钓鱼演练（Phishing Simulation）正从大型政企的"选修课"变成中小企业的"必修课"。但很多 IT 负责人在采购时面临一个共同问题：到底该花多少钱？
本文基于公开招投标数据和行业报告，为你拆解国内钓鱼演练服务的真实报价行情——以 1300 人规模、按 IT/员工/管理者三类场景分别投递为例。
核心数据速览
市场背景：为什么钓鱼演练越来越火？
威胁态势：钓鱼邮件是最主要的社工入口
据行业统计，2019–2024 年国内企业邮箱收到的钓鱼邮件从 344 亿封增至 755 亿封。AI 赋能后，钓鱼邮件文案的点击通过率从 12% 飙升至 54%。
更关键的数据是：未经过任何培训的企业，首次基准测试平均中招率高达 23.88%——即超过五分之一的员工会受骗点击钓鱼链接。
合规驱动：从"鼓励"走向"规定动作"
钓鱼演练的采购很大程度上是合规驱动的：
- 《网络安全法》要求关键信息基础设施运营者定期进行网络安全教育
- 等保 2.0 要求对各类人员进行安全意识教育
- 护网行动前，金融、运营商、能源等行业普遍要求开展针对性演练
采购节奏：每年护网行动前（5–8 月）和网络安全宣传周（9 月）是钓鱼演练采购的两个高峰窗口。
四种模式，价格差 10 倍
国内钓鱼演练市场存在四种主流交付模式，价格差异极大：
| 模式 | 典型价格 | 适用对象 |
|---|---|---|
| ① 开源自建 | 0.5–2.5万/年 | 有安全团队、预算极紧 |
| ② SaaS 平台自助 | 1–4万/年 | 有专人运营、想长期演练 |
| ③ 按次托管（主流） | 2–4万/次 | 绝大多数政企 |
| ④ 年度综合/私有化 | 8–30万+ | 金融、央企、政府 |
定价杠杆主要有五个：覆盖人数（规模效应显著）、场景定制深度、演练频次、是否含培训闭环、交付形态。
公开成交案例：真实价格锚点
以下是国内公开的成交案例，是判断行情的最直接依据：
| 采购方 | 规模 | 成交价 | 单价 |
|---|---|---|---|
| 大连理工大学 | 1000人 | 1.6万 | 16元/人·次 |
| 中央财经大学 | 7200人 | 2.6万 | 3.6元/人·次 |
| 南京农业大学 | 全校 | 2.98万 | — |
| 中国联通套餐 | 50-210人 | 4279-14378元 | 68-86元/人·次 |
单价规律：规模越大单价越低。50-210人约 68-86元/人·次；千人级降至 16元/人·次；5000人以上可低至 3.6元/人·次。
1300人案例测算：三场景分别投递
假设你的企业有 1300 个邮箱，按角色分为 IT、普通员工、管理者三类人群，分别投递三种不同场景的钓鱼邮件：
| 人群 | 人数 | 推荐场景 |
|---|---|---|
| 管理者 | ~130人 | 商务合作函、BEC诈骗 |
| IT人员 | ~130人 | 系统升级通知、VPN更新 |
| 普通员工 | ~1040人 | 福利补贴、考勤通知 |
建议预算
| 采购方案 | 建议预算 |
|---|---|
| 单次三场景托管演练 | 2–4万元/次 |
| 年度3次演练 | 6–10万元/年 |
| 演练+培训+宣教年度服务 | 8–15万元/年 |
| 私有化平台自建 | 15–30万元 |
采购建议：6条谈判要点
- 先定模式再比价：1300人规模的最优解通常是"按次托管"或"年度3次框架"。
- 用实证锚点压价：直接引用大连理工（16元/人·次）、中央财经（3.6元/人·次）等公开成交价。
- 把培训写进合同：演练不改行为，培训才改行为。优先选择含中招人员自动推送课程的方案。
- 数据安全条款：要求演练数据结束后即删除、不留存不外传。
- 告知策略：首轮不告知以测真实基线，后续轮次可与安全宣传周结合。
- 多轮比价：同时询价安全厂商、邮件系统供应商、运营商政企线，报价差异可达2-3倍。
效果预期：首次中招率 20%+ 是正常的，不要设惩罚性 KPI。持续一年"演练+培训"后，中招率可降至 4% 左右。
结语
钓鱼演练不是"买了就安全"的单品，而是"持续运营"的过程。1300人规模，单次演练预算 2-4 万元，年度服务 8-15 万元——这笔钱花得值不值，关键看是否包含培训闭环和效果追踪。
如果你的企业正在考虑开展钓鱼演练，欢迎联系我们获取免费的安全意识评估方案。