5 مكونات أساسية للتدريب الأمني الفعّال في المؤسسات

تتزايدُ الهجماتُ السيبرانيةُ وخروقاتُ البياناتِ بشكلٍ كبيرٍ، ولا يمكن إلقاءُ اللومِ على أحدٍ سوى أنفسِنا، إذ نصبحُ راضين عن أنفسِنا، ونصدرُ أحكاماً سيئةً، ونقعُ فريسةً لحيلِ الهندسةِ الاجتماعيةِ. نتيجةً لذلك، تتعرّضُ المؤسساتُ في جميعِ أنحاءِ العالمِ للاختراقِ. إنَّ الإجابةَ على هذه المشكلةِ تقعُ على عاتقِنا أيضاً. إذ تشيرُ الدّراساتُ إلى أنّه عندَ تطبيقِ التّدريبِ على الوعيِ الأمني (Security Awareness Training - SAT) بشكلٍ صحيحٍ، يمكن أن يحقّقَ عائداً مرتفعاً على الاستثمارِ، ويقلّلَ بشكلٍ كبيرٍ من تعرّضِ الموظفينَ لهجماتِ التّصيدِ الاحتياليِّ والهندسةِ الاجتماعيةِ.

ومع ذلك، لا تزال برامجُ SAT التقليديةُ غيرَ جذابةٍ وغيرَ فعّالةٍ، حيث يستمرُّ الموظفونَ في تجاهلِ البروتوكولاتِ الأمنيةِ أو الاستسلامِ لهجماتِ التصيدِ الاحتياليِّ. وعلى الرغمِ من أنَّ الغالبيةَ العظمى (72%) من القادةِ يزعمونَ أنَّ الموظفينَ يكملونَ وحداتِ التدريبِ على الأقلِّ بشكلٍ ربعَ سنوي، إلا أنَّ التّدريبَ بمفردهِ لن يغيّرَ سلوكياتِ الموظفينَ بشكلٍ كبيرٍ. لتغييرِ السّلوكياتِ، يجبُ على المؤسّساتِ تجاوزُ التدريبِ العاديِّ وإيجادُ طرقٍ للتأثيرِ على مواقفِ المستخدمينَ وتحسينُ ثقافةِ الأمنِ السيبرانيِّ الشاملةِ ببرنامجِ SAT الفعّالِ.

1. التعزيزُ الإيجابيُّ

تشملُ المنظماتُ جميعَ أنواعِ الأشخاصِ الذينَ يتمتّعونَ بقدراتٍ تعليميّةٍ متنوعةٍ، ونضجٍ في مجالِ الأمنِ السّيبرانيِّ، ومهاراتٍ، وشخصياتٍ، وخلفياتٍ، ومسؤوليّاتٍ وظيفيةٍ. ليس الجميعُ خبراءً بالفطرةِ في مجالِ الأمنِ السيبرانيِّ. عندما يرتكبُ الأشخاصُ أخطاءً، ويحتاجونَ إلى التّوجيهِ، فلا ينبغي أنْ يشعروا بالتهديد يالعقابِ أو الانتقادِ، لأنَّ ذلكَ يمكنُ أنْ يؤدّيَ إلى ثقافةٍ سامةٍّ ومخيفةٍ تسببُ ضرراً أكثرَ من نفعها. على العكسِ من ذلك، عندما يتمُّ رعايةُ الموظفينَ وتحفيزهمْ، فإنَّ ذلكَ يعززُ معنوياتِ الشركةِ، ويحسّنُ الثقةَ بالنفسِ، ويشجّعُ العمّالَ على الأداءِ بشكلٍ أفضلَ.

2. المكافآتُ والتقديرُ

تعدُّ المكافآتُ والتقديرُ طريقةً رائعةً لتحفيزِ الأشخاصِ على بذلِ قصارى جهدهمْ. عندما تبذلُ المؤسّساتُ جهداً إضافياً لمكافأةِ أعضاءِ الفريقِ وتقديرهمْ، فإنّها ترسلُ رسالةً مباشرةً إلى القوى العاملةِ مفادها أنَّ الشركةَ جادةٌ بشأنِ مبادراتِ الأمنِ السيبرانيِّ. يمكنُ التفكيرُ في ما يسمّى بالألعابِ من خلالِ إجراءِ مسابقاتٍ أمنيةٍ، واختباراتٍ، وتمارينِ محاكاةِ التصيدِ الاحتياليِّ، وتشجيعِ المكافآتِ والتقديرِ المنافسةَ السليمةَ التي تلهمُ الأشخاصَ لتقديمِ أفضلِ ما لديهمْ. ويمكنُ للشركاتِ تقديمُ قسائمَ متاجرِ البيعِ بالتجزئةِ، وأماكنِ انتظارِ السياراتِ، ووجباتِ غداءِ البيتزا وتذاكرِ الحفلاتِ الموسيقيّةِ، وغيرها، والتعرّفُ على أفضلِ الأداءاتِ - أولئك الذينَ اجتازوا اختباراتِ التصيدِ الاحتياليِّ الوهميةِ باستخدامِ أمثلةٍ واقعيةٍ، ممّا يخلقُ تجربةً تعاونيةً وإيجابيةً، ويحسّنُ المشاركةَ.

3. تجربةُ المستخدمِ

غالباً ما يتمُّ تجاهلُ تجربةِ المستخدمِ في التدريبِ على التّوعيةِ الأمنيةِ، مثل جودةِ المحتوى وأهميتهِ، ومدّةِ التّدريبِ، وسهولةِ استخدامِ النّظامِ الأساسيِّ الذي يتدربُ عليهِ المستخدمونَ، وتوافرِ موظفي الأمنِ لمساعدةِ الموظّفينَ. كلُّ هذه الأدواتِ والعملياتِ ونقاطِ الاتصالِ المختلفةِ لها تأثيرٌ مباشرٌ على التعلُّمِ والمشاركةِ والتحفيزِ. على سبيلِ المثالِ، كلّما كانتْ مدّةُ الدورةِ التدريبيةِ أقصرَ، أصبحَ حضورُ الموظفينَ أسهلَ وتعلّمُ المفاهيمِ وفهمُها بشكلٍ أفضلَ. كلّما طالتْ مدةُ الدورةِ، كانَ استيعابُ المفاهيمِ دفعةً واحدةً محبطاً ومثبطاً للهممِ. وبالمثل، كلّما زادتِ الاحتكاكاتُ في الأنظمةِ والعملياتِ والبروتوكولاتِ، قلّتْ متعةُ تجربةِ التّدريبِ للموظفينَ.

4. ردودُ الفعلِ والتواصلُ والشفافيةُ

تعدُّ التعليقاتُ والتّواصلُ أيضاً من العناصرِ المهمةِ لبرنامجِ SAT الفعّالِ. عندما تكونُ المؤسساتُ متقبّلةً للملاحظاتِ وشفّافةً بشأنِ التّقدمِ الذي تحرزهُ بالإضافةِ إلى التحدياتِ التي تواجهها، يمكنُ أنْ يؤديَ ذلكَ إلى بيئةٍ أكثرَ تعاونيةً حيثُ يشعرُ الموظفونَ بملكيةِ البرنامجِ. علاوةً على ذلكَ، إذا أظهرتِ المنظماتُ تدريجياً التحسيناتِ في برامجها التدريبيةِ من خلالِ تعليقاتِ الموظفينَ، ستجعلُ الموظفينَ يشعرونَ بالاستماعِ والتقديرِ، ممّا يحفّزُهمْ بشكلٍ أكبرَ على متابعةِ البروتوكولاتِ والإجراءاتِ الأمنيةِ.

5. المقاييسُ التي تركزُ على النتائجِ

عندما يتعلّقُ الأمرُ باختيار SAT، تركّزُ العديدُ من المؤسساتِ على مقاييسَ مثلَ المشاركةِ في التدريبِ ومعدلاتِ الإنجازِ، وتحدُّ هذه المقاييسُ من الرّؤيةِ الواقعيةِ للحالةِ الحقيقيةِ للمخاطرِ البشريةِ التي تواجهها المؤسّسةُ. يجبُ على الشركاتِ بدلاً من ذلكَ قياسُ ما يلي:

• النسبةُ المئويةُ المعرّضةُ للتصيّدِ الاحتياليِّ: معدلاتُ النقرِ إلى الظهورِ في اختباراتِ التصيّدِ الاحتياليِّ المحاكاةِ.
• أبعادُ الثقافةِ الأمنيةِ: الاتجاهاتُ والسلوكياتُ والأعرافُ باستخدامِ المسوحاتِ.
• المقاييسُ السّلوكيةُ: مخاطرُ الموظفِ بناءً على الاستخدامِ والقسمِ والموقعِ.
• ردودُ الفعلِ الشّخصيةِ: نتائجُ الدراساتِ الاستقصائيةِ ومجموعاتُ التركيزِ لفهمِ متطلباتِ الجمهورِ المستهدفِ وتأثيرها بشكلٍ أفضلَ.
• مقاييسُ الأمانِ: بياناتُ المخاطرِ من أدواتِ الأمنِ السيبرانيِّ مثل منعِ تسرّبِ البياناتِ والمصادقةِ متعدّدةِ العواملِ لفهمِ أنماطِ الاستخدامِ وسلوكيّاتِ الموظّفينَ بمرورِ الوقتِ.

تحديدُ وإنشاءُ مقاييسَ أساسيةٍ للمساعدةِ في تصميمِ أو تعديلِ إستراتيجيةِ SAT الخاصّةِ بكَ لتلبيةِ نتائج أمنيةٍ محدّدةٍ وسدِّ الثغراتِ المحدّدةِ.

إنَّ استراتيجيةَ SAT الفعّالةَ هي استراتيجيةٌ تتمحورُ حولَ الإنسانِ أكثرَ من التركيزِ على الإجراءاتِ. إذا ركزتِ الشركاتُ وفرقها الأمنيةُ على التعاطفِ وتجربةِ المستخدمِ والمشاركةِ والتماسِ التعليقاتِ ودمجها، يمكنها بناءُ قوةٍ عاملةٍ أكثرَ استنارةً ومعرفةً وثقافةِ أمنٍ سيبرانيٍّ مرنةٍ.