تواجه كثير من المؤسسات المالية سؤالًا مباشرًا عند مراجعة الميزانيات: ما الذي تغيّر فعلًا بعد برنامج التدريب؟ والجواب غالبًا ضعيف حين تستند التمارين إلى قوالب عامة. فالربط بين استخبارات التهديدات والتدريب والتوعية الأمنية هو ما يحوّل التمرين من نشاط دوري إلى قياس قابل للدفاع أمام الإدارة والمجلس.
لماذا تفشل محاكاة التصيد العامة
القالب العام، مثل رسالة «انتهت صلاحية كلمة المرور» أو «لقد ربحت جائزة»، يختبر أنماطًا يعرفها الموظف منذ سنوات، وتحجبها غالبًا بوابات البريد. وحين ينجح الموظفون فيه، تصبح النتيجة مطمئنة بلا مبرر، لأنها لا تقول شيئًا عن الأساليب التي تصل فعلًا إلى صناديقهم وهواتفهم.
المعيار الأدق هو: هل يتعرّف الموظف على الأساليب التي تتجاوز الضوابط التقنية؟ فهذه وحدها تعتمد على قراره البشري، وهي التي تستحق ميزانية التدريب.
متى تحتاج المؤسسة إلى هذا النهج
هناك علامات تدل على أن الوقت قد حان لمراجعة سيناريوهات التوعية:
- تقارير المحاكاة تُظهر نسب نقر متقاربة عامًا بعد عام دون تفسير.
- قوالب المحاكاة لم تُحدَّث منذ مدة، أو لا يُعرف مصدر اختيارها.
- حوادث حقيقية أو محاولات مبلّغ عنها تختلف في أسلوبها عما تحاكيه التمارين.
- يصعب على فريق الأمن ربط مؤشرات التدريب بمخاطر محددة أمام الإدارة.
- الفرق الأكثر عرضة للاستهداف، كالمالية وخدمة العملاء والموارد البشرية، تتلقى المحتوى ذاته الذي يتلقاه الجميع.
كيف تختار التكتيكات الثلاثة
لا توجد قائمة ثابتة تصلح لكل مؤسسة وكل فترة، ولذلك يبدأ الاختيار من مصادر استخبارات التهديدات: التنبيهات الصادرة عن الجهات الوطنية المختصة، وموجزات التهديدات التجارية، وبلاغات الموظفين، وحوادث المؤسسة نفسها. ثم تُرتَّب الأنماط بحسب صلتها بقطاعك ومدى قدرتها على تجاوز الضوابط التقنية. وغالبًا ما تقع الأنماط الأكثر صلة بالمؤسسات المالية في ثلاث فئات.
1. انتحال الجهات الرسمية والمالية
رسائل تنتحل هوية جهة تنظيمية أو بنك أو جهة حكومية أو منصة دفع، وتعتمد على الإلحاح والسلطة. وتصل عبر الرسائل النصية وتطبيقات المراسلة أو روابط قصيرة، أي خارج بوابة البريد المؤسسي. والسيناريو المناسب هنا يحاكي القناة والصياغة والسياق المحلي، لا قالبًا مترجمًا.
2. اختراق سلاسل المراسلات والموردين
رسالة تبدو امتدادًا لمحادثة قائمة أو طلبًا من مورد معروف، مثل تغيير بيانات حساب أو فاتورة معدلة أو مستند للمراجعة. تمر هذه الرسائل أحيانًا من الفحص التقني لأنها تأتي من حساب حقيقي أو نطاق موثوق. والمطلوب قياسه هنا هو سلوك التحقق: هل يتصل الموظف بالمورد عبر قناة معتمدة قبل تنفيذ الطلب؟
3. الاستدراج لتجاوز المصادقة
صفحات دخول مزيفة تلتقط رموز التحقق، أو طلبات موافقة متكررة على المصادقة متعددة العوامل، أو اتصال هاتفي يدّعي أنه من الدعم الفني ويطلب رمزًا أو موافقة. هذا النمط يستهدف الضابط التقني نفسه عبر الموظف، وهو من أهم ما ينبغي اختباره في المؤسسات التي تعتمد على المصادقة متعددة العوامل.
وتتغير هذه الفئات مع الوقت، فعلى الفريق مراجعتها دوريًا بدل الاكتفاء بما كُتب في الخطة السنوية.
طريقة بناء قوالب التصيد وقياس التعرّف
الفكرة الأساسية أن يرتبط كل قالب بنمط حملة محدد، وأن يُقاس بمؤشر يخصه. ويمكن اتباع الخطوات التالية:
- تحديد النمط: صياغة وصف مختصر للأسلوب المرصود، وقناته، والضابط التقني الذي يتجاوزه.
- بناء القالب: كتابة السيناريو بلغة المؤسسة وسياقها، مع مراعاة اللهجة والمصطلحات المستخدمة محليًا، ودون استخدام معلومات حقيقية عن أشخاص.
- تحديد السلوك المطلوب: ما الذي نريد من الموظف أن يفعله؟ يُبلّغ، أو يتحقق عبر قناة أخرى، أو يتوقف. فالامتناع عن النقر وحده لا يكفي.
- قياس خط الأساس: إجراء الاختبار قبل أي تدخل تدريبي، لتوفير نقطة مقارنة صادقة.
- التدريب الموجّه: تقديم محتوى مرتبط بالنمط نفسه للفرق الأكثر تعرضًا، لا حملة عامة للجميع.
- إعادة القياس: اختبار نمط مكافئ لا مطابق، حتى يظهر التعرّف على الأسلوب وليس حفظ القالب.
مؤشرات تصلح للعرض على الإدارة
- نسبة الإبلاغ عن الرسالة مقارنة بنسبة التفاعل معها، لكل نمط على حدة.
- زمن الإبلاغ منذ وصول الرسالة، لأنه يحدد نافذة الاحتواء المتاحة.
- سلوك التحقق في سيناريوهات الموردين والمصادقة: هل اتُّبع الإجراء المعتمد؟
- الفروق بين الفرق والوظائف، لتوجيه التدريب حيث الحاجة أكبر.
- تغيّر هذه المؤشرات بين خط الأساس والقياس اللاحق لكل نمط.
وينبغي الحذر من تفسير الأرقام بمعزل عن السياق. فانخفاض النقر قد يعكس سهولة القالب، وارتفاع الإبلاغ قد يعكس ثقافة جيدة أو تنبيهًا مسبقًا. ولذلك يُوثَّق مستوى صعوبة كل سيناريو مع نتيجته.
ما الذي يعنيه الناتج الجيد
الناتج الجيد ليس رقمًا واحدًا منخفضًا، بل صورة يمكن الدفاع عنها: أنماط مختارة من مصادر موثقة، وقوالب مرتبطة بها، وخط أساس، وقياس لاحق، وتوصيات واضحة لمن يحتاج تدريبًا إضافيًا. وبهذا يستطيع مسؤول أمن المعلومات أن يقول للإدارة إن الموظفين صاروا أقدر على كشف أساليب بعينها، وإن هذه الأساليب مما تتجاوز فيه الهجمات الضوابط التقنية فعلًا.
كما يتسق هذا النهج مع توجه الجهات التنظيمية في المملكة، ومنها البنك المركزي السعودي والهيئة الوطنية للأمن السيبراني، نحو رفع الوعي الأمني وقياس فاعلية برامجه ضمن إدارة المخاطر السيبرانية، دون أن نذكر هنا مادة بعينها.
الخلاصة والخطوة التالية
تبدأ المعالجة بمراجعة بسيطة: اجمع قوالب المحاكاة الحالية، وقارنها بأحدث الأنماط التي رُصدت في قطاعك، ثم انظر أيّها يختبر قرارًا بشريًا لا يغطيه ضابط تقني.
تقدّم سيزو خدمة التوعية الأمنية، وهي برامج تدريبية مخصصة لبناء ثقافة أمنية متينة داخل المؤسسة. وإذا رغبتم في ربط برنامجكم باستخبارات التهديدات وبمؤشرات قابلة للعرض على الإدارة، فيمكنكم التواصل مع فريقنا لمناقشة وضع مؤسستكم.
