يسأل كثير من مسؤولي أمن المعلومات ومديري الموارد البشرية ومسؤولي الامتثال في الجهات الخاضعة للرقابة: ما هو التدريب على الوعي الأمني الضوابط السيبرانية ساما؟ السؤال مشروع لأن النصوص التنظيمية تتطلب "التدريب على الوعي الأمني" دون أن تحدد بالضبط شكل البرنامج أو محتواه أو طريقة تقديمه. يتطلب الضابط 3-3-1 من الضوابط السيبرانية الصادرة عن الهيئة الوطنية للأمن السيبراني والمجال التاسع من إطار ساما للأمن السيبراني التدريب على الوعي الأمني، لكن كثيراً من المؤسسات تعتبر التدريب فيديو سنوياً واحداً متبوعاً بتوقيع إقرار من الموظفين. هذا النموذج قد يحقق الامتثال الشكلي، لكنه لا يحقق الهدف الذي تسعى إليه الجهات الرقابية.
في هذا المقال نعرّف التدريب على الوعي الأمني كما تفهمه الجهات الرقابية في المملكة، ونشرح المكونات الثلاثة التي تتحقق منها هذه الجهات فعلياً عند التفتيش أو المراجعة، ونوضح كيف يدعم كل مكون أهداف ضبط مختلفة، ليفهم القارئ معنى "التدريب على الوعي" عملياً وأي نموذج تقديم خدمة يلبي سياقه الرقابي والثقافي.
ما هو التدريب على الوعي الأمني؟
التدريب على الوعي الأمني هو مجموعة من الأنشطة المخططة والمنفذة بانتظام لتمكين الموظفين والقيادات من فهم المخاطر السيبرانية التي تواجه المؤسسة واتخاذ القرارات والسلوكيات الصحيحة للحد من هذه المخاطر. الهدف ليس مجرد نقل المعلومات، بل تغيير السلوك الفعلي للأفراد في مواقف العمل اليومية — من التعامل مع البريد الإلكتروني إلى حماية البيانات الحساسة إلى الإبلاغ عن الحوادث.
تتطلب الضوابط السيبرانية الصادرة عن الهيئة الوطنية للأمن السيبراني في الضابط 3-3-1 أن تقوم المؤسسات بتوعية وتدريب جميع الموظفين على الأمن السيبراني بشكل دوري. كذلك يتطلب إطار ساما للأمن السيبراني في المجال التاسع (الوعي والتدريب) أن تنفذ المؤسسات المالية برامج توعية وتدريب مستمرة ومخصصة حسب الأدوار.
لكن ما الذي يعنيه "التوعية والتدريب" في الممارسة العملية؟ وكيف تتحقق الجهات الرقابية من أن البرنامج فعّال وليس مجرد إجراء شكلي؟
لماذا لا يكفي الفيديو السنوي والإقرار؟
كثير من المؤسسات تعتمد نموذجاً بسيطاً: فيديو واحد أو عرض تقديمي عام يُرسل إلى جميع الموظفين مرة واحدة في السنة، يتبعه نموذج إقرار يوقّعه الموظف بأنه شاهد المحتوى وفهم السياسات. هذا النموذج يحقق الامتثال الشكلي — يمكن للمؤسسة أن تقول إنها "دربت" الموظفين — لكنه يفشل في تحقيق الأهداف الثلاثة التي تسعى إليها الجهات الرقابية:
- تغيير السلوك الفعلي: الفيديو العام لا يعالج السلوكيات الخطرة المحددة في بيئة العمل الفعلية، ولا يقيس ما إذا كان الموظف قد غيّر سلوكه بعد التدريب.
- تمكين القيادات من الإشراف: القيادات التنفيذية ومجالس الإدارة تحتاج إلى فهم المخاطر السيبرانية لطرح الأسئلة الصحيحة والإشراف على برنامج الأمن السيبراني، وهذا يتطلب محتوى مختلفاً عن المحتوى الموجه للموظفين العاديين.
- تدريب الفرق التقنية على أدوارها: الموظفون الذين يديرون الأنظمة أو يطورون التطبيقات أو يتعاملون مع البيانات الحساسة يحتاجون إلى تدريب متخصص يتجاوز التوعية العامة.
عندما تجري الهيئة الوطنية للأمن السيبراني أو ساما أو أي جهة رقابية أخرى مراجعة أو تفتيشاً، فإنها لا تكتفي بالاطلاع على سجلات الحضور أو نماذج الإقرارات. بل تبحث عن أدلة على أن البرنامج يحقق هذه الأهداف الثلاثة.
المكونات الثلاثة التي تتحقق منها الجهات الرقابية
المكون الأول: التوعية العامة المستمرة
التوعية العامة هي الأنشطة الموجهة إلى جميع الموظفين لرفع مستوى الوعي بالمخاطر السيبرانية الشائعة والسلوكيات الآمنة. الهدف هو جعل الأمن السيبراني جزءاً من ثقافة المؤسسة اليومية، وليس حدثاً سنوياً يُنسى بعد أسبوع.
تشمل التوعية العامة:
- حملات توعوية دورية: رسائل بريد إلكتروني، ملصقات، نشرات، تذكيرات قصيرة حول مواضيع محددة (مثل التصيد الاحتيالي، كلمات المرور، الهندسة الاجتماعية).
- محاكاة التصيد الاحتيالي: رسائل اختبار تُرسل إلى الموظفين لقياس مدى قدرتهم على التعرف على رسائل التصيد الاحتيالي والإبلاغ عنها.
- تذكيرات موسمية: تحذيرات حول مخاطر موسمية (مثل الاحتيال في موسم التسوق أو الهجمات المستهدفة في فترات الإجازات).
الجهات الرقابية تتحقق من وجود خطة توعية سنوية موثقة تحدد المواضيع والجدول الزمني والجمهور المستهدف، ومن وجود مؤشرات قياس تبين مدى فعالية الحملات (مثل نسبة الموظفين الذين أبلغوا عن رسائل التصيد الاحتيالي المحاكاة، أو عدد الحوادث الأمنية الناتجة عن خطأ بشري).
المكون الثاني: الإحاطات التنفيذية ومجالس الإدارة
الإحاطات التنفيذية هي جلسات موجهة إلى القيادات العليا ومجالس الإدارة لتمكينهم من فهم المخاطر السيبرانية وتبعاتها التجارية والتنظيمية، وطرح الأسئلة الصحيحة على فرق الأمن السيبراني.
القيادات لا تحتاج إلى معرفة التفاصيل التقنية، لكنها تحتاج إلى فهم:
- المخاطر الرئيسية التي تواجه المؤسسة وكيف تؤثر على الأعمال.
- المتطلبات التنظيمية وما يترتب على عدم الامتثال.
- مؤشرات الأداء التي تبين مدى فعالية برنامج الأمن السيبراني.
- الأسئلة التي يجب طرحها على فريق الأمن السيبراني في اجتماعات المراجعة.
الجهات الرقابية تتحقق من أن مجلس الإدارة يتلقى إحاطات دورية حول الأمن السيبراني، وأن هذه الإحاطات موثقة في محاضر الاجتماعات، وأن المجلس يطرح أسئلة ويتخذ قرارات بناءً على هذه الإحاطات.
المكون الثالث: التدريب حسب الأدوار
التدريب حسب الأدوار هو تدريب متخصص موجه إلى الموظفين الذين لهم أدوار محددة في الأمن السيبراني أو الذين يتعاملون مع بيانات حساسة أو أنظمة حرجة. الهدف هو تزويدهم بالمعرفة والمهارات اللازمة لأداء أدوارهم بشكل آمن.
تشمل الأدوار التي تحتاج إلى تدريب متخصص:
- مسؤولو أمن المعلومات والفرق التقنية: تدريب على إدارة الحوادث، الاستجابة للتهديدات، تطبيق الضوابط الأمنية.
- المطورون: تدريب على الترميز الآمن، اختبار الأمان، إدارة الثغرات.
- موظفو الموارد البشرية والشؤون القانونية: تدريب على حماية البيانات الشخصية، الامتثال لنظام حماية البيانات الشخصية.
- موظفو الخزينة والعمليات المالية: تدريب على الاحتيال المالي، الهندسة الاجتماعية، التحقق من الهوية.
الجهات الرقابية تتحقق من أن المؤسسة قد حددت الأدوار التي تحتاج إلى تدريب متخصص، وأن هناك خطة تدريب لكل دور، وأن التدريب يُقدم بانتظام ويُوثق في سجلات التدريب.
كيف يدعم كل مكون أهداف ضبط مختلفة؟
كل مكون من المكونات الثلاثة يدعم هدف ضبط مختلف:
- التوعية العامة المستمرة تدعم هدف الحد من المخاطر الناتجة عن الخطأ البشري. معظم الحوادث السيبرانية تبدأ بخطأ بشري (مثل النقر على رابط تصيد احتيالي أو استخدام كلمة مرور ضعيفة). التوعية المستمرة تقلل من احتمال حدوث هذه الأخطاء.
- الإحاطات التنفيذية تدعم هدف الإشراف والحوكمة. الجهات الرقابية تتوقع أن تكون القيادات العليا ومجالس الإدارة على دراية بالمخاطر السيبرانية وأن تشرف على برنامج الأمن السيبراني. الإحاطات تمكّن القيادات من القيام بهذا الدور.
- التدريب حسب الأدوار يدعم هدف بناء القدرات التقنية والتشغيلية. المؤسسات تحتاج إلى فرق قادرة على تطبيق الضوابط الأمنية والاستجابة للحوادث وإدارة المخاطر. التدريب المتخصص يبني هذه القدرات.
كيف يختلف السياق الثقافي والرقابي في المملكة؟
المؤسسات في المملكة تواجه سياقاً ثقافياً ورقابياً مختلفاً عن غيرها:
- اللغة: كثير من الموظفين يفضلون المحتوى بالعربية، وبعض الجهات الرقابية تتوقع أن تكون السياسات والتدريب متاحة بالعربية.
- الثقافة المؤسسية: بعض المؤسسات تفضل التدريب في مقر العمل وليس عن بُعد، وبعضها يفضل جلسات قصيرة متكررة بدلاً من جلسات طويلة.
- التوقعات الرقابية: الهيئة الوطنية للأمن السيبراني وساما تتوقعان أن تكون برامج التوعية والتدريب مبنية على المخاطر الفعلية للمؤسسة، وليس على قوالب عامة.
لذلك فإن نموذج التدريب الفعّال في المملكة يجب أن يكون:
- مخصصاً: مبنياً على المخاطر الفعلية للمؤسسة وسياقها التشغيلي.
- ثنائي اللغة: متاحاً بالعربية والإنجليزية حسب الحاجة.
- مرناً: يمكن تقديمه في مقر المؤسسة أو عن بُعد.
- قابلاً للقياس: يوفر مؤشرات واضحة يمكن رفعها في التقارير الرقابية.
كيف تبني برنامج توعية وتدريب فعّال؟
لبناء برنامج توعية وتدريب يلبي المتطلبات الرقابية ويحقق الأهداف الثلاثة، تحتاج المؤسسة إلى:
- تحديد المخاطر الفعلية: ما هي المخاطر السيبرانية الأكثر احتمالاً وتأثيراً على المؤسسة؟ ما هي السلوكيات الخطرة الأكثر شيوعاً؟
- تحديد الجمهور المستهدف: من هم الموظفون الذين يحتاجون إلى توعية عامة؟ من هم الذين يحتاجون إلى تدريب متخصص؟ ما هي الأدوار التي تحتاج إلى تدريب حسب الأدوار؟
- وضع خطة سنوية: ما هي المواضيع التي سيتم تغطيتها؟ متى؟ بأي طريقة؟ من سيقدم التدريب؟
- اختيار طرق التقديم: هل ستكون الجلسات في مقر العمل أم عن بُعد؟ هل ستكون بالعربية أم بالإنجليزية أم بكليهما؟
- قياس الفعالية: ما هي المؤشرات التي ستستخدم لقياس فعالية البرنامج؟ كيف سيتم جمع البيانات وتحليلها ورفعها في التقارير؟
- التحسين المستمر: كيف سيتم تحديث البرنامج بناءً على النتائج والتغيرات في المخاطر والمتطلبات الرقابية؟
كيف يمكن لسيزو للاستشارات أن تدعم برنامج التوعية والتدريب؟
تقدم سيزو للاستشارات خدمة التوعية والتدريب في الأمن السيبراني التي تشمل برامج توعية وإحاطات تنفيذية وتدريب حسب الأدوار يفي بالمتطلبات التنظيمية ويغيّر السلوك.
تشمل مخرجات الخدمة:
- خطة التوعية السنوية وجدولها
- إحاطة لمجلس الإدارة والتنفيذيين
- جلسات تدريب حسب الأدوار
- مؤشرات التوعية وتقاريرها
- مواد الحملات التوعوية
تتميز الخدمة بأنها تقدم برامج مبنية على مخاطركم الفعلية، وإحاطات تمكّن مجالس الإدارة من طرح الأسئلة الصحيحة، وتدريب حسب الأدوار للفرق التقنية، ونتائج مقيسة يمكن رفعها في التقارير، ومحتوى بالعربية والإنجليزية.
يمكن تقديم الخدمة كبرنامج سنوي أو جلسات مستقلة، ويمكن تقديم الجلسات في مقركم في الرياض أو في أي مكان في المملكة، أو عن بُعد.
إذا كنت مسؤولاً عن الأمن السيبراني أو الموارد البشرية أو الامتثال في جهة خاضعة للرقابة وتريد بناء برنامج توعية وتدريب يلبي المتطلبات الرقابية ويحقق الأهداف الثلاثة، تواصل مع سيزو للاستشارات لمناقشة احتياجاتك.
