识别风险与社会工程

准确描述风险

资产是值得保护的对象，例如账号或客户数据库。威胁是可能造成损害的因素，漏洞是可被利用的弱点。风险取决于损害发生的可能性和影响程度，漏洞清单并不等于风险评估。

伪造的重置密码消息利用人的信任，而不是破解加密。应核实实际目标地址，并通过已知渠道进入服务。AI 生成的文字或逼真的声音不能证明身份。

选择多层保护

密码泄露时，多因素认证可以降低账号被接管的风险，登录警报则帮助发现滥用。公共 Wi-Fi 也会改变信任边界：核实网络、使用加密服务，并警惕意外的证书警告。

说明每项措施预防或检测什么，以及还有哪些残余风险。桌面演练中记录资产、威胁、弱点、控制措施和攻击证据，使用虚构账号和获准的训练环境。

自我检测