的日常业务流程时，攻击的可信度最高，员工的警惕性最低。因此，高风险行业的培训必须深度绑定真实业务场景，让员工在 "模拟即实战" 的环境中练习识别披着合法外衣的攻击。通用型的安全培训内容对这些行业的效果有限，只有将培训场景与员工每天实际处理的业务邮件类型结合起来，才能有效提升识别能力。

同时，高风险行业还应当审视自身业务流程中可能被攻击者利用的环节。如果大量员工在特定业务场景下 "集体翻车"，问题可能不仅在于员工的安全意识，还在于业务流程本身存在设计缺陷，例如付款流程缺乏二次验证、外部文件处理缺乏安全检查、身份核验步骤缺失等。此时，企业应当同步优化技术控制与业务流程，从制度层面压缩钓鱼攻击的成功空间，而非单方面苛责员工。

4.3 地区维度

从地区维度审视，研究数据显示不同地区的基线钓鱼易感率存在差异。非洲以 35.9% 的平均基线 PPP 位居首位，北美洲以 34.5% 紧随其后，南美洲为 31.5%，亚洲则以 24.9% 成为报告中基线最低的地区。欧洲、大洋洲及中东地区的基线 PPP 介于上述区间之间。

地区间 PPP 差异的成因是多方面的，不能简单理解为员工安全意识的 "排行榜"。样本构成的差异是重要影响因素之一，不同地区参与研究的组织在行业分布、规模构成上可能存在系统性差异，例如某地区样本中高风险行业占比较高，其平均 PPP 自然偏高。既有安全计划成熟度的差异也会影响基线水平，部分地区企业开展安全意识培训的历史较长、普及度较高，即便在研究的基线测试阶段，员工也可能已经具备一定的安全意识基础。此外，钓鱼攻击的地区性特征也会影响测试结果，不同地区流行的钓鱼攻击类型、语言、伪装对象存在差异，模拟测试邮件的设计与当地实际攻击形态的匹配程度会影响员工的识别表现。

亚洲地区 24.9% 的基线 PPP 虽然低于全球平均水平，但这一数字仍然意味着平均每四名员工中就有一人可能在模拟攻击中中招，风险绝对水平并不低。对于亚洲企业而言，不应以地区平均值较低而自我安慰，而应当警惕具有本地特色的攻击场景。亚洲地区常见的钓鱼攻击形态包括利用企业微信、WhatsApp 等即时通讯工具冒充管理层、伪造银行与电子支付账户验证通知、冒充快递海关税务等公共服务机构、利用二维码隐藏恶意地址、针对跨境贸易伪造发票或收款账户变更信息、利用深度伪造语音诈骗高管或财务人员等。这些本地化攻击场景与欧美地区常见的钓鱼形态存在差异，企业培训内容必须充分覆盖本地威胁特征，才能有效提升员工的实际防护能力。

地区维度的分析提示企业，钓鱼易感率的横向比较应当谨慎。企业更应当关注自身的基线水平与纵向变化趋势，建立属于自身行业与规模的专属风险基准，据此开展针对性防御，而非简单地与地区或行业平均值进行对比。

5 培训有效性的内在机理分析

5.1 一次性合规培训的局限性

在讨论持续培训为何有效之前，有必要先分析传统一次性合规培训的局限性，这有助于理解培训效果差异的根源。时至今日，仍有大量企业将安全意识培训视为年度合规任务：每年安排一次在线课程，强制员工观看完毕，以 100% 完成率向上级或审计交差。这种模式或许能够满足最低合规要求，但在提升员工实际钓鱼识别能力方面效果有限。

一次性合规培训的第一个局限是知识留存率低。认知心理学研究表明，一次性被动学习的知识留存率随时间快速衰减，员工在观看培训视频时可能理解了内容，但数月后在实际工作中遇到钓鱼邮件时，相关知识已经模糊。特别是当钓鱼邮件高度仿真、与业务场景贴合时，员工需要在短时间内做出判断，模糊的记忆不足以支撑正确决策。

第二个局限是培训内容与实际场景脱节。年度合规课程通常采用通用化内容，讲解钓鱼攻击的典型特征与基本防范原则，但很少结合不同岗位的实际业务场景。员工在培训中学到的是 "不要点陌生链接" 的抽象原则，但在实际工作中面对的是 "供应商发来的付款通知""IT 部门发来的密码重置提醒 ""同事发来的会议纪要" 等具体情境，抽象原则难以直接迁移到具体判断中。

第三个局限是缺乏行为练习与反馈。一次性培训以知识灌输为主，员工被动接受信息，没有机会在接近真实的场景中练习识别技能，也没有获得行为反馈的机会。安全行为的形成需要反复练习与即时反馈，仅凭观看视频无法将知识转化为习惯。员工在培训后可能 "知道" 应当怎么做，但在实际面对钓鱼邮件时仍然 "做不到"。

第四个局限是无法应对攻击形态的动态演化。钓鱼攻击的手法、模板、伪装对象持续变化，年度培训内容更新周期长，往往滞后于实际威胁演化。员工在培训中学到的识别特征可能已经被攻击者规避，而新出现的攻击形态尚未纳入培训内容，导致培训与实际威胁脱节。

研究数据从反面印证了一次性培训的局限。即便在持续培训 90 天后，全球平均 PPP 仍然高达 20.1%，说明短期集中培训虽然能够产生一定效果，但远不足以将风险控制在低水平。只有将培训持续滚动至一年，PPP 才被压缩至 4.2%。这一对比充分说明，一次性或短期培训无法实现持久的行为改变，持续培训是提升人因防御能力的必要条件。

5.2 持续培训与模拟测试的协同机制

持续培训之所以能够实现钓鱼易感率的大幅下降，核心在于培训与模拟测试形成了有效的协同机制。二者不是相互独立的环节，而是相互支撑、相互强化的闭环体系。

模拟测试为培训提供了精准的需求输入。通过分析员工在模拟测试中的行为数据，企业可以识别哪些类型的钓鱼邮件最容易诱导员工犯错、哪些部门或岗位的风险最高、哪些员工反复出现风险行为。这些数据为培训内容的设计与优化提供了直接依据，使培训能够聚焦于员工实际存在的薄弱环节，而非泛泛地讲解通用知识。基于测试数据的精准培训，其内容与员工的实际需求高度匹配，培训效果自然优于脱离实际的通用课程。

培训为模拟测试提供了能力基础。员工通过培训掌握钓鱼攻击的识别方法与应对流程后，在模拟测试中能够更好地识别可疑邮件、做出正确判断。模拟测试不再是单纯的考核工具，而是培训效果的检验手段与技能练习场景。员工在测试中应用培训中学到的知识与方法，通过实际操作加深理解，实现从 "知道" 到 "做到" 的转化。

二者的协同还体现在滚动迭代的持续优化上。每一轮模拟测试产生新的行为数据，这些数据反馈到培训内容的调整中；更新后的培训内容提升员工的识别能力，在下一轮测试中体现为 PPP 的下降；而测试中暴露的新薄弱环节又成为下一轮培训优化的方向。如此循环往复，培训与测试相互驱动、持续迭代，推动员工的钓鱼识别能力不断提升，PPP 持续下降。

反网络钓鱼技术专家芦笛强调，模拟测试在持续培训体系中扮演着不可替代的角色。没有模拟测试的培训是盲目的 —— 企业不知道员工的实际薄弱环节在哪里，培训内容只能凭经验设计，效果无法量化评估；没有培训的模拟测试是片面的 —— 员工反复 "中招" 却得不到有效的指导与提升，测试沦为单纯的考核工具，无法驱动行为改善。只有将二者有机结合，形成 "测试发现问题、培训解决问题、再测试验证效果" 的闭环，才能实现持续的行为改善。

5.3 即时反馈与行为强化的作用

在持续培训体系中，即时反馈机制是驱动行为改变的关键要素之一。当员工在模拟测试中执行了风险操作 —— 点击了可疑链接或提交了凭证 —— 系统立即展示教学提示，指出员工遗漏了哪些可疑信号、正确的应对方式是什么，并推送针对性的微型培训课程。这种在错误发生的第一时间进行的反馈与强化，其效果远优于数月后的统一复盘或年度集中培训。

即时反馈的有效性根植于行为心理学的基本原理。行为强化的效果与强化物和行为之间的时间间隔密切相关，反馈越及时，行为与后果之间的联结越清晰，学习效果越好。当员工点击模拟钓鱼链接后立即看到 "这是一封钓鱼邮件，您遗漏了以下可疑特征" 的提示时，员工能够清晰地将自己的点击行为与错误后果联系起来，对遗漏的可疑特征形成深刻印象。而如果反馈延迟到数月后的培训复盘，员工已经忘记了当时点击邮件的具体情境与心理过程，反馈的强化效果大打折扣。

即时反馈还具有个性化的优势。每个员工在模拟测试中犯的错误不同，遗漏的可疑特征不同，即时反馈能够针对员工的具体错误进行个性化指导，而非向所有员工灌输相同的内容。对于经常点击 "紧急付款" 类钓鱼邮件的财务人员，反馈重点放在付款流程验证上；对于经常提交凭证的 IT 人员，反馈重点放在身份核验与多因素认证防护上。个性化的即时反馈使培训内容精准匹配每个员工的薄弱环节，大幅提升培训效率。

此外，即时反馈创造了 "做中学" 的体验式学习环境。员工不是在被动观看培训视频，而是在实际操作（点击模拟钓鱼邮件）后立即获得指导，这种体验式学习的知识留存率远高于被动学习。员工通过亲身经历 "中招" 的过程，对钓鱼攻击的实际形态与自身识别盲区有了直观认识，安全意识被真正激活，而非停留在抽象的知识层面。

研究中从 90 天到一年阶段 PPP 的持续大幅下降，与即时反馈机制的持续作用密切相关。随着模拟测试的不断开展，员工在每次错误后都获得即时反馈与强化，正确的应对方式逐步内化，识别能力不断深化，最终实现从 20.1% 到 4.2% 的质变。

5.4 场景化内容与岗位适配的价值

持续培训有效性的另一个关键要素是培训内容的场景化与岗位适配。传统通用型培训内容往往脱离员工的实际工作场景，讲解的是抽象的安全原则与典型的钓鱼案例，员工难以将培训内容与日常工作中面对的具体邮件联系起来。场景化培训则将培训内容与员工的岗位特征、业务场景、常见邮件类型深度结合，使员工能够在熟悉的业务语境中学习识别钓鱼攻击，大幅提升知识的可迁移性。

场景化培训的价值体现在几个方面。第一，它提升了培训内容的相关性与代入感。当财务人员在培训中看到的案例是 "供应商发来的付款账户变更通知" 而非 generic 的 "可疑邮件" 时，能够立即将案例与日常工作联系起来，认识到这种攻击确实可能发生在自己身上，学习动机与关注度显著提升。第二，它使员工能够练习针对特定业务场景的识别方法。不同岗位面临的钓鱼攻击形态不同，所需的识别重点也不同：财务人员需要重点核验付款指令的真实性与收款账户的变更流程，IT 人员需要重点防范身份认证相关的钓鱼与多因素认证疲劳攻击，人力资源人员需要重点警惕简历附件与员工信息变更请求。场景化培训使员工掌握与自身岗位相关的具体识别方法，而非仅了解通用原则。第三，它提升了培训对高度仿真钓鱼攻击的防护效果。最危险的钓鱼攻击往往是那些完美嵌入员工业务流程的攻击，这类攻击在外观上与正常业务邮件几乎无异，通用识别方法难以奏效。只有通过场景化培训，让员工在接近真实业务场景的环境中反复练习，才能提升对这类高仿真攻击的识别能力。

岗位适配还体现在培训难度与频率的差异化上。不同岗位的风险暴露程度不同，高风险岗位（如财务、IT、管理层）应当接受更高频率、更高难度的培训与模拟测试，而一般岗位的培训频率可以适当降低。基于风险的差异化资源配置，使有限的培训资源投入到风险最高的环节，提升整体防护效能。

研究中行业维度与组织规模维度的差异，从反面印证了场景化与岗位适配的重要性。医疗、保险、零售等高风险行业的基线 PPP 较高，部分原因在于这些行业的业务流程复杂、外部邮件频繁，通用型培训内容难以覆盖员工实际面临的攻击场景。如果这些行业的培训能够深度绑定业务场景，PPP 的下降空间将更大。同样，超大型组织的基线 PPP 高于小型组织，一个重要原因是大型组织岗位多样、业务复杂，"一套课程打天下" 的模式无法满足不同岗位的实际需求，而基于岗位的差异化培训能够有效缩小这一差距。

6 研究结论与实践启示

6.1 主要研究结论

本文基于覆盖 64000 家组织、1480 万用户、4200 万次模拟测试的大规模实证数据，系统分析了持续安全意识培训对员工钓鱼易感率的影响效应，得出以下主要结论。

第一，持续安全意识培训能够显著降低员工的钓鱼易感率。全球平均 PPP 从培训前的 33.2% 降至 90 天后的 20.1%，进一步降至一年后的 4.2%，较基线总体下降约 87%。这一结果以大样本实证数据证明，持续的安全意识培训与模拟测试是降低人因钓鱼风险的有效手段，其防护效果显著且可量化。

第二，培训效果呈现明显的阶段性特征。前 90 天为快速下降期，PPP 下降约 40%，主要来源于安全意识的激活与基础识别能力的建立；90 天至一年为深化固化期，PPP 在前期基础上再降约 79%，实现质的飞跃，主要来源于行为模式的固化与识别能力的深化。短期培训能够快速 "止血"，但持久的行为改变必须依赖长周期的持续强化。

第三，钓鱼易感率在多个维度上存在显著差异。组织规模维度上，超大型组织基线 PPP（39.5%）显著高于小型组织（24.7%），反映了大型组织在人因安全管理上的复杂性；行业维度上，医疗与制药（42.7%）、保险（38.1%）、零售与批发（36.0%）连续两年位居高风险前列，与这些行业高频外部沟通、高时效性、大量敏感数据流转的业务特征密切相关；地区维度上，非洲（35.9%）、北美（34.5%）基线较高，亚洲（24.9%）相对较低，但地区差异受样本构成、行业分布、既有安全成熟度等多重因素影响，不宜简单解读为安全意识排名。

第四，培训有效性依赖多个关键要素的协同作用。一次性合规培训因知识留存率低、内容与场景脱节、缺乏行为练习、无法应对威胁演化等局限，难以实现持久的行为改变；持续培训与模拟测试的协同闭环、错误发生后的即时反馈与行为强化、基于岗位与业务场景的场景化内容设计，是驱动 PPP 持续下降、实现行为固化的关键机制。

6.2 企业实践启示

基于上述研究结论，企业在安全意识培训体系建设中可以获得以下实践启示。

第一，将安全意识培训从年度合规项目转变为持续性常态化工作。企业应当认识到，培训效果不是一次性获得的，而是在持续滚动的培训与模拟测试中逐步积累的。前 90 天的快速下降容易让管理者产生见效的错觉，但真正决定防护水平的是 90 天之后的持续深化阶段。企业应当为安全意识培训配置长期、稳定的资源投入，避免 "初期集中投入、后续逐年缩减" 的短视做法。

第二，建立培训与模拟测试的闭环管理体系。模拟测试不是单纯的考核工具，而是培训需求发现、效果验证与技能练习的核心手段。企业应当定期开展模拟钓鱼测试，基于测试数据识别高风险部门、岗位与个体，针对性地设计培训内容；培训后通过新一轮测试验证效果，形成 "测试、分析、培训、再测试" 的持续迭代闭环。考核指标应当从单纯的培训完成率转向 PPP 的动态变化，因为后者才能真正反映培训是否转化为行为改善。

第三，实施基于岗位与场景的差异化培训。企业应当摒弃 "一套课程打天下" 的标准化模式，根据不同部门、不同岗位的业务特征与风险暴露，设计差异化的培训内容与模拟测试场景。财务、IT、人力资源、管理层等高风险岗位应当接受更高频率、更高难度、更贴合业务场景的培训。对于医疗、保险、零售等高风险行业，培训内容必须深度绑定员工日常处理的业务邮件类型，提升对高度仿真钓鱼攻击的识别能力。

第四，充分发挥即时反馈的行为强化作用。企业应当在模拟测试中配置即时反馈机制，当员工执行风险操作时立即展示针对性的教学提示与微型培训课程，在错误发生的第一时间进行行为强化。反馈内容应当个性化，针对员工遗漏的具体可疑特征进行指导，而非提供通用化的安全提示。即时反馈创造的体验式学习环境，其知识留存率与行为强化效果远优于被动的集中培训。

第五，构建多维度的人因风险评估体系。PPP 是核心指标，但不应是唯一指标。企业还应当关注可疑邮件的主动举报率、员工举报的平均响应时间、由员工主动发现的真实威胁数量、重复出现风险行为的用户占比、异常多因素认证请求的拒绝与报告情况等积极指标。一个成熟的意识计划不仅要降低 "点击" 行为，更要提高 "举报" 行为，使员工成为安全防御体系中的主动传感器。同时，模拟测试的定位应当是发现流程缺口与风险行为，而非问责员工，如果大量员工在特定场景下集体出错，企业应当审视业务流程本身是否存在可被利用的设计缺陷。

第六，构建技术、流程、人员协同的纵深防御体系。安全意识培训是钓鱼防御体系的重要组成部分，但不是全部。企业应当构建多层纵深防御：由邮件安全网关、终端防护、身份认证系统过滤大部分已知威胁；通过持续安全意识培训提升员工对未知威胁的识别能力；使用模拟攻击验证培训效果；建立便捷、免责的举报渠道，鼓励员工主动上报可疑信息；依据风险数据动态调整人员意识、流程设计与技术控制。技术、流程、人员三者协同发力，才能在钓鱼攻击形态持续演化的环境下维持有效的防御能力。

6.3 研究局限与展望

本研究基于大规模实证数据分析了持续安全意识培训对钓鱼易感率的影响，但仍存在一些局限，值得在后续研究中进一步探讨。

第一，研究数据来源于开展了安全意识培训项目的组织，未纳入完全未开展培训的组织作为平行对照组。虽然研究通过基线测试建立了组织内部的参照基准，但培训组与非培训组的直接对比仍然缺失，未来研究可以通过随机对照实验设计，更严格地评估培训干预的净效应。

第二，PPP 指标基于模拟钓鱼测试的行为数据，反映的是模拟环境下的行为倾向，与真实攻击场景中的实际受害率可能存在差异。模拟测试邮件的设计、难度、发送频率与真实攻击不完全一致，员工在知道可能是测试的情况下的行为也可能与真实场景有所不同。未来研究可以探索将模拟测试数据与真实安全事件数据进行关联分析，评估 PPP 与实际受害风险之间的相关性。

第三，研究主要关注培训对钓鱼易感率的影响，对培训效果的长期维持（超过一年）、培训停止后的行为回弹、不同培训方法之间的效果对比等问题涉及较少。未来研究可以开展更长周期的追踪研究，分析培训效果的长期稳定性，以及不同培训要素（如培训频率、内容形式、反馈机制）的相对贡献，为优化培训资源配置提供更精细的依据。

第四，生成式人工智能技术正在快速改变钓鱼攻击的形态，AI 生成的高质量钓鱼邮件、个性化鱼叉攻击、多渠道复合攻击等新型威胁对员工的识别能力提出了新挑战。本研究的数据采集周期主要覆盖 AI 大规模应用于钓鱼攻击之前或初期的阶段，未来研究需要关注在 AI 驱动的新型钓鱼攻击环境下，传统培训模式的有效性是否发生变化，以及培训内容与方法应当如何适应性调整。

反网络钓鱼技术专家芦笛指出，安全意识培训的研究与实践应当始终紧跟威胁形态的演化。钓鱼攻击的手段在变，员工的工作模式在变，技术环境在变，培训的内容、方法与评估体系也必须持续迭代。大规模实证数据为培训有效性提供了有力证明，但证明有效只是起点，如何在不断变化的威胁环境中持续优化培训体系、提升人因防御的韧性，是企业安全管理者需要长期面对的课题。

编辑：芦笛（公共互联网反网络钓鱼工作组）