المخاطر البشرية في الخدمات المالية: حيث تتحرك الأموال

في البنك لا تتحرك الأموال لأن نظامًا قرر تحريكها، بل لأن شخصًا يملك الصلاحية الصحيحة اقتنع بأن التعليمات حقيقية. هذه الحقيقة وحدها تفسّر جزءًا كبيرًا من صورة التهديدات في الخدمات المالية. فقد سجّل مركز شكاوى جرائم الإنترنت التابع لمكتب التحقيقات الفيدرالي الأمريكي (IC3) أن اختراق البريد الإلكتروني للأعمال (BEC) تسبب في خسائر بلغت 55.49 مليار دولار خلال عقد، وفق هذا الإعلان. لم يتطلب شيء من ذلك كسر تشفير. تطلب فقط إقناع إنسان.

وفي المملكة العربية السعودية كتبت الجهات الرقابية ذلك صراحةً. يطلب إطار البنك المركزي السعودي (ساما) للأمن السيبراني برنامج توعية دوريًا يتناول التهديدات الناشئة كالتصيد الموجّه ويُقيَّم لقياس فعاليته، وتخصص الضوابط الأساسية للأمن السيبراني مجالًا فرعيًا كاملًا للتوعية والتدريب يشمل رسائل التصيد. يشرح هذا المقال لماذا يحمل القطاع المالي مخاطر بشرية خاصة به، وما الذي تتوقعه هذه الأطر من موظفيكم، وكيف تبنون برنامجًا يصمد أمام التدقيق ويقوّي موظفيكم بشكل قابل للقياس.

القطاع المالي: أقصر طريق من الإقناع إلى الربح

التصيد موجود في كل قطاع. لكن في نهايته في القطاع المالي مخرج نقدي جاهز. يقول تقرير Verizon لتحقيقات اختراق البيانات 2026 إن 62% من الاختراقات تضمّنت عنصرًا بشريًا. ففي معظم القطاعات يبقى أمام المهاجم الذي اخترق موظفًا سؤال التحويل إلى مال: بيانات تُباع، أو فدية تُفاوَض. أما في البنك أو شركة التأمين أو وحدة الخزينة في أي شركة، فالشخص الذي يُتلاعب به هو نفسه خطوة التحويل إلى مال. اعتمدوا التحويل، غيّروا حساب المورّد، أطلقوا دفعة الرواتب: الهجوم والربح عملية واحدة.

والأرقام تعكس هذا التركّز في القيمة:

والذرائع تزداد إقناعًا. تواجه الفرق المالية اليوم هجمات صوت وفيديو بالتزييف العميق مبنية حول صفقات حية. محاولة الاحتيال على Ferrari فشلت لأن أحد التنفيذيين سأل سؤال تحقق لم يستطع الصوت المستنسخ الإجابة عنه. ووجدت شبكة مكافحة الجرائم المالية الأمريكية FinCEN الاتجاه جادًا بما يكفي لتصدر تنبيهًا خاصًا باحتيال التزييف العميق الذي يستهدف المؤسسات المالية. والمفارقة أن القطاع المالي ناضج بمعظم المقاييس التقنية، والمهاجمون يعرفون ذلك. حين يكون المحيط قويًا، يتصلون بمكتب الخزينة.

في الخدمات المالية لا تقف الطبقة البشرية بجانب الأصول الثمينة؛ إنها تحمل المفاتيح وتنفّذ العملية بنفسها. ولهذا لم يعد التدقيق ينظر إلى جدران الحماية وحدها، بل إلى موظفيكم.

ماذا يطلب إطار ساما والضوابط الأساسية من موظفيكم؟

قرأنا الوثيقتين عبر مقتطفات من ملفاتهما الرسمية. لذلك نذكر هنا أرقام الأقسام والضوابط ونلخّص مضمونها، ولا نقدّم أي جملة على أنها النص الرسمي؛ وللنص المعتمد ارجعوا إلى الوثيقة نفسها.

إطار ساما للأمن السيبراني (الإصدار 1.0، مايو 2017) ينطبق على المؤسسات الخاضعة لإشراف البنك المركزي السعودي، ويرسم في القسم 3.1.6 برنامج توعية من عدة طبقات:

• الجمهور: الموظفون، والأطراف الثالثة، والعملاء.
• الإيقاع: يُنفَّذ دوريًا وعلى مدار العام، لا مرة واحدة في السنة.
• المحتوى: دور الموظف ومسؤولياته، والتهديدات الناشئة، ويذكر الإطار التصيد الموجّه واستهداف كبار التنفيذيين (whaling) مثالين.
• القياس: يُقيَّم البرنامج لقياس فعالية أنشطته واقتراح تحسينات.

ويضيف القسم 3.1.7 تدريبًا متخصصًا للأدوار الرئيسية في المؤسسة، ولموظفي وظيفة الأمن السيبراني، ولمن يطوّرون الأصول المعلوماتية أو يقيّمون المخاطر.

أما الضوابط الأساسية للأمن السيبراني ECC-2:2024 الصادرة عن الهيئة الوطنية للأمن السيبراني، فتخصص المجال الفرعي 1-10 لبرنامج التوعية والتدريب: برنامج متعدد القنوات يُطوَّر ويُعتمد دوريًا ويُطبَّق وتُراجَع تطبيقاته، ويشمل في الضابط 1-10-3-1 التعامل الآمن مع خدمات البريد الإلكتروني ولا سيما رسائل التصيد، وفي 1-10-4 تدريبًا متخصصًا للمناصب ذات الصلة المباشرة بالأمن السيبراني والمناصب التنفيذية والإشرافية.

الكلمة المفتاحية في الإطارين هي القياس. أن تقول بعد حادثة «كنا نقدّم تدريبًا سنويًا» دفاع ضعيف، خاصةً إن كان مشغّل المدفوعات الذي وقع في الفخ قد شاهد آخر وحدة تعليم إلكتروني عامة قبل أحد عشر شهرًا ولم يتدرّب قط على سيناريو تغيير حساب المورّد.

وللمجموعات العاملة في الاتحاد الأوروبي طبقة إضافية: لائحة DORA للمرونة التشغيلية الرقمية جعلت التدريب على التوعية التزامًا مباشرًا منذ 17 يناير 2025. والطريق العملي للمجموعات التي ترفع تقاريرها لأكثر من جهة رقابية هو برنامج واحد مبني على المعيار الأشد.

سيناريوهات الهجوم الخاصة بالقطاع المالي

المحتوى التوعوي العام يغفل السيناريوهات التي تفرغ الحسابات فعلًا. يجب أن يُبنى برنامج القطاع المالي حول الذرائع التي يستخدمها المهاجمون ضد الأدوار التي تحرّك الأموال:

• تغيير بيانات الحساب المصرفي للمورّد. أكثر أنواع اختراق البريد للأعمال ربحًا: مورّد «يحدّث» حسابه قبيل دفعة كبيرة مجدولة. الدفاع إجرائي: التأكيد بمعاودة الاتصال على الرقم المسجّل لا على الرقم الوارد في الطلب. دليلنا للدفاع ضد اختراق البريد للأعمال يشرح الضوابط كاملة.
• طلبات الدفع من التنفيذيين. عاجلة وسرّية ومرتبطة بموعد نهائي، وتأتي بشكل متزايد لا بالبريد بل في مكالمة حية بصوت أو صورة مستنسخة.
• ذرائع الدفع المُصرَّح به. لنمط الاحتيال على الأفراد توأم مؤسسي: يُقنَع الموظف أو العميل بأن يبدأ التحويل بنفسه، ما يلغي معظم خيارات الاسترداد التقنية (احتيال الدفع المُصرَّح به).
• مكتب المساعدة وإعادة ضبط المصادقة متعددة العوامل. الاتصال بتقنية المعلومات بادّعاء أنك موظف عمليات مُقفل حسابه، ثم الاستيلاء على وصوله. هذا المسار يعمل في البنوك أيضًا.
• انتحال الهوية أمام العملاء. عملاؤكم يُستهدفون باسم علامتكم. وتدريب الموظفين على ملاحظة التعليمات غير المعتادة في حسابات العملاء متوقع أكثر فأكثر؛ ويذكر إطار ساما العملاء صراحةً ضمن جمهور التوعية.

سيناريو للتوضيح (والأسماء وهمية): قبل يومين من دفعة نهاية الشهر تصل رسالة من مورّد اسمه «شركة الواحة للتوريدات» تبلغ عن رقم IBAN جديد «بسبب تغيير البنك». النطاق المرسِل alwaha-supplies.example يختلف بحرف واحد عن النطاق الحقيقي. وبعد الرسالة مباشرةً يتصل شخص يقدّم نفسه مديرًا للحسابات لدى المورّد ويؤكد أن الأمر عاجل. والرد الذي يجب أن يغرسه البرنامج جملة واحدة: قبل أن تتحرك القيمة، تحقّق عبر قناة مسجّلة مسبقًا.

بناء برنامج مخاطر بشرية جاهز للتدقيق

1. قسّموا الموظفين بحسب صلاحية الدفع. حدّدوا من يستطيع تحريك الأموال أو اعتمادها أو توجيهها: الخزينة، والحسابات الدائنة، والرواتب، وموظفو خدمة العملاء، والتنفيذيون ومساعدوهم. عاملوا هذه المجموعة كفئة عالية المخاطر بسيناريوهات أصعب واختبارات أكثر تكرارًا. وHuman Risk Score لكل دور وفريق يحوّل هذا من تمرين على الهيكل التنظيمي إلى خط أساس قابل للقياس يستطيع المدقق فحصه.

2. تدرّبوا على سيناريوهات المال لا على البريد وحده. مع ارتفاع التصيد الصوتي 442% وانتشار فخاخ QR والرسائل النصية، يغفل اختبار البريد وحده القنوات التي يُهاجَم منها القطاع المالي فعلًا. أجروا محاكاة تصيد متعددة القنوات تشمل تغيير حساب المورّد والطلب العاجل من التنفيذي ومكالمات إعادة ضبط المصادقة. وهذا ما تعنيه الضوابط الأساسية ببرنامج متعدد القنوات، وما يعنيه إطار ساما ببرنامج دوري على مدار العام.

3. أسندوا تدريبًا موجّهًا تلقائيًا لمن يقع في الفخ. الموظف الذي يقع في المحاكاة يتلقى تدريبًا قصيرًا موجّهًا على القناة والسيناريو نفسيهما، ثم يُعاد اختباره. إسناد الوحدة السنوية نفسها للجميع لا يحقق هذه الخطوة.

4. اجعلوا التحقق سلوكًا محميًا. ما أنقذ Ferrari لم يكن تقنيًا بل ثقافيًا: شعر موظف بالأمان وهو يسائل «رئيسه التنفيذي». انشروا إجراء التحقق، واجعلوا الإدارة تقول صراحةً إن أي طلب مشروع لن يعاقب من يعاود الاتصال، واختبروا هل يصمد الإجراء أمام ذريعة مقنعة.

5. أدخلوا مجلس الإدارة في البرنامج. يذكر الإطاران الأدوار الرئيسية والمناصب التنفيذية صراحةً؛ وقد تكون سجلات إنجازهم أول ما يُطلب في التدقيق. وجلسات مجلس الإدارة تمنح بقية البرنامج رعاية أيضًا.

6. احتفظوا بالدليل باستمرار. الإيقاع، والمحتوى المرتبط بالأدوار، ونتائج المحاكاة، وخطوط الاتجاه. من منظور التدقيق البرنامج نفسه ضابط يُفحص؛ والتوثيق ليس عبئًا إضافيًا، بل هو المُخرَج نفسه. ويطلب القسم 3.1.6 من إطار ساما تقييم الفعالية صراحةً، أي أن القياس جزء من المطلوب.

يعمل القطاع المالي أصلًا بالمخاطر المقيسة: لمخاطر الائتمان والسوق والتشغيل كلٌّ مالكٌ ونموذجٌ وخط اتجاه. وإدارة المخاطر البشرية تنقل الانضباط نفسه إلى الطبقة التي تبدأ منها معظم الهجمات اليوم: الأشخاص الذين يحرّكون الأموال. الجهات الرقابية جعلت التوعية مطلوبة. أما جعلها فعّالة، أي قابلة للقياس ومبنية على الأدوار ومتدرّبًا عليها أمام الذرائع التي تفرغ الحسابات فعلًا، فهو الجزء الذي يحمي الميزانية. وللتفاصيل الخاصة بالقطاع انظروا صفحة الخدمات المالية.