資源庫 › 框架對照 › 點一顆對應
點一顆對應後：置中對話框，七塊內容
現況為什麼看不懂
- 「主軸／對到」只是把資料庫兩端欄位倒出來，沒說哪個是你剛點的、另一個框架是誰。
- 「關係：部分重疊」是集合論術語，顧問看不懂它對自己的意義。
- 「信心：未給」對官方對照永遠如此，是雜訊不是資訊。
- 兩條提示列只說「間接、不能改」，沒有把真正有價值的東西放上來：兩邊條文全文、AO 清單、怎麼對過來的、誰說的。
重設計：對話框由上到下回答四件事
- ① 這兩條在講什麼：兩端並排，各自顯示框架、代號、標題，可展開條文全文與 AO 清單（AO 層對應時命中的那條亮起）。
- ② 狀態：通用／部分可用，加一句補充（決策者定）。
- ③ 這個對應是誰說的、怎麼來的：來源一行（NIST OLIR／DoD／OSA／AI／顧問）＋轉乘路徑；AI 的附理由，顧問的附備註。
- ④ 我能做什麼：改成直接對應、標不相關、確認 AI 建議、恢復；信心度只在 AI 與顧問列顯示。
容器：置中對話框（決策者 2026-10-25 定案，捨棄抽屜）
點膠囊 → 彈出置中對話框（寬約 60rem，`Dialog modal`）→ 看完或改完關掉回矩陣。兩端條文與評估目標並排不用捲。
狀態只有兩種：通用／部分可用（決策者定）
- 通用（綠點）：這兩條是同一件事，舊證據可直接沿用。底下資料值
equivalent-to，以及superset-of／subset-of的「寬往窄」方向。 - 部分可用（橘點）：兩條有關但不完全一樣，可先沿用、本條另需補件。底下
intersects-with、涵蓋的「窄往寬」方向、以及官方未給強度的全部。 - 不可用不是顯示狀態：矩陣那格不會出現、沒東西可點；只在對話框當動作名「標為不可用」（存
not-related-to）。 - 術語（等價／部分重疊／涵蓋／不相關）只留在資料庫、Excel 與 OSCAL 匯出；畫面不出現。
對話框內容：三個狀態（同一套七塊，差在來源與動作）
A · 官方對照，經 800-171／800-53 三跳（你截圖那條）
控制項對應 ✕
ISO/IEC 27001:2022 · 你點的這列
A.7.1
實體安全邊界
條文與評估目標
Security perimeters shall be defined and used to protect areas that contain information and other associated assets.
- [a] security perimeters are defined for areas containing information and associated assets
- [b] the perimeters are physically sound and without gaps where unauthorized access could occur
部分可用可先沿用這些證據，本條另需補件
CMMC 2.13 Level 1
PE.L1-b.1.ix
管理訪客與實體存取
條文與評估目標
Escort visitors and monitor visitor activity; maintain audit logs of physical access; and control and manage physical access devices.
- [a] visitors are escorted
- [b] visitor activity is monitored
- [c] audit logs of physical access are maintained
- [d] physical access devices are identified
- [e] controlled
- [f] managed
來源
官方 三段都是 NIST／DoD 公布的對照，中間經兩個參考框架轉接。官方不給關係強度與信心度，系統一律先標「部分可用」，由顧問確認。
怎麼對過來的（3 跳）點代號可看條文
- 1A.7.1ISO 27001:2022
- ↓PE-3 Physical Access ControlNIST 800-53 R5 · OLIR #155
- ↓3.10.3 Escort visitors…NIST 800-171 r2 · 附錄 D
- ↓PE.L1-b.1.ixCMMC L1 · DoD 模型（編號恆等）
改了只在 ISO ↔ CMMC L1 之間新增一條顧問對應，不動 NIST 的中繼對照，其他框架不受影響。
B · AI 建議，評估目標層，待顧問確認
評估目標對應 ✕
CMMC 2.13 Level 2 · 你點的這列
CM.L2-3.4.1 [a]
組態管理 · 評估目標 1／6
這條評估目標
[a] a baseline configuration is established
部分可用可先沿用，本條另需補件（AI 判 0.92，理由見下）
ISO/IEC 27001:2022
A.8.9 [c]
組態管理 · 評估目標 3／4
這條評估目標
[c] configuration baselines are defined and maintained for hardware, software, services and networks
來源
AI 建議 信心 0.92 · 2026-10-24 由系統比對兩邊評估目標文字產生，尚未經顧問確認。
AI 理由：皆要求建立組態基準，但 ISO 目標強調安全性與多類資產。
AI 理由：皆要求建立組態基準，但 ISO 目標強調安全性與多類資產。
怎麼對過來的（直接）
- 1CM.L2-3.4.1 [a]CMMC L2
- ↓A.8.9 [c]ISO 27001:2022 · AI 建議
確認後變成顧問對應；只有「通用」的評估目標對應，證據沿用預覽才會預設勾選。
C · 顧問已覆寫官方對照
控制項對應 ✕
ISO/IEC 27001:2022 · 你點的這列
A.5.15
存取控制
條文與評估目標
Rules to control physical and logical access to information and other associated assets shall be established and implemented based on business and information security requirements.
通用同一件事，舊證據可直接沿用
CMMC 2.13 Level 2
AC.L2-3.1.1
授權存取控制
條文與評估目標
Limit system access to authorized users, processes acting on behalf of authorized users, and devices (including other systems).
來源
顧問確認 信心 0.90 · 王顧問 · 2026-10-25 14:02
備註：客戶兩邊都以同一份存取控制政策與帳號清冊舉證，視為等價。
原為 官方 部分可用（NIST OLIR，經 800-53 AC-2／AC-3 兩跳）
備註：客戶兩邊都以同一份存取控制政策與帳號清冊舉證，視為等價。
原為 官方 部分可用（NIST OLIR，經 800-53 AC-2／AC-3 兩跳）
怎麼對過來的（直接，顧問建）
- 1A.5.15ISO 27001:2022
- ↓AC.L2-3.1.1CMMC L2 · 顧問對應
變更紀錄
2026-10-25 14:02
王顧問部分可用 → 通用 顧問確認
王顧問部分可用 → 通用 顧問確認
2026-10-24 17:42
系統匯入部分可用 官方 · NIST OLIR 2023-10-12
系統匯入部分可用 官方 · NIST OLIR 2023-10-12
七塊內容各為什麼要有
| 區塊 | 內容 | 為什麼顧問需要 |
|---|---|---|
| 標題 | 控制項對應／評估目標對應 | 知道在看哪一層 |
| 兩端並排 | 左：你點的那列；右：對到的。各顯示框架、代號、標題，可展開條文全文與評估目標清單 | 要判斷「是不是同一件事」沒有條文判不了；舊面板最大的洞 |
| 狀態 | 通用／部分可用＋一句補充 | 直接講結果 |
| 來源 | 官方寫文件名（NIST OLIR #155／800-171 附錄 D／DoD CMMC 模型）；第三方寫機構與檔名附連結；AI 寫日期與理由；顧問寫人名、時間、備註。信心度只在 AI 與顧問列顯示 | 「這是誰說的」；報告引用要指得出處 |
| 路徑 | 每跳一列：代號、框架、該跳來源。直連只有一跳 | 轉乘過程只在這裡出現，矩陣上不標「間接」 |
| 動作 | 確認這條對應／改為通用（或部分可用）／標為不可用；被顧問改過的多「撤銷，回到官方」 | 對話框是編輯入口 |
| 變更紀錄 | 誰、何時、從什麼改成什麼 | 追責與回溯 |
規則（寫進 design，runner 照做）
- 兩端一律「你點的這列」在左、對到的框架在右；AO 層對應時兩端都顯示到評估目標，並標「評估目標 N／M」。
- 條文全文與 AO 清單預設收合（AO 層對應預設展開那一條）；文字來自 catalog 的 statement 與 assessment-objective part，不另存。
- 容器是 PrimeVue `Dialog modal`，寬約 60rem；點膠囊開、關掉回矩陣；不再用 Sidebar。
- 狀態只有「通用」「部分可用」兩種顯示值，由 relationship 與方向換算（規則見上）；「不可用」只當動作名。術語不上畫面。
- 信心分數放在「來源」那行、跟來源一起看：第三方對照顯示（OSA 用 coverage 換算、SunSquare 一律 0.6）、AI 建議顯示並附理由、顧問對應顯示（覆寫時可填）；官方對照不顯示——NIST／DoD 不給分數、資料庫是 NULL，不要顯示成「—（未給）」。
- 來源一行要能回答「誰說的」：官方寫出文件名（NIST OLIR #155／800-171 附錄 D／DoD CMMC 模型）；第三方寫機構與檔名（OSA cra.json、SunSquare 表 2）並附連結；AI 寫日期與理由；顧問寫人名、時間、備註。
- 轉乘路徑每跳一列：代號＋該框架名＋該跳的來源；中繼框架（800-53、800-171、62443）在這裡可以出現，因為這是解釋「怎麼來的」，不是矩陣欄。
- 不出現「間接」字樣、不出現「無法修改」。每顆都能改：改＝在左右兩端之間建一條顧問對應（9a 的直連端點），中繼對照不動。
- 有被覆寫的，來源段下方小字寫「原為 … 」；變更紀錄沿 overrides 鏈往回列。