حاسبة العائد على الاستثمارهل يغطي التدريب على التوعية الأمنية تكلفته؟

أدخلوا أرقامكم واكتشفوا بأنفسكم. كل خطوة من الحساب مكتوبة في الصفحة، والنموذج يشغّل سيناريوهين جنبًا إلى جنب: ما قد يعرضه عليكم المزوّد، وما قاسته فعلًا أكبر دراسة مستقلة.

Ho وآخرون، IEEE S&P 2025 · 19,500 موظف · UC San Diego Health

احسبوا الآن اطّلعوا على النموذج

لا يُطلب بريد إلكتروني · لا تغادر أي بيانات متصفحكم · المصادر كاملة

شغّلوها على أرقامكم

تمثل القيم الافتراضية مؤسسة متوسطة الحجم أداؤها أفضل أصلًا من المتوسط المنشور. استبدلوها بقيمكم؛ والمدخلان الأكثر تأثيرًا في النتيجة هما نسبة موظفيكم الذين ينقرون خلال عام، وعدد المرات التي تتحول فيها النقرة إلى أمر جسيم. المبالغ بالدولار الأمريكي.

أرقامكم

الموظفون1,000

الأشخاص الذين يتلقّون بريدًا إلكترونيًا في مؤسستكم.

نسبة الموظفين الذين ينقرون على رابط تصيّد خلال عام12%

أشخاص لا رسائل — نسبة القوى العاملة التي تقع في فخ رابط تصيّد واحد على الأقل خلال اثني عشر شهرًا. وهي الكمية نفسها التي يقيسها معدل القابلية للتصيّد، لذا يمكن إدخال خط الأساس 33.2% من KnowBe4 مباشرة. والقيمة الافتراضية 12% تفترض مؤسسة أداؤها أفضل من ذلك المتوسط بالفعل.

احتمال أن تتحول نقرة إلى حادث جوهري1%

معظم النقرات لا تكلّف شيئًا — بيانات الدخول لا يُعاد استخدامها، والمصادقة متعددة العوامل تصمد، والحمولة تفشل. هذا أكثر المدخلات غموضًا في الصفحة ويغيّر النتيجة خطيًا، فحرّكوه وانظروا إلى أي مدى تعتمد نتيجتكم عليه.

تكلفة حادث جوهري واحد‏200,000 US$

الاستجابة والتوقف والتكاليف القانونية والإخطار. يمكن لوسيط التأمين السيبراني أن يعطيكم رقمًا لقطاعكم؛ والقيمة الافتراضية أقل عمدًا بكثير من متوسطات تكلفة الاختراق المنشورة. المبالغ بالدولار الأمريكي.

تكلفة البرنامج، لكل شخص سنويًا‏13 US$

الترخيص إضافة إلى الوقت الداخلي لتشغيله. احسبوا الساعات، لا الفاتورة وحدها.

الخطوة 1 — التعرّض، قبل أي برنامج

الموظفون الذين ينقرون على رابط تصيّد هذا العام

1,000 شخص × 12%

120

الحوادث الجوهرية سنويًا

120 × 1.0%

1.20

الخسارة السنوية المتوقعة

1.20 × ‏200,000 US$

‏240,000 US$

الخطوة 2 — الافتراض الوحيد المهم

كل ما سبق حساب على أرقامكم أنتم. أما هذا الرقم الواحد فادعاء عن العالم، وهو يحسم الإجابة كلها. حرّكوه وشاهدوا النتيجة تعبر الصفر.

الانخفاض النسبي في معدل النقر الذي يحققه البرنامج40%

معايير المورّدين مرتفعة — تذكر KnowBe4 انخفاضًا من 33.2% إلى 4.2% خلال اثني عشر شهرًا من التدريب والمحاكاة معًا. وأكبر تجربة مستقلة تضع الحد الأدنى الصادق عند الصفر لتدريب الامتثال السنوي. السيناريوهان أدناه يستخدمان مدخلاتكم؛ ويختلفان في هذا الرقم وحده.

السيناريو أ

برنامج مستمر مقيس

يفترض أن البرنامج يخفض معدل النقر بنسبة 40% — وهي القيمة التي حددتموها أعلاه.

الخسارة المتجنَّبة: ‏96,000 US$
تكلفة البرنامج: − ‏12,500 US$

الصافي، السنة الأولى+‏83,500 US$

السيناريو ب

تدريب الامتثال السنوي فقط

يفترض انخفاضًا بنسبة 0% في معدل النقر. هذا ليس تشاؤمًا: إنه ما قاسته أكبر تجربة مستقلة للشكل الذي تطبقه معظم المؤسسات فعلًا.

الخسارة المتجنَّبة: ‏0 US$
تكلفة البرنامج: − ‏12,500 US$

الصافي، السنة الأولى−‏12,500 US$

النتيجة السالبة مخرَج حقيقي لهذا النموذج، لا خطأ. إن كان هذا وضع مؤسستكم، فالبرنامج كما وُصف لا يغطي تكلفته.

لا يُرسل أي شيء هنا إلى أي مكان. يجري الحساب في متصفحكم، ولا يوجد نموذج لتعبئته، ولا نرى مدخلاتكم.

النموذج كاملًا

إن لم تستطيعوا التحقق من الحساب فلا قيمة للرقم. إليكم النموذج كاملًا.

النقرات = عدد الموظفين × نسبة من ينقرون خلال عام
الحوادث الجسيمة = النقرات × احتمال تحوّل النقرة إلى حادث جسيم
الخسارة السنوية المتوقعة = الحوادث الجسيمة × تكلفة الحادث الواحد
الخسارة المتجنَّبة = الخسارة السنوية المتوقعة × الانخفاض النسبي في معدل النقر
الصافي في السنة الأولى = الخسارة المتجنَّبة − (عدد الموظفين × تكلفة البرنامج للفرد)

أربعة من هذه الأسطر الخمسة حساب على أرقام تقدّمونها أنتم. سطر واحد فقط، وهو الانخفاض النسبي في معدل النقر، ادعاء عن الواقع، وهو السطر الذي يقرر إن كانت النتيجة موجبة أم سالبة؛ لذلك له مدخله الخاص ومنزلقه الخاص بدلًا من أن يُدفن داخل معامل.

لاحظوا ما ليس في النموذج عمدًا: عدد رسائل التصيد الواردة. معدل النقر نسبة من الأشخاص، وضرب نسبة من الأشخاص في عدد من الرسائل خطأ في الوحدات يضخّم كل رقم بعده بصمت. والجمع بينهما بأمانة يتطلب نمذجة التعرّض المتكرر لكل شخص، وهو ما لا تفعله هذه الأداة، ولا تتظاهر بفعله.

من أين تأتي الأرقام؟

وراء السيناريوهين مصدران منشوران، وليس أيٌّ منهما نحن. والمصدران باللغة الإنجليزية.

السيناريو ب: الحد الأدنى

Ho وآخرون، IEEE S&P 2025

دراسة استمرت ثمانية أشهر وشملت 19,500 موظف في UC San Diego Health لم تجد علاقة ذات دلالة بين إكمال تدريب الامتثال السنوي مؤخرًا والإخفاق في محاكاة التصيد. وغيّر التدريب المدمج بعد النقر نسبة الإخفاق بنحو نقطتين مئويتين، وأغلق نحو ثلاثة أرباع الموظفين صفحة التدريب خلال دقيقة. اقرؤوا الورقة البحثية.

السيناريو أ: الحد الأعلى

KnowBe4 Phishing by Industry Benchmarking Report

في هذا المعيار المبني على عدد كبير من عمليات المحاكاة، ينخفض متوسط نسبة القابلية للتصيد من 33.2% في خط الأساس إلى 4.2% بعد اثني عشر شهرًا من التدريب والمحاكاة معًا. وتفترض الحاسبة افتراضيًا انخفاضًا نسبيًا قدره 40%، وهي قيمة متحفظة عمدًا، لأن الأداة التي تفترض أفضل حالة منشورة لا تعود أداة. والرقمان كلاهما نسبة من الأشخاص، لذا يمكن إدخال 33.2% مباشرة في حقل معدل النقر أعلاه. اطّلعوا على التقرير.

الفرق بين هاتين النتيجتين ليس تناقضًا. فإحداهما قاست وحدات امتثال سنوية، والأخرى قاست اختبارًا مستمرًا مقترنًا بالتدريب. إنهما تدخّلان مختلفان يحملان الاسم نفسه، ولهذا تحديدًا لا معنى لرقم عائد واحد على مستوى القطاع، وترفض هذه الأداة طباعة رقم كهذا.

ما لن تفعله هذه الأداة

أن تطلب بريدكم الإلكتروني

لا تسجيل، ولا اشتراك في نشرة، ولا «أرسلوا لي التقرير». مدخلاتكم لا تغادر المتصفح.

أن تتظاهر بالدقة

هذا نموذج لا قياس. ينفع للمقارنة بين القرارات وتقدير حجم الحجة، لا للتنبؤ بسنة محددة حتى آخر دولار.

أن تقول ما نحب سماعه فقط

اضبطوا الانخفاض في معدل النقر على صفر فتصبح النتيجة سالبة، حتى لبرنامج مثل برنامجنا. وهذه الحالة موجودة في العرض الافتراضي، لا مخفية خلف خيار متقدم.

أسئلة

ما يسأله الناس قبل أن يثقوا بحاسبة يقدّمها مزوّد.

هل عليّ إدخال بريدي الإلكتروني لرؤية النتيجة؟

لا. لا نموذج ولا تسجيل ولا اشتراك. يعمل الحساب بالكامل في متصفحكم، ولا تُرسل مدخلاتكم إلينا أو إلى أي جهة أخرى.

لماذا يمكن أن تعطي هذه الحاسبة عائدًا سالبًا؟

لأن هذا هو الجواب الصحيح أحيانًا. أكبر دراسة مستقلة عن التدريب على التصيد، شملت 19,500 موظف في UC San Diego Health ونُشرت في مؤتمر IEEE Symposium on Security & Privacy عام 2025، لم تجد علاقة ذات دلالة بين إكمال تدريب الامتثال السنوي مؤخرًا والإخفاق في محاكاة التصيد. فإن كان هذا هو البرنامج الذي تحسبون تكلفته، فإن النموذج الأمين يُظهر رسوم الترخيص خسارةً.

هل يعني ذلك أن التدريب على التوعية الأمنية لا ينفع؟

لا، والدراسة لا تقول ذلك أيضًا. لقد اختبرت شكلًا محددًا قليل التفاعل: وحدات امتثال سنوية وصفحات ما بعد النقر أغلقها ثلاثة أرباع الموظفين خلال دقيقة. ما يحرّك الرقم هو الاختبار المستمر المقترن بالتدريب في لحظة الإخفاق، وهذا الفرق هو سبب وجود السيناريوهين. نستعرض الأدلة بالتفصيل هنا.

ما الأرقام التي أدخلها إن لم أكن أعرف أرقامي؟

ابدؤوا بالقيم الافتراضية واستبدلوا معدل النقر أولًا، فهو الرقم الوحيد الذي يمكنكم قياسه مباشرة من نتائج المحاكاة لديكم. وإن لم تجروا محاكاة من قبل، فإن نسبة خط الأساس المنشورة لدى KnowBe4، وهي 33.2%، نقطة بداية متحفظة مناسبة، ويمكن إدخالها مباشرة في ذلك الحقل لأن الرقمين كليهما نسبة من الأشخاص. أما احتمال تحوّل النقرة إلى حادث جسيم فهو أكثر المدخلات غموضًا؛ اقرؤوا النتيجة نطاقًا لا رقمًا واحدًا.

هل يمكنني استخدام هذا في عرض لمجلس الإدارة؟

نعم، ونفضّل أن تعرضوا السيناريوهين معًا لا الأكثر تفاؤلًا وحده. النموذج مكتوب كاملًا أدناه ليتحقق منه المدير المالي المتشكك سطرًا بسطر. واستشهدوا بالمصادر التي نستشهد بها، لا بنا.

الرقم جيد بقدر جودة القياس.

إن كان معدل النقر الذي أدخلتموه تخمينًا، فهذا أول ما يستحق التصحيح. ويمكننا أن نريكم معدلكم الفعلي.

احجز عرضًا توضيحيًا استعرضوا المنصة

لا يلزم بريد إلكتروني لاستخدام الحاسبة · المصادر كاملة