> ## Content Index > Fetch the complete content index at: https://arabroot.io/llms.txt > Use this file to discover other available public pages before exploring further. # من أمن المعلومات إلى الأمن السيبراني: التاريخ والفرق بين المصطلحات - URL: https://arabroot.io/articles/من-امن-المعلومات-الى-الامن-السيبراني-التاريخ-والمصطلحات/ - Published: 2026-10-28T08:30:46.000Z - Updated: 2026-10-28T09:30:43.000Z - Description: من أين جاءت كلمات أمن الحاسب وأمن المعلومات والأمن السيبراني وحماية البيانات، وأين تلتقي وأين تفترق في التعريفات الرسمية اليوم. - Author: فريق عرب رووت - Tags: الأدلة التقنية, الأمن السيبراني, أساسيات, قصص وتحقيقات تقرأ إعلان وظيفة يطلب «أخصائي أمن معلومات»، وتحته إعلان آخر يطلب «مهندس أمن سيبراني» بالمهام نفسها تقريباً، ثم تفتح موقع جامعة فتجد برنامجاً باسم «أمن المعلومات» وآخر باسم «الأمن السيبراني»، ثم تقرأ أن الشركة التي تعمل فيها مطالبة بالامتثال لضوابط الهيئة الوطنية للأمن السيبراني، ولشهادة ISO/IEC 27001 لأمن المعلومات، ولنظام حماية البيانات الشخصية في الوقت نفسه. فتسأل السؤال الطبيعي: هل هذه أسماء لشيء واحد؟ أم أشياء مختلفة يجب أن أعرف حدود كل منها؟ وإذا كانت مختلفة، فمن الذي يتحمل مسؤولية أي منها في شركتي؟ والإجابة المختصرة أن هذه الكلمات ليست مترادفات تماماً وليست منفصلة تماماً، وإنما هي طبقات تراكمت عبر خمسين سنة، كل طبقة جاءت لأن المشكلة كبرت عن الاسم القديم: بدأ الأمر بحماية حاسب واحد يشترك فيه كثيرون، ثم صارت المشكلة حماية المعلومات أينما كانت، ثم صارت حماية الشبكات والخدمات التي تقوم عليها حياة الناس والدولة. ومن يعرف هذه القصة يفهم لماذا يستخدم معيار ISO كلمة، وتستخدم الهيئة الوطنية كلمة أخرى، ولماذا يقف نظام حماية البيانات الشخصية في مكان ثالث. وفي [مرحلة البداية في مسار الأمن السيبراني](https://arabroot.io/start/#stage-sec-start) شرحنا في مقال سابق ثلاثية السرية والسلامة والتوافر ومعنى الخطر، وفي هذا المقال سوف نروي القصة التي جاءت منها هذه اللغة، من مصادرها الأصلية، ثم نسحب بأنفسنا من قاعدة NVD عدد الثغرات المسجلة في كل سنة لنرى بالأرقام لماذا تغير الاسم. وسوف نناقش في هذا المقال ما يلي: - أمن الحاسب Computer Security في السبعينيات: تقرير Ware عام 1970، وتقرير Anderson عام 1972 وفكرة المراقب المرجعي Reference Monitor، والكتاب البرتقالي TCSEC عام 1985. - دودة Morris عام 1988 وولادة أول فريق استجابة للطوارئ CERT/CC، ثم برنامج CVE عام 1999. - أمن المعلومات Information Security: من دليل الممارسات ISO/IEC 17799 إلى نظام الإدارة ISO/IEC 27001. - الأمن السيبراني Cybersecurity: إطار NIST CSF، وإنشاء الهيئة الوطنية للأمن السيبراني وضوابطها. - المصطلحات اليوم بتعريفاتها الرسمية: أمن المعلومات، والأمن السيبراني، وأمن تقنية المعلومات IT Security، وحماية البيانات Data Protection. - تجربة عملية: نعد سجلات CVE في كل سنة من NVD API ونرسمها، مع ما يحدث إذا تجاوزت حدود الواجهة. - أخطاء شائعة في استخدام المصطلحات، وجدول يلخص متى تستخدم كل واحد. ## لماذا تهمك القصة وأنت تريد أن تعمل؟ قد يتساءل البعض: ما فائدة تقارير كتبت قبل أن يولد أغلب العاملين في المجال؟ والإجابة على ذلك أن أفكاراً كثيرة تستخدمها اليوم دون أن تعرف أصلها ولدت في تلك التقارير، وعندما تعرف المشكلة التي جاءت الفكرة لحلها تستطيع أن تحكم متى تنطبق ومتى لا تنطبق. ففكرة أن كل وصول إلى ملف يجب أن يمر بنقطة فحص واحدة لا يمكن تجاوزها، وهي فكرة تجدها اليوم في بوابات الوصول ونموذج الثقة المعدومة Zero Trust، كتبت عام 1972\. وفكرة أن لكل مستخدم حساباً خاصاً وسجلاً بأفعاله، التي تطلبها الضوابط الأساسية اليوم، كانت شرطاً في درجة C2 من الكتاب البرتقالي عام 1985\. وفكرة أن الثغرات تحتاج اسماً واحداً يتفق عليه الجميع ولدت عام 1999 لأن الفوضى قبلها كانت تضيع وقت الفرق. والسبب الثاني عملي جداً: الكلمة التي تستخدمها تحدد النطاق الذي تتحمل مسؤوليته. فإذا قال لك مديرك «أنت مسؤول عن أمن المعلومات» فهذا يشمل الملفات الورقية في الأرشيف وما يقوله الموظفون في الهاتف، وإذا قال «أنت مسؤول عن الأمن السيبراني» بالمعنى الذي تستخدمه الهيئة الوطنية فهذا يشمل أنظمة التحكم الصناعي في المصنع والشبكات التي تشغل الخدمات، وإذا قال «أنت مسؤول عن حماية البيانات» فهذا يشمل حقوق العملاء في معرفة ما تجمعه عنهم ولماذا. والصورة التالية تبين المحطات التي سوف نمر بها: ![خط زمني من اليمين إلى اليسار بثلاث مراحل ملونة: أمن الحاسب بالأزرق من 1970 إلى 1988، وأمن المعلومات بالأخضر من 1999 إلى 2005، والأمن السيبراني بالبرتقالي من 2014 إلى 2026، وعليه محطات تقرير Ware وتقرير Anderson والكتاب البرتقالي ودودة Morris وبرنامج CVE وISO/IEC 17799 وISO/IEC 27001 وNIST CSF والهيئة الوطنية وECC](https://arabroot.io/content/images/2026/10/security-history-01-timeline.webp) ثلاث مراحل لم تلغ أي منها ما قبلها، وإنما وسعت ما نحميه ## البداية: أمن الحاسب Computer Security في السبعينيات في الستينيات كان الحاسب الكبير يخدم جهة واحدة، ومن يريد أن يشغل برنامجاً يسلم بطاقاته المثقبة للمشغل وينتظر النتيجة، فكانت حماية البيانات هي حماية الغرفة التي فيها الجهاز والأوراق التي تخرج منه، تماماً كما تحمي خزانة الوثائق السرية. ثم ظهرت أنظمة المشاركة بالوقت Time-sharing، فصار عشرات المستخدمين يعملون على الحاسب نفسه في الوقت نفسه من طرفيات Terminals بعيدة، وبعضهم يحمل تصريحاً للاطلاع على معلومات سرية وبعضهم لا. وهنا ولدت المشكلة التي نسميها اليوم أمن الحاسب: كيف تمنع برنامج مستخدم من قراءة ذاكرة مستخدم آخر يعمل على الجهاز نفسه؟ وكيف تثق أن نظام التشغيل نفسه لا يحمل خطأ يسمح بذلك؟ ### تقرير Ware عام 1970: المشكلة لأول مرة على الورق في 11 فبراير 1970 سلم فريق عمل تابع لمجلس علوم الدفاع الأمريكي Defense Science Board برئاسة Willis H. Ware تقريره النهائي بعنوان [Security Controls for Computer Systems](https://csrc.nist.gov/csrc/media/publications/conference-paper/1998/10/08/proceedings-of-the-21st-nissc-1998/documents/early-cs-papers/ware70.pdf?ref=arabroot.io)، ونشرته مؤسسة RAND، وكان مصنفاً سرياً عند صدوره ثم رفعت السرية عنه لاحقاً، ونسخته اليوم منشورة ضمن مجموعة الأوراق المبكرة في موقع NIST. والتقرير يقول بوضوح إن أنظمة المشاركة في الموارد Resource-sharing أضافت بعداً جديداً لمشكلة حماية المعلومات السرية، وإن الطرق القديمة كانت امتداداً لطرق التعامل مع الوثائق الورقية ولم تعد تكفي. وأهم ما يهمك اليوم من هذا التقرير أنه قسم نقاط الضعف إلى ثلاثة أنواع ما زالت صالحة حتى الآن، كما تبينها الصورة التالية: ![حاسب مشترك في اليمين تتصل به ثلاث طرفيات عن بعد، وفي اليسار ثلاث بطاقات: إفصاح بالخطأ Accidental Disclosure، واختراق متعمد Deliberate Penetration بنوعيه السلبي والنشط، وهجوم مادي Physical Attack](https://arabroot.io/content/images/2026/10/security-history-02-ware.webp) تقرير Ware عام 1970: حاسب واحد لكثيرين، وثلاثة أنواع من الضعف - **الإفصاح بالخطأ Accidental Disclosure:** عطل في مكون أو جهاز أو برنامج يكشف المعلومات، مثل خلط بيانات مستخدم ببيانات آخر، أو إتلاف الملفات، أو تجاوز إجراءات الحماية دون قصد. وهذا هو ما نسميه اليوم فشل السرية أو السلامة أو التوافر بسبب خطأ تقني. - **الاختراق المتعمد Deliberate Penetration:** محاولة مقصودة وخفية للحصول على المعلومات، أو لجعل النظام يعمل لصالح المهاجم، أو لجعله غير موثوق أو غير قابل للاستخدام. وقسمه التقرير إلى سلبي Passive مثل التنصت على خطوط الاتصال ومراقبة الانبعاثات الكهرومغناطيسية، ونشط Active مثل مستخدم شرعي يحاول الوصول إلى أجزاء لا يملك صلاحيتها. - **الهجوم المادي Physical Attack:** الاعتداء على المكان والأجهزة، واعتبره التقرير خارج نطاقه. ولاحظ أن الأهداف الثلاثة للاختراق المتعمد في هذا التقرير (الحصول على المعلومات، وتسخير النظام، وجعله غير قابل للاستخدام) هي نفسها السرية والسلامة والتوافر قبل أن تحمل هذه الأسماء. ولاحظ أيضاً أن التقرير وضع «المستخدم الشرعي الذي يتجاوز صلاحياته» في قلب المشكلة، وهذا ما نسميه اليوم التهديد من الداخل Insider Threat وتصعيد الصلاحيات Privilege Escalation. ### تقرير Anderson عام 1972: المراقب المرجعي Reference Monitor بعد عامين طلبت القوات الجوية الأمريكية دراسة تخطط لتقنيات أمن الحاسب، فكتب James P. Anderson في أكتوبر 1972 [Computer Security Technology Planning Study](https://csrc.nist.gov/csrc/media/publications/conference-paper/1998/10/08/proceedings-of-the-21st-nissc-1998/documents/early-cs-papers/ande72.pdf?ref=arabroot.io)، والمجلد الثاني منها منشور أيضاً في موقع NIST. والتقرير صريح في تشخيصه: الأنظمة المعاصرة توفر حماية محدودة من الأخطاء غير المقصودة، لكنها لا توفر تقريباً أي حماية من المحاولات المتعمدة لتجاوز ضوابط الأمن، ولهذا السبب كانت أغلب الأنظمة تعمل بمستوى سرية واحد يحمل كل مستخدميه التصريح نفسه، فلا يحتاج أحد أن يقلق من مستخدم خبيث. والفكرة التي بقيت من هذا التقرير هي المراقب المرجعي Reference Monitor: مكون واحد يتحقق من كل طلب وصول يقوم به برنامج يعمل، إلى البرامج والبيانات والأجهزة الطرفية، ويقارنه بما هو مصرح به لهذا المستخدم، ويتأكد أيضاً من نوع الوصول (قراءة فقط، أم قراءة وكتابة). والصورة التالية تبين الفكرة: ![فاعل Subject في اليمين يرسل طلب قراءة الملف X إلى المراقب المرجعي Reference Monitor في الوسط، والمراقب يرجع إلى جدول الصلاحيات ثم يسمح بالقراءة فقط إلى الكائن Object في اليسار، وفي الأسفل الشروط الثلاثة: لا يمكن العبث به، ويستدعى في كل مرة، وصغير بما يكفي لفحصه](https://arabroot.io/content/images/2026/10/security-history-03-refmon.webp) المراقب المرجعي: نقطة فحص واحدة يمر بها كل وصول، بثلاثة شروط وأضاف Anderson ثلاثة شروط للآلية التي تنفذ هذه الفكرة: أن تكون غير قابلة للعبث Tamper Proof، وأن تستدعى دائماً في كل وصول دون استثناء Always Invoked، وأن تكون صغيرة بما يكفي لتحليلها واختبارها والتأكد من صحتها. وهذه الشروط الثلاثة هي ما يجب أن تسأل عنه أي نظام صلاحيات اليوم: هل يستطيع المستخدم أن يغير قواعد الصلاحيات بنفسه؟ هل هناك طريق إلى البيانات لا يمر بالفحص، مثل واجهة API قديمة نسيها الفريق؟ وهل كود الصلاحيات صغير وواضح بما يكفي لمراجعته، أم موزع في مئة ملف؟ وأغلب ثغرات التفويض Authorization التي تراها في تطبيقات الويب اليوم هي خرق للشرط الثاني تحديداً: طريق إلى البيانات لا يمر بنقطة الفحص. ### الكتاب البرتقالي TCSEC عام 1985: كيف تقيس الثقة في نظام؟ بقيت مشكلة: إذا اشترت جهة حكومية نظام تشغيل، فكيف تعرف إلى أي درجة تثق به؟ والإجابة جاءت في 26 ديسمبر 1985 بالمعيار [DoD 5200.28-STD Trusted Computer System Evaluation Criteria](https://csrc.nist.gov/csrc/media/publications/conference-paper/1998/10/08/proceedings-of-the-21st-nissc-1998/documents/early-cs-papers/dod85.pdf?ref=arabroot.io)، المعروف بالكتاب البرتقالي Orange Book نسبة إلى لون غلافه، والذي حل محل نسخة سابقة صدرت عام 1983\. والمعيار يقسم الأنظمة إلى أربعة أقسام Divisions مرتبة: D ثم C ثم B ثم A، وكل قسم أعلى يعني ثقة أكبر في حماية المعلومات الحساسة، وداخل القسمين C وB درجات Classes، كما تبين الصورة التالية: ![سلم من سبعة أعمدة متصاعدة من اليمين إلى اليسار: D حماية دنيا، وC1 حماية تقديرية، وC2 وصول مضبوط، وB1 حماية بالتصنيفات، وB2 حماية مهيكلة، وB3 نطاقات أمنية، وA1 تصميم موثق رسمياً](https://arabroot.io/content/images/2026/10/security-history-05-tcsec.webp) درجات الكتاب البرتقالي: من الحماية الدنيا D إلى التصميم الموثق رسمياً A1 والدرجة التي تهمك أكثر من غيرها هي C2، لأن متطلباتها صارت بديهيات اليوم: يقول المعيار إن أنظمة هذه الدرجة تفرض تحكماً أدق في الوصول من C1، وتجعل المستخدمين مسؤولين عن أفعالهم بشكل فردي من خلال إجراءات الدخول، وتدقيق الأحداث المتعلقة بالأمن Auditing، وعزل الموارد. أي أن الحساب الخاص لكل شخص والسجل الذي يحفظ ما فعله، اللذين تطلبهما الضوابط الأساسية اليوم في إدارة الهويات والوصول وفي إدارة سجلات الأحداث، كانا شرطاً للحصول على درجة متوسطة عام 1985\. أما A1 فلا تضيف وظائف جديدة على B3، وإنما تضيف التحقق الرسمي من التصميم Formal Verification، أي إثباتاً بالنماذج الرياضية أن النظام ينفذ سياسة الأمن كما كتبت. ولاحظ ما يجمع هذه المرحلة كلها: الموضوع هو الحاسب نفسه ونظام تشغيله، والسؤال هو هل يمنع النظام مستخدماً من الوصول إلى ما لا يحق له على الجهاز نفسه. ولم تكن الشبكة في قلب الصورة بعد، رغم أن تقرير Anderson نفسه أشار إلى اتجاه نحو شبكات كبيرة من الحاسبات المترابطة. وهذا ما تغير في ليلة واحدة عام 1988. ## 1988: الدودة التي أخرجت المشكلة من المختبر في مساء 2 نوفمبر 1988 انطلق برنامج يكرر نفسه بنفسه في شبكة الإنترنت الناشئة، ووصفه [RFC 1135](https://www.rfc-editor.org/rfc/rfc1135?ref=arabroot.io) الذي نشر في ديسمبر 1989 بأنه أصاب حاسبات VAX ومحطات SUN-3 التي تعمل بنسختي 4.2 و4.3 من Berkeley UNIX، وعطل عملها باستغلال ثغرات أمنية معروفة في تطبيقات مرتبطة بنظام التشغيل. وكان البرنامج، الذي عرف بدودة Morris نسبة إلى طالب الدراسات العليا Robert Morris الذي أطلقها، ينتقل بعدة طرق: ثغرة في خدمة finger، وأمر debug في برنامج البريد sendmail، وتخمين كلمات مرور الحسابات، واستغلال علاقات الثقة بين الأجهزة في الشبكات المحلية عبر ملفات مثل `/etc/hosts.equiv` و`.rhosts`. ويذكر الـ RFC نفسه أن الدودة أزيلت من أغلب الحاسبات خلال 48 إلى 72 ساعة، بجهود فرق علوم الحاسب في الجامعات التي حللتها ونشرت طرق إيقافها. ![قرص مرن داخل صندوق عرض زجاجي في متحف، وفوقه لوحة تقول إن القرص يحمل الكود المصدري الكامل لدودة Morris التي أوقفت أجزاء كبيرة من الإنترنت في 2 نوفمبر 1988](https://arabroot.io/content/images/2026/10/security-history-04-morris-worm-disk.webp) القرص المرن الذي يحمل الكود المصدري لدودة Morris معروضاً في متحف العلوم في Boston عام 2006\. الصورة: Go Card USA، ترخيص [CC BY-SA 2.0](https://creativecommons.org/licenses/by-sa/2.0/?ref=arabroot.io)، المصدر: [Wikimedia Commons](https://commons.wikimedia.org/wiki/File:Morris%5FWorm.jpg?ref=arabroot.io) (تم تحويلها إلى WebP). والدروس التي تعلمها المجال من هذه الليلة ما زالت تتكرر في كل حادثة كبيرة. فالثغرات التي استغلتها الدودة كانت معروفة، أي أن المشكلة لم تكن في اكتشافها وإنما في أن أحداً لم يغلقها، وهذا ما نسميه اليوم إدارة التحديثات Patch Management. والثقة بين الأجهزة (إذا دخلت هذا الجهاز فأنت موثوق في ذاك) جعلت إصابة جهاز واحد إصابة لكل من يثق به، وهذا ما نسميه اليوم الحركة الجانبية Lateral Movement، والدرس المقابل هو تقسيم الشبكة وعدم الثقة الضمنية. وكلمات المرور الضعيفة كانت طريقاً من طرقها، وما زالت. والدرس الأكبر كان تنظيمياً: لم يكن هناك مكان واحد يتواصل فيه الخبراء ويوزع منه الحل، فكانت كل جامعة تحلل الدودة وحدها. وهذا الدرس الأخير هو ما ولد منه أول فريق استجابة. فكما يروي [معهد هندسة البرمجيات SEI في جامعة Carnegie Mellon](https://www.sei.cmu.edu/history-of-innovation/fostering-growth-in-professional-cyber-incident-management/?ref=arabroot.io)، طلبت وكالة DARPA بعد الحادثة من المعهد أن ينشئ فريق استجابة لطوارئ الحاسب، فولد ما يعرف اليوم بمركز التنسيق CERT/CC، الذي يعمل كطرف محايد يبلغ الموردين بالثغرات وينشر ملاحظات Vulnerability Notes، وساعد لاحقاً في بناء أكثر من 50 فريقاً وطنياً للاستجابة للحوادث CSIRT حول العالم. ومن هنا جاءت فكرة الفرق الوطنية التي تصدر التنبيهات وتنسق الاستجابة، والتي تقوم بها في المملكة الهيئة الوطنية للأمن السيبراني اليوم. ## لغة مشتركة للثغرات: برنامج CVE عام 1999 مع انتشار الإنترنت في التسعينيات كثرت الثغرات المنشورة، وظهرت مشكلة جديدة لا علاقة لها بالتقنية: كل مورد وكل أداة فحص وكل قائمة بريدية تسمي الثغرة الواحدة باسم مختلف، فلا تعرف هل التنبيه الذي وصلك من أداة الفحص هو نفسه الذي في نشرة المورد. وفي عام 1999 انطلق [برنامج CVE](https://www.cve.org/About/History?ref=arabroot.io) ليعطي كل ثغرة معروفة رقماً واحداً يتفق عليه الجميع. ويبدو هذا تفصيلاً إدارياً صغيراً، لكنه هو الذي جعل كل ما جاء بعده ممكناً: قواعد البيانات مثل NVD، وأدوات الفحص التي تقارن ما تشغله بقائمة الثغرات، وقوائم الثغرات المستغلة فعلاً، وحتى الضوابط التي تطلب منك معالجة الثغرات خلال مدة معينة، كلها تعتمد على أن للثغرة اسماً واحداً. وقد شرحنا CVE وما يتصل بها في مقال [مصطلحات الأمن السيبراني للمبتدئين](https://arabroot.io/articles/%D9%85%D8%B5%D8%B7%D9%84%D8%AD%D8%A7%D8%AA-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86-cve-%D9%88-soc/)، وسوف نستخدم قاعدة NVD التي تبنى عليه في التجربة العملية بعد قليل. ## أمن المعلومات Information Security: من الجهاز إلى المعلومة في الوقت الذي كان فيه أمن الحاسب يسأل كيف يحمي نظام التشغيل الذاكرة، كانت الشركات تكتشف أن أكبر مخاطرها ليست في نظام التشغيل: موظف يرسل جدول الرواتب بالفاكس إلى الرقم الخطأ، وأرشيف ورقي لا يقفل، ونسخ احتياطية على أشرطة تنقل في سيارة، وعقد سري يناقش في مكالمة على هاتف عام. والمعلومة واحدة سواء كانت على قرص أو على ورق أو في رأس موظف، والضرر من تسربها واحد. ولذلك انتقل الاهتمام من حماية الجهاز إلى حماية المعلومة أينما كانت، ومن سؤال تقني إلى سؤال إداري: من يملك هذه المعلومة، وما قيمتها، وما الخطر عليها، ومن يقرر مستوى حمايتها؟ وأوضح علامة على هذا التحول هي سلسلة معايير ISO. ففي ديسمبر 2000 صدر [ISO/IEC 17799:2000](https://www.iso.org/standard/33441.html?ref=arabroot.io) بعنوان «دليل ممارسات لإدارة أمن المعلومات» Code of practice for information security management، وهو قائمة بالضوابط الجيدة في كل مجال. ثم في أكتوبر 2005 صدر [ISO/IEC 27001:2005](https://www.iso.org/standard/42103.html?ref=arabroot.io) الذي غير طريقة السؤال: لم يعد يطلب منك قائمة ضوابط، وإنما يطلب نظام إدارة أمن المعلومات ISMS، أي طريقة منظمة لإنشاء الحماية وتطبيقها وتشغيلها ومراقبتها ومراجعتها وتحسينها. والإصدار الحالي [ISO/IEC 27001:2022](https://www.iso.org/standard/27001?ref=arabroot.io) يلخص فكرته في جملة واضحة على صفحته الرسمية: نظام الإدارة الذي يحقق متطلبات المعيار يحافظ على سرية المعلومات وسلامتها وتوافرها بتطبيق عملية لإدارة المخاطر، ويعطي الأطراف المعنية ثقة بأن المخاطر تدار كما يجب. وفي التعريف الأمريكي الرسمي نجد المعنى نفسه، فـ [معجم NIST](https://csrc.nist.gov/glossary/term/information%5Fsecurity?ref=arabroot.io) يعرف أمن المعلومات، نقلاً عن القانون الأمريكي، بأنه حماية المعلومات وأنظمة المعلومات من الوصول أو الاستخدام أو الإفصاح أو التعطيل أو التعديل أو الإتلاف غير المصرح به، من أجل توفير السرية والسلامة والتوافر. ولاحظ أن هذا التعريف هو أول تعريف في قصتنا يذكر الثلاثية صراحة، وأنه يحمي «المعلومات» أولاً ثم «أنظمة المعلومات». وظهر في هذه الفترة أيضاً مصطلح ضمان المعلومات Information Assurance، وهو في [معجم NIST](https://csrc.nist.gov/glossary/term/information%5Fassurance?ref=arabroot.io) الإجراءات التي تحمي المعلومات وأنظمتها بضمان توافرها وسلامتها وأصالتها وسريتها وعدم إنكارها، بما فيها استعادة الأنظمة بقدرات للحماية والكشف ورد الفعل. ولاحظ إضافة «الكشف ورد الفعل» إلى الحماية، فهذه أول مرة يعترف فيها التعريف بأن المنع وحده لا يكفي، وأنك تحتاج أن تعرف أن شيئاً حدث وأن تتعافى منه. ## الأمن السيبراني Cybersecurity: الشبكات والخدمات والدولة ثم تغير شيء آخر: لم تعد المعلومات وحدها هي ما يمكن أن يتضرر، وإنما الخدمات التي تقوم عليها الحياة اليومية. فالكهرباء والماء والمصارف والمستشفيات والموانئ صارت تعمل بأنظمة متصلة بالشبكات، وأنظمة التحكم في المصانع ومحطات الطاقة، وهي ما يسمى التقنيات التشغيلية Operational Technology واختصاراً OT، لم تكن في الأصل مصممة لتتصل بأي شيء. والهجوم على هذه الأنظمة لا يسرب ملفاً، وإنما يوقف خط إنتاج أو يقطع خدمة عن مدينة. وهنا لم يعد اسم «أمن المعلومات» يصف المشكلة، لأن ما تحميه لم يعد المعلومة وحدها. ونجد أثر هذا التحول في الوثائق الأمريكية بوضوح. فالملاحظة المرفقة بتعريف الأمن السيبراني في [معجم NIST](https://csrc.nist.gov/glossary/term/cybersecurity?ref=arabroot.io) تقول إن مصطلح الأمن السيبراني حل محل مصطلح ضمان المعلومات في وزارة الدفاع الأمريكية وأغلب وثائق السياسات الحكومية الأمريكية عام 2014، وإن ضمان المعلومات كان قد حل بالطريقة نفسها محل مصطلحي أمن المعلومات وأمن الحاسب، مع أن المصطلحين الأخيرين ما زالا يستخدمان حسب النطاق والقصد. والتعريف نفسه يتحدث عن منع الضرر والحماية والاستعادة للحاسبات وأنظمة الاتصالات الإلكترونية وخدماتها والمعلومات التي فيها، لضمان التوافر والسلامة والأصالة والسرية وعدم الإنكار. أي أن الثلاثية بقيت، لكن الموضوع اتسع ليشمل الاتصالات والخدمات، وصار للاستعادة مكان صريح في التعريف. وفي العام نفسه تقريباً جاء الإطار الذي صار لغة مشتركة للأمن السيبراني في العالم. فكما تذكر [النسخة 1.1 من إطار NIST للأمن السيبراني](https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.04162018.pdf?ref=arabroot.io)، طور المعهد النسخة 1.0 من الإطار بموجب الأمر التنفيذي 13636 «تحسين الأمن السيبراني للبنية التحتية الحيوية» الصادر في فبراير 2013، وصدرت النسخة 1.0 في فبراير 2014\. وفي 26 فبراير 2024 صدرت [النسخة 2.0](https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf?ref=arabroot.io) التي رتبت الإطار في ست وظائف: الحوكمة Govern، والتحديد Identify، والحماية Protect، والكشف Detect، والاستجابة Respond، والتعافي Recover. ولاحظ الوظيفة الأولى: النسخة 2.0 أضافت الحوكمة لتقول إن استراتيجية إدارة مخاطر الأمن السيبراني وتوقعاتها وسياستها تحدد وتبلغ وتراقب من الإدارة، أي أن الأمن السيبراني لم يعد موضوعاً تقنياً يترك لقسم التقنية، وإنما قرار إداري يبدأ من أعلى. ### الأمن السيبراني في المملكة: الهيئة الوطنية وضوابطها وفي المملكة صدر تنظيم الهيئة الوطنية للأمن السيبراني بالأمر الملكي رقم 6801 بتاريخ 11/02/1439هـ (عام 2017)، ومنه جاء التعريف الرسمي الذي ينقله ملحق المصطلحات في [الضوابط الأساسية للأمن السيبراني ECC-2:2024](https://cdn.nca.gov.sa/api/files/public/upload/86e09090-44e4-481f-bc28-355673607654%5FECC--2024-EN.pdf?ref=arabroot.io): الأمن السيبراني هو حماية الشبكات وأنظمة تقنية المعلومات وأنظمة التقنيات التشغيلية ومكوناتها من أجهزة وبرمجيات، وما تقدمه من خدمات، وما تحويه من بيانات، من أي اختراق أو تعطيل أو تعديل أو دخول أو استخدام أو استغلال غير مشروع، ويشمل مفهوم الأمن السيبراني أمن المعلومات والأمن الإلكتروني والأمن الرقمي ونحو ذلك. وهذا التعريف يحسم السؤال الذي بدأنا به بالنسبة لأي جهة تعمل في المملكة: الأمن السيبراني هو المظلة، وأمن المعلومات داخلها. وهو يذكر التقنيات التشغيلية صراحة، فالمصنع ومحطة التحلية داخلان في النطاق، ويذكر الخدمات صراحة، فتوقف الخدمة فشل في الأمن السيبراني حتى لو لم تتسرب أي معلومة. وصدرت الضوابط الأساسية في نسختها الأولى ECC-1:2018، ثم النسخة الثانية ECC-2:2024، وبنيت عليها ضوابط متخصصة كثيرة شرحناها في مقال [الضوابط الأساسية NCA ECC بلغة بسيطة](https://arabroot.io/articles/%D8%A7%D9%84%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-%D8%A7%D9%84%D8%A7%D8%B3%D8%A7%D8%B3%D9%8A%D8%A9-%D9%84%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-nca-ecc-%D8%A8%D9%84%D8%BA%D8%A9-%D8%A8%D8%B3%D9%8A%D8%B7%D8%A9/). ولاحظ أيضاً أن معايير ISO نفسها تحركت في الاتجاه ذاته، فعنوان [ISO/IEC 27001:2022](https://www.iso.org/standard/27001?ref=arabroot.io) يبدأ اليوم بعبارة «Information security, cybersecurity and privacy protection»، أي أمن المعلومات والأمن السيبراني وحماية الخصوصية، وهي العبارة نفسها التي تبدأ بها [ISO/IEC 27000:2026](https://www.iso.org/standard/27000?ref=arabroot.io)، الإصدار السادس من المعيار الذي يقدم عائلة 27000 كلها، والذي صدر في يوليو 2026 وحل محل إصدار 2018\. فالمعيار الذي ولد باسم أمن المعلومات صار يضع الكلمات الثلاث جنباً إلى جنب، وهذا اعتراف رسمي بأنها متداخلة لا متنافسة. ## المصطلحات اليوم: أين تلتقي وأين تفترق؟ بعد هذه القصة نستطيع أن نجيب عن سؤال البداية بدقة. فالكلمات الأربع التي تقابلها في الإعلانات والأنظمة ليست أسماء مختلفة لشيء واحد، ولا أشياء منفصلة، وإنما دوائر متداخلة، تحمي كل دائرة شيئاً مختلفاً قليلاً، والصورة التالية تبينها: ![دائرتان متقاطعتان: أمن المعلومات بالأخضر في اليسار وفيها عقد ورقي، والأمن السيبراني بالبرتقالي في اليمين وفيها برج اتصالات لمحطة، وفي منطقة التقاطع أمن تقنية المعلومات IT Security بسيرفر، وفي الأسفل دائرة متقطعة لحماية البيانات الشخصية Data Protection تتقاطع مع الدائرتين](https://arabroot.io/content/images/2026/10/security-history-06-terms.webp) أربعة مصطلحات متداخلة: ماذا يحمي كل واحد، وأين تلتقي ### أمن المعلومات والأمن السيبراني: المعلومة أم الشبكة؟ الفرق الحقيقي بينهما هو موضوع الحماية. فأمن المعلومات يحمي المعلومة بأي شكل كانت: الملف على السيرفر، والعقد الورقي في الدرج، وما يقوله الموظف عن مشروع سري في مكالمة. والأمن السيبراني يحمي الفضاء السيبراني Cyberspace، وهو في [معجم NIST](https://csrc.nist.gov/glossary/term/cyberspace?ref=arabroot.io) الشبكة المترابطة من البنى التحتية لتقنية المعلومات التي تشمل الإنترنت وشبكات الاتصالات والحاسبات وأنظمة المعلومات وأنظمة التحكم الصناعي والمعالجات المدمجة، ويحمي معها الخدمات التي تعمل عليه حتى لو لم تحمل معلومات سرية. فالعقد الورقي من أمن المعلومات لا من الأمن السيبراني بالمعنى الضيق، ومحطة ضخ يتحكم بها نظام صناعي من الأمن السيبراني وإن لم تكن فيها معلومة سرية واحدة، وسيرفر قاعدة بيانات العملاء من الاثنين معاً. لكن التعريف السعودي الرسمي، كما رأينا، يضم أمن المعلومات تحت مفهوم الأمن السيبراني، ولذلك ففي أي جهة تخضع لضوابط الهيئة لا يوجد فرق عملي في المسؤولية: من يتولى الأمن السيبراني يتولى أمن المعلومات أيضاً، والضوابط نفسها تغطي الأمن المادي (المكون 2-14) والتوعية (المكون 1-10) والموارد البشرية (المكون 1-9)، وهي أمور لا علاقة لها بالشبكات وحدها. ### أمن تقنية المعلومات IT Security: حيث يلتقي الاثنان أمن تقنية المعلومات هو الجزء العملي الذي يلتقي فيه الاثنان: حماية الأجهزة والسيرفرات والشبكات والتطبيقات التي تديرها إدارة التقنية، من التحديثات إلى الجدار الناري إلى صلاحيات المستخدمين. وأغلب ما يفعله مسؤول النظم في شركة صغيرة تحت اسم «الأمن» هو أمن تقنية المعلومات. والفرق بينه وبين الاثنين الأوسع أنه لا يشمل الورق والناس من جهة، ولا يشمل بالضرورة أنظمة التحكم الصناعي من جهة أخرى، لأن هذه الأنظمة في كثير من المصانع تديرها إدارة التشغيل لا إدارة التقنية. وهذا تفصيل يهمك إذا عملت في مصنع أو شركة طاقة، لأن أول سؤال ستسأله هو: من يملك أمن شبكة التحكم في المصنع؟ والإجابة في كثير من الأحيان أنه لا أحد، وهنا يقع الخطر. ### حماية البيانات Data Protection: حقوق الإنسان قبل السرية أما حماية البيانات الشخصية فهي الدائرة التي يخلط بها الناس أكثر من غيرها، لأنها تبدو كأنها «أمن البيانات». والفرق أنها لا تسأل فقط هل البيانات محمية من المخترق، وإنما تسأل هل يحق لك أصلاً أن تجمعها، ولأي غرض، وكم تحتفظ بها، وهل أخبرت صاحبها، وهل يستطيع أن يطلب نسخة منها أو تصحيحها. ففي [نظام حماية البيانات الشخصية](https://sdaia.gov.sa/en/SDAIA/about/Documents/Personal%20Data%20English%20V2-23April2023-%20Reviewed-.pdf?ref=arabroot.io) تعرف المادة الأولى البيانات الشخصية بأنها أي بيانات تؤدي إلى معرفة الفرد بعينه أو تجعل ذلك ممكناً بشكل مباشر أو غير مباشر، ومنها الاسم ورقم الهوية والعناوين وأرقام التواصل والصور، وتعرف المعالجة بأنها أي عملية على هذه البيانات من الجمع إلى الإتلاف. وفي النظام نفسه تجد المادة 19 التي تلزم جهة التحكم باتخاذ التدابير التنظيمية والإدارية والتقنية اللازمة لحماية البيانات الشخصية، والمادة 20 التي تلزمها بإشعار الجهة المختصة عند علمها بأي تسرب أو تلف أو وصول غير مشروع، وإشعار صاحب البيانات إذا كان ذلك يضره. وبالتالي فحماية البيانات تتقاطع مع الأمن السيبراني في المادة 19 والمادة 20 تحديداً: التدابير التقنية وإشعار التسرب هما المكان الذي يلتقي فيه مسؤول الأمن مع مسؤول حماية البيانات. لكنها تخرج عنه في كل ما يتعلق بمشروعية المعالجة وحقوق صاحب البيانات. فيمكنك أن تحمي قاعدة بيانات العملاء أفضل حماية تقنية في العالم، وتبقى مخالفاً لنظام حماية البيانات لأنك جمعت فيها ما لا تحتاجه أو استخدمته في غرض لم تخبر به العملاء. والعكس صحيح: يمكنك أن تكون ملتزماً تماماً بحقوق أصحاب البيانات على الورق، وتتسرب بياناتهم لأنك لم تحدث السيرفر. ### التعريفات الرسمية جنباً إلى جنب | المصطلح | ماذا يحمي؟ | المصدر الرسمي | مثال لا يغطيه غيره | | ---------------------------------- | --------------------------------------------------------- | --------------------------------------- | ------------------------------------ | | أمن الحاسب Computer Security | الحاسب ونظام تشغيله ومن يصل إلى موارده | تقرير Ware 1970، والكتاب البرتقالي 1985 | عزل ذاكرة مستخدمين على جهاز واحد | | أمن المعلومات Information Security | المعلومة بأي شكل، لتوفير السرية والسلامة والتوافر | معجم NIST، وISO/IEC 27001 | عقد ورقي سري، ومكالمة هاتفية | | الأمن السيبراني Cybersecurity | الشبكات والأنظمة والتقنيات التشغيلية والخدمات وبياناتها | تعريف الهيئة في ECC، ومعجم NIST | نظام التحكم في محطة أو خط إنتاج | | أمن تقنية المعلومات IT Security | الأجهزة والسيرفرات والتطبيقات التي تديرها إدارة التقنية | استخدام شائع لا تعريف رسمي موحد له | تحديث السيرفرات وإعداد الجدار الناري | | حماية البيانات Data Protection | حقوق صاحب البيانات الشخصية ومشروعية معالجتها، ومعها أمنها | نظام حماية البيانات الشخصية | حق العميل في طلب نسخة من بياناته | ## تجربة عملية: كم ثغرة سجلت في كل سنة؟ قلنا إن الاسم تغير لأن المشكلة كبرت، ولا يوجد مقياس أوضح لحجم المشكلة من عدد الثغرات التي تحمل أرقام CVE في كل سنة. وقاعدة البيانات الوطنية للثغرات NVD التي يديرها معهد NIST توفر [واجهة برمجية CVE API 2.0](https://nvd.nist.gov/developers/vulnerabilities?ref=arabroot.io) مجانية، نستطيع أن نسألها عن عدد السجلات المنشورة بين تاريخين دون أن نحمل السجلات نفسها، وذلك بطلب نتيجة واحدة فقط وقراءة الحقل `totalResults` من الرد. وسوف نكتب سكربتاً صغيراً بلغة Python لا يحتاج إلا المكتبة القياسية، ونشغله في Container حتى لا نثبت شيئاً على الجهاز. ### السكربت احفظ الملف التالي باسم `nvd_counts.py` في مجلد فارغ: ```python # Count CVE records per year of publication in the NVD CVE API 2.0. # The API accepts at most 120 days per pubStartDate/pubEndDate window, so each year is split into quarters. # No API key: NVD allows 5 requests per rolling 30 seconds, so we wait 6.5 s between requests. import json, time, urllib.request, datetime, sys API = "https://services.nvd.nist.gov/rest/json/cves/2.0" def count(start, end): url = f"{API}?pubStartDate={start}T00:00:00.000Z&pubEndDate={end}T23:59:59.999Z&resultsPerPage=1" for attempt in range(5): try: with urllib.request.urlopen(urllib.request.Request(url, headers={"User-Agent": "arabroot-lab"}), timeout=60) as r: return json.load(r)["totalResults"] except Exception as e: print("retry", start, e, file=sys.stderr); time.sleep(15) raise SystemExit("failed " + start) quarters = [("01-01", "03-31"), ("04-01", "06-30"), ("07-01", "09-30"), ("10-01", "12-31")] last = datetime.date(2026, 10, 27) out = {} for y in range(1988, 2027): total = 0 for a, b in quarters: s, e = f"{y}-{a}", f"{y}-{b}" if datetime.date.fromisoformat(s) > last: break if datetime.date.fromisoformat(e) > last: e = last.isoformat() total += count(s, e); time.sleep(6.5) out[y] = total print(y, total, flush=True) json.dump(out, open("/work/nvd_counts.json", "w"), indent=1) ``` في الكود أعلاه لاحظ التالي: - نقسم كل سنة إلى أرباع، والسبب أن الواجهة ترفض أي نطاق تاريخ أطول من 120 يوماً، كما سنرى بعد قليل. - الانتظار 6.5 ثانية بين الطلبات ليس للزينة: دون مفتاح API تسمح NVD بخمسة طلبات في كل 30 ثانية، ومن يتجاوزها يتلقى رفضاً. ومع 155 طلباً تقريباً يستغرق السكربت قرابة 17 دقيقة، ويمكنك أن تختصرها بطلب مفتاح مجاني من NVD يرفع الحد. - نعيد المحاولة خمس مرات عند أي خطأ، لأن طلبات الشبكة الطويلة تفشل أحياناً دون سبب يخصك. - نبدأ من 1988 لا من 1999، لأن بعض الثغرات القديمة أعطيت أرقام CVE لاحقاً لكن تاريخ نشرها في NVD هو تاريخها الأصلي. ثم شغله في الخلفية بالأمر التالي (وفي Git Bash على Windows أضف `MSYS_NO_PATHCONV=1` في أوله واستخدم `"$(pwd -W)"`): ```bash docker run -d --name nvd-counts -v "$PWD":/work python:3.13.17-slim python3 -u /work/nvd_counts.py docker logs -f nvd-counts ``` ### النتيجة: من عشرات إلى عشرات الآلاف والمخرج سوف يكون كما يلي، وهو ما حصلنا عليه يوم 28 أكتوبر 2026: ```text 1988 2 1989 3 1990 11 1991 15 1992 14 1993 13 1994 26 1995 25 1996 75 1997 253 1998 247 1999 923 2000 1020 2001 1679 2002 2170 2003 1548 2004 2479 2005 5010 2006 6659 2007 6596 2008 5664 2009 5778 2010 4667 2011 4172 2012 5351 2013 5324 2014 8008 2015 6595 2016 6517 2017 18113 2018 18154 2019 18938 2020 19222 2021 21950 retry 2022-01-01 The read operation timed out 2022 26431 2023 30949 2024 40704 2025 49972 2026 90189 ``` والصورة التالية ترسم هذه الأرقام: ![رسم أعمدة لعدد سجلات CVE المنشورة في NVD من 1988 إلى 2026: أعمدة رمادية صغيرة قبل 1999، ثم زرقاء تصل إلى نحو 8000 عام 2014، ثم برتقالية تقفز إلى 18113 عام 2017 وتصعد إلى 49972 عام 2025، ثم عمود أحمر يصل إلى 90189 عام 2026 حتى 27 أكتوبر فقط](https://arabroot.io/content/images/2026/10/security-history-07-cve.webp) سجلات CVE المنشورة في NVD في كل سنة، من ناتج السكربت في المخرج والرسم أعلاه لاحظ التالي: - قبل 1999 الأرقام صغيرة جداً، وليست ثغرات اكتشفت في تلك السنوات بالضبط، وإنما ثغرات قديمة أعطيت أرقاماً بعد إطلاق البرنامج واحتفظت بتواريخها الأصلية. ولذلك قفز العدد من 247 عام 1998 إلى 923 عام 1999، عام إطلاق البرنامج. - بين 2005 و2016 بقي العدد بين 4000 و8000 تقريباً في السنة، ثم قفز عام 2017 إلى 18113، أي نحو ثلاثة أضعاف 2016، ولم يعد إلى الوراء بعدها. - من 2021 إلى 2025 تضاعف العدد تقريباً مرة أخرى، من 21950 إلى 49972. - عام 2026 لم ينته بعد، فالرقم 90189 يغطي حتى 27 أكتوبر فقط، وهو مع ذلك قرابة ضعف عام 2025 كاملاً. وعندما سحبنا عينة من سجلات سبتمبر 2026 وجدنا حالتها في NVD هي `Deferred`، أي أنها مسجلة في القاعدة دون أن تكمل NVD تحليلها، وهذا يعني أن أداة الفحص التي تعتمد على تحليل NVD وحده سوف ترى جزءاً كبيراً من الثغرات الجديدة دون درجة خطورة. - السطر `retry 2022-01-01 The read operation timed out` حقيقي: انتهت مهلة طلب واحد، فانتظر السكربت 15 ثانية وأعاد المحاولة ونجح. ولو لم نكتب إعادة المحاولة لتوقف السكربت كله بعد عشر دقائق من العمل. والأرقام تشمل السجلات المرفوضة Rejected، وهي أرقام أعطيت ثم ألغيت لأنها مكررة أو ليست ثغرات. ولمعرفة حجمها أعدنا السؤال عن الربع الثالث من كل سنة مرتين، مرة كما هو ومرة بإضافة المعامل `noRejected`: ```text 2024 Q3 all 8659 noRejected 8523 rejected 136 2025 Q3 all 12207 noRejected 11725 rejected 482 2026 Q3 all 37712 noRejected 36960 rejected 752 ``` أي أن المرفوض لا يتجاوز 2% إلى 4% من المجموع، ولا يغير الصورة. وما يهمك من هذه الأرقام ليس الرقم الدقيق، وإنما الدرس الذي غير اسم المجال: عندما كانت الثغرات بالمئات، كان فريق صغير يستطيع أن يقرأ كل نشرة. واليوم لا يستطيع أي فريق في العالم أن يقرأ كل ثغرة، فتحول العمل من «إصلاح كل شيء» إلى «إدارة الخطر»: أن تعرف ما تشغله، وأي الثغرات تمسه فعلاً، وأيها يستغل الآن، وهذا بالضبط ما يشرحه مقال [إدارة الثغرات Vulnerability Management](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D9%84%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-vulnerability-management-%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA%D9%83/). ### ماذا يحدث إذا طلبت سنة كاملة مرة واحدة؟ جرب أن تختصر السكربت وتطلب سنة 2025 كاملة في طلب واحد: ```bash docker run --rm python:3.13.17-slim python3 -c " import urllib.request,urllib.error u='https://services.nvd.nist.gov/rest/json/cves/2.0?pubStartDate=2025-01-01T00:00:00.000Z&pubEndDate=2025-12-31T23:59:59.999Z&resultsPerPage=1' try: urllib.request.urlopen(urllib.request.Request(u,headers={'User-Agent':'arabroot-lab'}),timeout=60) except urllib.error.HTTPError as e: print(e.code, e.reason); print(dict(e.headers).get('message'), e.read()[:300]) " ``` ```text 404 Not Found Date range cannot exceed 120 days. b'' ``` ولاحظ هنا شيئين: الرمز 404 يوحي بأن الرابط خاطئ، وهو ليس كذلك، وجسم الرد فارغ تماماً، فلو قرأت الجسم فقط لما عرفت السبب. والسبب الحقيقي موجود في ترويسة اسمها `message` تقول إن النطاق لا يتجاوز 120 يوماً. وهذا درس صغير يتكرر مع واجهات كثيرة: إذا فشل طلب دون رسالة واضحة، فاقرأ الترويسات قبل أن تغير الرابط. وفي النهاية احذف الـ Container الذي شغلته في الخلفية بالأمر `docker rm nvd-counts`. ## أخطاء شائعة Common Mistakes في استخدام المصطلحات - **اعتبار الأمن السيبراني «أمن الإنترنت» فقط:** التعريف الرسمي يشمل الأنظمة الداخلية غير المتصلة بالإنترنت والتقنيات التشغيلية والخدمات، ودودة واحدة على قرص USB تصل إلى شبكة معزولة. - **ظن أن شهادة ISO/IEC 27001 تعني الامتثال لضوابط الهيئة:** بينهما تداخل كبير، لكن الضوابط الأساسية تطلب أشياء محددة بأرقامها، والمعيار يطلب نظام إدارة تختار فيه ضوابطك بناءً على تقييم مخاطرك. والجهة الخاضعة للضوابط تحتاج أن تثبت كل ضابط منها، لا أن تعرض الشهادة. - **اعتبار حماية البيانات الشخصية مهمة قسم الأمن وحده:** قسم الأمن يملك التدابير التقنية وإشعار التسرب، لكن مشروعية الجمع والغرض والاحتفاظ وحقوق صاحب البيانات تحتاج القانونية والإدارة وأصحاب العمل. - **ترك أنظمة التحكم الصناعي خارج الحسابات:** في المصانع وشركات الطاقة يقع الفراغ عادة بين إدارة التقنية التي تملك الشبكة وإدارة التشغيل التي تملك المعدات، فلا يتولى أحد أمن الشبكة التي تجمعهما. - **الجدل في الاسم بدل النطاق:** لا يهم كثيراً هل تسمي قسمك أمن المعلومات أو الأمن السيبراني، ما يهم أن يكون مكتوباً ما الذي يدخل في مسؤوليته وما الذي لا يدخل، ومن يملك ما بينهما. - **تكرار الأرقام دون مصدرها:** عدد الثغرات في سنة يختلف حسب القاعدة وحسب طريقة العد (تاريخ النشر، أو سنة الرقم في المعرف، مع المرفوض أو دونه)، فاذكر دائماً من أين جاء الرقم وكيف حسب. ## أي مصطلح تستخدم ومتى؟ | الموقف | المصطلح الأنسب | والسبب | | --------------------------------------------- | ---------------------- | ----------------------------------------- | | جهة في المملكة تخضع لضوابط الهيئة | الأمن السيبراني | هو التعريف الرسمي، ويشمل أمن المعلومات | | بناء نظام إدارة وفق ISO/IEC 27001 | أمن المعلومات وISMS | هي لغة المعيار والمدقق | | سياسة تشمل الأرشيف الورقي والمكالمات | أمن المعلومات | لأنها تحمي المعلومة بأي شكل | | مصنع أو منشأة طاقة أو مياه | الأمن السيبراني مع OT | لأن التعريف يذكر التقنيات التشغيلية صراحة | | جمع بيانات العملاء ونموذج الموافقة وحقوقهم | حماية البيانات الشخصية | هو نطاق نظام حماية البيانات الشخصية | | تحديث السيرفرات والجدار الناري في قسم التقنية | أمن تقنية المعلومات | هو الجزء التشغيلي داخل الاثنين | ## إلى أين بعد هذا المقال؟ بعد أن عرفت من أين جاءت المصطلحات وأين تقف حدودها، تستطيع أن تنتقل إلى المقالات التي تستخدم هذه اللغة في العمل: المصطلحات اليومية التي تقابلها في كل عرض أمني، وطريقة تفكير المهاجم كما توثقها MITRE ATT&CK، وكلمات الحوكمة والمخاطر والامتثال، والضوابط الأساسية بلغة بسيطة، وإدارة الثغرات التي جعلت أرقام الرسم أعلاه مشكلتك اليومية: [![](https://arabroot.io/content/images/2026/10/security-terms-cover-cover.webp)دليلمصطلحات الأمن السيبراني للمبتدئين: من CVE إلى Purple Teamماذا تعني الكلمات التي تتكرر في كل عرض أمني، من رقم الثغرة وخطورتها إلى أدوات المراقبة SOC والفرق الحمراء والزرقاء.](https://arabroot.io/articles/%D9%85%D8%B5%D8%B7%D9%84%D8%AD%D8%A7%D8%AA-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D9%84%D9%84%D9%85%D8%A8%D8%AA%D8%AF%D8%A6%D9%8A%D9%86-cve-%D9%88-soc/)[![](https://arabroot.io/content/images/2026/10/mitre-attack-cover-cover.webp)دليلMITRE ATT&CK: كيف يفكر المهاجم خطوة بخطوةلغة موحدة لسلوك المهاجمين مبنية على حوادث موثقة، نقرأ بها هجوم فدية حقيقياً مرحلة بمرحلة ونربط كل خطوة بالدفاع المقابل.](https://arabroot.io/articles/mitre-attack-%D9%83%D9%8A%D9%81-%D9%8A%D9%81%D9%83%D8%B1-%D8%A7%D9%84%D9%85%D9%87%D8%A7%D8%AC%D9%85-%D8%AE%D8%B7%D9%88%D8%A9-%D8%A8%D8%AE%D8%B7%D9%88%D8%A9/)[![](https://arabroot.io/content/images/2026/10/grc-terms-cover-cover.webp)دليلمصطلحات GRC للمبتدئين بمثال من شركة صغيرةما الذي يعنيه GRC فعلاً، وما الكلمات التي يستخدمها المدقق، وكيف تثبت له أن ضوابطك تعمل كما تقول.](https://arabroot.io/articles/%D9%85%D8%B5%D8%B7%D9%84%D8%AD%D8%A7%D8%AA-grc-%D8%A7%D9%84%D8%AD%D9%88%D9%83%D9%85%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1-%D9%88%D8%A7%D9%84%D8%A7%D9%85%D8%AA%D8%AB%D8%A7%D9%84/)[![](https://arabroot.io/content/images/2026/10/nca-ecc-cover-cover.webp)دليلالضوابط الأساسية للأمن السيبراني NCA ECC بلغة بسيطةكيف تقرأ الضوابط الأساسية ECC دون أن تضيع في أرقامها، وعلى من تنطبق، وما المطلوب من جهتك فعلاً في كل مكون.](https://arabroot.io/articles/%D8%A7%D9%84%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-%D8%A7%D9%84%D8%A7%D8%B3%D8%A7%D8%B3%D9%8A%D8%A9-%D9%84%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-nca-ecc-%D8%A8%D9%84%D8%BA%D8%A9-%D8%A8%D8%B3%D9%8A%D8%B7%D8%A9/)[![](https://arabroot.io/content/images/2026/10/vuln-management-cover-cover.webp)دليلإدارة الثغرات Vulnerability Management: هل سيرفرك متأثر؟كيف تعرف خلال ساعات أن ثغرة جديدة تمس سيرفراتك، ولماذا يخدعك رقم الإصدار، وكيف ترتب الإصلاح وتتأكد أنه تم فعلاً.](https://arabroot.io/articles/%D8%A7%D8%AF%D8%A7%D8%B1%D8%A9-%D8%A7%D9%84%D8%AB%D8%BA%D8%B1%D8%A7%D8%AA-vulnerability-management-%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA%D9%83/)[![](https://arabroot.io/content/images/2026/10/security-careers-cover-cover.webp)دليلأدوار الأمن السيبراني Careers: ماذا يعمل كل دور، ومن أين تبدأ؟تسعة أدوار في الأمن السيبراني من المراجع الرسمية: اليوم العادي والمهارات والأدوات، ومن أي مستوى يبدأ كل دور.](https://arabroot.io/articles/%D8%A7%D8%AF%D9%88%D8%A7%D8%B1-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D9%85%D9%86-%D9%85%D8%AD%D9%84%D9%84-soc-%D8%A7%D9%84%D9%89-grc/) ## الخلاصة وصلنا لنهاية الموضوع، وقد رأينا أن الكلمات التي تربكك في الإعلانات والأنظمة هي طبقات من قصة واحدة. وأهم ما يجب أن تتذكره: - أمن الحاسب بدأ في السبعينيات بسؤال حماية حاسب يشترك فيه كثيرون، ومنه جاءت فكرة المراقب المرجعي والحساب الخاص وسجل التدقيق. - دودة Morris عام 1988 نقلت المشكلة إلى الشبكة، وولد بعدها مركز CERT/CC، ثم أعطى برنامج CVE عام 1999 كل ثغرة اسماً واحداً. - أمن المعلومات وسع الحماية من الجهاز إلى المعلومة بأي شكل، ونظم إدارتها بالمخاطر في ISO/IEC 27001. - الأمن السيبراني وسع الدائرة إلى الشبكات والخدمات والتقنيات التشغيلية، والتعريف السعودي الرسمي يضم أمن المعلومات تحته. - حماية البيانات الشخصية تتقاطع مع الأمن في التدابير وإشعار التسرب، وتخرج عنه في مشروعية المعالجة وحقوق صاحب البيانات. - عدد سجلات CVE في NVD قفز من 923 عام 1999 إلى 49972 عام 2025، و90189 حتى أكتوبر 2026، ولذلك تحول العمل من إصلاح كل شيء إلى إدارة الخطر. ## تدريب عملي Practice - عدل السكربت ليعد السجلات حسب سنة المعرف (الجزء الأوسط من `CVE-2024-...`) بدل تاريخ النشر، وقارن النتيجتين لسنة واحدة، واكتب لماذا اختلفتا. - افتح وصف وظيفتك أو وصف قسمك، وحدد أي الدوائر الأربع يغطيها، وأي جزء من الدوائر الأخرى لا يملكه أحد في جهتك. - اقرأ الصفحات الأولى من تقرير Ware، واكتب ثلاث مشكلات ذكرها ما زالت موجودة في عملك اليوم بأسماء جديدة. ## سجل التحديثات - أكتوبر 2026: كتابة المقال من المصادر الأصلية، وعد سجلات CVE في كل سنة من NVD CVE API 2.0 يوم 28 أكتوبر 2026.