أصدرت الهيئة الوطنية للأمن السيبراني في أبريل ٢٠٢٥ تعديلاً هادئاً لكنه جوهري على الضابط ١-٤-١ من ضوابط الأمن السيبراني الأساسية، وهو التحديث الذي يحوّل برامج التوعية الأمنية من نموذج التدريب الصفي التقليدي إلى نهج قائم على المحاكاة العملية والمقاييس القابلة للقياس. لم يعد كافياً أن تقدّم الجهات الخاضعة للرقابة جلسات توعوية سنوية أو نصف سنوية؛ بل أصبح مطلوباً الآن تنفيذ حملات محاكاة موثّقة للتصيد الاحتيالي والاتصال الصوتي الاحتيالي، وتتبع ثلاثة مقاييس مرجعية محددة، وتقديم أدلة على التحسّن المستمر خلال عمليات التفتيش.
يأتي هذا التحديث في سياق ملاحظات المدققين خلال دورة التفتيش الأخيرة، حيث وجدوا أن العديد من المؤسسات تستوفي الحد الأدنى الشكلي من متطلبات التوعية دون أن تقيس فعلياً قدرة الموظفين على التعرّف على الهجمات الحقيقية والإبلاغ عنها. النص المعدّل يسدّ هذه الفجوة بوضوح.
ما الذي تغيّر في الضابط ١-٤-١
التعديل الأساسي يتمثل في إضافة متطلب صريح لنوعين من المحاكاة العملية، بالإضافة إلى التدريب النظري الموجود سابقاً.
المحاكاة الأولى: التصيد الاحتيالي عبر البريد الإلكتروني
تُطلب الهيئة الوطنية للأمن السيبراني الآن من الجهات الخاضعة للرقابة تنفيذ حملات محاكاة تصيد احتيالي فصلية — أي أربع حملات على الأقل في السنة — تستهدف عينة تمثيلية من الموظفين عبر مختلف الأقسام والمستويات الوظيفية. يجب أن تحاكي هذه الحملات تقنيات التصيد الحقيقية المستخدمة في البيئة التهديدية الحالية، وليس قوالب عامة واضحة.
المتطلب لا يقتصر على إرسال رسائل وهمية؛ بل يشمل تسجيل استجابات الموظفين بدقة: من نقر على الرابط، من أدخل بيانات اعتماد، ومن أبلغ عن الرسالة المشبوهة إلى فريق أمن المعلومات. كل حملة يجب أن تُوثّق بتقرير يحمل طابعاً زمنياً يوضح التاريخ والوقت والنطاق والنتائج.
المحاكاة الثانية: الاتصال الصوتي الاحتيالي (Vishing)
الإضافة الأكثر جدّة هي متطلب محاكاة الاتصال الصوتي الاحتيالي. تدرك الهيئة أن الهجمات الموجهة ضد المؤسسات السعودية لا تقتصر على البريد الإلكتروني؛ فالمهاجمون يستخدمون بشكل متزايد المكالمات الهاتفية للحصول على معلومات حساسة أو إقناع الموظفين بتنفيذ تحويلات مالية أو تغيير بيانات الحسابات.
يُطلب الآن تنفيذ حملة محاكاة اتصال صوتي مرة واحدة على الأقل كل ستة أشهر، تستهدف الموظفين في الأدوار الحساسة — الشؤون المالية، الموارد البشرية، خدمة العملاء، ومكاتب الاستقبال. يجب أن تُصمّم السيناريوهات لتحاكي تقنيات الهندسة الاجتماعية الشائعة: انتحال صفة مسؤول تنفيذي، ادّعاء الطوارئ، أو التظاهر بأنه مورّد أو جهة حكومية.
كما هو الحال مع محاكاة التصيد الإلكتروني، يجب توثيق كل حملة اتصال صوتي بتقرير يوضح السيناريو المستخدم، الموظفين المستهدفين، ومن كشف المحاولة ومن وقع ضحية لها.
المقاييس المرجعية الثلاثة التي يفحصها المدققون
التعديل لا يكتفي بطلب المحاكاة؛ بل يحدد ثلاثة مقاييس مرجعية يجب على المؤسسات تتبعها وتحسينها بمرور الوقت. هذه المقاييس أصبحت الآن جزءاً من قائمة التحقق التي يستخدمها مدققو الهيئة خلال عمليات التفتيش.
المقياس الأول: معدل النقر (Click Rate)
يقيس هذا المقياس نسبة الموظفين الذين نقروا على الرابط الوهمي أو فتحوا المرفق المشبوه في حملة التصيد الاحتيالي، من إجمالي المستلمين. المعيار المقبول يختلف حسب نضج البرنامج، لكن الهيئة تتوقع رؤية اتجاه تنازلي واضح عبر الحملات المتتالية. معدل نقر يتجاوز ٣٠٪ في الحملة الرابعة أو الخامسة يُعتبر إشارة إلى ضعف فعالية البرنامج.
المقياس الثاني: معدل الإبلاغ (Reporting Rate)
هذا المقياس يقيس نسبة الموظفين الذين أبلغوا عن الرسالة أو المكالمة المشبوهة إلى فريق أمن المعلومات، باستخدام القنوات المحددة (زر الإبلاغ في البريد الإلكتروني، عنوان بريد مخصص، أو خط ساخن). الهيئة تعتبر معدل الإبلاغ المرتفع مؤشراً أقوى على نجاح البرنامج من معدل النقر المنخفض وحده؛ فالموظف الذي يتعرّف على التهديد ويُبلغ عنه يساهم في الدفاع الجماعي للمؤسسة.
المعيار المستهدف هو أن يُبلغ ما لا يقل عن ٥٠٪ من الموظفين الذين لم ينقروا على الرابط عن الرسالة المشبوهة بحلول الحملة الرابعة.
المقياس الثالث: الوقت حتى الإبلاغ (Time to Report)
يقيس هذا المقياس المدة الزمنية بين استلام الموظف للرسالة الوهمية وبين إبلاغه عنها. الهيئة تدرك أن السرعة عامل حاسم في احتواء الهجمات الحقيقية؛ فكلما أسرع الموظفون في الإبلاغ، زادت قدرة فريق الاستجابة للحوادث على منع انتشار التهديد.
المعيار المقبول هو أن يُبلغ ٧٠٪ من المبلّغين خلال ساعة واحدة من استلام الرسالة، وأن يُبلغ ٩٠٪ خلال أربع ساعات عمل. المؤسسات التي تحقق هذا المعيار تُظهر ثقافة أمنية ناضجة.
صيغة الأدلة المطلوبة للامتثال
المدققون يطلبون الآن أدلة محددة خلال عمليات التفتيش، وليس مجرد شهادات حضور أو جداول تدريبية.
تقارير الحملات الموقوتة
كل حملة محاكاة — سواء تصيد إلكتروني أو اتصال صوتي — يجب أن تُنتج تقريراً مفصلاً يحمل طابعاً زمنياً. يجب أن يتضمن التقرير:
- تاريخ ووقت إطلاق الحملة
- عدد الموظفين المستهدفين وتوزيعهم حسب القسم والمستوى الوظيفي
- السيناريو أو القالب المستخدم، مع لقطات شاشة أو نسخة من الرسالة
- النتائج الكمية: عدد ونسبة من نقر، من أدخل بيانات، من أبلغ، ومن لم يتفاعل
- الوقت حتى الإبلاغ لكل موظف أبلغ عن الرسالة
- قائمة بالموظفين الذين وقعوا ضحية للمحاكاة والإجراءات التصحيحية المتخذة (تدريب إضافي، تنبيه مباشر)
هذه التقارير يجب أن تُحفظ لمدة سنتين على الأقل وأن تكون متاحة للمراجعة الفورية.
تحليل الاتجاهات الفصلي
بالإضافة إلى تقارير الحملات الفردية، تطلب الهيئة تقريراً فصلياً يحلل الاتجاهات عبر جميع الحملات خلال الربع. يجب أن يُظهر هذا التقرير:
- التحسّن أو التراجع في المقاييس الثلاثة مقارنة بالربع السابق
- الأقسام أو الفئات الوظيفية الأكثر عرضة للوقوع ضحية
- فعالية الإجراءات التصحيحية المتخذة بعد كل حملة
- التوصيات لتحسين البرنامج في الربع التالي
هذا التحليل يُظهر للمدققين أن المؤسسة لا تنفذ المحاكاة بشكل آلي، بل تستخدم النتائج لتحسين الوعي الأمني بشكل مستمر.
سجل التدريب التصحيحي
الموظفون الذين يقعون ضحية للمحاكاة يجب أن يخضعوا لتدريب تصحيحي فوري — عادة خلال أسبوع واحد من الحملة. يجب توثيق هذا التدريب في سجل منفصل يربط بين نتيجة المحاكاة والتدريب المقدّم، مع إثبات إكمال الموظف له.
متى تحتاج المؤسسة إلى تحديث برنامج التوعية
هناك علامات واضحة تشير إلى أن البرنامج الحالي لا يستوفي المتطلبات الجديدة.
إذا كان برنامج التوعية الأمني الحالي يعتمد بشكل حصري على جلسات تدريبية صفية أو عبر الإنترنت دون أي محاكاة عملية، فهو لا يستوفي الضابط المعدّل. الجلسات التوعوية تظل مطلوبة، لكنها لم تعد كافية بمفردها.
إذا كانت المؤسسة تنفذ محاكاة تصيد احتيالي لكنها لا تتتبع المقاييس الثلاثة بدقة، أو لا تُنتج تقارير موقوتة مفصلة، فهي معرضة لملاحظات المدققين. الأدلة غير الموثّقة لا تُعتبر امتثالاً.
إذا لم تنفذ المؤسسة أي محاكاة للاتصال الصوتي الاحتيالي، فهي تفتقد متطلباً جديداً صريحاً. هذا النوع من المحاكاة يتطلب تخطيطاً دقيقاً وتنسيقاً مع الموارد البشرية والشؤون القانونية لضمان عدم تجاوز الحدود الأخلاقية أو التسبب في قلق غير ضروري للموظفين.
إذا كانت معدلات النقر في الحملات الحالية مرتفعة ومستقرة دون تحسّن ملحوظ، فهذا يشير إلى أن التدريب التصحيحي غير فعّال أو أن المحاكاة لا تُصمّم بشكل يعكس التهديدات الحقيقية.
كيف يبدو البرنامج المتوافق
البرنامج الذي يستوفي الضابط المعدّل يجمع بين أربعة عناصر متكاملة.
التدريب الأساسي المنتظم
جلسات توعوية شاملة تُقدّم لجميع الموظفين الجدد خلال فترة التوجيه، وتُعاد سنوياً لجميع الموظفين. تغطي هذه الجلسات أساسيات الأمن السيبراني، أنواع التهديدات الشائعة، وإجراءات الإبلاغ.
حملات محاكاة فصلية للتصيد الإلكتروني
أربع حملات على الأقل في السنة، تستخدم سيناريوهات متنوعة ومستويات صعوبة متدرجة. الحملة الأولى قد تكون بسيطة لتحديد خط الأساس، ثم تزداد التعقيد تدريجياً لتحاكي تقنيات التصيد المتقدمة مثل انتحال صفة جهات داخلية أو استخدام سياق يتعلق بأحداث جارية.
حملات محاكاة نصف سنوية للاتصال الصوتي
مرتان في السنة على الأقل، تستهدف الأدوار الحساسة. السيناريوهات يجب أن تُصمّم بعناية لتكون واقعية دون أن تسبب ذعراً، وأن تُنفّذ بواسطة أفراد مدرّبين يمكنهم الحفاظ على السيناريو بشكل مقنع.
تدريب تصحيحي فوري ومستهدف
الموظفون الذين يقعون ضحية للمحاكاة يتلقون تدريباً إضافياً خلال أيام، يركز على الأخطاء المحددة التي ارتكبوها. هذا التدريب يجب أن يكون قصيراً ومباشراً، وليس عقابياً، بل تعليمياً.
النتيجة المرجوة هي انخفاض تدريجي في معدل النقر، وارتفاع مستمر في معدل الإبلاغ والسرعة، وفي النهاية ثقافة تنظيمية يشعر فيها الموظفون بالثقة في قدرتهم على التعرّف على التهديدات والإبلاغ عنها دون تردد.
بناء برنامج توعية متوافق ومستدام
تقدّم سيزو للاستشارات برامج تدريبية مخصصة لبناء ثقافة أمنية متينة داخل المؤسسة، تستوفي متطلبات الضابط ١-٤-١ المعدّل وتتجاوزها.
نبدأ بمراجعة البرنامج الحالي وتحديد الفجوات بين ما هو قائم وما تطلبه الهيئة الوطنية للأمن السيبراني. نصمّم بعد ذلك إطار عمل محاكاة شاملاً يغطي كلاً من التصيد الإلكتروني والاتصال الصوتي، مع سيناريوهات مخصصة تعكس بيئة التهديد الفعلية التي تواجهها المؤسسة وقطاعها.
ننفذ الحملات وفق جدول زمني فصلي، ونُنتج تقارير مفصلة موقوتة بعد كل حملة، ونحلل الاتجاهات عبر الحملات المتعاقبة. نساعد فرق أمن المعلومات الداخلية على تفسير النتائج وتصميم التدريب التصحيحي المستهدف، ونوثّق كل عنصر بالصيغة التي يتوقعها المدققون.
إذا كنت تحدّث برنامج التوعية الأمني لديك لتلبية المتطلبات الجديدة، أو تحتاج إلى مراجعة الأدلة الموجودة قبل التفتيش القادم، تواصل معنا لمناقشة كيف يمكننا دعمك.
