---
title: "06 外部對照 — OCEG Red Book 與市面平台 (FR-151)"
brand: "Guidant AI · **FR-151** GRC 延伸"
eyebrow: "FR-151 · 二、分析與決策 · 06 外部對照"
h1: "外部對照：兩版做完，我們跟教科書與市面平台差多少"
subtitle: "OCEG 20 元素、Eramba／CISO Assistant／Drata／ServiceNow"
lede: "用 OCEG Red Book 的 20 個元素當完整度尺，再對照四款市面平台的功能模組，標出我們已有、兩版後會有、仍缺的。注意：對照出的缺口不能直接變功能，先問「框架控制項機制是否已涵蓋」。"
chips: [
  {text: "OCEG 20 元素", kind: accent},
  {text: "四款平台對照", kind: accent},
  {text: "兩版後仍缺：帳號定期審查、BCP；C 類不做", kind: warn}
]
footer: "FR-151 · 二、分析與決策 · 06 外部對照 · 來源列於文末"
---

## 變更紀錄 {#changelog nav="變更紀錄"}

| 日期 | 變更 |
|---|---|
| 2026-10-19 | 自 discussion.md v4「市場對照」搬出；「我們」欄改標版次；政策／訓練改標「不做：框架控制項已涵蓋」，供應商／事件／KRI 標「R 後續來源待驗」 |

---

## OCEG GRC Capability Model v3.5 的 20 個元素 {#oceg nav="OCEG 20 元素"}

| 元件 | 元素 | 我們哪一版有 | 說明 |
|---|---|---|---|
| LEARN | L1 外部環境、L2 內部環境、L3 文化、L4 利害關係人 | L2 部分（部門、主管、資產）第一版 | L1／L3／L4 是顧問作業，不是軟體功能 |
| ALIGN | A1 方向、A2 目標、A3 識別、A4 分析、A5 設計 | A3 識別、A4 分析（風險總表）第二版；A5 設計（風險對控制項）第二版 | A1／A2（目標與策略）未排 |
| PERFORM | P1 控制、P2 政策、P3 溝通、P4 教育、P5 激勵、P6 通報、P7 調查、P8 回應 | P1 控制、P2 政策、P4 教育（都是框架控制項，證據機制既有）、P6 通報（FR-136）、P8 回應（POA&M） | P7 事件調查是 R 後續來源（待驗） |
| REVIEW | R1 監控、R2 保證、R3 改善 | R2 保證（稽核）、R3 改善（POA&M）既有；R1 部分（儀表板）第一版 | R1 的 KRI 持續監控是 R 後續來源（待驗） |

---

## 市面平台功能對照 {#market nav="市面平台"}

| 功能模組 | Eramba | CISO Assistant | Drata／Vanta | ServiceNow IRM | 我們 |
|---|---|---|---|---|---|
| 合規框架與控制項對映 | ✅ | ✅ 200+ 框架 | ✅ | ✅ | ✅ 既有 |
| 稽核管理（計畫→執行→缺失→改善） | ✅ 內稽 | ✅ | 弱 | 中 | ✅ 既有，比多數強 |
| 組織架構＋部門視圖 | 部門 | 資料夾階層 | 弱 | ✅ | ✅ **第一版** |
| 責任／擁有者 | 單一 owner＋審查人 | 單一 owner | 單一 owner | 多角色 | ✅ **第一版 RACI 四格**（比多數細） |
| 高階儀表板 | ✅ | ✅ | ✅ | ✅ | ✅ **第一版**（件數）、第二版（熱圖） |
| 風險總表＋矩陣（固有／剩餘） | ✅ 自訂尺度 | ✅ 多方法 | 基本 | ✅ | ✅ 第二版 |
| 政策文件生命週期 | ✅ | 部分 | ✅ | ✅ | **不做**：是框架控制項（CRA.II.5 等），程序書掛證據已涵蓋；「誰核准、何時過期」屬證據有效期小需求 |
| 第三方／供應商風險 | ✅ | ✅ | 部分 | ✅ 強 | R 後續來源（待驗） |
| 事件管理 | ✅ | ❌ | 弱 | ✅ | R 後續來源（待驗） |
| 資安意識訓練與追蹤 | ✅ | ❌ | ✅ | 部分 | **不做**：是框架控制項（CMMC AT.L2-3.2.x、ISO A.6.3），簽到表掛證據已涵蓋 |
| KRI 持續監控 | 部分 | 部分 | ✅ 自動化測試 | ✅ | R 後續來源（待驗） |
| 帳號定期審查 | ✅ | ❌ | ✅ | ✅ | ❌ 未排（FR-132 有起訖日，無審查流程） |
| 業務持續計畫 BCP | ✅ | BIA | ❌ | ✅ | ❌ 未排 |
| 問卷／評估發送 | ✅ | ✅ | ✅ | ✅ | ✅ 既有（jedi-survey） |
| 資產盤點 | ✅ | ✅ | ✅ 自動 | ✅ CMDB | ✅ 既有（jedi-asset） |
| 自動證據收集 | ❌ | 部分 | ✅ 主打 | 部分 | 部分既有 |

---

## 結論：做到哪邊就好 {#verdict nav="結論"}

PM 點名 ServiceNow IRM 最像我們想做的。它十個模組對下來：

| ServiceNow IRM | 我們 |
|---|---|
| Policy & Compliance、Audit Management | 既有，是我們主體，比它細 |
| Risk Management、責任歸屬、GRC 儀表板 | **本案第一、二版** |
| Vendor Risk、Business Continuity、Privacy、Operational Risk（事件／KRI）、Regulatory Change | 不做。大企業專職風控部門才填得動；我們的客戶透過顧問導入，公司裡沒有風控專員 |

決策者 2026-10-19 定：鎖定 Compliance 與 Cybersecurity 面向，供應商、財務等領域依客戶或進入的領域慢慢加，設計時留接口。

---

## 參考來源 {#refs nav="來源"}

- OCEG《GRC Capability Model v3.5》Part II 元素清單（PM 提供 PDF）
- Workiva「什麼是 GRC」（PM 提供連結）
- [Help Net Security：CISO Assistant 介紹（2026-01）](https://www.helpnetsecurity.com/2026/01/14/ciso-assistant-open-source-cybersecurity-management-grc/)、[infosecflow 開源 GRC 比較（2026）](https://infosecflow.com/blog/open-source-grc-comparison/)
- [Eramba 官方學習中心模組清單](https://www.eramba.org/learning)、[thecybermatrix Eramba 模組總覽](https://thecybermatrix.com/eramba-open-source-governance-risk-compliance/)
- [vcso.ai 2026 GRC 工具比較](https://vcso.ai/learn/best-grc-tools-2026/)、[sprinto 2026 GRC 工具](https://sprinto.com/grc/tools/)