درجة المخاطر البشرية: كيف تُقاس مخاطر الأمن الناتجة عن الموظفين؟
دليل تطبيقي لبناء درجة المخاطر البشرية: ما الإشارات المستخدمة، وكيف تُرجَّح، وكيف تتحول مخاطر الموظفين إلى مقياس يستطيع مجلس الإدارة قراءته.
تستطيع فرق الأمن أن تذكر من الذاكرة زمن تطبيق التحديثات، وتغطية EDR، ودرجة CVSS لكل ثغرة معلّقة. لكن اسألوا معظمها عن حجم المخاطر الجالسة على المكتب الرابع في الإدارة المالية، ولن تجدوا لديها رقمًا. ومع ذلك يقول تقرير Verizon لتحقيقات اختراق البيانات 2026 (DBIR) إن العنصر البشري أدّى دورًا في 62% من الاختراقات.
وُجدت درجة المخاطر البشرية لمعالجة هذا الخلل تحديدًا: رقم واحد يُحدَّث باستمرار ويفعل للناس ما يفعله CVSS للبرمجيات. فهي تجعل المخاطر قابلة للمقارنة والمتابعة والعمل عليها. نتناول في هذا الدليل ما يجب أن يدخل في الدرجة، وكيف تُبنى درجة تصمد عند احتكاكها بالواقع، والأخطاء التي تحوّل مقياسًا مفيدًا إلى زينة.
لماذا نحوّل المخاطر البشرية إلى رقم؟
ثلاثة أسباب، مرتبة حسب الأهمية.
ترتيب الأولويات. لا يستطيع أي فريق أمن أن يوجّه كل شخص على حدة. وقد أظهرت دراسة نُشرت في IEEE S&P 2025 وشملت 19,500 موظف أن التدريب السنوي المقدَّم للجميع في وقت واحد لا يكاد يغيّر السلوك. الذي ينجح هو التدخل الموجّه في وقته. ولكي توجّهوا يجب أن تعرفوا من توجّهون؛ والدرجة تخبركم بذلك.
التواصل. مجلس الإدارة لا يقرأ تقارير النقر في التصيد، بل يقرأ خطوط الاتجاه. درجة تنخفض من 68 إلى 41 خلال فصلين قصةٌ يستطيع مسؤول أمن المعلومات أن يرويها في شريحة واحدة، وتحوّل عمل التوعية من بند تكلفة إلى برنامج لخفض المخاطر يُقاس. وهذه هي الحجة الأساسية في تحليلنا عن العائد على الاستثمار في التدريب على التوعية.
الاستراتيجية. تتوقع Gartner أن يتبنى نصف مسؤولي أمن المعلومات في المؤسسات الكبرى ممارسات التصميم الأمني المرتكز على الإنسان بحلول 2027. ويعرّف NIST SP 800-50r1 التوعية لا بوصفها فعالية سنوية بل برنامجًا مستمرًا يُقاس. والاتجاهان كلاهما يفترضان القياس. لا يمكنكم إدارة برنامج مرتكز على الإنسان بالحدس.
درجة المخاطر البشرية ليست علامة تعطونها للموظفين. إنها نظام لترتيب الأولويات تعطونه لفريق الأمن.
ماذا يجب أن تتضمن الدرجة؟
تجمع الدرجة القابلة للدفاع عنها بُعدين: السلوك (ما يفعله الناس فعلًا) والتعرض (ما يحدث إن أخطأوا). الموظف الذي ينقر على كل فخ يصادفه لكنه لا يصل إلى أي شيء حساس مشكلة أصغر من مسؤول نطاق ينقر بين حين وآخر.
| نوع الإشارة | أمثلة على المدخلات | لماذا تهم؟ |
|---|---|---|
| السلوك في المحاكاة | معدل الفشل في محاكاة التصيد، ومعدل الإبلاغ، والوقت حتى الإبلاغ | سلوك مرصود مباشرةً في ظروف واقعية |
| السلوك في الواقع | رسائل تصيد حقيقية أُبلغ عنها، وحوادث برمجيات خبيثة، ومخالفات للسياسات | الواقع يؤكد ما تنبأت به المحاكاة |
| نظافة بيانات الدخول | تكرار كلمة المرور في أكثر من مكان، والظهور في تسريبات، واستخدام المصادقة متعددة العوامل | بيانات الدخول هي الباب المفضل للمهاجم |
| المشاركة في التدريب | الإكمال، وحداثة التدريب، ونتائج اختبارات المعرفة | ضعيفة وحدها، ذات معنى مع غيرها |
| التعرض والصلاحيات | صلاحيات المسؤول، وصلاحية الدفع، والوصول إلى البيانات، والملف العام | تحوّل الاحتمال إلى أثر محتمل |
| الاستهداف | عدد الهجمات الحقيقية التي تصل إلى الشخص ومدى تطورها | المهاجمون يشغّلون نماذج استهدافهم أصلًا |
ملاحظتان تصميميتان على هذا الجدول. الأولى: الصعوبة مهمة. النقر على فخ فجّ والنقر على رسالة تصيد موجّه متقنة ليسا الإشارة نفسها. طُوّر مقياس NIST Phish Scale تحديدًا لتقييم مدى صعوبة اكتشاف كل رسالة تصيد؛ فرجّحوا حالات الفشل (والإبلاغ) بهذا التقييم. الثانية: الإبلاغ إشارة إيجابية ويجب أن يخفض المخاطر بشكل ظاهر. الفريق الذي ينقر أحيانًا لكنه يبلّغ خلال دقائق أكثر أمانًا تشغيليًا من فريق لا ينقر ولا يبلّغ أبدًا؛ لأن فرصة فريق الأمن لإيقاف الرسائل التي تتجاوز المرشحات تولد من الإبلاغ.
بناء الدرجة في خمس خطوات
1. حدّدوا الوحدة والمقياس. قيّموا الأفراد، لكن اتخذوا الإجراء على المستوى المجمّع: الفريق، والقسم، والموقع. مقياس من 0 إلى 100 بفئات مسمّاة أسهل في الشرح بكثير من الاحتمالات الخام. قرّروا منذ البداية هل الدرجة الأعلى تعني مخاطر أعلى، ولا تغيّروا ذلك أبدًا.
2. ابدأوا بالإشارات المتاحة لديكم. تستطيع معظم المؤسسات حساب النسخة الأولى من نتائج محاكاة التصيد وسجلات التدريب وتسجيل المصادقة متعددة العوامل ورصد التسريبات وحدها. لا تنتظروا قياسًا كاملًا. درجة مبنية على أربع إشارات صادقة خير من شريحة خارطة طريق تعد بأربع عشرة إشارة.
3. رجّحوا السلوك على المواقف، والحديث على القديم. الأفعال المرصودة (نقر، أبلغ، كرّر كلمة المرور) يجب أن تتغلب على إجابات الاستبيانات. طبّقوا وزنًا يتناقص مع الوقت: أثر التدريب يضعف خلال أشهر، ولذلك يجب أن يزن خطأ الأسبوع الماضي أكثر بكثير من خطأ العام الماضي. ويجب أن تظهر التحسينات أيضًا بسرعة كافية ليشعر الموظفون بأن جهودهم تنعكس على الدرجة.
4. عايروا الدرجة على الواقع. الدرجة تنبؤ؛ فاختبروها كما يُختبر التنبؤ. هل يقابل المستخدمون ذوو الدرجات المرتفعة فعلًا حوادث أكثر، واكتشافات برمجيات خبيثة أكثر، ومحاولات تصيد حقيقية أكثر تستهدفهم؟ إن لم تفسّر الشريحة العليا من الدرجة بعد بضعة فصول حصة غير متناسبة من الحوادث الحقيقية، فأعيدوا النظر في الأوزان. هذا ما يفصل نموذج المخاطر عن مقياس الاستعراض.
5. اربطوا الدرجة بالتدخل لا بالعقوبة. يجب أن يكون مخرج الدرجة إجراءً: يُدرج المستخدمون الذين ترتفع مخاطرهم تلقائيًا في محاكاة أكثر تكرارًا وأصعب، وفي تدريبات قصيرة موجّهة؛ وتُشدَّد سياسات الوصول المشروط لمن هم في المستوى الحرج ولديهم صلاحيات مميزة. أما ما يجب ألا تطلقه أبدًا فهو الإجراء التأديبي. فلحظة استخدام الدرجة للعقاب يتوقف الموظفون عن الإبلاغ، وتنهار جودة بياناتكم، وتبدأ الدرجة في الكذب عليكم.
مثال على منهجية منشورة: أوزان NOUSEC
شرح المنهجية سهل؛ أما الإفصاح عن الأوزان فيتطلب جرأة. لذلك ننشر حساب درجتنا علنًا. تتراوح NOUSEC Human Risk Score بين 0 و100 وتتكون من سبعة مكوّنات:
| المكوّن | الوزن | المصدر |
|---|---|---|
| سلوك التصيّد | 30% | الاستجابات للمحاكاة عبر 8 قنوات |
| الانضباط في التدريب | 25% | إكمال التدريب المصغّر والمشاركة فيه |
| الطرفيات وتحليل التهديدات | 15% | إشارات من أدوات الأمن المدمجة |
| نظافة الهوية | 10% | تكامل الدليل (المصادقة متعددة العوامل، كلمات المرور، الحسابات) |
| حماية البيانات | 10% | إشارات من أدوات منع تسرب البيانات |
| التعرّض في الويب المظلم | 10% | قواعد بيانات التسريبات ومسح الويب المظلم |
| مساهمة الإبلاغ | −10% | الإبلاغ عن الرسائل المشبوهة؛ المكوّن الوحيد الذي يخفض الدرجة |
والفئات هي: بطل 0–25، ومتعلّم 26–50، وفي خطر 51–74، وحرج 75–100.
أخطاء تُفشل برامج الدرجات
فخ الإشارة الواحدة: الدرجة القائمة على معدل النقر وحده قد تتأرجح 30 نقطة بسبب قالب واحد محظوظ أو سيئ الحظ. فخ الصندوق المغلق: الدرجة التي لا يستطيع أحد شرحها تنهار عند أول اعتراض؛ يجب أن تكون كل درجة تُعرض على موظف قابلة للتفكيك إلى مكوّناتها عند الطلب. فخ جدول الترتيب: نشر قائمة «أخطر الموظفين» يحوّل أداة أمنية إلى مشكلة معنويات. شاركوا اتجاهات مستوى الفريق على نطاق واسع، والتفاصيل الفردية مع دائرة ضيقة.
يجب أن تكون الخصوصية جزءًا من التصميم لا ملاحظة تُضاف لاحقًا. وهذا يعني إبلاغ الموظفين بما يُقاس ولأي غرض، وقصر البيانات على الغرض، وإشراك الإدارة القانونية منذ البداية، وفق أنظمة حماية البيانات المطبقة عليكم؛ وإن كان لديكم موظفون في الاتحاد الأوروبي فإن GDPR يدخل في الصورة أيضًا. والموقف الأسهل في الدفاع عنه واحد في كل إطار ويطابق القاعدة أعلاه: الدرجة تُربط بالتدخل لا بالعقوبة.
كيف تعرضون الدرجة على مجلس الإدارة؟
يطرح مجلس الإدارة الأسئلة الثلاثة نفسها في كل اجتماع، والدرجة المبنية جيدًا تجيب عنها كلها في صفحة واحدة.
«أين نحن اليوم؟» درجة حالية واحدة للمؤسسة، وتفصيل بحسب القسم يُظهر أين تتركز المخاطر. في معظم المؤسسات يظهر التركز في أماكن متوقعة: الفرق المالية ذات صلاحية الدفع، ومساعدو التنفيذيين، والموظفون الجدد. لا يكفي عرض الرقم؛ اعرضوا أيضًا المكوّن الذي رفعه.
«هل نتحسن؟» خط اتجاه شهري. والنقطة التي يجب الانتباه إليها هنا هي الإبلاغ عن النتيجة لا النشاط. «أُكمل 4,000 تدريب هذا الفصل» جملة نشاط؛ «انتقلت درجة الإدارة المالية من فئة في خطر إلى فئة متعلّم» جملة نتيجة. والمجلس يسأل عن الثانية.
«أين نقف مقارنة بغيرنا؟» مقارنة بالقطاع. استخدموا هنا فقط بيانات مقارنة معروفة المصدر والإصدار والسنة؛ فـ«متوسط القطاع» الذي لا يمكن إظهار مصدره يُذهب مصداقيتكم عند أول سؤال.
توصية أخيرة: اربطوا كل تغيّر في الدرجة بإجراء. جملة «ارتفعت الدرجة، فأُسندت إلى هذا الفريق هذه المحاكاة وهذا التدريب، وبعد شهرين وصلت إلى هنا» تُظهر المخاطر البشرية بندَ مخاطر قابلًا للإدارة.
من الدرجة إلى البرنامج
درجة المخاطر البشرية هي النسيج الرابط في برنامج إدارة المخاطر البشرية: تغذي بيانات المحاكاة والواقع الدرجة، وتوجّه الدرجة التدريب التكيفي والضوابط، وينعكس تغيّر السلوك الناتج على الدرجة من جديد. وحين تشغّلون هذه الدورة باستمرار تحصلون على ما لم تقدمه برامج التوعية الثابتة قط: جواب قابل للعرض على مجلس الإدارة وقابل للدحض عن سؤال «هل تنخفض مخاطرنا البشرية؟».
وإن أردتم رؤية سلوك المحاكاة ونظافة بيانات الدخول وإشارات التدريب في درجة واحدة تُحسب باستمرار، فقد صُمّمت NOUSEC Human Risk Score لهذا تحديدًا.
الأسئلة الشائعة
ما درجة المخاطر البشرية؟
درجة المخاطر البشرية مقياس واحد يُحدَّث باستمرار ويُظهر احتمال أن يتسبب شخص أو فريق أو مؤسسة في حادثة أمنية. تجمع إشارات سلوكية مثل نتائج محاكاة التصيد ومعدل الإبلاغ ونظافة بيانات الدخول والمشاركة في التدريب، مع عوامل التعرض مثل الصلاحيات وعدد مرات الاستهداف. فيستطيع فريق الأمن ترتيب أولويات المخاطر البشرية كما يرتّب أولويات الثغرات.
ما الإشارات التي يجب أن تغذي الدرجة؟
ابدأوا بالإشارات الموضوعية التي يمكن قياسها مرارًا: معدلات الفشل والإبلاغ في المحاكاة، والإبلاغ عن رسائل تصيد حقيقية، وظهور بيانات الدخول في تسريبات، واستخدام المصادقة متعددة العوامل، وإكمال التدريب وحداثته. ثم أضيفوا التعرض: الصلاحيات المميزة، والأدوار المواجهة للخارج، وعدد مرات استهداف الشخص فعليًا. إجابات الاستبيانات أضعف المدخلات ويجب ألا تهيمن على الدرجة أبدًا.
هل يثير تقييم الموظفين بالدرجات مسائل تتعلق بحماية البيانات؟
حين يُصمَّم بشكل صحيح لا يثير مشكلة عادةً، لكن يجب تصميمه مع إدارتكم القانونية. في التقييم لأغراض أمنية يجب إبلاغ الموظفين بوضوح بما يُقاس، وقصر البيانات على الغرض، وألّا تكون الدرجة الأساس الوحيد لقرارات آلية ضد الموظف. الدرجة للدعم والتدريب لا للتأديب؛ وهذا أسهل في الدفاع عنه قانونيًا ويحمي ثقافة الإبلاغ التي تحتاجونها.
كم مرة يجب تحديث درجة المخاطر البشرية؟
باستمرار، بقدر ما تسمح بياناتكم. تُظهر الأبحاث أن أثر التدريب يضعف خلال أشهر، ومن يستهدفه المهاجمون يتغيّر من أسبوع إلى آخر. الدرجة التي تُحدَّث فصليًا كشف علامات؛ أما الدرجة المحدّثة باستمرار فمقياس تشغيلي فعلي يمكنكم أن تطلقوا منه التدريب التكيفي لحظة ارتفاع المخاطر.
تحاكي NOUSEC الهجمات عبر 8 قنوات وتحوّل النتائج إلى رقم واحد يقرؤه مجلس إدارتكم.
احجز عرضًا توضيحيًا