Human Factors and Social Engineering in Cybersecurity: A Qualitative Case Study and ISO/Iec 27001-aligned Ethical Response Framework

المعركة الخفية من أجل عقلك

تخيل الإنترنت كمدينة ضخمة ومزدحمة. لسنوات، قام مخططو المدن (خبراء الأمن السيبراني) ببناء جدران أكثر ارتفاعاً، وبوابات أقوى، وأقفال أكثر ذكاءً لإبقاء الأشرار في الخارج. لقد ثبتوا جدران الحماية مثل الخنادق، والتشفير مثل الخزائن غير القابلة للكسر. ولكن هناك مشكلة: المدينة لديها باب خلفي لا يمكن لأي قدر من الفولاذ أن يغلقه. ذلك الباب الخلفي هو أنت.

هذا هو عالم الهندسة الاجتماعية. فبدلاً من اختراق كود الكمبيوتر، يقوم المهاجمون باختراق العقل البشري. يستخدمون حيلًا مثل التظاهر بأنهم مديرك، أو خلق شعور زائف بالطوارئ، أو التظاهر بأنهم صديق متعاون لخداعك لتسليم مفاتيحك (كلمات المرور) أو فتح باب لا ينبغي لهم دخوله. يعمل هذا لأنها تستغل الطريقة التي تعمل بها أدمغتنا طبيعياً: فنحن نثق في الأشخاص الذين يبدون مهمين، ونصاب بالذعر عندما نسمع كلمة "عاجل"، ونشعر بالإرهاق عندما يكون لدينا الكثير للقيام به.

لفترة طويلة، اعتقد خبراء الأمن أن الحل هو مجرد إخبار الناس: "لا تنقر على الروابط الغريبة!". لكن هذه الورقة تقترح أن هذا يشبه إخبار سباح "فقط لا تغرق" دون تعليمه كيفية السباحة. السؤال الحقيقي ليس ما إذا كان الناس مهملين؛ بل هو كيف تجعل ضغوط الدراسة والعمل والمواعيد النهائية حتى الأشخاص الأذكياء عرضة للاختراق. تغوص هذه الدراسة في هذا الجانب البشري الفوضوي للأمن لترى كيف يمكننا بناء دفاعات أفضل تتناسب فعلياً مع طريقة تفكيرنا ومشاعرنا.

---

قصة مدينة الجامعة

في هذه الدراسة، قرر فريق من الباحثين من جامعة ويليام ف. س. توبمان في ليبيريا التوقف عن التخمين والبدء في الاستماع. أرادوا فهم كيفية تفاعل مجموعات مختلفة من الناس في بيئة جامعية — موظفو تكنولوجيا المعلومات الملمون بالتقنية، وطلاب الهندسة، والمبتدئون في برنامج تأسيسي — عندما يحاول شخص ما خداعهم عبر الإنترنت.

تخيل الجامعة كسفينة ضخمة. موظفو دعم تكنولوجيا المعلومات هم المهندسون في غرفة المحركات؛ هم يعرفون كيف تعمل السفينة. طلاب الهندسة هم البحارة الذين يتعلمون الملاحة؛ هم يعرفون الأدوات لكنهم لا يزالون مشغولين بمهامهم الخاصة. المتعلمون التأسيسيون هم الركاب الجدد الذين صعدوا للتو على متن السفينة؛ هم لا يعرفون قواعد السفينة بعد.

جمع الباحثون هذه المجموعات الثلاث في سلسلة من "دوائر الدردشة" (مجموعات التركيز). لم يسألوا فقط، "هل أنتم حذرون؟". بدلاً من ذلك، قاموا بتجسيد سيناريوهات: ماذا لو تلقيت بريداً إلكترونياً عاجلاً من العميد يقول إن حسابك سيُحذف خلال خمس دقائق؟ ماذا لو اتصل بك "مكتب المساعدة" يسأل عن كلمة مرورك؟ استمعوا إلى ما قاله المشاركون، وكيف شعروا، وما الذي سيفعلونه فعلياً.

ما وجدوه: ليس حلاً واحداً يناسب الجميع

الاكتشاف الكبير هو أنه لا يوجد "خطأ بشري" واحد. المجموعات المختلفة تُخدع بطرق مختلفة، والتدريب الأمني المعتاد الذي يتبع نهج "النموذج الواحد للجميع" يفشل مع الجميع.

1. المهندسون في غرفة المحركات (موظفو تكنولوجيا المعلومات)
كان موظفو تكنولوجيا المعلومات يعرفون أكثر عن الأمن. كان بإمكانهم رصد البريد الإلكتروني المزيف من على بعد ميل. ولكن إليكم المفاجأة: كانوا الأكثر إرهاقاً من التدريب الأمني. تخيل أن تكون إطفائياً وعليك مشاهدة فيديو السلامة نفسه كل أسبوع. في النهاية، ستتوقف عن الاستماع. وجدت الدراسة أنه بسبب تعرض هؤلاء الموظفين برسائل أمنية مكثفة، فإنهم يعانون من "إجهاد التدريب". هم يعرفون القواعد، لكنهم سئموا من سماعها، مما يجعلهم أقل يقظة.

2. البحارة المشغولون (طلاب الهندسة)
كان طلاب الهندسة بارعين جداً في رصد الحيل. كانوا يعرفون ضرورة التحقق من عنوان المرسل والبحث عن الروابط الغريبة. ومع ذلك، كانوا الأكثر عرضة لارتكاب خطأ عندما كانوا مضغوطين أو مثقلين بالأعباء. عندما كانوا يوازنون بين الواجبات المنزلية، والمواعيد النهائية، وفيض من رسائل البريد الإلكتروني، كانت عقولهم تتعب. في لحظة "الحمل المعرفي الزائد" هذه، قد ينقر حتى الطالب الذكي على الزر الخطأ فقط لإنجاز المهمة بسرعة. لم يكونوا مهملين؛ كانوا فقط مشغولين جداً لدرجة تمنعهم من توخي الحذر.

3. الركاب الجدد (المتعلمون التأسيسيون)
لم يمتلك المبتدئون نفس المستوى من المعرفة التقنية. لم يعرفوا الحيل المتطورة لرصد البريد الإلكتروني المزيف. لكنهم أيضاً لم يعانوا من "الإجهاد" لأنهم لم يتلقوا تدريباً بعد. تقترح الدراسة أنهم بحاجة إلى نوع مختلف من المساعدة: لبنات بناء بسيطة وأساسية. هم بحاجة لتعلم القواعد الأولى للطريق قبل أن يتمكنوا من التعامل مع حركة المرور المعقدة.

أسطورة "الضعف البشري" قد انتهت

تجادل الورقة بقوة ضد فكرة أن البشر هم مجرد "الحلقة الأضعف" في السلسلة. هذا يشبه لوم سيارة لأن إطارها فارغ بينما الطريق مليء بالمسامير. وجد الباحثون أن الناس ليسوا مهملين بطبيعتهم؛ بل هم صناع قرار في سياقات محددة.

إذا كنت متعباً، أو مضغوطاً، أو قيل لك إن مديرك يراقبك، فإن عقلك يتخذ طرقاً مختصرة. إنه يثق في الشخص الذي يبدو كصاحب سلطة. ينقر على الزر لجعل المشكلة "العاجلة" تختفي. تظهر الدراسة أن هذه الأخطاء تحدث لأن البيئة مهيأة لخداعنا، وليس لأننا أغبياء.

خطة اللعبة الجديدة: درع مخصص

إذاً، ما هو الحل؟ يقترح المؤلفون إطار عمل جديد يتوافق مع المعايير الدولية للأمن (ISO/IEC 27001)، ولكن بقلب بشري. بدلاً من إرسال نفس البريد الإلكتروني الممل للجميع، يقترحون نهجاً متعدد المستويات:

• للمبتدئين: قدم لهم دروساً بسيطة تبني الثقة. علمهم القواعد الأساسية مثل "لا تشارك كلمة مرورك" و"بمن أتصل إذا كنت مرتبكاً؟".
• للطلاب المشغولين: لا تكتفِ بإلقاء المحاضرات عليهم. امنحهم ممارسة سريعة وواقعية تناسب حياتهم المزدحمة. علمهم كيفية التوقف والتحقق عندما يكونون تحت الضغط.
• لخبراء تكنولوجيا المعلومات: توقف عن التدريب المتكرر. امنحهم تحديات متقدمة ومثيرة تبدو حقيقية وتتصل بالمشاكل الفعلية التي يواجهونها. حافظ على تفاعلهم حتى لا يفقدوا الاهتمام.

كما يؤكد الإطار على المراقبة الأخلاقية. وهذا يعني إذا تتبعت الجامعة من نقر على رابط اختبار مزيف، فلا ينبغي معاقبة ذلك الشخص. بدلاً من ذلك، يجب استخدام ذلك كلحظة للتعلم. إنه يشبه مدرباً يساعد لاعباً على التحسن، وليس حكماً يطرد اللاعب من الملعب.

الخلاية

تشير هذه الدراسة إلى أنه للفوز في المعركة ضد المتسللين الذين يخدعون الناس، نحتاج إلى التوقف عن معاملة البشر كآلات مكسورة تحتاج إلى إصلاح. نحن بحاجة لمعاملتهم كبشر يتعبون، ويتعرضون للضغط، وينشغلون. من خلال فهم أن الطالب المضغوط، وعامل تكنولوجيا المعلومات المرهق، والمتعلم الجديد، جميعهم يحتاجون إلى أنواع مختلفة من الدعم، يمكن للجامعات (والشركات) بناء نظام أمني يعمل فعلياً.

يعترف الباحثون أن هذه مجرد بداية. لقد درسوا جامعة واحدة مع مجموعة صغيرة من الناس، لذا فإن نتائجهم هي اقتراح قوي، وليست قانوناً نهائياً من قوانين الفيزياء. لكن الرسالة واضحة: إذا أردنا أن نكون آمنين عبر الإنترنت، فعلينا تصميم دفاعاتنا لتناسب الواقع الفوضوي، والرائع، والمتعب أحياناً لكوننا بشر.