كيف تبني خطة توعية بالأمن السيبراني لمؤسستك وفق ضوابط الهيئة الوطنية للأمن السيبراني والبنك المركزي السعودي (ساما)

معظم المؤسسات لديها «أنشطة» توعية: رسالة بريدية هنا، وورشة هناك، ودورة إلكترونية يُكملها الموظفون على عجل قبل موعد التدقيق. لكن قليلًا منها يملك خطة توعية بالمعنى الذي يطلبه المنظِّم: برنامجًا معتمدًا، موجَّهًا لفئات محددة، يُنفَّذ على مدار العام، وتُقاس فاعليته، وتُحفظ أدلته. هذا الدليل موجَّه لفرق الأمن السيبراني والحوكمة والالتزام في المملكة، ويشرح خطوةً بخطوة كيف تبني هذه الخطة بما يتوافق مع الضوابط الأساسية للأمن السيبراني (ECC-2:2024) الصادرة عن الهيئة الوطنية للأمن السيبراني، ومع الإطار التنظيمي للأمن السيبراني الصادر عن البنك المركزي السعودي (ساما).

أولًا: ماذا يطلب المنظِّم بالضبط؟

قبل كتابة أي سطر في الخطة، حدِّد أي الإطارين ينطبق عليك. الضوابط الأساسية (ECC) تنطبق على الجهات الحكومية وعلى جهات القطاع الخاص التي تملك أو تشغّل أو تستضيف بنى تحتية وطنية حساسة. وإطار ساما ينطبق على المؤسسات المالية الخاضعة لإشراف البنك المركزي كالبنوك وشركات التأمين والتمويل. وكثير من المؤسسات المالية يخضع للإطارين معًا، وحينها تُبنى خطة واحدة تستوفي الأشدّ منهما.

متطلبات الهيئة الوطنية للأمن السيبراني: المكوّن الفرعي 1-10

يقع «برنامج التوعية والتدريب بالأمن السيبراني» ضمن محور حوكمة الأمن السيبراني في ECC-2:2024، ويتكوّن من خمسة ضوابط رئيسية:

ويُضاف إلى ذلك ما يرد في مكوّن الأمن السيبراني المتعلق بالموارد البشرية (1-9) من توعية العاملين عند الالتحاق بالعمل وخلاله. وإن كانت مؤسستك خاضعة لضوابط أخرى من الهيئة (كضوابط الأنظمة الحساسة أو الحوسبة السحابية أو العمل عن بُعد)، فراجع ما تضيفه من متطلبات توعوية خاصة بنطاقها وأدرجه في الخطة نفسها.

متطلبات ساما: البندان 3.1.6 و3.1.7

ويتقاطع ذلك مع بند الأمن السيبراني في الموارد البشرية (3.1.5) الذي يطلب توعية الموظف عند بداية عمله وخلاله. وتذكّر أن ساما تقيّم الالتزام وفق نموذج نضج: لا يكفي أن يكون الضابط موجودًا، بل أن يكون معرَّفًا ومعتمدًا ومطبَّقًا، ثم أن تُقاس فاعليته دوريًا كلما ارتفع مستوى النضج المستهدف.

أين يختلف الإطاران؟

• الجمهور: ساما تنص صراحةً على الأطراف الثالثة والعملاء، بينما يركّز 1-10 في ECC على العاملين داخل الجهة. إن كنت مؤسسة مالية فخطتك تحتاج مسارًا مستقلًا للعملاء وآخر للمورّدين.
• المواضيع: الهيئة تحدد أربعة مواضيع إلزامية بالاسم، وساما تحدد ثلاثة محاور محتوى أعمّ. اجمع القائمتين في مصفوفة محتوى واحدة.
• القياس: ساما تطلب صراحةً قياس فاعلية الأنشطة وتوصيات تحسين، والهيئة تطلب مراجعة دورية لتطبيق البرنامج. تقرير ربعي واحد مصمَّم جيدًا يخدم الاثنين.
• التدريب التخصصي: الفئات متقاربة، وساما تضيف القائمين على تقييم المخاطر.

ثانيًا: بناء الخطة في عشر خطوات

1. ثبّت الحوكمة والملكية والاعتماد

أول ما يُسأل عنه في أي تقييم: من اعتمد البرنامج؟ ومن يملكه؟ سمِّ مالكًا للبرنامج داخل إدارة الأمن السيبراني، وحدِّد أدوار الجهات المساندة (الموارد البشرية للتدريب والالتحاق، والتواصل الداخلي للصياغة والنشر، والمشتريات للأطراف الثالثة، وخدمة العملاء لتوعية العملاء). ثم اعرض وثيقة البرنامج والخطة السنوية والميزانية على اللجنة الإشرافية للأمن السيبراني، واحصل على اعتماد مكتوب من صاحب الصلاحية. خطة غير معتمدة تُعامل في التدقيق كأنها غير موجودة.

2. حدّد النطاق وقسّم الجمهور

رسالة واحدة للجميع لا تغيّر سلوك أحد. قسّم جمهورك إلى شرائح لكل منها مخاطرها ومحتواها:

• عموم الموظفين: الأساسيات والمواضيع الإلزامية.
• الموظفون الجدد: توعية تأسيسية ضمن إجراءات الالتحاق وقبل منح الصلاحيات الكاملة ما أمكن.
• الإدارة العليا والتنفيذيون: اصطياد كبار التنفيذيين، وانتحال صفة المدير، والمسؤولية النظامية.
• الفئات عالية المخاطر: المالية والمدفوعات، والموارد البشرية، ومكاتب المساعدة، ومساعدو التنفيذيين، وأصحاب الصلاحيات المميَّزة.
• الفرق التقنية: المطوّرون ومشغّلو الأنظمة وفريق الأمن السيبراني (تدريب تخصصي لا توعية عامة).
• الأطراف الثالثة والمتعاقدون: كل من يملك وصولًا إلى أنظمتك أو بياناتك.
• العملاء (للمؤسسات المالية): أفرادًا وشركات.

3. اقرأ خط الأساس قبل أن تخطط

الخطة الجيدة تبدأ من بيانات لا من قالب جاهز. اجمع: نتائج محاكاة تصيّد أولية غير معلنة، واستبيانًا قصيرًا للمعرفة والسلوك، وسجل الحوادث خلال آخر 12 شهرًا مصنَّفًا بحسب السبب البشري، وملاحظات التدقيق السابقة، وسجل المخاطر. ستعرف من ذلك أين يتركّز الخطر (أي إدارة؟ أي سلوك؟) وتحصل على رقم مرجعي تقيس عليه التحسّن لاحقًا — وهو بالضبط ما يحتاجه تقرير قياس الفاعلية.

4. اكتب أهدافًا سلوكية قابلة للقياس

«رفع الوعي» ليس هدفًا. الهدف يُصاغ كسلوك ورقم ومدة، مثل: «رفع نسبة الإبلاغ عن الرسائل المشبوهة في المحاكاة من 12% إلى 40% خلال 12 شهرًا»، أو «إكمال 100% من الموظفين الجدد التوعيةَ التأسيسية خلال أول 30 يومًا». واربط كل هدف بخطر محدد في سجل المخاطر، فهذا ما يحوّل التوعية من نشاط التزام إلى ضابط يعالج خطرًا.

5. ابنِ مصفوفة المحتوى

ضع المواضيع في صفوف والشرائح في أعمدة، وحدِّد لكل خانة مستوى العمق. ابدأ بالمواضيع الإلزامية ثم أضف ما تفرضه مخاطرك:

• إلزامي بنص ECC: البريد الإلكتروني والتصيّد، الأجهزة المحمولة ووسائط التخزين، التصفّح الآمن، وسائل التواصل الاجتماعي.
• إلزامي بنص ساما: التدابير الأمنية التي توفّرها المؤسسة، أدوار كل طرف ومسؤولياته، التهديدات الراهنة (التصيّد الموجَّه واصطياد كبار التنفيذيين).
• مواضيع يفرضها الواقع: كلمات المرور والتحقق المتعدد، الهندسة الاجتماعية الهاتفية وعبر الرسائل، تصنيف البيانات وحمايتها، الاستخدام الآمن لأدوات الذكاء الاصطناعي، العمل عن بُعد، الأمن المادي، وآلية الإبلاغ عن الحوادث.

واحرص على أن يكون المحتوى بالعربية أولًا (مع الإنجليزية حيث يلزم)، وبأمثلة محلية يعرفها الموظف: رسائل تنتحل منصات حكومية وبنوكًا وشركات شحن وتوصيل، لا أمثلة مترجمة لا تشبه بريده اليومي.

6. نوِّع القنوات

الإطاران يطلبان «قنوات متعددة»، والسبب عملي: كل قناة تصل إلى شريحة مختلفة. امزج بين منصة تعلّم إلكتروني بدروس قصيرة (5–10 دقائق)، ورسائل بريدية دورية، وورش حضورية أو افتراضية، وشاشات ولوحات داخلية، وبوابة داخلية للسياسات والأسئلة الشائعة، وفعاليات موسمية (كشهر التوعية بالأمن السيبراني في أكتوبر)، وإحاطات مباشرة للإدارة العليا. وللعملاء: الموقع والتطبيق والرسائل النصية وكشوف الحساب وقنوات التواصل الاجتماعي الرسمية.

7. ضع تقويمًا سنويًا

«دوريًا وعلى مدار العام» تعني أن حملة سنوية واحدة لا تكفي. هذا نموذج مبسّط يمكن تكييفه:

وأبقِ مساحة في التقويم لحملات عاجلة عند ظهور تهديد جديد أو موسم احتيال (كالمواسم والإجازات)، فالتهديدات «الراهنة» لا تنتظر الربع التالي.

8. اجعل محاكاة التصيّد جزءًا من الخطة لا حدثًا منفصلًا

المحاكاة هي أقرب قياس لسلوك الموظف الفعلي، وهي الدليل الأقوى على معالجة موضوع التصيّد الذي ينص عليه الإطاران. لتنجح:

• نفّذها بوتيرة منتظمة (شهرية أو كل شهرين) لا مرة في السنة.
• درِّج الصعوبة ونوِّع السيناريوهات والقنوات (بريد، رسائل نصية، رموز QR، صفحات دخول مزيّفة).
• قدِّم تعليمًا فوريًا قصيرًا لمن يقع، في اللحظة نفسها.
• وفِّر زر إبلاغ واضحًا، وقِس الإبلاغ لا النقر فقط.
• ضع مسارًا داعمًا للمكرِّرين (تدريب إضافي ثم متابعة من المدير المباشر)، وابتعد عن التشهير والعقاب، فالثقافة الإيجابية مطلب نصّي في الإطارين.
• نسِّق مسبقًا مع فريق العمليات الأمنية والبريد حتى لا تتحول المحاكاة إلى بلاغ حادثة حقيقي.

9. خطِّط للتدريب التخصصي بحسب الدور

التوعية العامة لا تستوفي الضابط 1-10-4 ولا البند 3.1.7. أعدَّ تحليلًا للاحتياج التدريبي لكل دور، ثم مسارًا له:

• فريق الأمن السيبراني: شهادات وتدريب عملي بحسب التخصص (عمليات، استجابة، حوكمة، اختبار اختراق).
• المطوّرون: البرمجة الآمنة ومخاطر التطبيقات الشائعة وأمن سلسلة التوريد البرمجية.
• مشغّلو الأنظمة والشبكات: التحصين وإدارة الصلاحيات المميَّزة والتحديثات.
• التنفيذيون والمشرفون: إدارة المخاطر السيبرانية، والمسؤوليات النظامية، وتمارين محاكاة الأزمات على الطاولة.
• القائمون على تقييم المخاطر (ساما): منهجيات تقييم المخاطر السيبرانية.

10. قِس، وارفع التقارير، وحسِّن

نسبة الإكمال وحدها تقيس الحضور لا الأثر. اجمع بين مؤشرات النشاط ومؤشرات السلوك ومؤشرات النتيجة. والمستهدفات أدناه أمثلة اجتهادية تُضبط بحسب خط الأساس لديك، وليست أرقامًا تنظيمية:

ارفع تقريرًا ربعيًا إلى اللجنة الإشرافية يتضمن المؤشرات مقابل خط الأساس، والإدارات الأعلى خطرًا، والتوصيات. ثم أجرِ مراجعة سنوية شاملة للبرنامج تُحدَّث على أساسها الخطة والمحتوى. هذه الحلقة هي ما يستوفي الضابط 1-10-5 ومطلب التقييم في البند 3.1.6 معًا.

ثالثًا: ملف الأدلة — جهِّزه من اليوم الأول

ما لم يُوثَّق لم يحدث. أنشئ مجلدًا لكل ضابط واحفظ فيه الأدلة أولًا بأول بدل جمعها قبل التدقيق بأسبوع:

• وثيقة البرنامج والخطة السنوية مع ما يثبت الاعتماد (توقيع أو محضر لجنة) وتاريخه ورقم الإصدار.
• مصفوفة المحتوى التي تربط كل موضوع بالضابط الذي يستوفيه وبالشريحة المستهدفة.
• نسخ من المواد المقدَّمة: الرسائل، العروض، الدروس، المنشورات.
• تقارير المنصة: الإكمال بحسب الإدارة، ونتائج الاختبارات.
• تقارير حملات محاكاة التصيّد ونتائجها واتجاهاتها.
• سجلات حضور الورش وشهادات التدريب التخصصي.
• ما يثبت توعية الأطراف الثالثة (بنود تعاقدية، إقرارات، سجلات إكمال) وتوعية العملاء (نسخ الحملات وتواريخها).
• التقارير الربعية وتقرير المراجعة السنوية ومحاضر اللجنة والتوصيات وما نُفِّذ منها.

رابعًا: أخطاء شائعة تُسقط البرنامج في التدقيق

• خطة بلا اعتماد: وثيقة جيدة لكنها لم تمر على صاحب الصلاحية.
• دورة سنوية واحدة: تستوفي «التنفيذ» شكليًا وتخالف «دوريًا وعلى مدار العام».
• محتوى واحد للجميع: لا تخصيص للفئات، ولا تدريب تخصصي للتنفيذيين والتقنيين.
• نسيان الأطراف الثالثة والعملاء: من أكثر الفجوات تكرارًا لدى المؤسسات المالية.
• قياس الحضور فقط: لا خط أساس، ولا مؤشرات سلوك، ولا توصيات تحسين.
• محاكاة عقابية: تُخيف الموظفين من الإبلاغ وتهدم الثقافة التي يطلب المنظِّم بناءها.
• محتوى مترجم لا يشبه الواقع المحلي: فيتجاهله الموظفون.
• أدلة مبعثرة: أنشطة نُفِّذت فعلًا لكن لا يمكن إثباتها.

خامسًا: خطة انطلاق لأول 90 يومًا

1. الأيام 1–30 (التأسيس): تحديد الإطار المنطبق وتحليل الفجوات مقابل ضوابطه، تسمية مالك البرنامج، قياس خط الأساس بمحاكاة أولية واستبيان، تقسيم الجمهور.
2. الأيام 31–60 (التصميم والاعتماد): صياغة وثيقة البرنامج والأهداف والمؤشرات، بناء مصفوفة المحتوى والتقويم السنوي وخطة التدريب التخصصي، اختيار المنصة والأدوات، اعتماد الخطة والميزانية.
3. الأيام 61–90 (التشغيل): إطلاق الدورة الإلزامية الأولى وأول حملة محاكاة معلنة الهدف، إحاطة الإدارة العليا، إدراج التوعية في إجراءات الالتحاق، تفعيل ملف الأدلة، رفع أول تقرير للجنة.

قائمة تحقق سريعة

• هل لدينا برنامج وخطة سنوية معتمدان كتابيًا من صاحب الصلاحية؟
• هل للبرنامج مالك محدد وأدوار موثقة للجهات المساندة؟
• هل تغطي الخطة المواضيع الأربعة في ECC ومحاور المحتوى الثلاثة في ساما؟
• هل لكل شريحة (موظفون، جدد، تنفيذيون، تقنيون، أطراف ثالثة، عملاء) محتوى وقناة؟
• هل الأنشطة موزعة على مدار العام وعبر أكثر من قناة؟
• هل هناك مسار تدريب تخصصي لفريق الأمن والمطوّرين والمشغّلين والتنفيذيين ومقيّمي المخاطر؟
• هل نقيس السلوك (الوقوع والإبلاغ) مقابل خط أساس، لا الإكمال فقط؟
• هل تُرفع تقارير دورية وتُوثَّق التوصيات وتنفيذها؟
• هل البرنامج يُراجَع دوريًا وتُحدَّث الخطة بناءً على المراجعة؟
• هل يمكننا تقديم دليل لكل بند مما سبق خلال دقائق؟

الخلاصة

ما تطلبه الهيئة الوطنية للأمن السيبراني وساما في التوعية يلتقي في خمس كلمات: معتمَد، موجَّه، مستمر، مقيس، موثَّق. إن بنيت خطتك على هذه الأركان فقد استوفيت الالتزام، والأهم أنك حوّلت الموظف من أضعف حلقة إلى خط كشف مبكر يبلّغ قبل أن تتحول الرسالة إلى حادثة.

المراجع

• الهيئة الوطنية للأمن السيبراني — الضوابط الأساسية للأمن السيبراني (ECC-2:2024) والدليل الإرشادي لتطبيقها
• البنك المركزي السعودي — الإطار التنظيمي للأمن السيبراني، البند 3.1.6 (التوعية)
• البنك المركزي السعودي — الإطار التنظيمي للأمن السيبراني، البند 3.1.7 (التدريب)

تنويه: هذا المقال تلخيص إرشادي لا يغني عن الرجوع إلى النصوص الرسمية الصادرة عن الهيئة الوطنية للأمن السيبراني والبنك المركزي السعودي، وهي المرجع المعتمد عند التقييم والتدقيق.