النطاقThe scope

أول قرار هو ما يشمله النظام: أي موقع، أي نظام، أي خدمة. النطاق الواسع بلا قدرة يُنتج نظاماً على ورق.The first decision is what the system covers: which site, system or service. A broad scope without capacity produces a system on paper.

تقييم المخاطرRisk assessment

لكل أصل معلوماتي: ما التهديد، ما الضعف، ما الأثر؟ التقييم هو ما يبرّر اختيار الضوابط لاحقاً.For each information asset: what is the threat, the weakness, the impact? The assessment justifies the control selection that follows.

الضوابطControls

المعيار يوفّر مجموعة مرجعية، وتختار منها ما يعالج مخاطرك. تبرير الاستثناء جزء من النظام، لا دليل على ضعف.The standard provides a reference set from which you select what addresses your risks. Justifying an exclusion is part of the system, not evidence of weakness.

الفرق عن الأطر الوطنيةDifference from national frameworks

الأطر الوطنية تُصدرها جهة تنظيمية وقد تكون إلزامية لقطاعات محددة، والمعيار الدولي نظام إداري قابل للشهادة. الاثنان يتقاطعان لكنهما ليسا بديلين.National frameworks are issued by a regulator and may be mandatory for specific sectors, while the international standard is a certifiable management system. They overlap but are not substitutes.

الأدلةEvidence

سياسات معتمدة، سجلات وصول، نتائج اختبار، خطط معالجة، ومراجعات. المدقق يقرأ الأثر لا التصميم فقط.Approved policies, access logs, test results, treatment plans and reviews. The auditor reads the trace, not only the design.

الاستمراريةContinuity

النظام يحتاج مراجعة دورية لأن المخاطر تتغير. النظام الذي لم يُحدَّث سنة لا يعكس وضعك الحالي.The system needs periodic review because risks change. A system not updated for a year does not reflect your current position.