FR-153 ISO 27001:2022 合規框架

把 ISO/IEC 27001:2022 附錄 A 做成系統內建的合規框架，和 CMMC、CRA 一樣可以建資源庫、啟動專案。結構是「控制項群組 → 控制項 → 評估目標（AO）」：

繁體中文與英文都有，畫面依使用者語言顯示。

• 控制項主資料：從 ISO/IEC 27002:2022 官方 PDF 解析，產出 docs/reference/ISO27001-2022/iso27002-2022-controls.json。解析器在 scripts/parse_iso27002_pdf.py，需要 poppler 的 pdftotext。
• 控制措施句：取 27002 的 Control 段，把 should 改成 shall，也就是 27001 附錄 A 的寫法。
• AO 與建議證據：依 Control 與 Purpose 自寫，不放 27002 的 Guidance 全文。ISO 文本受著作權保護，產品內只放控制項層最小必要的文字。
• 繁中名稱：沿用 docs/reference/ISO27001-2022/01-ISO27002-2022-控制項清單.md 的實務常用譯名，不是 CNS 官方逐字版。

1. 改 scripts/iso27001/content_a5.py～content_a8b.py。
2. 跑 python scripts/gen_iso27001_seed.py，重產套件 seed 018-iso-27001-2022-catalog-seed.sql。
3. 018 一旦隨套件出貨就不再重產。之後要改既有 AO 要開新支號，用冪等 UPDATE。
4. 公版 catalog 改了只影響之後新建的資源庫。已建的資源庫是整份複製，不會跟著變。

• 27001 本文第 4～10 章（管理系統要求）不在框架內。框架定位是「可被稽核的控制項」，附錄 A 就是這份清單，與 CMMC、CRA 同形。第 4～10 章是 ISMS 運作要求，驗證稽核會審，但系統本身已有對應的落點（風險、內稽、管理審查以專案與文件管理承接）。等有客戶要用系統準備 ISO 驗證時，再加第五群補上。
• SoA（適用性聲明）沿用既有機制：規劃頁每條控制項的適用性判定與理由。ISO 專屬的風險評鑑、資產與 SoA 卡關設計見記憶 project_iso27001_import_design，屬另一個需求。
• 建庫預設內容未做：CRA 建庫時會帶表單設定、文件範本與建議風險；ISO 目前只帶系統預設稽核流程範本。

• 框架與參考 PDF 隨 jedi-oscal-v2 2.7.0 出貨（seed 018、019）。主專案已 pin 2.7.0。
• ISO PDF 受著作權保護，決策者裁示先隨包出貨，散布授權待確認。撤下方式：開新支號清空版本的 file_uid，並從套件 assets 與 storage-seed.map 移除檔案。
• 018、019 是套件 seed，走 flatten 攤平，不必重產出貨基線。STG／POC 依上版流程用 init image 的 migrate 模式套。
• 收尾總結見 handoff/2026-10-21-FR-153-SUMMARY.md。

沿革見 git log。

以下全部由 build 掃資料夾產生，新增檔案重 build 即自動出現。標題連結指向渲染後的 HTML，md 連向源檔。

其他文件

交接與收口時間軸（handoff/，1 份）

由新到舊。每份是某一棒次交接當下的完整現況快照，看某個時間點「當時知道什麼」請從這裡進。

相關需求：

• FR-135 — cra-compliance-framework
• FR-152 — product-website