Phish Scale è un approccio orientato al NIST per interpretare i risultati delle simulazioni di phishing con contesto, invece di basarsi solo sul tasso grezzo di clic. Un tasso di clic ti dice quante persone hanno cliccato su un messaggio di prova, ma non mostra se l'esca fosse ovvia, quanto apparisse credibile o se gli utenti l'abbiano segnalata invece di interagirvi. Phish Scale aiuta i difensori a confrontare le campagne in modo più equo tenendo conto della difficoltà del messaggio e dei modelli di risposta degli utenti.
Questo è importante perché i programmi di sensibilizzazione al phishing servono a misurare il comportamento, non solo la punizione. Nelle difese reali, un basso tasso di clic è incoraggiante, ma può nascondere problemi come una segnalazione scarsa, una debole igiene delle credenziali o risultati disomogenei tra i reparti. Negli attacchi, la stessa logica vale al contrario: un'esca convincente può avere successo anche contro utenti addestrati se il messaggio è sufficientemente personalizzato. Phish Scale offre ai team di sicurezza un modo migliore per monitorare se formazione, simulazioni e canali di segnalazione stiano davvero migliorando nel tempo la resistenza umana.