---
title: "03 使用情境 — 鼎泰科技五幕 (FR-151)"
brand: "Guidant AI · **FR-151** GRC 延伸"
eyebrow: "FR-151 · 一、需求 · 03 使用情境"
h1: "使用情境：一間公司從導入到老闆叫人，走一遍"
subtitle: "每幕標對到系統哪一塊、哪一版做"
lede: "虛構的鼎泰科技做智慧門鎖賣歐盟，要過 CRA。顧問、承辦、部門主管、總經理各自在哪一幕出場、看到什麼畫面。看完這頁就知道每個功能為什麼存在。"
chips: [
  {text: "第一版：第一～四幕", kind: ok},
  {text: "第二版：第五幕", kind: warn},
  {text: "角色：總經理／三位部門主管／顧問／承辦", kind: accent}
]
footer: "FR-151 · 一、需求 · 03 使用情境 · 情境為虛構，部門與人名僅示意"
---

## 變更紀錄 {#changelog nav="變更紀錄"}

| 日期 | 變更 |
|---|---|
| 2026-10-19 | 新頁。決策者裁示：大需求討論稿必含使用情境節 |

---

## 背景設定 {#setup nav="背景"}

鼎泰科技做智慧門鎖賣歐盟，要過 CRA，也在導 ISO 27001。公司有總經理、資訊部（陳經理）、產品部（林經理）、總務部（王經理）、法務、客服。平台上開了一個 CRA 專案，顧問帶著跑。CRA 框架匯入後有六個群組、九十六條控制項（DEV 實查）：

| 群組 | 條數 | 情境裡歸哪個部門 |
|---|---|---|
| 附件一第一部分 產品資安要求 | 28 | 產品部（部分例外歸資訊部） |
| 附件一第二部分 漏洞處理要求 | 16 | 產品部 |
| 附件二 使用者資訊與說明 | 18 | 產品部，I 填客服 |
| 附件七 技術文件內容 | 16 | 法務 |
| 第 13 條 上市前符合性 | 8 | 法務 |
| 第 13、14 條 上市後持續義務 | 10 | 產品部 |

---

## 第一幕：導入前，顧問設定（G 治理：先把人對上） {#act1 nav="第一幕 設定"}

顧問開專案、匯入 CRA 框架。他做三件事：

1. **部門管理頁**：每個部門填主管。資訊部＝陳經理、產品部＝林經理、總務部＝王經理。
2. **SSP 責任矩陣頁籤**：按群組整批分部門。「附件一第二部分」全選產品部、「附件七」全選法務，點六次分完九十六條。附件一第一部分裡有四條是伺服器端存取控制，個別改成資訊部。
3. **順手填 C 與 I**：附件二這群 I 全填客服；漏洞通報那條 C 填法務。

系統此時自動算出每條控制項的 A：「漏洞通報流程」A＝產品部主管＝林經理。

| 對到系統 | 版 |
|---|---|
| 部門表加主管欄 | 第一版 |
| SSP 控制項加負責部門、按群組整批設 | 第一版 |
| SSP 責任矩陣頁籤（R／A／C／I） | 第一版 |

---

## 第二幕：執行期，各部門做事（C 合規：既有功能，不動） {#act2 nav="第二幕 執行"}

任務派下去。「漏洞通報流程」派給產品部的小張寫文件，小張就是 R（系統從任務處理人預帶）。小張交了文件當證據，稽核員判 NOT MET，因為通報期限寫 72 小時，CRA 要 24 小時。

同一輪結果：產品部八條沒過、資訊部五條、總務部兩條。

**補一段：流程改好了**。小張把期限改成 24 小時，顧問複審通過，控制項變 MET。R 小張做完了；A 林經理的部門沒過數 8 變 7；C 法務之前被問過「24 小時從什麼時候起算」；**I 客服收到通知「流程已更新，客戶回報漏洞請導向 security@ 信箱」**。

| 對到系統 | 版 |
|---|---|
| 任務、證據、AO 判定 | 既有 |
| 狀態改變自動通知 I | 第二版（第一版 I 只是記錄） |

---

## 第三幕：結案，老闆看儀表板（GRC 的上帝視角） {#act3 nav="第三幕 儀表板"}

總經理打開 GRC 總覽頁：

| 部門 | 控制項總數 | 沒過 | 主管 |
|---|---|---|---|
| 產品部 | 54 | 8 | 林經理 |
| 資訊部 | 18 | 5 | 陳經理 |
| 總務部 | 0 | 0 | 王經理 |
| 法務 | 24 | 3 | 法務主管 |

他點產品部，展開八條沒過的清單，每條旁邊寫 A 林經理、R 小張、承辦狀態。他把林經理叫來：「這八條什麼時候補完？」林經理回去找小張。這就是 PM 說的「找頭兒」。

沒有這一層之前，總經理只能拿到一份九十六條的稽核報告自己翻。

林經理自己登入時，只看到產品部那一列與底下的清單；若他同時管兩個部門，看到兩列。

| 對到系統 | 版 |
|---|---|
| GRC 總覽頁：部門統計、點進去列 A／R | 第一版 |
| 部門主管看自己子樹 | 第一版（C1 已裁 2026-10-19） |

---

## 第四幕：下載結案報告 {#act4 nav="第四幕 報告"}

顧問下載 FR-145 結案報告，第一頁多一張「責任歸屬總表」：沒過的控制項 × 部門 × 主管，就是第三幕那張表。每條缺失明細旁印 A 與 R。給客戶董事會看。SSP 匯出 Excel 時也多一張「責任矩陣」sheet。

| 對到系統 | 版 |
|---|---|
| FR-145 結案報告加責任歸屬節 | 第一版 |
| FR-141 SSP Excel 匯出加責任矩陣 sheet | 第一版（可後移） |

---

## 第五幕：第二版才有的，R 風險 {#act5 nav="第五幕 風險"}

隔年總務部王經理自己想到：「門鎖晶片只有一家供應商，倒了就斷貨。」這不是任何稽核會抓到的，沒有控制項對得上。他到風險總表頁手填一筆：

| 欄位 | 值 |
|---|---|
| 風險 | 晶片單一供應商，倒了就斷貨 |
| 部門／負責人 | 總務部／王經理 |
| 衝擊 × 可能性 | 5 × 3 ＝ 固有 15，高 |
| 現有控制、有效性 | 已簽約第二供應商但未試產，40% |
| 剩餘 | 15 × 0.6 ＝ 9，中 |
| 處置 | 降低 |

同時，上一輪稽核沒過的「漏洞通報流程」系統已**自動**在風險總表建了一筆「CRA 漏洞通報不合規，無法在歐盟上市」，部門產品部、負責人林經理，POA&M 全關後轉為監控中。

總經理儀表板多了一張五乘五熱圖，右上角三格紅的，點進去是哪幾筆、誰負責。王經理想把晶片風險標成「接受」時，因為是中風險，系統擋下來丟進上一層主管的待辦。

| 對到系統 | 版 |
|---|---|
| 風險總表、評分 | 第二版 |
| 稽核 NOT MET 自動建風險 | 第二版 |
| 熱圖、點格列負責人 | 第二版 |
| 風險接受簽核往上升級 | 第二版 |

---

## 整理成一句 {#summary nav="一句話"}

第一版做到第四幕：老闆看儀表板知道哪個部門幾條沒過、叫哪位主管。第二版做第五幕：稽核抓不到的風險也能登記、評分、排優先、簽核。供應商、事件、KRI 讓風險不靠人填自己長出來，是第二版的後續來源，待驗後挑做，見 [08 後續來源](../3-plan/08-phase2-risk-management.md)。總計畫見 [10](../3-plan/10-phasing-and-timeline.md)。