NIST também o descreve como uma técnica de engenharia social que leva o destinatário a executar uma ação que favorece o atacante, como clicar em um site fraudulento ou baixar um anexo malicioso. Em suas definições, o phishing costuma se passar por uma fonte confiável, como um banco, uma empresa de cartão de crédito ou um líder da própria organização.
Para medi-lo em um programa de HRM, o NIST propõe considerar a dificuldade humana de detectar a mensagem e as características de seus destinatários por meio da NIST Phish Scale. Essa medição permite ir além do resultado bruto de cliques e avaliar melhor o comportamento observado.
O NIST também trata a resistência ao phishing como uma propriedade do autenticador ou do protocolo, baseada em autenticação criptográfica, e não como uma conduta que dependa apenas da vigilância do usuário. Por isso, recomenda combinar autenticadores resistentes a phishing com conscientização, treinamento, proteção de e-mail, prevenção de perda de dados e capacidades de segurança de rede.
