أصدر المعهد الوطني للمعايير والتقنية الأميركي (NIST) في 2 نوفمبر 2026 دليلاً للأمن السيبراني مخصصاً للشركات التي تقتصر قواها العاملة على مالكيها فقط، تحت عنوان “Small Business Cybersecurity: Non-Employer Firms” ويحمل المعرف NIST CSWP 50. يوجه هذا الدليل إرشاداته للمستقلين وأصحاب الأعمال الفردية والمقاولين، وينطلق من فرضية أساسية تتمثل في غياب أي خلفية مسبقة للقارئ في مجال الأمن السيبراني.
يستند الدليل إلى بيانات Office of Advocacy التابع للإدارة الأميركية للأعمال الصغيرة (SBA)، والتي تظهر وجود 34.8 مليون شركة صغيرة في الولايات المتحدة، تشكل الكيانات الخالية من موظفين مدفوعي الأجر نسبة 81.9% منها، بما يشمل الشركات ذات العضو الواحد والعاملين في اقتصاد الأعمال الحرة. يأتي هذا الإصدار ليحل رسمياً محل وثيقة NISTIR 7621 التي صدرت نسختها المنقحة الأولى عام 2016.
أوضح Daniel Eliot، أحد مؤلفي الدليل، عبر بيان رسمي للمعهد أن الهدف تركز على إعداد مرجع مصمم خصيصاً للعاملين لحسابهم الخاص نظراً لافتقارهم المحتمل للخبرة السيبرانية، مؤكداً قدرتهم على تنفيذ العديد من الإجراءات الوقائية ذاتياً بالاعتماد على معرفة تقنية محدودة.
يرتكز الدليل في بنيته على إطار الأمن السيبراني CSF 2.0 عبر وظائفه الست الأساسية المتمثلة في الحوكمة، والتعريف، والحماية، والكشف، والاستجابة، والتعافي. يوضح المستند الغاية من كل إجراء وطريقة الشروع في تنفيذه مع بيان التغييرات المطلوبة عند توسع نطاق العمل، مشدداً في الوقت ذاته على أن محتواه يمثل إطاراً توجيهياً ولا يشكل قائمة تدقيق صارمة أو معايير للامتثال.
ضمن معايير الحماية، يوصي الدليل بتفعيل المصادقة متعددة العوامل على كافة الحسابات الداعمة لها، وبشكل خاص البريد الإلكتروني، والخدمات المصرفية، ومنصات تخزين الملفات، وبرامج إدارة كلمات المرور، مع توجيه الأفضلية للآليات المقاومة للتصيد مثل مفاتيح المرور (passkeys). تتضمن التوصيات أيضاً اعتماد كلمات مرور فريدة لا تقل عن 15 حرفاً، واستخدام حساب مستخدم قياسي لتسيير الأعمال اليومية عوضاً عن حساب المسؤول، وتغيير كلمات المرور الافتراضية لأجهزة الشبكات كالطابعات والموجهات، إلى جانب إجراء فحص دوري لتحديثات البرامج بمعدل شهري كحد أدنى.
فيما يتعلق بالنسخ الاحتياطية، يطالب المستند بالاحتفاظ بنسخ متعددة، تتضمن نسخة واحدة على الأقل في وسيط تخزين غير متصل بالشبكة، مع ضرورة اختبارها دورياً لضمان فاعلية استعادة البيانات. ولمواجهة الحوادث السيبرانية، ينصح بتجهيز قائمة اتصال ورقية تشمل جهات إنفاذ القانون، والمستشارين القانونيين، وفرق الاستجابة. عند وقوع أي اختراق، يشدد الدليل على حتمية توثيق الحادثة مع تسجيل وقت الاكتشاف وسجلات الأمان، وتطبيق خطوات عزل الأجهزة المتضررة وإلغاء الجلسات النشطة فوراً.
يفرد الدليل قسماً خاصاً بتقنيات الذكاء الاصطناعي تحت مسمى Super Intelligence، مستنداً في ذلك إلى أمر تنفيذي صادر في 29 سبتمبر 2026 يُلزم الجهات التنفيذية باعتماد هذا المصطلح كبديل لمصطلح الذكاء الاصطناعي. تتضمن التوجيهات جرد الأدوات والميزات المدمجة في البرمجيات، ومراجعة سياسات الخصوصية والاحتفاظ بالبيانات وصلاحيات الوصول قبل معالجة أي بيانات حساسة كأسرار العمل، والمعلومات الصحية، والشيفرات المصدرية، والمستندات القانونية. يفرض المستند المراجعة الدقيقة للمحتوى المولد قبل اعتماده، محذراً من توظيف هذه التقنيات في صياغة هجمات تصيد متقدمة ومقنعة تتطلب تدقيقاً صارماً لأي رسائل تطلب تنفيذ إجراءات فورية.
ويرفق الدليل بملف منفصل بصيغة xlsx يغطي الملحقات من D إلى J، ويتضمن جداول عمل مخصصة لجرد الأصول وتخطيط الاستجابة، إلى جانب ثلاث حالات دراسية افتراضية تشمل محامياً متخصصاً في الملكية الفكرية، ومالك متجر إلكتروني ناشئ، ومستشار تسويق. وقد صمم المحتوى بشكل أساسي للقارئ الأميركي، مع الإشارة صراحة إلى قابلية تكييف معاييره لتناسب الأعمال ذات الامتداد الدولي.
يمكن الاطلاع على المستند كاملاً أدناه:
