يمنح NOUSEC البنوك وشركات التأمين والتمويل الأدلة التي يطلبها إطار البنك المركزي السعودي (ساما) للأمن السيبراني، والمحاكاة التي يستخدمها الاحتيال اليوم. يطلب الإطار في القسم 3.1.6 برنامج توعية للموظفين والأطراف الثالثة والعملاء يُنفَّذ دوريًا على مدار العام، ويتناول التهديدات الناشئة كالتصيد الموجّه، ويُقيَّم لقياس فعاليته. يحاكي NOUSEC الهجمات عبر ثماني قنوات (الصوت والفيديو بالتزييف العميق في باقة Enterprise)، ويُسند تدريبًا موجّهًا لمن يقع في الفخ، ويتحقق من الإنجاز على الخادم لا من المتصفح، ويبيّن أي وحدة خفّضت النقر فعلًا.
قطاعكم، بأرقامه هو.
الضابط عمل. وتلك هي المشكلة.
كل حادثة احتيال بالتزييف العميق نُشرت في العامين الماضيين أُوقفت، أو لم تُوقف، بخطوة إجرائية لا بأذن أحد.
| الحادثة | القناة | المطلوب | النتيجة |
|---|---|---|---|
| Arup، فبراير 2024 | مكالمة فيديو متعددة المشاركين | 15 تحويلًا | دُفع نحو 25.6 مليون دولار[7] |
| Ferrari، يوليو 2024 | مكالمة صوتية تنتحل صفة الرئيس التنفيذي | صفقة عاجلة وسرّية | أُوقفت: سأل الموظف سؤالًا لا يعرف جوابه إلا الرئيس التنفيذي الحقيقي[8] |
| LastPass، أبريل 2024 | تزييف صوتي عميق عبر واتساب | تواصل خارج القناة المعتادة | أُوقفت: أبلغ الموظف عن المحاولة[9] |
المحاولتان اللتان أُوقفتا لا علاقة لهما بالكشف. لم يسمع أحد أثرًا اصطناعيًا في الصوت. الأول طبّق خطوة تحقق لا يستطيع المهاجم اجتيازها، والثاني لاحظ أن القناة نفسها غير صحيحة فأبلغ بدل أن يرد.
هذا ضابط إجرائي وثقافة إبلاغ، وكلاهما قابل للتدريب. ومطالبة الناس بالإصغاء بانتباه أكبر لا تحسّن أيًّا منهما. والموقف الصادق الذي نعلّمه هو: لا يمكنكم تمييز أصعب أزواج الأصوات بالأذن.
لذلك فهدف التدريب ليس الإدراك، بل: التحقق عبر قناة تملكونها مسبقًا، ومسار تصعيد لأي تغيير في بيانات حساب المورّد، ومؤسسة يكون فيها قول «لا» للرئيس التنفيذي آمنًا.
المالية والخزينة وكل من يستطيع تحريك الأموال.
المسألة في هذا القطاع ليست التغطية، فلكل موظف تقريبًا صندوق بريد. المسألة هي الاستهداف: أكبر مخاطر المعاملة الواحدة تحملها أصغر الفئات، وتحتاج إلى حملة مختلفة عن حملة الجميع.
المدفوعات والخزينة
الهدف الأعلى قيمة والجمهور الأصغر. يحتاجون إلى محاكاة تصيد موجّه ومحاكاة معاودة الاتصال، لا إلى الوحدة السنوية نفسها التي يتلقاها الجميع.
خدمة العملاء وموظفو الفروع
تدرّبوا على أن يكونوا متعاونين وسريعين، وهذا بالضبط ما يستغله سيناريو الانتحال. المسار التكيفي يُسند التدريب بحسب الخطأ المقاس، لا بحسب افتراض مسبق عن الدور.
الإدارة العليا
يخصص إطار ساما في القسم 3.1.7 تدريبًا للأدوار الرئيسية في المؤسسة. ويجب أن يكون إثبات إنجاز مجلس الإدارة قابلًا للدفاع عنه بالقدر نفسه.
البند والدليل الذي يلبيه.
العمود الرابع هو الوحيد الذي يذكر المنتج، وهو يسمّي آلية لا نيّة. نذكر أرقام الأقسام والضوابط ونلخّص مضمونها؛ للنص الرسمي ارجعوا إلى الوثيقة نفسها.
| الأداة التنظيمية | المادة | ما تتطلبه | كيف تثبته NOUSEC |
|---|---|---|---|
| إطار ساما للأمن السيبراني الإصدار 1.0[21] | 3.1.6 | برنامج توعية مُعرَّف ومعتمد للموظفين والأطراف الثالثة والعملاء، يُنفَّذ دوريًا على مدار العام، ويتناول التهديدات الناشئة كالتصيد الموجّه، ويُقيَّم لقياس فعاليته. | محاكاة عبر 8 قنوات بقوالب محدّثة؛ تقرير فعالية لكل وحدة؛ تغطية الحملات بحسب الدور والدرجة. |
| إطار ساما للأمن السيبراني | 3.1.7 | تدريب متخصص للأدوار الرئيسية وموظفي الأمن السيبراني ومن يطوّرون الأصول المعلوماتية أو يقيّمون المخاطر. | مجموعات بحسب الدور مع إثبات إنجاز من جهة الخادم وشهادات مستقلة لكل مجموعة. |
| الضوابط الأساسية للأمن السيبراني ECC-2:2024[20] | 1-10-1 / 1-10-2 / 1-10-5 | برنامج توعية متعدد القنوات يُطوَّر ويُعتمد دوريًا، ويُطبَّق في الجهة، وتُراجَع تطبيقاته دوريًا. | بطاقة امتثال معدّلة للتدقيق؛ سجل قابل للتصدير بتاريخ كل حملة ونتيجتها. |
| الضوابط الأساسية للأمن السيبراني | 1-10-3-1 | أن يشمل البرنامج التعامل الآمن مع خدمات البريد الإلكتروني، ولا سيما رسائل التصيد. | محاكاة تصيد بالبريد وقنوات أخرى؛ تدريب موجّه تلقائي لمن ينقر، ثم إعادة اختبار؛ سجل لكل موظف. |
| ISO/IEC 27001:2022[5] | 7.2 / 7.3، الملحق A 6.3 | الكفاءة والوعي، والتوعية والتعليم والتدريب في أمن المعلومات. | صفحة عامة للتحقق من الشهادات؛ سجل تدقيق. |
ملخّصات الأنظمة للتوجيه فقط، وليست استشارة قانونية. ويتوقف النطاق والتصنيف على الجهة التنظيمية التي تخضعون لها. بوابة الإنجاز وبطاقة الامتثال متاحتان من باقة Essentials؛ اعتماد السياسات والتحقق من الشهادات وHuman Risk Score من Professional؛ سجل التدقيق والتصدير إلى SIEM من Enterprise.
أربع آليات تستند إليها هذه الصفحة.
بوابة إنجاز من جهة الخادم
ثماني قنوات محاكاة
درجة تُظهر طريقة حسابها
مزامنة الدليل والبريد
أسئلة
أول ما يسأله مسؤول أمن المعلومات أو مسؤول حماية البيانات في مؤسسة مالية.
كل رقم في هذه الصفحة ومن أين جاء
آخر مراجعة: 21 أكتوبر 2026. تُراجع الاستشهادات التنظيمية مقابل النص الرسمي المنشور عند كل مراجعة.
- 2026 Data Breach Investigations ReportVerizon Business — قسم القطاعات، ص. 84 للمالية والتأمين (NAICS 52). البيانات: أكثر من 31,000 حادث، وأكثر من 22,000 اختراق مؤكد، و145 دولة، أكتوبر 2024 – نوفمبر 2025 · 2026استُخدم في: قطاع التمويل والتأمين (NAICS 52): 3,809 حوادث و1,300 إفصاح مؤكد عن البيانات؛ 65% بعنصر بشري؛ التصيد 20% من مسارات الوصول الأولي مقابل 22% لاستغلال الثغرات؛ 88% جهات خارجية و98% بدافع مالي.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022المنظمة الدولية للتوحيد القياسي (ISO) — الإصدار الثالث · 2022استُخدم في: البندان 7.2 و7.3، وعنوان الضابط 6.3 في الملحق A.
- Internet Crime Report 2025مركز شكاوى جرائم الإنترنت التابع لمكتب التحقيقات الفيدرالي (IC3) · 2026استُخدم في: اختراق البريد الإلكتروني للأعمال: 24,768 شكوى وخسائر مُبلَّغ عنها بقيمة 3,046,598,558 دولارًا أمريكيًا.
- Arup confirms it was the victim of a $25 million deepfake fraudCNN — تغطية قضية Arup، فبراير 2024 · 2024استُخدم في: 25.6 مليون دولار دُفعت عبر 15 تحويلًا بعد مكالمة فيديو بتقنية التزييف العميق.
- Ferrari executive foils deepfake attempt by asking the caller a questionFortune — تغطية محاولة Ferrari، يوليو 2024 · 2024استُخدم في: محاولة أُوقفت بسؤال تحقق لا يعرف إجابته إلا الرئيس التنفيذي الحقيقي.
- Attempted audio deepfake call targets LastPass employeeمدونة شركة LastPass · 2024استُخدم في: تزييف عميق لصوت الرئيس التنفيذي عبر واتساب؛ أبلغ الموظف بدل أن يستجيب.
- Essential Cybersecurity Controls (ECC – 2 : 2024)الهيئة الوطنية للأمن السيبراني، المملكة العربية السعودية — المجال الفرعي 1-10، برنامج التوعية والتدريب بالأمن السيبراني · 2024استُخدم في: المجال الفرعي 1-10: برنامج توعية متعدد القنوات يُطوَّر ويُعتمد ويُراجع دوريًا، ويشمل التعامل الآمن مع البريد ولا سيما رسائل التصيد (1-10-3-1)، وتدريبًا متخصصًا للأدوار الحساسة (1-10-4).
- Cyber Security Framework, Version 1.0البنك المركزي السعودي (ساما) — القسمان 3.1.6 التوعية بالأمن السيبراني و3.1.7 التدريب على الأمن السيبراني، مايو 2017 · 2017استُخدم في: القسم 3.1.6: برنامج توعية للموظفين والأطراف الثالثة والعملاء، يُنفَّذ دوريًا على مدار العام، ويتناول التهديدات الناشئة كالتصيد الموجّه، ويُقيَّم لقياس فعاليته؛ القسم 3.1.7: تدريب متخصص للأدوار الرئيسية.