التوعية بالتصيد الاحتيالي: برنامج يُقاس لا جلسة سنوية

ابدأ بالرقم لا بالعرض التقديمي

أكبر مجموعة بيانات منشورة عن سلوك الموظفين أمام التصيد هي تقرير KnowBe4 للمقارنة القطاعية 2026، وقد بُني على 42 مليون محاكاة و14 مليون مستخدم و64 ألف مؤسسة في 19 قطاعًا وسبع مناطق. الرقم العالمي قبل أي تدريب هو 33.2% كنسبة الموظفين المعرّضين للنقر، وبعد تسعين يومًا من التدريب تهبط إلى 20.1%، وبعد سنة كاملة إلى 4.2%، ثم تستقر عند 3.9% بعد أربعة وعشرين شهرًا. القراءة الصحيحة لهذا المنحنى ليست «التدريب يعمل»، بل إن التدريب يعمل بثلاث سرعات مختلفة.

السرعة الأولى — من 33.2% إلى 20.1% في تسعين يومًا — هي سرعة المحتوى: أشخاص لم يسمعوا بالقاعدة قط، فسماعها مرة واحدة ينقذهم. السرعة الثانية — إلى 4.2% بعد سنة — هي سرعة العادة، وهي التي تتطلب تكرارًا قصيرًا لا جلسة طويلة. والثالثة — الاستقرار عند 3.9% — هي الرسالة الأهم للإدارة: التدريب لا يصل إلى الصفر، لأن الشريحة المتبقية ليست جاهلة بل مستهدَفة بسياق مقنع في لحظة انشغال. من يبيعك «صفر نقرات» يبيعك رقمًا لن يظهر في تقريرك، أو سيظهر لأن المحاكاة صارت سهلة إلى حد لا يقيس شيئًا.

والقطاع يحرّك الرقم أكثر من أي شيء آخر: الرعاية الصحية 42.7%، والتأمين 38.1%، والتجزئة والجملة 36% في مرحلة الأساس، والمؤسسات التي يتجاوز عدد العاملين فيها عشرة آلاف تبدأ من 39.5%، وفي بيئات الرعاية الصحية الكبيرة يبلغ الأساس 54%. لهذا فإن مقارنة مؤسستك برقم عالمي واحد خطأ منهجي؛ قارنها بقطاعك وبحجمك وبصعوبة المحاكاة نفسها.

ثلاثون ثانية مقابل ثمانٍ وعشرين دقيقة

تقرير Verizon لتحقيقات الاختراق 2025 يعطي رقمين يفسران لماذا لا يُقاس برنامج التوعية بسرعة النقر: الوسيط الزمني من وصول رسالة التصيد إلى النقر 21 ثانية، والوسيط الزمني من الوصول إلى إبلاغ فريق الأمن 28 دقيقة. أي أن المهاجم يبدأ العمل قبل أن يعرف أحد أن هناك حملة، وأن أول من ينقر لا يكون عادةً أول من يُبلّغ.

لذلك فإن ما يشتريه التدريب ليس منع النقرة الأولى — فهي أسرع من أي إجراء بشري — بل ثلاثة أشياء: أن يكون البلاغ في الدقيقة الثانية لا في الساعة الثالثة، وأن يبلّغ الشخص عن نفسه بعد أن نقر بدل أن يخفي ذلك، وأن يرفض الطلب الثاني الذي يأتي بعد النقرة الأولى (رمز تحقق، أو تحويل، أو تثبيت برنامج دعم عن بُعد). والرقم الذي يدعم هذا هو أن الموظفين الذين أكملوا تدريبًا حديثًا يبلّغون عن المحاكاة بنسبة 21% مقابل 5% لمن لم يتدربوا، أي ضعف أربع مرات. فالبلاغ هو المؤشر الذي يتغير أولًا، والنقر هو الذي يتغير أخيرًا.

الأشكال التي تصل فعلًا: اختبر النموذج المحلي

معظم مكتبات المحاكاة المترجمة تحمل نماذج عالمية: فاتورة، إعادة تعيين كلمة مرور، إشعار بريد ممتلئ. لا أحد في الرياض أو دبي ينقر على هذا لأنه مألوف وممل. الأشكال التي تُنتج بلاغات حقيقية هي التي تخصّ الحياة الإدارية في المنطقة، وقد وثّق CloudSEK حملة على بوابة «أبشر» السعودية تحت نطاق منتحل: رسالة نصية تطلب تحديث المعلومات، ثم صفحة دخول مطابقة، ثم حقل رمز تحقق من أربعة أرقام يقبل أي أربعة أرقام ويُظهر نجاحًا، ثم نموذج بيانات شخصية، ثم بوابة مصرفية مزيّفة. والمنصة نفسها تحذّر في حملتها «لا يستغلونك» من رسائل تحمل اسمها وروابط مجهولة المصدر، وتشترط التعامل مع نطاقها الرسمي وتطبيقها من المتاجر الرسمية.

الدرس العملي من تلك الحملة ليس «انتبه للرسائل النصية» — الجميع يعرف ذلك ويُكرّره — بل أن حقل رمز التحقق كان يقبل أي قيمة. أي أن الموظف اختبر نفسه بنفسه ولم يعرف كيف يقرأ النتيجة. هذا هو التدريب الذي يستحق وقته: كيف يتحقق الشخص من صفحة لا من رسالة.

النماذج التي تستحق أن تكون في مكتبتك، بلغتك وبأسماء جهات محلية عامة لا بعلامات تجارية مملوكة لغيرك:

• بوابات الخدمات الحكومية ورسائل «تحديث البيانات» أو «سداد رسوم» مع رابط قصير.
• المخالفات المرورية وغرامات التأخير، وهي من أكثر الرسائل انتشارًا في مواسم التجديد.
• الشحنات والجمارك: «طرد بانتظار رسوم تخليص»، وهي الرسالة التي تنقر عليها سكرتيرة لم تنقر على أي شيء آخر في السنة.
• الرواتب والموارد البشرية: تحديث بيانات الحساب البنكي للراتب، وهي بوابة مباشرة إلى تحويل راتب.
• الإقامة والتأشيرات وتجديد الوثائق للمقيمين، مع مهلة نهائية مصطنعة.
• الإيجار والعقارات وفواتير المدارس في مواسم التسجيل.
• إشعارات الزكاة والضريبة والجمارك والمنصات الحكومية المرتبطة بالفواتير.
• عروض العمل والمكافآت المالية، وهي الأكثر نجاحًا مع الباحثين عن عمل لأن الطمع أسرع من الحذر.

قاعدة بناء المكتبة: لا تشترِ قوالب. اجمعها من صندوق البلاغات نفسه. كل بلاغ حقيقي يصل إلى فريقك هو نموذج محاكاة صالح للشهر التالي، بعد إزالة ما يخص شخصًا أو جهة بعينها. ومكتبة مبنية من بلاغاتك تقيس تعرّضك، أما مكتبة مترجمة فتقيس انتباهك لمكتبة أخرى.

الفحص اللغوي لا يعمل في العربية

أشهر نصيحة في التدريب الإنجليزي هي «ابحث عن الأخطاء الإملائية». في العربية هذه النصيحة ليست ضعيفة فقط، بل ضارّة: معظم صفحات التصيد العربية منسوخة من البوابة الحقيقية، بنصها وترويسها وقواعدها، فلا يوجد خطأ إملائي أصلًا. وفي المقابل، كثير من الموظفين أنفسهم يكتبون الهمزة والمربوطة بشكل غير منتظم، فإذا دربتهم على عدّ الأخطاء دربتهم على الاتهام الخاطئ.

ما يعمل بدل ذلك أربعة فحوص، كلها عن الصفحة لا عن الرسالة:

• النطاق يُكتب لا يُنقر. النطاق هو الشيء الوحيد الذي لا تحسّنه الترجمة ولا الجهد. افتح التطبيق الذي تستخدمه أصلًا، أو اكتب العنوان الذي تعرفه، ولا تدخل من رابط وصلك. النطاقات المزيّفة تعتمد على الانتباه لا على الغباء: شرطة زائدة، أو حرف لاتيني مكان آخر، أو كلمة مضافة قبل الاسم.
• ما تطلبه الصفحة منك. بوابة حكومية أو مصرفية لا تطلب رقم بطاقة كاملة لحجز موعد أو لدفع غرامة عبر قناة غير قناتها المعروفة.
• هل وصلتك إشارة في المكان الصحيح؟ إذا أرسلت لك جهة إشعارًا، فسيكون داخل تطبيقها أو حسابك أيضًا. غياب الإشعار داخل الحساب دليل أقوى من أي تفصيل في الرسالة.
• اختبار القيمة الوهمية. إن كنت تشك في صفحة رمز تحقق، أدخل رقمًا خاطئًا عن قصد. الصفحة التي تقبل رقمًا خاطئًا ليست صفحة تحقق.

هذه الفحوص الأربعة تُدرَّس في عشر دقائق، وتصلح لكل لغة، ولا تحتاج إلى عذر «الرسالة كانت مكتوبة بشكل جيد».

أربعة طلبات لا تُنفَّذ من القناة التي وصلت

لا يوجد تدريب يُغني عن سياسة، وهذه السياسة تُكتب في صفحة واحدة وتُعلَّق: أربعة أنواع من الطلبات تُتحقق دائمًا من قناة ثانية، مهما كان المرسل ومهما كانت الرسالة مقنعة.

• طلب تحويل مالي أو تغيير بيانات حساب بنكي لمورّد. يُتحقق برقم محفوظ في دليل الموردين، لا برقم في الرسالة.
• طلب بيانات دخول أو إعادة تعيين كلمة مرور.
• طلب رمز تحقق أو موافقة مصادقة.
• طلب تثبيت برنامج أو تمكين وصول عن بُعد «لدعم فني».

القناة الثانية تعني مكالمة إلى رقم موجود مسبقًا لدى الطرف الذي يتحقق، لا مكالمة إلى الرقم الذي جاء في الرسالة. هذه النقطة وحدها تُسقط معظم هجمات اختطاف البريد المؤسسي، لأن المهاجم يستطيع تقليد النبرة لكنه لا يستطيع الرد على هاتف محفوظ عند شخص آخر.

رمز التحقق لم يعد حاجزًا

البرامج التي تبيع التوعية لا تزال تعلّم أن المصادقة الثنائية تحمي الحساب. هذا صحيح في مواجهة سرقة كلمة المرور، وغير صحيح في مواجهة الوسيط العكسي. تقرير Microsoft للدفاع الرقمي 2025 ينسب 80% من حوادث تجاوز المصادقة الثنائية إلى سرقة رمز الجلسة عبر هجمات الوسيط العكسي، حيث تُنسخ كلمة المرور ورمز الجلسة بعد التحقق معًا، ثم يُعاد استخدام الرمز من جهاز المهاجم بلا مطالبة جديدة. عائلة أدوات Tycoon 2FA وحدها شكّلت نحو 62% من محاولات التصيد التي حجبتها مايكروسوفت حتى منتصف 2025، وأُوقفت في عملية بقيادة يوروبول في مارس 2026، لكن Sekoia وثّقت إحدى عشرة عائلة أدوات معروضة تجاريًا بين يناير وأبريل 2025، أي أن الإيقاف يخص أداة لا نمطًا.

ماذا يعني ذلك للتدريب؟ ثلاثة تغييرات في الرسالة نفسها: لا تعلّم أن «الرمز يحميك»، بل أن «الرمز يحميك فقط على صفحة فتحتها أنت»؛ لا تكتفِ بتعليم الموظف تغيير كلمة المرور بعد النقرة، لأن كلمة المرور ليست ما سُرق؛ وأضف إلى البرنامج سطرًا واحدًا عن المصادقة المقاومة للتصيد (مفاتيح FIDO2 أو Passkeys) لأنه الخيار الوحيد الذي لا يمكن إعادة تشغيله من موقع مزيّف. أما الجانب الهندسي — إبطال الجلسات بعد النقرة، وتقييد الوصول بالجهاز المسجّل — فهو ما يقلّص الأثر، لا ما يقلّص النقر.

المقاييس: الإبلاغ أولًا والنقر تشخيصًا

معدل النقر مقياس سهل الحساب وسهل التشويه. من يريد رقمًا جميلًا يخفّض صعوبة المحاكاة، أو يستثني المجموعات التي تنقر، أو يرسل في وقت استراحة. استخدمه كما يُستخدم ميزان الحرارة: مؤشر على وجود حالة، لا هدفًا يُسعى إليه.

المقاييس التي تُدار فعليًا خمسة:

• معدل الإبلاغ: نسبة من أبلغوا عن المحاكاة، والاتجاه عبر الحملات. هو المقياس الذي يتغير أولًا وتُبنى عليه الثقة في الفريق.
• نسبة الإبلاغ إلى النقر: كم شخصًا أبلغ مقابل كل من نقر. تجاوز الواحد يعني أن العين البشرية صارت مصدر استخبارات لا ثغرة.
• الوسيط الزمني لأول بلاغ: الرقم الذي يحدد كم من الوقت عمل المهاجم قبل أن يُكتشف. هنا يظهر أثر التدريب بوضوح، وهدفه الدقائق لا الأسابيع.
• معدل إدخال بيانات الاعتماد: من نقر ومن ثم كتب شيئًا. هذا أخطر من النقر وأكثر إفادة، وهو الذي يربطك بالمصادقة المقاومة للتصيد.
• فئة النقر المتكرر: الأسماء التي تنقر ثلاث مرات في سنة، لا لأنها أسوأ الناس بل لأنها في مسارات أكثر تعرّضًا (المالية، الموارد البشرية، السكرتارية التنفيذية). تُدار بالتوجيه الفردي وتعديل الصلاحيات، لا بالعقاب.

ولا تُنشر أبدًا لوحة أسماء. البرنامج الذي يُحاسب الأفراد على النقر يوقف البلاغات، والبلاغات هي ما يشتريه التدريب.

هندسة البرنامج: الأدوار والإيقاع والسجلات

برنامج التوعية ليس محتوى فقط، بل إيقاع وأدوار وسجلات. الإيقاع الذي يعمل في المؤسسات المتوسطة والكبيرة:

• عند التوظيف: وحدة توعية قبل منح الوصول إلى البريد ونظام الملفات، لا بعد أسبوع. الضابط 1-9-4-1 في الضوابط السعودية يطلب التوعية عند بداية العلاقة الوظيفية وخلالها.
• شهريًا: وحدة من خمس إلى عشر دقائق، سيناريو واحد، بلغة العمل. التكرار القصير هو ما ينقل الرقم من 20% إلى 4%، وليس الماراثون السنوي.
• ربع سنويًا: جلسة بحسب الدور — المالية والمشتريات، الموارد البشرية، مسؤولو الأنظمة، الإدارة التنفيذية — لأن ما ينقر عليه المحاسب ليس ما ينقر عليه مسؤول الخوادم.
• سنويًا: إقرار حضور ومراجعة سياسة، وسجل يُخزَّن مع ملف الامتثال.

الأدوار ثلاثة لا أكثر: مالك للبرنامج يملك الميزانية والإيقاع، ومنسّق تشغيل يدير الحملات والبلاغات، ومراجع يقرأ النتائج دون أن يكون هو من ينفّذها. غياب المالك هو السبب الأول لموت البرامج: تبدأ حملة، ثم تتوقف، ثم يُسأل الفريق عن آخر محاكاة فيقول إنها كانت «قبل سنوات».

المحاكاة بشكل قانوني

محاكاة التصيد على موظفيك ليست اختراقًا، لكنها ليست بلا شروط. الشروط التي نعمل بها، وتصلح كقائمة تحقق قبل أول حملة:

• تفويض مكتوب من الجهة نفسها (المدير التنفيذي أو مالك المخاطر)، يحدد النطاق والمدة والجهات المستثناة ومالك البيانات. تفويض من البائع لا يكفي، لأن البائع لا يملك الحق في اختبار موظفيك.
• النطاق هو بيئتك أنت: بريدك، ونطاقك، وأجهزتك. لا محاكاة على مورّد أو شريك أو عميل دون تفويضه هو.
• لا انتحال لعلامة لا تملكها: لا تُرسل حملة تحمل اسم بنك أو بوابة حكومية حقيقية. استخدم علامتك أو قالبًا محايدًا باسم جهة عامة، لأن الفرق بين اختبار داخلي وانتحال يظهر في أول شكوى من الجهة صاحبة العلامة.
• لا تُخزَّن ما يكتبه الموظف في نموذج مزيّف. إن كان النموذج يقبل بيانات اعتماد، فيجب ألا تُسجَّل، وإلا صار الاختبار جمعًا لبيانات شخصية بلا غرض.
• لا عقوبة على النقر، لا رسمية ولا غير رسمية، ولا ذكر في تقييم الأداء دون أساس معلن. هذه ليست فضيلة أخلاقية فقط بل شرط فعالية: البرنامج العقابي يُنتج موظفين لا يبلّغون.
• الإفصاح بعد الحملة: صفحة توعية فورية لمن ينقر، تُعلّمه ولا تُحرجه، وتُظهر له ما فاته بالضبط.

وفي المؤسسات متعددة الجنسيات، تُضاف خطوة واحدة: مراجعة الموارد البشرية أو مجلس العمل قبل أول حملة، لأن تصنيف النقر كبيانات أداء يحتاج اتفاقًا مسبقًا، لا تفسيرًا لاحقًا.

سجل النقر بيانات شخصية

كل سجل «من نقر ومتى» هو بيانات شخصية تخص موظفًا، ويخضع لنظام حماية البيانات الشخصية السعودي في المملكة، وللقانون الاتحادي 45 لسنة 2021 في الإمارات، ومبدأ تقييد الغرض واحد في الاثنين. عمليًا يعني ذلك أربعة التزامات صغيرة تُنسى عادة:

• الغرض معلن: يُذكر برنامج التوعية والمحاكاة في سياسة الموارد البشرية أو إشعار الخصوصية الداخلي، بجملة صريحة لا في هامش.
• الحد الأدنى: اجمع ما تحتاجه للقياس — هل نقر، هل أدخل بيانات، هل أبلغ، ومتى — لا محتوى ما كتبه ولا سجل تصفحه.
• مدة الاحتفاظ: حدّدها بالشهور واكتبها. أغلب المؤسسات تحتفظ بالبيانات إلى الأبد لأن أحدًا لم يسأل.
• لا استخدام ثانوي: لا تُستخدم النتائج في تقييم الأداء أو الترقية إلا إذا كان ذلك معلنًا ومتناسبًا ومقبولًا نظامًا. القاعدة الآمنة: القياس للبرنامج، والتوجيه للفرد، والقرار الإداري لا يُبنى على نقرة واحدة.

وحدود الحرية هنا ليست بيروقراطية: البرنامج الذي يجهل موظفوه غرضه يصير شكًّا في الإدارة، والموظف الذي يشك في الإدارة يبلّغ أقل.

ما تطلبه الضوابط السعودية بالرقم

الضوابط الأساسية للأمن السيبراني ECC-2:2024 الصادرة عن الهيئة الوطنية للأمن السيبراني تُبنى على أربعة مجالات رئيسية و28 مجالًا فرعيًا و108 ضوابط رئيسية و92 ضابطًا فرعيًا. برنامج التوعية ليس بندًا عامًا في وثيقة، بل مجال فرعي كامل هو 1-10 «برنامج التوعية والتدريب بالأمن السيبراني»، وفيه ما يلي:

• 1-10-1: تطوير واعتماد برنامج توعية عبر قنوات متعددة و«دوريًا»، أي أن الدورية جزء من المتطلب لا اختيار تشغيلي.
• 1-10-2: تطبيق البرنامج المعتمد فعليًا — الوثيقة غير المنفَّذة لا تُحتسب.
• 1-10-3: أن يغطي البرنامج أهم المخاطر والتهديدات المستجدة، بما في ذلك أربعة موضوعات محددة: التعامل الآمن مع البريد وخصوصًا رسائل التصيد (1-10-3-1)، والأجهزة المحمولة ووسائط التخزين (1-10-3-2)، وتصفح الإنترنت (1-10-3-3)، ووسائل التواصل الاجتماعي (1-10-3-4).
• 1-10-4: مهارات وتدريب متخصصان للوظائف المرتبطة مباشرة بالأمن السيبراني، ومنها موظفو إدارة الأمن السيبراني (1-10-4-1) والعاملون في تطوير البرامج وتشغيل الأصول التقنية (1-10-4-2).
• 1-9-4-1: التوعية بالأمن السيبراني عند بداية العلاقة الوظيفية وخلالها.

الملف الذي يقرأه المدقق إذن ليس شهادة حضور واحدة، بل ستة عناصر: وثيقة برنامج معتمدة بتاريخ واعتماد، وتقويم سنوي يُظهر الدورية، وسجلات إتمام لكل موظف، ونتائج المحاكاة مع صعوبتها، ومحضر مراجعة دورية للبرنامج، وأدلة تغطية الموضوعات الأربعة في 1-10-3. من يملك هذه الستة يمرّ من المراجعة بلا جدال، ومن يملك عرضًا تقديميًا جميلًا لا يملك شيئًا.

وفي القطاع المالي السعودي يُضاف إطار ساما للأمن السيبراني الذي يفرض برنامج توعية موثقًا لموظفي الجهة ومتعاقديها — راجع النسخة السارية واربط بندك بها، لأن أرقام البنود تتغير بين الإصدارات. وفي الإمارات تنطبق لائحة الأمن السيبراني الاتحادية على الجهات الحكومية وشبه الحكومية، بينما تعتمد الجهات الخاصة على عقودها ومتطلبات عملائها. والقاعدة المشتركة في الخليج: الجهة التنظيمية تقرأ السجلات، ولا تقرأ معدل النقر.

الساعة الأولى بعد أن ينقر أحدهم

هذه الفقرة هي التي تفصل البرنامج عن الدورة. بعد بلاغ عن نقرة مع إدخال بيانات اعتماد، الترتيب الذي يشتري وقتًا:

• أبطل الجلسات، لا كلمة المرور فقط. كلمة المرور ليست ما سُرق في هجوم الوسيط العكسي؛ رمز الجلسة هو ما سُرق. إعادة تعيين كلمة المرور وحدها تترك المهاجم داخلًا.
• افحص قواعد البريد: إعادة التوجيه التلقائي وقواعد الحذف هي أول ما يُنشئه المهاجم، وهي التي تخفي عنه ردود الأطراف الأخرى.
• أعد تسجيل المصادقة: احذف الأجهزة والأساليب المضافة حديثًا في إعدادات المصادقة الثنائية.
• ابحث عن الدخول غير المعتاد: مزوّد خدمة أو بلد لم يظهر قبلًا، أو دخول ناجح من جهاز غير مسجّل في وقت قريب من النقرة.
• احصر النطاق: هل وصلت الرسالة نفسها إلى آخرين؟ ابحث بالموضوع والمرسل في صندوق المؤسسة كله، لا في صندوق واحد.
• أبلغ من له حق المعرفة: المالية إن كان هناك طلب تحويل، والجهة التنظيمية إن خرجت بيانات، والعملاء إن كان الحساب مرتبطًا بهم.

وأضف قاعدة إدارية واحدة: من يُبلّغ يُشكَر. الموظف الذي أبلغ عن نفسه بعد أن نقر قد أنقذك من ساعتين من عمل المهاجم، والموظف الذي أخفى النقرة خوفًا من اللوم هو المشكلة الحقيقية التي تصنعها سياسة العقاب.

بناء أم شراء: الأسئلة التي تفرّق

سوق أدوات التوعية كبير، وأغلب الفروق لا تظهر في العرض التجريبي. هذه الأسئلة الستة تكشف الفرق في نصف ساعة:

• هل يمكن تحميل قوالب عربية أصلية لا مترجمة آليًا؟ القالب المترجم يظهر في أول سطر، والموظف يكتشفه من الشكل لا من التحليل.
• هل تدعم استثناء مجموعات (الإدارة القانونية، مناوبو الطوارئ) بحيث لا تفشل حملتك لأسباب تشغيلية؟
• هل تُصدّر البيانات الخام لتقريرك الخاص، أم تعطيك لوحة جاهزة فقط؟ المقاييس التي قررتها أنت لا التي قررها البائع.
• أين تُخزَّن البيانات ومن يصل إليها، وهل يقبل قسم الامتثال عندك موقع الاستضافة؟
• هل تدعم الدخول الموحّد والتكامل مع دليل الموظفين، لأن البرنامج الذي يعتمد على قائمة يدوية يصير قديمًا في أول استقالة؟
• ماذا تقيس الأداة افتراضيًا، وإذا كان مؤشرها الأول معدل النقر، فهل تسمح بتعريف مؤشرك أنت (الإبلاغ والزمن)؟

وفي المقابل: إذا كان فريقك أقل من خمسين شخصًا، فالأداة ليست المشكلة. جدول شهري بسيط، ومكتبة من بلاغاتك، وسياسة القنوات الأربعة، وصفحة توعية فورية، تعطي معظم الأثر بجزء من التكلفة.

ما لا يصلحه التدريب

من يبيعك توعية كحل وحيد يبيعك نصف حل. الأرقام نفسها تقول ذلك: 3.9% بعد أربعة وعشرين شهرًا ليس صفرًا، والشريحة المتبقية تكفي لحادثة واحدة في مؤسسة كبيرة. والأشياء التي تخفض الأثر بدل الاحتمال هي الهندسة:

• فرض DMARC وSPF وDKIM بحيث لا ينتحل أحد نطاقك.
• مصادقة مقاومة للتصيد على البريد ولوحة الإدارة، تبدأ من المالية ومسؤولي الأنظمة.
• فلترة بريد تُحجب بها النطاقات المشابهة قبل أن تصل، لا بعد أن تُبلَّغ.
• إلغاء صلاحيات المسؤول المحلي على أجهزة المستخدمين، لأن التصيد الذي يصل إلى صلاحيات إدارية لا يحتاج إلى تدريب ليُنجح.
• قناة تحقق مالية مكتوبة لكل تغيير في بيانات الموردين، بما فيها الطلبات التي تبدو صادرة من المدير المالي نفسه.
• نسخة احتياطية غير قابلة للتغيير، لأنها الفرق بين حادثة تصيد ويوم عمل عادي وحادثة فدية.

التدريب يقلل احتمال أن يفتح الناس الباب، والهندسة تقلل حجم الغرفة التي يقفون فيها بعد أن يُفتح.

أين يلتقي ذلك بخدمة مدفوعة، وبشكل مشروع

للمؤسسات التي لا تملك فريقًا داخليًا، الخدمة المشروعة هي التي تُنفَّذ بتفويض مكتوب وعلى بيئتك أنت: مراجعة سياسة التوعية، وبناء مكتبة محاكاة من بلاغاتك، وتشغيل الحملات وتقرير النتائج، وتصميم الساعة الأولى كإجراء. وما ليس مشروعًا — ولا يُقدَّم هنا — هو اختبار موظفي جهة أخرى، أو التسلل إلى أنظمة لا تملكها، أو استخدام بيانات موظفين جُمعت بلا غرض معلن. وإن كنت تريد تقييمًا أوسع للجاهزية، فالمدخل هو التحقيق الجنائي الرقمي والاستجابة للحوادث، وإن كنت تعمل على خطة الاستجابة كاملة فهي في خطة الاستجابة للحوادث السيبرانية، وإن وصلت إلى تشفير فعلي فالمسار في استرجاع الملفات بعد هجوم الفدية.

الخلاصة القصيرة

• الأساس 33.2%، وتسعون يومًا تنزل بك إلى 20.1%، وسنة إلى 4.2%، والقاع 3.9%. ومن يبيعك صفرًا يبيعك محاكاة سهلة.
• النقر يقع في 21 ثانية والبلاغ في 28 دقيقة. لا تدريب يسبق النقرة؛ التدريب يسبق الساعة التي بعدها.
• مكتبة المحاكاة تُبنى من بلاغاتك المحلية، لا من قوالب مترجمة.
• الفحص عن الصفحة لا عن الرسالة: اكتب النطاق، واقرأ ما تطلبه الصفحة، واختبر رمزًا خاطئًا.
• أربعة طلبات تُتحقق دائمًا من قناة ثانية: مال، ودخول، ورمز، وتثبيت عن بُعد.
• الإبلاغ أولًا، والنقر تشخيصًا، ولا لوحة أسماء.
• الرمز لا يحمي من الوسيط العكسي؛ المصادقة المقاومة للتصيد هي التي تحمي.
• ما يُثبت للجهة التنظيمية ستة عناصر: اعتماد، وتقويم، وسجلات، ونتائج، ومحضر مراجعة، وتغطية 1-10-3.

أسئلة شائعة