لو بدأت مساري في الأمن السيبراني من جديد.. ماذا كنت سأفعل بشكل مختلف؟

بعد أكثر من 13 عاماً في الأمن السيبراني، وآلاف الطلاب الذين رافقتهم في بداية طريقهم، لو سألني أحد عمّا كنت سأغيّره لو بدأت مساري من جديد، فلن أذكر اسم شهادة أو أداة.

سأتحدث عن وقت يضيع في ملاحقة كل جديد، وعن مهارات تُهمل لأنها لا تبدو “تقنية بما يكفي”، وعن فرص تفوت بسبب انتظار لحظة جاهزية لا تأتي. هذه الدروس أضعها بين يديك لتختصر عليك الطريق قبل أن تدفع ثمنها.

المجال نفسه لم يتوقف عن التحول: من حماية محيط الشبكة (Perimeter) ومراكز البيانات التقليدية، إلى الحوسبة السحابية (Cloud)، ثم Zero Trust وDevSecOps، والآن الوكلاء الذكية (AI Agents). أدوات اختفت، ومسميات وظيفية ظهرت من العدم. لكن ما بقي ثابتاً هو ما يستحق أن تبني عليه، وقد جمعته في ثلاثة محاور.

ما الذي يجب أن تركّز على تعلّمه؟

ركّز على الأساسيات التي تصمد أمام تغيّر التقنيات، وحوّل كل ما تتعلمه إلى مشروع عملي، وأضف المهارات الجديدة فوق خبرتك بدل البدء من الصفر.

الخطأ الأول: ملاحقة كل تقنية جديدة

يظهر منتج أمني جديد فتشعر أنك مضطر لتعلّمه. تنتشر شهادة على لينكدإن فتظن أنك متأخر. يكبر مجال مثل Kubernetes أو AI Security فتبدأ بالقلق.

المجال أكبر من أن يواكبه شخص واحد بالكامل، ومحاولة تعلم كل شيء تنتهي عادةً بمعرفة سطحية بأشياء كثيرة، دون فهم عميق للأساسيات: الهوية (Identity)، والشبكات، وأنظمة التشغيل، والتطبيقات، والبيانات، والمعمارية، والمخاطر، وسلوك المهاجمين.

خذ مثالاً: إذا فهمت جيداً لماذا يُعد الوثوق بمدخلات المستخدم (User Input) خطراً، فستفهم SQL Injection وXSS وCommand Injection، وستفهم لاحقاً لماذا يُعد حقن الأوامر (Prompt Injection) خطراً على النماذج اللغوية. الواجهة تغيرت، لكن المبدأ واحد: نظام يخلط بين البيانات والتعليمات. ولهذا أنصح كل من يسألني كيف أبدأ في مجال الأمن السيبراني بأن يبدأ من هنا.

الخطأ الثاني: الاكتفاء بالاستهلاك دون البناء

شاهد الكورس، اقرأ الكتاب، اجتز الشهادة، انتقل إلى التالي. لا خطأ في هذه الخطوات، فالتعلم المنظم يختصر سنوات. الخطأ هو التوقف عندها.

المعرفة تكتسب قيمتها الحقيقية حين تطبقها. بعد كل موضوع تتعلمه، ابنِ شيئاً:

• تعلمت أمن AWS؟ أنشئ بيئة صغيرة واترك فيها أخطاء إعداد (Misconfigurations) متعمدة، ثم اكتشفها
• تعلمت الاستجابة للحوادث (Incident Response)؟ صمم سيناريو هجوم كامل ثم حقق فيه
• تعلمت نمذجة التهديدات (Threat Modeling)؟ طبقها على تطبيق حقيقي تستخدمه
• تعلمت أمن الذكاء الاصطناعي؟ ابنِ تطبيق LLM بسيطاً، اربطه بأدوات، هاجمه، ثم أمّنه

الميزة الكبرى اليوم أنك لم تعد تنتظر جهة عمل تمنحك الخبرة. المنصات السحابية والأدوات مفتوحة المصدر وGitHub والمختبرات خفّضت حاجز بناء بيئات واقعية بشكل كبير. وإن كنت طالباً، فهذه أفكار مشاريع تخرج في الأمن السيبراني تصلح نقطة انطلاق.

الخطأ الثالث: البدء من الصفر في كل مرة

يغري أن تقفز إلى كل مجال رائج وتبدأ فيه من جديد. الأقوى هو العكس: أن تبني مهارات يعزز بعضها بعضاً.

• معرفة السحابة تزداد قيمتها حين تقترن بالأمن
• الأمن تزداد قيمته حين يقترن بفهم الأعمال
• الخبرة التقنية تزداد قيمتها حين تقترن بمهارة التواصل
• معرفة الذكاء الاصطناعي تزداد قيمتها حين تقترن بخبرة أمنية عميقة

قبل أن تتعلم شيئاً جديداً، اسأل: كيف أضيف هذا إلى ما أعرفه أصلاً؟ مختص أمضى سنوات في أمن الشبكات لا يحتاج أن يتخلى عنها ليصبح مهندس أمن سحابي، بل يحتاج أن يفهم كيف تُترجم الجدران النارية والتقسيم الشبكي (Segmentation) إلى Security Groups وVPCs.

كيف تقدّم قيمتك للمؤسسة؟

قيمتك لا تُقاس بما تعرفه تقنياً فقط، بل بقدرتك على ربط الأمن بأهداف المؤسسة، وشرحه بوضوح، وبناء ثقة الآخرين بك قبل أن تحتاجها.

الخطأ الرابع: تأخير فهم الأعمال

يركز المختص الأمني بطبيعته على الثغرات والضوابط والتهديدات والأطر (Frameworks). أما المؤسسة فتهتم بالعملاء، والإيرادات، واستمرارية التشغيل، والامتثال التنظيمي، والسمعة، والتكلفة، والسرعة.

قول “هذه الثغرة درجتها 9.8 على CVSS” معلومة تقنية. أما القول “هذه الثغرة في النظام الذي يعالج مدفوعات العملاء، واستغلالها قد يوقف الخدمة يوماً كاملاً ويعرّضنا لمساءلة تنظيمية” فهو ما يحرك القرار.

القدرة على هذه الترجمة هي ما يفصل بين شخص جيد تقنياً، وشخص يُؤتمن على قرارات أكبر.

الخطأ الخامس: إهمال مهارة التواصل

جزء كبير من العمل الأمني المؤثر هو شرح مشاكل تقنية معقدة لغير المتخصصين: مدير تنفيذي، أو مطوّر، أو مدقق، أو عميل. كل واحد منهم يحتاج أن يفهم: ما المشكلة؟ لماذا تعنيه؟ وما الخطوة التالية؟

التوصية الأمنية الممتازة التي لا يفهمها أحد ولا يدعمها أحد، لا قيمة عملية لها. فالأمن السيبراني في جوهره تأثير على القرارات: تحتاج من يطبق التحديث، أو يعدّل المعمارية، أو يوافق على الميزانية، أو يقبل الخطر.

وتزداد أهمية هذه المهارة مع الذكاء الاصطناعي. حين يستطيع نموذج لغوي إنتاج تقرير من عشرين صفحة في ثوانٍ، يصبح الشخص القادر على استخلاص النقطتين اللتين تهمان فعلاً وشرحهما لصاحب القرار أكثر قيمة.

الخطأ السادس: بناء العلاقات المهنية متأخراً

شبكة العلاقات المهنية ليست عدد الاتصالات على لينكدإن، بل أشخاص يعرفون طريقة تفكيرك وما تجيده ويثقون بك. وهذا يحتاج وقتاً.

يبدأ كثيرون بالتواصل فقط حين يحتاجون وظيفة، والأجدى أن تبني العلاقات قبل ذلك:

• اكتب عن مشاريعك وما تتعلمه
• اشرح المفاهيم الأمنية بلغة بسيطة
• ساهم في المجتمعات التقنية وساعد من يواجه مشاكل تفهمها
• تحدث في الفعاليات المحلية حين تسنح الفرصة

لست مضطراً لادعاء الخبرة لتفعل ذلك. توثيق رحلة التعلم وحده كافٍ، ومع الوقت يرتبط اسمك بمواضيع وقدرات محددة، فتأتيك فرص لا تصنعها طلبات التوظيف.

كيف تدير مسارك المهني على المدى الطويل؟

أدِر مسارك بسؤال واحد: ما المشاكل التي أصبحت بارعاً في حلها؟ وقارن نفسك بنفسك فقط، وتقبّل الخطوات غير المريحة، وتذكّر أن الطريق طويل.

الخطأ السابع: بناء الهوية حول المسمى الوظيفي

Security Engineer وPenetration Tester وGRC Analyst وCISO. المسميات تبدو مهمة لأنها تشرح ما تفعله بسهولة، لكنها مؤقتة. خلال مسار طويل قد تنتقل بين العمليات والهندسة والمخاطر والقيادة، وتعمل على تقنيات لم تُخترع بعد.

بدل أن تسأل “ما المسمى الذي أستهدفه؟”، اسأل: ما المشاكل التي أصبحت بارعاً في حلها؟ من يحل مشاكل أمنية مهمة بشكل متسق سيبقى مطلوباً، حتى لو غيّر السوق اسم الدور من حوله.

الخطأ الثامن: مقارنة مسارك بالآخرين

ترى شخصاً أصبح CISO في الثلاثينيات، وآخر حصل على ست شهادات في سنة، فتشعر أن الجميع يتقدم أسرع منك. لكنك ترى الجزء الظاهر فقط: لكل شخص فرص وظروف ومسؤوليات ونقطة بداية مختلفة.

المقارنة الوحيدة المفيدة: هل أنا أكثر قدرة مما كنت عليه قبل سنة؟

الخطأ التاسع: الخلط بين المخاطرة وعدم الارتياح

نتدرب على تقدير المخاطر، لكننا أحياناً نطبق هذا التفكير بقسوة زائدة على مسارنا: ننتظر الجاهزية الكاملة قبل التقدم لوظيفة، ونتجنب التقنيات غير المألوفة، ونبقى في المكان المريح.

المطلوب ليس التهور، بل التمييز بين المخاطرة الحقيقية ومجرد الشعور بعدم الارتياح. التقدم لوظيفة تستوفي 70% من متطلباتها قد يكون غير مريح، لكنه ليس قراراً خاطئاً بالضرورة. وأحياناً تكون الخطوة غير المريحة هي ما يصنع نموك في السنوات التالية. وإن وجدت نفسك فجأة خارج وظيفتك، فهذه خطة عملية لأول 30 يوماً.

الخطأ العاشر: التعامل مع المسار كسباق قصير

في البداية يبدو كل شيء عاجلاً: الشهادة، الترقية، الراتب، المنصب. لكن المسار في الأمن السيبراني قد يمتد ثلاثين أو أربعين سنة، ولديك وقت أكثر مما تظن.

من يبني مساراً مستداماً ليس بالضرورة الأسرع، بل من يبقى فضولياً وقادراً على التكيف ومفيداً بينما يتغير المجال من حوله.

ما الذي يصمد أمام كل تحول تقني؟

كثير من التقنيات التي تثير حماسنا اليوم ستبدو قديمة بعد سنوات، وسيغيّر الذكاء الاصطناعي طريقة إنجاز جزء كبير من العمل. لكن المؤسسات ستبقى بحاجة إلى من يفهم الأنظمة المعقدة، ويتوقع ما قد يخرج عن السيطرة، ويتخذ قرارات سليمة، ويشرح ما يجب فعله بعد ذلك.

لو بدأت من جديد، لما بحثت عن قائمة الشهادات المثالية أو المسمى الوظيفي المثالي، بل لبنيت ما يصمد أمام كل موجة: العمق التقني، وحسن التقدير، والتواصل الواضح، والفضول، والقدرة على التكيف.