ما إدارة المخاطر البشرية؟ دليل عملي لفرق الأمن

تتحسن جدران الحماية وحلول EDR وبوابات البريد الإلكتروني كل عام، وقد ردّ المهاجمون بالالتفاف حولها. يقول تقرير Verizon لتحقيقات اختراق البيانات 2026 إن 62% من الاختراقات تضمّنت عنصرًا بشريًا: شخص نقر، أو شخص خُدع، أو شخص أعاد استخدام كلمة المرور نفسها. لا تحل التقنية وحدها هذه المشكلة، ولا يحلها فيديو امتثال يُشاهَد مرة في السنة.

إدارة المخاطر البشرية (Human Risk Management) هي التخصص الذي يطبّق على الناس النهج الذي تطبّقه فرق الأمن أصلًا على البنية التحتية: تتعامل مع الموظفين على أنهم سطح هجوم يمكن قياسه وتحويله إلى درجة وتقويته باستمرار وبالاستناد إلى البيانات.

مشكلة نهج التوعية التقليدي

ما زالت معظم المؤسسات تدير التوعية بالأمن السيبراني كما كانت قبل عشر سنوات: وحدة تدريبية سنوية، واختبار تصيد كل ثلاثة أشهر، وتقرير إنجاز للمدقق. ثلاث مشكلات بنيوية تجعل هذا النموذج غير فعّال:

1. يقيس النشاط لا النتيجة. نسبة الإنجاز تخبرك من شاهد الفيديو، لا من سيرسل غدًا حوالة إلى محتال.
2. يختبر قناة واحدة. انتقل المهاجمون منذ سنوات إلى المكالمات الصوتية والرسائل النصية ورموز QR والصوت المزيّف. ووفق تقرير CrowdStrike العالمي للتهديدات 2025 ارتفعت هجمات التصيد الصوتي (vishing) بنسبة 442% من النصف الأول إلى النصف الثاني من 2024. البرنامج الذي يختبر البريد وحده لا يرى معظم سطح الهجوم اليوم.
3. لا ينتج إشارة مخاطر. معدل نقر يُقاس بمنطق نجح/رسب لا يمكن مقارنته بين الأقسام، ولا تتبعه عبر الزمن، ولا عرضه على مجلس الإدارة إلى جانب مؤشرات المخاطر الأخرى.

وهناك مشكلة المحتوى أيضًا: تُظهر الأبحاث أن التدريب السنوي على الامتثال وحده لا يغيّر السلوك. فدراسة استمرت ثمانية أشهر مع أكثر من 19,500 موظف في UC San Diego Health، ونُشرت في IEEE Symposium on Security & Privacy 2025 (Ho وآخرون)، لم تجد علاقة ذات دلالة بين إكمال التدريب السنوي مؤخرًا والوقوع في محاكاة التصيد. ونتناول كم مرة يجب تقديم التدريب في مقال مستقل.

ماذا تعني إدارة المخاطر البشرية فعلًا؟

تسدّ إدارة المخاطر البشرية هذه الفجوة بدورة مستمرة، هي الدورة نفسها التي يستخدمها برنامج إدارة الثغرات لديكم، لكنها مطبّقة على الناس:

1. حاكوا الهجمات الحقيقية في كل قناة

بدل إرسال رسالة نموذجية واحدة للجميع، تُجرى محاكاة واقعية في مواعيد عشوائية عبر القنوات التي يستخدمها المهاجمون فعلًا: التصيد بالبريد، والتصيد بالرسائل النصية، والتصيد الصوتي، ومكالمات التزييف العميق، وفخاخ واتساب، ورموز QR، والإغراء بوحدات USB، واحتيال معاودة الاتصال. وتعدّ تقارير ENISA لمشهد التهديدات الهندسة الاجتماعية من أبرز التهديدات في أوروبا، لأنها تغيّر قناتها أسرع مما يتكيف الدفاع.

2. قيسوا كيف يتصرف الناس فعلًا

كل محاكاة تنتج بيانات سلوكية: من تفاعل، ومن تجاهل، ومن أبلغ. والمقياس الأهم هو الإبلاغ. فالموظفون الذين يبلّغون بسرعة عن الاتصال المشبوه يتحولون من ثغرة في مؤسستكم إلى شبكة كشف.

3. حوّلوا المخاطر إلى درجة واحدة

تُجمَع البيانات في Human Risk Score على مستوى الموظف والقسم والمؤسسة. هذا الرقم الواحد هو ما يجعل المخاطر البشرية قابلة للإدارة: يمكن تتبعه عبر الزمن، ومقارنته، ورفعه إلى الإدارة إلى جانب الالتزام بالتحديثات وتغطية الأجهزة الطرفية. وينشر NOUSEC منهجية هذه الدرجة: سبعة مكوّنات، ووزن كل منها، والإبلاغ بوصفه المكوّن الوحيد الذي يخفض الدرجة.

4. وجّهوا التدريب حيث تشير البيانات فقط

يذهب التدريب المصغّر التكيفي إلى من يحتاجه، في القناة التي يتعثر فيها، ولحظة الخطأ؛ لا إلى الشركة كلها وفق جدول اعتباطي. هذا النهج يُبقي دقائق التدريب قليلة وتغيير السلوك كبيرًا.

خلاصة التحول في جملة: برامج التوعية تعدّ من أنهى التدريب؛ أما إدارة المخاطر البشرية فتقيس من سيقع في الهجوم الحقيقي التالي، وتعالج ذلك.

ولمعرفة هل ينجح البرنامج تفيد النظرة إلى المعدلات المنشورة. يذكر تقرير KnowBe4 لمقارنة التصيد حسب القطاع 2026 (42 مليون محاكاة أُرسلت إلى 14.8 مليون مستخدم في 64,000 مؤسسة) أن المؤسسات غير المدرّبة تبدأ بنسبة قابلية للتصيد تبلغ 33.2%، تنخفض إلى 20.1% بعد 90 يومًا من التدريب والمحاكاة معًا، وإلى 4.2% بعد اثني عشر شهرًا. هذه بيانات مورّد عن عملائه، لكنها تطرح السؤال الصحيح: لا يمكنكم معرفة هل تحسّن شيء لا تقيسونه.

التدريب على التوعية وإدارة المخاطر البشرية جنبًا إلى جنب

ليسا متنافسين؛ فإدارة المخاطر البشرية تضع التدريب على التوعية داخل دورة بيانات. وأوضح ما يبيّن الفرق هو السؤال الذي يجيب عنه كل منهما:

أهم صف في الجدول هو «السؤال الأساسي». فقد تبلغ نسبة الإنجاز مئة بالمئة وتبقى المؤسسة غير مستعدة لمكالمة التصيد الصوتي التالية. إدارة المخاطر البشرية تجعل المسافة بين الأمرين قابلة للقياس: أي قسم يتعثر في أي قناة، وهل ترسّخت عادة الإبلاغ، وهل غيّر التدريب المقدَّم السلوك فعلًا.

وهذا القياس يجعل التدريب نفسه صادقًا. فحين ترون هل خفّضت وحدةٌ معدل النقر، تستطيعون ترك المحتوى الذي لا ينجح وتخصيص الموارد لما ينجح. وفي برنامج لا يستطيع إلا أن يقول «قُدّم التدريب» لا يمكن هذا التمييز.

لماذا يزداد الأمر أهمية في 2026؟

أزال الذكاء الاصطناعي التوليدي آخر احتكاك في الهندسة الاجتماعية. يذكر تقرير Verizon لعام 2026 أن المهاجم الوسطي يستخدم الذكاء الاصطناعي الآن في 15 تقنية هجوم موثّقة. وتتوقع Deloitte أن تبلغ خسائر الاحتيال المدعوم بالتزييف العميق 40 مليار دولار بحلول 2027؛ وهذا توقّع لا قياس. الفخاخ المكتوبة بإتقان بكل لغة، وأصوات التنفيذيين المستنسخة، والحملات الآلية متعددة القنوات تعني أن عصر «التقط الخطأ الإملائي» انتهى. ولم تعد ركاكة العربية في رسالة التصيد مؤشرًا موثوقًا هي الأخرى.

والجهات الرقابية ترفع السقف أيضًا. يتعامل معيار ISO/IEC 27001 مع التوعية والتدريب (البند 7.3 والضابط 6.3 في الملحق A) بوصفهما جزءًا من نظام الإدارة. وفي المملكة العربية السعودية تخصص الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني المجال الفرعي 1-10 لبرنامج التوعية والتدريب، ويشمل الضابط 1-10-3-1 التعامل الآمن مع رسائل التصيد؛ ويطلب إطار ساما للأمن السيبراني في القسم 3.1.6 برنامج توعية دوريًا يُقيَّم لقياس فعاليته. للتفاصيل انظروا مقالنا عن المخاطر البشرية في الخدمات المالية. وللمؤسسات العاملة في الاتحاد الأوروبي تتوقع GDPR وNIS2 وDORA تدريبًا قائمًا على المخاطر يمكن إثباته؛ و«القائم على المخاطر» هو بالضبط ما لا تستطيع شهادة الإنجاز إظهاره. كما توجّه أطر مثل NIST SP 800-50r1 المؤسسات نحو نتائج برامج قابلة للقياس.

تنبيه عن البيانات الشخصية: بيانات المحاكاة والدرجات بيانات موظفين. عند تصميم البرنامج قيّموا مع مستشاركم القانوني إبلاغ الموظفين مسبقًا، والتناسب، وتقييد الوصول إلى البيانات، وفق أنظمة حماية البيانات المطبقة عليكم.

كيف تبدأون برنامج إدارة المخاطر البشرية؟

لا يلزم فعل كل شيء دفعة واحدة. البداية العملية تبدو هكذا:

1. قيسوا خط الأساس بهدوء. نفّذوا أول موجة محاكاة متعددة القنوات دون إعلان مسبق للحصول على درجة بداية صادقة.
2. احسبوا الدرجات وقسّموا الفئات. حدّدوا الأقسام والأدوار الأعلى مخاطر. الفرق المالية ومساعدو التنفيذيين يتصدرون القائمة عادةً في سيناريوهات الذرائع ومحاولات التزييف العميق.
3. أصلحوا الإبلاغ أولًا. اجعلوا «أبلغ» نقرة واحدة، وكرّموا المبلّغين علنًا. معدل الإبلاغ يتحسن أسرع من معدل النقر ويؤتي ثماره في الحوادث الحقيقية. ومقالنا عن ثقافة الإبلاغ يفصّل هذه الخطوة.
4. أتمتوا الدورة. انتقلوا من الحملات إلى أخذ العينات المستمر، فتتحول Human Risk Score إلى مقياس شهري مستقر.
5. ارفعوا التقارير إلى الأعلى. ضعوا الدرجة في اللوحة نفسها مع مؤشرات المخاطر الأخرى. حين يرى مجلس الإدارة المخاطر البشرية تنخفض، يدافع البرنامج عن ميزانيته بنفسه.

أين يقع NOUSEC؟

بُني NOUSEC لهذه الدورة تحديدًا: يجري محاكاة التصيد عبر 8 قنوات منها الصوت بالتزييف العميق، ويقيس السلوك الفعلي للموظفين، ويُسند تدريبًا تكيفيًا على التوعية لمن يقع في الفخ، ويجمع النتائج في Human Risk Score واحدة يستطيع مجلس إدارتكم قراءتها. إن أردتم رؤية درجة مؤسستكم، اطلبوا عرضًا توضيحيًا.