0.2・Evidence Grading
四級證據分級
本手冊所有事實性陳述均標註證據等級。這不是形式主義——資安領域充斥著「被重複一千次就變成事實」的數字，而採購決策與董事會報告若建立在無法回溯至一手來源的數字上，一旦被質疑，整份文件的可信度會一併崩塌。
依附錄 F 的維護規則：未標註等級的事實性陳述，視為錯誤，必須修正。
| 等級 | 定義 | 判定標準 | 使用限制 |
|---|---|---|---|
| 已證實 | 可回溯至一手／官方來源並經交叉比對 | 標準制定機構官方頁面、法規正式文本（EUR-Lex／Federal Register／全國法規資料庫）、主管機關新聞稿、上市公司財報或 SEC 申報、法院判決、受害組織官方聲明 | 可直接引用於對外文件與董事會報告 |
| 廠商主張 | 具名廠商自行發布之研究或行銷數據，未經獨立驗證 | 資安廠商年度報告（IBM、Verizon、Dragos、CrowdStrike、Mandiant、Sophos、Microsoft、Proofpoint）、廠商產品白皮書、廠商引述分析師報告之新聞稿 | 引用時須具名廠商與報告版本；不可作為採購決策的唯一依據 |
| 第三方評論 | 具名分析機構、測試機構或主流媒體之評論與整理 | Gartner／Forrester／IDC 報告內容之第三方轉述、AV-Comparatives／SE Labs／MITRE Evaluations 結果、律師事務所法規分析、主流媒體具名報導 | 引用時須註明機構與日期；分析師「Leader」定位不等同於適合本集團 |
| 尚未證實 | 廣泛流傳但本次查證無法回溯至可靠來源，或來源互相矛盾 | 攻擊者單方面宣稱、無出處的市場數字、來源間日期／數值衝突 | 不得寫入對外文件；本手冊仍列出以警示讀者不要引用 |
Verification Discipline
本手冊採用的三條查證紀律
紀律一
無來源不列入
研究過程中若干知名事件（如某台廠 2020 年事件、Polyfill.io、Ultralytics YOLO PyPI 污染）因無法取得受害方聲明或權威具名來源，即使廣為流傳亦不列入正文，僅於附錄 G「查證缺口清單」記錄。
紀律二
口徑必須一致才可比較
例如 Clorox 事件有 US$49M（SEC 申報之增量費用）與 US$356M（媒體含營收損失之估計）兩個數字，兩者不可互換；本手冊一律使用申報數字並註明口徑。
紀律三
時間序列必須方法一致才可畫趨勢
例如 Heidrick & Struggles 的 CISO 匯報線調查，2024 年為 14% 向 CEO、2025 年為 42%，但回答該題樣本由 370 降至 231 且未說明方法變更；本手冊僅引用單一年度數字並標註樣本數，不畫趨勢線。
0.3・Definition & Scope
名詞與範圍界定
資安防護網（Enterprise Cybersecurity Fabric）＝ 治理制度＋技術控制＋營運流程＋人員能力＋供應鏈約束，五者以一致的風險語言互相對齊，並能對內產出可稽核證據、對外產出可信任承諾的整體系統。
三個刻意的用詞選擇
- 用「網」（fabric）而非「堆疊」（stack）：因為 ODM 的資安不是由下往上的層層堆疊，而是必須同時滿足縱向（技術層）與橫向（法域、客戶、產品線）兩個維度的編織結構。單看縱向會漏掉「同一套 EDR 在中國區不能回傳遙測」這類問題。
- 包含「供應鏈約束」：因為 ODM 的資安邊界不止於自己的防火牆，還包括上游元件供應商與下游品牌客戶的合約義務。
- 強調「可稽核證據」與「可信任承諾」：因為 ODM 的資安產出物有兩個受眾——內部風險管理，以及通過客戶稽核以維持訂單。後者才是預算的真正來源。
範圍界定
| 納入 | 說明 |
|---|---|
| 企業 IT（OA、ERP、PLM、MES 介接層、雲端、SaaS） | 本手冊主體 |
| 廠區 IT（廠務網路、非氣隙 OT 區段的邊界） | 第 19 章，以 IT/OT 邊界治理為重點 |
| 產品安全（PSIRT、SBOM、CRA 合規） | 第 20 章，因 ODM 的產品即客戶的產品 |
| 供應鏈與第三方 | 第 21 章 |
| 人員、AI 使用治理 | 第 23 章 |
| 排除或僅點到為止 | 理由 |
|---|---|
| 氣隙 OT 深層（PLC、DCS、SIS 本體防護） | 需以 IEC 62443-3-3／-4-2 專篇處理，非 IT 資安防護網範疇 |
| 實體安全與門禁工程細節 | 屬 ISO 27001 A.7 範疇，本手冊僅處理其與 IT 的介面 |
| 個資法遵之逐條作業程序 | 屬法務／個資保護單位主責，本手冊僅處理技術控制介面 |
0.4・2026 Freshness Alerts
2026 年時效性警示：十六項必須更新的認知
以下每一項都是本次查證中發現「多數現有中文資料仍在使用過時版本」的關鍵點。若沿用舊資料，文件會在專業稽核或客戶技術審查時被指出錯誤。所列狀態均為查證基準日 2026-08-30 當日的狀態。
| # | 常見的過時認知 | 2026-08-30 的正確狀態（含 2026-09-29 更新） | 等級 |
|---|---|---|---|
| 1 | ISO/IEC 27017:2015 為雲端安全控制標準 | ISO/IEC 27017:2026 Ed.2 已於 2026-07-27 發行，2015 版同日撤銷（Withdrawn） | 已證實 |
| 2 | ISO/IEC 27018:2019、27701:2019 | 27018 已於 2025-08 改版為 Ed.3；27701 已於 2025-10-14 改版為 Ed.2 | 已證實 |
| 3 | ISO/IEC 27001:2013 證書仍可接受 | 轉版期已於 2025-10-31 屆滿（IAF MD 26 Issue 2）；供應商仍持 2013 版證書者，該證書已無效 | 已證實 |
| 4 | IEC 62443-2-1 為 2010 年版 | Ed. 2.0 於 2024-08-07 發行，以 8 個 Security Program Elements（ORG/CM/NET/COMP/DATA/USER/EVENT/AVAIL）重構，並刻意消除與 ISMS 的重複 | 已證實 |
| 5 | IEC 62443-2-4 為 2018 年版 | IEC 版已是 Ed. 2.0（2023-12-15）；但 ANSI/ISA 版仍為 2018——引用時必須註明是 IEC 版或 ISA 版 | 已證實 |
| 6 | MITRE ATT&CK 的 Defense Evasion 是單一戰術 | 自 v19（2026-04-28）起已拆分為「Stealth」與「Defense Impairment」兩個戰術；現行版本為 v19.2（2026-08-06），為 ATT&CK 首個 Agile release | 已證實 |
| 7 | NIST SP 800-61 Rev.2 的四階段事故應變生命週期 | Rev. 3（2025-04）已改寫為 CSF 2.0 Community Profile，不再使用四階段生命週期作為主結構 | 已證實 |
| 8 | NIST SP 1800-35 仍是草案 | 已於 2025-06-10 定稿，Volumes A–E，含 24 家夥伴的 19 套 ZTA 範例實作 | 已證實 |
| 9 | NIST SP 800-53 Rev.5（2020） | Release 5.2.0（2025-08-27） 已新增控制項並修訂既有控制 | 已證實 |
| 10 | CMMC Phase II 將於 2026-11-10 生效 | 美國 DoW 於 2026-07-13 宣布立即暫停 Phase II，2026-09 以 DFARS 類別偏離 2026-O0025 Rev.3 制度化；Phase I 自評與 DFARS 252.204-7012 仍有效 | 已證實 |
| 11 | 中國網路安全法為 2017 年版 | 2025-10-28 修正通過，2026-01-01 生效；罰鍰上限提高至 RMB 1,000 萬、個人責任 RMB 100 萬 | 已證實 |
| 12 | SPDX 3.0 已是 ISO 標準 | 錯誤。ISO/IEC 5962:2021 對應的是 SPDX 2.2.1；SPDX 3.0 目前僅在 ISO/IEC DIS 階段。現行規格為 SPDX 3.0.1（2024-12-17） | 已證實 |
| 13 | ECMA-424 = CycloneDX 1.6 | ECMA-424 2nd edition（2025-12）＝ CycloneDX v1.7 | 已證實 |
| 14 | OWASP Top 10 for LLM Applications 2025 為最新 | 2026 版已於 2026 年 8 月初發布；最大變動為 Excessive Agency 由 #6 升至 #3、System Prompt Leakage 更名為 Hidden Context Exposure（#8）、Improper Output Handling 由 #5 跌至 #10 | 已證實（OWASP 官方 PDF） |
| 15 | MITRE ATT&CK Evaluations 最新輪次為 Round 6 | 最新已公布結果為 Enterprise Round 7（2025-12-10），模擬對手為 Scattered Spider ＋ Mustang Panda，首度納入雲端與 Reconnaissance；Microsoft、SentinelOne、Palo Alto 均退出該輪評測 | 已證實 |
| 16 | Gartner 有 CNAPP／DSPM／IGA／MDR／SOAR 的 Magic Quadrant | 均不存在。CNAPP 只有 Market Guide（2025-08-05）、DSPM 只有 Market Guide 與 Buyer's Guide（2026-05-29）、IGA 只有 Market Guide（2026-08-28，前版 2025-10-02）、MDR 只有 Market Guide（2025-10-01）、SOAR 無 MQ。廠商常把 Market Guide 的 "Representative Vendor" 說成 "Leader" | 已證實 |
第 16 項的重要性
這一項值得單獨說明，因為它直接影響採購文件的正確性。本次查證確認：
- 「Magic Quadrant for Cloud-Native Application Platforms」是完全不同的市場（應用平台／PaaS，非資安），與 CNAPP 無關。把兩者混為一談是嚴重錯誤。
- Saviynt 在 2025 年 PAM MQ 的實際定位是 Challenger 而非 Leader，但其官方部落格曾以「Leader」措辭引流。
- Gartner Peer Insights 的 "Customers' Choice" 與 "Voice of the Customer" 是客戶評分，不是分析師評測。EASM、API Protection、Microsegmentation 目前只有這類客戶評分，沒有 MQ。
採購紀律建議：任何寫入 RFP 或簽核文件的分析師定位，都必須註明「報告正式名稱＋發布日期＋分析師姓名」。無法提供這三項者，一律視為廠商主張處理。