الأمن السيبراني للشركات الصغيرة والمتوسطة بالمغرب 2026: الدليل الكامل

ما حدث في 8 أبريل 2025

في 8 أبريل 2025، نشرت مجموعة تُطلق على نفسها اسم "Jabaroot DZ" ما يقارب 53000 ملف مستخرج من قواعد بيانات الصندوق الوطني للضمان الاجتماعي. كانت هذه الملفات تحتوي على الأسماء وأرقام البطاقة الوطنية للتعريف والمعطيات البنكية وتفاصيل الأجور لما يقارب مليوني أجير مغربي. وقد وجدت بيانات نحو 500000 مؤسسة نفسها مكشوفة: ملفات الموارد البشرية، والحسابات البنكية للمؤسسات، ومعلومات عن المسيّرين.

ليست هذه حادثة تخص الصندوق الوطني للضمان الاجتماعي وحده. إذا كنت تدير شركة صغيرة أو متوسطة بالمغرب، فإن بياناتك ربما كانت ضمن هذه الملفات. تلقّى موظفوك مكالمات ورسائل نصية ومحاولات نصب تستغل هذه المعلومات. وقد أبلغ عدد من رؤساء المقاولات عن محاولات تحويل بنكي احتيالية في الأسابيع التي تلت ذلك.

جعلت حادثة الصندوق الوطني للضمان الاجتماعي، بالنسبة لعشرات الآلاف من المسيّرين المغاربة، خطراً كانوا يعرفون نظرياً أنه قائم أمراً ملموساً. يجيب هذا الدليل عن السؤال الذي يطرحه كثيرون منذ ذلك الحين: من أين نبدأ؟

لماذا تُعدّ الشركات الصغيرة والمتوسطة المغربية الهدف الأول

أسطورة الحجم الصغير كحماية

يعتقد كثير من مسيّري الشركات الصغيرة والمتوسطة بصدق أن مؤسستهم أصغر من أن تثير اهتمام القراصنة. ربما كان هذا المنطق صحيحاً قبل عشر سنوات. لكنه خاطئ اليوم.

استناداً إلى معطيات المديرية العامة لأمن نظم المعلومات (DGSSI)، فإن 60% من الهجمات السيبرانية بالمغرب تستهدف المقاولات الصغيرة جداً والصغيرة والمتوسطة. والسبب بسيط: استثمرت الشركات الكبرى في أمنها، فأصبحت أنظمتها أصعب اختراقاً. أما الشركات الصغيرة والمتوسطة، فتبقى في الغالب في متناول أدوات بسيطة. لقد أتاحت خدمة برامج الفدية كخدمة (RaaS) نشر الهجوم المعلوماتي على نطاق واسع: يستأجر أفراد بلا كفاءات تقنية أدوات هجومية مقابل بضع مئات من الدولارات، ويهاجمون الأهداف الأقل حماية. إن شركتك الصغيرة المؤلفة من 30 موظفاً بالدار البيضاء هدف أسهل من مجموعة مدرجة في البورصة.

في النصف الأول من سنة 2025، رُصد 21 مليون تهديد سيبراني بالمغرب، حسب المعطيات المنشورة خلال منتدى Kaspersky/KNext بالرباط. وليس هذا رقماً يخص المؤسسات الكبرى وحدها.

كشف استطلاع أجراه الاتحاد العام لمقاولات المغرب (CGEM) سنة 2025 أن 62% من المؤسسات المغربية تصرّح بأنها تعرّضت لمحاولة هجوم واحدة على الأقل. ومن بين تلك التي تعرّضت لهجوم جدي، عرف أكثر من النصف انقطاعات في النشاط دامت عدة أيام.

يؤكد مؤشر Ausimètre 2025 (PwC/AUSIM) هذا الوعي: 73% من المؤسسات المغربية تضع الخطر السيبراني على رأس أولوياتها للاثني عشر شهراً القادمة، و78% تخصص له ما يصل إلى 25% من استثمارها التكنولوجي. يمثّل السوق المغربي للأمن السيبراني 157 مليون دولار سنة 2026 (Mordor Intelligence)، بنمو قدره 15,67% سنوياً لقطاع الشركات الصغيرة والمتوسطة، أي ضعف وتيرة السوق الإجمالية. وقد حصل المغرب على درجة 97,5/100 في المؤشر العالمي للأمن السيبراني للاتحاد الدولي للاتصالات (ITU) سنة 2024، ما يضعه في المستوى الأول (Tier 1) ضمن الرواد العالميين. الإطار المؤسسي قائم، لكن تطبيقه يبقى مسؤولية كل مؤسسة.

من يتعرض للهجوم، ولماذا

بعض القطاعات ممثَّلة تمثيلاً مفرطاً في إحصائيات الحوادث المغربية:

يُعدّ التوزيع والبناء والأشغال العمومية والمكاتب المهنية الأكثر تضرراً، لا لأنها متهورة، بل لأنها تتعامل مع تدفقات مالية مهمة بفرق معلوماتية محدودة أو منعدمة.

كم تكلّف الهجمة السيبرانية مقارنة بالحماية

التكلفة الحقيقية للحادث

يقلل مسيّرو الشركات الصغيرة والمتوسطة دائماً تقريباً من التكلفة الحقيقية للهجمة السيبرانية. فهم يفكرون في الفدية المحتملة، لكنهم ينسون كل ما تبقى.

يُشير هذا الرقم البالغ 1,2 مليون درهم كما تذكره المديرية العامة لأمن نظم المعلومات (DGSSI) إلى متوسط أثر هجوم ببرنامج فدية على شركة صغيرة أو متوسطة مغربية. وهو يعكس واقعاً يؤكده الخبراء المحليون: مؤسسة من 40 شخصاً مشلولة لمدة أسبوع، ببيانات عملاء مخترَقة والتزام قانوني بالإشعار، تبلغ بسرعة هذا المستوى من الخسارة.

هناك رقم آخر ينبغي معرفته: 60% من الشركات الصغيرة والمتوسطة التي تتعرّض لهجوم كبير تتوقف عن نشاطها خلال 18 شهراً. لا بسبب الفدية نفسها، بل لأن فقدان ثقة العملاء وتكاليف إعادة البناء والاضطرابات التشغيلية تتراكم حتى تجعل المؤسسة غير قابلة للاستمرار.

كم تكلّف الحماية بحسب حجم مؤسستك

الحماية ليست حكراً على الشركات الكبرى. توجد حلول في متناول الشركات الصغيرة والمتوسطة، وتكلفتها لا تُقارن بتكلفة الحادث.

تشمل هذه الأرقام الأدوات، وفي الحالات ذات الصلة، خدمات مزوّد متخصص مثل RMG Solutions. يمكن الشروع في الحماية من التهديدات تدريجياً، دون تجميد ميزانية سنوية كاملة منذ اليوم الأول.

العائد على الاستثمار

الحساب مباشر. بالنسبة لشركة صغيرة من 30 شخصاً، تمثّل ميزانية حماية قدرها 6000 درهم شهرياً مبلغ 72000 درهم سنوياً. أمام حادث يتجاوز متوسط تكلفته 1,2 مليون درهم (دون احتساب فقدان العملاء) فإن السؤال ليس "هل يمكننا تحمّل الإنفاق على الأمن السيبراني" بل "هل يمكننا تحمّل عدم القيام بذلك".

أقل من 15% من الشركات الصغيرة والمتوسطة المغربية تتوفر على ميزانية مخصصة للأمن السيبراني (CGEM، 2025). ولهذا السبب بالضبط يستهدف المهاجمون الشركات الصغيرة والمتوسطة في المقام الأول.

لتقدير مستوى تعرّضك الحالي بسرعة ودون التزام، يقيّم التشخيص الذاتي للأمن السيبراني وضعيتك في 5 دقائق عبر المجالات العشرة الرئيسية (الحوكمة، الولوج، النسخ الاحتياطي، التكوين، إلخ).

التهديدات الخمسة التي تستهدف الشركات الصغيرة والمتوسطة المغربية سنة 2026

1. التصيّد الاحتيالي (Phishing) - ونسخته المغربية عبر WhatsApp

يبقى التصيّد الاحتيالي البوابة الأولى للدخول إلى أنظمة الشركات الصغيرة والمتوسطة المغربية. في سنة 2024، كانت 47% من الهجمات ضد الشركات الصغيرة والمتوسطة المغربية تأتي من رسائل بريد إلكتروني احتيالية تقلّد بنوكاً أو إدارات أو شركاء تجاريين (DGSSI).

تستحق النسخة الخاصة بالمغرب انتباهاً خاصاً: التصيّد عبر WhatsApp. تستعمل الشركات الصغيرة والمتوسطة المغربية WhatsApp Business بكثافة في علاقاتها مع العملاء والمورّدين. والمهاجمون يعرفون ذلك. فهم يرسلون رسائل من أرقام تشبه أرقام المورّدين أو الشركاء ("فاتورتك في انتظار المصادقة - اضغط هنا")، أو إشعارات ضريبية مزيفة من المديرية العامة للضرائب (DGI)، أو رسائل تستغل الاستعجال ("سيتم تجميد حسابك البنكي خلال 24 ساعة").

غالباً ما تُكتب هذه الرسائل بالدارجة أو بفرنسية سليمة جداً، وتعتمد على معلومات جُمعت من تسريبات سابقة - بما في ذلك تسريبات الصندوق الوطني للضمان الاجتماعي.

ما يمكنك فعله الآن: تكوين كل موظف على ألا يضغط أبداً على رابط يتلقاه عبر WhatsApp أو البريد الإلكتروني دون تحقق صوتي مباشر مع المُرسِل المفترض. يحجب هذا البروتوكول البسيط الغالبية العظمى من المحاولات.

2. برامج الفدية (Ransomware)

تشفّر برامج الفدية ملفاتك وتطلب منك فدية لاستعادتها. يتجاوز متوسط الطلب 500000 درهم بالنسبة للشركات الصغيرة والمتوسطة المغربية، حسب المعطيات التي جمعها مزوّدو الأمن السيبراني المحليون.

ما تغيّر خلال السنتين الأخيرتين: لم يعد المهاجمون يكتفون بتشفير بياناتك. بل يستخرجونها أولاً، ثم يهددون بنشرها إن لم تدفع. لقد تعمّم هذا "الابتزاز المزدوج" وجعل الاستعادة البسيطة من النسخ الاحتياطية غير كافية.

أكثر النواقل شيوعاً بالنسبة للشركات الصغيرة والمتوسطة المغربية: البريد الإلكتروني مع مرفق مصاب، الولوج عبر RDP (سطح المكتب البعيد) غير المؤمَّن، واختراق مزوّد معلوماتي خارجي.

3. سرقة بيانات الاعتماد (Credentials)

يُستهان بهذا الناقل. فملايين من تركيبات المعرّف/كلمة السر لمؤسسات مغربية تتداول في منتديات سرية، وغالباً ما تكون ناتجة عن تسريبات خدمات أخرى (شبكات التواصل الاجتماعي، منصات التجارة الإلكترونية).

إذا كان موظفوك يعيدون استعمال نفس كلمات السر لبريدهم الشخصي وحسابهم المهني - وهذا شائع جداً - فإن مهاجماً يشتري قاعدة بيانات لكلمات سر مسروقة يمكنه الولوج مباشرة إلى أنظمتك دون أي جهد تقني.

الحماية بسيطة ومجانية تقريباً: المصادقة الثنائية (2FA/MFA) على جميع الحسابات المهنية، ومدير كلمات السر. إنه الاستثمار الأفضل من حيث نسبة التكلفة/الفعالية في الأمن السيبراني.

4. سوء إعداد السحابة (Cloud)

جلب الانتقال إلى السحابة (Microsoft 365، Google Workspace، التخزين على Azure أو AWS) فوائد حقيقية للشركات الصغيرة والمتوسطة المغربية. لكنه خلق أيضاً مخاطر جديدة، غالباً ما تكون خفية.

حاويات تخزين سحابي يمكن الولوج إليها علناً بسبب خطأ في الإعداد، صلاحيات ولوج واسعة جداً في Microsoft 365، حسابات مدير دون تفعيل MFA: هذه الأخطاء تكشف بيانات حساسة دون الحاجة حتى إلى هجوم. فالبيانات ببساطة متاحة لكل من يعرف أين يبحث.

تجوب أدوات مسح آلي الإنترنت باستمرار بحثاً عن هذه الإعدادات المكشوفة. وكثيراً ما تكون شركة صغيرة أو متوسطة انتقلت إلى السحابة دون تدقيق للإعدادات أكثر هشاشة مما كانت عليه قبل الهجرة.

5. الهجمات عبر سلسلة التوريد (Supply Chain)

إذا تعرّض مزوّدك المعلوماتي أو مكتب محاسبتك أو مورّد برمجياتك للاختراق، فبإمكان المهاجمين بلوغ شبكتك عبر علاقة الثقة هذه. وهذا ما حدث مع الصندوق الوطني للضمان الاجتماعي: لم تكن المؤسسات قد ارتكبت أي خطأ، لكن بياناتها كانت مخزّنة لدى كيان تعرّض للاختراق.

بالنسبة للشركات الصغيرة والمتوسطة، فالخطر الملموس هو التالي: مزوّدك المعلوماتي لديه ولوج إلى أنظمتك من أجل الصيانة. فإذا تعرّضت بنيته التحتية للاختراق، فإن المهاجم يحصل على نفس الولوج الذي يتوفر عليه تقنيّك. إن مطالبة مزوّدك بضمانات حول أمنه الخاص ليست جنون ارتياب، بل هي تدبير للمخاطر.

الإطار القانوني: ما يجب على شركتك الصغيرة أو المتوسطة احترامه

القانون 09-08 والمنعطف الذي اتخذته الـ CNDP

القانون 09-08 المتعلق بحماية البيانات ذات الطابع الشخصي قائم منذ سنة 2009. ولمدة خمس عشرة سنة، قادت اللجنة الوطنية لمراقبة حماية المعطيات ذات الطابع الشخصي (CNDP) مرحلة توعية ولم تعاقب بفاعلية.

تغيّر ذلك في فبراير 2025. أعلنت الـ CNDP رسمياً نهاية مرحلة التوعية وبداية مرحلة تطبيق فعلي. في سنة 2024، صدرت بالفعل غرامات بقيمة 27 مليون درهم في حق مؤسسات مغربية بسبب مخالفة القانون 09-08. وستتسارع الوتيرة.

التزاماتك الملموسة بموجب القانون 09-08:

• التصريح بمعالجاتك للبيانات الشخصية لدى الـ CNDP
• إخبار عملائك وموظفيك وشركائك بجمع بياناتهم واستعمالها
• تأمين البيانات التي تعالجها تقنياً وتنظيمياً
• حصر الولوج إلى البيانات في الضرورة القصوى (مبدأ التقليص)
• عدم نقل البيانات الشخصية إلى الخارج دون ترخيص من الـ CNDP

العقوبات تراكمية عن كل مخالفة. فشركة صغيرة أو متوسطة لم تصرّح بمعالجاتها، ولا تُخبر عملاءها، ولم تؤمّن بياناتها، قد تواجه أكثر من 600000 درهم من الغرامات في آن واحد.

القانون 05-20: للبنيات التحتية الحيوية

ينطبق القانون 05-20 المتعلق بالأمن السيبراني، الصادر سنة 2020، أساساً على الإدارات العمومية والمؤسسات العمومية ومشغّلي البنيات التحتية الحيوية (الطاقة، الماء، النقل، البنوك، الاتصالات). فإذا كانت شركتك الصغيرة أو المتوسطة تنشط في هذه القطاعات أو تقدّم خدمات لهذه الكيانات، فأنت خاضع محتمَلاً لمتطلباته.

تشمل التزاماته احترام التوجيه الوطني لأمن نظم المعلومات (DNSSI)، والتصريح بالحوادث للـ DGSSI ضمن آجال محددة، وإنجاز عمليات تدقيق أمني من قبل مزوّدين مؤهَّلين PASSI.

للحصول على تحليل كامل لالتزاماتك تجاه الـ DGSSI، اطّلع على دليلنا حول الامتثال للـ DGSSI بالمغرب. فهو يغطي مجمل متطلبات الـ DNSSI ومرسوم تطبيق القانون 05-20.

ماذا يعني ذلك عملياً لشركتك الصغيرة أو المتوسطة

حتى وإن لم يكن قطاعك معنياً مباشرة بالقانون 05-20، فإن القانون 09-08 ينطبق عليك بمجرد معالجتك لبيانات شخصية - وهو حال كل مؤسسة لديها موظفون أو عملاء أو مورّدون.

الامتثال للـ CNDP والأمن السيبراني ليسا موضوعين منفصلين. فحادث أمني يكشف بيانات شخصية يخلق تلقائياً مشكلة تنظيمية. الاستثمار في الأمن التقني هو أيضاً استثمار في الامتثال القانوني.

خطة عمل 30-60-90 يوماً

صُممت هذه الخطة لشركة صغيرة أو متوسطة تنطلق من الصفر أو ما يقاربه. إنها واقعية ومتسلسلة ومعايَرة لميزانية محدودة. لا تتطلب إجراءات الثلاثين يوماً الأولى مزوّداً خارجياً.

المرحلة 1 - الأيام الثلاثون الأولى: التدقيق والحماية الفورية

الأسبوع 1-2: الجرد والتدقيق

قبل نشر الأدوات، يجب أن تعرف ما لديك. أنجز جرداً لجميع أصولك الرقمية: الحواسيب، الخوادم، الأجهزة المحمولة المهنية، الخدمات السحابية، التطبيقات المستعملة. حدّد من يلج إلى ماذا.

اطرح على نفسك هذه الأسئلة:

• من يملك صلاحيات المدير على شبكتك؟ هل جميعها ضرورية؟
• هل تُختبر نسخك الاحتياطية بانتظام؟ أين تُخزَّن؟
• ما البرمجيات التي تشتغل على أجهزتك وهل هي محدَّثة؟
• هل جميع حساباتك على Microsoft 365 أو Google Workspace مفعَّل بها MFA؟

الأسبوع 2-4: إجراءات فورية بتكلفة شبه منعدمة

المرحلة 2 - الأيام 30 إلى 60: الأدوات والمسارات

نشر أدوات الحماية

لم يعد مضاد الفيروسات التقليدي كافياً. ينبغي للشركات الصغيرة والمتوسطة المغربية الانتقال إلى حل EDR (Endpoint Detection and Response)، الذي يكشف السلوكيات المشبوهة إضافة إلى بصمات الفيروسات المعروفة.

خيارات واقعية للشركات الصغيرة والمتوسطة المغربية:

استراتيجية النسخ الاحتياطي 3-2-1

قاعدة 3-2-1 هي الحد الأدنى: 3 نسخ من بياناتك، على وسيطين مختلفين، منها 1 خارج الموقع (سحابة أو موقع بعيد). بالنسبة لشركة صغيرة أو متوسطة مغربية، يمكن أن يكون ذلك كالتالي:

• نسخة احتياطية محلية على NAS (يومياً)
• نسخة احتياطية سحابية على Azure أو Backblaze B2 (يومياً)
• نسخة احتياطية شهرية مؤرشفة على حدة

سياسة أمنية مكتوبة

لا يجب أن تكون السياسة الأمنية من 50 صفحة. بالنسبة لشركة صغيرة أو متوسطة، تكفي وثيقة من صفحة إلى صفحتين تغطي القواعد الأساسية: استعمال الأجهزة المهنية، قواعد كلمات السر، الإجراء في حال الشك في بريد أو رسالة، الإبلاغ عن الحوادث.

المرحلة 3 - الأيام 60 إلى 90: المراقبة والمرونة

المراقبة والكشف

في هذه المرحلة، تكون قد حميت نقاطك الطرفية ونظّمت نسخك الاحتياطية. الخطوة التالية هي رؤية ما يجري على شبكتك. تتيح المراقبة الأمنية المستمرة كشف السلوكيات الشاذة قبل أن تصبح حوادث.

بالنسبة للشركات الصغيرة والمتوسطة التي تضم أقل من 50 شخصاً، يكون الحل الأكثر مردودية في الغالب خدمة SOC مُدار خارجية. فبدل توظيف محلل أمني (بتكلفة: 15000 إلى 25000 درهم/شهرياً)، تدفع مقابل الولوج إلى فريق كامل بجزء بسيط من هذه الميزانية. وهذا هو النموذج الذي تقترحه RMG Solutions عبر عرض المراقبة المستمرة، بمستشارين معتمَدين يعرفون السياق التنظيمي المغربي.

خطة الاستجابة للحوادث

78% من الشركات الصغيرة والمتوسطة المغربية لا تتوفر على خطة استجابة للحوادث (CGEM، 2025). عند وقوع هجوم، يحوّل غياب الخطة وضعية سيئة إلى كارثة.

يجب أن تجيب الخطة الدنيا عن هذه الأسئلة:

• من يقرر عزل نظام مخترَق، وكيف؟
• من يُخبر العملاء والسلطات والـ CNDP؟
• من يتصل بمزوّد الأمن السيبراني، وما رقم استعجاله؟
• كيف نوثّق الحادث لأسباب قانونية؟

يمكن لفريقنا المختص في الاستجابة للحوادث مساعدتك على بناء هذه الخطة واختبارها.

تكوين الفرق

تبدأ معظم الحوادث بخطأ بشري. فحصة تكوينية سنوية من ساعتين حول التهديدات الحالية (التصيّد، WhatsApp، كلمات السر) تقسم إحصائياً خطر الحادث على ثلاثة. وليس هذا تكويناً مملاً على شكل عرض PowerPoint: فتمارين محاكاة عملية للتصيّد وحالات ملموسة مغربية أكثر فعالية بكثير.

كيف تختار الحلول المناسبة

مضاد الفيروسات، EDR، XDR، SOC مُدار: ماذا يعني ذلك عملياً

تخلق هذه الاختصارات لبساً. إليك ما يقدّمه كل مستوى فعلاً:

بالنسبة لأغلب الشركات الصغيرة والمتوسطة المغربية بين 10 و100 موظف، التوصية العملية هي: EDR معدّ إعداداً سليماً + قواعد النسخ الاحتياطي + تكوين الموظفين. أضف SOC مُداراً حين تسمح الميزانية، أو حين يبرّر قطاعك (المالية، الصحة، الصناعة الحيوية) مراقبة مستمرة.

متى نستعين بمصادر خارجية، ومتى نحتفظ بالأمر داخلياً

الاعتمادات التي يجب طلبها من مزوّدك

ليس كل مزوّدي الأمن السيبراني سواء. إليك ما يجب أن تتحقق منه قبل التوقيع:

PASSI (مزوّد تدقيق أمن نظم المعلومات): تأهيل تمنحه الوكالة الوطنية لأمن نظم المعلومات (ANSSI) بفرنسا، ومعترف به بالمغرب. يدل على أن المزوّد قادر على إجراء عمليات تدقيق مطابقة للمعايير الدولية.

ISO 27001: شهادة معيار تدبير أمن المعلومات. فمزوّد معتمَد ISO 27001 يطبّق على بنيته الخاصة المسارات التي يوصي بها عملاءه.

الشراكات مع المصنّعين: شراكة رسمية مع Microsoft أو Palo Alto أو CrowdStrike أو SentinelOne تدل على كفاءة تحققت منها هذه الشركات المصنّعة.

بالنسبة لخدمات الأمن المُدار وعمليات الأمن، اطلب دائماً مراجع العملاء في قطاعك واعتمادات الطاقم التقني، وليس اعتمادات المؤسسة فقط.

إذا كان قطاعك يعرّضك لالتزامات تنظيمية، فإن تدقيق الأمن الذي يُنجزه مزوّد مؤهَّل هو الخطوة الأولى لتحديد ثغراتك بدقة قبل الاستثمار في الأدوات.

حالة التأمين السيبراني بالمغرب

يوجد التأمين السيبراني بالمغرب، لكن السوق لا يزال ناشئاً. من بين المؤمّنين الذين يقترحون ضمانات سيبرانية خاصة: Allianz Maroc (منتج "Cyber Assurances")، وAFMA، وHowden Morocco. وقد أعلنت وزيرة المالية نادية فتاح سنة 2025 عن تطوير منتج تأمين سيبراني مخصص خلال Casablanca Insurance Meeting.

تشمل التغطيات عادة:

• تكاليف استعادة الأنظمة
• خسائر الاستغلال أثناء الانقطاع
• المسؤولية تجاه الغير في حال تسرّب البيانات
• مصاريف الإشعار والتواصل في الأزمة

تتراوح الأقساط بين 5000 و30000 درهم سنوياً بالنسبة لشركة صغيرة أو متوسطة، حسب القطاع وحجم البيانات المعالَجة. لا يعوّض التأمين السيبراني الحماية التقنية: فأغلب العقود تستثني الحوادث الناتجة عن إهمال واضح (غياب التحديثات، غياب النسخ الاحتياطي). إنه يأتي مكمّلاً لوضعية أمنية سليمة.

من أين نبدأ عملياً

إذا كنت قد قرأت هذا الدليل إلى هنا، فأنت تعرف ثلاثة أمور: شركتك الصغيرة أو المتوسطة هدف، تكلفة التقاعس تتجاوز تكلفة الحماية، والالتزامات القانونية أصبحت مطبَّقة الآن.

خطوتك التالية: تدقيق للأمن السيبراني لوضعيتك الحالية. لا أداة ولا عقد. بل تشخيص. أين أنت الآن؟ ما ثغراتك ذات الأولوية؟ ما الميزانية الواقعية لحجمك وقطاعك؟

تواكب RMG Solutions الشركات الصغيرة والمتوسطة المغربية من التدقيق الأولي إلى وضع حلول الحماية والمراقبة. اتصل بنا للحصول على تقييم أولي مجاني.

مقاربة RMG Solutions لأمن الشركات الصغيرة والمتوسطة سيبرانياً

حماية كاملة، لا مجرد تدقيق. يبيع أغلب مزوّدي الأمن السيبراني بالمغرب خدمة معزولة: تدقيق ظرفي، أو مضاد فيروسات، أو جدار حماية. أما في RMG Solutions، فنحن نغطي سلسلة الحماية بأكملها لأننا الشريك المعلوماتي متعدد الخدمات الوحيد في السوق: تدقيق الوضعية وتحليل الفجوات، ونشر EDR على جميع محطاتك، وSOC مُدار بمراقبة مستمرة 24/7، والاستجابة للحوادث في حال هجوم، والامتثال التنظيمي لـ CNDP/DGSSI. وحين نكتشف ثغرة في بنيتك التحتية خلال التدقيق، نصلحها بأنفسنا -- لا حاجة للبحث عن مزوّد آخر للشبكة أو الخوادم أو السحابة. ومقرّنا بحي الرياض (الرباط)، نتدخّل في نفس اليوم بعين المكان وفي غضون ساعة بالدار البيضاء، ما يُحدث الفرق حين يضرب برنامج فدية صباح يوم اثنين. يبدأ كل تعامل بتقييم أولي مجاني مدته 30 دقيقة، دون التزام، مع خطة عمل مقدَّرة الكلفة ومكيّفة مع ميزانيتك الحقيقية.

اتصل بنا لتحديد موعد تقييمك.

الأسئلة الشائعة

هل تحتاج شركة صغيرة مغربية من 10 أشخاص فعلاً إلى الأمن السيبراني؟

نعم. الحجم ليس عامل حماية: 60% من أهداف الهجمات بالمغرب هي مقاولات صغيرة جداً وصغيرة ومتوسطة. يستهدف المهاجمون بالضبط البنيات الصغيرة لأنها أقل حماية. فشركة صغيرة من 10 أشخاص تعالج بيانات عملاء، وتستعمل خدمات بنكية عبر الإنترنت، وتتواصل بالبريد الإلكتروني، معرَّضة لنفس التهديدات التي تواجهها شركة كبيرة، بموارد أقل للتعافي منها.

ماذا أفعل إذا كانت مؤسستي ضحية لهجوم سيبراني؟

الخطوة الأولى: عزل الأنظمة المتضررة عن باقي الشبكة للحد من الانتشار. لا تطفئ الأجهزة (فتفقد الأدلة الجنائية الرقمية). اتصل فوراً بمزوّد متخصص في الاستجابة للحوادث. إذا اختُرقت بيانات شخصية، فأنت ملزم قانونياً بإشعار الـ CNDP ضمن الآجال التي ينص عليها القانون 09-08. وثّق كل شيء منذ البداية من أجل الإجراءات التأمينية والقانونية اللاحقة.

ما العقوبات إذا لم أكن ممتثلاً للقانون 09-08؟

تتراوح الغرامات الإدارية من 10000 درهم عن المخالفات البسيطة (غياب التصريح لدى الـ CNDP) إلى 300000 درهم عن كل مخالفة للمخالفات الجسيمة (غياب تدابير الأمن، الجمع غير المشروع). العقوبات تراكمية: عدة مخالفات متزامنة تؤدي إلى عدة غرامات. كما يمكن أن تؤدي المخالفات الأكثر جسامة إلى متابعات جنائية. ومنذ فبراير 2025، دخلت الـ CNDP مرحلة تطبيق فعلي للقانون.

هل يكفي MFA (المصادقة الثنائية) لحماية حساباتي المهنية؟

MFA هو التدبير الأكثر فعالية للوقاية من سرقة الحسابات عبر حشو بيانات الاعتماد (credential stuffing) أو التصيّد الكلاسيكي. فهو يحجب إحصائياً أكثر من 99% من المحاولات الآلية. لكنه لا يحمي من كل شيء: موظف يصادق على طلب MFA احتيالي (هجوم يُسمى "إجهاد MFA")، أو برنامج خبيث يتجاوز المصادقة، أو ولوج مادي غير مرخّص، كلها نواقل مختلفة. MFA ضروري لكنه غير كافٍ. يجب أن يقترن بـ EDR ونسخ احتياطية وتكوين للفرق.

كيف أعرف إن كان مزوّدي المعلوماتي الحالي يضمن فعلاً أمني؟

اطرح عليه أربعة أسئلة مباشرة: هل لديك شهادة ISO 27001 أو تأهيل PASSI؟ هل يمكنك تزويدي بتقرير تدقيق أمني لأنظمتي؟ هل لديك خطة استجابة للحوادث لبنياتي التحتية؟ ماذا يحدث إن كنت أنت نفسك ضحية لهجوم؟ إذا كانت الأجوبة غامضة أو بدت هذه الأسئلة جديدة عليه، فأمنك على الأرجح ليس في أيدٍ أمينة. مزوّد جدي يستبق هذه الأسئلة ويمكنه الإجابة عنها بوثائق ملموسة.