NOUSEC منصة لإدارة المخاطر البشرية تستخدمها مؤسسات الخدمات المالية والرعاية الصحية والقطاع الحكومي والتصنيع والطاقة. المنصة واحدة في كل القطاعات: محاكاة تصيد عبر ثماني قنوات، وتدريب تكيفي يُتحقق من إنجازه على الخادم، ودرجة واحدة للمخاطر البشرية من 0 إلى 100 بمنهجية منشورة. ما يتغير بحسب القطاع هو الدليل المطلوب، والموظفون الذين يجب الوصول إليهم، والقناة التي يستخدمها المهاجم. تواجه البنوك في المملكة متطلبات إطار ساما للتوعية الدورية المقاسة الأثر واحتيال الدفع بالأصوات المستنسخة؛ وفي الرعاية الصحية يعادل الخطأ في البريد الإلكتروني الخداع خطورةً؛ والقطاع الحكومي صاحب أعلى نسبة عنصر بشري؛ أما التصنيع والطاقة فيحملان أعلى نسبة تورّط لطرف ثالث في تقرير Verizon DBIR.
ثلاثة أشياء تتغير. والمنصة ليست أحدها.
كل مورّد يبيعكم صفحة قطاع. إليكم ما يتغير فعلًا تحت صفحة القطاع.
ماذا يجب أن تثبتوا؟
البنك الخاضع لإشراف ساما يجب أن يثبت برنامج توعية دوريًا يُقاس أثره. والجهة الحكومية ترجع إلى الضوابط الأساسية للأمن السيبراني، والجهة الحاصلة على ISO 27001 إلى مدققها. تختلف الجهة الرقابية، لكن سؤال المدقق واحد: أين الدليل؟
من يجب أن تصلوا إليه؟
مكتب الخزينة يقرأ البريد طوال اليوم. ممرضة المناوبة الليلية لا تقرأه. وقد لا يملك مشغّل الآلة حاسوبًا خاصًا به أصلًا. الوصول مسألة صيغة محتوى وقناة قبل أن يكون مسألة تدريب.
ما الذي يستخدمه المهاجم فعلًا؟
التصيد ثاني أكثر وسائل الوصول الأولي شيوعًا في الخدمات المالية والرعاية الصحية والإدارة العامة. لكن الذريعة تختلف من قطاع لآخر، وفي التصنيع يأتي الدخول غالبًا من مورّد لا من صندوق بريد.
أربعة قطاعات جنبًا إلى جنب
كل رقم أدناه مأخوذ من قسم القطاع ذي الصلة في التقرير المذكور تحته. لا شيء منها متوسط أو مقرّب أو تقديري.
| التمويل والتأمين (52) | الرعاية الصحية (62) | الإدارة العامة (92) | التصنيع (31–33) | |
|---|---|---|---|---|
| اختراقات تتضمن عنصرًا بشريًا | 65% | 54% | 69% | 56% |
| التصيد كوسيلة وصول أولي | 20% | 14% | 20% | 13% |
| جهات فاعلة خارجية | 88% | 81% | 56% | 95% |
| جهات فاعلة داخلية | 12% | 19% | 44% | 5% |
| دافع التجسس | 3% | 2% | 33% | 15% |
| تورّط طرف ثالث | 34% | 32% | 36% | 61% |
| ما تغطيه أبرز ثلاثة أنماط | 81% من الاختراقات | 81% | 80% | 91% |
| الأنماط البشرية ضمن هذه الثلاثة | الهندسة الاجتماعية | الأخطاء المتنوعة، الهندسة الاجتماعية | الأخطاء المتنوعة، إساءة استخدام الصلاحيات | الهندسة الاجتماعية |
Verizon 2026 Data Breach Investigations Report، قسم القطاعات، ص 84[1]. مجموعة البيانات: أكثر من 31,000 حادثة وأكثر من 22,000 اختراق مؤكد في 145 دولة، من أكتوبر 2024 إلى نوفمبر 2025. تقرير DBIR عينة ملائمة من الحالات التي يشاركها المساهمون ولا يمثّل كل الاختراقات؛ أقسام القطاعات للترتيب لا للتنبؤ. تشير النقطة إلى أعلى قيمة في الصف، وليس الصفان الأخيران ترتيبًا. لا يتضمن التقرير تفصيلًا خاصًا بدول الخليج.
ابدأوا من حيث تبدأ جهتكم الرقابية.
الخدمات المالية
عملت ضوابطكم، لكن الصوت الذي وافق على الدفعة كان مستنسخًا. يطلب إطار ساما برنامج توعية دوريًا يتناول التصيد الموجّه ويُقاس أثره، وتدريبًا متخصصًا للأدوار الرئيسية.
الرعاية الصحية
في الرعاية الصحية يقف الخطأ جنبًا إلى جنب مع الهندسة الاجتماعية بين أبرز أنماط الاختراق. والطبيب بين مناوبتين لن يشاهد وحدة مدتها عشرون دقيقة حتى النهاية.
القطاع الحكومي
القطاع الأعلى بين الأربعة في نسبة العنصر البشري ونسبة الجهات الداخلية معًا. الصعب ليس تقديم التدريب، بل إثبات أنه قُدِّم.
التصنيع والطاقة
أعلى نسبة تورّط لطرف ثالث في تقرير DBIR، وذرائع تستهدف موظفي التشغيل مباشرة. ومعظم الموظفين المعرّضين للخطر لا يملكون حاسوبًا خاصًا بهم.
أي قاعدة تطلب التدريب صراحةً؟
أرقام الأقسام والضوابط أهم من الاختصارات. نذكر الرقم ونلخّص المضمون، ولا نقدّم أي جملة على أنها النص الرسمي.
برنامج توعية للموظفين والأطراف الثالثة والعملاء، يُنفَّذ دوريًا على مدار العام ويتناول التهديدات الناشئة كالتصيد الموجّه ويُقيَّم لقياس فعاليته؛ وتدريب متخصص للأدوار الرئيسية.
ينطبق على المؤسسات الخاضعة لإشراف البنك المركزي السعودي. نلخّص مضمون القسمين؛ للنص الرسمي ارجعوا إلى الإطار نفسه.
برنامج توعية متعدد القنوات يُطوَّر ويُعتمد ويُطبَّق ويُراجَع دوريًا، يشمل التعامل الآمن مع البريد ولا سيما رسائل التصيد (1-10-3-1)، وتدريبًا متخصصًا للمناصب ذات الصلة المباشرة بالأمن السيبراني (1-10-4).
تنطبق على الجهات الحكومية في المملكة وفق نطاق الهيئة الوطنية للأمن السيبراني. نذكر أرقام الضوابط ونلخّصها، ولا نقتبس نصها.
الكفاءة والوعي، وضابط «التوعية والتعليم والتدريب في أمن المعلومات».
يطلب مدققو الشهادة دليلًا على الفعالية، لا على الحضور.
عائلة ضوابط «التوعية والتدريب» في لائحة ضمان المعلومات الصادرة عن هيئة تنظيم الاتصالات والحكومة الرقمية.
نذكرها باسمها فقط؛ لم نتحقق من النسخة السارية حاليًا، لذلك لا نستشهد بضوابط بعينها.
مكتوبة للجهة الرقابية التي ترفعون إليها تقاريركم فعلًا.
المملكة العربية السعودية
إطار ساما للأمن السيبراني للمؤسسات المالية، والضوابط الأساسية للأمن السيبراني من الهيئة الوطنية للجهات الحكومية، مذكورة بأرقام الأقسام والضوابط. المحتوى بالعربية الفصحى وبصيغة رسمية.
الإمارات العربية المتحدة
لائحة ضمان المعلومات وعائلة ضوابط التوعية والتدريب M3 مذكورة باسمها. وISO 27001:2022 لمن يحمل الشهادة.
مناطق أخرى
NIS2 وGDPR للشركات التابعة في الاتحاد الأوروبي، وSOC 2 وISO 27701 قابلة للاختيار على مستوى المؤسسة. البيانات في فرانكفورت.
أسئلة
ما يسأله المشترون قبل اختيار صفحة القطاع.
كل رقم في هذه الصفحة ومن أين جاء
العنوان والناشر وسنة الإصدار والرابط وما استُخدم له كل مصدر. أي رقم غير مذكور هنا غير موجود في الصفحة.
آخر مراجعة: 21 أكتوبر 2026. تُراجع الاستشهادات التنظيمية مقابل النص الرسمي المنشور عند كل مراجعة.
- 2026 Data Breach Investigations ReportVerizon Business — قسم القطاعات، ص. 84 للمالية والتأمين (NAICS 52). البيانات: أكثر من 31,000 حادث، وأكثر من 22,000 اختراق مؤكد، و145 دولة، أكتوبر 2024 – نوفمبر 2025 · 2026استُخدم في: جدول مقارنة القطاعات وبطاقات القطاعات الأربع: العنصر البشري والتصيد والجهات الفاعلة والدوافع والأطراف الثالثة وأبرز ثلاثة أنماط لقطاعات التمويل والتأمين (52) والرعاية الصحية (62) والإدارة العامة (92) والتصنيع (31–33).
- Threat Landscape 2025ENISA — الإصدار 13، v1.2، 4,875 حادثًا، 1 يوليو 2024 – 30 يونيو 2025 · 2025استُخدم في: الإدارة العامة هي القطاع الأكثر استهدافًا في الاتحاد الأوروبي: 4,875 حادثة بين 1 يوليو 2024 و30 يونيو 2025.
- Directive (EU) 2022/2555 (NIS2)الجريدة الرسمية للاتحاد الأوروبي، OJ L 333، 27.12.2022 · 2022استُخدم في: للشركات التابعة العاملة في الاتحاد الأوروبي: المادتان 21(2)(g) و20.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022المنظمة الدولية للتوحيد القياسي (ISO) — الإصدار الثالث · 2022استُخدم في: البندان 7.2 و7.3، وعنوان الضابط 6.3 في الملحق A.
- Annual Report to Congress on Breaches of Unsecured Protected Health Information, CY2024وزارة الصحة والخدمات الإنسانية الأمريكية، مكتب الحقوق المدنية — ص. 8–14 · 2024استُخدم في: بطاقة الرعاية الصحية: 164 من أصل 663 اختراقًا كبيرًا وقعت عبر البريد الإلكتروني.
- Essential Cybersecurity Controls (ECC – 2 : 2024)الهيئة الوطنية للأمن السيبراني، المملكة العربية السعودية — المجال الفرعي 1-10، برنامج التوعية والتدريب بالأمن السيبراني · 2024استُخدم في: المجال الفرعي 1-10 (برنامج التوعية والتدريب بالأمن السيبراني)، بما فيه الضابط 1-10-3-1 عن رسائل التصيد.
- Cyber Security Framework, Version 1.0البنك المركزي السعودي (ساما) — القسمان 3.1.6 التوعية بالأمن السيبراني و3.1.7 التدريب على الأمن السيبراني، مايو 2017 · 2017استُخدم في: القسمان 3.1.6 (التوعية) و3.1.7 (التدريب) للمؤسسات الخاضعة لإشراف ساما.
- UAE Information Assurance Regulation, Version 1.1هيئة تنظيم الاتصالات والحكومة الرقمية، الإمارات العربية المتحدة — عائلة الضوابط M3، التوعية والتدريب، مارس 2020 · 2020استُخدم في: يُذكر باسمه وعائلة الضوابط M3 فقط؛ لا نستشهد بضوابط بعينها.