تواجه كثير من المؤسسات المالية ومشغلي البنى التحتية الحرجة سؤالًا متكررًا من اللجان التنفيذية: هل برنامج التوعية يعمل فعلًا؟ الجواب الذي يستند إلى رقم واحد هو معدل النقر في المحاكاة السنوية لا يكفي. هذا الدليل يعرض مقاييس محاكاة التصيد الاحتيالي التي ينبغي أن يتتبعها برنامج التوعية الأمنية في السعودية كل فصل، مع نمط لتدوير السيناريوهات يقيس القدرة الحقيقية على الكشف.
لماذا لا يكفي معدل النقر ولا القياس السنوي
معدل النقر يخبرك بما حدث في رسالة واحدة في يوم واحد. وهو يتأثر بصعوبة القالب وتوقيت الإرسال وما إذا كان الموظفون قد سمعوا بالحملة. وإذا تكرر القالب نفسه، فقد يتحسن الرقم لأن الموظفين حفظوا الشكل لا لأنهم تعلموا مبادئ الكشف.
والقياس السنوي يخفي الاتجاه. فهو لا يُظهر هل تتحسن الحال أم تتراجع، ولا يتيح تصحيح المسار قبل أن يتحول ضعف ما إلى حادثة. القياس الفصلي يمنح دورة تعلّم أقصر وبيانات تصلح للعرض على الإدارة.
متى تحتاج المؤسسة إلى إعادة بناء مقاييسها
هناك علامات تدل على أن الوقت قد حان:
- تُرفع إلى اللجنة نسبة النقر فقط، دون سياق أو اتجاه.
- يتحسن الرقم عامًا بعد عام بينما تستمر حوادث البريد الاحتيالي الحقيقية.
- يتكرر النقر عند الأشخاص أنفسهم دون تدخل مختلف معهم.
- لا يُعرف كم من الوقت يمر بين وصول الرسالة المشبوهة والإبلاغ عنها.
- تقتصر المحاكاة على رسائل سرقة بيانات الدخول، وتغيب سيناريوهات اختراق البريد التجاري.
- تتجاهل التقارير اختلاف الأداء بين الإدارات.
المقاييس الخمسة الفصلية
1. حجم مجموعة الناقرين المتكررين
لا يهم متوسط المؤسسة بقدر ما تهم المجموعة الصغيرة التي تقع في الفخ مرة بعد مرة. تتبّع عدد الموظفين الذين نقروا في أكثر من محاكاة خلال عدة فصول، وهل تتقلص هذه المجموعة أم تتسع. انكماشها دليل على أن التدخل المخصص يؤتي ثماره، أما ثباتها فيعني أن المحتوى العام لا يصل إليهم. احرص على التعامل مع هذه البيانات بسرية، وعلى أن يكون الهدف دعم الموظف لا معاقبته.
2. تحسّن زمن الإبلاغ
الموظف الذي لا ينقر ثم يتجاهل الرسالة لم يحمِ المؤسسة تمامًا؛ أما من يبلّغ بسرعة فيمنح فريق الأمن فرصة لاحتواء الحملة. قس الزمن من وصول الرسالة إلى أول بلاغ، وتتبّع نسبة المبلّغين من إجمالي المستلمين. هذا المقياس يعكس سلوكًا إيجابيًا، وهو أقرب ما يكون إلى القدرة الفعلية على الكشف.
3. فارق الأداء بين متغيرات السيناريو
أرسل الفكرة الهجومية نفسها بصيغ متعددة: اختلاف النبرة، والجهة المنتحَلة، وقناة الإيصال، ودرجة الإلحاح. فإذا كان الأداء جيدًا في صيغة وضعيفًا في أخرى، فالموظفون يتعرفون على قوالب لا على مبادئ. صغر الفارق بين المتغيرات يدل على تعلّم حقيقي، واتساعه يدل على حفظ للأنماط.
4. معدل كشف اختراق البريد التجاري
رسائل اختراق البريد التجاري لا تحمل غالبًا رابطًا ولا مرفقًا، بل تعتمد على الإقناع: طلب تحويل، أو تغيير بيانات حساب مورّد، أو تعليمات تبدو صادرة عن مسؤول. لذلك لا يصلح معدل النقر لقياسها. استخدم سيناريوهات خاصة بها، ثم قس نسبة من كشفها أو بلّغ عنها أو تحقق منها عبر قناة ثانية، خصوصًا في الفرق المالية والمشتريات والإدارة التنفيذية.
5. التباين في الأداء بين الإدارات
متوسط المؤسسة قد يخفي إدارة شديدة الانكشاف. قارن الإدارات ببعضها بعد مراعاة اختلاف طبيعة العمل وحجم التعرض للرسائل الخارجية. ويفيد هذا المقياس في توجيه الجهد: محتوى أعمق لإدارة ضعيفة، وتجارب ناجحة تُنقل من إدارة قوية.
نمط تدوير السيناريوهات
الغاية من التدوير ألّا يتحول الاختبار إلى حفظ. ويمكن اتباع النمط التالي:
- حدّد مجموعة من المبادئ التي تريد قياسها، مثل التحقق من المرسل، والانتباه إلى الإلحاح، وفحص الوجهة، والتحقق عبر قناة ثانية.
- ابنِ لكل مبدأ عدة متغيرات تختلف في الشكل وتتفق في المبدأ.
- وزّع المتغيرات على المجموعات بحيث لا يتلقى الجميع الصيغة نفسها في الوقت نفسه.
- أعد إدخال متغير قديم بعد فصلين أو ثلاثة بصيغة معدّلة لقياس الاحتفاظ بالمعرفة.
- أدرج في كل فصل سيناريو واحدًا جديدًا على الأقل يمثل أسلوبًا هجوميًا لم يُختبر سابقًا.
- حافظ على سيناريو مرجعي ثابت نسبيًا يتيح مقارنة الاتجاه عبر الفصول، واقرأ نتائجه بحذر.
كيف تعرض النتائج على اللجنة التنفيذية
اعرض الاتجاه عبر الفصول لا لقطة منفردة، وأرفق كل مقياس بقرار: ماذا سنفعل بناءً على هذا الرقم؟ ووضّح أن الهدف بناء مرونة حقيقية لا الحصول على رقم جيد في تقرير الامتثال. وتتوافق هذه الممارسة مع توجه الجهات التنظيمية في المملكة، ومنها الهيئة الوطنية للأمن السيبراني والبنك المركزي السعودي، إلى ربط التوعية بسلوك قابل للقياس، وينبغي الرجوع إلى نصوص الضوابط المنطبقة على جهتك لتحديد المطلوب بدقة.
خلاصة وخطوة تالية
التحول من القياس السنوي إلى المتابعة الفصلية يتطلب خمسة مقاييس واضحة وتدويرًا منضبطًا للسيناريوهات. وتقدّم سيزو ضمن خدماتها التوعية الأمنية، وهي برامج تدريبية مخصصة لبناء ثقافة أمنية متينة داخل المؤسسة. وإذا كنتم تريدون مراجعة طريقة قياس برنامجكم الحالي، فتواصلوا مع فريقنا لمناقشة احتياج مؤسستكم.
