> ## Content Index
> Fetch the complete content index at: https://arabroot.io/llms.txt
> Use this file to discover other available public pages before exploring further.

# سياسات الأمن السيبراني Policies: كيف تكتب سياسة تطبق فعلاً؟
- URL: https://arabroot.io/articles/سياسات-الامن-السيبراني-قوالب-وكيف-تكتب-سياسة-تطبق/
- Published: 2026-10-25T20:20:20.000Z
- Updated: 2026-10-25T23:11:40.000Z
- Description: من أين تبدأ بقوالب السياسات العربية الرسمية، وكيف تحولها إلى صفحة يقرؤها الناس ويفحصها Git آلياً قبل أن يكتشف المدقق خاناتها الفارغة.
- Author: فريق عرب رووت
- Tags: الأدلة التقنية, الأمن السيبراني, السيادة الرقمية والامتثال, القطاع الحكومي

في أغلب الجهات التي تبدأ برنامج الأمن السيبراني يحدث الشيء نفسه: يطلب المدقق أو العميل «سياسات الأمن السيبراني المعتمدة»، فينزل أحد أعضاء الفريق نماذج جاهزة، ويغير الشعار، ويطبعها، ويوقعها المدير، ثم توضع في مجلد مشترك لا يفتحه أحد. وبعد سنة يسأل المدقق موظفاً في الدعم الفني: «ما المدة التي تقفل بعدها الجلسة بحسب سياستكم؟» فلا يعرف، ثم يفتح السياسة فيجد فيها عبارة «وفقاً لمعيار إدارة الهويات المعتمد في <اسم الجهة>»، أي أن الخانة لم تعبأ أصلاً. والنتيجة ملاحظة في التقرير، والأسوأ منها أن السياسة لم تغير شيئاً في سلوك أحد.

وقد شرحنا الفرق بين السياسة والمعيار والإجراء والإرشاد في [مصطلحات GRC](https://arabroot.io/articles/%D9%85%D8%B5%D8%B7%D9%84%D8%AD%D8%A7%D8%AA-grc-%D8%A7%D9%84%D8%AD%D9%88%D9%83%D9%85%D8%A9-%D9%88%D8%A7%D9%84%D9%85%D8%AE%D8%A7%D8%B7%D8%B1-%D9%88%D8%A7%D9%84%D8%A7%D9%85%D8%AA%D8%AB%D8%A7%D9%84/#documents)، فلن نعيده هنا. وفي هذا المقال سوف نتناول:

- من أين تأتي بقوالب سياسات موثوقة باللغة العربية، وما الذي تحتويه نماذج الهيئة الوطنية للأمن السيبراني.
- لماذا لا يطبق الناس السياسات، وما الفرق بين نموذج منزل وسياسة مكتوبة لجهتك.
- شكل السياسة التي يطبقها الناس فعلاً: صفحة واحدة ببنود قصيرة ومالك ومقياس واستثناء.
- تجربة عملية: نحول نموذجاً رسمياً من Word إلى نص في Git، ونفحصه آلياً، فنكتشف الخانات الفارغة والبنود الطويلة والمراجعة المتأخرة.
- كيف تنشر السياسة وتقيس الالتزام بها، وأخطاء شائعة.

## من أين تبدأ؟ نماذج الهيئة الوطنية للأمن السيبراني

لا تكتب سياساتك من صفحة بيضاء، فالهيئة الوطنية للأمن السيبراني تنشر مجاناً [أدوات الأمن السيبراني](https://nca.gov.sa/ar/regulatory-documents/guidelines-list/cybersecurity-toolkits/?ref=arabroot.io)، وهي نماذج باللغة العربية بصيغة Word وPDF لتمكين الجهات من إعداد سياساتها ومعاييرها وإجراءاتها، وتقول الصفحة إنها موجهة للقطاع الحكومي والخاص والجهات الأخرى. وقد عددنا القائمة كما ظهرت في الصفحة عند كتابة المقال، فوجدنا 84 نموذجاً تقريباً بالتوزيع التالي:

| النوع                   | العدد | أمثلة                                                                                                                       |
| ----------------------- | ----- | --------------------------------------------------------------------------------------------------------------------------- |
| سياسات Policies         | 32    | السياسة العامة للأمن السيبراني، إدارة هويات الدخول والصلاحيات، إدارة الثغرات، النسخ الاحتياطية، الحوسبة السحابية والاستضافة |
| معايير Standards        | 35    | معيار التشفير، معيار الإعدادات والتحصين الآمن، معيار الحماية من هجمات حجب الخدمة الموزعة                                    |
| إجراءات Procedures      | 4     | إجراء تدقيق الأمن السيبراني، إجراء إدارة المخاطر، إجراء تطوير وثائق الأمن السيبراني، إجراء تقييم الثغرات                    |
| سجلات وتقارير Registers | 5     | سجل مخاطر الأمن السيبراني، سجل الثغرات، سجل خطة التدقيق، تقرير مؤشرات الأداء، تقرير التدقيق                                 |
| وثائق أخرى              | 8     | الهيكل التنظيمي، الأدوار والمسؤوليات، اتفاقية السرية، تعهد الالتزام بالسياسات، قوائم تحقق للمشاريع والتطوير                 |

والنماذج مبنية على ضوابط الهيئة نفسها، فكل سياسة تقول في غرضها إنها مواءمة مع الضوابط والمعايير الصادرة من الهيئة، وبالتالي فهي أقرب نقطة بداية لمن يطبق [الضوابط الأساسية ECC](https://arabroot.io/articles/%D8%A7%D9%84%D8%B6%D9%88%D8%A7%D8%A8%D8%B7-%D8%A7%D9%84%D8%A7%D8%B3%D8%A7%D8%B3%D9%8A%D8%A9-%D9%84%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-nca-ecc-%D8%A8%D9%84%D8%BA%D8%A9-%D8%A8%D8%B3%D9%8A%D8%B7%D8%A9/)، لأن الضابط 1-3-1 يطلب أن تحدد إدارة الأمن السيبراني السياسات والإجراءات وتوثقها ويعتمدها صاحب الصلاحية وتنشر على المعنيين، والضابط 1-3-3 يطلب أن تدعمها معايير تقنية، مثل معايير جدار الحماية وقواعد البيانات وأنظمة التشغيل.

ولاحظ أن كل نموذج يبدأ بإخلاء مسؤولية يقول إنه مثال توضيحي يجب تعديله ليتوافق مع أعمال الجهة، وهذه الجملة هي الأهم في النموذج كله، والسبب سوف تراه بالأرقام في التجربة.

## لماذا لا يطبق الناس السياسات؟

السياسة التي لا يطبقها أحد ليست مشكلة كتابة، وإنما مشكلة تصميم، والأسباب التي تتكرر كما يلي:

- **لا يعرف القارئ لماذا:** بند مثل «يجب تعطيل خاصية تذكر كلمة المرور» دون سبب يبدو للموظف عقبة بيروقراطية، أما «لأن جهازاً مسروقاً واحداً فيه كلمات مرور محفوظة يفتح كل الأنظمة» فيقنعه.
- **لا يستطيع أحد التحقق منها:** «يجب استخدام كلمات مرور قوية» لا يقيس شيئاً، أما «12 حرفاً على الأقل، ويرفض مزود الهوية ما دونها» فقاعدة يفرضها النظام نفسه.
- **لا مالك لها:** إذا لم يكن اسم شخص ومنصبه مكتوباً على السياسة، فلن يراجعها أحد، ولن يجيب أحد عن طلب استثناء.
- **طويلة ومنقولة:** عشرات البنود التي لا ينطبق نصفها على الجهة تجعل القارئ يتوقف بعد الصفحة الأولى، والأخطر أنها تعطي المدقق قائمة طويلة من الوعود التي لم تنفذها.
- **تخلط بين السياسة والمعيار:** السياسة التي تذكر أسماء المنتجات والإعدادات تتقادم مع أول تغيير لأداة، ولذلك تبقى التفاصيل في المعيار، كما شرحنا في مقال المصطلحات.

## شكل السياسة التي يطبقها الناس

الشكل التالي يقارن بين نموذج منزل كما هو، والأرقام فيه من التجربة التي سوف نجريها بعد قليل، وبين سياسة من صفحة واحدة مكتوبة لجهة محددة:

![يمين: نموذج منزل كما هو فيه 48 بنداً بمتوسط 24.6 كلمة و58 خانة لم تعبأ ولا مالك. يسار: صفحة واحدة فيها البيانات الوصفية ولماذا والبنود القصيرة وكيف نقيس والاستثناء والمعيار المرتبط](https://arabroot.io/content/images/2026/10/security-policies-01-anatomy.webp)

السياسة الحقيقية هي ما يبقى بعد أن تحذف من النموذج ما لا ينطبق عليك

والأجزاء الستة في السياسة القصيرة كما يلي:

1. **البيانات الوصفية Metadata:** العنوان، والمالك، ومن اعتمدها وتاريخ الاعتماد، والإصدار، وتاريخ المراجعة القادمة، وأرقام الضوابط التي تحققها. وهذه هي الأشياء التي يسأل عنها المدقق أولاً.
2. **لماذا:** جملة واحدة عن الخطر الحقيقي الذي تعالجه السياسة.
3. **البنود:** قواعد قصيرة تبدأ بـ «يجب» أو «يمنع»، وكل قاعدة يمكن أن يتحقق منها شخص آخر.
4. **كيف نقيس:** المؤشر ومصدره والهدف، مثل «تقرير شهري من مزود الهوية بعدد المديرين دون MFA، والهدف صفر». ونماذج الهيئة نفسها فيها بند يطلب مؤشر قياس أداء KPI، لكنها تتركه لك لتحدده.
5. **الاستثناء:** من يوافق عليه، وأقصى مدة له، وأين يسجل، لأن السياسة التي لا تقبل استثناء يتجاوزها الناس بصمت.
6. **المعيار المرتبط:** أين توجد التفاصيل التقنية، حتى تبقى السياسة ثابتة عندما تتغير الأدوات.

## تجربة عملية: نموذج الهيئة في Git مع فحص آلي

الفكرة أن تعامل السياسات كما تعامل الكود: نص في مستودع Git، وكل تعديل يمر بمراجعة، وفحص آلي يرفض ما لا يكتمل. ولن نحتاج أكثر من Pandoc لتحويل Word إلى Markdown، وسكربت Python صغير بالمكتبة القياسية. أولاً ننزل نموذج سياسة إدارة هويات الدخول والصلاحيات من صفحة الأدوات ونحوله:

```bash
mkdir -p in policies
curl -sL -o in/iam-policy.docx \
  "https://cdn.nca.gov.sa/api/files/public/upload/e7823fbb-4434-4a5a-9e7d-a01071ae5db0_POLICY_Identity_and_Access_Management_template_ar_FINAL.docx"
docker run --rm -v "$PWD:/data" pandoc/core:3.11.0 \
  in/iam-policy.docx -t gfm-raw_html --wrap=none -o policies/iam-policy-template.md
```

الخيار `gfm-raw_html` يكتب Markdown بصيغة GitHub دون وسوم HTML، و`--wrap=none` يبقي كل بند في سطر واحد، وهذا مهم حتى يظهر التعديل على البند الواحد سطراً واحداً في `git diff`، كما يشرح [دليل Pandoc](https://pandoc.org/MANUAL.html?ref=arabroot.io). بعد ذلك نكتب الفحص، ونحفظه باسم `policy_lint.py`:

```python
# Lints policy files kept as Markdown in Git: metadata, review date, leftover template placeholders, statement length
import re, sys, datetime, pathlib

REQUIRED = ["title", "owner", "approved_by", "approved_on", "version", "next_review", "ecc_refs"]
PLACEHOLDER = re.compile(r"\\?<[^<>\n]{2,60}\\?>|اضغط هنا")
STATEMENT = re.compile(r"^\s*(?:\d+\.|-)?\s*(يجب|لا يجوز|يمنع)\b.*$", re.M)
today = datetime.date.fromisoformat(sys.argv[1])   # the audit date, e.g. 2026-10-26
failed = False

for path in sys.argv[2:]:
    text = pathlib.Path(path).read_text(encoding="utf-8")
    errors, meta = [], {}
    m = re.match(r"^---\n(.*?)\n---\n", text, re.S)
    if m:
        meta = dict(line.split(":", 1) for line in m.group(1).splitlines() if ":" in line)
        meta = {k.strip(): v.strip() for k, v in meta.items()}
    missing = [k for k in REQUIRED if not meta.get(k)]
    if missing:
        errors.append("missing metadata: " + ", ".join(missing))
    if meta.get("next_review"):
        if datetime.date.fromisoformat(meta["next_review"]) < today:
            errors.append(f"review overdue since {meta['next_review']}")
    holders = PLACEHOLDER.findall(text)
    if holders:
        errors.append(f"{len(holders)} template placeholders left, e.g. {holders[0]}")
    statements = [s.group(0) for s in STATEMENT.finditer(text)]
    words = [len(s.split()) for s in statements]
    long_ones = sum(1 for w in words if w > 40)
    avg = sum(words) / len(words) if words else 0
    print(f"{path}: {len(statements)} statements, {avg:.1f} words on average, {long_ones} over 40 words")
    for e in errors:
        print("  ERROR", e)
    failed |= bool(errors)

sys.exit(1 if failed else 0)
```

في الكود أعلاه لاحظ التالي:

- البيانات الوصفية تكتب في رأس الملف بين سطرين `---`، وهي الصيغة نفسها التي تفهمها أغلب أدوات النشر من Markdown، فلا تحتاج قاعدة بيانات.
- الخانات الفارغة في نماذج الهيئة تكتب بين قوسين مثل `<اسم الجهة>`، أو بعبارة «اضغط هنا»، والتعبير المنتظم يلتقط الشكلين، بما فيه الأقواس التي يحميها Pandoc بشرطة مائلة.
- الفحص يعد البنود التي تبدأ بـ «يجب» أو «لا يجوز» أو «يمنع»، ويحسب متوسط طولها، ويعد البنود التي تزيد على 40 كلمة، وهذه ليست قاعدة نظامية وإنما مؤشر نستخدمه لنعرف أين يتوقف القارئ.

الآن نشغل الفحص على النموذج كما نزل:

```bash
docker run --rm -v "$PWD:/w" -w /w python:3.13.17-slim \
  python policy_lint.py 2026-10-26 policies/iam-policy-template.md
```

والمخرج سوف يكون كما يلي:

```text
policies/iam-policy-template.md: 48 statements, 24.6 words on average, 5 over 40 words
  ERROR missing metadata: title, owner, approved_by, approved_on, version, next_review, ecc_refs
  ERROR 58 template placeholders left, e.g. \<اسم الجهة\>
```

النموذج فيه 48 بنداً، وثماني وخمسون خانة تنتظر من يعبئها، منها `<اسم الجهة>` وحدها 30 مرة، وهذا ليس عيباً في النموذج، فهو مكتوب ليغطي كل الجهات، لكنه يبين حجم العمل الحقيقي: تعبئة الخانات، ثم حذف ما لا ينطبق عليك، ثم نقل التفاصيل إلى المعيار. وبعد ذلك قد تصل إلى سياسة مثل التالية، مكتوبة لجهة محددة في صفحة واحدة، ونحفظها باسم `policies/remote-admin-access.md`:

```markdown
---
title: سياسة الوصول الإداري عن بعد
owner: مدير الأمن السيبراني
approved_by: الرئيس التنفيذي
approved_on: 2026-10-20
version: 1.0
next_review: 2027-10-20
ecc_refs: 1-3-1, 2-2-3-2, 2-2-3-4, 2-12-3-2
---

# سياسة الوصول الإداري عن بعد

لماذا: أغلب الاختراقات التي تصل إلى السيرفرات تبدأ من حساب مدير يدخل بكلمة مرور فقط.

1. يجب أن يدخل كل مدير إلى السيرفرات من بوابة الوصول المعتمدة فقط، ولا يفتح منفذ إدارة على الإنترنت.
2. يجب تفعيل التحقق متعدد العوامل لكل حساب مدير في مزود الهوية المركزي.
3. يجب أن يكون لكل مدير حساب باسمه، ويمنع استخدام الحسابات المشتركة.
4. يجب تسجيل كل جلسة إدارية وحفظ تسجيلها 12 شهراً.
5. يجب سحب صلاحية المدير في يوم انتهاء عمله، من مزود الهوية وليس من كل سيرفر.
6. يجب مراجعة قائمة المديرين كل ثلاثة أشهر، ويوقع المالك على نتيجة المراجعة.

كيف نقيس الالتزام: تقرير شهري من مزود الهوية بعدد المديرين ومن منهم دون تحقق متعدد العوامل، والهدف صفر.

الاستثناء: يطلب كتابة من مالك السياسة، بمدة لا تزيد على 30 يوماً، ويسجل في سجل الاستثناءات.

المعيار المرتبط: معيار الوصول الإداري (يحدد بوابة الوصول ومزود الهوية وطرق التحقق المقبولة).
```

ونشغل الفحص على الملفين معاً:

```bash
docker run --rm -v "$PWD:/w" -w /w python:3.13.17-slim \
  python policy_lint.py 2026-10-26 policies/remote-admin-access.md policies/iam-policy-template.md
```

والمخرج سوف يكون كما يلي:

```text
policies/remote-admin-access.md: 6 statements, 13.8 words on average, 0 over 40 words
policies/iam-policy-template.md: 48 statements, 24.6 words on average, 5 over 40 words
  ERROR missing metadata: title, owner, approved_by, approved_on, version, next_review, ecc_refs
  ERROR 58 template placeholders left, e.g. \<اسم الجهة\>
```

السياسة القصيرة تمر، ستة بنود بمتوسط 13.8 كلمة، ولكل بند طريقة تحقق واضحة. ولاحظ أنها لا تذكر أي منتج، فبوابة الوصول ومزود الهوية تحددهما في المعيار، وقد شرحنا الأدوات المقابلة في [أدوات الوصول الآمن إلى السيرفرات](https://arabroot.io/articles/%D8%A7%D8%AF%D9%88%D8%A7%D8%AA-%D8%A7%D9%84%D9%88%D8%B5%D9%88%D9%84-%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D9%89-%D8%A7%D9%84%D8%B3%D9%8A%D8%B1%D9%81%D8%B1%D8%A7%D8%AA/) و[authentik](https://arabroot.io/articles/%D8%AA%D8%AB%D8%A8%D9%8A%D8%AA-authentik-%D9%84%D9%84%D8%AF%D8%AE%D9%88%D9%84-%D8%A7%D9%84%D9%85%D9%88%D8%AD%D8%AF/). وأيضاً لاحظ سطر `ecc_refs`، فهو الذي يربط السياسة بالضوابط التي تحققها، فإذا سألك المقيم عن 2-2-3-2 وجدت السياسة بالبحث في المستودع.

والآن نجرب العطل: نفرض أن السنة مرت ولم يراجع أحد السياسة، فنغير `next_review` إلى تاريخ مضى ونعيد الفحص:

```text
overdue.md: 6 statements, 13.8 words on average, 0 over 40 words
  ERROR review overdue since 2026-09-30
```

وهذا هو المقصود من الفحص الآلي، فالضابط 1-3-4 في ECC يطلب مراجعة السياسات وتحديثها على فترات مخططة وتوثيق التغييرات واعتمادها، والمراجعة المتأخرة ملاحظة يسهل تجنبها، والسبب الوحيد لوقوعها أن أحداً لا يتذكر التاريخ. وعندما تضع الفحص خطوة في خط CI/CD للمستودع، كما شرحنا في [Gitea Actions](https://arabroot.io/articles/gitea-actions-%D8%AA%D8%B4%D8%BA%D9%8A%D9%84-ci-cd-%D8%B9%D9%84%D9%89-%D8%AE%D8%A7%D8%AF%D9%85%D9%83/)، يفشل الخط في اليوم التالي لتاريخ المراجعة، فلا ينساها أحد.

## دورة حياة السياسة في المستودع

بعد التجربة تصبح الصورة الكاملة كما يلي:

![ست خطوات: مسودة من النموذج، ثم مراجعة في Pull Request مع الفحص الآلي، ثم اعتماد، ثم نشر وتوعية، ثم قياس شهري، ثم مراجعة دورية عند تاريخها](https://arabroot.io/content/images/2026/10/security-policies-02-lifecycle.webp)

سجل Git هو سجل نسخ الوثيقة الذي يطلبه المدقق

ولاحظ أن نماذج الهيئة تبدأ بجدولين لاعتماد الوثيقة ونسخها، وفي المستودع يصبح جدول النسخ هو `git log` نفسه: من غير ماذا، ومتى، وفي أي مراجعة. أما الاعتماد فيبقى قراراً بشرياً يسجل في رأس الملف، أو بتوقيع على نسخة PDF مولدة من الملف، بحسب ما تقبله جهتك. وقد يتساءل البعض: هل نطلب من المدير التنفيذي أن يفتح Pull Request؟ لا، فالمستودع لفريق الأمن والتقنية، والمدير يرى نسخة PDF أو صفحة في موقع داخلي مثل [BookStack](https://arabroot.io/articles/%D8%AA%D8%AB%D8%A8%D9%8A%D8%AA-bookstack-%D9%84%D8%AA%D9%88%D8%AB%D9%8A%D9%82-%D8%A7%D9%84%D9%81%D8%B1%D9%8A%D9%82/) تولد من المستودع، ويعتمدها كما يعتمد أي وثيقة.

## النشر والقياس: كيف تعرف أن الناس يطبقونها؟

- **النشر:** الضابط 1-3-1 يطلب نشر السياسات على المعنيين، والدليل المقبول عادة إقرار من كل موظف بالاطلاع، ونماذج الهيئة فيها «تعهد الالتزام بسياسات الأمن السيبراني» لهذا الغرض.
- **التوعية:** اربط كل سياسة بجزء من برنامج التوعية، وقد شرحنا بناءه بأدوات مفتوحة في [برنامج التوعية بالأمن السيبراني](https://arabroot.io/articles/%D8%A8%D8%B1%D9%86%D8%A7%D9%85%D8%AC-%D8%A7%D9%84%D8%AA%D9%88%D8%B9%D9%8A%D8%A9-%D8%A8%D8%A7%D9%84%D8%A7%D9%85%D9%86-%D8%A7%D9%84%D8%B3%D9%8A%D8%A8%D8%B1%D8%A7%D9%86%D9%8A-%D8%A8%D8%A7%D8%AF%D9%88%D8%A7%D8%AA-%D9%85%D9%81%D8%AA%D9%88%D8%AD%D8%A9-%D8%A7%D9%84%D9%85%D8%B5%D8%AF%D8%B1/).
- **القياس:** كل سياسة فيها سطر «كيف نقيس»، والمؤشر يأتي من نظام وليس من استبيان، مثل تقرير MFA من مزود الهوية أو تقرير الأصول التي لا ترسل سجلاتها.
- **التطبيق الآلي:** أفضل سياسة هي التي يفرضها النظام، فإذا كانت السياسة تقول «MFA لكل المديرين» فليرفض مزود الهوية دخول المدير دون MFA، وعندها يصبح القياس شبه محسوم.

💡

ابدأ بأقل عدد من السياسات يغطي ضوابطك، فالسياسة العامة للأمن السيبراني مع خمس أو ست سياسات للمواضيع الأكثر خطراً أفضل من ثلاثين سياسة منزلة، وأضف الباقي عندما تجد له مالكاً وطريقة قياس.

## أخطاء شائعة

- **نشر النموذج بخاناته الفارغة:** أول ما يلاحظه المدقق، وأسرع طريقة لتعرفها هي الفحص الآلي في التجربة.
- **وعود لا تنفذها:** كل بند في السياسة وعد سوف يطلب المدقق دليله، فاحذف ما لا تطبقه، أو انقله إلى خطة عمل بتاريخ.
- **أسماء المنتجات داخل السياسة:** ضعها في المعيار، حتى لا تحتاج إعادة اعتماد السياسة عند تغيير الأداة.
- **مالك هو «إدارة تقنية المعلومات»:** المالك شخص بمنصب، لأن الإدارة لا تراجع وثيقة ولا توافق على استثناء.
- **سياسة بلا تاريخ مراجعة:** الضابط 1-3-4 يطلب المراجعة على فترات مخططة، فاكتب التاريخ ودع النظام يذكرك.
- **نسخ متعددة متضاربة:** نسخة في البريد ونسخة في المجلد ونسخة مطبوعة، والحل مصدر واحد في المستودع تولد منه بقية الصيغ.

## الخلاصة

- ابدأ من نماذج الهيئة الوطنية للأمن السيبراني، وفيها نحو 84 نموذجاً عربياً للسياسات والمعايير والإجراءات والسجلات، لكن لا تنشرها كما هي.
- السياسة التي يطبقها الناس صفحة واحدة: بيانات وصفية، ولماذا، وبنود قصيرة قابلة للتحقق، وكيف نقيس، والاستثناء، والمعيار المرتبط.
- احفظ السياسات نصاً في Git، وافحصها آلياً: الخانات الفارغة، والبيانات الوصفية، وتاريخ المراجعة، وطول البنود.
- في تجربتنا كان في نموذج سياسة الهويات 48 بنداً و58 خانة فارغة، والسياسة المكيفة ستة بنود بمتوسط 13.8 كلمة.
- أفضل قياس للالتزام أن يفرض النظام السياسة نفسها، ثم يخرج التقرير الذي يثبت ذلك، وهذا موضوع مقال جمع الأدلة:

## سجل التحديثات

أكتوبر 2026: كتابة المقال، وعد نماذج صفحة أدوات الأمن السيبراني في موقع الهيئة الوطنية للأمن السيبراني، وتجربة التحويل والفحص على Pandoc 3.11 وPython 3.13.17.