FR-151 · 二、分析與決策 · 06 外部對照

外部對照：兩版做完，我們跟教科書與市面平台差多少

OCEG 20 元素、Eramba／CISO Assistant／Drata／ServiceNow

用 OCEG Red Book 的 20 個元素當完整度尺，再對照四款市面平台的功能模組，標出我們已有、兩版後會有、仍缺的。注意：對照出的缺口不能直接變功能，先問「框架控制項機制是否已涵蓋」。

OCEG 20 元素四款平台對照兩版後仍缺：帳號定期審查、BCP；C 類不做

§1

變更紀錄

日期	變更
2026-10-19	自 discussion.md v4「市場對照」搬出；「我們」欄改標版次；政策／訓練改標「不做：框架控制項已涵蓋」，供應商／事件／KRI 標「R 後續來源待驗」

§2

元件	元素	我們哪一版有	說明
LEARN	L1 外部環境、L2 內部環境、L3 文化、L4 利害關係人	L2 部分（部門、主管、資產）第一版	L1／L3／L4 是顧問作業，不是軟體功能
ALIGN	A1 方向、A2 目標、A3 識別、A4 分析、A5 設計	A3 識別、A4 分析（風險總表）第二版；A5 設計（風險對控制項）第二版	A1／A2（目標與策略）未排
PERFORM	P1 控制、P2 政策、P3 溝通、P4 教育、P5 激勵、P6 通報、P7 調查、P8 回應	P1 控制、P2 政策、P4 教育（都是框架控制項，證據機制既有）、P6 通報（FR-136）、P8 回應（POA&M）	P7 事件調查是 R 後續來源（待驗）
REVIEW	R1 監控、R2 保證、R3 改善	R2 保證（稽核）、R3 改善（POA&M）既有；R1 部分（儀表板）第一版	R1 的 KRI 持續監控是 R 後續來源（待驗）

§3

功能模組	Eramba	CISO Assistant	Drata／Vanta	ServiceNow IRM	我們
合規框架與控制項對映	✅	✅ 200+ 框架	✅	✅	✅ 既有
稽核管理（計畫→執行→缺失→改善）	✅ 內稽	✅	弱	中	✅ 既有，比多數強
組織架構＋部門視圖	部門	資料夾階層	弱	✅	✅ 第一版
責任／擁有者	單一 owner＋審查人	單一 owner	單一 owner	多角色	✅ 第一版 RACI 四格（比多數細）
高階儀表板	✅	✅	✅	✅	✅ 第一版（件數）、第二版（熱圖）
風險總表＋矩陣（固有／剩餘）	✅ 自訂尺度	✅ 多方法	基本	✅	✅ 第二版
政策文件生命週期	✅	部分	✅	✅	不做：是框架控制項（CRA.II.5 等），程序書掛證據已涵蓋；「誰核准、何時過期」屬證據有效期小需求
第三方／供應商風險	✅	✅	部分	✅ 強	R 後續來源（待驗）
事件管理	✅	❌	弱	✅	R 後續來源（待驗）
資安意識訓練與追蹤	✅	❌	✅	部分	不做：是框架控制項（CMMC AT.L2-3.2.x、ISO A.6.3），簽到表掛證據已涵蓋
KRI 持續監控	部分	部分	✅ 自動化測試	✅	R 後續來源（待驗）
帳號定期審查	✅	❌	✅	✅	❌ 未排（FR-132 有起訖日，無審查流程）
業務持續計畫 BCP	✅	BIA	❌	✅	❌ 未排
問卷／評估發送	✅	✅	✅	✅	✅ 既有（jedi-survey）
資產盤點	✅	✅	✅ 自動	✅ CMDB	✅ 既有（jedi-asset）
自動證據收集	❌	部分	✅ 主打	部分	部分既有

§4

PM 點名 ServiceNow IRM 最像我們想做的。它十個模組對下來：

ServiceNow IRM	我們
Policy & Compliance、Audit Management	既有，是我們主體，比它細
Risk Management、責任歸屬、GRC 儀表板	本案第一、二版
Vendor Risk、Business Continuity、Privacy、Operational Risk（事件／KRI）、Regulatory Change	不做。大企業專職風控部門才填得動；我們的客戶透過顧問導入，公司裡沒有風控專員

決策者 2026-10-19 定：鎖定 Compliance 與 Cybersecurity 面向，供應商、財務等領域依客戶或進入的領域慢慢加，設計時留接口。

§5