NOUSEC مصمّم للجهات الحكومية التي لا يكفيها أن تنفّذ برنامج توعية، بل يجب أن تثبت تنفيذه. تخصص الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني المجال الفرعي 1-10 لبرنامج التوعية والتدريب، وما يُسأل عنه في التدقيق هو وجود البرنامج، وإكمال الموظفين له، وسجل يمكن الدفاع عنه. ينتج NOUSEC هذا الدليل: اعتماد السياسات مع تتبع الإصدارات، وبطاقة امتثال تعرض معدلات الإنجاز الخام والمعدّلة للتدقيق، وشهادات بصفحة تحقق عامة، وسجل تدقيق، وتصديرًا إلى SIEM بصيغ CSV أو NDJSON أو JSON. لا وكيل على الأجهزة، والبيانات في فرانكفورت.
القطاع الأكثر استهدافًا في أوروبا.
في القطاع الحكومي قد تكون الغرامة غير مؤكدة. التدقيق ليس كذلك.
كثيرًا ما تُباع للجهات الحكومية عقوبات لن تواجهها أبدًا. لكن الضغط على فريق الأمن ليس ماليًا، بل ضغط أدلة.
السؤال الذي يُطرح على فريق أمن المعلومات في جهة حكومية ليس وجود برنامج بقدر ما هو دليله: من أكمل أي تدريب فعلًا، ومن اعتمد أي إصدار من أي سياسة، وهل يمكن تسليم هذا السجل للمدقق دون تسوية جداول؟ وتخصيص الضوابط الأساسية للأمن السيبراني مجالًا فرعيًا كاملًا للتوعية والتدريب، يُراجَع تطبيقه دوريًا، يعني أن هذا السؤال سيُطرح في التدقيق.[20]
فيديو يقول المتصفح إنه «اكتمل»، أو تدريب أُسند فقط، لا يجيب عن هذا السؤال. ما يجيب عنه سجل لكل شخص يستطيع طرف ثالث فحصه ويمكن إخراجه من المنصة.
هذه مشكلة منتج، وهي بالضبط المشكلة التي بنينا المنصة لحلها.
| الدليل | ما يثبته | كيف يُتحقق منه | الباقة |
|---|---|---|---|
| اعتماد السياسات مع تتبع الإصدارات | من اعتمد أي إصدار ومتى | سجل لكل شخص، قابل للتصدير | Professional |
| بطاقة الامتثال: الخام والمعدّلة للتدقيق | الإنجاز، والإنجاز الذي اجتاز عتبة جودة | تُعرض النسبتان معًا؛ إذا قلّت درجة الاختبار عن 40% لا يُحتسب الإنجاز في النسبة المعدّلة | Essentials |
| دليل الإنجاز | أن التدريب تُلقّي لا أنه أُسند فقط | مشاهدة 90% على الأقل من الثواني الفريدة، تُحسب على الخادم؛ طلب الإنجاز المزوّر يُرفض برمز 403 | Essentials |
| شهادة بصفحة تحقق عامة | أن الشهادة حقيقية | يمكن لطرف ثالث التحقق منها دون الدخول إلى بيئتكم | Professional |
| سجل التدقيق | من غيّر ماذا في البرنامج | سجل غير قابل للتعديل | Enterprise |
| التصدير إلى SIEM | أن السجل يمكن أن يخرج من المنصة | CSV أو NDJSON أو JSON | Enterprise |
قرابة نصف الجهات الفاعلة في الداخل أصلًا.
هذه النتيجة هي ما يميّز صفحة القطاع الحكومي عن غيرها، وهنا يجب أن نكون أكثر حذرًا في وصف ما نبيعه.
يسجّل تقرير DBIR جهة فاعلة داخلية في 44% من اختراقات الإدارة العامة، ويعدّ إساءة استخدام الصلاحيات من أبرز ثلاثة أنماط؛ وهو القطاع الوحيد بين الأربعة الذي ينطبق عليه ذلك. وفي ثلث الحالات كان الدافع التجسس.[1]
بعض ذلك سوء نية وبعضه خطأ. NOUSEC ليس تحليلات سلوك المستخدم ولا منع فقدان البيانات ولا كشف التهديدات الداخلية؛ ما يفعله هو تدريب السلوكيات التي تسبق الحالتين وقياسها: التعامل مع السجلات الحساسة، واعتماد السياسات، ونظافة بيانات الدخول، وثقافة إبلاغ يحسّن فيها الإبلاغ قيمة Human Risk Score بدل أن يفضح صاحبه.
الإبلاغ يخفض الدرجة بحكم التصميم: الموظف الذي يبلّغ عن رسالة مشبوهة يحسّن درجته هو. والتعرض الناتج عن تسريب لدى طرف ثالث يُحتسب تعرّضًا لا تقصيرًا؛ فمن ظهر بريده في تسريب عام 2017 لم يختر ذلك.
الإطار والدليل الذي يلبيه.
لا نفسّر الضوابط هنا؛ ما ينطبق على جهتكم تحدده الضوابط نفسها. نذكر أرقام الضوابط ونلخّص مضمونها، ونبيّن الدليل الذي ننتجه لكل منها.
| الأداة التنظيمية | المادة | ما تتطلبه | كيف تثبته NOUSEC |
|---|---|---|---|
| الضوابط الأساسية للأمن السيبراني ECC-2:2024[20] | 1-10-1 / 1-10-2 | برنامج توعية متعدد القنوات يُطوَّر ويُعتمد دوريًا ويُطبَّق في الجهة. | حملات بحسب الدور عبر عدة قنوات؛ اعتماد السياسات مع تتبع الإصدارات. |
| الضوابط الأساسية للأمن السيبراني | 1-10-3-1 | أن يشمل البرنامج التعامل الآمن مع خدمات البريد الإلكتروني، ولا سيما رسائل التصيد. | محاكاة تصيد؛ تدريب موجّه تلقائي لمن ينقر ثم إعادة اختبار؛ سجل لكل موظف. |
| الضوابط الأساسية للأمن السيبراني | 1-10-4 / 1-10-5 | تدريب متخصص للمناصب المرتبطة مباشرة بالأمن السيبراني والمناصب التنفيذية والإشرافية، ومراجعة دورية لتطبيق البرنامج. | مجموعات بحسب الدور بشهاداتها؛ بطاقة امتثال معدّلة للتدقيق؛ سجل تدقيق. |
| ISO/IEC 27001:2022[5] | 7.2 / 7.3، الملحق A 6.3 | الكفاءة والوعي، والتوعية والتعليم والتدريب في أمن المعلومات. | صفحة تحقق عامة من الشهادات؛ سجل تدقيق. |
| لائحة ضمان المعلومات في الإمارات[22] | M3 | عائلة ضوابط «التوعية والتدريب». نذكرها باسمها فقط؛ لضوابطها ارجعوا إلى اللائحة نفسها. | سلسلة الأدلة نفسها أعلاه. |
ملخّصات الأنظمة للتوجيه فقط، وليست استشارة قانونية. ويتوقف النطاق والتصنيف على الجهة التنظيمية التي تخضعون لها. بوابة الإنجاز وبطاقة الامتثال من باقة Essentials؛ اعتماد السياسات والتحقق من الشهادات وHuman Risk Score من Professional؛ سجل التدقيق والتصدير إلى SIEM من Enterprise.
أربعة أسئلة تُطرح في كل منافسة.
بلا وكيل على الأجهزة
لا يُثبَّت شيء على أي جهاز. زر الإبلاغ إضافة اختيارية لعميل البريد.
البيانات في الاتحاد الأوروبي
في فرانكفورت، مع التصدير والحذف على مستوى المؤسسة.
هوية جهتكم
بهوية جهتكم، وبثلاثين لغة: تسع مكيّفة بالكامل اليوم وإحدى وعشرون عند الطلب.
منهجية منشورة
درجة من 0 إلى 100 تُعرض مع تفصيل مكوّناتها. لا صندوق أسود.
دليل لا يعتمد على التصريح
درجة تُظهر حسابها
صفحات ذات صلة: منهجية Human Risk Score، ولماذا NOUSEC، ومدخلا المسرد التهديد الداخلي والانتحال بذريعة (pretexting). وإن كانت جهتكم تشغّل بنية تحتية للطاقة أو التصنيع، فعلى سلسلة الأدلة نفسها أن تغطي جانب التصنيع والطاقة أيضًا. وموقفنا الأمني نحن في صفحة الأمان.
أسئلة
أول ما يسأله فريق أمن المعلومات وإدارة المشتريات في جهة حكومية.
كل رقم في هذه الصفحة ومن أين جاء
آخر مراجعة: 21 أكتوبر 2026. تُراجع الاستشهادات التنظيمية مقابل النص الرسمي المنشور عند كل مراجعة.
- 2026 Data Breach Investigations ReportVerizon Business — قسم القطاعات، ص. 84 للمالية والتأمين (NAICS 52). البيانات: أكثر من 31,000 حادث، وأكثر من 22,000 اختراق مؤكد، و145 دولة، أكتوبر 2024 – نوفمبر 2025 · 2026استُخدم في: الإدارة العامة (92): 3,634 حادثة؛ 69% بعنصر بشري؛ 44% جهات داخلية؛ دافع التجسس في 33% من الاختراقات؛ التصيد 20% من مسارات الوصول الأولي مقابل 40% لاستغلال الثغرات؛ إساءة استخدام الصلاحيات ضمن أبرز ثلاثة أنماط.
- Threat Landscape 2025ENISA — الإصدار 13، v1.2، 4,875 حادثًا، 1 يوليو 2024 – 30 يونيو 2025 · 2025استُخدم في: 38.2% من الحوادث المرصودة في الاتحاد الأوروبي استهدفت الإدارة العامة. 4,875 حادثة بين 1 يوليو 2024 و30 يونيو 2025.
- ISO/IEC 27001:2022 and ISO/IEC 27002:2022المنظمة الدولية للتوحيد القياسي (ISO) — الإصدار الثالث · 2022استُخدم في: البندان 7.2 و7.3، وعنوان الضابط 6.3 في الملحق A.
- Essential Cybersecurity Controls (ECC – 2 : 2024)الهيئة الوطنية للأمن السيبراني، المملكة العربية السعودية — المجال الفرعي 1-10، برنامج التوعية والتدريب بالأمن السيبراني · 2024استُخدم في: المجال الفرعي 1-10: برنامج توعية متعدد القنوات يُطوَّر ويُعتمد ويُطبَّق ويُراجع دوريًا (1-10-1، 1-10-2، 1-10-5)، ويشمل التعامل الآمن مع رسائل التصيد (1-10-3-1)، وتدريبًا متخصصًا (1-10-4).
- UAE Information Assurance Regulation, Version 1.1هيئة تنظيم الاتصالات والحكومة الرقمية، الإمارات العربية المتحدة — عائلة الضوابط M3، التوعية والتدريب، مارس 2020 · 2020استُخدم في: يُذكر باسمه وعائلة الضوابط M3 «التوعية والتدريب» فقط.