資安產品的文案，一定要用恐懼訴求才賣得動嗎？
不一定，而且對中小企業客戶，恐懼訴求常常讓事情變糟。讀者被嚇到之後，多半會關掉頁面，不會填表單，因為文案沒有告訴他下一步做什麼、要花多少力氣。把開場從會發生什麼災難，改成今天下午可以先檢查哪三件事，約到會議的機會比較高。
我知道這個說法在資安圈不受歡迎。業界的簡報第一頁通常是一張深色背景的駭客剪影，第二頁是一串攻擊事件的統計。我也寫過這種文案。下面要說的，是我在一家端點防護代理商的專案裡改變想法的過程。端點防護指的是安裝在員工電腦與伺服器上、用來偵測與阻擋惡意程式的軟體。
這家代理商有八位業務，客戶是五十到三百人的製造業與貿易商。行銷只有一個人。她找我們的時候說了一句話：我們的電子報開信的人越來越少，可是寫的內容明明越來越嚴重。
理由一：讀者早就被嚇過太多次，恐懼不再帶來行動
我們把過去一年的電子報主旨全部列進試算表。幾乎每一封都有外洩、勒索、入侵、警告其中一個詞。排在一起看，像同一封信寄了很多次。
接著我們請業務各打三通電話給老客戶的資訊人員，只問一個問題：你收到我們的信，會看嗎。得到的回答很一致。一位資訊主管說，每一家廠商都寄這種信，我已經設定規則直接歸檔。
這位主管並非不在乎資安。他的處境是每天都收到警告，而每一則警告都沒有告訴他，在人力只有他一個的情況下，該先做哪一件。恐懼沒有搭配可執行的步驟，就只剩下噪音。
理由二：恐懼訴求嚇到的是資訊人員，簽核預算的卻是老闆
中小企業的資安採購通常有兩個人參與。資訊人員提需求，老闆或財務主管批預算。恐懼文案的對象是前者，但前者不需要被說服，他本來就擔心。
問題出在他拿什麼去跟老闆說。我們旁聽了一場業務與客戶的會議。資訊人員把廠商的簡報轉給老闆，老闆翻了兩頁，問了一句：這些事，我們公司發生過嗎。資訊人員答不上來。會議到此為止。
老闆的問題很合理。他要的不是別人家的災難，而是自己公司的現況。廠商給的全是外部的故事，沒有給資訊人員一份可以拿進老闆辦公室的東西。
所以我們把內容的任務重新定義：文案要幫資訊人員寫好他對老闆的那一段話。這段話要有三個部分，我們公司目前的狀況是什麼、缺了哪一塊、補上要花多少時間與人力。
理由三：誇大的威脅描述，會讓懂的人不信任你
資安的買家當中，真正有影響力的往往是最懂技術的那一位。他看得出文案有沒有誇大。
舊版的產品頁寫著全面防護、滴水不漏、百分之百攔截。一位客戶的資深工程師在會議上直接問業務：沒有任何產品能保證完全攔截，你們寫這個，是不懂還是故意的。業務當場很難回答。
絕對化的字眼還有另一層風險。廣告內容若與實際效能不符，可能引起消費爭議或主管機關的關注。這部分我們建議客戶把所有效能宣稱交給法務或執業律師審閱，行銷不自行判斷哪些可以寫。
我們在改稿時訂了一條規則：每一個宣稱都要能回答怎麼驗證。寫不出驗證方式的句子，一律刪除。
- 刪除：全面防護、絕對安全、零風險、完全攔截
- 保留並改寫：能偵測哪些類型的行為、在什麼條件下、由誰的測試確認
- 新增：產品不處理的範圍，例如員工自行把密碼交給他人、未安裝代理程式的設備、未納管的個人手機
第三項是資深工程師最在意的。寫出不涵蓋的範圍之後，他在下一場會議上的態度明顯不同，開始問部署的細節。
理由四：恐懼吸引來的名單，業務最難往下談
行銷辦過幾場以最新勒索攻擊手法為題的線上講座，報名人數很漂亮。業務跟進之後的回報卻不好：來聽的人很多是學生、同業與只想了解新聞的人，有採購需求的很少。
恐懼式的主題吸引的是好奇心。有採購意圖的人搜尋的字不一樣。我們用 Google Search Console 這個免費工具，把帶來表單送出的查詢字詞列出來。帶來詢問的字，多半是很實際的問題，例如員工電腦防毒怎麼集中管理、離職員工帳號怎麼處理、資安稽核要準備什麼文件。
這些查詢裡沒有一個驚悚的詞。它們是一位資訊人員在某個普通的星期二下午，為了完成手上的工作而打下的字。
不用恐懼開場，那開場要寫什麼？一段文案的改寫對照
以下是產品頁第一段的改寫。舊版的大意是：每隔一段很短的時間就有一家企業遭到勒索攻擊，下一個可能就是你，立即預約防護諮詢。其中的統計數字找不到明確來源，我們第一步就把它拿掉。
新版的第一段是：一位資訊人員要管全公司的電腦，最花時間的是不知道哪幾台沒有更新、哪幾台沒裝防護。這套工具把所有設備列成一張清單，標出缺少更新與防護的機器，讓你從最需要處理的那幾台開始。
差別在主詞。舊版的主詞是駭客，新版的主詞是資訊人員。舊版講別人會對你做什麼，新版講你今天可以做什麼。
行動呼籲也一起改。原本的按鈕是立即預約諮詢。新的按鈕是下載設備盤點表。那是一份試算表範本，欄位有設備名稱、使用者、作業系統版本、防護軟體是否安裝、最後更新日期。資訊人員不必買任何東西，就能先把自己公司的現況列出來。
替代恐懼訴求的三種內容，各自要交付什麼？
- 現況盤點工具：一份可以直接填的試算表，加一頁說明每一欄為什麼要填。交付給資訊人員，目的是讓他有自己公司的資料
- 給老闆的一頁說明：用非技術語言寫，結構是目前狀況、缺口、補上所需的時間與人力、不處理的後果由公司自行評估。這一頁留白讓資訊人員填入盤點結果
- 導入步驟頁：寫出從簽約到全公司部署完成的每一週做什麼、需要客戶配合哪些事、哪一步最常延誤
第二種內容是整個專案最有用的一份文件。業務回報，客戶的資訊人員會把這一頁直接轉給老闆，有的還會請業務協助填寫。對話的對象終於包含了批預算的人。
第三種內容的價值在於誠實。我們請導入工程師說出最常延誤的步驟，答案是舊防毒軟體的移除。很多電腦上的舊軟體移除不乾淨，會跟新產品衝突。把這件事寫上頁面，客戶會覺得這家廠商做過很多次。
威脅資訊並沒有消失。它被移到一個固定的位置：每月一封的技術通報，只寄給主動訂閱的資訊人員，內容只寫與他們使用的系統有關的弱點，以及建議的處理動作。沒有形容詞，沒有驚嘆號。
怎麼驗收改寫後的文案比恐懼版本有效？
我們沒有設計嚴格的對照實驗。流量太小，分兩組跑不出有意義的差異。能做的是前後期觀察，並且承認它的限制。
- 業務每週在試算表上記錄：首次會議中，客戶是否已經填過盤點表
- 業務記錄：會議出席者是否包含老闆或財務主管
- 行銷記錄：電子報退訂的人數與回信詢問的人數
- GA4 記錄：盤點表下載頁到表單送出的事件次數。GA4 是 Google 提供的免費網站分析工具
前兩項是業務的主觀紀錄，會有誤差。前後期也可能受到季節與預算週期影響。所以我們在報告裡只寫觀察到的方向，不寫成長了多少比例。行銷主管一開始希望有一個漂亮的數字給老闆看，我們建議她改報另一件事：業務認為哪一份文件最常被客戶轉寄。
什麼情況下，恐懼訴求仍然有它的位置？
我反對的是把恐懼當成預設的開場，不是反對提到風險。有幾種情況，直接講威脅是合理的。
當某個弱點已經被確認、而且客戶正在使用受影響的產品時，要明確、快速地通知。這屬於通報，寫法是事實、影響範圍與處理步驟。
買方是大型企業的資安團隊時，他們需要的是威脅情資與技術細節。對這群人，淡化風險反而顯得不專業。本文的做法針對的是沒有專職資安人員的中小企業。
受法規要求而必須導入的產業，客戶的動機是合規，文案的重點應該放在如何對應稽核項目。至於法規的具體要求與適用範圍，應由客戶的法遵人員或執業律師確認，廠商的文案不宜代為解釋。
最後，如果公司的產品本身沒有清楚的導入步驟與支援人力，替代寫法也救不了。盤點表把客戶帶進來，接下來要有人能把事情做完。
常見問題
資安產品文案可以寫百分之百防護嗎？
不建議。沒有產品能保證完全攔截，這類絕對化用語會讓懂技術的買家失去信任，也可能引發廣告不實的爭議。效能宣稱應交由法務審閱。
不用恐懼訴求，資安產品的行動呼籲要放什麼？
可以放一份讓客戶自己檢查現況的工具，例如設備盤點試算表。客戶不必先購買就能得到有用的結果，後續洽談也有具體資料可以討論。
中小企業的資安採購通常由誰決定？
多半由資訊人員提出需求，老闆或財務主管核准預算。內容要同時準備給資訊人員的技術資料，以及一份讓老闆看得懂的一頁說明。
資安電子報開信的人變少，該怎麼調整？
先檢查主旨是否每一封都在警告。改成只寄與訂閱者使用的系統有關的資訊，並附上建議的處理動作，讓讀者知道這封信讀完可以做什麼。