盤點日期：2026-10-21 ｜ 依據：DEV 側欄選單（
ui_routes）、docs/spec-site/current/各功能群、使用手冊、release note、FR 登記表、DEV 資料庫 版本基準：已上線 v1.26.0；feature/FR-139上另有 FR-134～151 開發中、未進版
Guidant AI 是一套 AI 輔助的合規稽核管理平台：把法規與標準拆成可以分工的控制項，從現況盤點、任務與證據蒐集、自動化檢測、內部稽核、外部稽核、缺失改善到結案報告，在同一個平台走完，而且年年延續、不用重來；可以裝在客戶自己的機房。
依「客戶會怎麼理解」重新分組，不照系統選單。狀態欄：✅ 已上線（v1.26.0 以前）／🟡 已完成未進版（FR-139 branch）／🔵 開發中。
| # | 大功能 | 主要在幹什麼 | 系統頁面（選單位置） | 狀態 | 截圖建議 |
|---|---|---|---|---|---|
| 1 | 合規框架與資源庫 | 內建／匯入法規標準（現有內建 CMMC、CRA；ISO 27001:2022 決定做成內建框架、開發中；NIST 800-53／800-171 只保留解析器代號；法規改版時由原廠以官方 PDF 解析匯入，非客戶功能），由顧問整理成可重複使用的「資源庫」：控制項選集、系統安全計畫範本、稽核流程範本、表單設定 | 合規與稽核 › 合規框架管理、合規資源庫 | ✅（CRA 框架 🟡、ISO 27001 框架 🔵） | 資源庫詳細頁（控制項樹＋評估目標） |
| 2 | 專案與稽核生命週期 | 一個專案＝一份框架的長期管理；一輪稽核走完「規劃 → 內部稽核 → 外部稽核 → 改善 → 結案」，隔年開新一輪自動承接上一輪 | 專案任務 › 專案列表、專案儀表板 | ✅（單輪內外稽 FR-140 🟡） | 專案總覽頁（階段導覽） |
| 3 | 系統安全計畫 | 逐條記錄每個控制項「現在怎麼做」：實作狀態、說明、程序書、負責部門、缺失與修改建議；Excel／Word 匯入匯出 | 專案規劃頁 ›系統安全計畫現況 | ✅（顧問訪談欄位 FR-139、Word 顧問範本 FR-149 🟡） | 專案規劃頁左樹右表單 |
| 4 | 任務、證據與審核關卡 | 每條評估目標拆成任務，指派負責人；執行人上傳證據、填問卷；可設多關審核（執行人 → 主管 → 顧問）；週期任務自動重開；到期提醒 | 專案任務 › 待辦任務；任務抽屜 | ✅（審核關卡 FR-148、週期任務 FR-137、手動提醒 FR-150 🟡） | 待辦任務清單＋任務抽屜 |
| 5 | AI 證據自動分類 | 一次上傳一大批證據檔（PDF、圖片、Word、Excel、PPT），AI 判斷每個檔案屬於哪一條評估目標，人工確認後歸檔進任務 | 專案 › 自動分類批次 | ✅（2.0 版 FR-107） | 分類批次流程頁第③步「確認分類」 |
| 6 | 自動化檢測（檢測 Agent） | 在客戶環境裝一個 Agent，從平台派工執行弱點掃描與組態檢查；報告自動回收成證據。支援 OpenVAS、Nessus、ZAP、CINC Auditor、政府組態基準（GCB）、Nmap、OpenSCAP、SonarQube | 合規與稽核 › 工具外掛管理、掃描設定檔管理；系統管理 › 遠端 Agent、授權掃描網段 | ✅ | 任務抽屜「執行紀錄」＋報告 |
| 7 | 第三方元件風險（SBOM） | 上傳原始碼或 SBOM，產出 CycloneDX／SPDX SBOM，三套工具比對已知弱點，標 KEV／EPSS；只列事實不下結論，報表給不懂技術的顧問也看得懂 | 合規與稽核 › 第三方元件風險 | 🟡（FR-134） | 掃描結果頁事實儀表板 |
| 8 | 稽核作業（計畫 → 判定 → 改善） | 稽核計畫逐條填查核方法與受評對象；稽核員逐評估目標判定符合／不符合、填發現與風險；不符合的自動進改善計畫（POA&M）排到期日；四頁 Excel 可匯出改完匯回 | 專案任務 › 稽核計畫、稽核作業、改善計畫 | ✅（逐 AO 重做 FR-141～143 🟡） | 稽核判定頁（左樹＋每條 AO 一張卡） |
| 9 | 結案報告與報告包 | 每輪結案自動產生正式報告（六章＋附件），只有「總結與建議」需要人寫；下載 Word／PDF；報告包 zip 含凍結的證據與對照表 | 專案任務 › 結案報告 | 🟡（FR-145） | 結案報告內容頁 |
| 10 | GRC 治理與風險 | 部門主管與責任分工（RACI）；全公司風險總表（5×5 熱圖、稽核沒過自動建風險）；給老闆看的 GRC 總覽一頁 | 合規與稽核 › GRC 總覽、風險總表、RACI 預設 | 🟡（FR-151） | GRC 總覽頁（熱圖＋部門計分卡） |
| 11 | AI 助理與 AI 儀表板 | 右下角 AI 小幫手回答操作與合規知識（ISO 27001、CMMC…）；AI 儀表板用一句話生成圖表；全部經 AI 閘道擋注入與不當請求、管額度 | 全站浮動視窗；AI 分析 › AI 儀表板；系統設定 › AI 服務、AI 額度 | ✅ | AI 儀表板生成結果 |
| 12 | 企業級管理與落地部署 | 多租戶與部門樹、存取管理（誰 × 角色 × 範圍 × 時效）、LDAP、MFA、安全政策、操作日誌、Log 轉發到 SIEM、檔案儲存後端（本機／SeaweedFS／Agent）、授權管理；可整包裝在客戶機房（Docker 安裝包），內建防竄改與錯誤追蹤 | 組織與租戶、系統管理、系統設定、授權 | ✅ | 存取管理（角色明細樹） |
| 功能 | 一句話 | 狀態 |
|---|---|---|
| 問卷 | 問卷設計器（題型、權重、顯示條件），綁在任務上讓受稽方填答 | ✅ |
| 公告與意見回饋 | 站內公告；使用者回報問題，可同步到 GitLab／GitHub | ✅ |
| 雲端整合 | 連接 Google Drive，從雲端資料夾抓證據 | ✅ |
| 通知 | Email、Telegram、Discord；條件通知（SBOM 新增高風險弱點、支援期到期） | ✅ |
| 資訊系統與設備盤點 | 稽核範圍的系統主檔、設備清冊（含產品版本與支援期） | ✅ |
系統有亮／暗兩套主題（layout.js 的 colorScheme），每張截兩次。
| # | 頁面 | 路由 | 對應大功能 | 用途 |
|---|---|---|---|---|
| 1 | 專案總覽 | /project/...overview |
2 | 首頁主視覺 |
| 2 | 合規資源庫詳細 | /module-frame/... |
1 | 功能 1 |
| 3 | 專案規劃頁（系統安全計畫現況） | 專案規劃 | 3 | 功能 3 |
| 4 | 待辦任務清單 | /project/task-manage |
4 | 功能 4 |
| 5 | 任務抽屜（證據＋關卡） | 待辦任務 › 點一筆 | 4 | 功能 4 |
| 6 | AI 證據分類「確認分類」 | 自動分類批次 | 5 | 功能 5、AI 賣點 |
| 7 | 檢測工具執行紀錄＋報告 | 任務抽屜 | 6 | 功能 6 |
| 8 | 第三方元件風險結果 | /source-scan |
7 | 功能 7 |
| 9 | 稽核判定頁 | /project/audit-manage |
8 | 功能 8 |
| 10 | 改善計畫 | /project/poam-manage |
8 | 功能 8 |
| 11 | 結案報告 | /project-summary-report |
9 | 功能 9 |
| 12 | GRC 總覽 | /governance/overview |
10 | 功能 10、主管賣點 |
| 13 | 風險總表 | /governance/risks |
10 | 功能 10 |
| 14 | AI 儀表板 | /dashboard/ai-dashboard |
11 | 功能 11 |
| 15 | AI 小幫手對話 | 任一頁右下 | 11 | 功能 11 |
| 16 | 存取管理（角色明細） | /access/roles |
12 | 功能 12 |
截圖前要準備（第二階段才做，待決策者看過本盤點後下令）：
| # | 落差 | 影響 | 建議 |
|---|---|---|---|
| 1 | ISO 27001 尚未內建（oscal.frameworks 現有 CMMC、CRA；解析器代號 ISO_27002 是保留位） |
決策者已定：做成內建框架。指南與產品頁照「內建」寫、標 🔵 | 另開 FR 做 ISO 27001:2022 內建框架（記憶 project_iso27001_import_design 有設計結論，需先對到現行專案架構），官網上線前要完成 |
| 2 | SEMI E187 沒有內建框架 | 解決方案頁 /solutions/semi-e187 會撐不起來 |
已定：只留指南，不做解決方案頁 |
| 3 | 大量功能在 feature/FR-139 未進版（FR-134～151） |
產品頁 🟡 標記佔一半 | 官網上線時間對齊下一次進版 |
| 4 | CRA 自評要求「公司網站產品安全資訊頁」（FR-138 缺失 #35、#36、#42） | 法規義務，不是行銷需求 | 官網第一版必做 /trust/security |
| 類別 | 建議 |
|---|---|
| ✅ 已上線 | 全部可講 |
| 🟡 未進版 | 官網上線時若已進版就講；沒進版就拿掉或標「即將推出」——決策者裁 |
| 內部用語 | 對外不用 AO、AP、AR、POA&M、OSCAL、living SSP、SSP 這些代號；改用「評估目標」「稽核計畫」「稽核結果」「改善計畫」「國際開放格式」 |
| 技術細節 | Nuitka、Ed25519、mTLS、RLS 不上產品頁；資安頁可以用白話講「程式碼編譯保護」「授權簽章」「連線加密」「租戶資料隔離」 |
| 檢測工具品牌 | 可列名稱（都是開源或客戶自備），但要註明「Nessus、SonarQube 需客戶自備授權」「Nmap 不隨附」 |