專案 › Billows ISO 27001 導入 › 專案總覽 › 沿用其他專案的證據
沿用其他專案的證據：獨立頁、照「自動分類證據」的歸檔版面
現況為什麼被退
- 入口放在「專案規劃」工具列，但它跟「自動分類證據」一樣是收證據的動作，應該在專案總覽同一個下拉。
- 三步對話框第一步「選來源」只列專案名，沒有授權邊界，PM 無從判斷這個專案的範疇跟我這個像不像。
- 看不到的專案也被列進來：來源範圍是「同租戶」（D11），但專案可見性是組織單位＋參與者。DEV 的鼎盛 CMMC L2 專案屬另一組織單位，使用者專案列表只有 3 個，沿用來源卻列出它——跨組織單位資料外洩。另外來源查詢只排除
deleted_at，沒排除status='archived'。 - 幾百筆候選擠在一個對話框的勾選清單裡，沒有「這個檔要歸到我這邊哪一條」的視角，只能整列勾或不勾。
重設計
- 入口：專案總覽的收證據下拉（自動分類證據／沿用其他專案的證據）；規劃頁的按鈕與橫幅拿掉，橫幅提醒改成總覽頁一行提示。
- 步驟一（選來源）：卡片列每個候選專案的框架、可沿用的評估目標數、證據檔數、SSP 授權邊界描述（展開看全文）；封存／已刪除不列。
- 步驟二（歸檔）：獨立頁三欄可拖（照自動分類證據的 Splitter）：左＝來源框架控制項／評估目標導航；中＝該節點的證據檔；右＝這個檔要歸到本專案哪些控制項／評估目標，預設照對照表放，可加可拿掉，可整批「全部套用預設」。
- 右欄「已放置／候選」兩區與「加入評估項目」挑選器直接複用自動分類的 PlacementTable 與 AOPickerDialog，不另做一套。
入口：專案總覽的「證據作業」下拉（決策者定名）
專案總覽工具列現在是「自動分類證據」與「證據雲端資料夾」兩顆（
ProjectAuditorOverview.vue:1104／1113），改成一顆「證據作業」下拉收三項。「沿用其他專案的證據」點進去是沿用紀錄列表（比照自動分類的批次列表），紀錄、復原、新增都在同一條線上。各項顯示條件維持原本（沒接 Drive 的租戶看不到雲端那項）；輪次已結束整顆不顯示。規劃頁的 EvidenceReuseEntryButton 與 EvidenceReuseBanner 移除；「有 N 個評估目標的證據可沿用」改成這顆按鈕旁一行小字。首頁：來源專案（一個來源專案一列，隨時進去調整；每次調整留紀錄，點 ⓘ 看）
偵測到 GuidantAI CRA 導入 還有 5 個評估目標的新證據可沿用 → 去調整
「調整」進三欄頁（下方步驟二），改勾就是改結果——多勾一條多寫一筆、取消勾就拿掉那筆，按「套用變更」一次存。「全部取消」把這個來源帶進來的沿用全部拿掉；已被稽核判定引用的那幾筆擋下來不刪，其他照刪，完成後列出沒刪成的幾筆與原因。沒有批次、沒有「復原某一次」；但每次調整與全部取消都留一筆紀錄（誰、何時、＋幾份／－幾份、取消時擋下幾筆），點「最後調整」旁的 ⓘ 開彈窗看。
空狀態（從未沿用）：列表區一句「還沒有來源專案」＋「＋ 選擇來源專案」可按；上方提醒「偵測到 GuidantAI CRA 導入 有 23 個評估目標的證據可沿用」。「選擇來源專案」只在還有「尚未選過的可見專案」時可按；已設定過的專案不會出現在步驟一，要改就從列表「調整」。沒有任何可沿用來源時提醒不出現，按「選擇來源專案」會看到原因。
選擇來源專案 · 步驟一：選專案（只列還沒選過的；看得到範疇再選）
1 選專案›2 挑證據並歸檔
GuidantAI CRA 導入
EU CRA 2024/2847 · 進行中 · 第 1 輪
23 個評估目標有對應41 份證據檔上次沿用：未曾
授權邊界Guidant AI SaaS 平台，含 API、前端、Agent 三個部署單元；範圍涵蓋產品本體的開發、建置與交付流程，不含客戶端部署環境。資料流：原始碼與建置產物存放於內部 GitLab 與 Harbor，交付物以簽章安裝包提供客戶。展開全文
鈞拓 JT-EP700 SEMI E187 送驗查核
SEMI E187 1.0 · 進行中 · 第 1 輪
0 個評估目標有對應12 份證據檔
為什麼不能選SEMI E187 ↔ ISO 27001 目前沒有對照到評估目標層，無法配對；可到「框架對照」補對照後再來。
只列當前使用者看得到的專案（與專案列表同一套可見性守門：參與者／組織單位），再排除封存、已刪除、本專案自己。DEV 實例：鼎盛精密 CMMC L2 與你同租戶但屬另一組織單位（176），專案列表看不到它，沿用來源也不該列——第一版「同租戶」範圍把它列進來了，是跨組織單位的資料外洩，要改。多選時步驟二左欄依來源專案分組。
步驟二／調整：挑證據並歸檔（三欄可拖；新增與調整是同一頁）
1 選專案›2 挑證據並歸檔
來源：GuidantAI CRA 導入 → 本專案：Billows ISO 27001 導入
有對應的有檔案的未處理的全部
來源框架有對應的 9／48 條
附件一 第一部分 產品安全要求
CRA.I.1以風險為基礎的安全設計3 檔
CRA.I.2.a無已知可利用弱點5 檔
[a] a vulnerability assessment of the released version…2 檔
[b] known exploitable vulnerabilities are fixed before release2 檔
[c] penetration test findings are tracked to closure1 檔
CRA.I.2.b預設安全組態與重置2 檔
CRA.I.2.c安全更新與自動更新4 檔
CRA.I.2.d防止未授權存取6 檔
附件一 第二部分 弱點處理要求
CRA.II.1弱點識別與文件化（SBOM）3 檔
CRA.II.2無延遲處理與修補弱點2 檔
CRA.I.2.a [a] 的證據2 份 · 來源判定：符合
| 檔案 | 上傳 | 歸檔到本專案 |
|---|---|---|
PDF弱點掃描報告_v1.21.0.pdf | 2026-10-18 · blsit | 2 條（預設） |
JSONSBOM_guidant-api_1.21.0.json | 2026-10-18 · blsit | 已歸 2 條 |
點一個檔案，右邊決定它在本專案要放到哪些控制項／評估目標。「預設」＝照對照表配的，還沒套用。
PDF
弱點掃描報告_v1.21.0.pdf
✓ 歸到本專案 2 條
✓A.8.8 [a]取得技術弱點資訊依對照表 · 通用 · AI 建議 0.91通用
✓A.8.8 [b]評估組織對弱點的暴露程度依對照表 · 通用 · AI 建議 0.88通用
◇ 其他可能適用 2 條，未勾
A.8.29 [a]開發生命週期中定義並實施安全測試依對照表 · 部分可用 · 第三方（OSA，經 800-53）部分可用
A.8.25 [b]安全開發規則適用於所有開發依對照表 · 部分可用 · 第三方（OSA，經 800-53）部分可用
「＋ 加入評估項目」開本專案全部控制項／評估目標的挑選器（複用自動分類的 AOPickerDialog），可勾任何一條，不限對照表。
本次：18 份檔案 → 23 條評估目標 · 另有 169 個本專案評估目標沒有任何來源可對應（看清單）
套用後：回到首頁，該來源那一列的數字更新、紀錄多一筆
已套用：來源 GuidantAI CRA 導入 目前沿用 18 份檔案到 23 條評估目標。169 個評估目標沒有來源可沿用，已列成差異清單（可下載 CSV）。每筆沿用在任務抽屜裡帶「沿用自 GuidantAI CRA 導入」標籤，稽核員仍在本專案判一次。（這一步沿用既有 step 3 文案）
規則（寫進 design，runner 照做）
- 入口：專案總覽一顆「證據作業」下拉，收「上傳檔案，AI 自動分類」「從雲端資料夾分類」「沿用其他專案的證據」三項；規劃頁的按鈕與橫幅移除。權限同自動分類（
PROJ.EVIDENCE_MANAGE）；輪次已結束整顆不顯示；雲端那項維持「沒接 Drive 不顯示」。 - 來源專案過濾（BE）：改為「當前使用者可見的專案」——沿用專案列表同一支可見性查詢（參與者／組織單位守門），不自訂同租戶規則；再加
deleted_at IS NULL、status <> 'archived'、不含本專案。D11「同租戶」改判；回傳加authorization_boundary_description（取 living SSP 的ssp_system_characteristics；畫面標籤只寫「授權邊界」，不出現 SSP 字樣；預設 3 行 line-clamp，點「展開全文」才全顯）、status、closed_at。沒有對照到評估目標層的專案照列但標「不能選」並說原因。 - 路由比照自動分類：
…/round/:roundUid/evidence-reuse＝沿用紀錄列表（首頁，含「新增沿用」與提醒）；…/evidence-reuse/new＝步驟一→二→三；…/evidence-reuse/:batchUid＝某批的唯讀三欄頁。不用對話框。三欄 PrimeVueSplitter，state-key存欄寬。 - 左欄＝與專案規劃頁同一套三層導航模式（群組→控制項→評估目標；`ProjectPlanningView.vue:417` 起那組：搜尋代號或標題、全部展開／全部收合、點節點載入右側），每節點顯示證據檔數；已全部處理的打勾。排序一律照目錄順序（群組 `sort_order` → 控制項 `sort_order` → 控制項 id；AO 照 `sort_order`），由 BE tree 端點排好，FE 不自己排、不按字串排——`sort_order` 是群組內序號，全表排會交錯（9b 修過的同一個根因）。篩選四段：有對應的（預設，決策者定）／有檔案的／未處理的／全部——「有對應的」＝對照表配到本專案的節點；有檔沒對應的切到「有檔案的」或「全部」仍可用「加入評估項目」手動歸檔，入口不會丟。
- 中欄：選中節點的證據檔（檔名、上傳人日期、來源判定），「歸檔到本專案」欄顯示預設條數／已歸條數。
- 右欄：複用自動分類的
PlacementTable（已放置／候選兩區）與AOPickerDialog；預設勾選＝對照表配到的評估目標層「通用」列；「部分可用」列在候選區不勾；「加入評估項目」可選本專案任何控制項／評估目標。 - 整批：「全部套用預設歸檔」把所有檔案照預設一次勾好，再讓 user 微調；「套用變更」按鈕顯示 ＋N／－M；送出前若總筆數異常大（單檔掛超過 N 條）警告一次。
- 每筆沿用寫入沿用既有
job_evidences形狀（同file_id、source='REUSED'、reused_from_evidence_id、mapping_entry_id）；人工加的評估目標mapping_entry_id為 null、description 標「人工歸檔」。取消勾選＝該筆軟刪。 - 沿用紀錄（首頁）：資料與 API 不照 CM-3072 的批次設計（
reuse_batch_uid、GET batches、POST batches/<uid>/undo、被引用擋 412）；每批要能「查看」（唯讀三欄）與「復原」。CM-3073 的「送出前爆量警告」接在步驟二底部列。 - 任務層單筆沿用（drawer）維持；AR 頁標籤維持。