FR-135 CRA 合規框架 · 第〇步實測 · 2026-10-11
拿自家 FR-126／FR-134 材料當測資，在 DEV 走一遍 CRA 31 條，記下哪裡掛不上、哪裡畫面怪
這是測資，不是宣稱 Guidant AI 符合 CRA。目的是在系統裡實際走一遍，找出第二期該補的欄位與功能。末段總結依出現次數排序。
guidant_ai_dev），帳號 blsadmin（租戶 Billows Tech）。jedi_oscal_v2/migrations/002-cra-2024-catalog-seed.sql（statement 原文）＋ 003-cra-2024-catalog-guidance.sql（建議證據），框架代號 CRA_2024、版本 2024/2847、3 群 31 條。| 代號 | 檔案 | 來源 |
|---|---|---|
| MX | FR126-SR-matrix.html | FR-126 安全需求符合性矩陣（81 條 SR，看程式初步核實） |
| AR | FR126-test-audit-report.html | FR-126 資安測試審計報告（測試案例實跑） |
| SB | sbom-cyclonedx-1.6.json | FR-134 SBOM（DEV 既有掃描，掃的是 primevue 源碼，不是 Guidant AI 本體） |
| VR | source-scan-report.pdf | FR-134 弱點掃描報告（同一次掃描，1576 元件／120 弱點） |
原因分類：A 沒有對應材料 ／ B 畫面沒地方放 ／ C 一條包多件事，證據混在一起 ／ D 證據粒度太粗（只能掛整份檔，指不到檔內哪一段）／ E 其他。
| 控制項 | 掛了什麼 | 掛不上／不完整的原因 | 畫面怪的地方 |
|---|---|---|---|
| CRA.I.1 | MX、AR | D：只能掛整份矩陣，無法指向「威脅建模→SR」那一段；C：風險評估、安全開發流程、適用性判定三件事混在一條 | — |
| CRA.I.2.a | VR、SB、AR | E：SBOM 是範例源碼，不是自家產品；「發版當下未修漏洞逐筆判斷不可利用」沒有材料 | — |
| CRA.I.2.b | MX（SR-03.3、06.6、09.2） | A：「可重設回原始狀態」沒有材料；C：預設安全設定與可重設是兩件事 | — |
| CRA.I.2.c | 無 | A：產品沒有自動安全更新、預設開啟、可延後的機制，也沒有測試 | — |
| CRA.I.2.d | MX、AR（SR-01、SR-02） | C：存取控制與「回報可能的未授權存取」是兩件事，後者沒有告警材料 | — |
| CRA.I.2.e | MX（SR-03、06.1／06.4／06.8） | D：SR 編號只能寫在說明欄，檔案本身掛整份 | — |
| CRA.I.2.f | MX（SR-09.3、09.4、04.10、08.6） | A：FR-064 竄改偵測沒有可掛的報告檔；「回報資料損毀」沒有材料 | — |
| CRA.I.2.g | MX（SR-05.4、05.5） | A：只涵蓋資料外送，產品本身處理範圍的最小化沒有材料 | — |
| CRA.I.2.h | MX（SR-07.1～07.9） | C：抗 DoS 與「事件後維持基本功能」是兩件事，後者沒有材料 | — |
| CRA.I.2.i | MX（SR-07.8、09.7） | —（本條借來驗「標不適用」，見第三節） | — |
| CRA.I.2.j | MX（SR-03.5、09.2、04.1） | D | — |
| CRA.I.2.k | MX（SR-09.5、04.8、04.11） | D | — |
| CRA.I.2.l | MX（SR-08.1～08.6） | A：「使用者可選擇關閉紀錄」這半句沒有材料；C | — |
| CRA.I.2.m | 無 | A：使用者永久刪除全部資料、安全轉移，沒有對應 SR 也沒有測試 | — |
| 控制項 | 掛了什麼 | 掛不上／不完整的原因 | 畫面怪的地方 |
|---|---|---|---|
| CRA.II.1 | SB、VR | E：同 I.2.a，SBOM 不是自家產品（FR-127 出貨 SBOM 在 DEV 沒有可下載的產物） | 下載的檔名是「Evidence upload_SBOM-…」，掃描綁的任務名直接變成檔名開頭 |
| CRA.II.2 | VR | A：報告能證明「識別」，「無延遲修補、安全更新與功能更新分開發布」沒有材料；C | — |
| CRA.II.3 | AR、VR | E：「定期」需要多次執行紀錄，單份報告證明不了頻率 | — |
| CRA.II.4 | 無 | A：沒有公開揭露已修漏洞的頁面或公告 | — |
| CRA.II.5 | 無 | A：沒有 CVD 政策文件 | — |
| CRA.II.6 | 無 | A：沒有對外漏洞通報聯絡窗口 | — |
| CRA.II.7 | 無 | A：安裝版升級（install.sh --upgrade）有說明，但沒有「安全發送」的驗證材料（簽章、完整性檢查）可掛 |
— |
| CRA.II.8 | 無 | A：沒有安全通告（advisory）範本或發布紀錄 | — |
| 控制項 | 掛了什麼 | 掛不上／不完整的原因 | 畫面怪的地方 |
|---|---|---|---|
| CRA.A2.1 | 無 | A＋B：證據是「隨產品附上的資訊本身」，系統沒有「填一段資訊、指出它在產品哪裡」的欄位，只能上傳截圖 | — |
| CRA.A2.2 | 無 | A＋B：同上；依賴 II.5、II.6 先有 | — |
| CRA.A2.3 | 無 | B：受評標的的「系統識別碼」欄位可以放，但那是 SSP 範圍欄位，不會跟這條控制項連起來 | — |
| CRA.A2.4 | 無 | A＋B | — |
| CRA.A2.5 | 無 | A：要從 I.1 風險評估產出，現在沒有 | — |
| CRA.A2.6 | 無 | —（借來驗「標不適用」；自評不出具 EU 符合性聲明） | — |
| CRA.A2.7 | 無 | A＋B：支援期結束日是一個日期，系統沒有地方存，只能寫在說明文字裡 | — |
| CRA.A2.8 | 無 | C：一條包 (a)～(f) 六件事，只能掛整份使用手冊 | — |
| CRA.A2.9 | 無 | —（借來驗「標不適用」；選擇性條款） | — |
ProjectPlanningView.vue 組樹那段 description: ''），後端 /ssp/<uid>/control-tree 也不回 statement 與 guidance。job_count: 0，BE log：generate_prep_jobs ... jobs=0 skipped=31 cloned_templates=0。template_uid（退路）。CRA 沒有 AO；而新建資源庫的 API 不寫 template_uid，DEV 全部 14 個資源庫的 template_uid 都是空的。所以「無 AO 時每條控制項開一筆工作」這條退路，在 DEV 從來沒有被走過。reference_documents 回空陣列，但程序書對應（document-mappings）有資料——同一件事有兩套掛法，規劃頁讀的是後者。implementation_status 從 unknown 變成空。原因是請求格式的每個欄位預設都是空值，服務端用「有沒有這個鍵」判斷要不要寫，空值就被當成「要清空」。前端每次都送全部欄位所以沒遇到，未來的匯入器或批次 API 會踩到。本次已手動還原 17 條。publish_status: draft，但同一筆在列表是 published（enable=1）。scope 空），不是系統公版；要成為給所有客戶用的公版，發布要 platform-admin，這次沒做。file_size 回空。CMMC_2；CRA 只能靠 seed 進來，畫面上無法新建非 CMMC 框架。3ca6884b7）修完後，BE 已自動重載；標不適用時 applicability 確實同步寫成 not-applicable。| 排名 | 要補的東西 | 出現次數 | 涉及條目 |
|---|---|---|---|
| 1 | 規劃頁顯示條文原文與建議證據 | 31 | 全部 |
| 2 | 無 AO 時準備期也要開得出工作（資源庫要有收證據流程範本，或建資源庫時替控制項層建一份） | 31 | 全部 |
| 3 | 流程與文件類證據的產生工具（CVD 政策、通報窗口、安全通告、公開揭露頁、更新與支援期聲明的範本）——產品本身沒有材料，系統也沒有幫客戶產出的地方 | 13 | I.2.c、I.2.m、II.2、II.4～II.8、A2.1、A2.2、A2.4、A2.5、A2.7 |
| 4 | 證據指向檔內某段（掛整份檔＋指定章節／SR 編號，取代寫在說明欄） | 11 | I.1、I.2.b、I.2.d～I.2.l |
| 5 | 評估目標（AO）拆分，讓一條多件事的證據分開放 | 7 | I.1、I.2.b、I.2.d、I.2.h、I.2.l、II.2、A2.8 |
| 6 | Annex II 的「資訊本身」欄位（例如支援期結束日、通報窗口網址存成結構化欄位，並標出在產品哪裡） | 6 | A2.1～A2.4、A2.7、A2.8 |
| 7 | 自家產品的 SBOM 進系統（FR-127 出貨 SBOM 能匯進第三方元件風險模組當證據） | 2 | I.2.a、II.1 |
| 8 | 定期執行的證明（同一掃描或測試的多次紀錄） | 1 | II.3 |
第 1、2 項是系統層、影響全部 31 條，且不限 CRA（任何無 AO 的框架都會遇到）；第 3～6 項是「CRA 內容本身」要補的。
另外兩個小 bug（部分更新清空實作狀態、資源庫建立回應的發布狀態不一致）建議另開小卡。