Chapterبەش 7 · Lectureوانە 7.4
Building a Security Cultureبونیادنانی کولتووری ئاسایش
Tools protect an organisation only when people use them well. This lesson explains security culture and the NCSC's six principles, why 'weakest link' thinking needs good design, awareness training that works, phishing simulations that teach instead of trap, fast no-blame reporting, ongoing learning for professionals, the future of automation, AI and cloud security, the assess–implement–monitor loop, and CISA's four everyday steps with five more habits (backups, genuine software, browser warnings, shared devices and home Wi-Fi).
ئامرازەکان تەنها کاتێک ڕێکخراو دەپارێزن کە خەڵک بە باشی بەکاریان بهێنن. ئەم وانەیە و شەش بنەماکەی NCSC ڕوون دەکاتەوە، هەروەها بۆچی بیرکردنەوەی «لاوازترین ئەڵقە» پێویستی بە دیزاینی باشە، ڕاهێنانی کە کار دەکات، کە فێر دەکەن نەک تەڵە دابنێن، ڕاپۆرتکردنی خێرا و بێ لۆمە، فێربوونی بەردەوامی پسپۆڕان، داهاتووی ، و هەور، سووڕی هەڵسەنگاندن–جێبەجێکردن–چاودێری، هەروەها چوار هەنگاوە ڕۆژانەکەی CISA لەگەڵ پێنج خووی تر (، ڕەسەن، ئاگادارییەکانی ، ئامێری هاوبەش و ماڵەوە).
What you will learnچی فێر دەبیت
- Explain what a security culture is and recognise the six principles of a healthy one.
- Explain why 'people are the weakest link' must be answered with training and with designs that forgive one mistake.
- Describe good awareness training and phishing simulations, and read simulation results correctly.
- Describe a no-blame reporting process and why speed matters.
- Explain how automation, AI and the cloud change vulnerability management, including shared responsibility.
- Apply the assess–implement–monitor loop, CISA's four everyday steps and five more everyday habits.
- ڕوونی بکەیتەوە چییە و شەش بنەمای کولتوورێکی تەندروست بناسیتەوە.
- ڕوونی بکەیتەوە بۆچی وەڵامی «خەڵک لاوازترین ئەڵقەن» دەبێت ڕاهێنان و دیزاینێک بێت کە یەک هەڵە ببەخشێت.
- ڕاهێنانی باشی هۆشیاری و وەسف بکەیت و ئەنجامەکانی تاقیکردنەوە بە دروستی بخوێنیتەوە.
- ڕێکارێکی ڕاپۆرتکردنی بێ لۆمە وەسف بکەیت و بۆچی خێرایی گرنگە.
- ڕوونی بکەیتەوە ، و هەور چۆن دەگۆڕن، بە بەرپرسیارێتیی هاوبەشیشەوە.
- سووڕی هەڵسەنگاندن–جێبەجێکردن–چاودێری، چوار هەنگاوە ڕۆژانەکەی CISA و پێنج خووی ڕۆژانەی تر جێبەجێ بکەیت.
Why culture mattersبۆچی کولتوور گرنگە
A company can buy firewalls, antivirus software and scanners and still be broken into on an ordinary Monday morning — because one person approved a fake sign-in request, or kept quiet about a strange e-mail. Tools only protect an organisation when people use them well.
کۆمپانیایەک دەتوانێت ، و ئامرازی پشکنین بکڕێت، کەچی هێشتا لە بەیانییەکی ئاسایی دووشەممەدا دزەی پێ بکرێت — چونکە کەسێک داوایەکی ساختەی پەسەند کرد، یان دەربارەی سەیر بێدەنگ بوو. ئامرازەکان تەنها کاتێک ڕێکخراو دەپارێزن کە خەڵک بە باشی بەکاریان بهێنن.
The course notes close their lecture on vulnerabilities with this idea: an organisation that makes a culture of cybersecurity a priority builds a safer future for itself and for its customers. Such a culture rests on three things: continuous learning, dealing with threats before they strike (proactive mitigation) and a commitment to doing security well.
تێبینییەکانی کۆرسەکە وانەی بەم بیرۆکەیە کۆتایی پێ دەهێنن: ڕێکخراوێک کە کولتووری بکاتە یەکێک لە کارە سەرەکییەکانی، داهاتوویەکی پارێزراوتر بۆ خۆی و بۆ کڕیارەکانی بونیاد دەنێت. ئەم کولتوورە لەسەر سێ شت وەستاوە: فێربوونی بەردەوام، مامەڵەکردن لەگەڵ پێش ئەوەی ڕووبدەن و پابەندبوون بە ئەنجامدانی باشی کاری .
Security culture is what people in an organisation really do about security when nobody is checking: whether they lock their screen, whether they question an odd request from 'the boss', whether they report a mistake. It is a set of shared habits and beliefs — not a policy document kept in a drawer.
ئەوەیە کە خەڵکی ناو ڕێکخراوێک بە ڕاستی سەبارەت بە دەیکەن کاتێک کەس چاودێرییان ناکات: ئایا شاشەکەیان قفڵ دەکەن، ئایا پرسیار لە داواکارییەکی سەیری «بەڕێوەبەر» دەکەن، ئایا هەڵەیەک ڕاپۆرت دەکەن. کۆمەڵێک خوو و باوەڕی هاوبەشە — نەک بەڵگەنامەیەکی سیاسەت کە لە چەکمەجەیەکدا دانرابێت.
Why culture mattersبۆچی کولتوور گرنگە
Everyone is part of the defenceهەموو کەسێک بەشێکە لە بەرگری
In a football team, defending is not only the goalkeeper's job. When the ball is lost, all eleven players run back. A team in which only the goalkeeper defends loses every match. In an organisation, security is likewise not only the IT team's job: everyone is part of the defence.
لە تیمێکی تۆپی پێدا بەرگری تەنها کاری گۆڵپارێز نییە. کاتێک تۆپ لەدەست دەچێت، هەر یازدە یاریزانەکە دەگەڕێنەوە دواوە. تیمێک کە تەنها گۆڵپارێزەکەی بەرگری بکات، هەموو یارییەک دەدۆڕێنێت. لە ڕێکخراویشدا تەنها کاری تیمی IT نییە: هەموو کەسێک بەشێکە لە بەرگری.
Where the analogy stops workingسنووری ئەم نموونەیە
In football the opponent is visible and the match ends after ninety minutes. In cybersecurity the attacker hides, and the 'match' never ends.
لە تۆپی پێدا ڕکابەر دیارە و یارییەکە دوای نەوەد خولەک تەواو دەبێت. لە خۆی دەشارێتەوە و «یارییەکە» هەرگیز تەواو نابێت.
Why culture mattersبۆچی کولتوور گرنگە
Six principles of a good security cultureشەش بنەمای کولتوورێکی باشی ئاسایش
The UK's National Cyber Security Centre (NCSC) has published six principles that describe a healthy security culture. They are a useful checklist for any organisation, large or small.
ناوەندی نیشتیمانیی بەریتانیا (NCSC) شەش بنەمای بڵاو کردووەتەوە کە کولتوورێکی تەندروستی وەسف دەکەن. بۆ هەر ڕێکخراوێک، گەورە بێت یان بچووک، لیستێکی پشکنینی بەسوودن.
| Principleبنەما | What it looks like at workلە شوێنی کاردا چۆن دەردەکەوێت |
|---|---|
| 1. Security helps the work1. یارمەتیی کارەکە دەدات | Security is presented as something that helps people do their job safely, not as a wall. Example: a safe, quick way to share files instead of a ban on sharing. وەک شتێک پیشان دەدرێت کە یارمەتیی خەڵک دەدات کارەکەیان بە سەلامەتی بکەن، نەک وەک دیوارێک. نموونە: ڕێگایەکی سەلامەت و خێرا بۆ هاوبەشکردنی فایل لەبری قەدەغەکردنی هاوبەشکردن. |
| 2. Safety, trust and openness2. سەلامەتی، متمانە و ڕاشکاوی | People can raise a concern, question a senior's request or admit a mistake without fear of punishment.خەڵک دەتوانن نیگەرانییەک دەرببڕن، پرسیار لە داواکاریی کەسێکی پلەباڵا بکەن یان دان بە هەڵەیەکدا بنێن بەبێ ترس لە سزا. |
| 3. Embrace change3. پێشوازیکردن لە گۆڕانکاری | Rules and habits are updated as threats and technology change.یاسا و خووەکان نوێ دەکرێنەوە بەپێی گۆڕانی و تەکنەلۆجیا. |
| 4. Secure habits are normal4. خووی پارێزراو شتێکی ئاساییە | Doing the safe thing is simply 'how we do things here': everyone locks their screen and checks payment changes by phone.کاری سەلامەت تەنها «ڕێگای کارکردنی ئێمەیە لێرە»: هەموو کەس شاشەکەی قفڵ دەکات و گۆڕانی پارەدان بە تەلەفۆن پشتڕاست دەکاتەوە. |
| 5. Leaders set the example5. سەرکردەکان نموونە دادەنێن | Managers follow the same rules as everyone else. When the boss skips MFA, everyone learns that security is optional.بەڕێوەبەران هەمان یاسای هەمووان پەیڕەو دەکەن. کاتێک بەڕێوەبەر MFA پشتگوێ دەخات، هەمووان فێر دەبن کە شتێکی ئارەزوومەندانەیە. |
| 6. Rules people can use6. یاسای بەکارهێنراو | Rules are short, current and easy to understand, and there is a simple way to ask for help when a rule does not fit.یاساکان کورت، نوێ و ئاسان بۆ تێگەیشتنن، هەروەها ڕێگایەکی ئاسان هەیە بۆ داوای یارمەتی کاتێک یاسایەک لەگەڵ کارەکەدا ناگونجێت. |
People: weakest link or first line of defence?خەڵک: لاوازترین ئەڵقە یان یەکەم هێڵی بەرگری؟
The notes say that employees are often the weakest link in security, so it is essential to teach them about risks and good practice. You met this idea in the first lesson (Humans: the weakest link). This screen asks a different question: what should an organisation do about it?
تێبینییەکان دەڵێن کارمەندان زۆرجار لاوازترین ئەڵقەن لە زنجیرەی ، بۆیە پێویستە دەربارەی و ڕێگا باشەکان فێر بکرێن. ئەم بیرۆکەیەت لە یەکەم وانەدا بینی (مرۆڤ: لاوازترین ئەڵقە). ئەم پەڕەیە پرسیارێکی تر دەکات: ڕێکخراو دەبێت چی بکات؟
People: weakest link or first line of defence?خەڵک: لاوازترین ئەڵقە یان یەکەم هێڵی بەرگری؟
Design so that one mistake is not enoughدیزاینێک کە یەک هەڵە بەس نەبێت
Two facts give a fuller picture. First, tricks and mistakes still play a large part in breaches, but Verizon's 2026 Data Breach Investigations Report (breaches between November 2024 and October 2025) found that software vulnerabilities are now the most common way in — 31% of breaches — ahead of stolen passwords. Second, people can never be made perfect. Good design makes sure that one human mistake is not enough for an attack to succeed.
دوو ڕاستی وێنەیەکی تەواوتر دەدەن. یەکەم، فێڵ و هەڵە هێشتا بەشێکی گەورەن لە ، بەڵام ڕاپۆرتی ساڵی 2026ی Verizon دەربارەی لێکۆڵینەوەی (لە نێوان تشرینی دووەمی 2024 و تشرینی یەکەمی 2025) دۆزییەوە کە ئێستا باوترین ڕێگای چوونە ژوورەوەن — 31%ـی — و لە دزراو تێپەڕیون. دووەم، هەرگیز ناتوانرێت خەڵک تەواو بێهەڵە بکرێن. دیزاینی باش دڵنیا دەبێتەوە کە یەک هەڵەی مرۆیی بەس نییە بۆ سەرکەوتنی .
- MFA: a password typed into a fake page is not enough to open the account.
- Least privilege: a tricked employee can reach only the little they need for their job.
- Backups: one wrong click cannot destroy the company's files for ever.
- E-mail filtering: most phishing never reaches anyone's inbox.
- A 'Report' button: a mistake is noticed within minutes, not weeks.
- MFA: کە لە پەڕەیەکی ساختەدا نووسرابێت بەس نییە بۆ کردنەوەی هەژمارەکە.
- : کارمەندێکی هەڵخەڵەتێنراو تەنها دەگاتە ئەو کەمەی بۆ کارەکەی پێویستە.
- : یەک کرتەی هەڵە ناتوانێت فایلەکانی کۆمپانیاکە بۆ هەمیشە لەناو ببات.
- پاڵاوتنی : زۆربەی هەرگیز ناگاتە سندووقی نامەی کەس.
- دوگمەیەکی «ڕاپۆرت»: هەڵەیەک لە چەند خولەکێکدا دەبینرێت، نەک دوای چەند هەفتەیەک.
Security awareness training for everyoneڕاهێنانی هۆشیاریی ئاسایش بۆ هەمووان
Security awareness training teaches every member of staff — not only the IT team — to recognise common threats and to act safely. The notes list its core topics: phishing, social engineering and password security. Each has its own lesson in this course: Social engineering and Passwords, MFA and access control.
ڕاهێنانی هەموو کارمەندێک — نەک تەنها تیمی IT — فێر دەکات بناسێتەوە و بە سەلامەتی ڕەفتار بکات. تێبینییەکان بابەتە سەرەکییەکانی ڕیز دەکەن: ، و . هەریەکەیان وانەی تایبەتی خۆی لەم کۆرسەدا هەیە: ئەندازیاریی کۆمەڵایەتی و تێپەڕەوشەکان، MFA و کۆنترۆڵی دەستڕاگەیشتن.
A good programme also covers the everyday situations of that workplace:
بەرنامەیەکی باش هەروەها ئەو بارودۆخە ڕۆژانانە دەگرێتەوە کە لەو شوێنی کارەدا ڕوودەدەن:
- Messages: fake e-mails, text messages and QR codes — most attacks start with one.
- Phone calls: a caller who claims to be the help desk, the bank or a manager.
- Payments: never change a supplier's bank account because of an e-mail alone; confirm by phone on a known number.
- Data: what is confidential, and the approved way to share it.
- Devices: lock the screen, do not plug in unknown USB sticks, report a lost phone at once.
- Reporting: exactly how and where to report something strange.
- نامەکان: ، و ساختە — زۆربەی بە یەکێک لەمانە دەست پێ دەکەن.
- پەیوەندیی تەلەفۆنی: کەسێک کە دەڵێت لە ، بانک یان بەڕێوەبەرایەتییەوە پەیوەندی دەکات.
- پارەدان: هەرگیز ژمارەی حسابی بانکیی دابینکەرێک تەنها لەبەر مەگۆڕە؛ بە تەلەفۆن و لەسەر ژمارەیەکی ناسراو پشتڕاستی بکەرەوە.
- : چی نهێنییە و ڕێگای پەسەندکراو بۆ هاوبەشکردنی چییە.
- ئامێرەکان: شاشە قفڵ بکە، نەناسراو مەخەرە ناو ، مۆبایلی ونبوو دەستبەجێ ڕاپۆرت بکە.
- ڕاپۆرتکردن: بە وردی چۆن و لە کوێ شتێکی سەیر ڕاپۆرت بکەیت.
Security awareness training for everyoneڕاهێنانی هۆشیاریی ئاسایش بۆ هەمووان
What makes training workچی ڕاهێنان کاریگەر دەکات
NIST's guide Building a Cybersecurity and Privacy Learning Program (SP 800-50 Rev. 1, September 2024) treats training as a life cycle: plan it, build it, deliver it, measure it and improve it. Its goal is not a certificate on the wall but changed behaviour and a security culture. In practice this means:
ڕێنمایی NIST بە ناوی بونیادنانی بەرنامەی فێربوونی و تایبەتمەندی (SP 800-50 Rev. 1، ئەیلوولی 2024) ڕاهێنان وەک سووڕێکی ژیان دادەنێت: پلانی بۆ دابنێ، دروستی بکە، پێشکەشی بکە، بیپێوە و باشتری بکە. ئامانجەکەی بڕوانامەیەک نییە بە دیوارەوە، بەڵکو گۆڕینی ڕەفتار و . لە ڕاستیدا ئەمە واتای ئەمانەیە:
- Short and regular — ten minutes every month beats one long lecture a year.
- Real examples — the fake delivery text that staff actually received last week.
- Role-based — finance staff practise fake payment requests, developers learn secure coding, managers learn their part in an incident.
- Practice, not only slides — simulations and short exercises where people make decisions.
- Measured by behaviour — how many people report, and how fast; not just quiz scores.
- کورت و بەردەوام — دە خولەک هەموو مانگێک باشترە لە وانەیەکی درێژ ساڵی جارێک.
- نموونەی ڕاستەقینە — ساختەی گەیاندن کە کارمەندان هەفتەی ڕابردوو بە ڕاستی وەریان گرت.
- بەپێی ئەرک — کارمەندانی دارایی داواکاریی ساختەی پارەدان مەشق دەکەن، گەشەپێدەران فێر دەبن، بەڕێوەبەران ڕۆڵی خۆیان لە ڕووداوێکدا فێر دەبن.
- مەشق، نەک تەنها سلاید — و ڕاهێنانی کورت کە خەڵک تێیدا بڕیار دەدەن.
- پێوانە بە ڕەفتار — چەند کەس ڕاپۆرت دەکەن و بە چ خێراییەک؛ نەک تەنها نمرەی تاقیکردنەوە.
Phishing simulations: practice, not trapsتاقیکردنەوەکانی فیشینگ: مەشق، نەک تەڵە
Many organisations send their own staff harmless fake phishing e-mails to give them practice. Done well, these exercises show where more training is needed. Done badly, they destroy trust.
زۆر ڕێکخراو ساختە و بێزیان بۆ کارمەندانی خۆیان دەنێرن بۆ ئەوەی مەشقیان پێ بکەن. ئەگەر بە باشی ئەنجام بدرێن، ئەم ڕاهێنانانە پیشان دەدەن لە کوێ ڕاهێنانی زیاتر پێویستە. ئەگەر بە خراپی ئەنجام بدرێن، متمانە لەناو دەبەن.
A harmless practice message that an organisation sends to its own staff, so people can practise spotting and reporting the real thing. A good one teaches and counts reports; it never punishes.
نامەیەکی ساختە و بێزیانە کە ڕێکخراوێک بۆ ڕاهێنان دەینێرێت بۆ کارمەندانی خۆی، بۆ ئەوەی خەڵک فێر ببن نامەی ڕاستەقینە بناسنەوە و ڕاپۆرتی بکەن. تاقیکردنەوەیەکی باش فێر دەکات و ژمارەی ڕاپۆرتەکان دەژمێرێت؛ هەرگیز سزا نادات.
| Aspectلایەن | A good simulationتاقیکردنەوەیەکی باش | A bad simulationتاقیکردنەوەیەکی خراپ |
|---|---|---|
| Purposeمەبەست | Learning; finding where people need helpفێربوون؛ دۆزینەوەی ئەو شوێنانەی خەڵک یارمەتییان پێویستە | Catching and shaming peopleگرتن و شەرمەزارکردنی خەڵک |
| After a clickدوای کرتەیەک | A short, friendly page that explains the signsپەڕەیەکی کورت و دۆستانە کە نیشانەکان ڕوون دەکاتەوە | A name on a list, a warning letterناوێک لە لیستێکدا، نامەیەکی ئاگاداری |
| What is measuredچی دەپێورێت | Reports and time to report, as well as clicksڕاپۆرتەکان و کاتی ڕاپۆرتکردن، لەگەڵ کرتەکان | Clicks onlyتەنها کرتەکان |
| Tricks usedفێڵە بەکارهاتووەکان | Realistic, like the attacks staff really meetواقیعی، وەک ئەو کارمەندان بە ڕاستی دەیانبینن | Cruel baits (a fake bonus, fake job cuts) that leave people feeling cheatedداوی دڵڕەقانە (پاداشتی ساختە، بڕینی ساختەی کار) کە هەستی فریودران لای خەڵک دروست دەکەن |
Report quickly, without blameخێرا ڕاپۆرت بکە، بەبێ لۆمە
Dilan works at a small online shop. One morning she clicks a link in a fake delivery message and types her password. A minute later she realises what she has done. What happens next depends on the culture of her workplace.
دیلان لە دوکانێکی بچووکی ئۆنلایندا کار دەکات. بەیانییەک کرتە لە دەکات لە نامەیەکی ساختەی گەیاندندا و دەنووسێت. خولەکێک دواتر تێدەگات چی کردووە. ئەوەی دواتر ڕوودەدات پەیوەندی بە کولتووری شوێنی کارەکەیەوە هەیە.
In a tea house, if a waiter drops a glass and says so at once, the pieces are swept up before a customer steps on them. If he hides the pieces under a table to avoid being scolded, someone gets hurt later — and the owner never learns that the tray is slippery.
لە چایخانەیەکدا، ئەگەر شاگردێک پەرداخێک بخات و دەستبەجێ بیڵێت، پارچەکان پێش ئەوەی کڕیارێک پێیان لێ بنێت گسک دەدرێن. ئەگەر لە ترسی سەرزەنشت پارچەکان لە ژێر مێزێکدا بشارێتەوە، دواتر کەسێک بریندار دەبێت — هەروەها خاوەنەکە هەرگیز نازانێت کە سینییەکە خلیسکە.
Where the analogy stops workingسنووری ئەم نموونەیە
A broken glass is visible to everyone. A security mistake is often invisible to everyone except the person who made it — which is exactly why their report matters so much.
پەرداخی شکاو بۆ هەمووان دیارە. هەڵەیەکی زۆرجار بۆ هەمووان نادیارە جگە لەو کەسەی کردوویەتی — هەر بۆیە ڕاپۆرتەکەی ئەوەندە گرنگە.
Report quickly, without blameخێرا ڕاپۆرت بکە، بەبێ لۆمە
A reporting process that worksڕێکارێکی ڕاپۆرتکردن کە کار دەکات
- One easy way to reportیەک ڕێگای ئاسان بۆ ڕاپۆرتکردن
A 'Report phishing' button, or one address and one phone number that everyone knows. The NCSC asks for a process that is 'clear, simple and quick'.
دوگمەیەکی «ڕاپۆرتکردنی »، یان یەک ناونیشان و یەک ژمارەی تەلەفۆن کە هەمووان دەیزانن. NCSC داوای ڕێکارێک دەکات کە «ڕوون، سادە و خێرا» بێت.
- A fast, thankful answerوەڵامێکی خێرا و سوپاسگوزار
The first words are 'thank you for telling us', then the team acts: reset the password, close sessions, block the fake site.
یەکەم وشەکان «سوپاس کە پێت گوتین»ـن، پاشان تیمەکە کار دەکات: دەگۆڕێت، دادەخات، دادەخات.
- Feedbackوەڵامدانەوە
Tell the person what was done. People who see that reporting helps will report again.
بە کەسەکە بڵێ چی کرا. ئەو کەسانەی دەبینن ڕاپۆرتکردن سوودی هەیە، دووبارە ڕاپۆرت دەکەنەوە.
- Fix the system, not the personسیستەمەکە چاک بکە، نەک کەسەکە
Ask why the trick worked: was MFA missing? Did the filter miss a known fake domain? Then improve that.
بپرسە بۆچی فێڵەکە کاری کرد: ئایا MFA نەبوو؟ ئایا پاڵاوتنەکە ساختەی ناسراوی لەدەست دا؟ پاشان ئەوە باشتر بکە.
Security professionals never stop learningپسپۆڕانی ئاسایش هەرگیز لە فێربوون ناوەستن
The notes give two reasons why security professionals need ongoing education and training. First, to stay informed about the latest threats, vulnerabilities and best practices. Second, to develop the skills they need to manage vulnerabilities effectively. Attackers change their methods every year: a defender who stopped learning in 2020 would know nothing about passkeys, AI-written phishing or the OWASP Top 10:2025.
تێبینییەکان دوو هۆکار دەدەن بۆ ئەوەی بۆچی پسپۆڕانی پێویستیان بە فێرکردن و ڕاهێنانی بەردەوام هەیە. یەکەم، بۆ ئەوەی ئاگادار بن لە نوێترین ، و باشترین ڕێگاکان. دووەم، بۆ پەرەپێدانی ئەو لێهاتووییانەی بۆ بەڕێوەبردنی کاریگەری پێویستیانە. هەموو ساڵێک ڕێگاکانیان دەگۆڕن: بەرگریکارێک کە لە 2020دا لە فێربوون وەستابێت، هیچ شتێک دەربارەی ، نووسراو بە یان OWASP Top 10:2025 نازانێت.
- Official warnings: advisories from CISA (USA), the NCSC (UK) and national response teams such as Iraq's IQ-CERT (How countries protect themselves).
- Threat intelligence: lists of new and exploited vulnerabilities (CVE, KEV) and feeds about attacker groups and their methods (Threat intelligence in a SOC).
- Communities: sharing lessons with others — professional groups (Iraq even has a Baghdad chapter of the international association ISACA), OWASP chapters and conferences.
- Hands-on practice: your own lab at home or legal practice platforms — never on systems you are not allowed to test (Ethics and ethical hacking).
- Certificates: an organised path through the field (Certificates in IT).
- ئاگادارییە فەرمییەکان: ڕێنماییەکانی CISA (ئەمریکا)، NCSC (بەریتانیا) و تیمە نیشتیمانییەکانی وەڵامدانەوە وەک IQ-CERTـی عێراق (وڵاتان چۆن خۆیان دەپارێزن).
- : لیستەکانی نوێ و بەکارهێنراو (CVE، KEV) و سەرچاوە بەردەوامەکان دەربارەی گرووپەکانی و ڕێگاکانیان (هەواڵگریی هەڕەشە لە ناوەندی کارەکانی ئاسایشدا).
- کۆمەڵگەکان: هاوبەشکردنی وانەکان لەگەڵ کەسانی تر — گرووپە پیشەییەکان (عێراق تەنانەت لقێکی بەغدای کۆمەڵەی نێودەوڵەتیی ISACAـی هەیە)، لقەکانی OWASP و کۆنفرانسەکان.
- مەشقی پراکتیکی: تاقیگەی خۆت لە ماڵەوە یان پلاتفۆرمی یاسایی بۆ مەشق — هەرگیز لەسەر ئەو سیستەمانەی مۆڵەتی تاقیکردنەوەیانت نییە (ئەخلاقی سایبەری و هاککردنی ئەخلاقی).
- بڕوانامەکان: ڕێگایەکی ڕێکخراو بە ناو بوارەکەدا (بڕوانامەکانی IT).
The future: automation and AIداهاتوو: خۆکارکردن و ژیریی دەستکرد
The notes name two trends that are shaping vulnerability management. The first is automation and AI. A large organisation can have thousands of computers and tens of thousands of known weaknesses — far too many to check by hand. Tools now scan all the time, rank what they find, open tasks for the right team and can even install patches by themselves. AI helps to sort alerts and to spot unusual behaviour.
تێبینییەکان ناوی دوو ئاراستە دەهێنن کە شێوە پێ دەدەن. یەکەمیان بریتییە لە و . ڕێکخراوێکی گەورە دەتوانێت هەزاران و دەیان هەزار ناسراوی هەبێت — زۆر زیاتر لەوەی بە دەست پشکنینیان بۆ بکرێت. ئامرازەکان ئێستا بەردەوام دەپشکنن، ئەوەی دەیدۆزنەوە ڕیز دەکەن، ئەرک بۆ تیمی گونجاو دەکەنەوە و تەنانەت دەتوانن خۆیان دابمەزرێنن. یارمەتی دەدات ئاگادارکردنەوەکان ڕیز بکرێن و ڕەفتاری نائاسایی بدۆزرێتەوە.
Attackers use the same tools: AI writes convincing phishing in any language and helps them find weak spots faster (see AI-powered malware). So automation does not replace people — it frees them for the decisions machines cannot make.
هەمان ئامرازەکان بەکار دەهێنن: قایلکەر بە هەر زمانێک دەنووسێت و یارمەتییان دەدات خێراتر بدۆزنەوە (سەیری نەرمەواڵەی زیانبەخشی بەهێزکراو بە ژیریی دەستکرد بکە). بۆیە شوێنی خەڵک ناگرێتەوە — کاتیان بۆ ئەو بڕیارانە ئازاد دەکات کە ئامێر ناتوانێت بیاندات.
| Machines do wellئامێر باش دەیکات | People still decideخەڵک هێشتا بڕیار دەدەن |
|---|---|
| Scanning every device every dayپشکنینی هەموو ئامێرێک هەموو ڕۆژێک | Which weakness matters most for this businessکام بۆ ئەم کارە گرنگترە |
| Installing routine patches at nightدامەزراندنی بە شەو | When an urgent patch is worth stopping a hospital systemکەی بەپەلە دەهێنێت سیستەمی نەخۆشخانەیەک ڕابگیرێت |
| Sorting thousands of alertsڕیزکردنی هەزاران ئاگادارکردنەوە | Whether an alert is a real attack, and what to tell managersئایا ئاگادارکردنەوەیەک ڕاستەقینەیە و چی بە بەڕێوەبەران بگوترێت |
How AI and machine learning help short-staffed security teams find threats faster, and why people still make the final decisions.
چۆن و یارمەتیی تیمە کەمکارمەندەکانی دەدەن خێراتر بدۆزنەوە و بۆچی هێشتا مرۆڤ بڕیاری کۆتایی دەدات.
AI as a "force multiplier" for a security team that has too few people.
وەک «زیادکەری هێز» (force multiplier) بۆ تیمێکی کە کارمەندی کەمە.
The future: automation and AIداهاتوو: خۆکارکردن و ژیریی دەستکرد
Cloud security: shared duties and new doorsئاسایشی هەورەژمێرکاری: ئەرکی هاوبەش و دەرگای نوێ
The second trend: more and more organisations run their systems in the cloud, so cloud security has become a critical part of vulnerability management. Security in the cloud is a shared responsibility between the cloud provider and the customer: the provider protects its data centres, hardware and platform; the customer protects its own accounts, settings and data. The details are in The shared responsibility model.
ئاراستەی دووەم: ڕێکخراوی زیاتر و زیاتر سیستەمەکانیان لە هەوردا کار پێ دەکەن، بۆیە بووەتە بەشێکی زۆر گرنگی . لە هەوردا بەرپرسیارێتییەکی هاوبەشە لە نێوان و کڕیاردا: دابینکەرەکە ، و پلاتفۆرمەکەی دەپارێزێت؛ کڕیارەکە هەژمار، ڕێکخستن و خۆی دەپارێزێت. وردەکارییەکان لە مۆدێلی بەرپرسیارێتیی هاوبەشدان.
The cloud also opens new attack vectors (new ways in), so organisations must adapt their strategies. Typical ones: a storage area left open to the whole Internet; secret access keys pasted into public code; an account with far more permissions than it needs; a wrong firewall rule — as in the Capital One case. Attackers scan the Internet for such mistakes automatically, day and night.
هەور هەروەها نوێ دەکاتەوە (ڕێگای نوێی چوونە ژوورەوە)، بۆیە ڕێکخراوەکان دەبێت ستراتیژییەکانیان بگونجێنن. نموونە باوەکان: شوێنێکی هەڵگرتن کە بۆ هەموو کراوە بەجێ هێڵدراوە؛ کلیلی نهێنیی دەستڕاگەیشتن کە لە ناو کۆدێکی گشتیدا دانراوە؛ هەژمارێک کە مۆڵەتی زۆر زیاتر لە پێویستی هەیە؛ یاسایەکی هەڵەی — وەک لە ڕووداوی Capital Oneدا. شەو و ڕۆژ بە شێوەیەکی خۆکار بۆ ئەم هەڵانە دەپشکنن.
- MFA on every cloud administrator account.
- Least privilege for people, programs and access keys.
- Tools that check cloud settings against a safe baseline every day.
- Secrets kept in a secrets manager, never in code.
- Logs switched on, so unusual access can be noticed.
- MFA لەسەر هەموو هەژمارێکی بەڕێوەبەری هەور.
- بۆ خەڵک، بەرنامەکان و کلیلەکانی دەستڕاگەیشتن.
- ئامراز کە هەموو ڕۆژێک ڕێکخستنەکانی هەور لەگەڵ بنەمایەکی سەلامەت بەراورد دەکەن.
- نهێنییەکان لە بەڕێوەبەرێکی نهێنیدا هەڵدەگیرێن، هەرگیز لە ناو کۆددا نا.
- چالاک دەکرێن، بۆ ئەوەی دەستڕاگەیشتنی نائاسایی ببینرێت.
Acting first: a proactive programmeپێشدەستیکردن: بەرنامەیەکی پێشوەختە
The lecture's conclusion is that vulnerability management is an ongoing process, never a project that ends. It needs a proactive approach (find and fix weaknesses before attackers use them), continuous monitoring and effective incident response for the attacks that still get through. To stay ahead of attackers, an organisation keeps strong security measures in place, stays informed about new threats and keeps adapting its strategy.
ئەنجامی وانەکە ئەوەیە کە ڕێکارێکی بەردەوامە، هەرگیز پرۆژەیەک نییە کە کۆتایی بێت. پێویستی بە ڕێگایەکی پێشوەختە هەیە (دۆزینەوە و چاککردنی پێش ئەوەی بەکاریان بهێنن)، بەردەوام و کاریگەر بۆ ئەو هێشتا تێدەپەڕن. بۆ ئەوەی لە پێش بمێنێت، ڕێکخراو ڕێکاری بەهێزی دەهێڵێتەوە، ئاگادار دەبێت لە و بەردەوام ستراتیژییەکەی دەگونجێنێت.
- Assessmentهەڵسەنگاندن
Carry out a thorough vulnerability assessment to find the weaknesses that already exist: list what you own, scan it, review settings. See Finding and rating vulnerabilities.
هەڵسەنگاندنێکی تەواوی ئەنجام بدە بۆ ئەوەی بزانیت ئێستا لە کوێدا لاوازیت: لیستی ئەوەی هەتە دابنێ، بیپشکنە، ڕێکخستنەکان پێدا بچۆرەوە. سەیری دۆزینەوە و پلەبەندیی خاڵە لاوازەکان بکە.
- Implementationجێبەجێکردن
Put security controls and good practices in place to remove or reduce what you found: patches, MFA, segmentation, training.
کۆنترۆڵەکانی و ڕێگا باشەکان دابنێ بۆ لابردن یان کەمکردنەوەی ئەوەی دۆزیتەوە: ، MFA، ، ڕاهێنان.
- Monitoring and evaluationچاودێری و هەڵسەنگاندن
Watch systems continuously for new weaknesses, check whether the controls really work, and adjust the strategy. Then start again.
بەردەوام چاودێریی سیستەمەکان بکە بۆ نوێ، بپشکنە ئایا کۆنترۆڵەکان بە ڕاستی کار دەکەن و ستراتیژییەکە بگونجێنە. پاشان دووبارە دەست پێ بکەرەوە.
Your own checklist: four everyday stepsلیستی پشکنینی خۆت: چوار هەنگاوی ڕۆژانە
Culture starts with each person. The US Cybersecurity and Infrastructure Security Agency (CISA) sums up everyday online safety in four core steps in its campaign Secure Our World. They protect your own phone and accounts as much as your employer's. Five more habits follow on the next screen.
کولتوور لە هەر کەسێکەوە دەست پێ دەکات. دەزگای و ژێرخانی ئەمریکا (CISA) لە هەڵمەتی Secure Our Worldدا سەلامەتیی ڕۆژانەی ئۆنلاین لە چوار هەنگاوی سەرەکیدا کورت دەکاتەوە. ئەمانە مۆبایل و هەژمارەکانی خۆت بە هەمان ئەندازەی هی شوێنی کارەکەت دەپارێزن. پێنج خووی تر لە پەڕەی داهاتوودان.
- Recognise and report phishingفیشینگ بناسەرەوە و ڕاپۆرتی بکە
Be suspicious of unexpected messages that rush you or ask for passwords, codes or money. Check with the sender through a channel you already know. Use the 'Report' button at work; at home, block and report the sender in the app.
گومانت لەو نامە چاوەڕواننەکراوانە هەبێت کە پەلەت پێ دەکەن یان داوای ، کۆد یان پارە دەکەن. لە ڕێگەیەکەوە کە پێشتر دەیناسیت لەگەڵ نێرەرەکە پشتڕاستی بکەرەوە. لە شوێنی کار دوگمەی «ڕاپۆرت» بەکار بهێنە؛ لە ماڵەوە نێرەرەکە لە ڕابگرە و ڕاپۆرتی بکە.
- Use strong passwordsتێپەڕەوشەی بەهێز بەکار بهێنە
Long (CISA says at least 16 characters), random and different for every account. Four to seven random words make this easy. See Passwords, MFA and access control.
درێژ (CISA دەڵێت لانیکەم 16 هێما)، هەڕەمەکی و جیاواز بۆ هەر هەژمارێک. چوار تا حەوت وشەی هەڕەمەکی ئەمە ئاسان دەکەن. سەیری تێپەڕەوشەکان، MFA و کۆنترۆڵی دەستڕاگەیشتن بکە.
- Turn on MFA and use a password managerMFA چالاک بکە و بەڕێوەبەری تێپەڕەوشە بەکار بهێنە
A second step (an app, a security key or a passkey) stops a stolen password. A password manager remembers a different strong password for every site. Never tell anyone a one-time code.
هەنگاوێکی دووەم (، یان ) دزراو ڕادەگرێت. بەهێزی جیاواز بۆ هەر لەبیر دەکات. هەرگیز بە کەس مەڵێ.
- Update softwareنەرمەواڵە نوێ بکەرەوە
Turn on automatic updates for your phone, computer, browser and apps. Updates close holes that attackers already know about.
خۆکار بۆ مۆبایل، ، و چالاک بکە. ئەو کونانە دادەخەن کە پێشتر دەیانزانن.
Five simple safety rules from a security expert: turn on two-factor authentication, use different passwords, install updates, and share less personal information.
پێنج ئامۆژگاریی سادەی سەلامەتی لە پسپۆڕێکی : چالاک بکە، جیاواز بەکاربهێنە، دابمەزرێنە و کەسیی کەمتر بڵاو بکەرەوە.
Covers three of CISA's four steps (second sign-in step, unique passwords, updates) plus careful sharing; suspicious calls and e-mails at 2:48.
سێ لە چوار هەنگاوەکەی CISA دەگرێتەوە (هەنگاوی دووەمی ، جیاواز، ) لەگەڵ وریایی لە بڵاوکردنەوە؛ پەیوەندیی تەلەفۆنی و گوماناوی لە 2:48.
Your own checklist: four everyday stepsلیستی پشکنینی خۆت: چوار هەنگاوی ڕۆژانە
Five more everyday habitsپێنج خووی ڕۆژانەی تر
Beyond the four core steps, five habits close other common doors — most of them are taught in more detail elsewhere in CêIT:
جگە لە چوار هەنگاوە سەرەکییەکە، پێنج خوو دەرگای باوی تر دادەخەن — زۆربەیان لە شوێنی تری CêITـدا بە وردی فێر دەکرێن:
- Back up regularly. Keep a copy of important files on another device or in the cloud, and check that it can be restored — then one wrong click or a ransomware attack is not a disaster (Backup and recovery).
- Use genuine software only. No pirated or 'cracked' copies: they are a favourite way to spread malware and never get security updates. Choose free and open-source programs, free versions or student licences, and download from the official site or app store (Software piracy).
- Take browser warnings seriously. If the browser says a site's certificate cannot be checked, leave. The padlock (HTTPS) only means the connection is encrypted — not that the site is honest — so pay only on shops you know (Certificates and TLS).
- بە بەردەوامی بکە. کۆپییەکی فایلە گرنگەکان لەسەر ئامێرێکی تر یان لە هەوردا هەڵبگرە و بپشکنە کە دەگەڕێتەوە — ئەو کاتە یەک کرتەی هەڵە یان نابێتە کارەسات (باکئەپ و گەڕاندنەوە).
- تەنها ڕەسەن بەکار بهێنە. کۆپیی نایاسایی یان کۆپیی دەستکاریکراو («کراک کراو») بەکار مەهێنە: ڕێگایەکی دڵخوازن بۆ بڵاوکردنەوەی و هەرگیز وەرناگرن. ، وەشانی بێبەرانبەر یان مۆڵەتی خوێندکاران هەڵبژێرە و لە فەرمی یان فرۆشگای ئەپەکانەوە دایبەزێنە (کۆپیکردنی نایاسایی نەرمەواڵە).
- ئاگادارییەکانی بە جددی وەربگرە. ئەگەر بڵێت ناتوانێت بپشکنێت، جێی بهێڵە. قفڵەکە () تەنها واتای ئەوەیە کە پەیوەندییەکە شفرە کراوە — نەک ئەوەی ڕاستگۆیە — بۆیە تەنها لەو فرۆشگایانەدا پارە بدە کە دەیانناسیت (بڕوانامە دیجیتاڵییەکان و TLS).
Your own checklist: four everyday stepsلیستی پشکنینی خۆت: چوار هەنگاوی ڕۆژانە
More habits: shared devices and home Wi-Fiخووی تر: ئامێری هاوبەش و وای‌فایی ماڵەوە
- Be careful on shared and public devices and networks. On someone else's computer, use a private window, never let the browser save your password, and sign out at the end. Do not type passwords or card numbers on a public computer or on unknown public Wi-Fi.
- Secure your home Wi-Fi. Change the router's default admin password, use WPA3 (or WPA2) with a long Wi-Fi password, and change it when someone you no longer trust knows it (Changing a router's passwords).
- لەسەر ئامێر و هاوبەش و گشتی ئاگادار بە. لەسەر کەسێکی تر پەنجەرەی تایبەت (private) بەکار بهێنە، هەرگیز ڕێگە مەدە پاشەکەوت بکات و لە کۆتاییدا دەربچۆ. لەسەر گشتی یان گشتیی نەناسراو یان ژمارەی کارت مەنووسە.
- ماڵەوە بپارێزە. بەڕێوەبردنی بگۆڕە، WPA3 (یان WPA2) لەگەڵ درێژی بەکار بهێنە و کاتێک کەسێک کە ئیتر متمانەت پێی نییە دەیزانێت، بیگۆڕە (گۆڕینی تێپەڕەوشەکانی ڕێدۆز).
Common mistakesهەڵە باوەکان
- 'Security is the IT team's job.' — Every person who uses e-mail or a phone is part of the defence; the IT team cannot see every message.
- Punishing people who click in a simulation. — It teaches them to hide mistakes. Count reports, explain kindly, fix the system.
- One long training session a year. — People forget. Short, regular, realistic practice works better.
- 'No reports means no attacks.' — Usually it means nobody reports.
- 'The cloud provider secures everything.' — Accounts, settings and data stay the customer's job.
- 'We fixed everything, we are done.' — Vulnerability management is a loop: assess, implement, monitor, repeat.
- Rules for staff, exceptions for bosses. — Leaders set the example, and their accounts are attacked most.
- « کاری تیمی ITـە.» — هەر کەسێک کە یان مۆبایل بەکار دەهێنێت بەشێکە لە بەرگری؛ تیمی IT ناتوانێت هەموو نامەیەک ببینێت.
- سزادانی ئەو کەسانەی لە تاقیکردنەوەیەکدا کرتە دەکەن. — فێری شاردنەوەی هەڵەیان دەکات. ڕاپۆرتەکان بژمێرە، بە نەرمی ڕوونی بکەرەوە، سیستەمەکە چاک بکە.
- یەک دانیشتنی درێژی ڕاهێنان ساڵی جارێک. — خەڵک لەبیری دەکەن. مەشقی کورت، بەردەوام و واقیعی باشتر کار دەکات.
- «ڕاپۆرت نییە واتە نییە.» — زۆرجار واتای ئەوەیە کە کەس ڕاپۆرت ناکات.
- « هەموو شتێک دەپارێزێت.» — هەژمار، ڕێکخستن و هەر کاری کڕیار دەمێننەوە.
- «هەموو شتێکمان چاک کرد، تەواو.» — سووڕێکە: هەڵسەنگاندن، جێبەجێکردن، چاودێری، دووبارەکردنەوە.
- یاسا بۆ کارمەندان، ئیستیسنا بۆ بەڕێوەبەران. — سەرکردەکان نموونە دادەنێن، هەروەها هەژمارەکانیان زیاتر لە هەمووان هێرشیان دەکرێتە سەر.
Exercisesڕاهێنانەکان
A fictional company, Shilan Pay, sends the same practice phishing e-mail to its 200 staff in January and again in March. In January 30 people clicked and 20 reported it; in March 18 clicked and 90 reported it. Work out the click rate and the report rate for each month. What do the numbers tell you about the culture?
کۆمپانیایەکی خەیاڵی بە ناوی Shilan Pay هەمان مەشقی لە کانوونی دووەم و دووبارە لە ئاداردا بۆ 200 کارمەندەکەی دەنێرێت. لە کانوونی دووەمدا 30 کەس کرتەیان کرد و 20 کەس ڕاپۆرتیان کرد؛ لە ئاداردا 18 کەس کرتەیان کرد و 90 کەس ڕاپۆرتیان کرد. ڕێژەی کرتەکردن و ڕێژەی ڕاپۆرتکردن بۆ هەر مانگێک بدۆزەرەوە. ژمارەکان چی دەربارەی کولتوورەکە پێت دەڵێن؟
Hintئاماژە
Divide each number by 200 and write it as a percentage.
هەر ژمارەیەک دابەشی 200 بکە و وەک ڕێژەی سەدی بینووسە.
Show answerوەڵامەکە پیشان بدە
Clicks fell a little (15% → 9%), but reports rose a lot (10% → 45%). Almost half the staff now spot the message and tell the defenders, so a real attack would be noticed within minutes. That is the sign of a growing security culture. Clicks will never reach zero, which is why MFA and other layers are still needed.
کرتەکان کەمێک کەم بوونەوە (15% ← 9%)، بەڵام ڕاپۆرتەکان زۆر زیادیان کرد (10% ← 45%). ئێستا نزیکەی نیوەی کارمەندان نامەکە دەناسنەوە و بە بەرگریکاران دەڵێن، بۆیە ڕاستەقینە لە چەند خولەکێکدا دەبینرێت. ئەمە نیشانەی گەشەکردنی . کرتەکان هەرگیز ناگەنە سفر، هەر بۆیە MFA و چینەکانی تر هێشتا پێویستن.
A shop's rule says: 'Any employee who clicks a phishing link will receive a written warning. Three warnings mean dismissal.' Rewrite it as a no-blame reporting rule in three or four sentences.
یاسای دوکانێک دەڵێت: «هەر کارمەندێک کرتە لە بکات نامەیەکی ئاگاداریی نووسراو وەردەگرێت. سێ ئاگاداری واتە دەرکردن.» وەک یاسایەکی ڕاپۆرتکردنی بێ لۆمە لە سێ یان چوار ڕستەدا دووبارە بینووسەرەوە.
Show answerوەڵامەکە پیشان بدە
A possible answer: 'If you think you clicked a suspicious link or typed your password somewhere strange, report it at once with the Report button or by calling 1234. You will not be punished for an honest mistake — fast reports protect everyone. The security team will thank you, secure your account and tell you what was done. Deliberate misuse, such as sharing your password, is handled separately.'
وەڵامێکی گونجاو: «ئەگەر پێت وایە کرتەت لە گوماناوی کردووە یان لە شوێنێکی سەیر نووسیوە، دەستبەجێ بە دوگمەی ڕاپۆرت یان بە پەیوەندیکردن بە 1234ـەوە ڕاپۆرتی بکە. لەسەر هەڵەیەکی ڕاستگۆیانە سزا نادرێیت — ڕاپۆرتی خێرا هەمووان دەپارێزێت. تیمی سوپاست دەکات، هەژمارەکەت دەپارێزێت و پێت دەڵێت چی کرا. خراپ بەکارهێنانی ئەنقەست، وەک هاوبەشکردنی ، بە جیا مامەڵەی لەگەڵ دەکرێت.»
A small clinic has ten computers, a patient database and Wi-Fi for visitors. Using the lecture's three next steps (assessment, implementation, monitoring and evaluation), write one concrete action for each step.
کلینیکێکی بچووک دە ، نەخۆشان و بۆ سەردانکەران هەیە. بە بەکارهێنانی سێ هەنگاوەکەی وانەکە (هەڵسەنگاندن، جێبەجێکردن، چاودێری و هەڵسەنگاندن)، بۆ هەر هەنگاوێک کارێکی دیاریکراو بنووسە.
Show answerوەڵامەکە پیشان بدە
- Assessment: list the ten computers and their software, scan them for missing updates, and check that the visitors' Wi-Fi cannot reach the patient database.
- Implementation: install the missing updates, turn on MFA for the database login, put visitors on a separate network and give staff a 15-minute phishing session.
- Monitoring and evaluation: check every month that updates are installed and backups restore correctly, run a short practice phishing e-mail every quarter and count the reports.
- هەڵسەنگاندن: لیستی دە و دابنێ، بیانپشکنە بۆ . هەروەها بپشکنە کە سەردانکەران ناگاتە نەخۆشان.
- جێبەجێکردن: دابمەزرێنە، MFA بۆ چالاک بکە، سەردانکەران بخەرە سەر جیا و دانیشتنێکی 15 خولەکیی بۆ کارمەندان ئەنجام بدە.
- چاودێری و هەڵسەنگاندن: هەموو مانگێک بپشکنە کە دامەزراون و بە دروستی دەگەڕێنەوە، هەموو سێ مانگێک کورتی مەشقی بنێرە و ڕاپۆرتەکان بژمێرە.
Summaryپوختە
- Security culture is what people do about security when nobody is checking. It rests on continuous learning, acting before threats strike and a commitment to doing security well.
- People are often called the weakest link; good design makes sure one mistake is not enough, and trained people become the first line of defence.
- Awareness training covers phishing, social engineering and passwords; it works when it is short, regular, realistic and role-based.
- Phishing simulations are for practice: count reports, never punish clicks.
- Fast, no-blame reporting turns a mistake into a ten-minute fix instead of a breach.
- Automation and AI help both defenders and attackers; the cloud brings shared responsibility and new attack vectors.
- Vulnerability management is a loop: assess, implement, monitor and evaluate — then again.
- Your own four steps: report phishing, strong passwords, MFA with a password manager, updates.
- Five more habits: back up, use genuine software only, heed browser warnings, take care on shared computers and public Wi-Fi, secure your home Wi-Fi.
- ئەوەیە کە خەڵک سەبارەت بە دەیکەن کاتێک کەس چاودێرییان ناکات. لەسەر فێربوونی بەردەوام، کارکردن پێش ڕوودانی و پابەندبوون بە ئەنجامدانی باشی کاری وەستاوە.
- خەڵک زۆرجار بە لاوازترین ئەڵقە ناو دەبرێن؛ دیزاینی باش دڵنیا دەبێتەوە کە یەک هەڵە بەس نییە؛ خەڵکی ڕاهێنراویش دەبنە یەکەم هێڵی بەرگری.
- ڕاهێنانی ، و دەگرێتەوە؛ کاتێک کار دەکات کە کورت، بەردەوام، واقیعی و بەپێی ئەرک بێت.
- بۆ مەشقن: ڕاپۆرتەکان بژمێرە، هەرگیز سزای کرتەکردن مەدە.
- ڕاپۆرتکردنی خێرا و بێ لۆمە هەڵەیەک دەکاتە چاککردنەوەیەکی دە خولەکی لەبری .
- و یارمەتیی هەم بەرگریکاران و هەم دەدەن؛ هەور بەرپرسیارێتیی هاوبەش و نوێ دەهێنێت.
- سووڕێکە: هەڵسەنگاندن، جێبەجێکردن، چاودێری و هەڵسەنگاندن — پاشان دووبارە.
- چوار هەنگاوەکەی خۆت: ڕاپۆرتکردنی ، بەهێز، MFA لەگەڵ ، .
- پێنج خووی تر: بکە، تەنها ڕەسەن بەکار بهێنە، گوێ لە ئاگادارییەکانی بگرە، لەسەر هاوبەش و گشتی ئاگادار بە، ماڵەوە بپارێزە.
What three things does a culture of cybersecurity rest on, according to the notes?بەپێی تێبینییەکان، کولتووری ئاسایشی سایبەر لەسەر چ سێ شتێک وەستاوە؟
Continuous learning, proactive threat mitigation and a commitment to excellence in security.
فێربوونی بەردەوام، کەمکردنەوەی پێشوەختەی و پابەندبوون بە باشترین ئاستی .
Why should a phishing simulation count reports and not only clicks?بۆچی تاقیکردنەوەیەکی فیشینگ دەبێت ڕاپۆرتەکان بژمێرێت نەک تەنها کرتەکان؟
Because reports show people noticing attacks and warning the defenders; counting only clicks pushes people to hide mistakes.
چونکە ڕاپۆرتەکان پیشانی دەدەن خەڵک دەبینن و ئاگاداری بەرگریکاران دەکەنەوە؛ ژماردنی تەنها کرتەکان خەڵک بەرەو شاردنەوەی هەڵە پاڵ دەنێت.
Name the three next steps of a vulnerability management programme.سێ هەنگاوی داهاتووی بەرنامەیەکی بەڕێوەبردنی خاڵە لاوازەکان بژمێرە.
Assessment, implementation, and monitoring and evaluation — repeated as a loop.
هەڵسەنگاندن، جێبەجێکردن، پاشان چاودێری و هەڵسەنگاندن — وەک سووڕێک دووبارە دەبنەوە.
Who is responsible for the settings of a company's cloud storage?کێ بەرپرسیارە لە ڕێکخستنەکانی خەزنکردنی هەوریی کۆمپانیایەک؟
The customer (the company); the provider secures the data centre and platform.
کڕیار (کۆمپانیاکە)؛ دابینکەرەکە و پلاتفۆرمەکە دەپارێزێت.
Lesson complete!وانەکە تەواو بوو!
Well done. Review the key terms, then go on to the next lesson.دەستخۆش. سەیرێکی زاراوە سەرەکییەکان بکەرەوە، پاشان بڕۆ بۆ وانەی داهاتوو.
Key termsزاراوە سەرەکییەکان
Cybersecurity as the Frontline of National Securityئاسایشی سایبەر وەک هێڵی پێشەوەی ئاسایشی نیشتیمانی
Related lecturesوانە پەیوەندیدارەکان
- What Is Cybersecurity?ئاسایشی سایبەر چییە؟
- Finding and Rating Vulnerabilities: Scanning, OWASP and CVSSدۆزینەوە و هەڵسەنگاندنی خاڵە لاوازەکان: پشکنین، OWASP و CVSS
- Incident Response: Six Phasesوەڵامدانەوەی ڕووداو: شەش قۆناغ
- Security Operations Centres and Threat Huntingناوەندی کارەکانی ئاسایش و ڕاوکردنی هەڕەشە
- Case Studies: Equifax, Colonial Pipeline and Capital Oneلێکۆڵینەوەی ڕووداو: Equifax، Colonial Pipeline و Capital One
- Malware Today: Infostealers, Banking Trojans, RATs, Cryptojacking and Moreنەرمەواڵەی زیانبەخشی ئەمڕۆ: نەرمەواڵە زانیاریدزەکان، ئەسپەکانی ترۆیای بانکی، RAT، کریپتۆجاکینگ و زیاتر
- Cloud Databasesبنکەدراوە هەورییەکان
- Security and Online Safetyئاسایش و سەلامەتی لە ئینتەرنێتدا
- Intellectual Property, Plagiarism and Software Licencesموڵکی هزری، دزیی زانستی و مۆڵەتەکانی بەکارهێنان
- Digital Citizenship: Footprints, Netiquette and Cyberbullyingهاووڵاتیبوونی دیجیتاڵی: شوێنپێ دیجیتاڵییەکان، ئادابی ئینتەرنێت و ئازاردانی سایبەری
- Malware: Viruses, Worms, Trojans, Ransomware and Spywareنەرمەواڵەی زیانبەخش: ڤایرۆسەکانی کۆمپیوتەر، کرمەکان، ئەسپەکانی ترۆیا، نەرمەواڵەی بارمتەگر و نەرمەواڵەی سیخوڕی
References and further readingسەرچاوەکان و خوێندنەوەی زیاتر
- CISA: Secure Our World — four core steps
- UK NCSC: Phishing attacks — defending your organisation
- UK NCSC: Cyber security culture principles — principles in practice
- NIST SP 800-50 Rev. 1: Building a Cybersecurity and Privacy Learning Program (September 2024)
- Verizon: 2026 Data Breach Investigations Report
- NCSI: Iraq country page (evidence incl. ISACA Baghdad Chapter, IQ-CERT)
- CISA: Use strong passwords (at least 16 characters, random, unique)
This lecture is a first edition. The Kurdish text and terminology are waiting for review by Kurdish IT teachers.ئەم وانەیە چاپی یەکەمە. دەقە کوردییەکە و زاراوەکانی چاوەڕێی پێداچوونەوەی مامۆستایانی کوردی بواری IT ن.