Технических вариантов то много- gophish, king phisher и тд. Вопрос здесь на самом деле психологического характера. Я бы начал с того, чтобы понять а чего именно боится руководитель. Как правило его не интересуют абстрактные хакеры или атаки. Исходите из фактических последствий, выжных именно для руководителя. Непрерывная работоспособность информационной системы, страх перед проверкой с использованием силовых ведомств, утечка переписки и тп. А уже исходя из этого идите дальше и тут в зависимости от того что лучше "на слух" воспринимает руководитель/владелец
Уважаемый, Вы спрашиваете про ТО, о чем руководитель только смутно догадывается и/или допускает, а боится ОН одного, снижения выручки и прибыли, т.к. он поставлен ЭФФЕКТИВНО руководить. Вопросы ИБ - это как космические корабли, которые бороздят...