حين تقع حادثة سيبرانية كبيرة، يعزل الفريق التقني الأجهزة ويحلل السجلات. لكن الأسئلة التي تحدد حجم الضرر ليست تقنية: هل نوقف الخدمة؟ من يبلّغ الجهة المنظِّمة ومتى؟ ماذا نقول للعملاء والإعلام؟ هل ندفع الرواتب يدويًا؟ من يملك صلاحية القرار في منتصف الليل؟ هذه قرارات يتخذها التنفيذيون والشؤون القانونية والتواصل والموارد البشرية والمالية والعمليات — وهم في الغالب لم يتدرّبوا عليها قط. التمرين المكتبي (Tabletop Exercise) هو أرخص وأسرع طريقة لتدريبهم قبل أن تدرّبهم حادثة حقيقية.

هذا الدليل موجَّه لفرق الأمن السيبراني واستمرارية الأعمال والحوكمة، ويشرح كيف تصمّم وتيسّر تمرينًا مكتبيًا لجمهور غير تقني، وكيف تربطه بمتطلبات الهيئة الوطنية للأمن السيبراني، وبمتطلبات البنك المركزي السعودي (ساما) إن كانت مؤسستك خاضعة لإشرافه.

ما التمرين المكتبي؟ وما الذي ليس منه؟

التمرين المكتبي جلسة نقاش مُيسَّرة، يجلس فيها أصحاب القرار حول طاولة (حضوريًا أو افتراضيًا) ويُعرض عليهم سيناريو حادثة يتطور على مراحل، فيناقشون في كل مرحلة: ماذا نفعل؟ من يقرر؟ من نُبلّغ؟ وبأي خطة نستعين؟ لا أنظمة تُمسّ ولا هجوم يُنفَّذ.

  • ليس اختبار اختراق ولا محاكاة هجوم تقنية: لا أحد يلمس لوحة مفاتيح.
  • ليس اختبارًا للأفراد: المُختبَر هو الخطة والإجراءات وقنوات القرار، لا الأشخاص.
  • ليس عرضًا تقديميًا: إن تكلّم الميسِّر أكثر من المشاركين فقد فشل التمرين.

ماذا يقول المنظِّم؟

لنكن دقيقين: الضوابط الأساسية للأمن السيبراني (ECC-2:2024) لا تذكر «التمرين المكتبي» بالاسم، لكنها تطلب خطط استجابة وتصعيد معتمدة ومطبَّقة ومُراجَعة دوريًا، والتمرين هو الطريقة العملية لإثبات أن الخطة قابلة للتطبيق لا مجرد وثيقة. أما ساما فأكثر صراحةً: إطار إدارة استمرارية الأعمال يطلب تمارين محاكاة سنوية ويوصي بتضمينها سيناريوهات سيبرانية.

المرجعالمطلوب باختصارما يثبته التمرين
الهيئة — ECC 2-13 إدارة حوادث وتهديدات الأمن السيبرانيمتطلبات معتمدة ومطبَّقة ومُراجَعة دوريًا، تشمل حدًّا أدنى: خطط الاستجابة وآليات التصعيد، وتصنيف الحوادث، وإبلاغ الهيئة ومشاركتها التنبيهات والمؤشرات.أن التصعيد والتصنيف والإبلاغ مفهومة لمن سينفذها فعلًا.
الهيئة — ECC 3-1 جوانب صمود الأمن السيبراني في إدارة استمرارية الأعمالتضمين الأمن السيبراني في استمرارية الأعمال، ومن ذلك خطط استجابة للحوادث التي قد تؤثر في استمرارية الأعمال، وخطط التعافي من الكوارث.أن خطة الاستجابة وخطة الاستمرارية تعملان معًا لا بمعزل.
الهيئة — ECC 1-10-4 التدريب التخصصيتدريب شاغلي الوظائف التنفيذية والإشرافية.التمرين نفسه تدريب عملي موثَّق لهذه الفئة.
ساما — إطار الأمن السيبراني 3.3.15 إدارة الحوادثفريق محدد وكوادر مدرَّبة باستمرار، وتصنيف للحوادث، وإبلاغ ساما فورًا عند وقوع حادثة مصنفة متوسطة أو عالية، وعدم التعامل مع الإعلام بشأنها قبل الحصول على عدم ممانعة ساما، وتقرير رسمي بعد استعادة العمليات.أن المشاركين يعرفون من يبلّغ ساما ومتى، ومن يملك التصريح الإعلامي.
ساما — إطار إدارة استمرارية الأعمال (بند الاختبارات)تمارين محاكاة لخطط الاستمرارية مرة سنويًا على الأقل، بسيناريوهات مخططة وأهداف محددة، مع الأخذ في الاعتبار تضمين سيناريوهات سيبرانية، وأن تغطي تفعيل فريق إدارة الأزمات ومشاركته.استيفاء مباشر عند تنفيذ تمرين سيبراني يُفعَّل فيه فريق الأزمات.
ملاحظة
نموذج سياسة إدارة الحوادث والتهديدات الذي تنشره الهيئة ضمن أدواتها الاسترشادية ينص على اختبار جاهزية الاستجابة والخطة المعتمدة دوريًا عبر تمارين محاكاة، ومراجعة الخطط سنويًا على الأقل. فإن اعتمدت مؤسستك هذا النموذج صار التمرين الدوري التزامًا في سياستك الداخلية نفسها.

تسع خطوات لتمرين ناجح مع جمهور غير تقني

1. حدّد هدفين أو ثلاثة لا أكثر

التمرين الذي يحاول اختبار كل شيء لا يختبر شيئًا. اختر أهدافًا محددة قابلة للملاحظة، مثل: «التحقق من أن فريق إدارة الأزمات يُفعَّل خلال 30 دقيقة من التصعيد»، أو «اختبار مسار الإبلاغ التنظيمي والتصريح الإعلامي»، أو «تحديد صاحب قرار إيقاف الخدمة». واكتب النطاق صراحةً: ما الخطط المُختبَرة، وما الذي خارج التمرين.

2. احصل على راعٍ تنفيذي واختر المشاركين

بدون راعٍ من الإدارة العليا سيعتذر نصف المدعوّين. ثم ادعُ من سيجلس فعلًا في غرفة الأزمة يوم الحادثة، لا من ينوب عنهم:

المشاركالقرار الذي يملكه في الحادثة
الرئيس التنفيذي أو من ينوب عنهإعلان الأزمة، والقرارات ذات الأثر الاستراتيجي.
العمليات وأصحاب الأعمالإيقاف الخدمات، والعمل بالإجراءات اليدوية البديلة.
الشؤون القانونية والالتزامالإبلاغ التنظيمي، والالتزامات التعاقدية، وحماية البيانات الشخصية.
التواصل المؤسسيالرسائل للموظفين والعملاء والإعلام.
الموارد البشريةالتواصل مع الموظفين، والتعامل مع حالات الخطأ أو التهديد الداخلي.
الماليةالمدفوعات الطارئة، والتأمين، وتقدير الخسائر.
خدمة العملاءما يُقال للعميل على الهاتف والقنوات الرقمية.
استمرارية الأعمالتفعيل خطط الاستمرارية والتعافي.
الأمن السيبراني وتقنية المعلوماتتقديم الصورة التقنية بلغة الأعمال، لا قيادة النقاش.

العدد المثالي بين 8 و15 مشاركًا. ومعهم ثلاثة أدوار للتشغيل: ميسِّر يدير النقاش، ومدوِّن يسجّل القرارات والفجوات، ومراقب يقيّم مقابل الأهداف.

3. اختر سيناريو واقعيًا يمسّ أعمالهم

اختر السيناريو من سجل المخاطر ومن حوادث قطاعك، واجعل أثره على الأعمال واضحًا. أمثلة تناسب الجمهور غير التقني:

  • فدية تشلّ الخدمات: تشفير أنظمة أساسية ومطالبة بفدية مع تهديد بنشر البيانات.
  • احتيال بانتحال البريد التنفيذي: تحويل مالي كبير بناءً على رسالة تنتحل صفة الرئيس التنفيذي أو مورّد.
  • تسريب بيانات عملاء: عيّنة تُنشر على وسائل التواصل وصحفي يتصل طالبًا تعليقًا.
  • توقف مزوّد خدمة حرج: اختراق لدى طرف ثالث يعطّل خدمة تعتمد عليها.
  • تزييف عميق: مقطع صوتي أو مرئي مزيّف لمسؤول يطلب إجراءً عاجلًا.

4. ابنِ السيناريو على مراحل (Injects)

قسّم السيناريو إلى 4–6 مستجدات تتصاعد، ولكل مستجد أسئلة نقاش تستهدف قرارًا. هذا نموذج مختصر لسيناريو فدية يمكن تكييفه:

التوقيت في السيناريوالمستجدأسئلة النقاش
الأحد 7:30 صموظفون لا يستطيعون فتح ملفاتهم، ورسالة فدية تظهر على عدة أجهزة.من يُبلَّغ أولًا؟ من يصنّف الحادثة؟ متى تُصعَّد للإدارة العليا؟
9:00 صالفريق التقني يوصي بفصل أنظمة أساسية؛ خدمة العملاء ستتوقف.من يملك قرار الإيقاف؟ هل نُعلن أزمة ونفعّل فريقها؟ ما البديل اليدوي؟
11:00 صالعملاء يشتكون على وسائل التواصل، وصحفي يطلب تعليقًا.من يتحدث؟ ما الرسالة؟ هل نحتاج موافقة جهة منظِّمة قبل التصريح؟ ماذا يقول موظف الاتصال للعميل؟
2:00 مالمهاجم يرسل عيّنة من بيانات عملاء ويمهل 48 ساعة.ما التزامات الإبلاغ (الهيئة، ساما إن انطبق، الجهة المختصة بحماية البيانات الشخصية)؟ من يقرر في مسألة الفدية؟ هل نبلّغ العملاء المتأثرين؟
اليوم الثانيالنسخ الاحتياطية سليمة جزئيًا؛ الاستعادة الكاملة تحتاج خمسة أيام، والرواتب بعد ثلاثة.ما أولويات الاستعادة؟ كيف تُصرف الرواتب؟ ما الذي نقوله للموظفين؟
بعد أسبوععادت الخدمات، وجهة منظِّمة تطلب تقريرًا رسميًا.من يُعدّ التقرير؟ ما الدروس؟ ما الذي نغيّره في الخطة؟

5. جهّز اللوجستيات وقواعد الجلسة

خصّص 90 إلى 120 دقيقة، ولا تتجاوزها مع جمهور تنفيذي. أرسل قبل الجلسة دعوة تشرح الهدف (دون كشف السيناريو)، ونسخة من خطة الاستجابة وخطة إدارة الأزمات. وافتتح الجلسة بقواعد واضحة:

  • لا لوم ولا تقييم للأفراد؛ الفجوة التي تظهر اليوم مكسب.
  • تعاملوا مع السيناريو كأنه حقيقي ولا تجادلوا في واقعيته.
  • أجيبوا بما ستفعلونه فعلًا بالأدوات والصلاحيات المتاحة اليوم، لا بما ينبغي أن يكون.
  • «لا أعرف» إجابة مقبولة ومفيدة.

6. يسِّر بلغة الأعمال لا بلغة التقنية

هنا يتحدد نجاح التمرين مع غير التقنيين:

  • احذف المصطلحات: قل «توقفت أنظمة خدمة العملاء» لا «تشفير خوادم قاعدة البيانات». المشاركون لا يحتاجون معرفة كيف حدث الاختراق ليقرروا.
  • اسأل أسئلة قرار: من يقرر؟ بناءً على أي معلومة؟ خلال كم؟ من يُبلَّغ؟ أين هذا مكتوب؟
  • وجّه السؤال بالاسم: «أستاذة نورة، بصفتك مديرة التواصل، ما أول رسالة تخرج؟» حتى لا يهيمن صوت واحد.
  • امنع الفريق التقني من الإجابة عن الجميع: دوره تقديم المعطيات حين تُطلب.
  • اضغط بالوقت قليلًا: «أمامكم خمس دقائق قبل اتصال الصحفي التالي» يكشف ما لا يكشفه النقاش الهادئ.
  • سجّل الفجوات ولا تحلّها في الجلسة: ضعها في «موقف الانتظار» وأكمل.

7. لا تُغفل الأسئلة التنظيمية

مهما كان السيناريو، تأكد من أن النقاش يمرّ على هذه الأسئلة، فهي أكثر ما يتعثر فيه غير التقنيين:

  • ما تصنيف الحادثة؟ ومن يملك صلاحية تصنيفها؟
  • من يبلّغ الهيئة الوطنية للأمن السيبراني، وعبر أي قناة، ومن البديل إن غاب؟
  • للجهات الخاضعة لساما: من يبلّغ إدارة الإشراف المختصة فورًا عند حادثة متوسطة أو عالية؟ ومن يطلب عدم الممانعة قبل أي تعامل مع الإعلام؟
  • إن تأثرت بيانات شخصية: من يقيّم التزامات الإشعار وفق نظام حماية البيانات الشخصية؟
  • من يُعدّ التقرير الرسمي بعد الحادثة، ومن أين تأتي بياناته (التوقيتات، الأصول، الأثر، التكلفة)؟

8. اختم بجلسة مراجعة فورية

خصّص آخر 15–20 دقيقة والأفكار حاضرة، واسأل كل مشارك ثلاثة أسئلة: ما الذي سار جيدًا؟ ما الذي فاجأك؟ ما التغيير الواحد الذي تطلبه؟ إجابات هذه الدقائق هي مادة التقرير.

9. وثّق، وعالج، وكرّر

أصدر تقرير ما بعد التمرين خلال أسبوعين: الأهداف ومدى تحققها، ونقاط القوة، والفجوات، وخطة تحسين لكل بند فيها مالك وموعد. ثم ارفعها للجنة الإشرافية وتابع الإغلاق، وحدّث الخطط بناءً عليها. تمرين بلا متابعة يتحول إلى نشاط علاقات عامة. وكرّر التمرين سنويًا على الأقل بسيناريو مختلف، ومع أي تغيير جوهري في الخطط أو الهيكل.

جدول أعمال مقترح لجلسة من ساعتين

المدةالفقرة
10 دقائقكلمة الراعي التنفيذي، والأهداف، وقواعد الجلسة.
10 دقائقتذكير سريع بخطة الاستجابة وأدوار فريق الأزمات.
75 دقيقةالسيناريو: 5–6 مستجدات، نحو 12–15 دقيقة لكل منها.
20 دقيقةالمراجعة الفورية: ما نجح، وما فاجأنا، وما نغيّره.
5 دقائقالخطوات التالية وموعد التقرير.

أخطاء شائعة

  • سيناريو تقني أكثر من اللازم: فيصمت غير التقنيين ويتحول التمرين إلى حوار بين فريق الأمن ونفسه.
  • حضور النوّاب بدل أصحاب القرار: فتُختبر خطة لن ينفذها من حضر.
  • سيناريو مستحيل أو كارثي جدًا: يفقد المشاركون الاقتناع به.
  • تحويله إلى محاسبة: فيتوقف الناس عن الاعتراف بما لا يعرفونه.
  • إغفال التواصل والإبلاغ التنظيمي: وهما أكثر ما يتعثر في الحوادث الحقيقية.
  • لا تقرير ولا متابعة: فتتكرر الفجوات نفسها في التمرين التالي — أو في الحادثة.

ملف الأدلة للتقييم والتدقيق

  • خطة التمرين المعتمدة: الأهداف، النطاق، السيناريو، المشاركون.
  • الدعوة وسجل الحضور الموقّع بالأسماء والمناصب.
  • مواد السيناريو والمستجدات وأسئلة النقاش.
  • محضر الجلسة وسجل القرارات والفجوات.
  • تقرير ما بعد التمرين وخطة التحسين بمُلّاكها ومواعيدها.
  • ما يثبت العرض على اللجنة الإشرافية، وما يثبت إغلاق البنود وتحديث الخطط.
  • جدول التمارين السنوي الذي يبيّن الدورية.

قائمة تحقق سريعة

  • هل للتمرين راعٍ تنفيذي وأهداف مكتوبة لا تتجاوز ثلاثة؟
  • هل المدعوّون هم أصحاب القرار الفعليون من الإدارات غير التقنية؟
  • هل السيناريو مأخوذ من مخاطرنا ومكتوب بلغة الأعمال؟
  • هل يغطي تفعيل فريق إدارة الأزمات؟
  • هل يمرّ على التصنيف والتصعيد والإبلاغ التنظيمي والتصريح الإعلامي؟
  • هل هناك ميسِّر ومدوِّن ومراقب؟
  • هل سيصدر تقرير وخطة تحسين بمُلّاك ومواعيد؟
  • هل التمرين مُدرج في جدول سنوي؟

الخلاصة

الخطة التي لم تُجرَّب افتراض لا خطة. وساعتان مع أصحاب القرار حول سيناريو واحد مكتوب بلغتهم تكشفان ما لا تكشفه مراجعة الوثائق: من يقرر، ومن يُبلَّغ، وأين تنقطع السلسلة. ابدأ بتمرين صغير هذا الربع، ووثّقه جيدًا، فذلك يخدم جاهزيتك الفعلية وملف التزامك معًا.

اقرأ أيضًا
كيف تبني خطة توعية بالأمن السيبراني لمؤسستك وفق ضوابط الهيئة الوطنية للأمن السيبراني وساما

المراجع

تنويه: هذا المقال تلخيص إرشادي لا يغني عن الرجوع إلى النصوص الرسمية الصادرة عن الهيئة الوطنية للأمن السيبراني والبنك المركزي السعودي، وهي المرجع المعتمد عند التقييم والتدقيق.