التصيد الاحتيالي في البريد المؤسسي: كيف تدرب الموظفين وتقيس الأثر؟

لماذا لا يكفي تدريب الموظفين وحده؟

يقوم كثير من برامج مكافحة التصيد الاحتيالي على افتراض أن الموظف المدرب سيكتشف كل رسالة مزيفة. لكن المركز الوطني للأمن السيبراني في المملكة المتحدة (NCSC) يرى أن الإفراط في الاعتماد على المستخدمين نهج غير فعال، وأن بعض الهجمات ستنجح دائمًا، لذلك يجب التخطيط للحد من الضرر. ^[3]

ويقترح المركز أربع طبقات متكاملة:

• منع وصول الرسائل: التحقق من النطاق بـ SPF وDKIM وDMARC، وتصفية البريد الوارد، وتقليل المعلومات المنشورة عن الموظفين.
• مساعدة الموظف على التعرف والإبلاغ: التدريب، والتحقق من الطلبات الحساسة عبر قناة ثانية، وتسهيل الإبلاغ.
• الحد من أثر النقر: تحديث الأجهزة، وحجب المواقع الضارة، والتحقق متعدد العناصر.
• الاستجابة السريعة: رصد الحوادث وخطة استجابة مجرّبة. ^[3]

ويعرض المركز حالة شركة مالية وصلتها 1,800 رسالة ضارة: أوقفت التصفية 1,750 منها، ونُقر على 14 من الخمسين التي وصلت، ولم تنجح إلا عملية تثبيت واحدة اكتُشفت وعولجت خلال ساعات. ^[3] الدرس أن التدريب طبقة مهمة، لكنه ليس خط الدفاع الوحيد.

ماذا تشترط الضوابط السعودية في التوعية بالبريد الإلكتروني؟

في المملكة العربية السعودية، تنص الضوابط الأساسية للأمن السيبراني ECC-2:2024 الصادرة عن الهيئة الوطنية للأمن السيبراني على برنامج توعية معتمد يُقدَّم عبر قنوات متعددة، ويغطي التعامل الآمن مع خدمات البريد الإلكتروني “وخاصة رسائل التصيد” (الضابط 1-10-3-1)، مع مراجعة تطبيق البرنامج دوريًا (1-10-5). ^[1]

وتشترط الضوابط نفسها في حماية البريد (2-4-3) تحليل الرسائل وتصفيتها، والتحقق متعدد العناصر للدخول عن بعد وعبر صفحة البريد، والتحقق من نطاقات بريد الجهة بـ SPF وDKIM وDMARC. ^[1] وتنطبق هذه الضوابط على الجهات الحكومية والجهات التابعة لها، وعلى جهات القطاع الخاص التي تملك أو تشغّل أو تستضيف بنية تحتية وطنية حساسة. ^[1]

أما في بقية دول الخليج، فارجع إلى المعايير الصادرة عن الجهة الوطنية المختصة بالأمن السيبراني في دولتك، ولا تفترض أن الضوابط السعودية تنطبق عليك.

ما الذي يجب أن يتعلمه الموظف فعلًا؟

الهدف ليس أن يصبح الموظف محلل بريد، بل أن يعرف متى يتوقف ويتحقق ويبلّغ. وتوصي الوكالة الأمريكية للأمن السيبراني وأمن البنية التحتية (CISA) بالتركيز على ما يلي: ^[5]

• الطلبات الغريبة أو غير المتوقعة، خاصة المكتوبة بلغة مقلقة أو التي تطلب تصرفًا فوريًا.
• فحص الطلب نفسه لا المرسل فقط، لأن حساب مرسل معروف قد يكون مخترقًا.
• التحقق عبر قنوات معروفة قبل تنفيذ أي طلب غير معتاد.
• معرفة كيف يُبلَّغ وإلى من.

ويضيف NCSC أمرين عمليين: دعم إضافي للفئات الأعلى خطرًا مثل من يتعاملون مع المدفوعات أو البيانات الحساسة، وتغيير الإجراءات نفسها بحيث يصعب تقليدها، كتأكيد طلبات التحويل هاتفيًا. ^[3] كما تنبه CISA إلى أن التدريب السنوي وحده لا يكفي، وأن التذكير يجب أن يتكرر على فترات منتظمة. ^[5]

كيف تصمم محاكاة تصيد عادلة ومفيدة؟

تصف NIST SP 800-50 Rev. 1، الصادرة في سبتمبر 2024، تمرين المحاكاة بأنه رسالة مخادعة تُرسل لمعرفة هل يكتشفها الموظف أم ينقر الرابط أو يفتح المرفق. وتوصي بقياس معدلات النقر الحالية لكل مجموعة أو دور وظيفي أولًا لمعرفة أين يلزم تدريب موجّه، وتشدد على ألا تكون التمارين عقابية وألا يُشهَّر بأي موظف. ^[2]

ولتكون النتائج قابلة للمقارنة، طوّرت NIST أداة Phish Scale التي تقيّم صعوبة رسالة المحاكاة من جانبين: الإشارات التي تكشف الرسالة، ومدى ملاءمة سيناريو الرسالة لعمل الجمهور المستهدف، ثم تصنفها منخفضة أو متوسطة أو عالية الصعوبة. ^[4]

قواعد تصميم مختصرة:

1. نسّق مع الموارد البشرية والإدارة القانونية قبل أول حملة، فمعاقبة من ينقر على رسالة محاكاة قد تُعد إيقاعًا بالموظف. ^[3]
2. صمم السيناريو من بيئة العمل الفعلية، كإشعارات الأنظمة الداخلية وطلبات الموردين، مع تنويع الأساليب.
3. قيّم صعوبة كل رسالة قبل إرسالها حتى لا تقارن حملة سهلة بأخرى صعبة.
4. اعرض صفحة تعلم قصيرة فور النقر بدل رسالة توبيخ.

ما المؤشرات التي تقيس الأثر فعلًا؟

معدل النقر هو المؤشر الأشهر، لكن NIST تحذر من أن انخفاضه قد يعود إلى رسائل سهلة جدًا أو بعيدة عن سياق العمل أو مشابهة لتمرين سابق، فيعطي شعورًا زائفًا بالأمان. ^[4] ولذلك يوصي NCSC بقياس الإبلاغ إلى جانب النقر. ^[3]

وتقترح NIST SP 800-50 Rev. 1 أن يتجاوز القياس مجرد الامتثال، ومن أمثلتها تتبع الاستجابة للمحاكاة، ومؤشرات الإبلاغ عن الحوادث، واختبار المعرفة قبل التدريب وبعده مباشرة وبعد ثلاثة أشهر، ونسبة من غيّروا سلوكًا في العمل مثل الإبلاغ عن رسالة مشبوهة. ^[2]

مثال افتراضي: قراءة نتائج حملتين

مثال افتراضي: جهة حكومية أرسلت في الربع الأول رسالة محاكاة منخفضة الصعوبة، فنقر عليها 6% من الموظفين وأبلغ عنها 10%. وفي الربع الثالث أرسلت رسالة عالية الصعوبة تحاكي إشعار نظام الموارد البشرية، فنقر عليها 9% وأبلغ عنها 35%.

القراءة السطحية تقول إن الأداء تراجع لأن النقر ارتفع. لكن القراءة الصحيحة أن الرسالة الثانية أصعب بكثير، ومع ذلك ارتفع الإبلاغ إلى أكثر من ثلاثة أضعاف، أي أن الموظفين صاروا إنذارًا مبكرًا فعالًا. والخطوة التالية تدريب موجه لإدارة الموارد البشرية والمالية إذا تركز النقر فيهما.

لماذا تقتل العقوبة ثقافة الإبلاغ؟

يقول NCSC إن لوم المستخدمين على النقر لا يجدي، لأن للنقر أسبابًا شخصية وظرفية، وإن الخوف من العقاب يمنع الموظفين من الإبلاغ عن أخطائهم، فتخسر الجهة إنذارها المبكر. ^[3] والموظف الذي نقر ثم انتبه هو أكثر من تحتاج إلى سماع صوته بسرعة.

ولبناء هذه الثقافة: اجعل زر الإبلاغ أو العنوان المخصص سهلًا وسريعًا، وأرسل للمبلّغ ردًا يوضح نتيجة بلاغه، وطمئن الموظفين بأن الإبلاغ لن يعرضهم للمساءلة، واحصل على التزام الموارد البشرية والإدارة العليا بذلك. ^[3]

خطة عملية لإطلاق البرنامج أو إعادة بنائه

1. خط الأساس: أرسل حملة محاكاة واحدة معروفة الصعوبة إلى جميع الفئات قبل أي تدريب جديد، وسجّل النقر والإبلاغ لكل إدارة ودور وظيفي. ^[2]
2. قناة الإبلاغ: وفّر طريقة واحدة واضحة للإبلاغ، كزر في برنامج البريد أو عنوان مخصص، والتزم بالرد على كل بلاغ. ^[3]
3. تدريب حسب الدور: محتوى قصير للجميع، ومحتوى أعمق للفئات الأعلى خطرًا مثل المالية والمشتريات ومن يملكون صلاحيات واسعة. ^{[2، 3]}
4. حملات دورية متدرجة: نوّع السيناريوهات وصنّف صعوبة كل رسالة قبل إرسالها حتى تبقى المقارنة عادلة. ^[4]
5. تقرير للإدارة: اعرض النقر والإبلاغ والصعوبة معًا، واقترح تدريبًا موجهًا وتعديلات على الإجراءات والضوابط التقنية، لا قوائم بأسماء من نقروا.
6. مراجعة دورية: راجع تطبيق البرنامج ونتائجه وحدّث محتواه بالأساليب الجديدة، وهذه المراجعة مطلوبة نصًا في الضوابط السعودية للجهات الخاضعة لها. ^[1]

الخلاصة

برنامج التوعية بالتصيد الاحتيالي الناجح لا يقاس بانخفاض النقر وحده، بل بموظفين يبلّغون بسرعة عن رسائل صعبة واقعية. ابدأ بخط أساس لكل فئة، وقيّم صعوبة كل محاكاة، وتابع الإبلاغ والسلوك بجانب النقر، واجعل التدريب جزءًا من دفاع متعدد الطبقات لا بديلًا عنه.