Added reserved metadata fields for AuditGlue

AuditGlue/AuditGlue metadata.md

@@ -0,0 +1,13 @@
+# Reserved metadata fields
+
+- `id` is used to locate the Session file, must match the first 8 characters of the filename, and must be systemwide unique.
+- `module` and `session` are used to create a hierarchy for the Sessions, and to build the menu index:
+  - `module` designates the Module to which a Session belongs, and must correspond to a Module key in `module_map.yaml`.
+  - `session` designates the Session number.
+- `title` is the name of the Session as shown in the sidebar menu
+- `related_assets` (kv-pairs) make it possible to reference the assets by their keys instead of their full file paths.
+- `related_references` (kv-pairs) make it possible to reference additional content.
+- `related_form` identifies a format file that is used for getting user input.
+- `related_automation` identifies an automation that can be initiated from the Session.
+- `automation_depends_on` (kv-pairs) identifies Tasks required to have the 'Done' status before the automation can be initiated.
+- `depends_on` _legacy, no longer in use._

marketing/content/eBook-Audit/Angsten over de audit.md

@@ -10,7 +10,7 @@ De grootste angst is niet altijd “falen op inhoud”, maar falen op **bewijsvo
 
 Veel onduidelijkheid gaat over **hoe streng auditors zijn** en wat er precies in fase 1 versus fase 2 kan misgaan. In de besproken bronnen wordt vaak benadrukt dat fase 1 al pijn kan doen als de managementsystematiek of documentatie niet klopt, terwijl fase 2 vooral gaat om werking en effectiviteit van de controles. Een terugkerende onzekerheid is ook of “goed genoeg voor security” hetzelfde is als “goed genoeg voor ISO 27001”; de discussies laten zien dat organisaties soms verrast zijn dat de standaard meer vraagt dan losse tools of losse beleidsdocumenten.[2][10][1]
 
-## Veelgemaakte grijze zones
+## Grijze zones
 
 Een ander thema is de **interpretatie van de norm**. Teams twijfelen bijvoorbeeld over vulnerability-managementtermijnen, scope-afbakening, risicoacceptatie, en hoeveel detail auditors willen zien in bewijsstukken en rationale. Ook wordt regelmatig genoemd dat leveranciers, compliance-platforms en consultants veel beloven, maar dat organisaties alsnog zelf de PDCA-cyclus, risico’s en justifications moeten dragen. Dat voedt het gevoel dat je pas tijdens de audit ontdekt wat er echt ontbreekt.[3][5][6][7][10]