---
title: 05 解決方案頁文案（中文）
---

# 05 解決方案頁文案（中文）

> 對應頁面：`/solutions/cmmc`、`/solutions/iso-27001`、`/solutions/cra`、`/solutions/consultants`、`/solutions/enterprise`
> 文案口吻（2026-10-22 決策者定調，全站適用）：像專業稽核人員在說話，短句、有畫面、不堆形容詞；主動說「不做什麼」；工具名、框架版本、數字寫具體。網站上線的文案以 `guidant-ai-website/src/i18n/*.json` 為準，本檔是來源稿。
> 英文版：[05-solutions-copy.en.md](05-solutions-copy.en.md)
> 依框架的頁同一套結構：主視覺 → 這個框架要你做什麼 → Guidant AI 怎麼對應（表）→ 流程 → 常見問題 → 行動呼籲。依角色的頁：主視覺 → 你的一天 → 三個場景 → 行動呼籲。
> `🟡` 已完成未進版、`🔵` 開發中。

---

## 一、CMMC `/solutions/cmmc`

### 主視覺

**主標**
> 要進美國國防供應鏈，先把 110 條控制項管起來

**副標**
> 內建 CMMC 2.0。系統安全計畫、證據、自評、改善計畫，到 C3PAO 稽核前的準備，都在同一個專案裡。

### 這個框架要你做什麼

1. **寫系統安全計畫**：110 條控制項（Level 2）每一條「現在怎麼做」都要寫清楚，這是稽核員第一份要看的文件。
2. **拿得出證據**：每條控制項對應的評估目標（AO）都要有佐證：政策、設定截圖、紀錄。
3. **缺失要有改善計畫（POA&M）**：沒做到的要列出來、排時程，並在允許期限內關閉。

> 詳細說明：〈什麼是 CMMC〉

### Guidant AI 怎麼對應

| CMMC 要求 | Guidant AI 功能 |
|---|---|
| 110 條控制項、320 個評估目標 | 內建 CMMC 2.0 Level 2 框架，控制項樹附每條 AO 與建議證據 |
|系統安全計畫| 系統安全計畫逐條記錄，可匯出 Word |
| 證據 | 任務綁 AO，證據直接上傳；AI 批次分類；檢測 Agent 自動回收技術證據 |
| 自評判定 | 逐條評估目標判定符合或不符合，留下判定紀錄 |
| POA&M | 不符合自動進改善計畫，到期提醒，關閉要有證據 |
| 年度延續 | 新一輪承接上一輪，追查時只改變動的部分 |

### 流程

評估目標盤點 → 寫系統安全計畫→ 蒐集證據 → 內部自評 → 改善 → C3PAO 稽核準備 → 結案報告

### 常見問題

**我們是台灣廠商，CMMC 跟我們有關嗎？**
只要你的客戶在美國國防供應鏈裡，合約會要求你達到對應等級。Level 1 自評、Level 2 多數要第三方稽核。

**Guidant AI 會幫我們拿到證書嗎？**
不會。Guidant AI 不是 C3PAO，不發證；我們讓你在稽核員來之前把系統安全計畫、證據、POA&M 準備好。

**可以同時管 CMMC 和 ISO 27001 嗎？**
可以。兩個框架各開專案；控制內容重疊的部分，證據可以重複使用。

### 行動呼籲

**用你們的系統安全計畫現況來看看差多少。**
【預約產品展示】

---

## 二、ISO 27001 `/solutions/iso-27001`

### 主視覺

**主標**
> 93 項控制措施的證據，每一年都要拿得出來

**副標**
> 內建 ISO/IEC 27001:2022 🔵。從適用性聲明、證據蒐集、內部稽核到每年追查，去年的紀錄接著用。

### 這個框架要你做什麼

1. **決定哪些控制適用**：附錄 A 93 項，逐項寫採用或排除的理由（適用性聲明，SoA）。
2. **讓控制「持續運作」並留下紀錄**：驗證不是看你有沒有政策，是看政策有沒有在跑。
3. **每年內部稽核與管理審查**：驗證後每年追查，三年重新驗證。

> 詳細說明：〈什麼是 ISO 27001〉

### Guidant AI 怎麼對應

| ISO 27001 要求 | Guidant AI 功能 |
|---|---|
| 附錄 A 93 項控制 | 內建 ISO/IEC 27001:2022 框架 🔵，四大主題、每項附評估目標 |
| 適用性聲明（SoA） | 系統安全計畫每項記錄適用／不適用與理由，可匯出 |
| 控制運作證據 | 任務分派到負責人，週期任務每季自動重開 🟡，證據掛任務 |
| A.8 技術控制 | 檢測 Agent 執行弱點掃描、組態基準檢查，報告自動成證據 |
| 內部稽核 | 稽核計畫、判定、不符合事項、矯正措施，同一平台 |
| 管理審查 | 結案報告 🟡 與 GRC 總覽 🟡 供管理審查會議使用 |
| 每年追查 | 新一輪承接上一輪，只補變動的證據 |

### 流程

範圍與風險評鑑 → 適用性聲明 → 控制實作與證據 → 內部稽核 → 矯正 → 驗證稽核 → 年度追查

### 常見問題

**我們已經有顧問了，還需要平台嗎？**
顧問負責制度設計與輔導，平台負責讓制度跑起來、證據留得住。多數顧問用 Guidant AI 同時帶多家客戶。

**風險評鑑在平台裡做嗎？**
風險總表與熱圖在 GRC 模組 🟡；ISO 專用的資產風險評鑑隨內建框架一起推出 🔵。

**驗證機構會接受平台匯出的文件嗎？**
會。SoA、系統安全計畫、內部稽核報告都匯出成 Word／Excel／PDF，格式與一般顧問交付物相同。

### 行動呼籲

**把你的 SoA 搬進來看看。**
【預約產品展示】

---

## 三、歐盟 CRA `/solutions/cra`

### 主視覺

**主標**
> 2027 年 12 月起，賣進歐盟的數位產品要符合 CRA

**副標**
> 內建歐盟網路韌性法框架 🟡。附件一安全要求、技術文件、漏洞處理流程、SBOM，一次備齊。我們自己的產品也用它做自評。

### 這個框架要你做什麼

1. **產品符合附件一安全要求**：安全預設、更新機制、漏洞處理、SBOM。
2. **準備技術文件與符合性聲明**：附件七技術文件、附件五符合性聲明。
3. **建立漏洞處理流程**：通報窗口、安全公告、支援期至少五年；2026 年 9 月 11 日起，被利用的漏洞要在 24 小時內通報。

> 詳細說明：〈什麼是 CRA〉

### Guidant AI 怎麼對應

| CRA 要求 | Guidant AI 功能 |
|---|---|
| 附件一第一部分（產品安全要求） | 內建 CRA 框架 🟡，每條要求拆成評估目標與建議證據，含繁中翻譯 |
| 附件一第二部分（漏洞處理） | 漏洞通報政策、安全公告、支援期聲明等程序書範本 |
| SBOM | 第三方元件風險模組 🟡 產出 CycloneDX／SPDX，比對已知弱點 |
| 附件七技術文件 | 系統安全計畫匯出 Word，章節對應附件七 |
| 符合性聲明 | 從專案資料產生附件五草稿 🟡 |
| 持續維護 | 每版發布前重跑 SBOM 弱點比對，條件通知高風險元件 |

### 流程

產品分類（一般／重要／關鍵）→ 附件一要求盤點 → 技術文件 → 漏洞處理流程 → SBOM → 符合性聲明 → 每版維護

### 常見問題

**我們是硬體廠，韌體算嗎？**
算。CRA 涵蓋所有「含數位元素的產品」，包括韌體與嵌入式軟體。

**台灣公司賣進歐盟要找歐盟代表嗎？**
CRA 本身不強制指定授權代表；通報對象依進口商、經銷商順序決定。細節建議與法律顧問確認。

**Guidant AI 自己符合 CRA 嗎？**
我們用 Guidant AI 的 CRA 框架對自家產品做自評，漏洞通報政策、支援期聲明、SBOM 都公開在信任中心。【待確認是否對外講】

### 行動呼籲

**先用附件一盤點你的產品差多少。**
【預約產品展示】

---

## 四、合規顧問與稽核事務所 `/solutions/consultants`

### 主視覺

**主標**
> 一個人帶十家客戶，每一家都交代得清楚

**副標**
> 你的方法整理成資源庫，客戶專案直接套用。訪談表匯入就是系統安全計畫，報告從資料產生。

### 你的一天

早上：打開儀表板，十個客戶專案的進度、逾期任務一眼看完。
上午：客戶 A 訪談，訪談表填完直接匯入系統安全計畫🟡，不用回辦公室重打。
下午：客戶 B 的證據昨天上傳了兩百個檔案，AI 已經分好，花二十分鐘確認。
傍晚：客戶 C 要結案，報告自動產生 🟡，只寫總結與建議那一段。

### 三個場景

#### 資源庫：做一次，用十次

控制項選集、系統安全計畫範本、稽核流程、表單設定，整理成你事務所的資源庫。新客戶開專案時選資源庫，三分鐘建好。框架更新時改資源庫，進行中的專案不受影響。

#### 多客戶、多租戶

每個客戶一個租戶，資料完全隔離；你用同一個帳號切換。客戶的人只看得到自己的專案。

#### 交付物自動產生

系統安全計畫（Word）、稽核計畫與結果（Excel）、改善計畫、結案報告（Word／PDF）🟡，都從系統資料產生，格式統一、不用排版。

### 常見問題

**平台是裝在我們事務所，還是客戶那邊？**
都可以。多客戶管理通常裝在事務所；有資料不出門要求的客戶，裝在客戶機房，你用受限帳號遠端登入。

**我的資源庫會被其他顧問看到嗎？**
不會。資源庫屬於你的租戶，除非你分享。

### 行動呼籲

**帶一個真實客戶案例來，我們現場建給你看。**
【預約產品展示】

---

## 五、企業資安與稽核團隊 `/solutions/enterprise`

### 主視覺

**主標**
> 多個框架、多個年度、多個部門，一個平台看全貌

**副標**
> 重疊的控制項與證據跨框架共用，每一輪延續上一輪。主管看得到責任與風險，資料不出機房。

### 你的一天

早上：GRC 總覽 🟡 看到資訊部有三個高風險未關閉，直接點進去看改善計畫。
上午：ISO 27001 追查稽核下個月來，去年的證據都在，只補這一年變動的。
下午：法務問 CRA 準備進度，打開 CRA 專案儀表板截圖給他。
傍晚：季度例行檢查任務自動開給各部門 🟡，到期前系統會提醒。

### 三個場景

#### 多框架共用控制

ISO 27001、CMMC、CRA 各開專案，重疊的控制內容證據可以共用；一份弱點掃描報告，三個專案都用得上。

#### 跨部門分工與責任

部門樹對應控制項，每條有負責人；審核關卡 🟡 執行人 → 主管 → 稽核；責任分工（RACI）🟡 進結案報告。

#### 資料留在機房

整包裝在你的 Linux 主機，接你的 LDAP、SIEM、通知系統。只有前端對外，證據檔在沙箱拆解，AI 呼叫一律經過閘道。

### 常見問題

**我們有五個事業群，要裝五套嗎？**
一套，五個租戶或五棵部門樹，依你要隔離到什麼程度。

**可以接我們現有的弱點掃描工具嗎？**
檢測 Agent 支援八種工具；其他工具的報告可手動上傳當證據。

### 行動呼籲

**請資安、稽核、IT 一起來看三十分鐘。**
【預約產品展示】