مقاييس محاكاة التصيد الاحتيالي: ما الذي يحدد حملات التوعية الأمنية الناجحة؟

على الرغم من الاستثمارات التكنولوجية المستمرة، لا يزال هجوم التصيد الاحتيالي (Phishing) هو الملك المتوج والاختيار المفضل والأسهل والأرخص والأسرع لدى المتسللين، لسبب منطقي؛ فالتلاعب بعواطف البشر لخداعهم يظل دوما أسهل بكثير من اكتشاف اختراقات برمجية صفرية.

لمواجهة ذلك، تنشر الشركات المتقدمة "حملات محاكاة التصيد" لتقييم وتدريب الموظفين والكوادر. ومع ذلك، وكثيراً ما تفشل برامج التوعية لأن الإدارات تتعقب البيانات والمقاييس الخاطئة تماماً. في الدليل الشامل المقدم من فريق الخبراء لدى مؤسسة Cayvora Security نقوم برسم الإستراتيجية الحقيقية لعام 2025.

المقياس الخاطئ والأكثر شهرة: معدل النقر (Click Rate)

تاريخياً، ركز مديرو أقسام تكنولوجيا المعلومات بقلق أعمى على "معدل النقر"؛ وهي نسبة الموظفين الذين ينقرون على الروابط داخل رسائل البريد المزيفة. إذا انخفض النقر من 15٪ إلى 5٪ يتم الاحتفال بالحملة كنجاح باهر!

لماذا هو رقم مخادع؟ يعتمد معدل النقر بالكامل على مدى صعوبة الرسالة. لو اختلقت رسالة تدعي "فزت بجائزة"، سيكون النقر ضعيفاً 2%. لكن رسالة قوية ومزيفة بعناية تصطنع هوية "المدير التنفيذي" وتطالب بالمراجعة المالية، ستدفع النقر حتى 45%!.

المقاييس الإستراتيجية (التي يجب الاعتماد عليها)

يجب تقييم المؤسسات اعتمادا على التصرفات السلوكية الاستباقية كالتالي:

1. معدل الإبلاغ (The Reporting Rate)

هو المقياس الأهم بلا منازع. يمثل النسبة المئوية للموظفين الذين استخدموا زر "الإبلاغ عن محتوى خطير" لتوصيل المشكلة مباشرة لمركز أمن المعلومات. السبب: الموظف الذي يتجاهل الرسالة يحمي نفسه فقط، لكن الموظف الذي "يبلغ" عن الرسالة يساهم في إطلاق الإنذار لتنظيف البريد الخاص بالشركة بأكملها!. يستوجب استهداف وصول هذا الرقم لأكثر من 70%.

2. وقت استلام البلاغ الأول (TTFR)

وهو يقيس الوقت المنقضي بين مجرد وصول الهجوم الاحتيالي وبين استلام فريق الأمن (SOC) للإنذار والإشعار الأول من موظف يقظ. في حالة الهجمات الفدية، فإن فارق الوقت الاستباقي (3 دقائق مثلا) يصنع فارق النجاة الكامل من شل الشركة بأكملها كلياً والحفاظ على الملايين!

3. معدل إدخال البيانات والتسليم

مجرد النقر يدل على خطأ بشري و فضول. لكن التطوع الإرادي بكتابة "الإيميل وكلمة السر الحقيقية" في الصفحة الوهمية يمثل انهياراً كارثياً للاختبار! في حالة الارتفاع المستمر لهذا المؤشر، تصبح المؤسسة مضطرة لإدخال المصادقة الثنائية (MFA) باستخدام المفاتيح العتادية الخاصة.

بناء وتأسيس حملة ناجحة

1. الواقعية استنادًا للاستخبارات: لا تدرب موظفيك على حيل التسعينات. استخدم طرق احتيال يستخدمها القراصنة حالياً في الشركات الأخرى كسياق (ملفات فرق وتطبيقات الاجتماعات الرسمية).
2. التدريب النفسي المباشر: في حال فشل الموظف عبر الاختبار، يجب تحويله مباشرة لفيديو تعليمي فديو 60 ثانية ليرى فورا الخطأ الذي وقع فريسةً له.
3. الثقافة والبيئة الشفافة: يجب محاربة تحويل المحاكاة لوسيلة تعنيف وتقصي عقابي למوظفين بأي ثمن!. بمجرد إحساس الموظف بالقمع، سيتوقف عن التبليغ عن أي كارثة تقع وسيكتفي بمسحها لإخفاء الحقيقة!

الخاتمة

لا يتم تعريف الحملة الناجحة بـ "صفر نقرات". إن التبليغ الفوري والاستباقي يحول الموظف الضعيف من تهديد، إلى أهم نظام ذكي وقدرة مناعية لمكافحة الهجمات.