---
title: FR-153 ISO 27001:2022 合規框架 — 收尾總結
h1: 收尾總結
lede: 附錄 A 做成內建框架、PDF 隨包、jedi-oscal-v2 2.7.0 已發版。
---

# FR-153 收尾總結（2026-10-21）

## 做了什麼、為什麼

系統原本沒有 ISO 27001 框架（FR-152 官網盤點發現）。決策者要「可以被稽核的控制項」，所以把 ISO/IEC 27001:2022 附錄 A 做成跟 CMMC、CRA 同形的內建框架：控制項群組 → 控制項 → 評估目標（AO）。

| 層 | 內容 | 數量 |
|---|---|---|
| 群組 | A.5 組織、A.6 人員、A.7 實體、A.8 技術 | 4 |
| 控制項 | `A.5.1`～`A.8.34`，中英名稱、控制措施句、27002 五類屬性 | 93 |
| AO | 每條 1～3 個，各附交付物與須呈現 | 192 |

版本頁左側可預覽 ISO/IEC 27002:2022 PDF。

## Commits

| Repo | Commit | 內容 |
|------|--------|------|
| BE | `85819f238` | PDF 解析器、AO 內容來源、seed 產生器、FR 文件 |
| BE | `84bf9e036` | 範圍定為附錄 A |
| BE | 本次收尾 commit | pin jedi-oscal-v2 2.7.0、SPEC、SUMMARY |
| jedi-python-package | `307cf670` | seed 018 框架目錄 |
| jedi-python-package | `34c32b67` | seed 019 參考 PDF、bump 2.7.0 |

jedi-oscal-v2 2.7.0 已推 Nexus。全部 repo 未 push。Notion 卡 [CM-2937](https://app.notion.com/p/FR-153-ISO-IEC-27001-2022-A-PDF-400346da4cd08172b77ff98e24a2e5f4)。

## 關鍵決定

- **走套件 seed，不走匯入解析器**：舊 ISO_27002 解析器只剩 enum 沒有實作；能力索引寫明框架目錄隨套件 seed 出貨。
- **只做附錄 A**：第 4～10 章是 ISMS 運作要求，不是可被稽核的控制項清單。等有客戶要用系統準備 ISO 驗證再加第五群。
- **AO 自寫、不放 27002 Guidance 原文**：控制措施句取 Control 段並 should→shall。
- **PDF 隨包出貨**：PDF 載明未經 ISO 許可不得重製散布；決策者裁示先放，散布授權待確認。

## 驗證

- 解析 93 條全中，每條五類屬性至少各一值。
- seed 018／019 在 DEV 套兩次計數不變：4 群／93 條／192 AO／285 段建議證據／570 段繁中。
- API 建資源庫解析 93 條；catalog-tree 中英正確；框架選單出現 `ISO_27001_2022`。
- 發版後 BE 重啟於 2.7.0，PDF 預覽回 200、1,752,777 bytes。
- 套件 tests 274 passed；BE 守衛測試 118 passed。

## 待辦

- **AO 內容尚未經顧問審**：見 [控制項與評估目標一覽](../control-list.md)。
- **ISO PDF 散布授權**：若需撤下，開新支號清空 `framework_versions.file_uid`，並從 assets 與 storage-seed.map 移除檔案。
- **建庫預設內容**（表單設定、文件範本）未做。
- **STG／POC** 依上版流程以 init image migrate 模式套；018／019 屬套件 seed，不需重產出貨基線。