جوهانسبرغ، جنوب أفريقيا, 2025 مايو 5/APO Group/ --

حان الوقت للتخلي عن الرواية البالية التي تقول إن الموظفين هم "الحلقة الأضعف" في الأمن السيبراني. هم ليسوا كذلك. هم ببساطة الأكثر استهدافًا. وهذا منطقي – إذا كنت مجرمًا إلكترونيًا، لماذا تقتحم الأنظمة الآمنة بالقوة بينما يمكنك ببساطة خداع إنسان؟

وهذا هو السبب في أن الاعتماد المفرط على الضوابط التقنية فقط يؤدي إلى نتائج عكسية. وكذلك معاملة المستخدمين كأعباء يجب التحكم فيها، بدلًا من أصول يجب تمكينها.

أحد المبادئ الأساسية لإدارة المخاطر البشرية (HRM) لا يتعلق بإلقاء اللوم، بل بتمكين اتخاذ قرارات أفضل على كل المستويات. إنها استراتيجية عملية متعددة الطبقات تجمع بين التكنولوجيا والثقافة وتصميم السلوك لتقليل المخاطر السيبرانية البشرية بطريقة مستدامة. وهي تعترف بهذه الحقيقة الحاسمة: يمكن أن يكون موظفوك أعظم دفاع لك – إذا قمت بتجهيزهم جيدًا.

جوهر إدارة المخاطر البشرية هو تمكين الأفراد من اتخاذ قرارات أفضل بشأن المخاطر، ولكنه أكثر من ذلك. تؤكد آنا كولارد، نائب الرئيس الأول لاستراتيجية المحتوى والدعوة في KnowBe4 أفريقيا: "مع المزيج الصحيح من الأدوات والثقافة والممارسات الأمنية، يصبح الموظفون امتدادًا لبرنامجك الأمني، بدلًا من مجرد سطح هجوم متزايد".

كشفت دراسة حديثة لشركة IBM أن أكثر من 90% من جميع الاختراقات السيبرانية يمكن إرجاعها إلى خطأ بشري بسبب استغلال الموظفين بنجاح من خلال عمليات الاحتيال التصيدية، أو استخدامهم كلمات مرور ضعيفة أو التعامل غير الأمثل مع البيانات الحساسة. لطالما رأت الشركات الاتجاه التصاعدي في هذا التهديد، بفضل العديد من الدراسات، وبالتالي غالبًا ما يُحكم على الموظفين بأنهم أكبر خطر تحتاج الشركات إلى إدارته. لكن هذا المنظور يحرم الشركات من فرصة تطوير أفضل دفاع يمكن أن تمتلكه: موظفون مُمَكَّنون ومبادرون في الخط الأمامي؛ وليسوا خلفه.

حماية المستخدمين – ولكن أيضًا تدريبهم من خلال التعرض

بالطبع، أول شيء يجب على الشركات فعله هو حماية الموظفين ودرء التهديدات الحقيقية عنهم. تقنيات الوقاية والكشف – مرشحات بوابة البريد الإلكتروني، حماية نقطة النهاية، التحليل المدفوع بالذكاء الاصطناعي – ضرورية لمنع المحتوى الضار من الوصول إلى صناديق بريد المستخدمين أو أجهزتهم. ولكن هنا تكمن المشكلة: إذا لم يتعرض المستخدمون للتهديدات أبدًا، فلن يبنوا القدرة على التعرف عليها عندما تتسرب.

هنا يأتي تأثير الانتشار – وهو تحيز إدراكي يوضح أنه كلما قل عدد مرات رؤية شخص ما لتهديد (مثل رسالة بريد إلكتروني تصيدية)، قل احتمال اكتشافه عندما يظهر أخيرًا. إنها نظرة ثاقبة رائعة ومخالفة للحدس قليلًا: في محاولة حماية المستخدمين أكثر من اللازم، قد نجعلهم أكثر عرضة للخطر.

لهذا السبب تعتبر حملات التصيد الوهمية وسيناريوهات التدريب الواقعية بالغة الأهمية. فهي توفر تعرضًا آمنًا ومتحكمًا فيه لتكتيكات الهجوم الشائعة – حتى يتمكن الأشخاص من تطوير ردود الفعل، والتعرف على الأنماط، والتفكير النقدي اللازم للاستجابة بحكمة في المواقف الحقيقية.

العديد من تهديدات اليوم لا تعتمد فقط على الثغرات التقنية – بل تستغل انتباه الإنسان. يستغل المهاجمون الإجهاد والإلحاح والتشتت لتجاوز المنطق وإثارة أفعال متهورة. سواء كان ذلك تصيدًا أو رسائل نصية تصيدية أو تزييفًا عميقًا أو عمليات احتيال بانتحال الصوت، فإن الهدف هو نفسه: التلاعب بالبشر لتجاوز التدقيق.

لهذا السبب، يعد بناء ما أسميه الوعي الرقمي – القدرة على التوقف والمراقبة والتقييم قبل التصرف – جزءًا أساسيًا من إدارة المخاطر البشرية. هذا ليس حديثًا مجردًا عن العافية؛ بل هو مهارة عملية تساعد الأشخاص على ملاحظة تكتيكات الخداع في الوقت الفعلي والبقاء في نظامهم (وضع التفكير النقدي) بدلًا من الرد التلقائي. الأدوات مثل التدخلات القائمة على الأنظمة أو المطالبات أو التنبيهات أو تذكيرات الفرصة الثانية هي طرق لإحداث هذا الاحتكاك لتشجيع التوقف متى وأينما كان ذلك مهمًا.

"يواجه الموظفون كل يوم موجة متزايدة من الهجمات المتطورة والمدعومة بالذكاء الاصطناعي والمصممة لاستغلال نقاط الضعف البشرية، وليس فقط التقنية. بينما يستغل المهاجمون الأتمتة والذكاء الاصطناعي والهندسة الاجتماعية على نطاق واسع، فإن التدريب التقليدي ببساطة ليس فعالًا بما فيه الكفاية."

الحماية تتطلب دفاعًا متعدد الطبقات

"تمامًا كما تدير الشركات الثغرات التقنية، تحتاج إلى إدارة المخاطر البشرية – من خلال مزيج من السياسات والتكنولوجيا والثقافة والتعليم المستمر والتدخلات الشخصية"، كما تقول كولارد.

يمتد هذا النهج متعدد الطبقات إلى ما هو أبعد من التدريب التقليدي. يمكن للتدخلات القائمة على الأنظمة – مثل المطالبات الذكية والتنبيهات في الوقت الفعلي والتدريب الفوري – إبطاء المستخدمين في نقاط القرار الحاسمة، مما يساعدهم على اتخاذ خيارات أكثر أمانًا. يضيف التعلم المصغر المخصص، والمصمم خصيصًا لدور الفرد وملف المخاطر وأنماط السلوك، طبقة مهمة أخرى من الدفاع.

الأهم من ذلك، تؤكد كولارد على أن الثقة المعدومة لا ينبغي أن تنطبق فقط على الأنظمة. تشرح: "نحن بحاجة إلى تبني نفس المبدأ مع السلوك البشري. لا تفترض الوعي أبدًا. تحقق دائمًا من الفهم، وعززه باستمرار."

لجعل هذا المفهوم أكثر سهولة، تم استخدام الاختصار D.E.E.P.، وهو إطار عمل للدفاع الذي يركز على الإنسان:

• الدفاع: استخدم التكنولوجيا والسياسة لحظر أكبر عدد ممكن من التهديدات قبل أن تصل إلى المستخدم.
• التعليم: تقديم تدريب ومحاكاة وتدريب فوري ذي صلة ومستمر لبناء الوعي ومهارات اتخاذ القرار.
• التمكين: تعزيز ثقافة يشعر فيها الموظفون بالثقة للإبلاغ عن الحوادث دون خوف من اللوم أو التداعيات.
• الحماية: مشاركة معلومات التهديدات بشفافية، والتعامل مع الأخطاء كفرص للتعلم، وليس أسبابًا للخجل.

"الأمن القائم على الخوف لا يمكّن الناس"، كما تشرح. "إنه يعزز فكرة أن الموظفين هم نقاط ضعف يجب إبقاؤهم خلف الخط الأمامي. ولكن مع الدعم المناسب، يمكن أن يكونوا مدافعين فاعلين – وحتى خط الدفاع الأول الخاص بك."

المستخدمون المُمَكَّنون هم جزء من نسيجك الأمني

عندما يتم تدريب الأشخاص ودعمهم وإعدادهم ذهنيًا – وليس مجرد إلقاء محاضرات عليهم مرة واحدة في السنة – يصبحون امتدادًا ديناميكيًا لوضعك للأمن السيبراني. هم لا يختبئون خلف جدار الحماية؛ هم جزء منه.

مع تزايد الهجمات في الحجم والتطور، لا يكفي الاعتماد على البرامج وحدها. تحتاج الشركات إلى طبقة بشرية تكون بنفس القدر من القدرة على التكيف والمرونة واليقظة. وهذا يعني استبدال ثقافة اللوم بثقافة التعلم. وهذا يعني رؤية الناس ليس كمشكلة، ولكن كجزء من الحل.

لأن الحقيقة هي: أفضل دفاع ليس نظامًا مثاليًا. إنه شخص مُعد جيدًا يعرف كيف يستجيب عندما يتسرب شيء ما.

تختتم كولارد: "السلوك البشري معقد بشكل جميل. لهذا السبب، يعد النهج متعدد الطبقات لإدارة المخاطر