يعالج NOUSEC أمرين يجعلان المخاطر البشرية في التصنيع والطاقة مختلفة: سلسلة التوريد وأرضية المصنع. وفق تقرير Verizon DBIR يتورط طرف ثالث في 61% من اختراقات التصنيع، وهي أعلى نسبة في التقرير. لذلك فالسيناريوهات المهمة هي تغيير بيانات الحساب المصرفي للمورّد، وتسجيل الموردين الجدد، وعروض التوظيف الوهمية الموجّهة لموظفي التشغيل. ولأن كثيرًا من الموظفين لا يملكون حاسوبًا خاصًا، يحاكي NOUSEC الهجمات عبر رموز QR وإسقاط USB والرسائل النصية وواتساب إلى جانب البريد، ويقدّم التدريب بصيغ قصيرة، وملصقات وإنفوغرافيك للأماكن التي لا شاشات فيها.
القطاع الأكثر تعرضًا للهجمات منذ خمس سنوات.
سلسلة التوريد لديكم سطح هجوم اجتماعي.
نسبة 61% للأطراف الثالثة ليست مشكلة يحلها استبيان مخاطر الموردين. إنها مشكلة بشرية يرافقها أمر شراء.
| السيناريو | لماذا ينجح | الضابط الذي يصمد |
|---|---|---|
| تغيير بيانات الحساب المصرفي للمورّد | يأتي من داخل علاقة تجارية حقيقية، بالنبرة الصحيحة، وفي اللحظة المعقولة تمامًا من دورة الفواتير. | التحقق مع جهة الاتصال المسجلة مسبقًا، لا ببيانات الاتصال الواردة في الطلب نفسه. |
| تسجيل مورّد جديد أو عرض سعر مزيف | عمل المشتريات أصلًا هو الاستجابة السريعة للموردين الجدد. | عملية تسجيل موردين محددة لا تقبل المستندات من خارج القناة المعتادة. |
| عرض توظيف وهمي لموظفي التشغيل | يُطري المستهدَف، ويخاطبه بصفة شخصية، ويجري بالكامل خارج القنوات المؤسسية. | تدريب يسمّي النمط باسمه، ومسار إبلاغ لا يكلّف الموظف شيئًا. |
ليس هذا افتراضًا. تصف Dragos في مراجعتها السنوية للتقنيات التشغيلية لعام 2026 مجموعة التهديد التي تتبعها باسم PYROXENE وهي تدير حملات متعددة السنوات عبر سلسلة التوريد تستهدف موظفي التشغيل بالهندسة الاجتماعية، ومنها ملفات LinkedIn مزيفة تنتحل صفة مسؤولي التوظيف.[13]
معظم من يجب أن تصلوا إليهم لا يقرأون البريد.
عمل بالمناوبات، وطرفيات مشتركة، وفي كثير من الوظائف لا صندوق بريد شخصي أصلًا. ثلاث فئات، وثلاث إجابات.
أرضية المصنع والفرق الميدانية
عمل بالمناوبات، وطرفيات مشتركة، وفي كثير من الوظائف لا يوجد صندوق بريد شخصي أصلًا. محاكاة QR وإسقاط USB تصل حيث لا يصل البريد، ويأتي التدريب ملصقات وإنفوغرافيك ووحدات قصيرة بدل دورة من عشرين دقيقة.
المشتريات والمحاسبة والهندسة
الفئة التي تستهدفها سيناريوهات سلسلة التوريد فعلًا. محاكاة بالبريد والرسائل النصية وواتساب ومعاودة الاتصال، ووحدات جاهزة لاختراق البريد للأعمال وسرقة بيانات الدخول، وإسناد يتكيف مع الخطأ المقاس.
موظفو OT وغرف التحكم
يُدرَّبون على الضوابط الإجرائية لا على تمييز الوسائط الاصطناعية: مسارات التصعيد، والتحقق من خارج القناة المعتادة، وموقف صادق مما يستطيع الإنسان تمييزه وما لا يستطيع.
14 صيغة، و30 لغة (9 مكيّفة بالكامل اليوم و21 عند الطلب)، ومنهج يغطي احتيال الموردين واختراق البريد الإلكتروني للأعمال وسرقة بيانات الدخول والمرفقات الضارة. وللمجموعات العاملة في أكثر من دولة: علامة بيضاء كاملة وإدارة تلقائية للعملات.
سؤال المدقق والسجل الذي يجيب عنه.
القاسم المشترك لأي مصنع هو ISO/IEC 27001؛ ولمشغّلي الطاقة والصناعة ضمن نطاق الهيئة الوطنية للأمن السيبراني ضوابطها الأساسية؛ وللمجموعات العاملة في الاتحاد الأوروبي NIS2.
| الأداة التنظيمية | المادة | ما تتطلبه | كيف تثبته NOUSEC |
|---|---|---|---|
| ISO/IEC 27001:2022[5] | 7.2 / 7.3، الملحق A 6.3 | الكفاءة والوعي، والتوعية والتعليم والتدريب في أمن المعلومات. | صفحة تحقق عامة من الشهادات؛ سجل إنجاز من جهة الخادم. |
| الضوابط الأساسية للأمن السيبراني ECC-2:2024[20] | 1-10 | للجهات ضمن نطاق الهيئة: برنامج توعية متعدد القنوات يُعتمد ويُطبَّق ويُراجع دوريًا، يشمل التعامل الآمن مع رسائل التصيد (1-10-3-1)، وتدريبًا متخصصًا للأدوار ذات الصلة (1-10-4). | محاكاة متعددة القنوات بما فيها QR وUSB؛ إنجاز متحقق منه لكل موظف؛ سجل قابل للتصدير. |
| NIS2 (للمجموعات العاملة في الاتحاد الأوروبي)[3] | 21(2)(g) | النظافة السيبرانية والتدريب على الأمن السيبراني بوصفهما من التدابير الدنيا. | دليل إنجاز، لا سجل إسناد. |
| NIS2 | الملحق I.1 / الملحق II.5 | الطاقة في الملحق I (قطاعات عالية الأهمية)، وبعض القطاعات الفرعية للتصنيع في الملحق II؛ ويحدد الحجم التصنيف وفق المادة 3 لا الملحق. | سلسلة الأدلة نفسها لتصنيفين مختلفين. |
ملخّصات الأنظمة للتوجيه فقط، وليست استشارة قانونية. ويتوقف النطاق والتصنيف على الجهة التنظيمية التي تخضعون لها. بوابة الإنجاز وبطاقة الامتثال من باقة Essentials؛ اعتماد السياسات والتحقق من الشهادات من Professional؛ سجل التدقيق والتصدير إلى SIEM من Enterprise.
أربع آليات تستند إليها هذه الصفحة.
رموز QR وإسقاط USB
صيغ لا تتطلب شاشة
إسناد يتكيف مع الخطأ المقاس
علامة بيضاء عبر الدول
قراءات ذات صلة: هجمات التصيد عبر رموز QR؛ ومداخل المسرد احتيال الفواتير وOSINT والانتحال بذريعة (pretexting). وموقفنا الأمني نحن في صفحتي مركز الثقة والأمان.
أسئلة
أول ما يسأله مسؤول أمن المعلومات في مجموعة لها منشآت في عدة دول.
كل رقم في هذه الصفحة ومن أين جاء
آخر مراجعة: 21 أكتوبر 2026. تُراجع الاستشهادات التنظيمية مقابل النص الرسمي المنشور عند كل مراجعة.
- 2026 Data Breach Investigations ReportVerizon Business — قسم القطاعات، ص. 84 للمالية والتأمين (NAICS 52). البيانات: أكثر من 31,000 حادث، وأكثر من 22,000 اختراق مؤكد، و145 دولة، أكتوبر 2024 – نوفمبر 2025 · 2026استُخدم في: التصنيع (31–33): 3,627 حادثة؛ 61% بتورّط طرف ثالث؛ 77% من الهجمات الاجتماعية تصيد؛ الهندسة الاجتماعية ثاني أكثر أنماط الاختراق شيوعًا في القطاع (الترتيب الوحيد الذي يذكره التقرير صراحةً).
- X-Force Threat Intelligence Index 2026IBM — نُشر في 25 فبراير 2026، ويغطي بيانات 2025 · 2026استُخدم في: التصنيع القطاع الأكثر تعرضًا للهجمات للعام الخامس على التوالي؛ 27.7% من الحوادث المرصودة.
- OT Cybersecurity Year in ReviewDragos — الإصدار السنوي التاسع، 17 فبراير 2026 · 2026استُخدم في: 119 مجموعة فدية بارتفاع 49% عن 80 في 2024، و3,300 مؤسسة صناعية، وأكثر من ثلثي الضحايا من التصنيع؛ وحملات PYROXENE متعددة السنوات للهندسة الاجتماعية عبر سلسلة التوريد ضد موظفي التشغيل. نسبة 49% هي الزيادة في عدد المجموعات المرصودة، لا في عدد الضحايا أو الهجمات.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022المنظمة الدولية للتوحيد القياسي (ISO) — الإصدار الثالث · 2022استُخدم في: البندان 7.2 و7.3، وعنوان الضابط 6.3 في الملحق A.
- Essential Cybersecurity Controls (ECC – 2 : 2024)الهيئة الوطنية للأمن السيبراني، المملكة العربية السعودية — المجال الفرعي 1-10، برنامج التوعية والتدريب بالأمن السيبراني · 2024استُخدم في: المجال الفرعي 1-10، لمشغّلي الطاقة والصناعة الواقعين ضمن نطاق الهيئة الوطنية للأمن السيبراني.
- Directive (EU) 2022/2555 (NIS2)الجريدة الرسمية للاتحاد الأوروبي، OJ L 333، 27.12.2022 · 2022استُخدم في: للمجموعات العاملة في الاتحاد الأوروبي: المادة 21(2)(g)؛ عضوية الملحق I.1 والملحق II.5؛ التصنيف بحسب الحجم وفق المادة 3.