الأمن السيبراني 201: من عادات فردية إلى انضباط مؤسسي

الكورس الأول أعطاك قائمة: فعّل التحقق بخطوتين، حدّث أجهزتك، خذ نسخة احتياطية.

وهذه القائمة تكفي مشروعاً يديره شخص أو اثنان.

ثم يكبر المشروع، وتنتهي صلاحية القائمة.

متى تنتهي صلاحية القائمة

خمس علامات تعني أنك تجاوزت مستوى «افعلها بنفسك»:

١. صار عندك موظفون — والأمان صار يعتمد على سلوك أشخاص لا تراهم طوال اليوم.

٢. دخل نظام أو أكثر — نقاط بيع، حسابات، مخزون، وربما ربط بينها.

٣. صار عندك موردون يصلون لبياناتك — محاسب، شركة تسويق، مطوّر.

٤. صار عندك ما تخسره فعلاً — بيانات سنوات، وعملاء يعتمدون عليك.

٥. بدأ زبائنك يسألون — شركة كبيرة تطلب منك إجابات عن حماية بياناتها.

عند هذه النقطة تصير القائمة عاجزة، لأنها تجيب على «ماذا أفعل؟» ولا تجيب على السؤال الذي

صرت تواجهه: «ما الذي يستحقّ جهدي أنا تحديداً؟»

الفرق بين ١٠١ و٢٠١ في جملة

١٠١ يعطيك ما تفعله. و٢٠١ يعطيك كيف تقرّر ما تفعله — ثم كيف تجعله يستمرّ بعدك.

الأول عن إجراءات، والثاني عن طريقة وانضباط: تقييم مخاطر، ونمذجة تهديد، وأدوار بدل

أشخاص، واكتشاف بدل منع فقط، وإثبات بدل ادّعاء.

هل هذا الكورس لك؟ اختبار صادق

سأقولها بوضوح لأنني لا أريد أن تدفع مقابل شيء لا يناسبك الآن:

إن لم تكن قد أنجزت أساسيات ١٠١ — التحقق بخطوتين على حساباتك، ومدير كلمات مرور، وتحديثات،

ونسخة احتياطية مُجرَّبة الاستعادة — فتوقّف هنا وأنجزها أولاً.

هذا ليس تسويقاً للكورس الآخر. هو أن ٢٠١ يفترض تلك الأساسيات ولا يعيدها، ومن يبني حوكمة

على حسابات بلا تحقق بخطوتين يبني طابقاً ثانياً على أساس ناقص.

وإن كنت أنجزتها فأنت في المكان الصحيح، والباقي بناء عليها.

من الجرد إلى سجل المخاطر

في ١٠١ عملت جرد أصول: ما الذي أملكه. وهنا نأخذ الخطوة التالية: **ما الذي قد يحدث لكلٍّ

منها، وكم يهمّني.**

سجل المخاطر جدول واحد، وهو الوثيقة المركزية في هذا الكورس:

الاحتمال والأثر: كلٌّ من ١ إلى ٥. والدرجة = حاصل ضربهما (١ إلى ٢٥).

كيف تقدّر الاحتمال بلا تخمين

لا توجد إحصاءات لمشروعك أنت. لكن ثلاثة أسئلة تعطيك تقديراً معقولاً:

١. هل حدث لي أو لمن أعرفه في مجالي؟ الحدوث السابق أقوى مؤشّر متاح.

٢. كم هو سهل؟ ما الذي يحتاجه من يريد فعلها — دقيقة أم أسبوع؟

٣. كم شخصاً يستطيع فعلها؟ موظفوك الخمسة، أم أي شخص على الإنترنت؟

والقاعدة العملية: قدّر بثقة معقولة وامضِ. **سجل مخاطر بتقديرات تقريبية أنفع بكثير من سجل

مثالي لم يُكتَب.**

الأثر: احسبه بالمال والوقت

الأثر ليس شعوراً. اسأل عن كل مخاطرة:

• كم ساعة توقّف؟ × كم تكسب في الساعة
• كم يكلّف الإصلاح؟
• كم عميلاً قد أخسر؟
• هل يوقف العمل كلياً أم جزئياً؟

مثال: توقّف نظام نقاط البيع يوماً كاملاً في يوم مزدحم — احسب مبيعات ذلك اليوم، وهذا هو

الأثر بالأرقام. ورقم واحد يقنعك بالإنفاق على المنع أكثر من عشر صفحات نصيحة.

أربعة قرارات لكل مخاطرة

بعد أن تعرف الدرجة، لك أربعة خيارات — وهذه هي النقطة التي يفوّتها كل من يظنّ أن الأمان يعني

معالجة كل شيء:

١. خفّض — إجراء يقلّل الاحتمال أو الأثر. وهذا أغلب ما ستفعله.

٢. انقل — تأمين، أو مورّد يتحمّل جزءاً بعقد.

٣. تجنّب — أوقف النشاط الذي يخلق المخاطرة أصلاً.

٤. اقبل — قرار مشروع تماماً لمخاطرة منخفضة الدرجة، أو مخاطرة كلفة معالجتها أكبر من

أثرها.

والقبول الواعي أفضل بكثير من التجاهل غير الواعي. الفرق أنك تكتبه: «قبلنا هذه المخاطرة

لأن... وسنراجعها في...». قرار مكتوب ومؤرَّخ، لا إهمال.

ترتيب الأولويات

رتّب سجلك بالدرجة تنازلياً، ثم اعمل من الأعلى — وابدأ داخل كل مستوى بالأرخص تنفيذاً.

مخاطرة درجتها 20 تُعالَج بإجراء مجاني تُنفَّذ قبل مخاطرة درجتها 25 تحتاج شهراً وميزانية.

هذا ليس تهرّباً — هو أن الأثر التراكمي للإجراءات السريعة أكبر من انتظار المشروع الكبير.

المراجعة: ما يجعله حيّاً

سجل مخاطر يُكتَب مرة ويُنسى لا قيمة له.

• ربع سنوياً: راجع الدرجات، وأغلق ما عولج، وأضف ما جدّ
• عند أي تغيير: نظام جديد، موظف جديد، خدمة جديدة، فرع جديد
• بعد أي حادثة: أضفها وأضف ما تعلّمته منها

خطوات تطبيقية

1. تحقّق أنك أنجزت أساسيات ١٠١ — وإن لا، أنجزها قبل المتابعة.
2. أنشئ ملف «سجل المخاطر» بالأعمدة الثمانية.
3. اكتب عشر مخاطر حقيقية لمشروعك — لا عامة.
4. قدّر الاحتمال والأثر لكل واحدة (١–٥) واحسب الدرجة.
5. احسب الأثر المالي لأعلى ثلاث مخاطر بالأرقام.
6. اختر قراراً لكل مخاطرة: خفّض/انقل/تجنّب/اقبل — واكتب سبب أي قبول.
7. حدّد مسؤولاً بالاسم وتاريخ مراجعة لكل بند.
8. ضع مراجعة ربع سنوية في تقويمك الآن.