وحدة اختيارية تفعل عند الطلب
التوعية الأمنية
التوعية الأمنية داخل المنظومة التي يعمل عليها الموظف كل يوم
دروس قصيرة وتقييمات وحملات مجدولة، وتدريب على مواقف واقعية داخل زاجل، وزر للإبلاغ عن الرسائل المشبوهة. زاجل لا يرسل رسائل تصيد إلى الموظفين أبدا. ولكل موظف درجة وعي من ١٠٠، والقيادة ترى أرقاما مجمعة تخفي كل مجموعة صغيرة.
- ١٨ موضوعا بدروس قصيرة، و١٦٤ سؤالا بالعربية والإنكليزية
- المحاكاة ببطاقات داخل التدريب، لا رسائل في صندوق البريد
- النتائج لا تستخدم في التقييم الوظيفي، ولا يراها الرئيس المباشر
الدروس والتقييمات
درس قصير، ثم سؤال يقيس الفهم
موضوعات الحزمة الأساسية
التصيد، والروابط والمرفقات، وكلمات المرور، وطلبات التحقق بخطوتين، والوثائق السرية، والاحتيال الصوتي، ورموز QR، وأدوات الذكاء الاصطناعي، وغيرها.
أربعة أنواع أسئلة
اختيار واحد، واختيار متعدد، وصح أو خطأ، وموقف. والاختيار المتعدد والمواقف تحسب جزئيا.
تقييم بدرجة، وتدريب بلا درجة
علامة النجاح ٨٠ و٣ محاولات افتراضيا، وللحملة أن تغيرهما. والتدريب الحر خمسة أسئلة في كل جولة.
ورقة ثابتة
أسئلة المحاولة تثبت عند بدئها، فتعديل سؤال لاحقا لا يغير نتيجة، والإجابات لا تظهر قبل وقتها.
تكرار يتكيف
من الدورة الثانية في الحملة المتكررة: أسئلة لم يرها الموظف، وأصعب في ما يتقنه، وأسهل في ما يضعف فيه.
بلغتين وعلى الجوال
كل المحتوى بالعربية والإنكليزية، والإشعار بلغة المستلم. والتعلم والإبلاغ من الجوال أيضا.
التدريب على المواقف
المحاكاة داخل التدريب، لا في صندوق البريد
زاجل لا يرسل رسائل تمرين، تصيد أو غيره، إلى الموظفين أبدا. الموظف يرى بطاقة تشبه الرسالة، ويختار ما يفعله، ثم يعرف لماذا. محرك إرسال داخل منظومة مراسلات حكومية يوسع سطح الهجوم، فتركناه للمنصات المتخصصة.
بطاقة تدريب · بريد إلكترونيبطاقة خاملة: لا ترسل ولا تفتح
- من
- فريق الدعم الفني (it-helpdesk@org-support.test)
- الموضوع
- تحديث أمني مطلوب: أكد حسابك خلال ساعتين
- الوقت
- اليوم 7:12 صباحا
...بسبب نقل البريد إلى خادم جديد، أكد اسم المستخدم وكلمة المرور من الرابط: org-example.test/verify وإلا سيتوقف حسابك في زاجل اليوم...
علامات الخطر في البطاقة
- 1النطاق ليس نطاق جهتك
- 2مهلة قصيرة كي لا تجد وقتا للتحقق
- 3الدعم الفني الحقيقي لا يطلب كلمة مرورك أبدا
- 4الرابط يشبه اسم جهتك لكنه يقود إلى موقع آخر
الدعم الفني يطلب تأكيد كلمة المرور. تصلك هذه الرسالة في الصباح الباكر قبل بدء الدوام. ما أفضل تصرف؟
- ٥٠احذف الرسالة ولا تفعل شيئا آخر، فأنت لم تقع في الفخ.
- ١٠٠لا تضغط الرابط ولا ترد على المرسل، وأبلغ عن الرسالة عبر «الإبلاغ عن رسالة مشبوهة».
- ٠افتح الرابط لترى الصفحة فقط دون أن تكتب فيها شيئا، ثم أبلغ.
- ٠رد على الرسالة واسأل المرسل هل هي حقيقية قبل أي شيء.
هذا يبعدك عن الخطر، ويتيح لفريق الأمن حماية زملاء وصلتهم الرسالة نفسها.
بطاقة من الحزمة الأساسية كما يراها الموظف، ولكل خيار درجته وشرحه.
- ٩ أنواع بطاقاتبريد، ورسالة قصيرة، ومحادثة، واتصال، ورسالة صوتية، ورمز QR، وذاكرة USB، وصفحة ويب، ومستند.
- بلا عناوين حقيقيةنطاقات محجوزة للأمثلة مثل example.com و.test، ولا أرقام هواتف حقيقية، ولا روابط تعمل.
- لا قدرة إرسالاختبار آلي يفشل إن استوردت الوحدة أي أداة لإرسال بريد أو رسائل قصيرة.
- التمارين الحية من منصة متخصصةإن كانت الجهة تجري تمارين حية بمنصة مرخصة، يستورد زاجل نتائجها فقط: ملف CSV أو واجهة بحساب خدمة.
الحملات
حملات بجمهور ومهلة، وتتكرر في مواعيدها
- الجمهوركل الموظفين، أو وحدات مع ما تحتها، أو أدوار، أو حد أدنى للتصريح، أو من انضم خلال عدد من الأيام. والشروط تجتمع.
- المهلة والتذكيرمهلة ١٤ يوما افتراضيا، وتذكير قبلها بـ٣ أيام، ثم كل ٧ أيام بعدها حتى ٣ مرات. التذكير داخل زاجل لا بالبريد.
- حملات مجدولةمرة واحدة، أو كل شهر، أو كل فصل، أو كل ستة أشهر، أو كل سنة. في اليوم نفسه، أو يوم مثل أول أحد، أو أول يوم عمل بتقويم عطل الجهة.
- أفعال المسؤولتخطي موعد حتى ١٢ تاريخا، والإيقاف والاستئناف، وتغيير الموعد، والإعادة إلى المسودة، والأرشفة. وكلها مدققة بفاعلها.
- خطة السنةخمس حملات بمواعيدها: التصيد في يناير، وكلمات المرور والتحقق بخطوتين في أبريل، وتصنيف البيانات في يوليو، وشهر التوعية في أكتوبر، وبرنامج الموظف الجديد طوال السنة. تنشأ مسودات فقط، ولا يصل شيء إلى أحد حتى يطلقها المسؤول.
الإبلاغ عن الرسائل المشبوهة
البلاغ سهل، ويصل إلى من يفحصه، ولا يحسب على صاحبه
- من أي مكان«الإبلاغ الأمني» في القائمة، و«الإبلاغ عنه كمشبوه» في أي كتاب داخل زاجل، ومن تطبيق الجوال.
- سؤالان بسيطانكيف وصلت: بريد، أو رسالة قصيرة، أو تطبيق مراسلة، أو اتصال، أو كتاب في المنظومة، أو شخصيا. وماذا فعلت. ومن أعطى كلمة مرور أو فتح مرفقا يرفع بلاغه إلى أولوية عالية تلقائيا.
- الكتاب المبلغ عنهيحفظ نوعه، وهل هو سري، وبيانات مرفقاته فقط. لا موضوع ولا اسم ملف ولا مرسل.
- الفرزجديد، ثم قيد الفحص، ثم مؤكد أو سليم أو تمرين. بتصنيف، وربط المكرر، وملاحظة داخلية، والأعلى أولوية أولا.
- المبلغ يعرف النتيجةشكر فوري، وإشعار عند الإغلاق برد بلغته، و«بلاغاتي» بحالات واضحة. والبلاغ لا ينقص أي درجة، ويرفع السلوك.
درجة الوعي
درجة من ١٠٠ بثلاثة مكونات معلنة الأوزان
تحسب كل ليلة، وتحفظ لقطة لكل شهر. الأوزان في الإعدادات ومجموعها ١٠٠ دائما، والافتراض ٥٠ و٣٠ و٢٠.
- المعرفةالوزن ٥٠٧٢
- الالتزام بالتدريبالوزن ٣٠٨٠
- السلوكالوزن ٢٠٩٠
مثال: ٧٢×٠٫٥ + ٨٠×٠٫٣ + ٩٠×٠٫٢ = ٧٨. الموظف يرى مستواه ورقم كل مكون وسببه في «توعيتي».
- المعرفةآخر ٢٠ إجابة في كل موضوع. التقييم بوزن كامل والتدريب بنصفه، والإجابة القديمة تضعف مع الزمن.
- الالتزام بالتدريبمهام السنة الأخيرة: في الموعد تحسب كاملة، والمتأخرة نصفا، والفائتة صفرا.
- السلوكيبدأ من المنتصف. الإبلاغ يرفعه ولا ينقص أي درجة أبدا، ونتائج التمارين الحية المستوردة تدخله.
- الموظف الجديدبلا معرفة ولا تدريب بعد يظهر «بيانات غير كافية» بلا درجة، فلا يوصم.
الإخفاء المتسلسل
رقم المجموعة الصغيرة يظهر «مخفي»
حتى لا يعرف أحد نتيجة زميل. الرقم يخفى حين تكون المجموعة صغيرة، أو حين يمكن حسابه من أرقام أخرى.
مثال بالعتبة الافتراضية: كل مجموعة أصغر من ٥ موظفين تخفى.
| الوحدة | الموظفون | متوسط الوعي |
|---|---|---|
| الجهة كلها | ٣٩ | ٦٨ |
| الشؤون الإدارية | ١٨ | ٧١ |
| الشؤون المالية | ١٢ | ٦٦ |
| الشؤون القانونيةيكشف غيره بالطرح | مخفي | مخفي |
| تقنية المعلوماتأصغر من ٥ | مخفي | مخفي |
من يرى الجدول يعرف أن الوحدتين المخفيتين معا ٩ موظفين، ولا يعرف كم في كل منهما ولا نتيجة أحد.
أرقام توضيحية. القاعدة نفسها في اللوحة و«وحدتي» والحملات والتصدير وحزمة الأدلة.
- العتبة٥ موظفين افتراضيا، وللجهة أن ترفعها حتى ٥٠. ولا تنزل عن ٣ ولو عدلت قاعدة البيانات يدويا.
- الإخفاء المكملإن أخفي جزء صغير يخفى معه أصغر الظاهر، حتى لا يعرف المخفي بطرح الظاهر من المجموع.
- متسلسل من الأعلىكل وحدة تمر بحكم كل مستوى فوقها. ما أخفي في مستوى يبقى مخفيا تحته، والوحدة المخفية لا ينزل إليها.
- حدود معلنةالإخفاء لا يمنع مقارنة الرقم نفسه بين وقتين. والحدود مكتوبة في وثيقة الوحدة للمدقق.
من يرى ماذا
للتعلم والحماية، لا للتقييم الوظيفي
نص ثابت في الإعدادات وفي «توعيتي»: نتائج الموظف لا تستخدم في التقييم الوظيفي ولا في أي إجراء تأديبي.
- الموظفيرى نتائجه كاملة ودرجة وعيه ومستواه. ولا يرى درجة الخطر.
- مسؤول التوعية الأمنيةيرى النتائج الفردية لتقديم الدعم فقط، وكل اطلاع مدقق. ولا يملك الإعدادات: المهام مفصولة.
- رئيس الوحدةملخص وحدته وما تحتها، مجمعا بالإخفاء نفسه، بلا أسماء أبدا. والرئيس المباشر لا يرى نتائج موظفيه.
- القيادةأرقام مجمعة بلا أسماء. وفي اللوحة التنفيذية درجة الوعي والإنجاز للجهة كلها شهرا بشهر، وحدها.
تقارير التحسن
هل تحسنا؟ وبكم؟ وأي موضوع يحتاج حملة؟
- التحسن عبر الأشهر٦ أو ١٢ أو ٢٤ شهرا، بالمقارنة ببداية المدة، أو الشهر السابق، أو قبل سنة، أو الهدف.
- أهداف افتراضيةالوعي ٧٥، والإنجاز ٩٠٪، وفي الموعد ٨٥٪، والإبلاغ ٣٠٪، والخطر المرتفع ١٠٪ أو أقل. والجهة تغيرها.
- أضعف الموضوعاتمرتبة بمتوسط الإجابات الصحيحة، ومعها «حملة على هذا الموضوع» لمدير الحملات.
- فئة الخطر للمسؤولينمنخفض أو متوسط أو مرتفع، والفئة وحدها تعرض لا الرقم، كي لا يستنتج تصريح أحد.
- أدلة للمدققتصدير Excel وحزمة أدلة PDF، بالإخفاء نفسه.
المعايير
مصمم وفق معايير برامج التوعية والتدريب
للوحدة صفحة «المعايير» تعرض حال كل ضابط: مطبق، أو متاح في المحتوى، أو جزئي، أو فجوة. هذا تصميم يدعم امتثال الجهة، وليس شهادة.
- برنامج التوعية
- NIST SP 800-50 Rev. 1مربوط على مستوى البرنامج كله: الدروس والحملات والقياس والإبلاغ.
- ضوابط التدريب
- NIST CSF 2.0CIS Controls v8PR.AT-01 وPR.AT-02، وضوابط CIS من 14.1 إلى 14.9.
- الضوابط الوطنية
- NCA ECCالمجال الفرعي 1-10: التوعية والتدريب بالأمن السيبراني.
- أمن المعلومات
- ISO/IEC 27001على مستوى المعيار وحده، بلا أرقام ضوابط قبل مطابقتها بالنص المرخص.
البرنامج مصمم وفق هذه المعايير ويدعم امتثال الجهة لها. هذه ليست شهادة ولا اعتمادا من الجهات المصدرة.
أسئلة تتكرر
عن التوعية الأمنية
هل الوحدة في النسخة التجريبية العامة؟
لا. التوعية الأمنية وحدة اختيارية تفعل عند الطلب، ولا تظهر في النسخة التجريبية العامة. وحين لا تكون مفعلة لا تظهر صفحاتها أصلا. راسلنا لعرضها.
هل يرسل زاجل رسائل تصيد تجريبية إلى الموظفين؟
لا، أبدا. المحاكاة ببطاقات داخل التدريب. وإن كانت لديكم منصة تمارين حية مرخصة، يستورد زاجل نتائجها فقط.
هل يرى المدير نتائج موظفيه؟
لا. الرئيس المباشر لا يرى النتائج، ورئيس الوحدة يرى أرقاما مجمعة بلا أسماء. والنتائج الفردية لمسؤول التوعية لتقديم الدعم، وكل اطلاع مدقق.
هل ينقص البلاغ الخاطئ درجة الموظف؟
لا. البلاغ لا ينقص أي درجة أبدا، حتى لو كانت الرسالة سليمة. الإبلاغ المبكر هو السلوك المطلوب.
هل يرسل بريدا للتذكير؟
لا. التذكيرات والإشعارات داخل زاجل.
وحدة اختيارية تفعل عند الطلب
نعرض التوعية الأمنية على بيانات تشبه بيانات جهتك
التوعية الأمنية غير متاحة في النسخة التجريبية العامة. راسلنا لعرض حي، والنسخة التجريبية تعرض المراسلات الإدارية وبقية المنظومة.