任務內容

系統原本沒有 ISO 27001 框架。把 ISO/IEC 27001:2022 附錄 A 做成內建合規框架（像 CMMC、CRA），結構是「控制項群組 → 控制項 → 評估目標（AO）」，讓顧問可以直接建資源庫、啟動專案稽核。

• 4 群組：A.5 組織、A.6 人員、A.7 實體、A.8 技術
• 93 條控制項（A.5.1～A.8.34），中英名稱與控制措施句
• 192 個評估目標，每個附建議證據（交付物、須呈現），中英雙語
• 版本頁可預覽 ISO/IEC 27002:2022 PDF

現況/需求釐清

FR-152 官網盤點時發現 ISO 27001 沒有內建框架。系統裡有一個舊的 ISO 27002 解析器名稱，但已經沒有實作，不能從匯入頁解析 PDF。

決策者裁示：目標是「可被稽核的控制項」，只做附錄 A；27001 本文第 4～10 章（ISMS 管理系統要求）本期不做，等有客戶要用系統準備 ISO 驗證再補。

方案規劃

• 寫一支新的 PDF 解析器，從 27002:2022 官方 PDF 抽出 93 條的名稱、控制措施句、五類屬性。
• AO 與建議證據自寫，不放 27002 的實施指引全文（ISO 文本有著作權）。控制措施句取原文並把 should 改 shall，即 27001 附錄 A 的寫法。
• 比照 CRA，用套件 seed 隨安裝出貨：seed 018 是框架本體，seed 019 掛參考 PDF。
• ISO PDF 載明未經 ISO 許可不得散布。決策者裁示先隨包出貨，散布授權待確認。

實作狀態與紀錄

• BE（feature/FR-139）：85819f238 解析器、AO 內容、seed 產生器、FR 文件；84bf9e036 範圍定為附錄 A；收尾 commit：pin jedi-oscal-v2 2.7.0、SPEC、總結。
• jedi-python-package（feature/FR-139）：307cf670 seed 018；34c32b67 seed 019＋PDF＋版號 2.7.0。
• jedi-oscal-v2 2.7.0 已發佈到 Nexus。所有 repo 都還沒 push。
• 改內容的方式：改 scripts/iso27001/ 的內容檔，跑 scripts/gen_iso27001_seed.py；018 已出貨，之後改既有內容要開新支號。

測試狀態與紀錄