الموضوع بيبدأ بإيميل شكله تقريباً مظبوط: اسم مورد مكتوب صح، فاتورة مرفقة، وطلب "تحديث بيانات الدفع بسرعة". كليك واحد، وبيانات المؤسسة المالية وبيانات عملائها ممكن تتكشف في دقايق. محدش في السيناريو ده مهمل بطبعه، هو بس محدش وضحله علامات الخطر. دورات تدريبية في العادات اليومية لأمن المعلومات لموظفي المكاتب من أكاديمية الزمالة العربية البريطانية موجودة لأن أغلب حوادث الأمن في بيئة العمل سببها مش قرصنة متطورة، لكن موظف عادي بياخد قرار عادي من غير وعي كافي يمسك علامات التحذير.

الضوابط التقنية ليها حدود لما الموظف نفسه ماسك المفاتيح: كلمة المرور، الشاشة المفتوحة، الوثيقة المطبوعة المتروكة على المكتب، اللاب توب الشركة المفتوح على واي فاي عام. البرنامج ده بيبني الحس اللي وراء القرارات اليومية دي: إزاي تقرأ إيميل مشبوه قبل ما تدوس عليه، شكل عادة المصادقة القوية فعلاً، ليه ترتيب المكتب آخر اليوم بيحمي أكتر مما يبان، وليه الطلب اللي "مايستناش" هو غالباً اللي المفروض يستنى.

الدورة تابعة لفئة دورات إدارة المكاتب، وهي مبنية قصداً للموظفين غير التقنيين، زي الاستقبال والإدارة والموارد البشرية والمالية وخدمة العملاء والعمليات، اللي مش متوقع منهم يبقوا متخصصين أمن، لكنهم بياخدوا عشرات القرارات المرتبطة بالأمن كل يوم عمل. أكاديمية الزمالة العربية البريطانية صممت البرنامج حول القرارات دي مش حول النظرية التقنية، عشان ثقافة الوعي الأمني تنمو من عادات الناس تقدر فعلاً تحافظ عليها.

الوعي الأمني بيشتغل بس لما يغيّر فعلاً اللي الناس بتعمله على مكتبها. الدورة دي بتركز على بناء العادات دي بدل تلاوة السياسات. المشاركون هيقدروا:

• يلاحظوا علامات إيميل التصيد الاحتيالي، زي تضارب بيانات المرسل، الاستعجال، المرفقات أو الطلبات غير المعتادة، ويبلغوا عنه من القناة الصح قبل ما يسبب ضرر.
• يبنوا عادات كلمات مرور ومصادقة تصمد تحت ضغط العمل الحقيقي، وكمان يفهموا ليه مشاركة بيانات الدخول وإعادة استخدامها أخطر مما تبدو.
• يطبقوا ممارسات المكتب النظيف اللي بتحمي الوثائق والملاحظات وبطاقات الدخول وأي مواد حساسة كل ما المكتب يتترك من غير مراقبة.
• يفهموا إيه اللي تشفير الأجهزة فعلاً بيحميه، ويتعاملوا مع اللاب توبات والهواتف ووسائط التخزين المحمولة بمسؤولية جوه وبرة المكتب.
• يطبقوا مبادئ ضوابط الوصول صح، باستخدام الأنظمة والملفات والمناطق اللي بتطابق مسؤولياتهم الفعلية بس، ويبلغوا عن أي حاجة شكلها وصول غير مصرح.
• يتعرفوا على أساليب الهندسة الاجتماعية اللي بتعتمد على الاستعجال أو السلطة أو الألفة للتأثير في قرار، ويعرفوا إمتى يوقفوا ويتحققوا بدل ما ينفذوا على طول.
• يتعاملوا بمسؤولية مع معلومات العمل السرية عبر الإيميل والدردشة والوثائق المطبوعة والمحادثات، حتى وهم شغالين عن بُعد أو مسافرين.
• يتعرفوا على الحادث الأمني المحتمل ويبلغوا عنه بسرعة، وهما فاهمين إن الإبلاغ المبكر بيحمي المؤسسة أكتر من محاولة حل المشكلة لوحدهم.

الفئة المستهدفة

• مسؤولو المكاتب والمساعدون الإداريون والتنفيذيون وموظفو الاستقبال والواجهة الأمامية اللي بيتعاملوا مع المعلومات والزوار والاتصالات يومياً.
• موظفو الموارد البشرية والمالية والمحاسبة والمشتريات اللي بيديروا سجلات سرية وبيانات رواتب وبيانات موردين.
• فرق خدمة العملاء والمبيعات والعمليات اللي بتتواصل مع جهات خارجية وتتعامل مع بيانات العملاء.
• موظفو إدارة السجلات والوثائق، ومنسقو الإدارات، والمشرفون وقادة الفرق المسؤولون عن المعلومات جوه فرقهم.
• المديرون المسؤولون عن عمليات المكاتب، وأي موظف بيستخدم حواسيب أو أجهزة أو أنظمة إدارية للمؤسسة ومحتاج وعي أمني عملي أقوى.

الوحدات

الوحدة الأولى: الإيميل اللي كاد يعدي — التصيد الاحتيالي والتعرف على المخاطر اليومية

• إزاي الأنشطة المكتبية العادية (الإيميل، مشاركة الملفات، الوصول عن بُعد، استخدام الأجهزة) بتخلق مخاطر أمنية يومية
• فحص بيانات المرسل المشبوهة والروابط والمرفقات والطلبات غير المعتادة أو العاجلة
• محاولات انتحال الهوية والرسائل الاحتيالية اللي بتبان جاية من زملاء أو مديرين أو موردين أو عملاء
• التحقق قبل التصرف، والإبلاغ عن المراسلات المشبوهة من القناة الصحيحة

الوحدة الثانية: عادات كلمات المرور والمصادقة اللي بتصمد تحت الضغط

• إنشاء بيانات دخول قوية وسهلة التذكر من غير حلول مختصرة غير آمنة
• ليه إعادة استخدام كلمة المرور ومشاركتها بشكل غير رسمي أخطر مما تبدو في اللحظة
• الالتزام بسياسة المصادقة المؤسسية بثبات حتى لو كانت مزعجة

الوحدة الثالثة: المكتب اللي بتسيبه ورايا — سياسة المكتب النظيف والأمن المادي

• إزاي الوثائق المتروكة والسجلات المطبوعة وبطاقات الدخول وبيانات الدخول المكتوبة بتخلق تعرض للخطر
• تأمين الوثائق ومساحات العمل عند مغادرة المكتب أو إنهاء يوم العمل
• التخزين والتخلص والحماية المناسبة للمواد السرية في مساحات المكتب المشتركة

الوحدة الرابعة: الأجهزة اللي بتسافر معاك — التشفير وأمن العمل عن بُعد والمتنقل

• إيه اللي تشفير الأجهزة بيحميه فعلاً على اللاب توبات والهواتف والأجهزة اللوحية ووسائط التخزين
• قفل الشاشة والتخزين الآمن وتحديث البرامج والحماية المادية لأجهزة المؤسسة
• العمل بأمان برة المكتب: الشبكات العامة والخصوصية المادية والتعامل المسؤول مع المعلومات أثناء السفر
• الإبلاغ الفوري عن أي جهاز مفقود أو مسروق من غير تردد

الوحدة الخامسة: ضوابط الوصول — استخدم بس اللي يخص دورك

• مطابقة الوصول للملفات والتطبيقات والأنظمة والمناطق المادية مع المسؤولية المهنية الفعلية
• ليه السماح لشخص تاني يستخدم حسابك أخطر مما يبدو
• الإبلاغ عن أي وصول غير مناسب أو غير متوقع من غير تأخير

الوحدة السادسة: الهندسة الاجتماعية — لما الهجوم بيلبس وش ودود

• أساليب التأثير الشائعة المبنية على السلطة والاستعجال والألفة والثقة
• التعرف على الطلبات المصممة لتجاوز الإجراءات المعتمدة
• عادات التحقق اللي بتحمي الموظف بقد ما بتحمي المؤسسة

الوحدة السابعة: الاتصال الآمن والتعامل مع المعلومات الحساسة

• مشاركة وحفظ ومناقشة المعلومات السرية بمسؤولية عبر القنوات الداخلية والخارجية
• تجنب الكشف العرضي لمستلمين غير مصرح لهم
• تطبيق نفس الانضباط على القنوات غير الرسمية (الدردشة، الأجهزة الشخصية، المكالمات السريعة) زي الرسمية بالظبط

الوحدة الثامنة: التعرف على الحوادث والإبلاغ عنها وبناء ثقافة واعية بالأمن

• الحالات اللي بتستدعي إبلاغ فوري: رسائل مشبوهة، أجهزة مفقودة، كشف عرضي، نشاط غير معتاد بالأنظمة
• ليه التصعيد السريع من القنوات المعتمدة أفضل من محاولة التحقيق لوحدك
• التعامل مع أمن المعلومات كجزء طبيعي ومستمر من المسؤولية المهنية اليومية مش موضوع تدريب لمرة واحدة

من خلال هذا النهج العملي القائم على السيناريوهات، أكاديمية الزمالة العربية البريطانية بتساعد المؤسسات تحوّل أمن المعلومات من وثيقة سياسة لمجموعة عادات موظفو المكتب فعلاً بياخدوها معاهم في شغلهم اليومي.

الأسئلة الشائعة

1. المشاركون محتاجين خلفية تقنية؟
لأ. الدورة مصممة لموظفي المكاتب غير التقنيين، وبتركز بالكامل على السلوك اليومي مش الإعدادات التقنية.

2. ليه الدورة بتبدأ بالتصيد الاحتيالي مش بالمبادئ العامة؟
لأن التصيد الاحتيالي هو أكتر طريقة بيواجه بيها موظف عادي تهديد أمني حقيقي، فالدورة بتبدأ بالسيناريو اللي المشارك أقرب ما يواجهه.

3. هل الدورة بتغطي الموظفين اللي بيشتغلوا عن بُعد أو بيسافروا؟
أيوه، كجزء من وحدة أمن الأجهزة، بتغطي الشبكات العامة والخصوصية المادية والتعامل المسؤول مع المعلومات برة المكتب.

4. إزاي الدورة بتفرق بين الهندسة الاجتماعية والتصيد الاحتيالي؟
التصيد الاحتيالي بيركز على الرسائل والروابط، بينما الهندسة الاجتماعية بتغطي التأثير عن طريق المكالمات والطلبات الشخصية وانتحال السلطة، وهو خطر مختلف لكنه مرتبط.

5. إيه النتيجة المتوقعة في العادات اليومية للمشارك؟
المشاركون بيطلعوا قادرين يلاحظوا الخطر في اللحظات العادية (إيميل، مكالمة، شاشة مفتوحة) ويبلغوا أو يصعّدوا من القناة الصح من غير تردد.