الشهادة تفتح الباب، والمهارة تُبقيك في الداخل.

أين يعمل خرّيج الأمن السيبراني في العراق، وبأيّ وظيفة يبدأ، وأيّ شهادة يطلبها صاحب العمل في كل مرحلة؟ خريطة واحدة تربط الوظائف بالشهادات وبدورات المعسكر التي تُعدّك لها، مبنية على تعليمات البنك المركزي العراقي وعلى إعلانات وظائف حقيقية في المصارف وشركات الدفع والاتصالات.

المسار الموصى به في المعسكر

ابدأ بالفريق الأحمر أو بالفريق الأزرق، والأفضل أن تأخذ الاثنين. بعدها أمن البرمجيات، ثم اختبار الاختراق بمستوى OSCP، ثم تمرين أحمر ضد أزرق، ثم الذكاء الاصطناعي، ثم الحوكمة. في كل محطّة: ماذا تدرس، وأيّ امتحان تُعدّك له، وأيّ وظيفة تفتحها.

٧ دورات وتحدّي الكابستون في ٦ خطوات، ووجهة واحدة في آخرها.

1. أسس الفريق الأحمر وعقلية APT أو الفريق الأزرق ودفاع البنية التحتية

   ابدأ بأيّهما، والأفضل كلاهما

   ابدأ من عقل المهاجم: تبني أدوات الهجوم وسلسلة التوصيل بيدك، فيصير لكل قاعدة كشف تكتبها بعدها معنى. الدورة منشورة ومجّانية، فهي أسهل بداية، ويختمها تحدّي الكابستون.

   أسرع باب إلى أول وظيفة في العراق: تبني لينكس وويندوز والشبكة، ثم تهاجمها، ثم تدافع عنها، ثم تبني مركز عمليات أمنية كاملاً. تستطيع أن تبدأ من هنا، والأفضل أن تمرّ بالفريق الأحمر أيضاً: وحدات الهجوم هنا تفترض أساسياته، وهو مجّاني.

2. أمن البرمجيات

   تبني على الفريق الأحمر الذي تتطلّبه: رأيت الثغرة من جهة المهاجم، وهنا تراها في سطر الكود نفسه. أبيض الصندوق: تملك الكود وتكتب الرقعة، وهو ما يقوم عليه اختبار الاختراق بعدها.

3. اختبار الاختراق بمستوى OSCP

   أسود الصندوق: لا تملك إلا عنوان الهدف. تأتيه بعد الفريق الأزرق الذي يتطلّبه، فتعرف ما الذي سيكشفك، ومع عقل المهاجم وفهم الكود تجد ما لا يجده غيرك، وتكتب تقريراً يقرؤه المدير التقني وغير التقني.

4. أحمر ضد أزرق

   بعد أن تدرّبت على الجهتين، تواجه خصماً بشرياً يردّ عليك في بيئة واحدة، ثم تتبادلون الأدوار. هذا ما يسأل عنه صاحب العمل: هل عملت تحت ضغط خصم حقيقي؟

5. الذكاء الاصطناعي في الأمن السيبراني

   الأتمتة تأتي بعد الإتقان: تؤتمت بالنماذج اللغوية ما صرت تتقنه بيدك، من فرز التنبيهات إلى الاستطلاع وصيد الثغرات، وتعرف أين تخترع النماذج نتائج.

6. الحوكمة والمخاطر والامتثال

   لا تتطلّب الحوكمة شيئاً قبلها، فتستطيع دراستها بالتوازي متى شئت. لكنّ مكانها الطبيعي آخر المسار: حين تعرف الضابط التقني من الداخل، تكتبه بلغة الإدارة والبنك المركزي.

الوجهة: ضابط أمن المعلومات

الوظيفة التي تطلب المسار كلّه. في المصارف وشركات الدفع العراقية يُطلب من ضابط أمن المعلومات مستوى متوسط في كل التخصّصات، لا العمق في واحد، وكل عمود من أعمدتها تبنيه دورة على هذا المسار.

ضابط أمن المعلومات: وظيفة تطلب المعسكر كلّه

في المصارف وشركات الدفع العراقية يكون قسم أمن المعلومات غالباً فريقاً صغيراً، فلا يُطلب من ضابط أمن المعلومات أن يكون خبيراً في تخصّص واحد. المطلوب منه مستوى متوسط في التخصّصات كلّها. إعلان لهذه الوظيفة في مصرف ببغداد، أيلول ٢٠٢٦، يجمع في وصفها السياسات، والمراقبة ودعم الاستجابة للحوادث، وفحص الثغرات واختبار الأمن، والمخاطر، والتوعية.

وضوابط الصمود السيبراني التي أصدرها البنك المركزي العراقي في ٢٠٢٤ تطلب الشيء نفسه من القسم كلّه: متخصّصين في الأمن السيبراني، ومراقبة مستمرة، واختبارات اختراق دورية، وتوعية لكل الموظفين. لهذا لا تكفي دورة تخصّص واحدة: تهاجم لتفهم، وتدافع لتكشف، وتحكم لتُثبت.

• تقييم الثغرات واختبار الاختراق: يدير فحص الثغرات الدوري ويفرز نتائجه، ويحدّد نطاق اختبار الاختراق مع الجهة الخارجية، ويتحقّق من إصلاح ما وجدته.
• المراقبة والاستجابة للحوادث: يتابع تنبيهات SIEM وEDR والبريد، ويفرز الحادثة ويصعّدها، ويقود الاستجابة الأولى ويكتب تقريرها.
• الحوكمة والمخاطر والامتثال: يكتب السياسات والإجراءات، ويدير سجلّ المخاطر، ويجهّز الأدلة وفق ISO 27001 وPCI DSS وتعليمات البنك المركزي.
• أمن التطبيقات: يراجع أمن تطبيقات الخدمات المصرفية الإلكترونية والدفع وواجهاتها قبل الإطلاق، ويتابع إصلاح ثغراتها مع المطوّرين.
• التوعية والهندسة الاجتماعية: يدير برنامج توعية الموظّفين، ويقيس أثره بحملات تصيّد تجريبية، لأنه يعرف كيف تُبنى الرسالة التي تخدعهم.

أين تعمل في العراق؟

سوق الأمن السيبراني في العراق تقوده القطاعات الخاضعة للرقابة: ما يفرضه البنك المركزي والمعايير الدولية على المصرف وشركة الدفع هو ما يخلق الوظيفة. وما لا توظّف له هذه القطاعات بنفسها تشتريه من شركات الاستشارات والخدمات الأمنية.

المصارف

أكبر سوق للوظيفة الأمنية في العراق. قسم أمن المعلومات فيها يجمع المراقبة وفحص الثغرات والسياسات، وتراجع عمله إدارة المخاطر والتدقيق الداخلي.

• ضوابط حوكمة تقنية المعلومات والاتصالات، البنك المركزي العراقي ٢٠١٩: إطار مبني على COBIT، ولجان للحوكمة، وتقرير إنجاز كل ستة أشهر، وتقريران سنويان إلى البنك المركزي من التدقيق الداخلي والخارجي لتقنية المعلومات.
• ضوابط الصمود السيبراني للقطاع المالي والمصرفي، البنك المركزي العراقي ٢٠٢٤: متخصّصون في الأمن السيبراني، ومراقبة مستمرة، واختبار اختراق دوري، وتوعية، وامتثال لمعايير PCI DSS وSWIFT CSP.
• دليل البنك المركزي لتقييم المصارف الخاصة ٢٠٢٥: مسؤول تنفيذي للأمن السيبراني، والتدرّج نحو ISO 27001 وPCI DSS، والامتثال الكامل لإطار COBIT 2019، ومراجعة سنوية مستقلّة للأمن السيبراني.
• ضوابط المناصب القيادية في المصارف، البنك المركزي العراقي ٢٠٢٥: مدير أمن المعلومات يحمل CCISO أو CISSP أو CISM مع خمس سنوات خبرة، ومعاونه يحمل ISC2 CC أو Security+ مع ثلاث سنوات، ومدير تقنية المعلومات يحمل COBIT 2019 أو ITIL 4.

شركات الدفع الإلكتروني

المحافظ الإلكترونية ومعالجو البطاقات ومزوّدو الدفع المرخّصون من البنك المركزي. تطبيقاتهم وواجهاتهم البرمجية هي الواجهة، فيطلبون أمن التطبيقات واختبار الاختراق مع المراقبة والامتثال.

• نظام خدمات الدفع الإلكتروني رقم ٢ لسنة ٢٠٢٤: الامتثال لمعايير أمان بطاقات الدفع وما يحدّده البنك المركزي من معايير أمن المعلومات، ومراجعة دورية لإجراءات الأمن.

الاتصالات والإنترنت

شبكات كبيرة وملايين المشتركين وهجمات إغراق لا تتوقّف: مراكز عمليات أمنية بنوبات حقيقية، ومهندسو أمن شبكات، وفرق امتثال.

النفط والغاز والطاقة

الشركات الوطنية والأجنبية في الحقول ومحطّات الطاقة، وغالباً عبر متعاقدين. يضيف القطاع أمن أنظمة التحكّم الصناعي OT، وهو تخصّص لا يغطّيه المعسكر بعد، لكنّ أساسه في الشبكات والمراقبة هو نفسه.

الجهات الحكومية

استراتيجية الأمن الوطني للأعوام ٢٠٢٥ إلى ٢٠٣٠ تعدّ محدودية الخبرات في الأمن السيبراني نقطة ضعف، وتدعو إلى فرق متخصّصة للاستجابة للحوادث السيبرانية. الطلب قائم، والتوظيف فيه أبطأ وأقلّ إعلاناً.

الاستشارات والخدمات الأمنية المُدارة

شركات تبيع الأمن للمصارف والاتصالات: اختبار الاختراق، ومراكز عمليات مُدارة، وتطبيق ISO 27001، والمراجعة السنوية المستقلّة التي يطلبها البنك المركزي. غالباً أول عمل لخرّيج الاختراق أو الحوكمة، لأنها ترى عشرات البيئات في سنة واحدة.

المنظمات الدولية والعمل عن بعد

المنظمات الدولية العاملة في العراق، وفرق عن بعد في الخليج وخارجه، وبرامج مكافآت الثغرات. الإنجليزية والملفّ العام هنا أهمّ من أيّ شهادة.

خريطة الوظائف والشهادات

كل صفّ مسار مهني، وكل عمود مرحلة من العمل. اضغط وظيفة لترى الشهادات التي تطلبها الإعلانات لها، أو شهادة لترى الوظائف التي تطلبها والدورة التي تُعدّك لها، أو اختر دورة لترى إلى أين تقودك.

أمن المعلومات في المؤسسة (Information Security)

المسار الجامع: يبدأ في قسم أمن المعلومات، ويمرّ بضابط أمن المعلومات، وينتهي برئاسة أمن المعلومات. يطلب مستوى متوسطاً في كل التخصّصات بدل العمق في واحد.

• أخصائي أمن المعلومات (Information Security Specialist): الباب الأوسع إلى قسم أمن المعلومات: يتابع الصلاحيات والتحديثات ونتائج فحص الثغرات والتنبيهات، ويساعد في السياسات وحملات التوعية، فيرى تخصّصات القسم كلّها من الداخل.
• أخصائي التوعية الأمنية (Security Awareness Specialist): يبني برنامج توعية الموظّفين ويجري حملات تصيّد تجريبية ليقيس أثره. يجمع فهم الهندسة الاجتماعية من جهة المهاجم بمهارة التواصل.
• ضابط أمن المعلومات (Information Security Officer): المسؤول عن أمن المعلومات في المؤسسة، بمستوى متوسط في كل التخصّصات: يدير فحص الثغرات ويتابع اختبار الاختراق، ويراقب التنبيهات ويقود الاستجابة الأولى، ويكتب السياسات ويدير المخاطر ويجهّز أدلة التدقيق.
• مدير أمن المعلومات (Information Security Manager): يقود قسم أمن المعلومات: يبني البرنامج وميزانيته، ويدير الفريق والمورّدين واختبارات الاختراق الخارجية، ويرفع تقارير المخاطر إلى الإدارة العليا. وفي المصارف العراقية يشترط فيه البنك المركزي CCISO أو CISSP أو CISM.
• رئيس أمن المعلومات (Chief Information Security Officer): يضع استراتيجية الأمن ويحاسَب عليها أمام مجلس الإدارة والجهة الرقابية، ويوازن بين المخاطر وكلفة الحماية وأهداف العمل.

• ISC2 CC (ISC2): أول درجة في سلّم ISC2: مبادئ الأمن، والحوكمة، والتحكّم بالوصول، وأمن الشبكات، والعمليات والاستجابة.
• CompTIA Security+ (CompTIA): الشهادة الأساسية الأكثر ذكراً في إعلانات وظائف الأمن: المفاهيم، والتهديدات، والمعمارية، والعمليات، والحوكمة.
• CompTIA Network+ (CompTIA): أساسيات الشبكات التي يقوم عليها كل عمل أمني: العنونة، والتوجيه، والخدمات، والأمن، واستكشاف الأعطال.
• ISC2 SSCP (ISC2): شهادة الممارس: تشغيل الضوابط يومياً، من التحكّم بالوصول والمخاطر إلى الاستجابة للحوادث والتشفير.
• ISC2 CISSP (ISC2): أشهر شهادة لإدارة أمن المعلومات: مجالاتها الثمانية من إدارة المخاطر إلى أمن تطوير البرمجيات.
• ISACA CISM (ISACA): شهادة مدير أمن المعلومات: الحوكمة، وإدارة المخاطر، وبناء البرنامج، وإدارة الحوادث. الأكثر تكراراً في إعلانات الوظائف الأمنية العراقية التي قرأناها.
• CompTIA SecurityX (CompTIA): الشهادة التقنية المتقدّمة من CompTIA، وكان اسمها CASP+، لمعماري الأمن ومهندسه الأول.
• EC-Council CCISO (EC-Council): شهادة EC-Council للقيادة التنفيذية للأمن: الحوكمة، والبرنامج، والميزانية، والاستراتيجية.

الدفاع ومركز العمليات الأمنية (Blue Team & SOC)

المراقبة، والاستجابة للحوادث، والتحقيق الجنائي الرقمي، وهندسة الكشف.

• محلّل مركز العمليات الأمنية، المستوى الأول (SOC Analyst, Tier 1): يفرز تنبيهات SIEM وEDR وIDS والبريد على مدار النوبة، ويميّز الحقيقي من الكاذب، ويصعّد بالدليل.
• محلّل الحوادث، المستوى الثاني (SOC Analyst, Tier 2): يحقّق في الحادثة كاملة: يحدّد نطاقها، ويحتويها عبر EDR، ويحظر المهاجم عبر الجدار الناري وWAF، ويكتب تقريرها.
• المستجيب للحوادث (Incident Responder): يقود دورة الاستجابة تحت ضغط الوقت، من الاحتواء إلى التطهير والاستعادة، ضدّ الفدية واحتيال البريد والحركة الجانبية والتسريب.
• مهندس SIEM ومركز العمليات (SOC / SIEM Engineer): يبني المركز نفسه: خطّ السجلات من الوكلاء إلى SIEM، والتوحيد والاحتفاظ، وربط EDR وIDS والبريد وWAF بمنصّة واحدة.
• محلّل استخبارات التهديدات (Threat Intelligence Analyst): يتابع الخصوم الذين يستهدفون المنطقة، ويحوّل تقاريرهم إلى مؤشرات وقواعد كشف. العربية ميزة حقيقية هنا.
• مهندس EDR وXDR (EDR / XDR Engineer): ينشر الوكلاء، ويضبط السياسات والاستثناءات، ويعزل الأجهزة ويمسحها كلّها بحثاً عن مؤشرات الاختراق.
• محلّل أمن البريد الإلكتروني (Email Security Analyst): يحلّل الترويسات، ويطبّق DMARC وسياسات البوّابة، ويستجيب للتصيّد واحتيال البريد التجاري.
• محلّل حماية البيانات ومنع تسرّبها (DLP Analyst): يصنّف البيانات، ويكتب كواشف للمعرّفات العراقية، وسياسات تبدأ بالمراقبة وتنتهي بالمنع.
• محلّل التحقيق الجنائي الرقمي (DFIR Analyst): يجمع الأدلة بسلسلة حيازة سليمة، ويحلّل الذاكرة وآثار النظام، ويبني الخطّ الزمني لما حدث.
• صائد التهديدات (Threat Hunter): لا ينتظر التنبيه: يبدأ من فرضية عن خصم حقيقي ويبحث عن أثره في بيانات الأجهزة والشبكة والهوية.
• مهندس كشف التهديدات (Detection Engineer): يكتب قواعد الكشف ويختبرها بمحاكاة تقنيات ATT&CK، وينشرها ككود عبر Pull Request.
• مهندس الفريق البنفسجي (Purple Team Engineer): يجمع الفريقين على طاولة واحدة: ينفّذ تقنية الهجوم، ويتأكّد أن الدفاع كشفها، ويحوّل كل فجوة في الكشف إلى قاعدة جديدة.
• مدير مركز العمليات الأمنية (SOC Manager): يدير النوبات والمحلّلين ومقاييس المركز وكتيّبات الاستجابة، ويقرّر ما يُراقب وما يُصعّد.

• Cisco CCNA (Cisco): شهادة الشبكات الأشهر: التوجيه والتبديل والشبكات الافتراضية، مع أساسيات الأمن والأتمتة.
• Cisco CCNA Cybersecurity (Cisco): شهادة Cisco لمحلّل مركز العمليات، وكان اسمها CyberOps Associate: المراقبة، وتحليل الحزم والسجلات، والاستجابة.
• Blue Team Level 1 (BTL1) (Centri (Security Blue Team)): تحقيق عملي في حادثة كاملة: التصيّد، واستخبارات التهديدات، والتحقيق الجنائي، وSIEM، والاستجابة.
• TryHackMe SAL1 (TryHackMe): محاكي مركز عمليات حيّ: تفرز التنبيهات، وتصعّد، وتكتب تقارير الحالات.
• CyberDefenders CCDL1 (CyberDefenders): شهادة المحلّل المبتدئ من CyberDefenders: التصيّد، والأجهزة، والشبكة، وSIEM، والتحقيق، والاستجابة.
• CompTIA CySA+ (CS0-004) (CompTIA): شهادة المحلّل المحايدة للمستوى المتوسط: عمليات الأمن، وإدارة الثغرات، والاستجابة للحوادث، والتقارير.
• Red Hat RHCSA (Red Hat): إدارة لينكس العملية من Red Hat: تنفّذ المهامّ على نظام حيّ دون إنترنت، ولا تجيب عن أسئلة.
• HTB CDSA (Hack The Box): عملية بالكامل: أيام تحقّق فيها في شبكات مخترقة، ثم تسلّم تقرير حادثة احترافياً.
• Microsoft SC-200 (Microsoft): محلّل عمليات الأمن على منصّات Microsoft: Defender XDR وSentinel والصيد بـ KQL.
• Microsoft SC-401 (Microsoft): حماية المعلومات على Microsoft Purview: التصنيف، ومنع تسرّب البيانات، ومخاطر الداخل. حلّت محلّ SC-400.
• OffSec OSTH (OffSec): صيد التهديدات: فرضيات، واستعلامات، وتتبّع الخصم في بيانات حقيقية.
• OffSec OSIR (OffSec): حادثة حيّة تتتبّع فيها المهاجم في Splunk، ثم تحقّق جنائياً في القرص.
• GIAC GCIH (GIAC): التعامل مع الحوادث: كيف تعمل الهجمات الشائعة، وكيف تكشفها وتحتويها.
• GIAC GCIA (GIAC): تحليل التسلّل: حركة الشبكة والحزم وقواعد الكشف.
• GIAC GCFA (GIAC): التحقيق الجنائي في ويندوز والاستجابة للحوادث المتقدّمة.

اختبار الاختراق والفريق الأحمر (Pentest & Red Team)

تقييم الثغرات، واختبار اختراق الشبكات والتطبيقات وActive Directory، ثم محاكاة الخصوم.

• محلّل تقييم الثغرات (Vulnerability Assessment Analyst): يشغّل الماسحات على الشبكة والتطبيقات، ويتحقّق من النتائج يدوياً ويستبعد الكاذب منها، ويرتّبها بالخطورة ويتابع إصلاحها.
• مختبر اختراق مبتدئ (Junior Penetration Tester): يعمل ضمن فريق اختبار على شبكات العملاء وتطبيقاتهم بمنهجية مكتوبة، ويكتب نتائجه في التقرير.
• مختبر اختراق (Penetration Tester): يدير الاختبار من تحديد النطاق إلى التقرير: الشبكة الخارجية والداخلية، وActive Directory، وتطبيقات الويب.
• مختبر اختراق تطبيقات الويب (Web Application Pentester): يتخصّص في تطبيقات الويب والواجهات البرمجية للخدمات المصرفية والدفع: المصادقة، والصلاحيات، ومنطق العمل.
• صائد الثغرات المستقل (Bug Bounty Hunter): يختبر أهدافاً حقيقية في برامج مكافآت الثغرات الدولية ويتقاضى عن كل ثغرة مقبولة، ويبني بها سجلاً عاماً يراه أصحاب العمل.
• مشغّل الفريق الأحمر (Red Team Operator): يحاكي مجموعة تهديد حقيقية ضدّ المؤسسة كلّها بهدف محدّد: بالتخفّي، والبنية التحتية للقيادة والتحكّم، وسلسلة التوصيل، لا بقائمة ثغرات.
• قائد الفريق الأحمر (Red Team Lead): يصمّم العمليات وقواعد الاشتباك مع الإدارة، ويقود المشغّلين، ويحوّل النتائج إلى خطّة دفاع.

• EC-Council CEH (EC-Council): الشهادة الهجومية الأكثر ذكراً في إعلانات المنطقة: مفاهيم الهجوم وأدواته من الاستطلاع إلى تطبيقات الويب.
• CompTIA PenTest+ (CompTIA): المنهجية المحايدة لاختبار الاختراق، من التخطيط والنطاق إلى الأدوات والتقرير.
• INE eJPT (INE): أول امتحان عملي لمختبر الاختراق: تجيب عن أسئلته من شبكة حيّة تخترقها بنفسك.
• TryHackMe PT1 (TryHackMe): محاكي اختبار اختراق لمدّة ٤٨ ساعة على الويب والشبكة وActive Directory، ينتهي بتقرير.
• OffSec OSCP+ (OffSec): الامتحان العملي الذي يميّز مختبر الاختراق: أجهزة مستقلّة وبيئة Active Directory في يوم كامل، ثم تقرير.
• TCM Security PNPT (TCM Security): اختبار كامل من جمع المعلومات المفتوحة إلى السيطرة على Active Directory، ثم تقرير، ثم عرض شفهي كما أمام عميل.
• HTB CPTS (Hack The Box): اختبار اختراق كامل في عشرة أيام بتقرير احترافي، من أصعب الامتحانات العملية في مستواه.
• Altered Security CRTP (Altered Security): هجمات Active Directory في بيئة ويندوز حقيقية، ثم تقرير بالحلول وطرق المعالجة.
• OffSec OSEP (OffSec): الاختراق المتقدّم: تجاوز الحماية، وهجمات جهة العميل، والحركة في شبكات محصّنة.
• Zero-Point Security CRTO (Zero-Point Security): عمليات الفريق الأحمر بإطار قيادة وتحكّم حقيقي، من الوصول الأول إلى الهدف في بيئة Active Directory.
• Altered Security CRTE (Altered Security): Active Directory المتقدّم عبر غابات ونطاقات متعدّدة.
• HTB CAPE (Hack The Box): اختبار اختراق Active Directory المتقدّم في عشرة أيام، ثم تقرير.
• Zero-Point Security CRTL (Zero-Point Security): المستوى الثاني من عمليات الفريق الأحمر: التخفّي عن أدوات الكشف الحديثة.
• GIAC GXPN (GIAC): الاختراق المتقدّم وكتابة الاستغلال: من الشبكة إلى الذاكرة.

أمن التطبيقات (Application Security)

مراجعة الكود، وأمن الواجهات البرمجية، وبوّابات الأمن في خطّ التطوير.

• محلّل أمن التطبيقات (Application Security Analyst): يراجع الكود بحثاً عن الثغرات من المصدر إلى المصبّ، ويفرز نتائج أدوات الفحص، ويشرح للمطوّر لماذا السطر مصاب وكيف يُصلح.
• مهندس أمن التطبيقات (Application Security Engineer): يدمج الأمن في دورة تطوير التطبيقات: مراجعة التصميم والكود، واختبار الواجهات البرمجية، وتدريب المطوّرين.
• مهندس DevSecOps (DevSecOps Engineer): يبني بوّابات الأمن في خطّ CI/CD: فحص الكود والاعتماديات والأسرار والحاويات، دون أن يعطّل التسليم.
• باحث الثغرات (Vulnerability Researcher): يقرأ رقع CVE ويبحث عن نمط الخطأ نفسه في مشاريع أخرى، ويبلّغ عنه بإفصاح مسؤول فيُنسب إليه رقم CVE.
• مهندس أمن المنتجات (Product Security Engineer): يملك أمن منتج كامل من التصميم إلى الإطلاق: نمذجة التهديدات، ومراجعة المعمارية، والاستجابة لبلاغات الثغرات.
• قائد أمن التطبيقات (Head of Application Security): يبني برنامج أمن التطبيقات للمؤسسة: المعايير، والأدوات، وأبطال الأمن داخل فرق التطوير.

• HTB CWES (Hack The Box): اختبار تطبيقات الويب والواجهات البرمجية في سبعة أيام، ثم تقرير. كان اسمها CBBH حتى تشرين الأول ٢٠٢٥.
• GitHub Advanced Security (GH-500) (GitHub): أدوات الأمن في GitHub: فحص الكود، والاعتماديات، والأسرار، في خطّ التطوير.
• Burp Suite Certified Practitioner (PortSwigger): اختراق تطبيقين في أربع ساعات بثلاث مراحل لكلّ منهما، على مواضيع مختبرات PortSwigger المجانية.
• OffSec OSWA (OffSec): اختبار تطبيقات الويب من الخارج دون الكود: خمسة أهداف في يوم كامل.
• Certified DevSecOps Professional (Practical DevSecOps): تبني خطّ DevSecOps بيديك: فحص الكود والاعتماديات والتطبيق العامل، ثم تقرير.
• OffSec OSWE (OffSec): اختبار الويب من داخل الكود: تقرأ المصدر لتجد الثغرة، ثم تكتب استغلالاً يعمل آلياً.
• HTB CWEE (Hack The Box): اختبار الويب المتقدّم من الكود، في عشرة أيام، ثم تقرير.
• GIAC GWEB (GIAC): الدفاع عن تطبيقات الويب: الضوابط في الكود والإطار والبنية.
• ISC2 CSSLP (ISC2): أمن دورة تطوير البرمجيات كلّها، من المتطلّبات والتصميم إلى النشر والصيانة.

الحوكمة والمخاطر والتدقيق (GRC & Audit)

السياسات، وإدارة المخاطر، والامتثال للمعايير، وتدقيق نظم المعلومات.

• محلّل الحوكمة والمخاطر والامتثال (GRC Analyst): يكتب السياسات والإجراءات ويحدّثها، ويدير سجلّ المخاطر، ويجمع أدلة الامتثال قبل التدقيق.
• مدقّق نظم المعلومات (IT Auditor): يختبر الضوابط التقنية في التدقيق الداخلي أو الخارجي: الصلاحيات، وإدارة التغيير، والنسخ الاحتياطي، والسجلات، ويكتب الملاحظات وخطط المعالجة.
• أخصائي الامتثال الأمني (Security Compliance Specialist): يقود المؤسسة إلى الامتثال لمعيار محدّد، مثل ISO 27001 أو PCI DSS أو تعليمات الجهة الرقابية، ويتابع الفجوات حتى إغلاقها.
• مستشار ISO 27001 (ISMS Consultant): يبني نظام إدارة أمن المعلومات من تحديد النطاق إلى تدقيق الشهادة، غالباً لدى شركات الاستشارات التي تخدم المصارف والاتصالات.
• محلّل المخاطر التقنية (IT Risk Analyst): يقيّم مخاطر الأنظمة والمورّدين، ويحدّد أولوية معالجتها بلغة يفهمها مجلس الإدارة.
• مدير تدقيق نظم المعلومات (IT Audit Manager): يخطّط برنامج التدقيق التقني السنوي، ويقود فريقه، ويرفع النتائج إلى لجنة التدقيق.
• مدير المخاطر التقنية (IT Risk Manager): يملك إطار إدارة المخاطر التقنية ومخاطر المورّدين، ويقرّر مع الإدارة ما يُعالج وما يُقبل.
• رئيس الحوكمة والمخاطر والامتثال (Head of GRC): يربط أمن المعلومات بحوكمة المؤسسة كلّها، ويمثّلها أمام الجهات الرقابية والمدقّقين الخارجيين.

• ISO/IEC 27001 Foundation (PECB): المدخل إلى المعيار الدولي لنظام إدارة أمن المعلومات: متطلّباته، وضوابطه، ودورة تطبيقه.
• COBIT Foundation (ISACA): إطار حوكمة تقنية المعلومات الذي بنى عليه البنك المركزي العراقي ضوابطه للمصارف وشركات الدفع. ويشترط في مدير تقنية المعلومات بكل مصرف شهادة COBIT 2019 أو ITIL 4.
• ISO/IEC 27001 Lead Implementer (PECB): تبني نظام إدارة أمن المعلومات وفق ISO 27001 من تحديد النطاق إلى جاهزية تدقيق الشهادة.
• ISO/IEC 27001 Lead Auditor (PECB, CQI and IRCA): تدقّق نظام إدارة أمن المعلومات كما يدقّقه مدقّق الشهادة: التخطيط، والأدلة، والملاحظات، والتقرير.
• ISACA CISA (ISACA): شهادة مدقّق نظم المعلومات: التدقيق، وحوكمة تقنية المعلومات، والعمليات، وحماية الأصول.
• PCI Professional (PCIP) (PCI SSC): معيار أمن بيانات بطاقات الدفع PCI DSS، لمن يعمل في المصارف وشركات الدفع.
• ISACA CRISC (ISACA): إدارة مخاطر تقنية المعلومات وضوابطها، بلغة يفهمها مجلس الإدارة.
• ISACA CGEIT (ISACA): حوكمة تقنية المعلومات على مستوى المؤسسة كلّها: الاستراتيجية، والقيمة، والمخاطر، والموارد.

أمن الذكاء الاصطناعي والأتمتة (AI Security & Automation)

أتمتة العمل الأمني، وتأمين التطبيقات المبنية على النماذج اللغوية واختبارها.

• مهندس أتمتة الأمن (Security Automation / SOAR Engineer): يحوّل العمل اليدوي المتكرّر في مركز العمليات إلى كتيّبات تعمل وحدها بـ Python وواجهات REST، مع موافقة بشرية على الخطوات الخطرة.
• مهندس أمن الذكاء الاصطناعي (AI Security Engineer): يؤمّن التطبيقات المبنية على النماذج اللغوية: حقن التعليمات، وتسريب البيانات، وصلاحيات الأدوات والوكلاء، ومراقبة الاستخدام.
• مختبر اختراق أنظمة الذكاء الاصطناعي (AI Red Teamer): يهاجم النماذج والوكلاء قبل أن يهاجمها غيره، ويقيس ما يتسرّب منها وما يمكن دفعها إلى فعله.
• قائد أمن الذكاء الاصطناعي وحوكمته (AI Security & Governance Lead): يضع سياسة استخدام الذكاء الاصطناعي في المؤسسة، ويقيّم مخاطرها ويختار ضوابطها.

• CompTIA SecAI+ (CompTIA): أول شهادة محايدة في أمن الذكاء الاصطناعي: حماية الأنظمة المبنية على النماذج، واستخدامها في العمل الأمني.
• Certified AI Security Professional (Practical DevSecOps): هجمات النماذج اللغوية وتطبيقاتها ودفاعاتها، في امتحان عملي.
• HTB COAE (Hack The Box): اختبار أنظمة الذكاء الاصطناعي هجومياً في سبعة أيام، ثم تقرير.
• OffSec OSAI (OffSec): الأمن الهجومي لأنظمة الذكاء الاصطناعي من OffSec، بامتحان عملي.
• ISACA AAIA (ISACA): تدقيق أنظمة الذكاء الاصطناعي وحوكمتها، للمدقّقين.
• ISACA AAISM (ISACA): إدارة أمن الذكاء الاصطناعي في المؤسسة: الحوكمة، والمخاطر، والضوابط.

بأيّ شهادة تبدأ؟

لا أحد يحتاج الشهادات كلّها. اختر هدفك، وابدأ بالشهادة التي تفتح أول باب، ثم أضِف ما يطلبه الدور التالي حين تقترب منه.

محلّل في مركز العمليات الأمنية

أسرع طريق إلى أول وظيفة أمنية بدوام كامل، في مصرف أو شركة اتصالات أو مزوّد خدمات مُدارة.

1. عند التخرّج: CompTIA Security+
2. عند التخرّج: Blue Team Level 1 (BTL1) أو CyberDefenders CCDL1 أو TryHackMe SAL1
3. بعد أشهر في الوظيفة: CompTIA CySA+ (CS0-004) أو Microsoft SC-200
4. بعد سنتين أو ثلاث: GIAC GCIH أو OffSec OSIR

مختبر اختراق

يبدأ غالباً بتقييم الثغرات أو بعمل مبتدئ في شركة استشارات، ثم يكبر بامتحان عملي معروف.

1. عند التخرّج: INE eJPT أو TryHackMe PT1
2. بعد شهرين إلى ثلاثة من التدريب: OffSec OSCP+ أو HTB CPTS
3. بعدها مباشرة: Altered Security CRTP
4. بعد سنة أو اثنتين: OffSec OSEP أو Zero-Point Security CRTO

ضابط أمن المعلومات في مصرف

المزيج الذي تطلبه إعلانات المصارف العراقية: شهادة أساس، ثم المعيار، ثم شهادة إدارة حين تكتمل الخبرة.

1. أول شهادة: CompTIA Security+
2. مع أول مشروع امتثال: ISO/IEC 27001 Lead Implementer أو ISO/IEC 27001 Lead Auditor
3. إلى جانبها: COBIT Foundation
4. بعد خمس سنوات خبرة: ISACA CISM أو ISC2 CISSP

الحوكمة والتدقيق

باب المصارف من جهة التدقيق الداخلي وإدارة المخاطر والامتثال.

1. في البداية: ISO/IEC 27001 Foundation أو ISC2 CC
2. إن كان عملك في مصرف: COBIT Foundation
3. بعد سنة أو اثنتين: ISO/IEC 27001 Lead Auditor أو ISO/IEC 27001 Lead Implementer
4. لمن يختار التدقيق: ISACA CISA
5. بعد ثلاث إلى خمس سنوات: ISACA CRISC أو ISACA CISM

أمن التطبيقات

أسهل لمن يأتي من التطوير: تتحوّل من كاتب الكود إلى من يراجعه.

1. بعد التخرّج بأشهر: Burp Suite Certified Practitioner أو HTB CWES
2. بعد سنة: OffSec OSWE
3. بعد أربع سنوات: ISC2 CSSLP

ما يجب أن تعرفه عن الشهادات

• تُعدّك دورات المعسكر للتقدّم لهذه الامتحانات، ولا تمنحها ولا تشمل قسائمها: الرسوم تُدفع للجهة المانحة مباشرة.
• بعض الشهادات تشترط خبرة قبل منحها كاملة. تجتاز امتحان CISSP قبل الخبرة فتصبح Associate of ISC2، ولديك ست سنوات لإكمالها. وCISA وCISM تشترطان خمس سنوات خبرة خلال السنوات العشر التي تسبق الطلب، وتقدّم طلبك خلال خمس سنوات من اجتياز الامتحان.
• أغلب الامتحانات بالإنجليزية: لا تقدّم ISC2 ولا ISACA ولا CompTIA امتحاناتها بالعربية. تعلّم المصطلح الإنجليزي من الآن، فهو لغة الامتحان ولغة العمل.
• الامتحان العملي تؤدّيه من جهازك في بيئة حيّة، وهو أقرب إلى العمل وأصعب على الحفظ. والامتحان النظري أسئلة في مركز امتحانات أو عن بعد بمراقبة.
• الأسعار تتغيّر وتختلف بين الدول، وبعض الجهات لا تبيع الامتحان إلا مع دورتها. ما في الخريطة نطاق تقريبي بالدولار، فتحقّق من صفحة الجهة المانحة قبل الحجز.
• الإصدارات تتبدّل كل ثلاث سنوات تقريباً: Security+ وCySA+ وCISM وCISSP كلّها تغيّر مخطّط امتحانها بين ٢٠٢٦ و٢٠٢٧. ادرس من مصادر الإصدار الذي ستمتحن فيه.
• الشهادة تفتح باب المقابلة، والملفّ العام يحسمها: علم الكابستون، وطلب الدمج، وتقرير الحادثة، وقواعد الكشف في صفحتك العامة على إسكندر.

تحقّقنا من شروط الشهادات وأسعارها في صفحات الجهات المانحة في تشرين الأول ٢٠٢٦.