النتيجة التي ستصل إليها
تدرّب الورشة الموظفين على إيقاف الطلب غير المتحقق منه، والتواصل عبر وسيلة موثوقة مستقلة عن الرسالة، وإبلاغ الشخص المسؤول. استخدم أمثلة خيالية، واختبر وضوح الإجراء لكل موظف مهما كان موقع عمله.
1. جهّز ورشة مرتبطة بعمل الفريق
تخيّل شركة توريد مستلزمات مكتبية في القاهرة: موظفو المشتريات في المكتب، وفريق تجهيز الطلبات في مخزن منفصل، وصاحب العمل يعمل أحيانًا عن بُعد. هذا مثال خيالي. تساعدهم الرسائل على متابعة التسليمات، لكنهم لا يستطيعون دائمًا تأكيد الطلب وجهًا لوجه. هدف الورشة أن يجد كل شخص وسيلة واضحة للتحقق.
اختر من يدير النقاش، وحدد مسؤول استقبال البلاغات وبديله. جهّز البطاقات كنص واضح أو أوراق مطبوعة، دون روابط تعمل أو مرفقات أو بيانات عملاء حقيقية. أتح النقاش بالعربية أو الإنجليزية، والإجابة كتابةً لمن يفضل ذلك. اكتب وسيلة البلاغ الداخلية الفعلية قبل البداية.
- الدقائق 0–4: شرح الهدف وأسماء المسؤولين.
- 4–8: تجربة خطوات التحقق.
- 8–17: مناقشة ثلاث بطاقات، ثلاث دقائق لكل بطاقة.
- 17–22: مراجعة الإجابات ومسؤولية كل دور.
- 22–26: كتابة بلاغ واحد.
- 26–28: الاتفاق على تحسين ومسؤول لتنفيذه.
2. تدرّبوا على التوقف والتحقق والإبلاغ
توصي إرشادات NIST للتصيد بالتحقق من الطلبات المستعجلة عبر بيانات اتصال مستقلة عن الرسالة، وتعليم الموظفين كيفية الإبلاغ عن الشكوك. حوّل هذه الفكرة إلى خطوات يستطيع الفريق تكرارها:
- أوقف الإجراء المطلوب مؤقتًا. لا تفتح الملف، ولا تحوّل المبلغ، ولا تشارك الرمز أو قائمة العملاء قبل التحقق.
- حدد ما الذي سيتغير. هل الطلب يغيّر حساب استلام الأموال، أم يكشف معلومات، أم يسمح بالدخول إلى حساب؟
- اختر وسيلة موثوقة. استخدم رقم المورد الموجود مسبقًا في السجل المعتمد، أو دليل الشركة الداخلي، أو عنوان الخدمة المحفوظ. لا تستخدم رقمًا جديدًا أرسلته الرسالة نفسها.
- تحقق من الطلب والصلاحية. تأكيد هوية المتحدث لا يكفي وحده؛ تأكد أيضًا ممن يحق له اعتماد الإجراء. إذا بقي شيء مجهولًا، أبلغ المسؤول واستمر في إيقاف الإجراء.
الاسم المألوف والمحادثة القديمة ليسا دليلًا كافيًا. وإذا لم يرد الشخص المعتاد، انتقل إلى البديل المحدد. الاستعجال لا يمنح أحدًا صلاحية جديدة.
3. ناقشوا ثلاث رسائل خيالية
اكتب لكل بطاقة: الإجراء المطلوب، وما يحتاج إلى تحقق، وطريقة الاتصال المستقلة، ومن يستقبل البلاغ. تُقرأ هذه الأمثلة أثناء الورشة فقط؛ لا تُرسل للموظفين لاختبارهم سرًا.
البطاقة الأولى: المورد غيّر الحساب البنكي
«حسابنا البنكي اتغير النهارده. حوّل قيمة الطلب على الحساب الجديد قبل ما يفوت ميعاد التسليم. لو محتاج تأكيد، كلّم الرقم المكتوب تحت.»
البطاقة الثانية: المدير يريد ملفًا بسرعة
«أنا داخل اجتماع. افتح ملف التسليمات المعدّل المرفق، وابعت قائمة العملاء الكاملة للعنوان اللي جواه قبل ما أكلمك.»
البطاقة الثالثة: الدعم يطلب رمز الدخول
«بنعمل مراجعة سريعة لحسابك. ابعتلي رمز الدخول اللي وصلك علشان أكمّل حل المشكلة.»
لا تتضمن البطاقات ملفًا حقيقيًا أو حسابًا بنكيًا أو رمزًا فعليًا. المطلوب شرح التصرف التالي، وليس تخمين شخصية مرسل الرسالة.
4. راجعوا الإجابات وسبب كل قرار
- تغيير الحساب البنكي: لا تعدّل بيانات الدفع. يتواصل مسؤول المشتريات مع المورد عبر الرقم المسجل مسبقًا، ثم تتبع المالية إجراء اعتماد التغيير قبل أي تحويل. الاتصال بالرقم الجديد يعني الاعتماد على الرسالة لتقديم الطلب وتأكيده في الوقت نفسه.
- ملف المدير: لا تفتح المرفق ولا تصدّر القائمة. تواصل مع المدير من خلال دليل الشركة، واسأل عن المهمة والمعلومات اللازمة لها. حتى الطلب الحقيقي يحتاج صلاحية مناسبة؛ ربما يكفي جدول التسليم الموجود بالفعل في مساحة العمل المعتمدة بدل قائمة العملاء الكاملة.
- رمز الدخول: لا ترسل الرمز ولا توافق على طلب دخول لم تبدأه. تواصل مع الدعم عبر قناة الخدمة المعروفة. يُكتب رمز الدخول فقط داخل مسار تسجيل الدخول الصحيح الذي بدأتَه بنفسك، ولا يُرسل لشخص عبر محادثة أو مكالمة.
هذه الرسائل لا تثبت وحدها سوء نية مرسل حقيقي؛ لكنها تستدعي التحقق. يوضح دليل الفرق بين المصادقة والتفويض لماذا يختلف التعرف على الحساب عن السماح له بإجراء معين.
5. أعطِ كل دور خطوة واضحة يستطيع تنفيذها
| الدور | ما يتدرب عليه |
|---|---|
| المشتريات | الوصول إلى بيانات المورد المعتمدة دون الاعتماد على الرسالة. |
| المالية | تحديد صاحب صلاحية اعتماد تغيير بيانات الدفع وبديله. |
| التجهيز أو خدمة العملاء | السؤال عن ضرورة مشاركة بيانات العملاء وصلاحية طالبها. |
| المدير | تأكيد استلام البلاغ ودعم التوقف المعقول للتحقق. |
اطلب من مشارك المخزن شرح الطريق نفسه دون مساعدة شخص يجلس بجانبه. إذا تعذر عليه فتح دليل الاتصال أو الوصول إلى قناة البلاغ، فهذه فجوة في الإجراء تحتاج إصلاحًا. وعند تحديد المعلومات المسموح بمشاركتها، ارجع إلى دليل حماية بيانات العملاء.
6. اكتب بلاغًا قصيرًا يصلح للاستخدام
انسخ الحقول التالية في قناة البلاغ الخاصة المعتمدة داخل الشركة. استخدم بيانات مختلقة أثناء التدريب:
- الملاحظة: التاريخ والوقت ووسيلة وصول الرسالة.
- الطلب: الإجراء المطلوب في جملة واحدة.
- سبب الشك: ما الذي لم يتم التحقق منه؟
- ما حدث بالفعل: فتح ملف، أو الضغط على رابط، أو مشاركة معلومات، أو عدم اتخاذ أي إجراء.
- التحقق: وسيلة الاتصال الموثوقة التي استُخدمت ونتيجتها.
- المتابعة: المسؤول الذي استلم البلاغ والخطوة التالية.
مثال: «10:10، رسالة مورد تطلب تغيير حساب الدفع؛ التغيير غير متحقق منه؛ لم يُحوّل مبلغ؛ اتصلت بالرقم المسجل ولم يرد أحد؛ أبلغت بديل مسؤول المالية.» لا تضع كلمات مرور أو رموز دخول أو بيانات عملاء كاملة في البلاغ. احتفظ بأي رسالة حقيقية مشبوهة للمراجع المختص وفق الإجراء المعتمد، ولا تنشرها بين الزملاء.
7. قِس وضوح الإجراء دون إحراج الأشخاص
احسب عدد المجموعات التي حددت وسيلة اتصال مستقلة، وامتنعت عن مشاركة الرمز، وعرفت بديل مسؤول البلاغات. سجّل المعلومات الناقصة في الإجراء، ولا تنشر ترتيبًا للموظفين. أعد بطاقة خيالية واحدة في الاجتماع التالي للتحقق من أن التحسين أصبح قابلًا للاستخدام.
اجعل الإجراء محددًا، مثل: «مسؤول التشغيل يتيح سجل الموردين المعتمد لفريق التجهيز قبل الورشة التالية». زيادة البلاغات قد تعني أن الموظفين أصبحوا أكثر اطمئنانًا لطلب المساعدة، ولا تثبت وحدها زيادة الخطر.
توفر Gammal Tech وظائف مستضافة للمواقع، ومنها تسجيل الدخول. اختيار هذه الأدوات قرار منفصل عن تنظيم تدريب الموظفين وإدارة مسار البلاغات داخل الشركة.
أسئلة شائعة
ماذا لو ضغط أحد الموظفين على الرابط بالفعل؟
شجعه على الإبلاغ بسرعة ووصف ما حدث دون لوم. يتولى المسؤول التقني المختص التقييم؛ لا تطلب من الموظف التحقيق في الرسالة بنفسه.
هل الصياغة السليمة دليل على أمان الرسالة؟
لا. افحص الإجراء المطلوب وتحقق من مصدر مستقل، حتى لو كانت اللغة احترافية والاسم مألوفًا.
هل نحتاج برنامجًا لمحاكاة التصيد؟
لا. تكفي البطاقات الخيالية المعلنة والنقاش ونموذج البلاغ الخاص. لا تجمع الورشة بيانات دخول ولا ترسل رسائل تصيد حية.
مراجع للاستزادة
أعدت Gammal Tech الأمثلة وأوراق العمل في هذا الدليل. روجعت الروابط والمراجع في ٢٠ أكتوبر ٢٠٢٦.