لماذا tabletop وليس وثيقة سياسة
معظم الـSMEs الجزائرية التي تقول إنها “تمتلك خطة استجابة للحوادث” تمتلك وثيقة Word — لا خطة. يتضح الفرق بشكل مؤلم أثناء الهجوم الفعلي الأول. تمرين tabletop هو محادثة مُيسّرة مدفوعة بسيناريو تأخذ فريق القيادة عبر حادثة ransomware في الوقت الفعلي: من يرد على أول مكالمة هاتفية، من يقرر الدفع أو عدم الدفع، من يتحدث إلى العملاء، من يستعيد النسخة الاحتياطية. يكشف الفجوات التي لا تُظهرها وثيقة السياسة أبداً.
تبرر بيئة التهديد هذا الجهد. يوثّق تقرير State of Ransomware لمارس 2026 الصادر عن BlackFog ارتفاعاً مستداماً في الهجمات المُعلن عنها عبر الربع الأول. ويُطّر تحليل Industrial Cyber لمسألة وصول ransomware إلى معيار جديد مرتفع الاتجاه كهيكلي لا دوري، بينما يُبلغ Breached.Company أن هجمات ransomware ارتفعت بحوالي 30% في 2026. تُدرج خلاصة CM-Alliance لـأكبر الهجمات السيبرانية وخروقات البيانات وهجمات ransomware لمارس 2026 مزودي الرعاية الصحية ومناطق تعليمية ومصنعين متوسطي الحجم ضمن ضحايا الشهر — أي بالضبط ملفات الشركات التي تتعرف عليها معظم الـSMEs الجزائرية.
الجديد في 2026 ليس تقنية الهجوم — لا تزال معظم ransomware تبدأ برسالة تصيد أو منفذ RDP مكشوف — بل احترافية منظومة الشركاء وتطبيع الابتزاز المزدوج سرقة-البيانات-زائد-التشفير. الدلالة للـSMEs: حتى الفدية المدفوعة لا تضمن عدم ظهور البيانات أيضاً على موقع تسريب.
Tabletop لمدة 90 دقيقة: الهيكل والأدوار
لا يحتاج أول tabletop إلى أن يكون تمريناً لعدة أيام. تسعون دقيقة في قاعة اجتماعات مع الأشخاص المناسبين وسيناريو بسيط تستخلص معظم القيمة. الهيكل أدناه هو الذي يستخدمه معظم الميسّرين في المنطقة.
المدة: 90 دقيقة، مقسّمة إلى أربع مراحل.
المشاركون: 6-10 أشخاص كحد أقصى. الأكثر من ذلك يصبح اجتماعاً عاماً لا تمريناً.
الشكل: مناقشة مُيسّرة، لا محاكاة تقنية حية.
الأدوار المطلوبة في الغرفة:
- الميسّر — يقرأ السيناريو، يحقن معلومات جديدة، يدير الوقت. يُفضّل أن يكون شخصاً خارجياً عن العمليات اليومية لن يُستدعى إلى الدور.
- المدير العام أو CEO — يتخذ القرارات النهائية بشأن الدفع/عدم الدفع والاتصال العام.
- قائد IT أو CISO — يصف ما هو ممكن تقنياً عند كل حقن.
- المدير المالي — يتحدث عن تغطية التأمين وآلية دفع الفدية والأثر اللاحق على الرواتب والموردين.
- المستشار القانوني أو مستشار خارجي — يثير التزامات الإفصاح والآثار التعاقدية.
- قائد الاتصالات / الموارد البشرية — يدير الرسائل للعملاء والموظفين والصحافة.
- قائد العمليات — يترجم توقف IT إلى أثر إنتاج أو شحن أو خدمة حقيقي.
اختياري لكن قيّم: ممثل MSP أو MSSP خارجي، وشخص يدوّن الملاحظات دون أن يشارك.
أربع مراحل:
- الدقائق 0-15 — التنبيه الأولي. يهبط السيناريو: ثلاثاء الساعة 08:40، فريق المحاسبة لا يستطيع فتح الملفات، الشاشات تُظهر ورقة فدية، مؤقت 72 ساعة يبدأ العد التنازلي. النقاش: بمن تتصل أولاً؟ هل أحدهم في إجازة؟ هل هناك قائد حادثة رسمي؟
- الدقائق 15-45 — الفرز والاحتواء. يحقن الميسّر: يؤكد قائد IT أن خادم الملفات مشفّر، وحقنة ثانية تكشف أن مشاركة النسخ الاحتياطي مشفرة أيضاً لأنها كانت مركبة للكتابة. النقاش: هل يمكنك عزل الشبكة؟ هل تعرف أي الأنظمة متأثرة؟ هل لديك نسخ احتياطية غير متصلة؟
- الدقائق 45-75 — القرار والاتصال. يحقن الميسّر: ينشر المهاجم عداً تنازلياً على موقع التسريب مع لقطات لبيانات العملاء. النقاش: ندفع أم لا؟ من يخبر العملاء؟ هل يجب إخطار الجهات التنظيمية أو أنظمة البطاقات؟ ما الذي تغطيه بوليصة التأمين السيبراني فعلاً؟
- الدقائق 75-90 — استخلاص. يكتب كل شخص ثلاث فجوات لاحظها. قراءتها بصوت عالٍ، تجميعها، وتعيين مسؤول ومهلة لكل واحدة.
الخمس عشرة دقيقة الأخيرة هي الجزء الأكثر قيمة في التمرين. بدون قائمة فجوات مكتوبة ومسؤولين، التمرين مجرد مسرح.
إعلان
ثلاثة نماذج سيناريو للبدء منها
السيناريو A — تشفير تقليدي. صباح الاثنين، المالية لا تستطيع فتح ملفات Excel، ورقة فدية تطالب بـ 30,000 USD بـ Bitcoin في 72 ساعة. توجد نسخ احتياطية لكن لم يختبر أحد استعادة منذ ستة أشهر. هذا هو السيناريو الأكثر شيوعاً واقعياً والأفضل لتمرين أول.
السيناريو B — ابتزاز مزدوج. نفس الزناد كالسيناريو A، لكن بحلول الحقنة الثانية يدّعي المهاجم أيضاً أنه سرّب 120 غيغابايت من بيانات العملاء وملفات الموارد البشرية، وينشر عينات سجلات على موقع تسريب للإثبات. يختبر ما إذا كانت المنظمة تمتلك خطة اتصال بخرق بيانات، لا فقط خطة استعادة IT.
السيناريو C — أعمال سحابية بالكامل. SME تعتمد على SaaS حيث لا يكون ransomware على النقاط الطرفية المحلية بل في tenant Microsoft 365 مخترق — ملفات OneDrive مشفّرة عبر تطبيق OAuth خبيث. يختبر ما إذا كان الفريق يفهم أن “كلنا في السحابة” لا يعني “لا يمكن أن نُصاب بـ ransomware.” هذا هو السيناريو الأكثر صلة بشكل متزايد للـSMEs الجزائرية الرقمية أولاً.
اختر واحداً للتمرين الأول. احتفظ بالآخرين للأرباع التالية.
الأدوار وبوابات القرار واختبار استعادة النسخ الاحتياطية
تفصل ثلاثة عناصر التمرين المفيد عن التمرين الأدائي.
أدوار واضحة. يجب أن يعرف كل مشارك ما هي وظيفته قبل بدء السيناريو. بطاقة دور مطبوعة من صفحة واحدة لكل مقعد — “أنت CFO. تُصرّح بمدفوعات حتى X. تملك بوليصة التأمين السيبراني. ترفع تقارير إلى CEO” — تمنع التمرين من الانهيار إلى مونولوج من يتحدث بصوت أعلى.
بوابات قرار صريحة. يجب على الميسّر فرض قرارات ثنائية محددة، لا مناقشات غامضة. نماذج:
- البوابة 1 (الدقيقة 10): من قائد الحادثة لـ 24 ساعة القادمة؟ سمِّ شخصاً واحداً.
- البوابة 2 (الدقيقة 30): هل نفصل الإنترنت عن المكتب كله؟ نعم/لا.
- البوابة 3 (الدقيقة 55): هل نتعاقد مع مفاوض ransomware؟ نعم/لا، وبحلول متى؟
- البوابة 4 (الدقيقة 70): هل نصدر بياناً علنياً اليوم؟ نعم/لا، يكتبه من؟
القرار الذي لا يستطيع الفريق اتخاذه في التمرين هو قرار لن يتخذه الساعة 3 صباحاً عندما يهم فعلاً.
اختبار استعادة نسخ احتياطية حي صغير. Tabletops هي نقاش، لكن علامة الساعة الواحدة هي اللحظة المناسبة للإيقاف وطلب من IT إثبات — الآن، على حاسوب محمول — أنه يستطيع استعادة ملف اختبار واحد بنجاح من نظام النسخ الاحتياطي. هذه الخطوة الواحدة تكشف الفجوة بين “لدينا نسخ احتياطية” و”لدينا نسخ احتياطية قابلة للاستعادة.” الفرق التي لا تستطيع استعادة ملف واحد في خمس عشرة دقيقة لديها مشكلة حقيقية، وtabletop هو المكان الصحيح لاكتشافها.
الإيقاع والمخرجات والمتابعة
يجب أن يتبع tabletop الأول:
- تقرير مكتوب من صفحتين خلال أسبوع — ملخص السيناريو، الفجوات الملاحظة، المسؤولون، المواعيد النهائية. لا أكثر من صفحتين؛ التقارير الأطول لا تُقرأ.
- تمرين متكرر خلال ستة أشهر — نفس السيناريو أو أصعب، لقياس ما إذا كانت فجوات الجولة الأولى قد أُغلقت فعلاً.
- رؤية على مستوى مجلس الإدارة — ينبغي أن يُقدّم CEO أو المدير العام إحاطة لمجلس الإدارة (أو هيئة الحوكمة المكافئة) عن نتيجة التمرين. Tabletops التي تبقى داخل IT لا تحرك ميزانية.
النتيجة القابلة للقياس بعد دورتين هي وقت قرار أقصر في التمرين التالي، واستعادة نسخ احتياطية مُختبرة، وخطة استجابة للحوادث من صفحة واحدة تحل محل وثيقة Word المنسية. لمعظم الـSMEs الجزائرية، هذا المستوى من الاستعداد يجعلها متقدمة على نموذج تهديدها.
الأسئلة الشائعة
كم يكلف تمرين tabletop لـ ransomware لـSME جزائرية؟
تنفيذ التمرين داخلياً لا يكلف شيئاً فعلياً خلاف الـ90 دقيقة من وقت الموظفين، إذا استخدمت نموذج سيناريو متاح بحرية. التعاقد مع ميسّر خارجي — عادة MSSP محلي أو مستشار متخصص — يكلف حوالي 800-2,500 USD لنصف يوم من التمرين يشمل تقريراً مكتوباً. يُقاس ROI بالفجوات التي تجدها قبل أن يجدها المهاجم.
هل ينبغي لـSME دفع الفدية إذا تعرضت للهجوم؟
لا توجد إجابة صحيحة عالمياً، لكن الوضع الافتراضي العملي هو “لا” — الدفع لا يضمن استعادة الملفات، ولا يمنع النشر على موقع التسريب في حالة الابتزاز المزدوج، وقد ينتهك أنظمة العقوبات حسب جهة التهديد. ينبغي اتخاذ القرار مسبقاً من قبل فريق القيادة، وتدوينه في سياسة مكتوبة قصيرة، والتدرب عليه في تمرين tabletop. المنظمات التي تقرر في اللحظة تقرر سيئاً عادة.
كم مرة يجب على SME جزائرية إجراء هذه التمارين؟
مرة واحدة سنوياً كحد أدنى، مرتين سنوياً للشركات التي تقدم خدمات رقمية للعملاء أو تمتلك بيانات شخصية حساسة أو تنتمي إلى قطاع منظم (بنوك، رعاية صحية، اتصالات، تصنيع حرج). ينبغي أن يستخدم التمرين الثاني لكل سنة سيناريو مختلفاً عن الأول — التدوير بين التشفير التقليدي والابتزاز المزدوج واختراق tenant السحابي يغطي منظر التهديد الواقعي.
