附錄：總表、問卷與工具套件

↑ 回附錄目錄

↑ 回附錄目錄

↑ 回附錄目錄

D.1 使用方式

每個控制項的欄位設計，使一份證據可回應多個框架（見 §11.6）。建議以 YAML 或資料庫維護（見 附錄 F 的 repo 結構）。

D.2 控制項庫（節錄 60 項核心控制）

（完整版建議以 YAML 維護，見 附錄 F 的 controls/ 目錄結構。）

↑ 回附錄目錄

E.1 治理（GOV，6 題）

1. 資訊安全政策是否經最高管理階層核准，並於過去 12 個月內檢視？
2. 是否指派資安長並設有專責單位（非兼任）？
3. 是否定期（至少每年）向董事會報告資安狀況，且有正式紀錄？
4. 是否維護單一控制項庫並對映至所有適用的外部框架？
5. 資安例外是否全部有到期日、補償控制與具名的風險承擔者？
6. 對外揭露的資安資訊（年報、客戶回覆）是否可逐項回溯至內部證據？

E.2 身分與存取（IAM，8 題）

7. MFA 覆蓋率是否可以「應用清單」為分母精確計算，且 ≥95%？
8. 遠端存取是否使用防釣魚 MFA（FIDO2/憑證），而非簡訊 OTP？
9. 所有管理員存取是否經 PAM，且無網路層旁路？
10. 高敏感系統的存取名單是否每半年由用人主管重新確認？
11. 服務台的密碼/MFA 重設是否要求帶外驗證，且過去 12 個月做過 vishing 演練？
12. 是否有完整的 NHI 清冊（含擁有者、用途、輪換週期）？
13. 是否已禁止長期有效的 API 金鑰？
14. 專案結案是否自動觸發存取權限回收？

E.3 網路與邊緣（NET，6 題）

15. 是否有持續更新的對外資產清冊，且每季與 EASM 結果比對？
16. KEV 收錄且標記 known ransomware use 的漏洞，是否於 24 小時內完成修補或隔離？
17. EOL 邊界裝置是否有明確且被追蹤的下線期限？
18. 是否有完整的 conduit 清冊，含法遵依據與可切斷性？
19. 微分段的有效性是否經實測驗證（而非僅有設計文件）？
20. 第三方遠端存取是否全部經 PAM/ZTNA，且有效期 ≤90 天？

E.4 端點與工作負載（EPP，5 題）

21. EDR/XDR 覆蓋率是否以 CMDB/AD 為分母精確計算，並分三類資產統計？
22. 產線與設備電腦是否正式納入 ISMS 範圍（以差異化控制而非豁免處理）？
23. 是否有設備入網管制流程（quarantine → 掃描 → 基線 → 核准），且有執行紀錄？
24. 對高信心告警是否已啟用自動隔離（不等待人工確認）？
25. EDR 例外是否全部有到期日與補償控制？

E.5 應用與雲端（APP，6 題）

26. CSPM 告警是否以「可從網際網路達到 + 高權限」分級，而非全部同級？
27. 是否對所有 repo 執行 Secret 掃描（含全歷史）？
28. GitHub Actions 是否以 commit SHA 而非版本標籤釘選？
29. 建置與簽章環境是否與開發環境分離，且開發者無法直接登入？
30. 是否有 SaaS 清冊與影子 IT 發現機制？
31. OAuth 第三方應用是否需管理員審核（而非使用者自助授權）？

E.6 資料（DAT，6 題）

32. 資料分類是否包含所有權與法域兩個維度（而非僅敏感度）？
33. DSPM 掃描是否產出「可執行的處理清單」（含負責人與期限）？
34. DLP 是否已有部分政策進入阻擋模式（而非全部僅監控）？
35. 高敏感資料庫是否有活動監控與 UEBA 異常偵測？
36. 是否對高敏感文件實施動態浮水印？
37. 加密金鑰是否置於 KMS/HSM 且與資料分離？

E.7 偵測與應變（SOC，7 題）

38. P1 遙測來源是否全部接入 SIEM？
39. 身分與網路日誌保存期是否 ≥24 個月？
40. 是否有單一通報決策樹，可在 2 小時內同時完成六條路徑的判定？
41. 是否有預擬的重大訊息草稿範本？
42. MTTC（偵測到圍堵）是否 <30 分鐘？
43. 過去 12 個月是否舉行過包含法務與公關的桌上演練？
44. 是否每月至少進行一次主動威脅獵捕？

E.8 暴露面與驗證（EXP，5 題）

45. 弱點優先序是否採用 KEV + EPSS + 可達性（而非 CVSS 排序）？
46. CTEM 的發現是否進入正式工單系統並追蹤關閉率？
47. 是否以 AEV/BAS 驗證微分段、備份不可變性與 EDR 攔阻能力？
48. 紅隊/演練是否涵蓋服務台 vishing、HR 履歷、供應商冒充？
49. 過去 12 個月是否執行過產線降級演練（IT 全斷情境）？

E.9 OT（OT，5 題）

50. 是否有 OT 資產清冊（型號、韌體、協定、供應商、連線關係）？
51. Level 3.5 DMZ 是否為 IT↔OT 的唯一跨越點（無直接穿越）？
52. OT 遠端存取是否全部經堡壘機且 session 錄影？
53. OT 帳號是否個別化（而非共用帳號）？
54. PLC 程式、設備組態與 recipe 是否於過去 12 個月做過還原測試？

E.10 供應鏈（SUP，4 題）

55. 供應商分級是否依「營運依賴 × 資料存取」雙軸（而非採購金額）？
56. T1 供應商是否全部簽署 24 小時事件通知條款？
57. 供應商問卷是否涵蓋非生產環境（測試、開發、Demo）？
58. T1 供應商是否有第二來源或退場計畫？

E.11 韌性與人員（RES/HUM，2 題）

59. 備份系統的管理帳號是否與網域帳號完全隔離？
60. 超過門檻的付款是否要求雙人覆核與帶外驗證？

E.12 評分解讀

↑ 回附錄目錄

本附錄提供一套可直接複製使用的 Prompt 與設定檔，涵蓋三種用途：

F.1 建議的 Repository 結構

gsmd-security-fabric/
├── CLAUDE.md                     # Claude Code 的專案指令（見 F.2）
├── README.md
├── .github/
│   ├── workflows/
│   │   ├── link-check.yml        # 引用連結有效性檢查
│   │   ├── evidence-check.yml    # 證據分級標註完整性檢查
│   │   ├── control-lint.yml      # 控制項 YAML schema 驗證
│   │   ├── freshness-check.yml   # 標準/法規版本時效性檢查
│   │   └── build-docs.yml        # Markdown → HTML/PDF
│   ├── ISSUE_TEMPLATE/
│   │   ├── gap.yml               # 落地缺口
│   │   ├── regulatory-change.yml # 法規變更
│   │   └── citation-issue.yml    # 引用查證問題
│   └── CODEOWNERS
├── manual/                       # 手冊本體
│   ├── 00-front.md
│   ├── 01-part1-background.md
│   ├── ...
│   └── 99-sources.md
├── controls/                     # 控制項即程式碼
│   ├── _schema.json              # JSON Schema
│   ├── gov.yml                   # 治理層控制項
│   ├── iam.yml
│   ├── net.yml
│   ├── epp.yml
│   ├── app.yml
│   ├── dat.yml
│   ├── soc.yml
│   ├── exp.yml
│   ├── ot.yml
│   ├── sup.yml
│   ├── res.yml
│   ├── hum.yml
│   ├── ai.yml
│   └── psi.yml
├── policies/                     # 政策文件（由控制項自動產生 + 人工補述）
│   ├── _templates/
│   └── generated/
├── assessments/                  # 落地評估
│   ├── _questionnaire.yml        # 60 題自評問卷（附錄 E）
│   ├── 2026-Q3/
│   │   ├── z1-global.yml
│   │   ├── z2-china.yml
│   │   ├── z3-customer.yml
│   │   ├── z4-product.yml
│   │   └── z5-ot.yml
│   └── reports/
├── registry/                     # 追蹤註冊表
│   ├── standards.yml             # 標準版本與檢視日期（附錄 A）
│   ├── regulations.yml           # 法規時程（附錄 B）
│   ├── incidents.yml             # 已驗證事件（附錄 C）
│   ├── analyst-reports.yml       # 分析師報告市場結構（§28.3）
│   └── verification-gaps.yml     # 查證缺口（附錄 G）
├── evidence/                     # 證據索引（不放實際證據，只放索引）
│   └── index.yml
└── scripts/
    ├── check_links.py
    ├── check_evidence_tags.py
    ├── check_freshness.py
    ├── render_matrix.py          # 產生多框架對映矩陣
    └── render_policy.py          # 由控制項產生政策文件

F.2 CLAUDE.md（專案指令檔）

將以下內容存為 repo 根目錄的 CLAUDE.md。Claude Code 每次啟動會自動讀取。

# 專案：跨國 ODM/OEM 製造業集團 IT 資安防護網手冊

## 專案性質

這是一份**企業內部的資安治理文件庫**，同時是**控制項與政策的單一真實來源（single source of truth）**。
文件編號 GSMD-RPT-2026-0830-01。讀者為資安治理決策層與技術落地層。

## 不可違反的規則

### 1. 證據分級是強制的
每一個事實性陳述都必須標註以下四種等級之一：
- 【已證實】= 一手/官方來源（標準機構官方頁、法規正式文本、主管機關新聞稿、上市公司財報或 SEC 申報、法院判決、受害組織官方聲明）
- 【廠商主張】= 具名廠商自行發布的研究或行銷數據，未經獨立驗證
- 【第三方評論】= 具名分析機構、測試機構或主流媒體的評論與整理
- 【尚未證實】= 廣泛流傳但無法回溯至可靠來源，或來源互相矛盾

**未標註等級的事實性陳述，視為錯誤，必須修正。**

### 2. 無來源不列入
若無法取得可靠來源，**不要寫入正文**。改為記錄在 `registry/verification-gaps.yml`。
絕不使用「據報導」「一般認為」「業界普遍」等模糊歸因來規避查證。

### 3. 口徑一致才可比較
不同來源的數字若口徑不同（例如 SEC 申報的增量費用 vs 媒體含營收損失的估計），
**不可放在同一張表或同一句話中比較**。必須註明口徑差異。

### 4. 方法一致才可畫趨勢
若跨年度調查的樣本數或題目定義改變（且來源未說明），**只引用單一年度數字並註明 n**，不畫趨勢線。

### 5. 分析師報告的引用紀律
- 任何分析師定位必須註明：**報告正式名稱 + 發布日期 + 分析師姓名**
- **Market Guide 沒有 Leader**，只有 "Representative Vendor"
- **Gartner Peer Insights 是客戶評分，不是分析師評測**
- 以下市場目前**沒有 Magic Quadrant**：CNAPP、DSPM、Data Security Platforms、IGA、MDR、SOAR、SSPM、EASM、API Protection、微分段、SD-WAN（現行）、AI Gateway / AI SOC
- 現行市場結構請查 `registry/analyst-reports.yml`

### 6. 語言與術語
- 正體中文，臺灣慣用語
- 英文專業術語、標準編號、法規名稱一律保留原文（不翻譯 CRA、NIS2、SBOM、ZTNA 等）
- 標準引用必須含版本與日期，且註明是 IEC 版或 ANSI/ISA 版（兩者編號不同步）

### 7. 不得聲稱不存在的官方對映
**不存在 NIST 官方發行、經 OLIR 驗證的「CSF 2.0 ↔ IEC 62443」對映表。**
本 repo 的 `controls/*.yml` 中的 62443 對映欄位一律標示為 `mapping_source: self-authored`。

## 資料模型

### controls/*.yml
每個控制項的必要欄位見 `controls/_schema.json`。修改控制項時：
1. 必須同時更新 `frameworks` 對映
2. 必須指定 `owner`（組織功能，非個人姓名）
3. 必須指定 `evidence`（可稽核產出）
4. 若新增外部框架，必須同時更新所有相關控制項的該欄位

### assessments/*/*.yml
自評結果。評分為 0–3（對應 C2M2 MIL）。每個分區（Z1–Z5）獨立評分。
評分變更時**必須填寫 `justification` 與 `evidence_ref`**。

### registry/standards.yml 與 registry/regulations.yml
標準與法規的版本追蹤。每筆必須有 `next_review` 日期。
`freshness-check.yml` workflow 會在 `next_review` 到期時開 Issue。

## 常用任務

當我要求以下事情時，請這樣做：

### 「更新某個標準的版本」
1. 用 WebFetch 存取該標準的**官方頁面**（ISO、IEC、NIST CSRC、EUR-Lex 等），不要用二手來源
2. 更新 `registry/standards.yml`
3. 用 grep 找出手冊中所有引用該標準的位置並更新
4. 若版本變更影響控制項對映，同步更新 `controls/*.yml`
5. 在 commit message 中列出所有變更的檔案與變更理由

### 「查證某個引用」
1. 用 WebFetch 存取原始 URL
2. 確認引述內容與來源一致（逐字比對關鍵數字與日期）
3. 若不一致，**不要自行修正數字**，而是在 `registry/verification-gaps.yml` 記錄矛盾並回報給我
4. 若 URL 失效，尋找官方的替代 URL；找不到則標記為 `[dead-link]` 並降級為【尚未證實】

### 「做落地評估」
見 `assessments/_questionnaire.yml`。逐題詢問，每題必須取得 `evidence_ref`（證據文件、系統截圖位置、報表名稱）。
**沒有證據的自評分數一律以低一級記錄，並在 `justification` 中註明「自評無證據」。**

### 「產生政策文件」
執行 `scripts/render_policy.py`，由 `controls/*.yml` 產生 `policies/generated/`。
產生的檔案不可手動編輯（會被覆寫）；人工補述放在 `policies/_templates/` 的對應區塊。

### 「產生對映矩陣」
執行 `scripts/render_matrix.py`，產出 `manual/appendix-d-matrix.md`。
矩陣頂端必須自動加上「本矩陣為本手冊自行編製，非官方對映」的聲明。

## 絕對不要做的事

1. 不要為了讓文件看起來完整而編造來源或 URL
2. 不要把【廠商主張】的數字寫成【已證實】
3. 不要在 GitHub Actions 中使用版本標籤（`@v4`）釘選 Action，一律用 commit SHA
4. 不要在 workflow 或 script 中輸出環境變數或 secrets
5. 不要把實際的稽核證據（截圖、日誌、報表）提交到 repo；`evidence/index.yml` 只放索引
6. 不要修改 `registry/incidents.yml` 中已標記 `verified: true` 的事件，除非有新的一手來源
7. 不要在沒有我明確確認的情況下 push 到 main 分支

## 提交規範

Commit message 格式：
```
<type>(<scope>): <subject>

<body：說明變更理由與證據來源>

Refs: <相關 Issue 編號>
```

type: `manual`（手冊內容）、`control`（控制項）、`registry`（追蹤表）、`assessment`（評估）、`ci`（workflow）、`fix`（修正錯誤）

**若變更涉及事實性陳述，body 中必須列出來源 URL 與查證日期。**

F.3 用途一：手冊 repo 化與持續維護的 Prompt

F.3.1 初始化 Prompt（一次性）

請把這份資安防護網手冊初始化為一個可持續維護的 GitHub repo。

輸入：manual/ 目錄下的 Markdown 檔案（GSMD-RPT-2026-0830-01）

請執行以下步驟，每完成一步先讓我確認再繼續：

步驟 1：解析並建立 registry
從手冊中萃取出所有被引用的「標準」「法規」「分析師報告」「已驗證事件」，
分別建立 registry/standards.yml、registry/regulations.yml、
registry/analyst-reports.yml、registry/incidents.yml。

每筆記錄必須包含：
- id（穩定識別碼）
- name（正式名稱，保留原文）
- version（版本或編號）
- date（發布/生效日期）
- issuer（發行機構）
- url（官方來源 URL）
- evidence_level（已證實/廠商主張/第三方評論/尚未證實）
- cited_in（手冊中引用的章節清單）
- next_review（下次檢視日期：標準每 6 個月、法規每 3 個月、分析師報告每 6 個月）

步驟 2：建立控制項庫
從手冊附錄 D 萃取控制項，依前綴（GOV/IAM/NET/EPP/APP/DAT/SOC/EXP/OT/SUP/RES/HUM/AI/PSI）
拆成 controls/*.yml，並建立 controls/_schema.json。

每個控制項必須包含：
id, title, layer, zone_applicability[], owner, frameworks{}, evidence[],
failure_modes[], references[], mapping_source

frameworks 欄位包含：iso27001_2022, cis_v81, csf_20, nis2_art21, cra_annex_i,
cmmc_l2, iec62443, semi, other

mapping_source 對 IEC 62443 一律填 "self-authored"。

步驟 3：建立查證缺口表
從手冊附錄 G 萃取所有【尚未證實】項目，建立 registry/verification-gaps.yml，
每筆包含：id, description, why_unverified, impact, suggested_action, owner, target_date

步驟 4：建立 CI workflows
依 F.5 的範例建立四個 workflow，所有 Action 以 commit SHA 釘選。

步驟 5：建立 CLAUDE.md
使用 F.2 的內容。

完成後產出一份 SETUP-REPORT.md，說明：
- 萃取出多少筆標準/法規/報告/事件/控制項/缺口
- 哪些項目因資訊不完整而需要人工補齊
- 建議的第一批待辦

F.3.2 定期維護 Prompt（建議每月執行）

執行本 repo 的月度維護。今天是 {DATE}。

任務 1：時效性檢查
讀取 registry/standards.yml 與 registry/regulations.yml，
找出 next_review 已到期或即將到期（30 天內）的項目。
對每一筆：
- 用 WebFetch 存取其 official url
- 確認版本號與日期是否仍為現行
- 若已改版，記錄新版本、新日期，並用 grep 找出手冊中所有引用位置
- 若官方頁面無法存取，記錄為 [fetch-failed] 並保留原資料，不要猜測

任務 2：法規時程檢查
讀取 registry/regulations.yml，找出未來 90 天內有里程碑的法規。
產出一份「即將到期的合規義務」清單，包含：法規、里程碑、日期、
本集團的準備狀態（從 assessments/ 讀取）、負責人。

任務 3：新增威脅情報檢查
搜尋以下項目自上次維護以來的更新：
- CISA KEV 新增項目中，涉及本 repo registry/vendors.yml 所列廠商者
- MITRE ATT&CK 是否有新版本（目前記錄為 v19.2 / 2026-08-06）
- 製造業重大資安事件（須有受害方聲明或權威具名來源才列入）

任務 4：連結健康檢查
執行 scripts/check_links.py，回報失效連結。
對每個失效連結，嘗試尋找官方替代 URL；找不到則標記 [dead-link]。

輸出：
1. 一份 MAINTENANCE-{YYYY-MM}.md 報告
2. 為每個需要人工處理的項目建立 GitHub Issue（使用對應的 ISSUE_TEMPLATE）
3. 對可自動更新的項目（純版本號變更）建立一個 PR

不要直接 push 到 main。

F.3.3 引用查證 Prompt（在 PR review 時使用）

請對這個 PR 中所有新增或修改的事實性陳述執行查證。

對每一項陳述：
1. 確認是否有證據等級標註。沒有的話，標記為必須修正。
2. 若標註為【已證實】，用 WebFetch 存取來源 URL，逐字比對關鍵數字與日期。
   不一致時，指出差異，並建議正確的等級或正確的數字。
3. 若標註為【廠商主張】或【第三方評論】，確認來源是否具名（廠商名/機構名/報告名/日期）。
   不具名者，要求補齊或降級。
4. 檢查是否有口徑混用（例如把不同定義的兩個數字並列比較）。
5. 檢查是否有跨年度趨勢線但方法可能不一致的情況。
6. 檢查分析師報告的引用是否含「報告正式名稱 + 日期 + 分析師姓名」，
   以及是否誤把 Market Guide 的 Representative Vendor 說成 Leader。

輸出格式：對每一項問題，給出
- 檔案與行號
- 問題類型（缺少等級 / 等級錯誤 / 數字不符 / 來源不具名 / 口徑混用 / 假象限 / 死連結）
- 建議的修正文字

不要自行修改檔案，只提出 review comments。

F.4 用途二：資安防護網落地評估的 Prompt

F.4.1 分區評估 Prompt

請對 {ZONE}（Z1 全球區 / Z2 中國區 / Z3 客戶專案區 / Z4 產品開發區 / Z5 廠務 OT 區）
執行資安防護網落地評估。

使用 assessments/_questionnaire.yml 的 60 題問卷。

執行規則：
1. 一次問一題，等我回答後再問下一題。不要一次列出所有問題。
2. 每題除了 0–3 的評分外，必須追問「證據是什麼」——
   具體的文件名稱、系統報表、設定截圖位置或稽核紀錄。
3. 若我無法提供證據，該題評分自動降一級（最低 0），
   並在 justification 中記錄「自評 N 分但無證據，降級記錄」。
4. 若我的回答顯示該題對本分區不適用，記為 N/A 並要求說明理由。
5. 對粗體題（高風險缺口項），若評分 ≤1，立即追問「是否有補償控制」。

問卷完成後，產出：

A. assessments/{PERIOD}/{ZONE}.yml
   包含每題的：score, evidence_ref, justification, gaps[], compensating_controls[]

B. 一份評估報告 assessments/reports/{PERIOD}-{ZONE}.md，包含：
   - 各領域（GOV/IAM/NET/EPP/APP/DAT/SOC/EXP/OT/SUP/RES/HUM）的平均分與 MIL 對應
   - 與目標成熟度（見手冊 §26.2）的差距
   - 依「風險 × 改善難度」排序的前 10 項改善建議
   - 每項改善建議對應到手冊的哪一章、哪個控制項 ID

C. GitHub Issues：
   對評分 ≤1 且無補償控制的項目，各建立一個 Issue，使用 gap.yml 範本，
   標題格式：[GAP][{ZONE}][{CONTROL_ID}] {簡述}
   內容包含：目前狀態、目標狀態、對應控制項、手冊章節、建議行動、預估工作量
   標籤：gap, zone/{zone}, layer/{layer}, priority/{p1|p2|p3}

不要在我沒有回答完所有問題前就產出報告。

F.4.2 缺口優先排序 Prompt

讀取 assessments/{PERIOD}/ 下所有分區的評估結果，
產出一份跨分區的整合改善計畫。

排序邏輯（依序）：
1. 有外部截止日的合規項（讀取 registry/regulations.yml）— 最優先，不可延後
2. 對應到手冊「常見失敗模式」中影響最大的十項者
3. 依「風險降低量 ÷ 改善工作量」排序

風險降低量的評估依據（必須在輸出中說明引用了哪一項）：
- 手冊第 2 章的威脅統計（哪個入侵途徑佔比高）
- 手冊第 3 章的已驗證事件（該缺口是否為某個實際事件的成因）
- 該控制項覆蓋的框架數（覆蓋越多，一次改善的合規效益越高）

輸出 assessments/reports/{PERIOD}-roadmap.md，包含：
1. 立即行動（30 天內，通常是合規截止日與高風險無補償控制項）
2. 短期（Q1–Q2）
3. 中期（Q3–Q4）
4. 長期（次年以後）

每一項包含：控制項 ID、分區、目前分數、目標分數、負責組織功能、
預估工作量（人天）、依賴項、驗收標準（引用手冊的「可稽核產出」）。

同時產出一個 GitHub Projects 的匯入用 CSV。

F.5 GitHub Actions Workflow 範例

F.5.1 .github/workflows/link-check.yml

name: Link Check

on:
  schedule:
    - cron: '0 2 * * 1'   # 每週一 02:00 UTC
  workflow_dispatch:
  pull_request:
    paths:
      - 'manual/**'
      - 'registry/**'

permissions:
  contents: read
  issues: write

jobs:
  check-links:
    runs-on: ubuntu-latest
    steps:
      # 請以你驗證過的 commit SHA 取代（不要用 @v4）
      - name: Checkout
        uses: actions/checkout@<COMMIT_SHA_FOR_ACTIONS_CHECKOUT>

      - name: Setup Python
        uses: actions/setup-python@<COMMIT_SHA_FOR_ACTIONS_SETUP_PYTHON>
        with:
          python-version: '3.12'

      - name: Install dependencies
        run: pip install --require-hashes -r scripts/requirements.txt

      - name: Run link check
        run: python scripts/check_links.py --input manual registry --output link-report.json

      - name: Upload report
        if: always()
        uses: actions/upload-artifact@<COMMIT_SHA_FOR_ACTIONS_UPLOAD_ARTIFACT>
        with:
          name: link-report
          path: link-report.json

      - name: Fail on dead links in verified citations
        run: python scripts/check_links.py --assert-verified-alive --input link-report.json

F.5.2 .github/workflows/evidence-check.yml

name: Evidence Tag Check

on:
  pull_request:
    paths:
      - 'manual/**'

permissions:
  contents: read
  pull-requests: write

jobs:
  evidence-tags:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout
        uses: actions/checkout@<COMMIT_SHA_FOR_ACTIONS_CHECKOUT>
        with:
          fetch-depth: 0

      - name: Setup Python
        uses: actions/setup-python@<COMMIT_SHA_FOR_ACTIONS_SETUP_PYTHON>
        with:
          python-version: '3.12'

      # 檢查新增/修改的行中，含有數字、日期或標準編號的事實性陳述
      # 是否帶有【已證實】/【廠商主張】/【第三方評論】/【尚未證實】標註
      - name: Check evidence tags on changed lines
        run: |
          git diff --unified=0 origin/${{ github.base_ref }}...HEAD -- 'manual/*.md' \
            > changed.diff
          python scripts/check_evidence_tags.py --diff changed.diff --strict

      # 檢查是否有「假象限」用語
      - name: Check for false Magic Quadrant claims
        run: python scripts/check_evidence_tags.py --check-analyst-claims --input manual/

F.5.3 .github/workflows/control-lint.yml

name: Control Schema Lint

on:
  pull_request:
    paths:
      - 'controls/**'
  push:
    branches: [main]
    paths:
      - 'controls/**'

permissions:
  contents: read

jobs:
  lint:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout
        uses: actions/checkout@<COMMIT_SHA_FOR_ACTIONS_CHECKOUT>

      - name: Setup Python
        uses: actions/setup-python@<COMMIT_SHA_FOR_ACTIONS_SETUP_PYTHON>
        with:
          python-version: '3.12'

      - run: pip install --require-hashes -r scripts/requirements.txt

      - name: Validate control YAML against schema
        run: |
          python - <<'PY'
          import json, sys, glob
          import yaml
          from jsonschema import Draft202012Validator

          schema = json.load(open('controls/_schema.json'))
          validator = Draft202012Validator(schema)
          errors = 0
          ids = set()
          for path in glob.glob('controls/*.yml'):
              data = yaml.safe_load(open(path))
              for ctrl in data.get('controls', []):
                  for e in validator.iter_errors(ctrl):
                      print(f"{path}:{ctrl.get('id','?')}: {e.message}")
                      errors += 1
                  cid = ctrl.get('id')
                  if cid in ids:
                      print(f"{path}: duplicate control id {cid}")
                      errors += 1
                  ids.add(cid)
                  # IEC 62443 對映必須標示為自行編製
                  fw = ctrl.get('frameworks', {})
                  if fw.get('iec62443') and ctrl.get('mapping_source') != 'self-authored':
                      print(f"{path}:{cid}: IEC 62443 mapping must set mapping_source: self-authored")
                      errors += 1
          sys.exit(1 if errors else 0)
          PY

F.5.4 .github/workflows/freshness-check.yml

name: Standards & Regulations Freshness

on:
  schedule:
    - cron: '0 1 1 * *'   # 每月 1 日
  workflow_dispatch:

permissions:
  contents: read
  issues: write

jobs:
  freshness:
    runs-on: ubuntu-latest
    steps:
      - name: Checkout
        uses: actions/checkout@<COMMIT_SHA_FOR_ACTIONS_CHECKOUT>

      - name: Setup Python
        uses: actions/setup-python@<COMMIT_SHA_FOR_ACTIONS_SETUP_PYTHON>
        with:
          python-version: '3.12'

      - run: pip install --require-hashes -r scripts/requirements.txt

      # 找出 next_review 到期者，並為每一筆建立 Issue
      - name: Find items due for review
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
        run: python scripts/check_freshness.py --create-issues

F.6 控制項 YAML 範例與 Schema

F.6.1 controls/_schema.json（節錄）

{
  "$schema": "https://json-schema.org/draft/2020-12/schema",
  "type": "object",
  "required": ["id", "title", "layer", "owner", "frameworks", "evidence"],
  "properties": {
    "id": {
      "type": "string",
      "pattern": "^(GOV|IAM|NET|EPP|APP|DAT|SOC|EXP|OT|SUP|RES|HUM|AI|PSI)-[0-9]{2}$"
    },
    "title": { "type": "string", "minLength": 5 },
    "layer": {
      "type": "string",
      "enum": ["L0","L1","L2","L3","L4","L5","L6","L7","L8","L9","X1","X2","X3"]
    },
    "zone_applicability": {
      "type": "array",
      "items": { "type": "string", "enum": ["Z1","Z2","Z3","Z4","Z5"] },
      "minItems": 1
    },
    "owner": { "type": "string" },
    "frameworks": {
      "type": "object",
      "properties": {
        "iso27001_2022": { "type": "array", "items": { "type": "string" } },
        "cis_v81":       { "type": "array", "items": { "type": "string" } },
        "csf_20":        { "type": "array", "items": { "type": "string" } },
        "nis2_art21":    { "type": "array", "items": { "type": "string" } },
        "cra_annex_i":   { "type": "array", "items": { "type": "string" } },
        "cmmc_l2":       { "type": "array", "items": { "type": "string" } },
        "iec62443":      { "type": "array", "items": { "type": "string" } },
        "semi":          { "type": "array", "items": { "type": "string" } },
        "other":         { "type": "array", "items": { "type": "string" } }
      },
      "additionalProperties": false
    },
    "mapping_source": {
      "type": "string",
      "enum": ["nist-olir", "issuer-official", "self-authored"]
    },
    "evidence": {
      "type": "array",
      "items": { "type": "string" },
      "minItems": 1,
      "description": "可稽核產出：具體的文件、報表或系統設定"
    },
    "failure_modes": { "type": "array", "items": { "type": "string" } },
    "references": {
      "type": "array",
      "items": {
        "type": "object",
        "required": ["text", "evidence_level"],
        "properties": {
          "text": { "type": "string" },
          "url": { "type": "string", "format": "uri" },
          "date": { "type": "string" },
          "evidence_level": {
            "type": "string",
            "enum": ["已證實", "廠商主張", "第三方評論", "尚未證實"]
          }
        }
      }
    },
    "target_mil": {
      "type": "object",
      "patternProperties": {
        "^Z[1-5]$": { "type": "integer", "minimum": 0, "maximum": 3 }
      }
    }
  }
}

F.6.2 controls/net.yml（範例，兩個控制項）

metadata:
  domain: Network and Edge
  layer: L2
  last_updated: 2026-08-30
  owner: Security Architecture

controls:
  - id: NET-02
    title: KEV 收錄且標記 known ransomware use 的漏洞於 24 小時內完成修補或隔離
    layer: L2
    zone_applicability: [Z1, Z2, Z3, Z4, Z5]
    owner: SecOps / Vulnerability Management
    frameworks:
      iso27001_2022: ["A.8.8"]
      cis_v81: ["7.3", "7.4"]
      csf_20: ["ID.RA-01", "PR.PS-02"]
      nis2_art21: ["(e)"]
      cmmc_l2: ["RA.L2-3.11.2"]
      other: ["CISA ED 25-03"]
    mapping_source: self-authored
    target_mil:
      Z1: 3
      Z2: 2
      Z3: 2
      Z4: 3
      Z5: 2
    evidence:
      - 邊界裝置清冊（型號、韌體版本、EOL 日期、對外服務、負責人）
      - KEV 緊急修補 SLA 執行紀錄（發現時間、完成時間、逾期原因）
      - 無法修補項目的隔離措施證據
    failure_modes:
      - 修補 SLA 以「工作日」計算，實際超過 24 小時
      - 邊界裝置清冊不完整，KEV 比對有遺漏
      - 修補後未輪換該裝置經手的憑證
    references:
      - text: "CISA ED 25-03 要求 Cisco 更新於釋出後 48 小時內套用；並指出攻擊者可竄改 ROM 於重開機與升級後持續存在"
        url: "https://www.cisa.gov/news-events/directives/ed-25-03-identify-and-mitigate-potential-compromise-cisco-devices"
        date: "2025-09-25"
        evidence_level: "已證實"
      - text: "IBM X-Force 2026：製造業初始入侵 32% 為對外服務應用程式漏洞利用"
        date: "2026-02"
        evidence_level: "廠商主張"

  - id: NET-06
    title: conduit 清冊須含業務目的、法遵依據與可切斷性
    layer: L2
    zone_applicability: [Z1, Z2, Z3, Z4, Z5]
    owner: Security Architecture
    frameworks:
      iso27001_2022: ["A.8.21", "A.8.22"]
      cis_v81: ["12.4"]
      csf_20: ["ID.AM-03", "PR.IR-01"]
      nis2_art21: ["(a)", "(d)"]
      iec62443: ["3-2 zones and conduits"]
    mapping_source: self-authored
    target_mil:
      Z1: 3
      Z2: 3
      Z3: 2
      Z4: 2
      Z5: 2
    evidence:
      - conduit 清冊（含 conduit ID、來源/目的分區、業務目的、協定與埠、資料類型、法遵依據、認證方式、監控點、可切斷性、擁有者、檢視週期）
      - 每年度的 conduit 複審紀錄
    failure_modes:
      - 只記錄「有什麼連線」，未記錄「怎麼關」
      - 第三方連線未納入清冊
      - 跨境 conduit 未記錄法遵依據
    references:
      - text: "台積電於 Kinmax 供應商事件中的處置為終止與該供應商的資料交換"
        date: "2023-06"
        evidence_level: "已證實"

F.7 用途三：政策文件即程式碼

F.7.1 產生政策文件的 Prompt

請由 controls/*.yml 產生政策文件。

規則：
1. 依 layer 分組，每個 layer 產生一份標準文件（Standard），
   放在 policies/generated/{layer}-standard.md
2. 每份文件的結構：
   - 目的與範圍（含適用的分區）
   - 規範性要求（逐條列出該 layer 的控制項 title，以「應」開頭改寫為規範語氣）
   - 分區差異（依 zone_applicability 與 target_mil 產生）
   - 例外處理（統一引用集團例外管理程序）
   - 稽核證據（列出所有 evidence 欄位）
   - 外部依據（列出 frameworks 對映，並在 IEC 62443 欄位加註「本對映為自行編製」）
3. 每份文件頂端加上自動產生標記：
   「本文件由 controls/*.yml 自動產生，請勿直接編輯。人工補述請寫在 policies/_templates/ 對應區塊。」
4. 版本號取自 git 的最新 commit SHA 前 7 碼與日期。

另外產生一份 policies/generated/_coverage.md，說明：
- 每個外部框架的覆蓋率（該框架有多少條款被至少一個控制項對映到）
- 未被任何控制項覆蓋的框架條款清單（這就是控制缺口）

F.7.2 產生稽核證據包的 Prompt

客戶 {CUSTOMER} 要對我們做資安稽核，稽核範圍是 {SCOPE}。
請產生一份稽核準備包。

步驟：
1. 從 controls/*.yml 篩選出與稽核範圍相關的控制項
2. 從 evidence/index.yml 找出每個控制項對應的實際證據文件位置
3. 從 assessments/ 最新一期讀取這些控制項的自評分數
4. 產出 audit-prep/{CUSTOMER}-{DATE}.md，包含：

   A. 控制項對照表：控制項 ID | 控制項描述 | 我方實作說明 | 證據文件 | 自評分數
   B. 已知缺口與補償控制（自評 ≤1 者）
   C. 預期問題與建議回覆（依據過去稽核紀錄中的重複問題）
   D. 證據文件清單（哪些可直接提供、哪些需遮蔽、哪些不可提供及理由）

5. 特別檢查：
   - 若稽核涉及 Z2 中國區，標示出因 DSL 第 36 條／PIPL 第 41 條而不可提供原始資料的項目，
     並提供替代方案（匯總指標、境內執行的稽核報告、現場檢視不帶走）
   - 若我方文件中有任何以「通過 RBA VAP」回應資安問題的內容，標記為必須修正
     （RBA VAP 官方範圍不含資安）
   - 若引用了任何分析師定位，檢查是否符合引用紀律（報告名稱+日期+分析師）

6. 稽核結束後，請我提供稽核發現，你負責：
   - 更新 registry/audit-findings.yml
   - 比對是否為重複發現（同一控制項在不同客戶稽核中重複出現）
   - 為每個發現建立 GitHub Issue 並連結到對應控制項

F.8 Issue 範本

.github/ISSUE_TEMPLATE/gap.yml

name: 落地缺口 (Gap)
description: 由評估或稽核發現的控制項缺口
title: "[GAP][ZONE][CONTROL-ID] "
labels: ["gap"]
body:
  - type: input
    id: control_id
    attributes:
      label: 控制項 ID
      placeholder: NET-02
    validations:
      required: true
  - type: dropdown
    id: zone
    attributes:
      label: 分區
      options: ["Z1 全球", "Z2 中國", "Z3 客戶專案", "Z4 產品開發", "Z5 廠務 OT"]
    validations:
      required: true
  - type: dropdown
    id: current_score
    attributes:
      label: 目前自評分數
      options: ["0 未執行", "1 臨時性", "2 已文件化執行", "3 已管理"]
    validations:
      required: true
  - type: input
    id: target_score
    attributes:
      label: 目標分數
    validations:
      required: true
  - type: textarea
    id: evidence
    attributes:
      label: 現況證據
      description: 目前有什麼文件/報表/設定可以證明現況？沒有的話請寫「無」
    validations:
      required: true
  - type: textarea
    id: compensating
    attributes:
      label: 補償控制
      description: 在缺口未關閉前，有什麼替代措施降低風險？
  - type: dropdown
    id: driver
    attributes:
      label: 驅動因素
      options:
        - 法規截止日（不可延後）
        - 客戶要求
        - 常見失敗模式前十項
        - 風險降低
    validations:
      required: true
  - type: input
    id: deadline
    attributes:
      label: 外部截止日（若有）
      placeholder: 2026-09-11
  - type: input
    id: effort
    attributes:
      label: 預估工作量（人天）
  - type: textarea
    id: acceptance
    attributes:
      label: 驗收標準
      description: 引用手冊該章的「可稽核產出」
    validations:
      required: true

.github/ISSUE_TEMPLATE/regulatory-change.yml

name: 法規變更 (Regulatory Change)
description: 追蹤外部法規或標準的變更及其影響
title: "[REG] "
labels: ["regulatory"]
body:
  - type: input
    id: regulation
    attributes:
      label: 法規/標準名稱（保留原文）
      placeholder: EU Cyber Resilience Act — Regulation (EU) 2024/2847
    validations:
      required: true
  - type: input
    id: change_date
    attributes:
      label: 變更/生效日期
    validations:
      required: true
  - type: input
    id: source_url
    attributes:
      label: 官方來源 URL
    validations:
      required: true
  - type: dropdown
    id: evidence_level
    attributes:
      label: 證據等級
      options: ["已證實", "廠商主張", "第三方評論", "尚未證實"]
    validations:
      required: true
  - type: textarea
    id: impact
    attributes:
      label: 對本集團的影響
      description: 影響哪些分區、哪些控制項、哪些產品線
    validations:
      required: true
  - type: textarea
    id: affected_controls
    attributes:
      label: 受影響的控制項 ID
  - type: textarea
    id: manual_sections
    attributes:
      label: 需更新的手冊章節

F.9 使用本套件的三個注意事項

1. repo 必須是 private。它包含集團的控制項現況、自評分數與缺口清單——這對攻擊者是高價值情報。建議另設 branch protection、required reviews 與 CODEOWNERS。
2. 不要把實際證據提交到 repo。evidence/index.yml 只放索引（文件名稱、存放系統、負責人、更新日期）。實際的截圖、日誌、稽核報告放在文件管理系統中，並依第 16 章的資料分類保護。
3. CI 本身是攻擊面。除了本附錄已納入的 SHA 釘選、最小 permissions、--require-hashes 之外，建議：
   • 定期檢視 repo 的 Actions 使用清單，移除不再需要的
   • 對 self-hosted runner 特別謹慎（Shai-Hulud 2.0 即建立 workflow 作為 self-hosted runner 持久化）
   • 監控 repo 中新增的 workflow 檔案

↑ 回附錄目錄

本清單記錄本次研究中無法回溯至可靠一手來源、或來源互相矛盾的項目。列出它們是為了避免它們在未來被誤當成已證實資訊使用。

截至 2026-09-29：已結案 13 項（#10、#11、#14、#15、#16、#22、#24、#25、#27、#28、#30、#31、#60，保留於表中以利追溯），仍待查證 49 項。

G.1 標準與框架（20 項）

G.2 法規（12 項）

G.3 市場與分析師報告（13 項）

G.4 數據與 benchmark（8 項）

G.5 事件（9 項）

G.6 使用本清單的方式

1. 這份清單本身應納入 repo（registry/verification-gaps.yml），並在每次維護時檢視是否已可補證
2. 對外文件不得引用本清單中的項目，除非已完成補證
3. 第 22 項（捷克廠納管）與第 27 項（CTPAT MSC）原為影響最大的兩項，已於 2026-09-29 結案；目前影響最大的未結項目為第 26 項（Affiliates Rule 暫停是否延長）
4. 本清單也是採購標準正本的預算理由：第 2–7 項全部需要購買 ISO/IEC 標準正本才能解決

↑ 回附錄目錄

原版查證：2026-08-30；重要時效資訊更新：2026-09-29。以下依主題分類；時效更新新增的來源已併入各分類。

H.1 標準機構

NIST

• NIST Cybersecurity Framework — https://www.nist.gov/cyberframework
• The NIST Cybersecurity Framework (CSF) 2.0 — https://www.nist.gov/publications/nist-cybersecurity-framework-csf-20
• NIST.CSWP.29.pdf — https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf
• CSF 2.0 Quick Start Guides — https://www.nist.gov/cyberframework/quick-start-guides
• CSF 2.0 Informative References — https://www.nist.gov/cyberframework/informative-references
• OLIR Informative Reference Catalog — https://csrc.nist.gov/projects/olir/informative-reference-catalog
• SP 800-207 — https://csrc.nist.gov/pubs/sp/800/207/final
• SP 800-207A — https://csrc.nist.gov/pubs/sp/800/207/a/final
• SP 1800-35（Final 2025-06-10） — https://csrc.nist.gov/pubs/sp/1800/35/final
• Zero Trust Architecture 全文站 — https://pages.nist.gov/zero-trust-architecture/
• SP 800-53 Rev.5（Release 5.2.0） — https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
• SP 800-61r3 — https://csrc.nist.gov/pubs/sp/800/61/r3/final
• SP 800-161r1 upd1 — https://csrc.nist.gov/pubs/sp/800/161/r1/upd1/final
• SP 800-171r3 — https://csrc.nist.gov/pubs/sp/800/171/r3/final
• SP 800-172r3（2026-05-13） — https://csrc.nist.gov/pubs/sp/800/172/r3/final
• SP 800-218（SSDF v1.1） — https://csrc.nist.gov/pubs/sp/800/218/final
• SP 800-218A — https://csrc.nist.gov/pubs/sp/800/218/a/final
• SP 800-63-4 — https://www.nist.gov/publications/nist-sp-800-63-4-digital-identity-guidelines
• NIST AI 600-1 — https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.600-1.pdf
• IR 8183r1（Manufacturing Profile, Final） — https://csrc.nist.gov/pubs/ir/8183/r1/final
• IR 8183r2 ipd（2025-09-29） — https://csrc.nist.gov/pubs/ir/8183/r2/ipd
• IR 8546 ipd（Semiconductor Profile, 2025-02-27） — https://csrc.nist.gov/pubs/ir/8546/ipd
• NCCoE Semiconductor Profile 專案頁 — https://www.nccoe.nist.gov/projects/cybersecurity-framework-profile-semiconductor-manufacturing

ISO / IEC

• ISO/IEC 27001 — https://www.iso.org/standard/27001
• ISO/IEC 27001 Amd 1:2024 — https://www.iso.org/standard/88435.html
• ISO/IEC 27002 — https://www.iso.org/standard/75652.html
• ISO/IEC 27005 — https://www.iso.org/standard/80585.html
• ISO/IEC 27017（Ed.2, 2026-07-27） — https://www.iso.org/standard/27017
• ISO/IEC 27018（Ed.3, 2025-08） — https://www.iso.org/standard/27018
• ISO/IEC 27701（Ed.2, 2025-10-14） — https://www.iso.org/standard/27701
• ISO/IEC 27036-1 — https://www.iso.org/standard/82905.html
• ISO/IEC 27036-2 — https://www.iso.org/standard/82060.html
• ISO 22301 — https://www.iso.org/standard/75106.html
• ISO/IEC 29147 — https://www.iso.org/standard/72311.html
• ISO/IEC 30111 — https://www.iso.org/standard/69725.html
• ISO/IEC 20153（CSAF v2.0） — https://www.iso.org/standard/89986.html
• ISO/IEC 5962:2021（= SPDX 2.2.1） — https://www.iso.org/standard/81870.html
• ISO/SAE 21434 — https://www.iso.org/standard/70918.html
• IAF MD 26 Issue 2（轉版期限 2025-10-31） — https://iaf.nu/iaf_system/uploads/documents/IAF_MD26_Issue_2_15012023.pdf

IEC Webstore

• IEC TS 62443-1-1 — https://webstore.iec.ch/en/publication/7029
• IEC PAS 62443-1-6（2025-12-19） — https://webstore.iec.ch/en/publication/102885
• IEC 62443-2-1:2024 Ed.2 — https://webstore.iec.ch/en/publication/62883
• IEC 62443-2-4:2023 Ed.2 — https://webstore.iec.ch/en/publication/67631
• IEC 62443-3-2:2020 — https://webstore.iec.ch/en/publication/30727
• IEC 62443-3-3:2013 — https://webstore.iec.ch/en/publication/7033
• IEC 62443-4-1:2018 — https://webstore.iec.ch/en/publication/33615
• IEC 62443-4-2:2019 — https://webstore.iec.ch/en/publication/34421
• IEC TS 62443-6-2:2025 — https://webstore.iec.ch/en/publication/67463
• ISA/IEC 62443 Series — https://www.isa.org/standards-and-publications/isa-standards/isa-iec-62443-series-of-standards
• ISAGCA — https://isagca.org/
• ISAGCA/IIC Security Maturity Model — https://www.isagca.org/hubfs/2023%20ISA%20Website%20Redesigns/ISAGCA/PDFs/SMM-62443-Asset-Owner-Product-Supplier-Service_20230809.pdf

其他標準

• CIS Controls — https://www.cisecurity.org/controls
• CIS Controls v8.1 — https://www.cisecurity.org/controls/v8-1
• CIS Implementation Groups（153 Safeguards） — https://www.cisecurity.org/controls/implementation-groups
• CIS Community Defense Model v2.0 — https://www.cisecurity.org/insights/white-papers/cis-community-defense-model-2-0
• DOE C2M2 — https://www.energy.gov/ceser/cybersecurity-capability-maturity-model-c2m2
• SEMI 半導體資安標準 — https://www.semi.org/en/industry-groups/semiconductor-cybersecurity/standards
• SLSA spec — https://slsa.dev/spec/
• SPDX releases — https://github.com/spdx/spdx-spec/releases
• SPDX 3.0.1 spec — https://spdx.github.io/spdx-spec/v3.0.1/
• CycloneDX specification — https://cyclonedx.org/specification/overview/
• ECMA-424 — https://ecma-international.org/publications-and-standards/standards/ecma-424/
• FIRST PSIRT Services Framework — https://www.first.org/standards/frameworks/psirts/
• FIRST PSIRT SF v1.1 PDF — https://www.first.org/standards/frameworks/psirts/FIRST_PSIRT_Services_Framework_v1.1.pdf
• FIRST CVSS v4.0 — https://www.first.org/newsroom/releases/20231101
• EPSS v4 — https://research.empiricalsecurity.com/research/introducing-epss-version-4
• OASIS CSAF → ISO/IEC 20153 — https://www.oasis-open.org/2025/05/20/csaf-v2-approved-as-iso-iec-international-standard/
• OWASP LLM Top 10 2026 — https://genai.owasp.org/resource/owasp-genai-llm-top-10-2026/
• OWASP Top 10 for Agentic Applications 2026 — https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/
• OWASP Non-Human Identities Top 10 (2025) — https://owasp.org/www-project-non-human-identities-top-10/
• MITRE D3FEND（1.6.0） — https://d3fend.mitre.org/
• MITRE ATLAS atlas-data releases（v2026.09） — https://github.com/mitre-atlas/atlas-data/releases
• EPSS 研究頁（模型沿革） — https://www.first.org/epss/research
• OASIS CSAF 2.1 草案目錄 — https://docs.oasis-open.org/csaf/csaf/v2.1/
• CycloneDX 規格 releases（1.7.2） — https://github.com/CycloneDX/specification/releases
• SLSA v1.2 Source Track 要求 — https://slsa.dev/spec/v1.2/source-requirements
• MITRE ATT&CK Evaluations Library — https://github.com/attackevals/ael
• NIST SP 800-82 Rev. 4 初始公開草案（2026-09-21） — https://csrc.nist.gov/pubs/sp/800/82/r4/ipd
• NIST SP 800-63-4 定稿（2025-07-31） — https://csrc.nist.gov/pubs/sp/800/63/4/final
• NIST AI RMF（修訂中說明） — https://www.nist.gov/itl/ai-risk-management-framework
• NIST IR 8596 Cyber AI Profile（iprd） — https://csrc.nist.gov/pubs/ir/8596/iprd
• NIST IR 8536 Supply Chain Traceability（2026-09-09） — https://csrc.nist.gov/pubs/ir/8536/final

H.2 政府與監理機關

美國

• CISA Known Exploited Vulnerabilities Catalog — https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• CISA ED 25-03（Cisco） — https://www.cisa.gov/news-events/directives/ed-25-03-identify-and-mitigate-potential-compromise-cisco-devices
• CISA AA24-038A（Volt Typhoon） — https://www.cisa.gov/news-events/cybersecurity-advisories/aa24-038a
• CISA Salt Typhoon 聯合公告（2025-08-27） — https://www.cisa.gov/news-events/alerts/2025/08/27/cisa-and-partners-release-joint-advisory-countering-chinese-state-sponsored-actors-compromise
• CISA XZ Utils Alert（CVE-2024-3094） — https://www.cisa.gov/news-events/alerts/2024/03/29/reported-supply-chain-compromise-affecting-xz-utils-data-compression-library-cve-2024-3094
• CISA tj-actions Alert（CVE-2025-30066） — https://www.cisa.gov/news-events/alerts/2025/03/18/supply-chain-compromise-third-party-tj-actionschanged-files-cve-2025-30066-and-reviewdogaction
• CISA npm Shai-Hulud Alert（2025-09-23） — https://www.cisa.gov/news-events/alerts/2025/09/23/widespread-supply-chain-compromise-impacting-npm-ecosystem
• CISA Zero Trust Maturity Model — https://www.cisa.gov/zero-trust-maturity-model
• CISA ZTMM v2.0 PDF — https://www.cisa.gov/sites/default/files/2023-04/zero_trust_maturity_model_v2_508.pdf
• CISA Secure by Design — https://www.cisa.gov/securebydesign
• CISA Minimum Requirements for VEX — https://www.cisa.gov/sites/default/files/2023-04/minimum-requirements-for-vex-508c.pdf
• DoD Zero Trust Reference Architecture v2.0 — DoD Zero Trust Reference Architecture v2.0
• DoD CIO CMMC — https://dodcio.defense.gov/CMMC/
• DoW 暫停 CMMC Phase II（2026-07-13） — https://www.war.gov/News/Releases/Release/Article/4542329/
• 32 CFR Part 170 CMMC Program（Federal Register） — https://www.federalregister.gov/documents/2024/10/15/2024-22905/cybersecurity-maturity-model-certification-cmmc-program
• 48 CFR DFARS Case 2019-D041 — https://www.federalregister.gov/documents/2025/09/10/2025-17359/defense-federal-acquisition-regulation-supplement-assessing-contractor-implementation-of
• DFARS 252.204-7021 — https://www.acquisition.gov/dfars/252.204-7021-contractor-compliance-cybersecurity-maturity-model-certification-level-requirements.
• BIS EAR — https://www.bis.gov/regulations/ear
• DDTC（ITAR） — https://www.pmddtc.state.gov/
• SEC 資安揭露規則新聞稿 2023-139 — https://www.sec.gov/newsroom/press-releases/2023-139
• DOJ APT41 起訴書新聞稿 — https://www.justice.gov/archives/opa/pr/seven-international-cyber-defendants-including-apt41-actors-charged-connection-computer
• CBP CTPAT Minimum Security Criteria — https://www.cbp.gov/border-security/ports-entry/cargo-security/c-tpat-customs-trade-partnership-against-terrorism/apply/security-criteria
• CBP CTPAT Foreign Manufacturers MSC — https://www.cbp.gov/border-security/ports-entry/cargo-security/ctpat/security-guidelines/foreign-manufacturers
• CBP Foreign Manufacturers MSC（2021-10）PDF — https://www.cbp.gov/sites/default/files/assets/documents/2023-Feb/CTPAT%20Foreign%20Manufacturers%20MSC%20October%202021%20%28508%29_0.pdf
• DFARS 類別偏離 2026-O0025 Rev.3 — https://www.acq.osd.mil/dpap/dars/classdev/DFARS_RFO/Part-240/2026-O0025_Rev3_TAB_A_Deviation_Memo.pdf
• BIS Affiliates Rule（90 FR 47201） — https://www.federalregister.gov/documents/2025/09/30/2025-19001/
• BIS Affiliates Rule 暫停一年（90 FR 50857） — https://www.federalregister.gov/documents/2025/11/12/2025-19846/
• CISA Secure by Design Pledge — https://www.cisa.gov/securebydesign/pledge

歐盟

• EU CRA 官方摘要 — https://digital-strategy.ec.europa.eu/en/policies/cra-summary
• EU CRA 官方頁 — https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act
• CRA Reporting Obligations — https://digital-strategy.ec.europa.eu/en/policies/cra-reporting
• CRA Standardisation（M/606） — https://digital-strategy.ec.europa.eu/en/policies/cra-standardisation
• EUR-Lex CELEX:32024R2847（CRA） — https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A32024R2847
• ENISA Single Reporting Platform — ENISA Single Reporting Platform
• ENISA Threat Landscape 2025 (v1.2) — https://www.enisa.europa.eu/sites/default/files/2026-01/ENISA%20Threat%20Landscape%202025_v1.2.pdf
• ENISA Threat Landscape 2026 — ENISA Threat Landscape 2026
• ENISA CRA 通報平台上線 — ENISA 官方公告
• ENISA CRA 通報平台 FAQ — ENISA 官方問答
• NIST SSDF v1.2 草案 — NIST 草案頁
• EU Data Act 原文 — EUR-Lex
• EC NIS2 移送 CJEU 新聞稿（2026-07-08） — https://ec.europa.eu/commission/presscorner/detail/en/ip_26_1499
• EC NIS2 formal notice（2024-11-28） — https://digital-strategy.ec.europa.eu/en/news/commission-calls-23-member-states-fully-transpose-nis2-directive
• EU RED 官方頁 — https://single-market-economy.ec.europa.eu/sectors/electrical-and-electronic-engineering-industries-eei/radio-equipment-directive-red_en
• Delegated Regulation (EU) 2023/2444 — https://eur-lex.europa.eu/eli/reg_del/2023/2444/oj/eng
• Commission Implementing Decision (EU) 2025/138（EN 18031 限制） — https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=OJ:L_202500138
• GDPR — https://eur-lex.europa.eu/eli/reg/2016/679/oj
• EU Data Act — https://digital-strategy.ec.europa.eu/en/policies/data-act
• Council AI Act Digital Omnibus（2026-06-29） — https://www.consilium.europa.eu/en/press/press-releases/2026/06/29/artificial-intelligence-council-gives-final-green-light-to-simplify-and-streamline-rules/
• EC AI Omnibus enters into force（2026-07-27） — https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force
• Regulation (EU) 2026/1744（OJ） — https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=OJ:L_202601744
• AI Act Service Desk 實施時程 — https://ai-act-service-desk.ec.europa.eu/en/ai-act/timeline/timeline-implementation-eu-ai-act
• 捷克 Zákon č. 264/2025 Sb.（e-Sbírka） — https://www.e-sbirka.cz/sb/2025/264
• 捷克 Vyhláška č. 408/2025 Sb.（e-Sbírka） — https://www.e-sbirka.cz/sb/2025/408
• ETSI 啟動 17 項 CRA 歐洲標準核准程序（2026-08-13） — https://www.etsi.org/newsroom/press-releases/etsi-launches-approval-process-for-17-european-standards-supporting-the-cyber-resilience-act/
• ENISA Threat Landscape 2026 報告 PDF — https://www.enisa.europa.eu/sites/default/files/2026-09/ENISA%20Threat%20Landscape%202026_Final.pdf
• EU AEO — https://taxation-customs.ec.europa.eu/customs-4/aeo-authorised-economic-operator_en
• EU AEO 法規頁 — https://taxation-customs.ec.europa.eu/customs/authorised-economic-operator/legislation-and-management-instruments_en
• NÚKIB 入口（捷克） — https://portal.nukib.gov.cz/

中國

• NPC Observer — Cybersecurity Law — https://npcobserver.com/legislation/cybersecurity-law/
• NPC Observer — Data Security Law — https://npcobserver.com/legislation/data-security-law/
• NPC Observer — PIPL — https://npcobserver.com/legislation/personal-information-protection-law/
• 中國司法部英譯《網路數據安全管理條例》 — https://en.moj.gov.cn/pdf/RegulationsonNetworkDataSecurityManagement.pdf
• China Law Translate — 促進和規範數據跨境流動規定 — https://www.chinalawtranslate.com/en/Provisions-on-Promoting-and-Regulating-the-Cross--Border-Flow-of-Data/

台灣

• 金管會 2023-03-09 資安人力分級新聞稿 — https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202303090003&dtable=News
• 金管會 2024-03-05 精進措施 — https://www.fsc.gov.tw/ch/home.jsp?id=96&parentpath=0,2&mcustomize=news_view.jsp&dataserno=202403050004&dtable=News
• 金管會證期局資安人力新聞稿 — https://www.sfb.gov.tw/ch/home.jsp?id=95&parentpath=0%2C2&mcustomize=news_view.jsp&dataserno=202301180010&dtable=News
• 證交所公司治理中心 — 115 年 ESG 評鑑指標評分指南（S-12） — https://cgc.twse.com.tw/static/20260130/8a828e179b9664ed019c0df9bf95001e_115%E5%B9%B4ESG%E8%A9%95%E9%91%91%E6%8C%87%E6%A8%99_%E8%A9%95%E5%88%86%E6%8C%87%E5%8D%97.xlsx
• TWSE 公司治理評鑑指標 2.24（114 年） — https://cgc.twse.com.tw/static/20250331/8a828e1795e942d60195eb92a6c5002b_114%E5%B9%B4%E5%85%AC%E5%8F%B8%E6%B2%BB%E7%90%86%E8%A9%95%E9%91%91_%E5%8F%83%E8%80%83%E7%AF%84%E4%BE%8B_%E6%8C%87%E6%A8%992.24.pdf
• TWSE 重大訊息參考問答集（115 年 3 月版） — https://dsp.twse.com.tw/public/static/downloads/listedCompany/%E3%80%8C%E9%87%8D%E5%A4%A7%E8%A8%8A%E6%81%AF%E7%99%BC%E5%B8%83%E6%87%89%E6%B3%A8%E6%84%8F%E4%BA%8B%E9%A0%85%E5%8F%83%E8%80%83%E5%95%8F%E7%AD%94%E9%9B%86%E3%80%8D11503_20260326104906.pdf
• 全國法規資料庫 — 資通安全管理法 沿革（2025-09-24 公布、2025-12-01 施行） — https://law.moj.gov.tw/LawClass/LawHistory.aspx?pcode=A0030297
• 全國法規資料庫 — 個人資料保護法 — https://law.moj.gov.tw/LawClass/LawAll.aspx?pcode=I0050021
• 個人資料保護委員會籌備處 — 最新消息（子法預告） — https://www.pdpc.gov.tw/News/20/
• 行政院公報 — 國家核心關鍵技術項目清單修正公告（2026-02-13） — https://gazette.nat.gov.tw/egFront/detail.do?metaid=163728
• 證交所公司治理中心 — 評鑑概況（115 年 ESG 評鑑 S-12） — https://cgc.twse.com.tw/front/evaluationOverview
• 國家網信辦 — 網絡數據安全風險評估辦法公告（2026-06-18） — https://www.cac.gov.cn/2026-06/18/c_1783525609815499.htm
• 國家網信辦 — 法規公告（2025-10-17） — https://www.cac.gov.cn/2025-10/17/c_1762449728720008.htm
• 國家網信辦 — 法規公告（2026-09-11） — https://www.cac.gov.cn/2026-09/11/c_1790876549989064.htm
• 國家標準全文公開系統 — GB/T 22239-2019 — https://std.samr.gov.cn/gb/search/gbQueryPage?searchText=22239
• 上市上櫃公司資通安全管控指引（櫃買中心） — https://dsp.tpex.org.tw/storage/co_download/%E4%B8%8A%E5%B8%82%E4%B8%8A%E6%AB%83%E5%85%AC%E5%8F%B8%E8%B3%87%E9%80%9A%E5%AE%89%E5%85%A8%E7%AE%A1%E6%8E%A7%E6%8C%87%E5%BC%95.pdf
• 行政院資通安全管理法修正草案新聞稿 — https://www.ey.gov.tw/Page/9277F759E41CCD91/9c1b42cb-ebb2-4647-b2d6-2431ff1dfcb1
• 中央社：資安法修正三讀（2025-08-29） — https://www.cna.com.tw/news/aipl/202508290240.aspx
• 國科會國家核心關鍵技術增修預告 — https://www.nstc.gov.tw/folksonomy/detail/c3cad8e2-cf8b-4fb5-be03-0ace3e433321?l=ch

H.3 威脅情報與事件

• IBM Think — X-Force 製造業 — https://www.ibm.com/think/news/x-force-threat-intelligence-index-manufacturing-most-vulnerable-hacking
• Manufacturing Dive — X-Force 2026 — https://www.manufacturingdive.com/news/manufacturing-sector-saw-most-cyberattacks-in-2025-IBM-X-Force/813063/
• Verizon 2026 DBIR 製造業快照 — https://www.verizon.com/business/resources/reports/2026-dbir-manufacturing-snapshot.pdf
• Verizon 2025 DBIR 製造業快照 — https://www.verizon.com/business/resources/infographics/2025-dbir-manufacturing-snapshot.pdf
• Verizon 2026 DBIR 執行摘要 — https://www.verizon.com/business/resources/executivebriefs/2026-dbir-executive-summary.pdf
• Verizon 2025 DBIR 新聞稿 — https://www.verizon.com/about/news/2025-data-breach-investigations-report
• Dragos 2026 Year in Review 新聞稿 — https://www.dragos.com/resources/press-release/dragos-2026-year-in-review-new-ot-threats-ransomware
• Dragos 2025 Year in Review 新聞稿 — https://www.dragos.com/resources/press-release/dragos-reports-ot-ics-cyber-threats-escalate-amid-geopolitical-conflicts-and-increasing-ransomware-attacks
• CrowdStrike 2026 Global Threat Report — https://www.crowdstrike.com/en-us/press-releases/2026-crowdstrike-global-threat-report/
• Sophos State of Ransomware in Manufacturing 2025 — https://www.sophos.com/en-us/blog/the-state-of-ransomware-in-manufacturing-and-production-2025
• Sophos State of Ransomware 2026 — https://www.sophos.com/en-us/content/state-of-ransomware
• Acronis 揭露 Red Heron 利用 Gitea 漏洞攻擊台灣工業自動化業者（iThome，2026-09-22） — https://www.ithome.com.tw/news/179107
• Mandiant M-Trends 2025 — https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2025/
• M-Trends 2026（Help Net Security 轉述） — https://www.helpnetsecurity.com/2026/03/24/mandiant-m-trends-2026-report/
• Proofpoint「Phish and Chips」（台灣半導體） — https://www.proofpoint.com/us/blog/threat-insight/phish-china-aligned-espionage-actors-ramp-up-taiwan-semiconductor-targeting
• Microsoft — Silk Typhoon targeting IT supply chain — https://www.microsoft.com/en-us/security/blog/2025/03/05/silk-typhoon-targeting-it-supply-chain/
• Microsoft — SharePoint ToolShell — https://www.microsoft.com/en-us/security/blog/2025/07/22/disrupting-active-exploitation-of-on-premises-sharepoint-vulnerabilities/
• Google Cloud — Ivanti CVE-2025-22457 / UNC5221 — https://cloud.google.com/blog/topics/threat-intelligence/china-nexus-exploiting-critical-ivanti-vulnerability
• Mandiant — 3CX 供應鏈 — https://cloud.google.com/blog/topics/threat-intelligence/3cx-software-supply-chain-compromise
• Unit 42 — Shai-Hulud 2.0 — https://unit42.paloaltonetworks.com/npm-supply-chain-attack/
• Kaspersky ICS-CERT Q2 2026 — https://ics-cert.kaspersky.com/publications/reports/2026/08/20/a-brief-overview-of-the-main-incidents-in-industrial-cybersecurity-q2-2026/
• Help Net Security — 工業勒索 Q2 2026 — https://www.helpnetsecurity.com/2026/08/11/industrial-ransomware-attacks-q2-2026/
• Emsisoft — MOVEit 統計 — https://www.emsisoft.com/en/blog/44123/unpacking-the-moveit-breach-statistics-and-analysis/
• Wiz — tj-actions 分析 — https://www.wiz.io/blog/github-action-tj-actions-changed-files-supply-chain-attack-cve-2025-30066

具名事件來源

• TSMC 2018 官方新聞稿 — https://pr.tsmc.com/english/news/1969
• SecurityWeek — TSMC / Kinmax — https://www.securityweek.com/tsmc-says-supplier-hacked-after-ransomware-group-claims-attack-on-chip-giant/
• Cybersecurity Dive — MKS Instruments — https://www.cybersecuritydive.com/news/mks-ransomware-200-million-revenue/644000/
• The Record — Applied Materials — https://therecord.media/applied-materials-supply-chain-mks-ransomware-attack
• The Register — Data I/O 8-K — https://www.theregister.com/2025/08/22/data_io_ransomware_attack_temporarily/
• Cybersecurity Dive — Foxconn 2026 — https://www.cybersecuritydive.com/news/foxconn-confirms-cyberattack-affecting-some-north-american-facilities/820120/
• BleepingComputer — Foxconn 2020 — https://www.bleepingcomputer.com/news/security/foxconn-electronics-giant-hit-by-ransomware-34-million-ransom/
• BleepingComputer — Advantech — https://www.bleepingcomputer.com/news/security/iot-chip-maker-advantech-confirms-ransomware-attack-data-theft/
• BleepingComputer — Delta Electronics — https://www.bleepingcomputer.com/news/security/taiwanese-apple-and-tesla-contractor-hit-by-conti-ransomware/
• The Register — Compal — https://www.theregister.com/2020/11/09/compal_ransomware_report/
• Bloomberg — Quanta / REvil — https://www.bloomberg.com/news/articles/2021-04-21/apple-targeted-in-50-million-ransomware-hack-of-supplier-quanta
• Hydro Q3 2019 Report — https://www.hydro.com/Document/Index?name=Report+Q3+2019.pdf&id=252245
• Hydro Q4 2019 業績發布 — https://www.hydro.com/en/global/media/news/2020/fourth-quarter-2019-firm-response-in-weak-markets/
• Toyota Times — Kojima Industries — https://toyotatimes.jp/en/newscast/008.html
• The Record — Brunswick — https://therecord.media/marine-industry-giant-brunswick-lost-millions
• SecurityWeek — Clorox 成本 — https://www.securityweek.com/clorox-says-cyberattack-costs-exceed-49-million/
• BleepingComputer — Clorox 對 Cognizant 訴訟 — https://www.bleepingcomputer.com/news/security/hackers-fooled-cognizant-help-desk-says-clorox-in-380m-cyberattack-lawsuit/
• BleepingComputer — Johnson Controls — https://www.bleepingcomputer.com/news/security/johnson-controls-says-ransomware-attack-cost-27-million-data-stolen/
• UK Cyber Monitoring Centre — JLR 聲明 — https://cybermonitoringcentre.com/2025/10/22/cyber-monitoring-centre-statement-on-the-jaguar-land-rovercyber-incident-october-2025/
• SecurityWeek — Collins Aerospace / 歐洲機場 — https://www.securityweek.com/european-airport-cyberattack-linked-to-obscure-ransomware-suspect-arrested/
• BankInfoSecurity — ENISA 確認 Collins Aerospace 勒索 — https://www.bankinfosecurity.com/ransomware-behind-collins-aerospace-hack-enisa-says-a-29498
• BleepingComputer — Asahi / Qilin — https://www.bleepingcomputer.com/news/security/qilin-ransomware-claims-asahi-brewery-attack-leaks-data/
• CommonWealth（天下英文版）— 台積電 2nm 案判決 — https://english.cw.com.tw/article/article.action?id=4737
• The Register — TSMC 營業秘密案起訴 — https://www.theregister.com/2025/08/27/tsmc_trade_secret_thefts/
• Taipei Times — 台積電 2nm 案 — https://www.taipeitimes.com/News/taiwan/archives/2026/07/21/2003861105
• SCMP — Arup 深偽案 — https://www.scmp.com/news/hong-kong/law-and-crime/article/3263151/uk-multinational-arup-confirmed-victim-hk200-million-deepfake-scam-used-digital-version-cfo-dupe
• CNN — Arup — https://www.cnn.com/2024/05/16/tech/arup-deepfake-scam-loss-hong-kong-intl-hnk

H.4 分析師與市場

• Okta — Access Management MQ 2025-11-11 — https://www.okta.com/newsroom/press-releases/okta-named-a-leader-in-2025-gartner-magic-quadrant/
• BeyondTrust — PAM MQ 2025-10-13 — https://www.beyondtrust.com/resources/gartner-magic-quadrant-for-pam
• BankInfoSecurity — PAM MQ — https://www.bankinfosecurity.com/cyberark-delinea-beyondtrust-again-lead-gartner-mq-for-pam-a-26554
• BankInfoSecurity — Access Management MQ — https://www.bankinfosecurity.com/microsoft-ping-okta-dominate-access-management-gartner-mq-a-27214
• Saviynt — PAM MQ Challenger（自陳） — https://saviynt.com/press-release/saviynt-named-as-a-challenger-in-the-2025-gartner-magic-quadrant-for-privileged-access-management
• Omada — IGA Market Guide 2025-10-02 — https://tools.prnewswire.com/en-us/live/20823/release/20251008EN92634
• Gartner SASE Platforms MQ 2025 Reprint — https://www.prival.ca/wp-content/uploads/2025/07/Gartner.pdf
• Cato — SASE MQ 2026-07-28 — https://www.catonetworks.com/resources/gartner-magic-quadrant-for-sase-platforms-2026/
• Palo Alto — SSE MQ 2026-07-29 — https://www.paloaltonetworks.com/sase/gartner-sse-mq-leader-2026
• SDxCentral — SSE MQ — https://www.sdxcentral.com/news/netskope-palo-alto-networks-zscaler-continue-gartners-sse-domination/
• SDxCentral — Hybrid Mesh Firewall MQ — https://www.sdxcentral.com/news/fortinet-palo-alto-networks-top-gartners-hybrid-mesh-firewall-rankings/
• Fortinet — Hybrid Mesh Firewall MQ 2026（2026-09-10） — https://www.fortinet.com/corporate/about-us/newsroom/press-releases/2026/fortinet-named-a-leader-in-the-2026-gartner-magic-quadrant-report-for-hybrid-mesh-firewall
• Check Point — Hybrid Mesh Firewall MQ 2026（2026-09-10） — https://www.checkpoint.com/press-releases/check-point-named-a-leader-in-the-2026-gartner-magic-quadrant-for-hybrid-mesh-firewall/
• Pathlock — IGA Market Guide 2026（2026-09-04） — https://www.prnewswire.com/news-releases/pathlock-recognized-as-a-representative-vendor-in-the-2026-gartner-market-guide-for-identity-governance-and-administration-302870284.html
• Black Duck — Software Supply Chain Security MQ 首屆（2026-06-22） — https://www.prnewswire.com/news-releases/black-duck-named-a-leader-in-the-inaugural-2026-gartner-magic-quadrant-for-software-supply-chain-security-302806514.html
• Vectra — NDR MQ 2026-05-18 — https://www.vectra.ai/gartner-magic-quadrant-for-ndr
• SentinelOne — EPP MQ 2026-05-26 — https://www.sentinelone.com/press/sentinelone-named-a-leader-in-the-gartner-magic-quadrant-for-endpoint-protection-platforms-for-6th-consecutive-year/
• MITRE — ATT&CK Evaluations ER7（2025-12-10） — https://www.mitre.org/news-insights/news-release/mitre-attck-evaluations-advance-cloud-security-and-counter-espionage
• SecurityWeek — ER7 結果 — https://www.securityweek.com/mitre-posts-results-of-2025-attck-enterprise-evaluations/
• Infosecurity — 廠商退出 MITRE 評測 — https://www.infosecurity-magazine.com/news/cyber-vendors-pull-out-mitre/
• AV-Comparatives EDR 2026 — https://www.prnewswire.co.uk/news-releases/nine-enterprise-security-solutions-certified-in-av-comparatives-2026-edr-detection-validation-test-302770674.html
• Microsoft — SIEM MQ 2025-10-08 — https://www.microsoft.com/en-us/security/blog/2025/10/16/microsoft-named-a-leader-in-the-2025-gartner-magic-quadrant-for-siem/
• Gartner SIEM MQ 2024 Reprint — https://www.prival.ca/wp-content/uploads/2025/09/Gartner-Reprint.pdf
• eSentire — Gartner 無 MDR MQ — https://www.esentire.com/cybersecurity-fundamentals-defined/glossary/what-is-the-mdr-gartner-magic-quadrant-and-market-guide
• Bindplane — Telemetry Pipelines Market Guide 2025-09-02 — https://bindplane.com/gartner
• Simbian — Hype Cycle for Security Operations 2026 — https://simbian.ai/blog/gartner-hype-cycle-security-operations-2026-ai-soc-agents
• CrowdStrike — CTI MQ 2026-05-04 — https://www.businesswire.com/news/home/20260504118656/en/CrowdStrike-Named-a-Leader-in-the-Inaugural-2026-Gartner-Magic-Quadrant-for-Cyberthreat-Intelligence-Technologies
• Cyera — DSPM Market Guide — https://www.cyera.com/blog/2025-gartner-r-market-guide-for-data-security-posture-management
• SecuPi — Data Security Platforms MG 2025-03-26 — https://www.prweb.com/releases/secupi-recognized-in-the-2025-gartner-market-guide-for-data-security-platforms-302655853.html
• Wiz — CNAPP Market Guide 2025-08-05 — https://www.wiz.io/blog/unpacking-cnapp-gartner-market-guide
• Microsoft — Email Security MQ 2025-12-01 — https://www.microsoft.com/en-us/security/blog/2025/12/05/microsoft-named-a-leader-in-the-2025-gartner-magic-quadrant-for-email-security/
• Qualys — Exposure Assessment Platforms MQ 2025-11-10 — https://blog.qualys.com/product-tech/2025/11/24/from-vision-to-value-gartner-identifies-qualys-as-2025-magic-quadrant-leader-in-exposure-assessment-platforms
• Tenable — EAP MQ — https://www.tenable.com/press-releases/tenable-named-a-leader-in-the-2025-gartner-magic-quadrant-for-exposure-assessment
• Pentera — AEV Market Guide 2026-03-24 — https://pentera.io/gartner-market-guide-aev-2026/
• Horizon3.ai — AEV Market Guide 2026 — https://horizon3.ai/2026-gartner-market-guide-aev/
• Claroty — CPS Protection Platforms MQ 2026-03-03 — https://claroty.com/blog/claroty-named-a-leader-in-2026-gartner-magic-quadrant-for-cps-protection-platforms
• Nozomi Networks — CPS MQ 2026 — https://www.nozominetworks.com/gartner-magic-quadrant-cps-protection-platforms
• Blocks & Files — Backup MQ 2026-07-03 — https://www.blocksandfiles.com/data-protection/2026/07/03/veeam-leads-2026-gartner-backup-mq-by-a-whisker/5266085
• Gartner — 2024 Top Cybersecurity Trends — https://www.gartner.com/en/newsroom/press-releases/2024-02-22-gartner-identifies-top-cybersecurity-trends-for-2024
• Gartner — 2025 資安支出預測 — https://www.gartner.com/en/newsroom/press-releases/2025-07-29-gartner-forecasts-worldwide-end-user-spending-on-information-security-to-total-213-billion-us-dollars-in-2025
• IANS/Artico — Security Budget Benchmark 新聞稿 — https://www.prnewswire.com/news-releases/ians-research-and-artico-search-release-security-budget-benchmark-report-302521455.html
• IANS — Security Budgets Under Pressure — https://www.iansresearch.com/resources/all-blogs/post/security-blog/2025/08/05/security-budgets-under-pressure--how-cisos-can-navigate-tight-budget-constraints
• Heidrick & Struggles 2025 CISO Survey — https://www.heidrick.com/-/media/heidrickcom/publications-and-reports/2025-global-chief-information-security-officer-ciso-comp-survey.pdf
• Heidrick & Struggles 2024 CISO Survey — https://www.heidrick.com/-/media/heidrickcom/publications-and-reports/2024-global-ciso-organization-and-compensation-survey.pdf
• TechTarget — 集中式 vs 聯邦式資安模型 — https://www.techtarget.com/searchsecurity/tip/CISOs-guide-to-centralized-vs-federated-security-models
• Beacon Security — Purdue Model 2026 批評 — https://beaconsecurity.io/resources/blog/purdue-model-2026-ot-network-architecture
• CSO Online — CVE 計畫資金 — https://www.csoonline.com/article/4142600/cve-program-funding-secured-easing-fears-of-repeat-crisis.html
• Infosecurity — EUVD 上線 — https://www.infosecurity-magazine.com/news/european-vulnerability-database-us/
• Invicti — OWASP LLM Top 10 2026 分析 — https://www.invicti.com/blog/web-security/owasp-llm-top-10-2026-whats-new
• Veeam — 3-2-1 備份規則 — https://www.veeam.com/blog/321-backup-rule.html
• AEMT — Siemens True Cost of Downtime 2024（轉述） — https://www.theaemt.com/resource/the-true-cost-of-downtime-2024-a-comprehensive-analysis.html

H.5 客戶要求與產業

• Apple Supplier Code of Conduct v5 — https://s203.q4cdn.com/367071867/files/doc_downloads/2025/11/Supplier-Code-of-Conduct-and-Supplier-Responsibility-Standards.pdf
• Microsoft SSPA — https://www.microsoft.com/en-us/procurement/sspa
• Microsoft SSPA（Learn 文件） — https://learn.microsoft.com/en-us/compliance/assurance/assurance-supplier-security-and-privacy-assurance-program
• Google Cloud Vendor Security Assessment（Google 作為受評方） — https://cloud.google.com/security/vendor-security-assessment
• NVIDIA PSIRT Policies — https://www.nvidia.com/en-us/product-security/psirt-policies/
• RBA Code of Conduct — https://www.responsiblebusiness.org/code-of-conduct/
• RBA VAP（範圍不含資安） — https://www.responsiblebusiness.org/vap/about-vap/
• ENX — VDA ISA 2027 — https://enx.com/en-US/news/isa2027/
• ENX — ISA 2027 與 ISA 6 對照紅線版 — https://enx.com/en-US/news/isa2027-redline
• RBA VAP Standard V8.1（2026-09-27） — https://www.responsiblebusiness.org/media/docs/RBA-VAP-Standard.pdf
• Microsoft Enterprise Access Model — https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-access-model

H.6 產業與公司資料

• 鴻海 FY2025 業績新聞稿（2026-03-16） — https://www.honhai.com/en-us/press-center/press-releases/latest-news/1978
• 鴻海 2024 ESG Insight Report — 鴻海 2024 ESG Insight Report
• Taiwan News — AI 伺服器代工營收（2026-01-09） — https://www.taiwannews.com.tw/news/6279683
• CommonWealth — AI 第二階段（2026-02-04） — https://english.cw.com.tw/article/article.action?id=4603
• 英業達 ESG 資安 — https://esg.inventec.com/en/corporate-governance/risk-governance/information-security-management
• 廣達風險管理 — https://www.quantatw.com/quanta/english/corporategovernance/riskmanagement.aspx
• 緯創 ESG 資安 — https://esg.wistron.com/en/governance/RM/InformationSecurity
• VentureOutsource — OEM/ODM/EMS/JDM 定義 — https://ventureoutsource.com/contract-manufacturing/what-difference-between-oem-cm-cem-ecm-ems-odm-jdm-design-house-contract-electronic-terms/
• Arnold & Porter — 中國跨境資料傳輸規則釐清 — https://www.arnoldporter.com/en/perspectives/advisories/2025/06/china-clarifies-cross-border-data-transfer-rules
• IAPP — 中國跨境資料傳輸 — https://iapp.org/news/a/chinas-new-cross-border-data-transfer-regulations-what-you-need-to-know-and-do
• Eversheds Sutherland — 捷克 NIS2 轉換 — https://ezine.eversheds-sutherland.com/eu-nis2-directive/czech-republic
• 理律法律事務所 — 個資法子法草案 — https://www.leeandli.com/TW/NewslettersDetail/7584.htm
• 宏鑑法律事務所 — 個資法 2025 修法 — https://www.chenandlin.com/tc/blog_detail106.htm
• iso27001security.com — ISO/IEC 27002 說明（第三方） — https://www.iso27001security.com/html/27002

↑ 回附錄目錄

↑ 回附錄目錄