# خطة الاستجابة لبرامج الفدية للمؤسسات السعودية: أول ٧٢ ساعة

بقلم Aburahman Adimi ١٨ أكتوبر ٢٠٢٦ قراءة في ٧ دقائق

في هذه الصفحة

1. ما برامج الفدية مزدوجة الابتزاز، ولماذا تهم المؤسسات السعودية؟
2. ماذا تفعل في الساعة الأولى من هجوم برنامج الفدية؟
3. من يجب إبلاغه في السعودية، وبأي سرعة؟
4. ماذا يحدث بين الساعة الأولى والساعة ٧٢؟
5. هل تدفع الفدية؟
6. كيف تستعد قبل وقوع هجوم برنامج الفدية؟
7. الأسئلة الشائعة
8. اكتشف فجواتك قبل المهاجمين

إذا تعرضت مؤسستك في المملكة العربية السعودية لهجوم ببرنامج فدية، فأمامك نحو ٧٢ ساعة لاحتوائه، واستعادة الأنظمة الحرجة، والوفاء بالتزامات الإبلاغ. فبموجب اللائحة التنفيذية لنظام حماية البيانات الشخصية، يجب إبلاغ الهيئة السعودية للبيانات والذكاء الاصطناعي (سدايا) بأي تسرب للبيانات الشخصية خلال ٧٢ ساعة من العلم به. كما يجب على الجهات الخاضعة لنطاق الهيئة الوطنية للأمن السيبراني إبلاغ الهيئة بالحوادث. يوضح هذا الدليل ما تفعله في الساعة الأولى واليوم الأول والأيام الثلاثة الأولى، وما ينبغي إعداده الآن حتى لا يأتي ذلك اليوم أبداً.

التهديد قريب منا. ففي مطلع أكتوبر، زعمت مجموعة برامج الفدية WallStreet أنها سرقت أكثر من ١٫٥ مليون ملف، نحو ١٧ تيرابايت، من شركة China Railway Construction Corporation، العضو في التحالف الذي يبني استاد جدة المركزي لكأس العالم ٢٠٣٤. وتشمل البيانات المزعومة عقوداً وتصاميم للاستاد وبيانات شخصية لنحو ١٥٠٬٠٠٠ موظف، [بحسب صحيفة The National](https://www.thenationalnews.com/future/technology/2026/10/06/hackers-saudi-arabia-cyberattack-world-cup/). ولم تعلّق الشركة حتى وقت النشر.

## ما برامج الفدية مزدوجة الابتزاز، ولماذا تهم المؤسسات السعودية؟

تشفّر برامج الفدية التقليدية ملفاتك وتطالب بالدفع مقابل مفتاح فك التشفير. أما الابتزاز المزدوج فيضيف تهديداً ثانياً: ينسخ المهاجمون بياناتك أولاً، ثم يهددون بنشرها إن لم تدفع. ويشير ملف SOCRadar عن مجموعة WallStreet إلى أنها تتبع هذا الأسلوب تحديداً.

وهذا يغيّر طريقة استجابتك. فالاستعادة من النسخ الاحتياطية تحل مشكلة التشفير، لكنها لا تفعل شيئاً حيال البيانات المسروقة. الهجوم مزدوج الابتزاز هو تسرب للبيانات بقدر ما هو انقطاع للخدمة، ولذلك يجب أن تحضر فرق الشؤون القانونية والخصوصية والاتصال منذ الساعة الأولى، لا فريق تقنية المعلومات وحده.

كما أصبح المهاجمون أسرع. فقد وجد تقرير الدفاع الرقمي لعام ٢٠٢٦ من مايكروسوفت أن الوسيط الزمني بين اكتشاف الثغرة وتحويلها إلى سلاح أصبح أقل من ٢٤ ساعة. وكان التصيد نقطة الدخول في ٢٣٪ من الاختراقات التي حقق فيها فريق الاستجابة لدى مايكروسوفت، ارتفاعاً من ٧٪ قبل عام، وارتفعت عمليات استغلال التطبيقات المكشوفة على الإنترنت من ١٥٪ إلى ٢٤٪، [بحسب ملخص Help Net Security](https://www.helpnetsecurity.com/2026/10/02/ai-cybersecurity-threats-microsoft-report/). لم يعد تطبيق التحديثات كل ربع سنة وتدريب الموظفين مرة في العام يواكب هذه السرعة.

## ماذا تفعل في الساعة الأولى من هجوم برنامج الفدية؟

الساعة الأولى تحدد مدى انتشار الضرر. نفّذ هذه الخطوات بالترتيب:

1. **اعزل الأجهزة ولا تطفئها.** افصل الأجهزة المصابة عن الشبكة (انزع الكابل وعطّل الشبكة اللاسلكية) واتركها تعمل. فالذاكرة تحتفظ بأدلة تختفي عند إيقاف التشغيل.
2. **فعّل فريق الاستجابة للحوادث.** اتصل بالأشخاص المسمّين في خطتك: مسؤول تقنية المعلومات أو مركز العمليات الأمنية، ورئيس أمن المعلومات، والشؤون القانونية، ومسؤول حماية البيانات، والاتصال، وراعياً من الإدارة التنفيذية. وإن كان لديك عقد مع مزود للاستجابة للحوادث، فاتصل به الآن.
3. **احمِ نسخك الاحتياطية.** افصل أنظمة النسخ الاحتياطي أو تحقق من أنها غير قابلة للتعديل. فالمهاجمون كثيراً ما يبحثون عن النسخ الاحتياطية قبل تشفير أي شيء آخر.
4. **أحكم الوصول المميز.** أعد تعيين كلمات مرور مسؤولي النطاق وحسابات الخدمة من جهاز نظيف، وألغِ الجلسات النشطة للحسابات المشبوهة. وجدت مايكروسوفت أنه في ٥٢٪ من الاختراقات التي بدأت بحسابات صالحة، انتقل المهاجمون إلى جمع مزيد من بيانات الاعتماد.
5. **ابدأ سجلاً زمنياً.** دوّن ما رُصد ومتى ومن رصده. ستحتاج إليه للجهات التنظيمية وشركات التأمين ولاستخلاص الدروس.
6. **لا تتواصل مع المهاجمين بعد.** قرار التفاوض يعود إلى القيادة، بمشورة قانونية، بعد أن تتضح الحقائق.

## من يجب إبلاغه في السعودية، وبأي سرعة؟

الإبلاغ هو المرحلة التي تتعثر فيها مؤسسات كثيرة، لأن عدة جهات قد تكون معنية في الوقت نفسه. يغطي الجدول أدناه أهمها. تأكد من التزاماتك مع مستشارك القانوني، لأنها تعتمد على قطاعك ووضعك.

| الجهة | متى ينطبق | المهلة | الطريقة |
| --- | --- | --- | --- |
| سدايا (الجهة المنظِّمة لنظام حماية البيانات الشخصية) | الوصول إلى بيانات شخصية أو سرقتها، مع احتمال إلحاق ضرر بأصحابها | خلال ٧٢ ساعة من العلم | قناة سدايا للإبلاغ عن التسرب |
| الأفراد المتأثرون | التسرب نفسه، حين قد يضر بحقوقهم أو مصالحهم | دون تأخير غير مبرر | إشعار مباشر من جهة التحكم |
| الهيئة الوطنية للأمن السيبراني | الحوادث التي تمس الجهات الوطنية | في أقرب وقت ممكن | الرقم ٩٣٦ أو isnca.gov.sa، بحسب صفحة الحوادث لدى الهيئة |
| الجهة التنظيمية للقطاع (مثل البنك المركزي السعودي للمؤسسات المالية) | الجهات المنظَّمة في ذلك القطاع | وفق قواعد تلك الجهة | إجراءات الإبلاغ الخاصة بالجهة التنظيمية |
| العملاء والشركاء | العقود التي تشترط الإشعار بالحوادث | وفق شروط العقد | مديرو الحسابات، بموافقة الشؤون القانونية |

تبدأ مهلة الـ ٧٢ ساعة في نظام حماية البيانات الشخصية عند علمك بالتسرب، لا عند انتهاء التحقيق. يمكنك الإبلاغ بما تعرفه ثم التحديث لاحقاً. وانتظار الصورة الكاملة هو أكثر الطرق شيوعاً لتفويت المهلة.

## ماذا يحدث بين الساعة الأولى والساعة ٧٢؟

بعد احتواء الانتشار، ينقسم العمل إلى ثلاثة مسارات متوازية.

**التحقيق.** حدد نقطة الدخول: رسالة تصيد، أو شبكة VPN مكشوفة، أو تطبيق على الإنترنت لم يُحدَّث، أو حساب لدى أحد الموردين. وحدد البيانات التي خرجت من الشبكة ومتى. فمن دون ذلك لا يمكنك تحديد نطاق الإشعارات ولا التأكد من رحيل المهاجمين.

**التعافي.** استعد الأنظمة الحرجة أولاً، من نسخ احتياطية تحققت من سلامتها. أعد بناء الخوادم المخترقة بدلاً من تنظيفها حيثما أمكن. أعد الأنظمة إلى العمل على مراحل وراقب كل منها عن كثب، لأن المهاجمين كثيراً ما يتركون منفذاً ثانياً.

**التواصل.** أعدّ بياناً واحداً معتمداً للموظفين والعملاء والشركاء. واطلب من الموظفين عدم مناقشة الحادث على وسائل التواصل الاجتماعي أو مع أي شخص يدّعي أنه من الصحافة أو من المهاجمين. وأبقِ الجهات التنظيمية على اطلاع مع تطور الحقائق.

## هل تدفع الفدية؟

لا يوجد ضمان بأن الدفع يعيد بياناتك أو يحفظ سريتها. ففي الابتزاز المزدوج، أنت تدفع لمجرمين كي يحذفوا نسخاً لا يمكنك التحقق منها. وقد يموّل الدفع هجمات أخرى، وقد يثير مسائل قانونية ومسائل تتعلق بالعقوبات. اتخذ هذا القرار على مستوى مجلس الإدارة، بمشورة قانونية، وبعد أن تعرف هل تستطيع نسخك الاحتياطية إعادة التشغيل دون دفع. وأفضل وضع أن لا تحتاج إلى طرح السؤال أصلاً.

## كيف تستعد قبل وقوع هجوم برنامج الفدية؟

معظم الاستجابة الموضحة أعلاه يعتمد على عمل يُنجز مسبقاً. استخدم هذه القائمة لاختبار جاهزيتك:

- خطة مكتوبة للاستجابة للحوادث، بمسؤولين محددين وجهات اتصال خارج ساعات العمل
- نسخ احتياطية منفصلة أو غير قابلة للتعديل، مع اختبار استعادة خلال الربع الأخير
- المصادقة متعددة العوامل على البريد وشبكة VPN والوصول عن بُعد وجميع حسابات المسؤولين
- تحديث الأنظمة المكشوفة على الإنترنت خلال أيام لا أشهر
- مراقبة على مدار الساعة للأجهزة الطرفية والهويات، داخلياً أو عبر مركز عمليات أمنية مُدار
- تدريب على التوعية بالتصيد طوال العام، مع محاكاة
- اختبار اختراق حديث للأنظمة الخارجية وللمسارات المؤدية إلى وحدات التحكم بالنطاق
- متطلبات للأمن السيبراني في عقود الموردين، تشمل مهلاً للإشعار بالحوادث
- مسار إبلاغ متفق عليه مسبقاً لسدايا والهيئة الوطنية للأمن السيبراني والجهة التنظيمية لقطاعك
- تمرين محاكاة مكتبي خلال الأشهر الـ ١٢ الماضية، بمشاركة القيادة

بند الموردين يستحق الاهتمام. فحالة استاد جدة تبيّن كيف يمكن لمقاول واحد أن يكشف مشروعاً بأكمله. وتَعُدّ ضوابط ECC-2:2024 الأمن السيبراني للأطراف الثالثة والحوسبة السحابية أحد مكوناتها الرئيسية الأربعة، فضوابط الموردين مسألة امتثال بقدر ما هي مسألة مخاطر.

## الأسئلة الشائعة

**كم لدي من الوقت للإبلاغ عن تسرب بيانات شخصية في السعودية؟** بموجب اللائحة التنفيذية لنظام حماية البيانات الشخصية، يجب على جهات التحكم إبلاغ سدايا خلال ٧٢ ساعة من العلم بتسرب قد يضر بأصحاب البيانات. كما يجب إخطار الأفراد المتأثرين دون تأخير غير مبرر.

**هل يجب إبلاغ الهيئة الوطنية للأمن السيبراني عن برنامج الفدية؟** تطلب الهيئة من الجهات الوطنية الإبلاغ عن حوادث الأمن السيبراني عبر خط الحوادث (٩٣٦) أو isnca.gov.sa. تحقق من وضعك وفق ضوابط ECC-2:2024 وأي قواعد قطاعية مع فريق الامتثال لديك.

**هل تحمينا النسخ الاحتياطية وحدها من برامج الفدية؟** النسخ الاحتياطية تحمي من التشفير، لا من سرقة البيانات. وفي الابتزاز المزدوج يستطيع المهاجمون التهديد بنشر البيانات المسروقة، لذا تحتاج أيضاً إلى المراقبة وضوابط الوصول وخطة للاستجابة للتسرب.

**ما أكثر طرق دخول برامج الفدية شيوعاً؟** التصيد، والوصول عن بُعد المكشوف، والتطبيقات المكشوفة على الإنترنت غير المحدّثة. وجد تقرير مايكروسوفت لعام ٢٠٢٦ أن التصيد كان وراء ٢٣٪ من الاختراقات التي حققت فيها.

**هل يستحق مركز العمليات الأمنية المُدار ذلك لمؤسسة متوسطة الحجم؟** نعم، إن لم تستطع توفير مراقبة على مدار الساعة داخلياً. فالمهاجمون كثيراً ما يضربون ليلاً أو في عطلات نهاية الأسبوع، ومركز العمليات المُدار يقصّر الوقت بين أول مؤشر والاحتواء.

## اكتشف فجواتك قبل المهاجمين

يقيس [تقييم النضج المجاني من سايبرت](https://cybrt.sa/ar/maturity/)، المبني على أطر الهيئة الوطنية للأمن السيبراني وNIST، جاهزيتك في ٢٠ سؤالاً، تشمل الاستجابة للحوادث والنسخ الاحتياطي ومخاطر الأطراف الثالثة. وإن كنت تحتاج إلى المساعدة الآن، فتحدث إلى فريق مركز العمليات المُدار لدينا العامل على مدار الساعة.

كيف تساعدك سايبرت

## مركز العمليات المُدار

كثيراً ما تبقى الهجمات المتقدمة دون اكتشاف لأكثر من ٢٠٠ يوم، ومن دون خطة استجابة مُجرّبة يطول احتواؤها. يجمع مركز عملياتنا المُدار بين محللين متمرسين وأدوات متقدمة واستخبارات تهديدات لحظية، لمراقبة واكتشاف واستجابة مستمرة.

## مقالات أخرى

المرونة والاستجابة ٦ مايو ٢٠٢٦ قراءة في ٤ دقائق

### كيف تختار مزود مركز عمليات أمنية مُدار في السعودية

الأسئلة التي تطرحها على مزود مركز العمليات الأمنية المُدار حول الرؤية والاكتشاف والاستجابة وإقامة البيانات والفريق والتقارير، والعلامات التحذيرية.

الحوكمة ٣٠ سبتمبر ٢٠٢٦ قراءة في ٤ دقائق

### ماذا يفعل رئيس أمن المعلومات الافتراضي؟ دليل للمؤسسات السعودية

ما يقدمه رئيس أمن المعلومات الافتراضي، ومن يستفيد منه، وكيف يتوافق مع توقعات الهيئة والبنك المركزي لقيادة أمنية داخلية، وشكل أول ٩٠ يوماً.

التهديدات ١٦ سبتمبر ٢٠٢٦ قراءة في ٣ دقائق

### لكنني أستخدم المصادقة متعددة العوامل!

كان يُفترض أن تنهي مفاتيح المرور التصيد. كيف يتجاوز تصيد رمز الجهاز المصادقة متعددة العوامل، وما ضوابط الهوية التي توقفه.

## هل أنت مستعد لحماية أعمالك؟

احجز استشارتك الأمنية المجانية اليوم.

---

Canonical page: https://cybrt.sa/ar/ransomware-readiness-response-plan/
Guide for AI agents: https://cybrt.sa/llms.txt