لماذا تفشل برامج التوعية التقليدية؟Why do traditional awareness programmes fail?

ثلاثة أسباب متكررة: تُقدَّم مرة سنوياً في محاضرة طويلة ينساها الحضور خلال أسبوع، مادتها عامة لا تشبه بيئة العمل الفعلية، وتُقاس بعدد الحضور لا بسلوك حقيقي. التوعية الفعّالة جرعات صغيرة متكررة مرتبطة بسيناريوهات العمل اليومية.Three recurring causes: delivered once a year in a long lecture the audience forgets within a week, generic material that does not resemble the actual work environment, and measured by attendance rather than real behaviour. Effective awareness is small, repeated doses tied to daily work scenarios.

ما يجب تدريب الموظفين عليه فعلاًWhat employees must actually be trained on

خمسة موضوعات أساسية: كيف تتعرف على رسالة تصيّد (المُرسل، الاستعجال، الروابط، المرفقات)، كيف تتعامل مع طلب بيانات حساسة، كيف تحمي كلمة المرور والتحقق متعدد العوامل، ماذا تفعل عند الشك، وكيف تحمي البيانات عند العمل خارج المكتب.Five core topics: recognising a phishing message (sender, urgency, links, attachments), handling requests for sensitive data, protecting passwords and multi-factor authentication, what to do when suspicious, and protecting data when working outside the office.

محاكاة التصيد — التدريب بالأدلةPhishing simulation — training with evidence

محاكاة التصيد ترسل رسائل اختبارية واقعية وتقيس نسبة من نقر ومن أبلغ. المهم ليس نسبة النقر وحدها، بل نسبة **الإبلاغ** — فالمؤسسة الناضجة ليست التي لا ينقر موظفوها، بل التي يُبلّغ موظفوها بسرعة عند الشك.Phishing simulation sends realistic test messages and measures who clicks and who reports. What matters is not the click rate alone but the **reporting** rate — a mature organization is not one whose employees never click, but one whose employees report quickly when suspicious.

القياس الفعلي للتحسّنActually measuring improvement

قِس أربعة مؤشرات عبر الزمن: نسبة النقر على محاكاة التصيد، نسبة الإبلاغ، زمن الإبلاغ، ونسبة النقر المتكرر (من نقر أكثر من مرة). راقب الاتجاه ربع سنوياً — الانخفاض المستمر هو الدليل الحقيقي على نجاح البرنامج.Track four indicators over time: simulation click rate, reporting rate, time to report, and repeat-clicker rate (those who click more than once). Watch the trend quarterly — a sustained decline is the real proof the programme works.

المجموعات ذات الخطورة الأعلىThe highest-risk groups

ليست التوعية موحّدة للجميع. المجموعات الأكثر خطورة: الإدارة التنفيذية (أهداف عالية القيمة)، المالية (تحويلات واحتيال الفواتير)، الموارد البشرية (بيانات شخصية)، الدعم الفني (صلاحيات مرتفعة)، والمطورون (وصول للشيفرة). ركّز التدريب المكثّف عليهم.Awareness is not uniform. The highest-risk groups: executives (high-value targets), finance (transfers and invoice fraud), HR (personal data), IT support (elevated privileges), and developers (code access). Concentrate intensive training on them.

ثقافة بلا لومA blame-free culture

إذا عوقب الموظف على الإبلاغ عن خطأ، فلن يُبلّغ مرة أخرى. المؤسسة الناضجة تُكافئ الإبلاغ السريع وتتعامل مع الخطأ كفرصة تحسين لا كجريمة. العقوبة على الإخفاء، لا على الخطأ.If an employee is punished for reporting a mistake, they will not report again. A mature organization rewards fast reporting and treats the error as an improvement opportunity, not a crime. Punish concealment, not the mistake.