شهر التوعية بالأمن السيبراني 2026: قائمة التحقق من تدريب الموظفين وفق الضوابط الأساسية للأمن السيبراني (ECC) الصادرة عن الهيئة الوطنية للأمن السيبراني

يمثل شهر التوعية بالأمن السيبراني فرصة للمؤسسات في المملكة العربية السعودية لمراجعة كيفية تعرّف الموظفين على التهديدات، وحماية المعلومات، والالتزام بالسياسات الأمنية. ومع ذلك، يتطلب نجاح برنامج التوعية أكثر من مجرد حملة خلال شهر أكتوبر. فهو يحتاج إلى تعلم مخطط له، وإرشادات عملية، وتدريب مخصص للأدوار الوظيفية، وتقييم منتظم.

بالنسبة إلى المؤسسات التي تراجع تدريب الموظفين خلال شهر التوعية بالأمن السيبراني في السعودية وفق ضوابط NCA ECC، توفر الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة الوطنية للأمن السيبراني (NCA) نقطة انطلاق مهمة. يتضمن إصدار ECC 2-2024 المكوّن الفرعي 1-10، «برنامج التوعية والتدريب بالأمن السيبراني»، الذي يتناول تطوير البرنامج، وتنفيذه، وموضوعات التوعية الأساسية، والتدريب المتخصص، والمراجعة الدورية. وينبغي أن تكون الوثيقة الرسمية للضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة المرجع الأساسي لتفسير هذه المتطلبات.

أعلنت الهيئة الوطنية للأمن السيبراني إطلاق النسخة السادسة من حملتها الوطنية للتوعية بالأمن السيبراني في 1 أكتوبر 2026. وتشجع مواد التوعية الحالية ممارسات يومية أكثر أمانًا، بما في ذلك فحص الروابط والملفات المشبوهة، وحماية الحسابات، وتحديث الأجهزة. وتوفر حملة الهيئة للتوعية لعام 2026 مواد يمكن للمؤسسات استخدامها لدعم مبادراتها الخاصة.

المصدر: إعلان حملة الهيئة وإرشادات التوعية.

استخدم قائمة التحقق العملية هذه لتدريب الموظفين وفق الضوابط الأساسية للأمن السيبراني، للتمييز بين المتطلبات والتوصيات، وتخطيط التعلم، والاحتفاظ بالأدلة، ثم استكشف تدريب الامتثال لإطار عمل الأمن السيبراني للبنك المركزي السعودي CSF لتطوير المعرفة المتخصصة بالقطاع.

لماذا يهم شهر التوعية بالأمن السيبراني المؤسسات السعودية؟

يتعامل الموظفون يوميًا مع البريد الإلكتروني، وتطبيقات الأعمال، والأجهزة المحمولة، وبيانات المؤسسة. ويمكن أن تؤثر قراراتهم في مدى فعالية الضوابط التقنية الوقائية التي تطبقها المؤسسة.

يوفر شهر التوعية بالأمن السيبراني فرصة مفيدة لتحديد الفجوات المعرفية، وتحديث الاتصالات الداخلية، وتعزيز عادات العمل الآمنة. ومع ذلك، ينبغي أن تكون أنشطة التوعية جزءًا من برنامج مستمر، لا بديلًا عنه.

ماذا تقدم حملة التوعية السعودية لعام 2026؟

تستخدم مواد التوعية الصادرة عن الهيئة لعام 2026 رسالة «وعيك أولًا.. احمِ فضاءك السيبراني». وهي تتناول التصيد الاحتيالي، واختراق الحسابات، وفقدان البيانات، والثغرات البرمجية، وإجراءات الحماية العملية. كما تتناول الإرشادات كلمات المرور القوية، والمصادقة الثنائية، والتحقق من الروابط ورموز الاستجابة السريعة (QR)، والتحديثات التلقائية، والنسخ الاحتياطي المجدول.

يمكن للمؤسسات تكييف المواد ذات الصلة لاستخدامها في إحاطات الموظفين، والنشرات الداخلية، وجلسات التعلم، والشاشات الرقمية. ويجب أن تظل مسؤولة عن اختيار المحتوى المناسب والوفاء بالمتطلبات التنظيمية المنطبقة عليها.

وتقدم الهيئة أيضًا حقيبة التوعية بالأمن السيبراني للجهات الوطنية. وتوضح الخدمة أنها توفر مواد توعية شهرية وخطة نشر مقترحة لقنوات الاتصال الداخلية.

ما المؤسسات التي يجب أن تراعي ضوابط ECC؟

تحدد وثيقة ECC 2-2024 نطاق تطبيقها ليشمل الجهات الحكومية في المملكة العربية السعودية، والشركات والجهات التابعة لها، وجهات القطاع الخاص التي تمتلك البنى التحتية الوطنية الحساسة (CNIs) أو تشغلها أو تستضيفها. وتشجع الهيئة الجهات السعودية الأخرى على استخدام هذه الضوابط بوصفها أفضل ممارسات للأمن السيبراني.

يعتمد انطباق المتطلبات على المؤسسة والضوابط ذات الصلة. لذلك، ينبغي للشركات التأكد من وضعها التنظيمي، بدلًا من افتراض أن كل ضابط من ضوابط ECC ينطبق بالطريقة نفسها على جميع المؤسسات الخاصة.

ما الذي يتطلبه إصدار NCA ECC 2-2024 لتدريب الموظفين؟

الأساس ذو الصلة هو المكوّن الفرعي 1-10: برنامج التوعية والتدريب بالأمن السيبراني. وتحدد ضوابطه خمسة متطلبات رئيسية.

تتبع أرقام هذه الضوابط الإصدار الرسمي ECC 2-2024. ويجب عدم الخلط بينها وبين ترقيم الإصدار السابق ECC-1:2018.

تطوير برنامج معتمد وتنفيذه

يتناول الضابطان 1-10-1 و1-10-2 تطوير البرنامج واعتماده وتنفيذه. ولا يكفي نشاط واحد خلال أكتوبر لإثبات الوفاء بهذه المتطلبات.

ينبغي للمؤسسات تحديد أهداف التدريب، والفئات المستهدفة، وقنوات التقديم، والمسؤوليات، وترتيبات المراجعة.

تغطية مجالات التوعية الأربعة المطلوبة

يتناول الضابط 1-10-3 أمن البريد الإلكتروني، والأجهزة المحمولة ووسائط التخزين، وتصفح الإنترنت، ووسائل التواصل الاجتماعي.

ينبغي أن يتعلم الموظفون الممارسات الآمنة لكل مجال وكيفية الاستجابة للأنشطة المشبوهة. ويمكن إضافة موضوعات تعالج المخاطر ذات الصلة والضوابط المنطبقة.

توفير تدريب مخصص للأدوار الوظيفية

يتطلب الضابط 1-10-4 تدريبًا متخصصًا للعاملين في الأمن السيبراني، والمطورين، والعاملين على أصول تقنية المعلومات، والمديرين التنفيذيين، والمشرفين.

ينبغي أن يتناسب التدريب مع مسؤوليات الأمن السيبراني لكل دور وظيفي. ولا تكفي التوعية العامة وحدها للأدوار التي تتطلب مهارات متخصصة.

مراجعة البرنامج بانتظام

يتطلب الضابط 1-10-5 مراجعات دورية لتنفيذ البرنامج.

ينبغي للمؤسسات التحقق من تقديم التدريب، وتقييم النتائج، وتحديد التحسينات. ويمكن أن تساعد المشاركة، والملاحظات، واختبارات المعرفة في تقييم الفعالية.

تضمين الأمن السيبراني في عمليات دورة حياة الموظف

يكمل المكوّن الفرعي 1-9 أنشطة التوعية والتدريب. ويتناول الضابط 1-9-4 التوعية بالأمن السيبراني عند التعيين وخلال فترة العمل، بينما يتناول الضابط 1-9-5 إلغاء صلاحيات وصول الموظفين عند انتهاء العمل.

ينبغي للموارد البشرية، والمديرين، وفرق الأمن السيبراني تنسيق أنشطة التوعية، والالتزام بالسياسات، وإدارة الوصول.

قائمة التحقق من تدريب الموظفين وفق ضوابط ECC

استخدم هذه القائمة لتخطيط التعلم وتحديد الأدلة الداعمة. أمثلة الأدلة هي توصيات، وليست قائمة وثائق تدقيق تفرضها ضوابط ECC.

1. التصيد الاحتيالي وأمن البريد الإلكتروني

الضوابط ذات الصلة: ECC 1-10-3-1 و2-4-3-1.

ينبغي أن يتمكن الموظفون من التعرف على المرسلين المشبوهين، والمرفقات غير المتوقعة، والروابط المضللة، وطلبات الدفع غير المعتادة. كما ينبغي لهم التحقق من الطلبات غير المتوقعة عبر قنوات موثوقة.

يتناول الضابط ECC 2-4-3 أيضًا إجراءات حماية البريد الإلكتروني على مستوى المؤسسة. ويكمل التدريب هذه الإجراءات التقنية.

الأدلة الموصى بها: مواد التعلم المعتمدة، وسجلات الحضور، ونتائج اختبارات المعرفة، واتصالات التوعية، ومراجعات البرنامج. وعند استخدام المحاكاة، احتفظ بالنتائج وإجراءات المتابعة.

2. كلمات المرور وأمن الحسابات

الضوابط ذات الصلة: ECC 2-2-3 ومتطلبات إدارة الهويات والوصول المنطبقة.

ينبغي للموظفين اتباع سياسات المصادقة المعتمدة، وحماية بيانات الاعتماد، وتجنب إعادة استخدام كلمات مرور العمل. وقد تساعد أدوات إدارة كلمات المرور حيثما يُسمح باستخدامها.

لا يحدد المكوّن الفرعي 1-10 من ECC طولًا معينًا لكلمة المرور، أو فترة انتهاء صلاحية، أو صيغة للتعقيد. تحقق من السياسات والمتطلبات التنظيمية المنطبقة.

الأدلة الموصى بها: سياسات المصادقة، وإرشادات الموظفين، وسجلات التدريب، ومراجعات ضوابط إدارة الهويات والوصول.

3. المصادقة متعددة العوامل

الضابط ذو الصلة: ECC 2-2-3-2.

يتناول هذا الضابط المصادقة متعددة العوامل للوصول عن بُعد والحسابات ذات الصلاحيات المرتفعة. وتعتمد العوامل والتقنيات المناسبة على تقييم فشل المصادقة وتجاوزها.

ينبغي للموظفين استخدام الأساليب المعتمدة، وحماية رموز التحقق، والإبلاغ عن طلبات المصادقة غير المتوقعة. كما ينبغي لفرق تقنية المعلومات الحفاظ على الإعدادات المناسبة.

الأدلة الموصى بها: سياسات الوصول، وسجلات الإعدادات والتقييم التي تحتفظ بها الفرق المخولة، ومواد تدريب الموظفين.

4. الأجهزة ووسائط التخزين القابلة للإزالة

الضوابط ذات الصلة: ECC 1-10-3-2 و2-3-3-2.

ينبغي للموظفين اتباع قواعد الأجهزة المحمولة، ووسائط التخزين الخارجية، ومعلومات الأعمال. كما ينبغي لهم تجنب الأجهزة غير المعتمدة ونقل الملفات عبر قنوات غير مصرح بها.

يتطلب الضابط ECC 2-3-3-2 تقييدًا صارمًا لاستخدام وسائط التخزين الخارجية وتأمينها. وينبغي أن يوضح التدريب عملية الموافقة.

الأدلة الموصى بها: السياسات ذات الصلة، ومواد التوعية، وإجراءات الموافقة، والمراجعات الدورية للضوابط.

5. التصفح ووسائل التواصل الاجتماعي

الضوابط ذات الصلة: ECC 1-10-3-3 و1-10-3-4.

ينبغي للموظفين التعرف على المواقع والتنزيلات المشبوهة وطلبات الحصول على معلومات المؤسسة. كما ينبغي لهم اتباع قواعد مشاركة المحتوى المتعلق بالعمل على وسائل التواصل الاجتماعي.

يمكن أن يدعم فحص الروابط والملفات ورموز الاستجابة السريعة غير المتوقعة أنشطة التوعية. ولا يُعد فحص رموز الاستجابة السريعة متطلبًا منفصلًا بموجب ECC 1-10-3.

الأدلة الموصى بها: مواد التدريب، والاتصالات الداخلية، ونتائج التقييم، والإجراءات التي تعالج فجوات التعلم.

6. التحديثات والممارسات الآمنة للأجهزة

الضابط ذو الصلة: ECC 2-3-3-3.

يتناول هذا الضابط إدارة التحديثات والإصلاحات الأمنية للأنظمة والتطبيقات والأجهزة. وينبغي للموظفين اتباع إجراءات التحديث المعتمدة والإبلاغ عن حالات الفشل أو السلوك المشبوه.

لا يحل التدريب محل المسؤوليات التقنية لإدارة التحديثات والإصلاحات الأمنية.

الأدلة الموصى بها: إجراءات إدارة التحديثات والإصلاحات الأمنية، والسجلات التقنية، والإرشادات المتعلقة بمسؤوليات الموظفين.

7. الاستخدام المقبول والسياسات

الضوابط ذات الصلة: ECC 2-1-3 و2-1-4 و1-9-4.

ينبغي للموظفين فهم الأنشطة المسموح بها، وقواعد التعامل مع المعلومات، والاستخدامات المحظورة. كما ينبغي لهم معرفة مكان العثور على السياسات وكيفية طلب التوضيح.

يتناول ECC 2-1-3 توثيق سياسة الاستخدام المقبول واعتمادها وتعميمها. ويتناول الضابط 2-1-4 تنفيذها. أما الضابط 1-9-4 فيغطي التوعية عند التعيين وخلال فترة العمل.

الأدلة الموصى بها: السياسات المعتمدة، وسجلات الاتصال، ومواد التهيئة الوظيفية، وإقرارات الاطلاع حيثما تكون مطلوبة. ولا تثبت الإقرارات وحدها الفهم.

8. الإبلاغ عن الحوادث

الضابط ذو الصلة: متطلبات إدارة الحوادث المنطبقة. الإبلاغ توصية داعمة، وليس أحد الموضوعات الأربعة المنصوص عليها صراحة في ECC 1-10-3.

ينبغي للموظفين الإبلاغ عن التصيد الاحتيالي المشتبه به، والأجهزة المفقودة، والنشاط غير المعتاد في الحسابات، واحتمالات تعرض البيانات للكشف. كما ينبغي لهم استخدام القنوات المحددة وتجنب التحقيق في الحوادث بصورة مستقلة.

الأدلة الموصى بها: تعليمات الإبلاغ، ومواد التوعية، ونتائج التقييم، وسجلات التعلم اللاحق.

9. المغادرة وإلغاء صلاحيات الوصول

الضابط ذو الصلة: ECC 1-9-5.

ينبغي للموظفين والمديرين اتباع إجراءات إنهاء الخدمة المتعلقة بإعادة الأجهزة، وتسليم المهام، والإشعار بالمغادرة. وينبغي للموارد البشرية وفرق تقنية المعلومات المخولة إدارة إلغاء صلاحيات الوصول.

هذه مسؤولية تتعلق أساسًا بدورة حياة الموظف وإدارة الوصول.

الأدلة الموصى بها: إجراءات إنهاء الخدمة، والمسؤوليات المحددة، وسجلات مراجعة الوصول التي تديرها الفرق المخولة.

10. التقييم والتحسين

الضابط ذو الصلة: ECC 1-10-5.

استخدم اختبارات المعرفة، والسيناريوهات، والملاحظات، والمحاكاة المناسبة لتقييم الفهم. وراجع النتائج وحدّث التدريب مع تغير المخاطر أو السياسات أو المسؤوليات.

لا تثبت أرقام إكمال التدريب وحدها أن الموظفين يستطيعون تطبيق ما تعلموه.

الأدلة الموصى بها: ملخصات التقييم، وسجلات المشاركة، وتقارير المراجعة، وفجوات التعلم، وإجراءات التحسين.

يمكن للمؤسسات استخدام هذه القائمة لتحديد فجوات التعلم قبل التخطيط لدورة التدريب التالية. وعندما تحتاج الفرق إلى معرفة إضافية متخصصة بالقطاع، يمكن النظر في فرص التطوير المهني ذات الصلة، مثل الامتثال لإطار عمل الأمن السيبراني للبنك المركزي السعودي CSF.

خطة أكتوبر للممارسات السيبرانية الآمنة للموظفين على مدى أربعة أسابيع

الجدول التالي نهج تنفيذ موصى به، وليس جدولًا زمنيًا تفرضه الهيئة الوطنية للأمن السيبراني. ويمكن للمؤسسات تكييفه وفق برنامجها الحالي، واحتياجاتها التشغيلية، والضوابط المنطبقة.

ينبغي أن يكون هذا الجدول جزءًا من برنامج المؤسسة الأشمل للتوعية بالأمن السيبراني. ويجب عدم تأجيل الأنشطة المطلوبة حتى أكتوبر إذا كانت الخطة المعتمدة للمؤسسة أو ظروف المخاطر تستدعي تنفيذها في وقت أبكر.

التدريب على الأمن السيبراني بحسب الدور الوظيفي: من يحتاج إلى ماذا؟

يتناول ECC 1-10-4 صراحة التدريب المتخصص لأدوار وظيفية محددة. ويقترح الجدول التالي كيفية ترجمة هذا المتطلب إلى أهداف تعلم عملية.

يمكن تضمين التصيد الاحتيالي الذي يستهدف المديرين التنفيذيين، المعروف أحيانًا باسم «صيد الحيتان»، عندما يكون ذا صلة بمخاطر المؤسسة. وبالمثل، قد يحتاج المطورون إلى تعلم متخصص في التطوير الآمن، بينما قد يحتاج العاملون في تشغيل تقنية المعلومات إلى تدريب تقني يتناسب مع مسؤولياتهم.

توضح هذه الأمثلة محتوى تدريبيًا محتملًا. وهي لا تضيف موضوعات إلزامية جديدة إلى نص ECC 1-10-4.

ما الأدلة التي ينبغي للمؤسسات الاحتفاظ بها؟

يحتاج البرنامج الفعال إلى توثيق مناسب، إلى جانب تقديم التدريب. وتتطلب الضوابط الأساسية للأمن السيبراني الصادرة عن الهيئة تنفيذ الضوابط المنطبقة، وتتيح تقييم الامتثال بوسائل تشمل التقييم الذاتي، وتقارير الامتثال، والتدقيق الميداني.

للاستعداد الداخلي، يمكن النظر في الاحتفاظ بما يلي:

• البرنامج المعتمد: الأهداف، والفئات المستهدفة، وقنوات التقديم، والمسؤوليات، وترتيبات المراجعة.

• خطة الأنشطة: الجلسات والاتصالات المخطط لها وأنشطة التعلم ذات الصلة.

• سجلات المشاركة: معلومات الحضور أو الإكمال المناسبة لكل طريقة تقديم.

• مواد التعلم: العروض التقديمية، ورسائل التوعية، والتمارين، واختبارات المعرفة.

• سجلات التدريب المخصص للأدوار الوظيفية: التكليفات التدريبية والنتائج للفئات المعنية.

• وثائق المراجعة: نتائج التقييم، والفجوات المحددة، وإجراءات التحسين، ومراجعات المتابعة.

حافظ على دقة السجلات وحمايتها بشكل مناسب، واتساقها مع متطلبات الاحتفاظ المعتمدة في المؤسسة. وتمثل الأمثلة السابقة ممارسات موصى بها لتوثيق الأدلة، وليست قائمة رسمية شاملة للتدقيق صادرة عن الهيئة.

أخطاء شائعة في برامج التوعية وفق ضوابط ECC

يمكن لعدد من أوجه القصور التي يمكن تجنبها أن يقلل فعالية البرنامج.

• اعتبار أكتوبر البرنامج بأكمله: لا يمكن لحملة شهرية أن تحل محل التطوير الدوري للبرنامج وتنفيذه ومراجعته.

• استخدام التدريب نفسه لجميع الأدوار: التوعية العامة ضرورية، لكن ECC 1-10-4 يتناول أيضًا التدريب المتخصص للمناصب ذات الصلة.

• تتبع الحضور دون تقييم التعلم: تُظهر بيانات الإكمال المشاركة، لكنها لا تثبت بالضرورة الفهم أو تغير السلوك.

• استخدام مراجع ضوابط قديمة: حدّث ECC 2-2024 الإصدار السابق ECC-1:2018. تحقق من أرقام الضوابط بالرجوع إلى الوثيقة الحالية المنطبقة.

• الخلط بين التوصيات والمتطلبات: قد تكون محاكاة التصيد الاحتيالي، وتمارين رموز الاستجابة السريعة، وأساليب التقييم المحددة مفيدة، لكن لا ينبغي وصفها تلقائيًا بأنها متطلبات صريحة في ECC.

• إهمال التهيئة الوظيفية وإنهاء الخدمة: ينبغي أن تستمر التوعية طوال فترة العمل، بينما يتطلب إلغاء صلاحيات الوصول تنسيقًا بين الفرق المسؤولة.

الخاتمة

يوفر شهر التوعية بالأمن السيبراني 2026 للمؤسسات السعودية فرصة مناسبة لمراجعة معرفة الموظفين وتعزيز الممارسات الأمنية اليومية. ومع ذلك، يعتمد التقدم المستدام على برنامج معتمد، وتعلم ذي صلة، وتدريب متخصص حيثما يكون مطلوبًا، وتوثيق مناسب، ومراجعة دورية.

ابدأ بالتحقق من ضوابط ECC 2-2024 المنطبقة، وتقييم التدريب الحالي، وتحديد أهم فجوات التعلم. ثم حدد المسؤوليات، وخطط الأنشطة، وراجع النتائج. ويساعد هذا النهج على إبقاء التوعية مرتبطة بمخاطر المؤسسة والمتطلبات المنطبقة، بدلًا من التعامل مع أكتوبر بوصفه نشاطًا مستقلًا.

عزز برنامج التوعية بالأمن السيبراني في مؤسستك من خلال تحديد الفجوات ذات الأولوية، وتخطيط دورة التحسين التالية وفق ضوابط الهيئة المنطبقة، واستكشاف تدريب الامتثال لإطار عمل الأمن السيبراني للبنك المركزي السعودي CSF لتطوير المعرفة ذات الصلة بالقطاع.