社会工程学：提问的艺术
下面这段对话一共 6 轮，从头到尾没出现过任何敏感词。
对方：您好，我是集团 IT 服务中心的，最近在做一次网络设备清点。您这边是行政前台吧？
前台：对，是我。
对方：麻烦帮我确认一下，你们 3 号楼机柜上的路由器是什么型号？上面应该贴了标签。
前台：这个我不清楚，得问我们网管。
对方：没关系。那您能把网管的联系方式给我吗？我们系统里登记的那个好像过期了。
前台：他姓王，电话我找一下……
从头到尾，没人问密码，没人问内网地址，没人问系统名称。前台也没有被威胁、被催促，甚至觉得帮了个小忙。
但对方拿到了 2 样东西：网管的姓氏和电话。再叠上前面那句「办公区机柜上有路由器、上面贴了标签」，一个外部的人就已经知道该找谁、怎么开口了。
这就是社会工程学里提问的基本形态：用问题引导，让对方自己说。
图里右边那一列，是每一轮对话之后对方手上多了什么。可以看到信息是分三轮给出的，每一轮比上一轮更靠近他真正想拿的东西。
信息是怎么在对话里流动的
要理解这件事，得先接受一个事实：对话里双方都在补充信息，只是目的不同。
接电话的前台想的是「帮他把事情办完」，提问题的人想的是「这段对话能换来什么」。两个人都在正常说话，可两边记录下来的东西不一样。
提问题的一方是有预算的。问一句话，可能换来信息，也可能让对方察觉你在打听。两边都要算：
说人话：问一句话，你既可能拿到东西，也可能让对方起疑。所以问题要挑那种「听起来跟闲事一样、但其实有信息量」的。
这条式子也解释了为什么水平高的提问者很少直接问。直接问「你们内网地址是多少」，信息量确实大，但意图也全暴露了，对方一句「你哪位」就把话题堵死了。反而是「我先问个小的、合理的」，意图暴露得少，信息还能一条条攒。
信息在这类对话里通过 3 条路径流出去。
第一条，问题本身提供了框架。你问「你们的安全工作是怎么做的」，对方的回答就会被这个问题框住：他会去讲制度、讲流程、讲工具，而不会想到「我为什么要跟你说这些」。问题的措辞，决定了对方从哪个抽屉里找答案。
第二条，回答自带上下文。人回答问题的时候，往往顺手补上前因后果。问「路由器在哪」，答的可能是「在机柜里，不过那个锁的钥匙在网管手上」。「钥匙在网管手上」这句话没人问，是赠送的。
第三条，核验成本被转嫁。正常沟通里，核验对方身份这件事默认由提问者负责，回答的人往往不承担。前台不需要先确认打电话的人是不是真在 IT 服务中心，她只需要确认这件事自己能不能办。这个默认，是整条链条里最省力的一环，也是最脆弱的一环。
提问的五个层次
提问可以分为 5 个层次，越往上，对方参与得越多，你拿到的东西性质也越不一样。
第一层：封闭式提问
目标：确认一个事实。
「你们公司使用的是 Windows 系统吗？」
对方只需要回答是或不是。这类问题适合快速确认，但连着问几个，对方容易觉得在被盘问。所以它的作用通常是收尾，用来验证前面聊出来的东西，而不是开场。
第二层：开放式提问
目标：让对方主动描述。
「你们平时的办公环境和 IT 系统是怎么运作的？」
这个问题没有预设答案，对方可以自己决定说哪些。他选择说什么、跳过了什么、先说哪一块，这些本身就是信息。开放式的另一个好处是气氛松，不容易引起警惕。
第三层：探索式提问
目标：挖细节和原因。
「你刚才提到需要经过审批，通常是什么情况下会触发审批？」
注意这里有个「你刚才提到」。这一层的关键是顺着对方自己刚说过的话往下问。因为话题是对方起的，他解释起来没有防备，也不会觉得被追问。
第四层：关联式提问
目标：理解信息之间的关系。
「这个流程涉及哪些部门？如果其中一个环节出问题，通常由谁协调？」
到这一层，你问的不再是单个事实，而是部门怎么衔接、谁对什么负责、哪里容易卡住。这些是组织内部的骨架，一般不写在对外材料里。
第五层：反思式提问
目标：了解判断依据和风险意识。
「你觉得这个流程中，最容易出现误操作的环节是什么？为什么？」
这一层对方往往会讲得最多，因为人被问到「你觉得」的时候，容易进入分享状态。他讲的是自己的判断、经验，顺带也把之前几层没说透的东西补完了。
这 5 个层次不必按顺序走完，把它当成一条判断线就够了：现在该问多深，取决于对方刚才那句话说到了哪。
开放式提问的 4 个技巧
用「什么、如何、为什么、哪些」代替「是不是」
| 封闭式 | 开放式 |
|---|---|
| 你们有安全培训吗？ | 你们平时是如何开展安全培训的？ |
| 你们使用 MFA 吗？ | 你们是如何管理账号登录和身份验证的？ |
| 这个系统安全吗？ | 你认为这个系统目前面临哪些安全挑战？ |
| 出过安全事故吗？ | 过去遇到过哪些值得复盘的安全问题？ |
左栏的问题只能换来是或不是，右栏的问题让对方有空间组织回答。同一件事，右边这种问法能拿到的东西多得多。
用漏斗式顺序，先宽泛再具体
第一步问全局，拿到全貌；第二步从对方提到的内容里挑一个聚焦；第三步问到具体的动作和判据；第四步问到纠错机制。
这里要强调一点：每一步问什么，取决于上一步答了什么。 照着问题清单念，遇到答非所问就只能硬着头皮往下问，也问不出清单之外的东西。漏斗的价值不在四个问题本身，在它的顺序是活的。
学会沉默
提问之后，先把嘴闭上。
提问：你认为目前最大的安全挑战是什么？
对方：可能是人员意识方面吧。
（停两秒）
对方：比如说钓鱼邮件，我们去年做过一次测试，点的人比预期多。
追问：那次测试之后你们改了什么？
如果第一句回答完就急着接下一问，第二句就不会出现。人对沉默有点不适应，会本能地想填补空白，而填进去的往往才是真正想说的。同理，一次别抛好几个问题，对方只会挑最好答的那个回答。
追问事实，不要暗示答案
带暗示的问法：你们是不是经常因为员工乱点邮件而出问题？
中性的追问：你提到邮件安全比较重要，能具体谈谈原因吗？
上面那句把答案写在问题里了，对方顺着你点头就行，你拿到的是自己的猜测被复述了一遍。下面那句没有预设，对方得自己想，说出来的东西才可验证。
拆解一段办公室闲聊
再来看一段日常场景。一个人刚入职 2 周，坐在隔壁工位，用的是 OA 上那个报销入口。
新同事：王哥，问一下，咱们内网那个报销系统从哪个地址进？我 OA 里没找着入口。
老员工：你找张工开权限了吗？VPN 拨上之后应该能看到。
新同事：开了，他就让我自己找网址。
老员工：那你记一下，10 点开头的那个，走 ERP 那台机器，具体我一会儿微信发你。
新同事：行。对了，那系统是只有咱部门能用，还是全公司都能进？
老员工：全公司都能进。不过审批那块只有我们组有权限点。
把这段对话拆成 6 轮来看。
第 1 句问的是入口地址，理由充分（新来的找不到），要的东西很小。老员工没给地址，而是反问了一句「开权限了吗」。这一步其实是老员工在做核验，问的是流程走没走。
新同事答「开了，张工让我自己找网址」。这句话的作用是把自己放进「走流程的人」这个位置，同时把张工搬出来当背书。到这里，老员工已经不再核验了。
第 3 句老员工给了网段前缀（「10 点开头的那个」），并且承诺稍后发具体地址。前半句的信息是没人要求他给的，他为了让对方听懂，主动把网段特征说出来了。
第 4 句是新同事真正想问的。前面 3 句搭好了「我在办正事」的氛围，这句权限问题就显得很自然。老员工答出了两件事：系统的访问范围是全公司，审批权限集中在他们组。
这 6 轮下来，新同事要拼的画像已经差不多了：内网网段大致范围、一个内部系统的名字和用途、谁管权限、权限怎么分布。这些单独看都不算敏感，凑在一起就是一张内部结构图。
这就是信息拼接。单个片段无害，是因为判断它有没有害需要上下文，而上下文在你手里。
为什么这些手法有效
影响力研究把这类做法归纳成 6 条原则，下面这几条跟信息索取的关系最近。
权威默认。 「我是集团 IT 服务中心的」这句话本身没有经过任何核验，但人在听到身份声明时，默认会先接受再怀疑。信息在流转里被外包出去的成本很低，接受它的成本更低。
互惠。 先说一句「您这边是行政前台吧」确认对方身份，或者主动解释「我们系统里登记的那个好像过期了」，都是先给对方一点东西（理解、理由、客气），再提要求。人接受了好意，回一个小忙会觉得自然。
一致性。 一个人一旦答应了小请求，就很难拒绝后面稍大一点的。前台先承认了自己是行政前台，再承认自己不清楚型号，到第三步拒绝起来就费力了，因为前面两轮她都在配合。
被需要的错觉。忙碌的人往往愿意用最快的方式结束一段对话。「他姓王，电话我找一下」比「我需要先确认您的身份」省事得多。信息泄露的原因往往只是说一句最省事。
确认偏误。 反过来，提问题的人也会确认偏误：他更愿意记住支持自己猜测的答案，忽略不适配的部分。这一点在自我核查时很有用，如果你发现自己在拼命把对方的话往某个结论上凑，很可能结论已经在你心里了。
这些机制都不神秘，日常沟通里本来就在用。社会工程学做的事只是把它们对着信息这个目标调了一下。
演练时要观察什么
如果把这些方法用在安全意识培训或授权的演练里，不该以「套出真东西」为成功标准。判断一次演练做得好不好，看的是有没有观察到下面 4 个维度。
| 观察维度 | 关注的问题 |
|---|---|
| 信息披露 | 对方是否主动透露了不必要的内部信息？ |
| 身份信任 | 对方依据什么判断提问者值得信任？ |
| 流程认知 | 对方是否清楚信息披露、审批和核验的边界？ |
| 风险判断 | 面对异常请求，对方会核实、拒绝还是直接执行？ |
比如模拟一个 IT 支持来电的场景，重点在于观察员工会不会在没有核验的情况下说出内部信息、接受异常指令，或者干脆绕开既有流程。
这两件事的差别很大。前者是在拿别人的凭据，后者是在测一条流程的强度。演练报告里该写的是「在第几轮、以什么理由、对方交出了什么类型的信息」，不该写成「拿到了谁的密码」。
一道练习题
假设你在做一次企业安全意识访谈，对面是 IT 管理员。他先说了这么一句：
「我们公司平时的安全工作主要还是靠员工自己注意，技术系统会提供一些辅助。」
下面 4 个追问，哪一个更合适？
A. 所以你们没有完善的安全管理制度，对吗？
B. 你们通常通过哪些方式帮助员工识别和处理安全风险？
C. 具体有哪些员工账号没有开启安全保护？
D. 为什么你们不把所有安全工作都交给技术系统？
A 把结论塞进了问题里，对方只要承认或否认就行，而且「对吗」这种问法让人有压力，容易得到敷衍的回答。
C 是在索取具体的安全缺口清单。这类信息即使拿到了，对一个访谈也没有用处，反而让你越过了不该越的线。
D 带着责问的语气，对方会进入防守状态，接下来讲的全是辩解。
B 顺着对方刚说过的「靠员工自己注意」往下问，问题开放，没有预设答案，也没有索取敏感信息。对方会讲培训、讲宣传、讲测试，这些内容足以让你判断这家单位的安全意识建设做到哪一层。
遇到这类索取怎么办
前面讲的是提问者怎么做。换到被问的一方，需要的东西更简单：在回答之前过 4 道闸门。
对方是谁，这个身份是核验过的还是他自己说的；这件事按流程该不该由他来做，有没有对应的工单或通知；他走的是正规渠道，还是绕开流程直接找到你个人；他要的这条信息，是不是完成这件事所必需的。
这 4 道里只要有一条答不上来，现在就不适合提供信息。可以记下对方的要求，换个渠道回拨确认，或者把请求转给对应的负责人。
这四道闸门可以写成一个约束：
说人话：能说什么，不取决于对方问得多有礼貌，取决于他是谁、这事该不该他做、走的是不是正规路子。三样都不清楚，就该先停下。
有几句话可以直接用。
「这个我需要先跟我们负责人确认一下，稍后回复您。」
「麻烦您把需求发到我们的服务邮箱，走工单我来跟进，工单号我登记一下。」
「您方便留一下工号或者部门吗？我这边登记一下。」
这几句的共同点是不拒绝、不承诺，把核验的成本挪回给提出请求的一方。真正的同事或合作方遇到这种回复，一般不会有情绪，走一遍流程就是了。急着让你别问、催你「就一句话的事」的，往往就是需要停下来的信号。
核验身份、走流程，本身是工作的一部分。把这件事当成麻烦的人不多，把它当成冒犯的人更少。
结语
回到最开始那个问题。为什么一个人不用被直接询问，也可能主动说出大量信息？
因为人和人说话的时候，第一目标是把这段对话顺畅地进行下去。顺畅需要提供背景、解释理由、补全上下文，还有一点客气的配合。信息就是在这种配合里流出去的。
而提问者的工作，是让每一次配合看起来都只是一件小事。
所以真正需要练的不是识破某一种话术。话术会换，理由会换，身份会换。需要练的是两件事：一是知道自己在什么情况下不该回答，二是知道对方问这句话到底想要什么。
好的提问，每个问题都有明确目的，问几个反倒是次要的。好的回答也一样。
