FR-135 CRA 合規框架 — STATE（living，只描述此刻）

階段：FR-135 功能全部落地、等決策者驗卡與收口——第一期 12 卡、第二期 17 卡、第三期 2 卡（X1／S1）、兩張體驗卡（CM-2718／2719）、E2（CM-2708）全「修正待驗證」；CRA 繁中版框架已進 DEV（version 213）；範例專案 1404「Guidant AI CRA 自評」可看。FR-137 週期任務與條件通知已由另一 session 落 design（CM-2721 Done）並開五張實作卡 CM-2722～2726（Not started，可派）。下一棒＝新首腦：派 FR-137 五卡＋CRA 收口。 最後更新 2026-10-12 晚（第 5 棒收棒）。沿革見 FR-135-LOG.md 與 git log。

歐盟網路韌性法 Regulation (EU) 2024/2847，對賣進歐盟的連網硬體與軟體的強制資安規範。決策者要把它做成系統內可由顧問啟動的合規框架（像 CMMC），因為要有歐洲客戶了。CRA 是完全獨立的新框架，不是 ISO 子集；決策者裁 catalog 不嵌任何對他框架的對照，跨框架對應另案。

流程改版（2026-10-12 決策者裁，已寫進 big-feature-workflow skill cbdd8402a）：討論稿必附可點 HTML 雛形；卡排序以「何時看得到畫面」為準。開發規範新增（29230d649）：下拉選項一律進 system_menus 不寫死。

GRC 待辦（不在 FR-135）：組織層風險登錄與改善計畫合併、表單編輯器、依元件建議威脅、風險→自動推導適用要求、跨框架對應、自評路線、框架版本可改 AO 與建議證據、版本繼承。

DEV 測資待清：資源庫 454／455／456／457（F4、C3 驗收庫與對照組）、專案 1399 的 F3 測試值、ssp_risks 一筆「API test 風險 A」、資源庫 453 的測試表單設定。決策者驗收建專案請用 456（最新，含表單設定＋角色＋範本）。

決策者功課：第一、二期卡瀏覽器驗；顧問日後給 AO 拆法確認、Annex II 預設文字、五份範本內容（AI 版先頂）。

1. 框架是資料不是程式；主流程無框架分支；資源庫（Profile）篩範圍＋SSP applicability 標個案，兩層篩選已在。
2. 解析器登記表只有 CMMC；無 OSCAL JSON 匯入；手動只能改刪不能新增條文。套件帶 CMMC seed SQL，是第二條入庫路。
3. Bug：審閱頁「不適用」存 implementation-status，啟動稽核讀 applicability，兩鍵不連動，DEV 19,086 筆全 applicable。修法一行同步。
4. 無 AO 的控制項系統允許（退回控制項層判定），CRA 第一版只進 30 條控制項不寫 AO。
5. CRA 業務實體：產品主檔可用「資訊系統盤點」，缺版本與專案連結；完全沒有對應功能的是通報、規劃期風險評估、支援期三件。其他缺項：弱點處理狀態、任務到期、流程引擎 timer、通報案件、對外 HTTP 送件、系統內讀 SBOM。
6. 官方無機器可讀條文；ENISA／JRC 69 頁對照報告有子要求與標準對照但編號是草案版；EN 40000-1-4 起草中、有版權、台灣無閱覽入口。
7. Annex I Part I 13 項（非摘要的六七點）、Part II 8 項、Annex II 9 項；2026-10-12 C1b 後框架為 4 群 34 條 49 AO（新群組 Articles 13/14：風險評估、支援期、通報）。
8. 資源庫寫入的租戶歸屬守門在 ModuleFrameDomainService.verify_module_frame_exists_by_uid(writable=True)，守衛測試 test/security/code/test_module_frame_write_ownership_guard.py。oscal.* 表沒有租戶欄、RLS 擋不到，寫入一律要經這道入口。
9. 系統公版資源庫由 BE image seed 建 2026-10-12 裁撤；目前沒有任何公版資源庫，資源庫一律顧問自建租戶版。SYSTEM scope 機制保留。

• CRA 獨立框架，catalog 不嵌 ISO 對照；跨框架 mapping 之後獨立做。
• 不另立「自家產品符合 CRA」目標；第〇步只是拿 FR-126 等現成材料當第一個測試案例。
• 通報是未來獨立模組，多來源（SRP、STIX／TAXII、各 CERT），細節後談。
• 先搞懂 CRA 再談平台。
• CRA 框架全英文出貨（2026-10-11）：控制項標題與建議證據改英文、比照 CMMC；框架層無多語機制，一本框架只存一種語言。建議證據是 AI 詮釋；決策者 2026-10-11 裁不卡審稿、英文稿先用，顧問日後確認有誤再以框架新版本或補灌修正（CM-2685）。
• 系統公版資源庫走「裝機時由程式建」 → 2026-10-12 裁撤：公版資源庫不隨出貨建，顧問從畫面自建租戶版（框架目錄仍隨套件 seed 出貨）。seed-public-libraries 入口、public_library_seed_cli.py、installer/public_libraries.sh 已拔，install.sh／build_bundle 不再呼叫；SYSTEM scope 與唯讀守門（CM-2683／2684）保留給分享庫。DEV 三本 CRA 資源庫（449／451／452）與兩個 CRA 專案（1397／1398）已軟刪，決策者自建新資源庫驗第二期。
• 資源庫寫入歸屬守門上移到共同入口並以 AST 守衛測試把關，不再逐支 service 補。
• CRA 版本不掛官方 PDF：系統沒有替既有版本掛檔的路徑，整部法規 400 頁預覽意義低，等客戶要求。

見規劃稿「已裁的事（2026-10-11）」：開 FR-135 母卡、風險評估手填雛形並預留欄位、表單設定為資源庫第四件、AO 第一版不寫、通報只做寄信與紀錄、第〇步第一期就開、稽核階段當「檢查」用。第一期三張子卡見規劃稿「分期與派工」。

jedi-oscal-v2 2.5.2（套件 3d7362fb）已推 Nexus，BE pin 換到 2.5.2（30124c320）。租戶版「CRA 公版」（uid cf988e43-…，tenant 102）與第〇步測試專案保留，是第〇步測資。母卡 CM-2675 維持 Not started。

第三、四波（B3 F3 R1 C3／F4→C4）等第二波派出後再開，卡內容從兩份 design 拆分節轉。

1. 規劃頁看不到條文原文與建議證據：FE ProjectPlanningView.vue 組控制項樹時 description: '' 寫死，BE control-tree 也不回 statement／guidance。CMMC 靠 AO 文字補上「要查什麼」，CRA 沒有 AO 就直接露出。影響全部 31 條，也不限 CRA。
2. 沒有 AO 時準備期 0 個工作：收證據的流程範本只有兩個來源——AO 上的流程範本，或資源庫的 template_uid 退路。新建資源庫的 INSERT 不寫 template_uid，DEV 14 個資源庫全是空的，退路從來沒被走過。任何沒有 AO 的框架都會遇到。
3. 流程與文件類證據沒有材料：CVD 政策、通報窗口、安全通告、支援期聲明這類證據，產品本身沒有，系統也沒有幫客戶產出的工具（13 條）。
4. 證據只能掛整份檔：指不到檔內某一節或某幾條 SR，只能寫在說明欄（11 條）；控制項的 reference_documents 與 document-mappings 兩套掛法並存，規劃頁讀的是後者。
5. 一條包多件事要拆 AO：證據才能分開放（7 條）。
6. Annex II「資訊本身」要結構化欄位：例如支援期結束日、通報窗口網址，現在只能上傳截圖或寫在說明文字（6 條）。
7. 自家 SBOM 不在系統內：FR-127 出貨的 SBOM 沒有可下載的產物可匯入；「定期執行」只有單次紀錄，證明不了頻率。

第 1、2 點是系統層，第 3～6 點是 CRA 內容層，第二期 design.md 要分開寫。

1. FR-137 五卡派工：CM-2722～2726 已開（卡內容由 CM-2721 design.md 拆分表轉入，自足），照①→⑤順序派，①②可平行後③④⑤；每卡回來首腦查 DEV。design 在 docs/features/FR-137-2610-recurring-tasks-and-conditional-notify/design.md，雛形 prototype/。套件異動開發期走 path dependency（工作樹 pyproject 已開 oscal-v2／asset／compliance-audit／file-upload 四支，flow-engine／source-scan 要再開）。
2. 決策者驗卡：約 33 張「修正待驗證」，建議從範例專案 1404 走一遍（規劃頁 AO 證據來源→受評標的折疊→風險評估→匯出三份 docx）一次驗掉大半。
3. CRA 收口（等驗卡後）：出貨基線重產（F1 form_settings、R1-a ssp_risks 兩支主線 migration，FR-137 ①④ 還會各加一支，可一起重產）；套件發版＋pin 還原（jedi-oscal-v2 2.5.4、jedi-asset 1.2.4、jedi-compliance-audit 1.3.7、jedi-file-upload 1.3.6＋FR-137 再加兩支）；push 四 repo（BE 約 75 commits、FE 約 22、套件 9、test 1）；DEV 測資清理（454～458、1397～1404 看哪些留）；SPEC／手冊／e2e／arc-review／母卡 Done／進版。
4. 小卡未開：框架版本瀏覽對話框列 AO 層建議證據；AO 對照表英文版依新框架重產（繁中版已產）；套件 seed 006 通報三 AO 的「Reporting module (Phase 3)」字樣改「upload the notification records」；稽核主流程範本 SYSTEM 化＋建庫帶 audit_flow_template_uid（runner 用 API 建專案漏傳範本的根因）。
5. CRA 自跑：等 FR-137 做完、自家 SBOM 有產物再談（決策者裁）。

• D1 沒有「複製資源庫」功能 → 本期範圍外；專案直接讀資源庫的表單設定。
• D2 表單設定落點 → compliance.module_frames 加 JSONB 欄 form_settings，結構檢查在應用層。
• D3 專案取得設定 → 主專案新端點，不改 jedi-compliance-audit DTO。
• D4 「收證據」範本改 SYSTEM scope 並隨安裝帶上 → 同意。落地方式依 design-platform P1：走主專案 phase=seed migration（冪等 UPSERT，新裝與升級都套，先例 fr093-4d；規範 scripts/init/README.md「出貨 seed 的去向」），不 dump 進 04-seed-core.sql，其「必須為空」檢查維持不動（新裝順序 init → migrate，不衝突）。討論稿原寫「改 04 檢查放行」是落地方式寫錯，方向不變。
• D5 刪 451 重建 → 2026-10-12 改：公版機制裁撤，DEV 五個 CRA 物件全軟刪；C4「重建公版」卡取消，驗收改為「決策者從畫面新建 CRA 資源庫＋專案」。
• D6 7 條 AO 拆分 → 不等顧問；分析模式由 runner 依 ENISA 底稿與第〇步拆點自產 cra-assessment-objectives.md（英文、_obj.N、標「AI 拆分待顧問確認」）→ 套件 seed 004。另 24 條不拆。
• D7 兩套程序書掛法 → 收掉舊套、詳情 API 改讀新套（已做，保留）。加 locator 2026-10-12 裁撤：程序書是公司 SOP，掛控制項＝證明有規定，不指章節；locator 加錯層，CM-2697 拔除。第〇步「證據指不到檔內某節」缺口屬證據（job evidence，準備期工作底下的附件）那條，要不要在證據上加出處另案討論。概念鐵則：程序書（SOP／流程文件，CMMC／ISO 都有）≠ 證據（證明達到控制項要求的附件），兩套路、兩種畫面，不可混。
• D8 覆核輪對控制項層工作傳 None → 本期修，與平台層 B 一起發 jedi-compliance-audit。
• D9 風險評估存哪 → 路線 2：新表，掛專案 SSP，欄位對齊 OSCAL 風險物件（威脅、資產、衝擊、可能性、既有控制、措施、狀態、對應控制項、元件連結、威脅來源預留），與結案的改善計畫（POA&M）分開；GRC 期再決定是否合併。被排除：借 AR 殼（主體錯、要造 AP）；借 POA&M（OSCAL 允許但與本產品「改善計畫＝結案才有」心智模型衝突，顧問要轉觀念）；SC.props JSON 陣列（多人覆寫、無外鍵、統計要拆 JSON）。
• D10 文件範本 docx → 顧問主筆；runner 只做格式。上傳公版程序書池預掛 公版已撤，改為：範本骨架放 repo（docs/features/FR-135-…/templates/），資源庫層「依框架帶預設」時一併掛進資源庫程序書池（與 F4 同機制，見下）。
• F4 改法（2026-10-12 裁）：表單設定、Annex II 預設說明文字、CRA 兩個 Party 角色空殼、文件範本預掛，統一改為 create_resource_library 建庫時依框架 code 帶預設（新檔 app/oscal/service/framework_library_defaults/cra_2024.py 等，一框架一檔，查表套用）；不再靠 seed CLI。
• D11 舊 clone_module_frame 端點 → 刪，FE 常數一起刪。
• D12 收證據範本來源 → 啟動稽核時讀到空值退回系統預設，建資源庫 INSERT 不改。
• D13 通報窗口、揭露政策 → 不存受評標的 props、不動資訊系統主檔：通報窗口與製造商是 SSP metadata 的 Party，以 responsible-party 掛角色（「製造商」「漏洞通報聯絡人」）；揭露政策網址、安全通告頁、聲明取得位置是 SSP link。CRA 公版 SSP 範本預建角色，建專案隨範本複製，客戶在參與單位頁填人；第三期通報模組讀同一個 party。落地方式依 design-cra C-P5／C-P6：角色掛 party 本體 props.responsible-role（產品既有做法；建專案時 party uuid 重產，metadata.responsible_parties 會斷鏈），link 存受評標的 SC.links（metadata.links DEV 0 筆無寫入口）。Annex II 六項重分：party/link 類走此；支援期結束日、產品識別等單值才走 SC.props（ext: 前綴）。
• D14 自家 SBOM 成證據、定期執行證明 → 本期範圍外。
• 既定：第二期範圍合併兩份清單；design 拆 design-platform.md（P2-A）與 design-cra.md（P2-B～D）；表單設定最小版邊界；稽核當「檢查」用系統不改。

• 無。E1 收證據任務（裁 B→E2 做完）、AO 調整（C1b 做完）、AO 證據來源機制（E1 做完）、Art.13 放法（隨 C1b 新群組解決）皆已結案。

兩卡、順序 X1 → S1：X1 三份法定文件 docx（Annex VII 技術文件、Annex II 使用者資訊、EU 符合性聲明，沿用 SspDocxGenerator）；S1 資訊系統版本表支援期剩餘天數徽章與篩選。 D4 只出 docx，不做 PDF。通報、提醒、弱點處理狀態的去向見下節「功能補齊」範圍。規格見 phase3-discussion.md。

1. CRA 第三期縮為兩卡：X1 三份法定文件 docx（Annex VII／Annex II／符合性聲明，通報範本不做）、S1 資訊系統版本表支援期剩餘天數徽章。通報案件頁籤、弱點處理狀態、提醒排程不做；討論稿已縮為兩卡（CM-2711）。
2. 新 FR「週期任務與條件通知」＝FR-137（母卡 CM-2714；探脈 CM-2715 已收 e33570d7f；討論稿＋雛形 CM-2717 派出；沿用 branch feature/FR-135；13 題裁示見 CM-2717 卡）。另：專案頁雲端整合分頁 500（FR-052 舊 bug）開 CM-2716 修。：任務可設週期（設在任務上，資源庫 module_frames.frequency 閒置欄當建專案預設帶入）、時間到自動重開任務並通知執行人；掃描類可自動執行；掃描類可設風險門檻（high 以上）額外通知對象（CRA 填通報聯絡人），通知要留紀錄（哪次掃描、什麼等級、何時通知誰）。通報提醒、支援期提醒併入。三種任務型別（一般／檢測工具／問卷）都要能設。輸入：CM-2711 產出的 phase3-deferred-to-recurring-tasks-fr.md。
3. 弱點處理狀態欄轉 FR-134 待辦（鍵用 fingerprint）。
4. 套件 seed 裡 CRA.ART.14.RP 三個 AO 的「Reporting module (Phase 3)」字樣要改成「upload the notification records」（隨下次 seed 修）。
5. 自跑前置：Guidant AI 自家 SBOM 要有可掃／可掛的產物（FR-127 出貨 SBOM 無可下載產物、DEV 掃的是 primevue 範例）；第〇步清單 7 條「產品沒機制」另列產品待辦，不是合規系統能補。

• md 表格前後必須空一行，否則 render_doc.py／render_index.py 把表格吐成一行豎線，整頁跑版。
• 整站 build：python scripts/deliverables/render_index.py docs/features/FR-135-2610-cra-compliance-framework/。
• 有 front matter title: 時正文不要再寫 # 標題，會出兩個 H1。

• 等決策者發令才派工、開第二期卡；不寫 code。
• 不動租戶版「CRA 公版」與第〇步測試專案（第〇步測資）。
• 不把第三方摘要當 control 來源，一律用原文檔。
• 不把 EN 40000 或 ENISA 條文抄進 catalog。