يشتري مسؤول أمن المعلومات اشتراكًا في منصة توعية أمنية عالمية، يرسل رابطًا لجميع الموظفين، ثم يرفع تقريرًا إلى مجلس الإدارة بأن نسبة الإنجاز بلغت ثمانين بالمئة. لكن بعد شهرين يصل بريد تصيد إلى قسم المشتريات، فينقر أحد الموظفين على الرابط ويدخل بيانات اعتماده. السبب ليس غياب التدريب، بل غياب برنامج التوعية الأمنية السعودية الذي يعكس بيئة التهديدات الفعلية والأدوار الوظيفية داخل المؤسسة.
الفارق بين مكتبة فيديوهات عامة وبرنامج توعية حقيقي يكمن في أربعة عناصر: رسم دقيق لبيئة التهديدات، تصميم وحدات تدريبية مخصصة بالعربية والإنجليزية، جدول تقديم مرتبط بالأدوار الوظيفية، ومحاكاة تصيد ربع سنوية تنتج مقاييس واضحة لمجلس الإدارة. في هذا المقال نشرح كيف نبني هذا البرنامج من الصفر، مرحلة تلو الأخرى.
لماذا تفشل برامج التوعية الجاهزة
المنصات العالمية تقدم محتوى عامًا يغطي موضوعات واسعة—كلمات المرور القوية، التصيد الإلكتروني، الهندسة الاجتماعية—لكنها لا تجيب على سؤال بسيط: ما التهديدات التي تواجه موظف المشتريات في مؤسستك بالتحديد؟ وما الذي يحتاج موظف الموارد البشرية أن يعرفه عن حماية البيانات الشخصية بموجب نظام حماية البيانات الشخصية الصادر عن هيئة حماية البيانات الشخصية؟
المشكلة الثانية هي اللغة. الموظفون في الأقسام الإدارية والتشغيلية يفضلون المحتوى بالعربية، بينما الأقسام التقنية والمالية قد تحتاج إلى الإنجليزية. المنصات الجاهزة نادرًا ما توفر محتوى عربيًا بجودة مهنية، أو تقدم ترجمات حرفية لا تراعي السياق التنظيمي السعودي.
المشكلة الثالثة هي القياس. تقارير الإنجاز لا تعني شيئًا إذا لم تقس التغيير السلوكي الفعلي. هل انخفض معدل النقر على روابط التصيد؟ هل يبلغ الموظفون عن الرسائل المشبوهة؟ هل يفهم قسم المشتريات كيف يتحقق من هوية المورد قبل تحويل الأموال؟
المرحلة الأولى: رسم بيئة التهديدات والأدوار الوظيفية
نبدأ بجلسة عمل مشتركة مع فريق أمن المعلومات ومدراء الأقسام الرئيسية—الموارد البشرية، المالية، المشتريات، تقنية المعلومات، والعمليات. الهدف من هذه الجلسة ليس تقديم عرض تقديمي، بل رسم خريطة دقيقة لبيئة التهديدات الفعلية التي تواجه المؤسسة.
نطرح أسئلة محددة:
- ما أنواع البريد الإلكتروني المشبوه التي وصلت خلال الأشهر الستة الماضية؟
- أي الأقسام تتعامل مع بيانات شخصية أو مالية حساسة؟
- هل سبق أن تلقى قسم المشتريات طلبات تحويل مالي مزيفة؟
- ما الأنظمة والتطبيقات التي يستخدمها كل قسم، وأيها يتطلب مصادقة ثنائية؟
- ما اللغة المفضلة لكل مجموعة وظيفية؟
بناءً على هذه الجلسة، نعد مصفوفة التهديدات والأدوار. هذه الوثيقة تربط كل دور وظيفي بالتهديدات المحددة التي يواجهها، والمتطلبات التنظيمية ذات الصلة. على سبيل المثال:
- الموارد البشرية: حماية البيانات الشخصية للموظفين، التعرف على طلبات الوصول المزيفة، الامتثال لنظام حماية البيانات الشخصية.
- المالية والمشتريات: التحقق من هوية الموردين، اكتشاف رسائل تحويل الأموال المزيفة، حماية بيانات الحسابات المصرفية.
- تقنية المعلومات: إدارة الصلاحيات، حماية بيانات الاعتماد، الاستجابة للحوادث الأمنية.
- الموظفون العامون: كلمات المرور، التصيد الإلكتروني الأساسي، الإبلاغ عن الحوادث.
في نهاية هذه المرحلة، يحصل العميل على مصفوفة التهديدات والأدوار، وهي الأساس الذي سنبني عليه المحتوى التدريبي.
المرحلة الثانية: تصميم الوحدات التدريبية المخصصة
بعد رسم الخريطة، نصمم الوحدات التدريبية. لا نستخدم قوالب جاهزة؛ كل وحدة تُكتب وتُصمم خصيصًا لتعكس بيئة التهديدات والسياق التنظيمي للمؤسسة.
المحتوى بالعربية والإنجليزية
نعد كل وحدة بنسختين: عربية فصحى للأقسام الإدارية والتشغيلية، وإنجليزية للأقسام التقنية والمالية. النسخة العربية ليست ترجمة؛ نكتبها أصلًا بالعربية، ونستخدم المصطلحات الرسمية للجهات التنظيمية السعودية—البنك المركزي السعودي، هيئة حماية البيانات الشخصية، الهيئة الوطنية للأمن السيبراني.
الوحدات الأساسية
نصمم عادة خمس إلى سبع وحدات، تشمل:
- التصيد الإلكتروني وهجمات الهندسة الاجتماعية: كيف تتعرف على البريد المشبوه، وماذا تفعل عند استلامه.
- حماية البيانات الشخصية: واجبات المؤسسة بموجب نظام حماية البيانات الشخصية، وكيف يحمي الموظف البيانات التي يتعامل معها.
- إدارة كلمات المرور والمصادقة الثنائية: كيف تنشئ كلمة مرور قوية، ولماذا المصادقة الثنائية ضرورية.
- الأمن المالي ومنع الاحتيال: كيف يتحقق قسم المشتريات والمالية من هوية المورد قبل تحويل الأموال.
- العمل عن بُعد واستخدام الأجهزة الشخصية: كيف تحمي بيانات المؤسسة عند العمل من المنزل أو استخدام هاتفك الشخصي.
- الإبلاغ عن الحوادث الأمنية: متى وكيف تبلّغ فريق أمن المعلومات عن حادثة مشبوهة.
التفاعل والسيناريوهات الواقعية
كل وحدة تتضمن سيناريوهات واقعية من بيئة المؤسسة. على سبيل المثال، في وحدة التصيد الإلكتروني، نعرض نموذجًا لبريد إلكتروني مزيف يدّعي أنه من قسم الموارد البشرية يطلب تحديث بيانات الموظف، ونشرح كيف يكتشف الموظف العلامات المشبوهة—عنوان المرسل، اللغة، الرابط المختصر.
في نهاية هذه المرحلة، يحصل العميل على حزمة الوحدات التدريبية كاملة، بنسختيها العربية والإنجليزية، جاهزة للنشر.
المرحلة الثالثة: جدول التقديم والتنفيذ
الوحدات التدريبية وحدها لا تكفي؛ نحتاج إلى جدول تقديم واضح يحدد من يتلقى أي وحدة، ومتى، وكيف نتابع الإنجاز.
تخصيص الوحدات حسب الأدوار
نعد جدول التقديم الذي يربط كل مجموعة وظيفية بالوحدات المطلوبة. جميع الموظفين يتلقون الوحدات الأساسية—التصيد الإلكتروني، كلمات المرور، الإبلاغ عن الحوادث—بينما الأقسام المتخصصة تتلقى وحدات إضافية:
- الموارد البشرية: حماية البيانات الشخصية.
- المالية والمشتريات: الأمن المالي ومنع الاحتيال.
- تقنية المعلومات: إدارة الصلاحيات والاستجابة للحوادث.
التنفيذ والمتابعة
نساعد فريق أمن المعلومات والموارد البشرية على تنفيذ البرنامج. نحدد منصة التقديم—سواء كانت نظام إدارة التعلم الداخلي أو منصة خارجية—ونرفع المحتوى عليها. ثم نعد خطة الاتصال الداخلي: متى يُرسل البريد الإلكتروني التعريفي، وكيف نذكّر الموظفين بإنجاز الوحدات، وكيف نتابع مع المدراء.
في نهاية هذه المرحلة، يحصل العميل على جدول التقديم وخطة الاتصال الداخلي، والبرنامج يصبح جاهزًا للتشغيل.
المرحلة الرابعة: محاكاة التصيد ربع السنوية والقياس
التدريب وحده لا يكفي؛ نحتاج إلى قياس التغيير السلوكي الفعلي. لذلك نجري محاكاة تصيد ربع سنوية لجميع الموظفين أو لعينة ممثلة.
تصميم حملات التصيد
نصمم رسائل تصيد مزيفة تحاكي التهديدات الفعلية التي حددناها في المرحلة الأولى. على سبيل المثال:
- بريد إلكتروني يدّعي أنه من قسم الموارد البشرية يطلب تحديث بيانات الموظف.
- رسالة تدّعي أنها من مورد معروف تطلب تحديث بيانات الحساب المصرفي.
- إشعار مزيف من نظام داخلي يطلب إعادة إدخال كلمة المرور.
نرسل هذه الرسائل عبر منصة محاكاة آمنة، ونتتبع من ينقر على الرابط، ومن يدخل بيانات اعتماده، ومن يبلّغ فريق أمن المعلومات عن الرسالة المشبوهة.
التقارير ربع السنوية
بعد كل حملة، نعد تقرير محاكاة التصيد ربع السنوي يتضمن:
- معدل النقر على الروابط المشبوهة، مقسمًا حسب القسم.
- معدل إدخال بيانات الاعتماد.
- معدل الإبلاغ عن الرسائل المشبوهة.
- مقارنة بالحملة السابقة لقياس التحسن.
- توصيات محددة—أي الأقسام تحتاج إلى تدريب إضافي، وأي السيناريوهات يجب أن نركز عليها في الحملة القادمة.
هذا التقرير جاهز للعرض على مجلس الإدارة أو لجنة المخاطر، ويقدم مقاييس واضحة لفعالية برنامج التوعية.
التحسين المستمر
بناءً على نتائج المحاكاة، نحدّث الوحدات التدريبية ونضيف سيناريوهات جديدة. إذا لاحظنا أن قسم المشتريات ما زال ينقر على رسائل الموردين المزيفة، نصمم وحدة إضافية أو نعقد جلسة تدريبية مباشرة لهذا القسم.
ماذا تحصل في النهاية
عند اكتمال البرنامج، يحصل العميل على:
- مصفوفة التهديدات والأدوار: وثيقة تربط كل دور وظيفي بالتهديدات المحددة والمتطلبات التنظيمية.
- حزمة الوحدات التدريبية: خمس إلى سبع وحدات مخصصة، كل منها بنسختين (عربية وإنجليزية).
- جدول التقديم: خطة واضحة تحدد من يتلقى أي وحدة ومتى.
- خطة الاتصال الداخلي: نصوص البريد الإلكتروني والتذكيرات والمتابعة مع المدراء.
- تقارير محاكاة التصيد ربع السنوية: مقاييس واضحة لمعدل النقر والإبلاغ والتحسن، جاهزة لمجلس الإدارة.
من مكتبة فيديوهات إلى برنامج حقيقي
الفارق بين مكتبة فيديوهات ومحتوى عام وبين برنامج توعية أمنية حقيقي هو التخصيص والقياس. عندما تعكس الوحدات التدريبية بيئة التهديدات الفعلية، وعندما تُقدّم بلغة الموظفين، وعندما تُقاس النتائج ربع سنويًا بمحاكاة تصيد واقعية، يصبح البرنامج أداة فعلية لتقليل المخاطر—وليس مجرد خانة في قائمة الامتثال.
نقدم برامج تدريبية مخصصة لبناء ثقافة أمنية متينة داخل المؤسسة، من رسم التهديدات إلى قياسات التصيد ربع السنوية. إذا كنت تبحث عن برنامج توعية أمنية يعكس بيئة مؤسستك الفعلية ويقدم مقاييس واضحة لمجلس الإدارة، تواصل معنا.
