NIST lo describe también como una técnica de ingeniería social que induce al destinatario a realizar una acción beneficiosa para el atacante, como hacer clic en un sitio fraudulento o descargar un archivo adjunto malicioso. En sus definiciones, el phishing suele hacerse pasar por una fuente confiable, como un banco, una compañía de tarjetas de crédito o un líder de la propia empresa.
Para medirlo en un programa de HRM, NIST propone considerar la dificultad humana de detección del mensaje y las características de sus destinatarios mediante la NIST Phish Scale. Esa medición permite ir más allá del simple resultado bruto de clics y evaluar mejor el comportamiento observado.
NIST también trata la resistencia al phishing como una propiedad del autenticador o protocolo, basada en autenticación criptográfica, no como una conducta que dependa solo de la vigilancia del usuario. Por eso recomienda combinar autenticadores resistentes al phishing con concientización, capacitación, protección del correo electrónico, prevención de pérdida de datos y capacidades de seguridad de red.
