對應頁面：
/solutions/cmmc、/solutions/iso-27001、/solutions/cra、/solutions/consultants、/solutions/enterprise文案口吻（2026-10-22 決策者定調，全站適用）：像專業稽核人員在說話，短句、有畫面、不堆形容詞；主動說「不做什麼」；工具名、框架版本、數字寫具體。網站上線的文案以guidant-ai-website/src/i18n/*.json為準，本檔是來源稿。 英文版：05-solutions-copy.en.md 依框架的頁同一套結構：主視覺 → 這個框架要你做什麼 → Guidant AI 怎麼對應（表）→ 流程 → 常見問題 → 行動呼籲。依角色的頁：主視覺 → 你的一天 → 三個場景 → 行動呼籲。🟡已完成未進版、🔵開發中。
/solutions/cmmc主標
要進美國國防供應鏈，先把 110 條控制項管起來
副標
內建 CMMC 2.0。系統安全計畫、證據、自評、改善計畫，到 C3PAO 稽核前的準備，都在同一個專案裡。
詳細說明：〈什麼是 CMMC〉
| CMMC 要求 | Guidant AI 功能 |
|---|---|
| 110 條控制項、320 個評估目標 | 內建 CMMC 2.0 Level 2 框架，控制項樹附每條 AO 與建議證據 |
| 系統安全計畫 | 系統安全計畫逐條記錄，可匯出 Word |
| 證據 | 任務綁 AO，證據直接上傳；AI 批次分類；檢測 Agent 自動回收技術證據 |
| 自評判定 | 逐條評估目標判定符合或不符合，留下判定紀錄 |
| POA&M | 不符合自動進改善計畫，到期提醒，關閉要有證據 |
| 年度延續 | 新一輪承接上一輪，追查時只改變動的部分 |
評估目標盤點 → 寫系統安全計畫→ 蒐集證據 → 內部自評 → 改善 → C3PAO 稽核準備 → 結案報告
我們是台灣廠商，CMMC 跟我們有關嗎？ 只要你的客戶在美國國防供應鏈裡，合約會要求你達到對應等級。Level 1 自評、Level 2 多數要第三方稽核。
Guidant AI 會幫我們拿到證書嗎？ 不會。Guidant AI 不是 C3PAO，不發證；我們讓你在稽核員來之前把系統安全計畫、證據、POA&M 準備好。
可以同時管 CMMC 和 ISO 27001 嗎？ 可以。兩個框架各開專案；控制內容重疊的部分，證據可以重複使用。
用你們的系統安全計畫現況來看看差多少。 【預約產品展示】
/solutions/iso-27001主標
93 項控制措施的證據，每一年都要拿得出來
副標
內建 ISO/IEC 27001:2022 🔵。從適用性聲明、證據蒐集、內部稽核到每年追查，去年的紀錄接著用。
詳細說明：〈什麼是 ISO 27001〉
| ISO 27001 要求 | Guidant AI 功能 |
|---|---|
| 附錄 A 93 項控制 | 內建 ISO/IEC 27001:2022 框架 🔵，四大主題、每項附評估目標 |
| 適用性聲明（SoA） | 系統安全計畫每項記錄適用／不適用與理由，可匯出 |
| 控制運作證據 | 任務分派到負責人，週期任務每季自動重開 🟡，證據掛任務 |
| A.8 技術控制 | 檢測 Agent 執行弱點掃描、組態基準檢查，報告自動成證據 |
| 內部稽核 | 稽核計畫、判定、不符合事項、矯正措施，同一平台 |
| 管理審查 | 結案報告 🟡 與 GRC 總覽 🟡 供管理審查會議使用 |
| 每年追查 | 新一輪承接上一輪，只補變動的證據 |
範圍與風險評鑑 → 適用性聲明 → 控制實作與證據 → 內部稽核 → 矯正 → 驗證稽核 → 年度追查
我們已經有顧問了，還需要平台嗎？ 顧問負責制度設計與輔導，平台負責讓制度跑起來、證據留得住。多數顧問用 Guidant AI 同時帶多家客戶。
風險評鑑在平台裡做嗎？ 風險總表與熱圖在 GRC 模組 🟡；ISO 專用的資產風險評鑑隨內建框架一起推出 🔵。
驗證機構會接受平台匯出的文件嗎？ 會。SoA、系統安全計畫、內部稽核報告都匯出成 Word／Excel／PDF，格式與一般顧問交付物相同。
把你的 SoA 搬進來看看。 【預約產品展示】
/solutions/cra主標
2027 年 12 月起，賣進歐盟的數位產品要符合 CRA
副標
內建歐盟網路韌性法框架 🟡。附件一安全要求、技術文件、漏洞處理流程、SBOM，一次備齊。我們自己的產品也用它做自評。
詳細說明：〈什麼是 CRA〉
| CRA 要求 | Guidant AI 功能 |
|---|---|
| 附件一第一部分（產品安全要求） | 內建 CRA 框架 🟡，每條要求拆成評估目標與建議證據，含繁中翻譯 |
| 附件一第二部分（漏洞處理） | 漏洞通報政策、安全公告、支援期聲明等程序書範本 |
| SBOM | 第三方元件風險模組 🟡 產出 CycloneDX／SPDX，比對已知弱點 |
| 附件七技術文件 | 系統安全計畫匯出 Word，章節對應附件七 |
| 符合性聲明 | 從專案資料產生附件五草稿 🟡 |
| 持續維護 | 每版發布前重跑 SBOM 弱點比對，條件通知高風險元件 |
產品分類（一般／重要／關鍵）→ 附件一要求盤點 → 技術文件 → 漏洞處理流程 → SBOM → 符合性聲明 → 每版維護
我們是硬體廠，韌體算嗎？ 算。CRA 涵蓋所有「含數位元素的產品」，包括韌體與嵌入式軟體。
台灣公司賣進歐盟要找歐盟代表嗎？ CRA 本身不強制指定授權代表；通報對象依進口商、經銷商順序決定。細節建議與法律顧問確認。
Guidant AI 自己符合 CRA 嗎？ 我們用 Guidant AI 的 CRA 框架對自家產品做自評，漏洞通報政策、支援期聲明、SBOM 都公開在信任中心。【待確認是否對外講】
先用附件一盤點你的產品差多少。 【預約產品展示】
/solutions/consultants主標
一個人帶十家客戶，每一家都交代得清楚
副標
你的方法整理成資源庫，客戶專案直接套用。訪談表匯入就是系統安全計畫，報告從資料產生。
早上：打開儀表板，十個客戶專案的進度、逾期任務一眼看完。 上午：客戶 A 訪談，訪談表填完直接匯入系統安全計畫🟡，不用回辦公室重打。 下午：客戶 B 的證據昨天上傳了兩百個檔案，AI 已經分好，花二十分鐘確認。 傍晚：客戶 C 要結案，報告自動產生 🟡，只寫總結與建議那一段。
控制項選集、系統安全計畫範本、稽核流程、表單設定，整理成你事務所的資源庫。新客戶開專案時選資源庫，三分鐘建好。框架更新時改資源庫，進行中的專案不受影響。
每個客戶一個租戶，資料完全隔離；你用同一個帳號切換。客戶的人只看得到自己的專案。
系統安全計畫（Word）、稽核計畫與結果（Excel）、改善計畫、結案報告（Word／PDF）🟡，都從系統資料產生，格式統一、不用排版。
平台是裝在我們事務所，還是客戶那邊？ 都可以。多客戶管理通常裝在事務所；有資料不出門要求的客戶，裝在客戶機房，你用受限帳號遠端登入。
我的資源庫會被其他顧問看到嗎？ 不會。資源庫屬於你的租戶，除非你分享。
帶一個真實客戶案例來，我們現場建給你看。 【預約產品展示】
/solutions/enterprise主標
多個框架、多個年度、多個部門，一個平台看全貌
副標
重疊的控制項與證據跨框架共用，每一輪延續上一輪。主管看得到責任與風險，資料不出機房。
早上：GRC 總覽 🟡 看到資訊部有三個高風險未關閉，直接點進去看改善計畫。 上午：ISO 27001 追查稽核下個月來，去年的證據都在，只補這一年變動的。 下午：法務問 CRA 準備進度，打開 CRA 專案儀表板截圖給他。 傍晚：季度例行檢查任務自動開給各部門 🟡，到期前系統會提醒。
ISO 27001、CMMC、CRA 各開專案，重疊的控制內容證據可以共用；一份弱點掃描報告，三個專案都用得上。
部門樹對應控制項，每條有負責人；審核關卡 🟡 執行人 → 主管 → 稽核；責任分工（RACI）🟡 進結案報告。
整包裝在你的 Linux 主機，接你的 LDAP、SIEM、通知系統。只有前端對外，證據檔在沙箱拆解，AI 呼叫一律經過閘道。
我們有五個事業群，要裝五套嗎？ 一套，五個租戶或五棵部門樹，依你要隔離到什麼程度。
可以接我們現有的弱點掃描工具嗎？ 檢測 Agent 支援八種工具；其他工具的報告可手動上傳當證據。
請資安、稽核、IT 一起來看三十分鐘。 【預約產品展示】