أي شهادات الأمن السيبراني تستحق فعلًا؟

ثلاثة أسئلة ترتدي الثوب نفسه

لا أحد يسأل «هل تستحق هذه الشهادة عناءها؟» ويقصد شيئًا واحدًا. في السؤال تختبئ ثلاثة أسئلة، وإجاباتها لا تكاد تتقاطع.

أتريدها لتتعلّم شيئًا؟ إذًا لا يهم إلا أمر واحد: هل يُلزمك الامتحان بأداء العمل فعلًا.

أتريدها لتجتاز فرزًا آليًا؟ إذًا لا يهم إلا أمر واحد: أي كلمة يبحث عنها مسؤول التوظيف.

أتريدها لإرضاء إدارة مشتريات أو تدقيق تخصّ جهة أخرى؟ إذًا رأيي لا قيمة له، ورأيك كذلك: ما يهم هو ما تنص عليه وثيقة بعينها.

تجيب معظم النصائح عن السؤال الأول ثم تبيع الإجابة وكأنها حسمت السؤالين الآخرين.

للتوضيح: لا أحمل أيًّا من الشهادات التقنية المذكورة أدناه — مؤهلاتي أكاديمية — ولا تربطني علاقة تجارية أو تسويقية بأي من الجهات المانحة هنا. أنا أوظّف من يحملونها، وأملأ استبيانات المشتريات التي تسمّيها بالاسم. من هذا الموقع تحديدًا يمكنك أن تقول إن شهادة ما إلزامية ولا تعلّم شيئًا، وأن تعني شطري العبارة معًا.

الشهادات التي تعلّمك شيئًا

يفصل بين هذه الفئة وما عداها اختبار واحد: هل يضعك الامتحان أمام أنظمة حقيقية تحت ضغط الوقت — تقتحمها أو تستنتج ما جرى فيها — ثم يُلزمك بكتابة التقرير بالصورة التي سيستلمها بها العميل.

هذه أسعار معلنة جرى التحقق منها في ٢٠٢٦ وهي عرضة للتغيّر. رقم OSCP يشمل حزمة الدورة والامتحان معًا. ورقم CPTS هو قسيمة الامتحان منفردة؛ أما مبلغ ٤٩٠ دولارًا الذي ستراه متداولًا فهو الاشتراك السنوي في أكاديمية Hack The Box، ويضم المسار التدريبي وقسيمة واحدة. وصار لـ CRTO سعر واحد يشمل الوصول مدى الحياة إلى الدورة والمعمل ومحاولات امتحان غير محدودة؛ وتخفّضه Zero-Point بحسب تعادل القوة الشرائية في بعض الدول.

تُعدّ OSCP أقرب ما يكون إلى بوابة دخول في سوق التوظيف التجاري لاختبار الاختراق، ولهذا تكلّف ما تكلّفه: أنت تشتري تقييمًا وكلمة مفتاحية، لا تعليمًا. ودليل الامتحان الصادر عن OffSec نفسها يمنحك ٢٣ ساعة و٤٥ دقيقة للاختبار، ثم ٢٤ ساعة أخرى لتسليم التوثيق؛ ويقرّبها التسويق إلى ٢٤ ساعة. وتنتهي صلاحية OSCP+ بعد ثلاث سنوات وعليها رسم تجديد؛ أما OSCP المجردة فصلاحيتها مدى الحياة.

يمكن القول إن CPTS هي التقييم الأصعب — فالتقرير يُقيَّم على حدة، وقواعد Hack The Box لا تمنحك محاولة ثانية ما لم تكن قد سلّمت تقريرًا في الأولى. وPNPT هي التي أوجّه إليها الاستشاريين المبتدئين: فجلسة العرض الحية تختبر الجزء الذي يراه العميل فعلًا من العمل. وامتحان CRTO عملية لا اختبار أسئلة، ويقع في أدنى نطاق أسعار شهادات الفريق الأحمر، غير أن منصته وآلية امتحانه تغيّرتا معًا في ٢٠٢٦ — تحقّق من الصيغة لدى الجهة المانحة، لا من مقال. وBTL1 هي النظير الدفاعي وصيغتها متماسكة، وإن كانت الجهة المانحة تعمل الآن باسم Centri بدلًا من Security Blue Team.

وتنتمي شهادات GIAC إلى هذه الفئة عن جدارة، لكنها بعيدة عنها تمامًا من حيث السعر: فـ GCFA وGREM تحظيان باحترام الممارسين ومديري التوظيف على السواء، غير أن دورة SANS تبلغ نحو ٨٨٠٠ دولار حتى ٢٠٢٦، ومحاولة امتحان GIAC نحو ألف دولار إضافي فوق ذلك. أي ما يقارب عشرة آلاف دولار، وهو رقم يدفعه صاحب العمل لا الموظف.

شهادات البوابة التي تشتريها رغم كل شيء

CEH هي أوضح الأمثلة. الامتحان الأساسي ١٢٥ سؤالًا من نوع الاختيار من متعدد في أربع ساعات، ولم يشترط يومًا إثبات القدرة على استغلال ثغرة؛ أما النسخة العملية المنفصلة فتشترط ذلك. وتقدير الممارسين لها متدنٍ. لكن شيئًا من ذلك لا يصل إلى مسؤول المشتريات: فـ CEH معتمدة وفق ISO/IEC 17024، ومدرجة لدى وزارة الدفاع الأمريكية في مصفوفة تأهيل الأدوار الوظيفية DoD 8140 التي حلّت محل قوائم الشهادات الأساسية القديمة في DoD 8570، ومسمّاة في المناقصات والإعلانات، وبكثافة في الخليج تحديدًا. اشترِها حين يسمّيها عقد، لا لتتعلم الاختراق.

أما CISSP فتغطّي كل شيء ولا تتعمّق في شيء، ومع ذلك تظل أنجع مفتاح منفرد للمناصب القيادية. جوهرها ليس الامتحان، بل خمس سنوات خبرة موزّعة على مجالين من ثمانية، مع تزكية من عضو حالي في الجمعية. كذلك قلّصت ISC2 قائمة إعفاءات الخبرة إلى النصف تقريبًا في الأول من أبريل ٢٠٢٦، فأسقطت CEH وCISA وCRISC وOSCP ومعظم شهادات GIAC — فإن قيل لك في ٢٠٢٤ إن شهادة ما تعفيك من سنة، فتحقّق أولًا.

وSC-200 خانة تأشير رخيصة لمركز عمليات أمنية قائم على منظومة Microsoft: ١٠٠ دقيقة، وتجديد سنوي مجاني.

الإدارة والحَوكمة والسحابة

CISA هي أقوى مؤهل تدقيق موجود على الإطلاق: تسمّيها بالاسم وظائف التدقيق الداخلي، وشركات المحاسبة الأربع الكبرى، والأدوار التي تتعامل مع الجهات الرقابية. وCISM هي أداة الفرز المعتادة لمدير الأمن، فيما تبقى CRISC أضعف شهادات ISACA الثلاث كإشارة توظيف. وكلها امتحانات معرفية، بـ ٥٧٥ دولارًا للأعضاء حتى ٢٠٢٦ — ويدفع غير الأعضاء أكثر، ولا يشمل السعر في الحالين عضوية ISACA ولا رسم التقديم.

وشهادتا ISO 27001 للمنفّذ الرئيسي والمدقق الرئيسي مؤهلا دورة تدريبية لا رخصتان — فالشهادة المعتمدة لنظام إدارة أمن المعلومات لا تصدر إلا عن جهة منحِ شهادات معتمدة وفق ISO/IEC 17021-1. وشهادة المنفّذ الرئيسي هي العملية منهما، وهي التي تسمّيها مواصفات الامتثال في الخليج والاتحاد الأوروبي. والتدقيق لحساب هيئة لمنح الشهادات يعني عادةً التسجيل لدى CQI/IRCA، وهو تسجيل يُكتسب بأيام تدقيق فعلية، غير أن ذلك عرف لا قاعدة: فـ ISO/IEC 17021-1 يضع واجب إثبات الكفاءة على عاتق هيئة منح الشهادات نفسها، وبعضها يقبل Exemplar Global أو نظامه الداخلي الخاص. وقيمة CCSK في الوثيقة التي وراءها — فإرشادات CSA هي المرجع الذي يستشهد به الجميع فعلًا. أما TOGAF وSABSA فمتعاكستان: يبحث مسؤولو التوظيف عن الأولى، ويحترم المعماريون الثانية.

ما تطلبه المنطقة فعلًا

معظم ما يُكتب عن الشهادات يفترض قارئًا أمريكيًا أو بريطانيًا. وفيما يلي ما اضطررت إلى استيفائه بنفسي.

الإمارات. عبارة «الامتثال لـ NESA» تسمية قديمة موروثة؛ فالكلمة لا ترد إطلاقًا في المستند، وهو «نظام ضمان أمن المعلومات في دولة الإمارات». وليس فيه من إلزام في هذا الشأن إلا الضابط الفرعي M5.4.1، الذي يطلب أن يتولى فحص الامتثال «موظفون مخوَّلون ذوو قدرات تقنية كافية»؛ أما السطران اللذان يُقتبسان عادةً في وجه المختبِرين — أن فحص الامتثال التقني «ينبغي ألا يُجرى إلا على يد أشخاص أكفاء ومخوَّلين أو تحت إشرافهم»، وأن أمن التطبيقات يعينه اختبار يدوي على يد أشخاص لديهم خبرة في البرمجة واختبار اختراق التطبيقات — فيقعان في «إرشادات التنفيذ» و«إرشادات الأتمتة»، وهي إرشادات يقول النظام نفسه إنها «مقدَّمة لغرض العلم فقط». لا ذكر لأي شهادة في أي موضع. ولا يسمّي «الدليل الإرشادي» الصادر عن المصرف المركزي شهادة كذلك، لكنه ليس على النمط نفسه: فعلى شركات الصرافة المرخّص لها إجراء فحص للثغرات داخليًا وخارجيًا واختبارات اختراق مرة في السنة على الأقل، مع تدقيق ضوابط أمن المعلومات وأمن تقنية المعلومات على يد «خبراء خارجيين»، بينما لا يُطلب من المرخّص لهم بتسهيلات القيم المخزنة ومن كبار مقدّمي خدمات الدفع سوى «القيام بتقييم دوري لضرورة إجراء اختبار محاكاة الاختراق والهجوم السيبراني» — أي التزام بالتقييم لا بالاختبار. وابحث في ذلك الدليل عن CREST فلن تجد شيئًا.

وتذهب دبي إلى أبعد مدى. أطلق مركز دبي للأمن الإلكتروني «درع دبي للأمن الرقمي» (Dubai Cyber Force) في ٢٠٢٣ بالتعاون مع «كرست إنترناشونال»، وبالنسبة للجهات الحكومية وشبه الحكومية والبنية التحتية للمعلومات الحيوية في دبي فالبوابة متعددة الطبقات: رخصة تجارية تغطي الأمن السيبراني، واعتماد CREST للشركة، وإدراج لدى المركز، واستشاريون قادرون على الحصول على تصريح أمني من شرطة دبي. والشهادات المسمّاة بالاسم شرط للإدراج، وهو أمر نادر في الخليج لا فريد: فاعتماد مزوّدي «خدمات التقييم الأمني» لدى وزارة النقل والاتصالات وتقنية المعلومات في سلطنة عُمان يسمّي CREST وOSCP وGPEN وGWAPT وOSWE وCEH لسجلّها هو. غير أن قائمة دبي أطول — CRT وOSCP وGPEN وGWAPT لأعضاء الفريق، وCCT INF وOSEP وOSWE وGXPN لقادته، وغيرها. وأبوظبي مختلفة مرة أخرى، ونهجها قطاعي: فبالنسبة للمنشآت الصحية الأكبر — المستشفيات من ٢١ سريرًا فأكثر، وجهات الدفع، ومنصة تبادل المعلومات الصحية، ومزوّدي تقنيات الرعاية الصحية وخدماتها، وهما فئتا «المتقدمة» و«مزوّد الخدمة» — يطلب ADHICS تقييمًا مستقلًا دوريًا وفق جداول سنوية، ولا يسمّي أحدًا.

السعودية. كل جهة تبيع خدمات أمن سيبراني داخل المملكة ملزمة بالتسجيل على منصة حصين التابعة للهيئة الوطنية للأمن السيبراني منذ أغسطس ٢٠٢٢، ولم يعد التسجيل هو البوابة كاملة في بعض الأنشطة: فالهيئة ترخّص «خدمات مركز عمليات الأمن السيبراني المُدار» على مستويين. أما مسوّدة «الإطار التنظيمي لترخيص تقديم خدمات ومنتجات وحلول الأمن السيبراني» (RFCS-1:2026) فتجعل اختبار الاختراق وعمليات الفريق الأحمر نشاطين يستلزمان ترخيصًا متخصصًا مستقلًا، غير أنها طُرحت لاستطلاع آراء العموم في فبراير ٢٠٢٦ ولم تصدر بعد. وفي أعمال الاختبار لا يزال التسجيل في حصين هو البوابة كاملة. فتحقّق مما إذا كان ذلك قد تغيّر قبل أن تتقدم بعرض.

ثم اقرأ الضوابط نفسها، لأن السوق يسيء اقتباسها. فضابط اختبار الاختراق في ECC-2:2024 لا يقول شيئًا عمّن يجري الاختبار. أما ضوابط الأنظمة الحساسة فتقول أكثر بكثير: اختبار كل ستة أشهر على الأقل على يد «فريق مؤهل» لا يُعرَّف في أي موضع، ومنع الدخول عن بُعد من خارج المملكة، وقصر خدمات الإسناد والخدمات المدارة على «شركات وجهات وطنية». هذان الضابطان، لا أي شهادة، هما ما ينهي نموذج فريق يهبط ويختبر ويغادر. وأكثر الضوابط التي يُساء اقتباسها في المشتريات السعودية أضيق مما يردده الناس: فالضابط ٢-١-٥-١ ينص على «أن يشغل وظائف الدعم، والتطوير التقني، للأنظمة الحساسة؛ مواطنون ذوو كفاءة عالية». لا وظائف الأمن السيبراني عمومًا. وهل يمتد ذلك إلى فريق اختبار خارجي؟ الأمر قابل للجدل فعلًا — فالقسم الذي يندرج تحته يحصر نطاق الكوادر في الموظفين والمتعاقدين — فلا تقل لعميل إنه يستثنيك بوضوح.

وينشر البنك المركزي السعودي (ساما) جدول شهادات مقترحة، ولـ«محاكاة الهجمات السيبرانية الأخلاقية» (الفريق الأحمر) وحدها: CISA وCISM وCISSP وSSCP للمديرين، وGPEN وGWAPT وGXPN ومجموعة OffSec للمختبِرين، وشهادات الفريق الأحمر من CREST بمسمياتها القديمة. مقترحة، لا شرطٌ لأي شيء — وهذا هو الفارق بينها وبين قائمة دبي. وبقية ذلك الملحق أهم: الجهات المرجعية من عملاء سابقين، والتقارير السابقة بعد إخفاء هوية أصحابها، ومدونة سلوك، وتوثيق كل نشاط في السجلات.

أوروبا. ادعاءان يتكرران في اجتماعات المبيعات وكلاهما باطل: NIS2 لا يشترط CREST، واللائحة العامة لحماية البيانات لا تشترط مختبِرين معتمَدين. فـ NIS2 يتيح للسلطات المختصة أن تأمر بـ «عمليات تدقيق أمني منتظمة ومحددة الهدف تنفذها جهة مستقلة أو سلطة مختصة»، وأن تطلب، على نحو منفصل، دليلًا على تدقيقات «أجراها مدقق مؤهل» — وهو مصطلح لا يعرّفه التوجيه في أي موضع. أما اللائحة العامة لحماية البيانات فلا تسمّي أسلوبًا ولا مؤهلًا على الإطلاق.

وDORA هي اللائحة الحقيقية، وهي محايدة تجاه العلامات التجارية عن قصد: اختبار موجَّه بالتهديدات مرة كل ثلاث سنوات على الأقل للجهات الداخلة في نطاقها، ومختبِرون خارجيون في كل اختبار ثالث على الأقل حين يُستخدم مختبِرون داخليون، ومختبِرون «معتمدون من جهة اعتماد في إحدى الدول الأعضاء أو ملتزمون بمدونات سلوك أو أطر أخلاقية رسمية». حرف العطف «أو» هذا هو ما يبقي الشركات غير الحاصلة على CREST مؤهَّلة للتعاقد معها داخل الاتحاد. أما اشتراطاتها الصارمة فلا يُعلَن عنها: تأكيد مستقل على كيفية إدارتك لمخاطر الاختبار نفسه، وتأمين مسؤولية مهنية يغطي سوء السلوك والإهمال. ويذهب دليل المشتريات الصادر عن البنك المركزي الأوروبي لإطار TIBER-EU لسنة ٢٠٢٥ إلى أبعد من ذلك — ولاحظ السنة، لأن سلفه الصادر في ٢٠١٨ قال العكس:

لذلك لا يقدّم هذا الدليل قائمة بشهادات مُوصى بها، بل يقدّم إرشادًا حول كيفية مراجعة الشهادات المختلفة.

ويحدد الخبرة بدلًا منها: مدير اختبار بخبرة خمس سنوات على الأقل، وسنتين لكل عضو من بقية الفريق، وخمس جهات مرجعية للشركة، وتأمين، وفصل عن أعمال الفريق الأزرق أو استخبارات التهديدات لدى العميل نفسه.

وتنشر ألمانيا القائمة التي لا ينشرها غيرها. فتقييم الكفاءة لمختبِري الاختراق الصادر عن BSI يسمّي CRT وGPEN وGXPN وعائلة OffSec وCEH Practical وCPENT وPenTest+ وHTB CPTS وCRTO، ويشترط شهادة واحدة ممنوحة خلال السنوات الثلاث الأخيرة وسارية وقت التقديم، وينظر في غيرها حالة بحالة بشرط أن تحمل مكوّنًا عمليًا مثبتًا لا يقل عن ٦٠٪، مع امتحان نهائي عالي المحتوى العملي. وهو نظام طوعي للأفراد يغذّي قائمة BSI لمقدمي الخدمات المعتمدين، لا اشتراط قانوني على كل من يختبر في ألمانيا — لكنه أوضح قائمة حكومية منشورة رأيتها.

مصر. بدأ الجهاز القومي لتنظيم الاتصالات اعتماد مقدمي خدمات الأمن السيبراني على مستويات في ٢٠٢٥: يجوز للمستوى الأعلى أن يخدم الجهات الحكومية والاتصالات والبنية التحتية الحرجة، ويقتصر الأدنى على عملاء القطاع الخاص وحدهم، ولا يجوز للمشترين الحكوميين التعاقد إلا مع معتمدين. ولا ينسحب شيء من ذلك على الخليج. ومهما حمل المرء من شهادات، فالقانون رقم ١٧٥ لسنة ٢٠١٨ يجرّم «الدخول غير المشروع» — وما يحمي المختبِر هنا هو تفويض موقّع بنطاق موثّق.

ما لا تثبته الشهادة

وظّفتُ أشخاصًا يحملون شهادات لا أستطيع أنا اجتيازها ولا يقدرون على إدارة مهمة كاملة، ووظّفتُ آخرين لا شيء لديهم على الورق ويقدرون. وهذه ليست حجة ضد الشهادات، بل حديث عمّا يقيسه امتحان في أربع وعشرين ساعة. لا شيء هنا يختبر قدرتك على تحديد نطاق العمل مع عميل لا يعرف ماذا يريد، ولا على ملاحظة أن الجهاز الذي أمامك جهاز إنتاج فتتوقف، ولا على صياغة ملاحظة يموّل مديرٌ ماليٌّ إصلاحها، ولا على قول «لا أعرف» في قاعة مجلس إدارة. جلسة العرض في PNPT والتقارير المُقيَّمة تقتربان من ذلك؛ وما عداهما يصحّح منتصف العمل فقط. وتتقادم الشهادات في الاتجاهين معًا: فإحدى الجهات المانحة في جدولي غيّرت اسمها منذ دوّنته أول مرة، ولا تزال قائمة دبي المنشورة تحمل شهادة من EC-Council أُوقفت منذ سنوات. ومن البنك المركزي الأوروبي مرة أخرى:

ينبغي ألا تعتمد الجهة على المؤهلات والشهادات وحدها.

وحين تصدر هذه العبارة عن بنك مركزي، فهي أقرب ما تحصل عليه من إذن بأن تحكم على الشخص لا على الورق.

لو كان عليّ اختيار مسار

في البداية. احصل على وظيفة، ثم أنفق المال. شهادة ISC2 التمهيدية بنحو ١٩٩ دولارًا؛ وشهادة Google شهادة إتمام دورة لا شهادة مهنية، وهي مدخل جيد إلى Security+. خذ واحدة، واحصل على وظيفة، ودع صاحب العمل يموّل التالية. وأسوأ نمط أراه هو من يغيّر مساره المهني ويحمل أربع شهادات، بلا وظيفة وبلا مال متبقٍّ.

منتصف المسار، اتجاه هجومي. CPTS أو PNPT أولًا، للمهارة ولانضباط كتابة التقرير؛ ثم OSCP حين يطلب نظام فرز ما تلك الكلمة المفتاحية؛ وCRTO لمصداقية الفريق الأحمر. وأضف CREST حين يستلزمه العمل، مع إدراك أن الحصول على CRT عبر معادلة OSCP مؤهلُ توظيفٍ لا طريقٌ إلى أعمال CHECK البريطانية، التي باتت تشترط كذلك لقبًا من المجلس البريطاني للأمن السيبراني (UK Cyber Security Council). وفي الخليج شهادتك هي البوابة الثانية؛ أما الأولى فهي ما إذا كانت الجهة التي تُصدر فاتورة العمل مرخّصة محليًا، ومعتمدة من CREST في حالة دبي.

معمارية الأمن أو القيادة. CISSP من أجل الفرز الآلي، لأن الفرز حقيقي ولا بديل له. وCCSK لمضمون السحابة، وCISA إن كنت تقترب من التدقيق، وSABSA إن كنت تمارس فعلًا معمارية قائمة على المخاطر، وTOGAF حين تسمّيها كراسة مناقصة. وعلى ذلك المستوى، ما يمنحك المنصب هو قدرتك على الدفاع عن قرار تصميمي أمام من يدفعون ثمنه.

خاتمة

لا إجابة لسؤال «هل تستحق العناء؟» قبل أن تحدد من الذي تحاول إقناعه. الامتحانات العملية هي الطرف الرخيص في هذا المقال، وكل واحد منها يضعك أمام أنظمة حقيقية ويُلزمك بإنتاج مُخرَج حقيقي. تشتري لك مهارة ومصداقية بين الأقران، ولا تشتري شيئًا على مكتب المشتريات. أما البوابات فتُباع منفصلة، وتكلّف أكثر وتعلّم أقل. والأمران صحيحان في آن واحد، ومن يقول غير ذلك فإما أنه يبيع تدريبًا وإما أنه لم يملأ يومًا استبيان موردين لبنك.