تضع الجهات الخاضعة لمتطلبات التوعية الأمنية المركز الوطني للأمن السيبراني خططها السنوية عادة في الربع الأخير من كل عام. في ٢٠٢٥، تتطلب التوجيهات الحديثة والتحديثات الإرشادية من المركز الوطني إضافة ثلاثة موضوعات كانت في السابق اختيارية أو مستحسنة، وأصبحت الآن جزءًا من الحد الأدنى المتوقع عند التحقق من الضابط ١-٤-١ الخاص بالتوعية والتدريب. هذا المقال يحدد الموضوعات الثلاثة، ويشرح السياق التنظيمي، ويوضح شكل الوحدات التدريبية والأدلة التي يجب توثيقها.
السياق التنظيمي: لماذا الآن
الضابط ١-٤-١ من الضوابط الأساسية للأمن السيبراني يتطلب من الجهات الخاضعة تنفيذ برامج توعية وتدريب دورية لجميع الموظفين، مع تدريب متخصص للأدوار الحساسة. النص الأساسي للضابط لم يتغير، لكن التوجيهات الإرشادية الصادرة من المركز الوطني للأمن السيبراني في النصف الثاني من ٢٠٢٤ أضافت توضيحات حول الموضوعات المتوقعة في برامج التوعية، استجابة لأنماط تهديدات إقليمية ملحوظة وتقنيات هجوم جديدة.
هذه التوضيحات ليست تعديلات رسمية على نص الضابط، لكنها تشكل توقعات المنظم عند المراجعة. الجهات التي تخضع لتقييمات امتثال أو زيارات ميدانية في ٢٠٢٥ ستُسأل عن تغطية هذه الموضوعات، وعن الأدلة التي تثبت أن الموظفين تلقوا التدريب وفهموا المحتوى.
الموضوعات الثلاثة الجديدة
١. الهندسة الاجتماعية بالتزييف العميق
التزييف العميق (deepfake) أصبح أداة شائعة في الهجمات الموجهة ضد المؤسسات المالية والحكومية في المنطقة. الهجمات المسجلة في ٢٠٢٤ استخدمت مقاطع صوتية أو فيديو مزيفة لمسؤولين تنفيذيين أو شركاء تجاريين، بهدف إقناع موظفين بتنفيذ تحويلات مالية أو الإفصاح عن بيانات حساسة.
الوحدة التدريبية المطلوبة يجب أن تغطي:
- تعريف التزييف العميق: كيف تُنتج المقاطع المزيفة باستخدام الذكاء الاصطناعي، والفرق بين التزييف الصوتي والمرئي.
- علامات التحذير: التأخير الطفيف في حركة الشفاه، الإضاءة غير الطبيعية، النبرة الصوتية المتكررة، أو الطلبات العاجلة غير المعتادة.
- إجراءات التحقق: التأكيد عبر قناة ثانية (مثل اتصال هاتفي مباشر برقم معروف مسبقًا) قبل تنفيذ أي طلب مالي أو حساس.
- الإبلاغ: كيف يُبلغ الموظف عن مقطع مشتبه به، ومن يتصل به فورًا.
الأدلة المطلوبة عند التحقق:
- محتوى الوحدة التدريبية (عرض تقديمي أو فيديو تعليمي).
- سجلات الحضور أو إتمام الوحدة لجميع الموظفين المستهدفين.
- نتائج اختبار قصير أو سيناريو تطبيقي يثبت الفهم.
٢. التصيد عبر سلسلة التوريد من موردين موثوقين
الهجمات التي تستغل سلسلة التوريد ازدادت تعقيدًا. بدلاً من إرسال بريد إلكتروني من مرسل مجهول، يخترق المهاجم حساب بريد مورد حقيقي أو شريك تجاري، ثم يرسل رسائل تصيد من عنوان موثوق، غالبًا في سياق محادثة جارية أو طلب شراء حقيقي.
الوحدة التدريبية المطلوبة يجب أن تغطي:
- كيف يحدث الاختراق: المهاجم يخترق حساب المورد أولاً، ثم يستخدمه لإرسال روابط أو مرفقات ضارة.
- السياق المضلل: الرسالة تبدو طبيعية تمامًا، وقد تكون ردًا على سلسلة بريد حقيقية.
- علامات التحذير: تغيير مفاجئ في تفاصيل الدفع، طلب فتح مرفق غير متوقع، أو رابط يؤدي إلى صفحة تسجيل دخول مشابهة لكن بعنوان URL مختلف قليلاً.
- إجراءات التحقق: التأكيد عبر قناة ثانية (اتصال هاتفي أو رسالة فورية منفصلة) قبل فتح أي مرفق أو النقر على رابط، حتى لو كان المرسل معروفًا.
- الإبلاغ: الإجراء الفوري عند الشك، وكيفية عزل الجهاز إذا فُتح مرفق مشتبه به.
الأدلة المطلوبة عند التحقق:
- محتوى الوحدة التدريبية مع أمثلة واقعية (يمكن إخفاء أسماء الجهات).
- سجلات الحضور أو إتمام الوحدة.
- نتائج اختبار تطبيقي أو محاكاة تصيد داخلية تستهدف هذا السيناريو.
٣. الاستخدام الآمن لأدوات الذكاء الاصطناعي التوليدي
أدوات الذكاء الاصطناعي التوليدي (مثل ChatGPT وBard وClaude وغيرها) أصبحت شائعة في بيئات العمل. الموظفون يستخدمونها لكتابة رسائل البريد، تلخيص المستندات، أو توليد أكواد برمجية. المشكلة: إدخال بيانات حساسة أو سرية في هذه الأدوات يعني إرسالها إلى خوادم خارجية، مما يخالف سياسات حماية البيانات ويعرض المؤسسة لمخاطر تسريب أو استخدام غير مصرح به.
الوحدة التدريبية المطلوبة يجب أن تغطي:
- ما هي أدوات الذكاء الاصطناعي التوليدي: أمثلة شائعة وكيف تعمل (إرسال البيانات إلى خوادم الخدمة).
- المخاطر: البيانات المُدخلة قد تُستخدم لتدريب النماذج، أو تُخزن في سجلات، أو تُشارك مع أطراف ثالثة.
- ما لا يجوز إدخاله: بيانات العملاء، معلومات مالية، أكواد برمجية خاصة، استراتيجيات عمل، أو أي معلومات مصنفة كسرية أو محدودة حسب سياسة تصنيف البيانات.
- الاستخدام الآمن: استخدام الأدوات لمهام عامة فقط، أو استخدام نسخ مؤسسية مُدارة داخليًا إذا كانت متاحة.
- الإبلاغ: كيف يُبلغ الموظف إذا أدخل بيانات حساسة عن طريق الخطأ.
الأدلة المطلوبة عند التحقق:
- محتوى الوحدة التدريبية يربط الموضوع بسياسة تصنيف البيانات المعتمدة.
- سجلات الحضور أو إتمام الوحدة.
- نتائج اختبار قصير يتضمن سيناريوهات واقعية (مثل: هل يجوز إدخال بيانات عميل في ChatGPT لكتابة بريد؟).
كيف تُدمج الموضوعات في الخطة السنوية
الجهات التي لديها برامج توعية قائمة تحتاج إلى مراجعة التقويم السنوي وإضافة هذه الوحدات الثلاث. الخيارات الشائعة:
- جلسات مستقلة: تخصيص جلسة تدريبية واحدة (٣٠ إلى ٤٥ دقيقة) لكل موضوع، تُقدم على مدار الربع الأول أو الثاني من ٢٠٢٥.
- دمج في جلسة واحدة: جلسة توعية شاملة (٩٠ إلى ١٢٠ دقيقة) تغطي الموضوعات الثلاثة مع التركيز على السيناريوهات التطبيقية.
- حملات توعوية دورية: إضافة الموضوعات إلى حملات البريد الإلكتروني الشهرية أو الرسائل التوعوية القصيرة، مع جلسة تدريبية تفاعلية واحدة على الأقل لكل موضوع.
الجهات التي ليس لديها برنامج توعية رسمي، أو التي تعتمد على محتوى عام غير مخصص، تحتاج إلى بناء برنامج متكامل يغطي الموضوعات الأساسية (مثل كلمات المرور، التصيد التقليدي، الهندسة الاجتماعية) بالإضافة إلى الموضوعات الثلاثة الجديدة.
شكل الأدلة عند التحقق من الضابط
عند المراجعة أو التقييم، يتوقع المنظم رؤية:
- خطة التوعية السنوية: وثيقة تحدد الموضوعات المغطاة، الجدول الزمني، الفئات المستهدفة (جميع الموظفين، الأدوار التقنية، الإدارة التنفيذية).
- محتوى التدريب: العروض التقديمية أو الفيديوهات أو المواد التعليمية المستخدمة، بالعربية أو الإنجليزية حسب لغة العمل.
- سجلات الحضور أو الإتمام: قائمة بأسماء الموظفين الذين حضروا كل جلسة أو أتموا الوحدة الإلكترونية، مع التواريخ.
- نتائج الاختبارات أو المحاكاة: درجات الاختبارات القصيرة، أو نتائج محاكاة التصيد الداخلية، أو تقارير السيناريوهات التطبيقية.
- مؤشرات التوعية: نسبة الإتمام، معدل النجاح في الاختبارات، عدد البلاغات الصحيحة عن رسائل تصيد مشتبه بها (مؤشر إيجابي على تغيير السلوك).
الأدلة يجب أن تكون موثقة ومحفوظة لمدة سنة على الأقل، وجاهزة للتقديم عند الطلب.
التدريب حسب الأدوار
الضابط ١-٤-١ يتطلب أيضًا تدريبًا متخصصًا للأدوار الحساسة. الموضوعات الثلاثة الجديدة تحتاج إلى تعمق إضافي لبعض الفئات:
- الفرق المالية: تدريب موسع على التحقق من طلبات التحويل المالي، خاصة عند استخدام التزييف العميق أو اختراق حسابات الموردين.
- فرق تقنية المعلومات والأمن السيبراني: تدريب تقني على كشف التزييف العميق باستخدام أدوات تحليل، وعلى مراقبة استخدام أدوات الذكاء الاصطناعي التوليدي في الشبكة.
- الإدارة التنفيذية ومجلس الإدارة: إحاطة موجزة عن المخاطر الناشئة، وكيف تؤثر على قرارات الحوكمة والاستثمار في الضوابط.
متى تحتاج المؤسسة إلى مراجعة برنامج التوعية
المؤسسة تحتاج إلى مراجعة أو بناء برنامج توعية إذا كان أي من التالي ينطبق:
- لا يوجد برنامج توعية رسمي: التدريب يُقدم بشكل عشوائي أو غير موثق.
- البرنامج الحالي لا يغطي الموضوعات الثلاثة الجديدة: المحتوى لم يُحدث منذ ٢٠٢٣ أو قبل.
- الأدلة غير كافية: لا توجد سجلات حضور أو نتائج اختبارات، أو الوثائق غير منظمة.
- المحتوى عام وغير مخصص: مواد مترجمة من مصادر أجنبية لا تعكس السياق التنظيمي السعودي أو المخاطر الإقليمية.
- تقييم امتثال قادم: المؤسسة تستعد لمراجعة من المركز الوطني للأمن السيبراني أو جهة تنظيمية أخرى.
النتيجة المطلوبة: برنامج توعية يفي بمتطلبات الضابط، يغطي الموضوعات المتوقعة، ويُنتج أدلة قابلة للتقديم عند التحقق، مع تغيير ملحوظ في سلوك الموظفين (مثل زيادة البلاغات عن رسائل مشتبه بها).
كيف يُبنى برنامج التوعية المتوافق
بناء برنامج توعية متوافق يتطلب خطوات منهجية:
١. تحديد الفئات المستهدفة والمخاطر الفعلية
تبدأ العملية بتحديد الفئات (جميع الموظفين، الأدوار التقنية، الإدارة المالية، التنفيذيون) ومراجعة سجل المخاطر أو الحوادث السابقة لتحديد الموضوعات الأكثر أهمية.
٢. بناء الخطة السنوية والجدول الزمني
تُوضع خطة تحدد الموضوعات المغطاة، الجدول الزمني لكل جلسة، الفئة المستهدفة، وطريقة التقديم (حضوري أو عن بُعد). الخطة تُعتمد من الإدارة المسؤولة (عادة الأمن السيبراني أو الامتثال).
٣. إعداد المحتوى التدريبي
يُعد محتوى كل وحدة تدريبية بالعربية أو الإنجليزية حسب لغة العمل، مع أمثلة واقعية وسيناريوهات تطبيقية. المحتوى يُراجع للتأكد من توافقه مع سياسات المؤسسة والمتطلبات التنظيمية.
٤. تقديم الجلسات التدريبية
تُقدم الجلسات في مقر المؤسسة أو عن بُعد، مع تسجيل الحضور. الجلسات تتضمن جزءًا تفاعليًا (أسئلة وأجوبة، سيناريوهات تطبيقية) لضمان الفهم.
٥. الاختبار والقياس
بعد كل وحدة، يُقدم اختبار قصير أو سيناريو تطبيقي لقياس الفهم. النتائج تُسجل وتُحلل لتحديد الفجوات.
٦. التوثيق وإعداد التقارير
تُجمع جميع الأدلة (الخطة، المحتوى، سجلات الحضور، نتائج الاختبارات) في ملف واحد جاهز للتقديم عند التحقق. تُعد تقارير دورية تُرفع للإدارة التنفيذية أو مجلس الإدارة توضح نسبة الإتمام والمؤشرات الرئيسية.
برامج التوعية والتدريب في الأمن السيبراني
سيزو للاستشارات تقدم برامج توعية وإحاطات تنفيذية وتدريب حسب الأدوار يفي بالمتطلبات التنظيمية ويغيّر السلوك، مع التركيز على سلوكيات أمنية تصمد تحت الضغط.
الخدمة تشمل إعداد خطة التوعية السنوية وجدولها، إحاطة لمجلس الإدارة والتنفيذيين، جلسات تدريب حسب الأدوار، مؤشرات التوعية وتقاريرها، ومواد الحملات التوعوية. البرامج مبنية على مخاطركم الفعلية، والإحاطات تمكّن مجالس الإدارة من طرح الأسئلة الصحيحة، والتدريب حسب الأدوار يُقدم للفرق التقنية، مع نتائج مقيسة يمكن رفعها في التقارير. المحتوى متاح بالعربية والإنجليزية.
يمكن تقديم الخدمة كبرنامج سنوي أو جلسات مستقلة، ويمكن تقديم الجلسات في مقركم في الرياض أو في أي مكان في المملكة، أو عن بُعد.
إذا كنتم بحاجة إلى تحديث برنامج التوعية ليشمل الموضوعات الثلاثة الجديدة، أو بناء برنامج متكامل يفي بمتطلبات الضابط ١-٤-١، تواصلوا مع فريق سيزو لمناقشة احتياجاتكم وجدولكم الزمني.
