تستطيع معظم المؤسسات أن تعرض نسبة إتمام للتدريب تقارب ١٠٠٪. لكن قلة منها تستطيع إثبات أن الناس يتصرفون بشكل مختلف بعد ذلك. والفجوة بين الرقمين هي حيث يعيش المهاجمون.
النهج التقليدي للتوعية وحدة إلكترونية سنوية، ثم اختبار، ثم شهادة. يستوفي بنداً في قائمة التدقيق ويُنسى خلال أسابيع. وفي الأثناء، الهجمات التي تنجح موجهة إلى الناس مباشرة: فاتورة مقنعة من مورد معروف، أو صفحة لإعادة تعيين كلمة المرور تشبه الأصلية تماماً، أو اتصال من شخص يدّعي أنه الرئيس التنفيذي ويحتاج إلى اعتماد تحويل قبل اجتماع مجلس الإدارة.
تغيير السلوك يتطلب شيئاً مختلفاً. إليك ما ينجح في البرامج التي ننفذها ونقيّمها.
القصير المتكرر يتفوق على الطويل السنوي
يتذكر الناس ما يمارسونه. استبدل الوحدة السنوية التي تستغرق ساعة بمحتوى قصير، خمس دقائق أو أقل، يُقدَّم كل بضعة أسابيع. ويغطي كل جزء فكرة واحدة: كيف تتحقق من الرابط قبل النقر، وماذا تفعل بمرفق غير متوقع، وكيف تتحقق من طلب تغيير بيانات الدفع. والتكرار على مدى أشهر يبني عادات لا تبنيها جلسة واحدة أبداً.
اجعله مرتبطاً بدور كل شخص
البرنامج العام يعامل موظف الاستقبال والمراقب المالي كأنهما يواجهان التهديدات نفسها، وهما لا يواجهانها.
- المالية والمشتريات: احتيال الفواتير، وتغيير الحسابات البنكية للموردين، وطلبات الدفع العاجلة، بما فيها تلك التي تأتي عبر الهاتف أو مكالمات الفيديو بأصوات أو وجوه مستنسخة.
- الموارد البشرية: متقدمون مزيفون يحملون برمجيات خبيثة في سيرهم الذاتية، وطلبات تغيير الحسابات البنكية للموظفين.
- تقنية المعلومات والمسؤولون: الهندسة الاجتماعية عبر مكتب الدعم، وسلامة الحسابات المميزة، ومخاطر الموافقة على طلبات المصادقة.
- التنفيذيون ومساعدوهم: التصيد الموجه، والانتحال، والحذر الإضافي الذي يتطلبه وصولهم.
- الجميع: كلمات المرور وعبارات المرور، والمصادقة متعددة العوامل، والاستخدام الآمن لأدوات الذكاء الاصطناعي مع بيانات الشركة، وطريقة الإبلاغ عن أي شيء مريب.
محاكاة التصيد، حين تُنفَّذ جيداً
محاكاة التصيد تحوّل التدريب إلى ممارسة، لكنها قد تأتي بنتيجة عكسية إن نُفذت بإهمال.
- علّم في اللحظة نفسها. حين ينقر أحدهم، اعرض عليه فوراً شرحاً قصيراً ودوداً لما فاته. فتلك اللحظة هي التي يرسخ فيها الدرس.
- نوّع الصعوبة والموضوعات لتعكس ما يرسله المهاجمون إلى مؤسسات مثل مؤسستك، بما في ذلك الطُعوم العربية والإنجليزية.
- تجنّب الطُعوم القاسية. فإعلانات المكافآت المزيفة أو نتائج الفحوص الطبية تضر بالثقة في فريق الأمن. والواقعية لا تعني التلاعب.
- لا تُحرج أحداً علناً. من ينقرون مراراً يحتاجون إلى دعم إضافي وحوار، لا إلى اسم في قائمة.
اجعل الإبلاغ سهلاً واحتفِ به
أثمن سلوك ليس تجنب كل رسالة سيئة، بل الإبلاغ السريع عن الرسالة التي تبدو مريبة، ليتمكن فريق الأمن من سحب الرسائل المشابهة من كل صندوق بريد قبل أن يقع فيها غيره.
- امنح الجميع زر إبلاغ بنقرة واحدة في برنامج البريد.
- ردّ على كل بلاغ، وأخبر الناس حين يكشف بلاغهم شيئاً حقيقياً.
- اجعل الاعتراف بالخطأ آمناً. فمن نقر ثم أبلغ خلال دقائق قد ساعد. ومن صمت خوفاً من اللوم لم يساعد.
قِس السلوك، لا الحضور
نسب الإتمام تخبرك من جلس أمام المحتوى. أما هذه فتخبرك هل نجح:
- نسبة الإبلاغ: حصة من يبلّغون عن رسالة تصيد محاكاة. ينبغي أن ترتفع بمرور الوقت، وهي مقياس رئيسي أفضل من نسبة النقر.
- زمن أول بلاغ: سرعة أول شخص في الإبلاغ عن الحملة. فكلما كان أسرع استطاع الفريق الاستجابة قبل انتشار الضرر.
- اتجاه نسبة النقر عبر محاكاة متماثلة، بحسب الإدارة.
- من ينقرون مراراً: كم شخصاً يقع في أكثر من محاكاة، وهل يقلل الدعم الموجه ذلك.
- البلاغات الحقيقية: كم تهديداً حقيقياً أبلغ عنه الموظفون، وكم منها كُشف بهذه الطريقة.
القيادة تحدد النبرة
حين يُكمل كبار القادة التدريب ويتحدثون عنه ويلتزمون بالقواعد بأنفسهم، يلاحظ الجميع ذلك. وحين يطالبون باستثناءات من المصادقة متعددة العوامل أو يحولون مستندات حساسة إلى بريدهم الشخصي، يلاحظ الجميع ذلك أيضاً. أحِط فريق الإدارة التنفيذية بإحاطة منفصلة تركز على التهديدات التي يواجهونها شخصياً، واطلب منهم رعاية البرنامج علناً.
استيفاء متطلبات الامتثال
تتضمن الضوابط الأساسية للأمن السيبراني من الهيئة الوطنية متطلباً مخصصاً لبرنامج التوعية والتدريب بالأمن السيبراني، ويتضمن إطار البنك المركزي السعودي التوعية ضمن مجال الحوكمة. والبرنامج الذي يركز على السلوك يُنتج كل ما يطلبه المقيّم: البرنامج المعتمد، وتقويم المحتوى، وسجلات الإتمام، وأدلة المحاكاة. لكنه يُنتج نتائج أيضاً.
خطة بداية لمدة ٩٠ يوماً
- الأسبوعان ١ و٢: نفّذ محاكاة تصيد أساسية للمقارنة، وفعّل زر الإبلاغ، واتفق على المقاييس التي ستتابعها.
- الأسابيع ٣ إلى ٦: أطلق محتوى شهرياً قصيراً للجميع، وأول وحدات مخصصة للمالية وتقنية المعلومات.
- الأسابيع ٧ إلى ١٠: قدّم إحاطة لفريق الإدارة التنفيذية، وفعّل التعليم الفوري في المحاكاة.
- الأسابيع ١١ إلى ١٣: نفّذ محاكاة ثانية، وقارنها بالأساس، وشارك التحسن مع المؤسسة كلها.
الخطوات الصغيرة الثابتة المقيسة تتفوق على الكبيرة السنوية في كل مرة. وإن أردت أن ترى كيف يقف برنامجك الحالي، فالسؤالان الرابع والخامس في تقييم النضج المجاني لدينا يغطيان التدريب ومحاكاة التصيد.