支援的框架
資訊安全
- ISO/IEC 27001:2022
- NIST CSF
- SOC 2
- FIPS 140-3
金融與支付
- PCI-DSS
- SOX
- DORA
- Basel III
隱私保護
- GDPR
- HIPAA
- CCPA
- 臺灣個資法
開發安全
- OWASP Top 10
- CMMC 2.0
- SLSA
- CIS Controls
亞太地區
- APPI (Japan)
- ISMAP (Japan)
- K-ISMS (Korea)
- PIPA (Korea)
治理框架
- COBIT 2019
- ITIL v4
- TOGAF
- ISO/IEC 38500
AI 治理
- ISO/IEC 42001
- EU AI Act
- NIST AI RMF
- OWASP LLM Top 10
- OWASP Agentic Top 10
- 韓國 AI 基本法
- 臺灣 AI 基本法＋金管會指引
每次掃描同時對照全部 31 套內建框架，任何方案都一樣。
ForgeHelm 管的是哪一段
ISO 27001 這類標準稽核的是您的資訊安全管理制度，不是程式碼。ForgeHelm 提供的是技術控制在程式碼層的證據——安全開發、變更管理、弱點與相依套件、密碼學使用、存取控制這些；政策、風險評鑑與組織面的控制，仍由您與顧問完成。能不能通過稽核，取決於缺失有沒有修；我們不代替稽核機構判定。
合規報告包含什麼
框架覆蓋矩陣——哪些控制項在程式碼層已有證據、部分有、還沒找到
每一筆缺失指到具體檔案與行號
改善建議依風險排序
ISO 31000、NIST RMF 或 ISO 27005 的風險評估摘要
匯出 PDF、Excel、CSV 或 Word，六種語言
證據包可直接交給外部稽核人員——他們不必擁有您系統的帳號
31 套框架，深度不一樣
同樣是「對照」，程式碼層驗得出來的東西本來就有多有少。ISO 27001、SOC 2、NIST CSF、GDPR、PCI-DSS、CMMC、HIPAA、臺灣個資法這幾套，在程式碼與設定檔裡有大量可驗的技術控制，對照的條目最多；TOGAF、ITIL、COBIT、ISO 38500 這類治理框架，以及 SOX、Basel III、DORA 這類以契約與組織流程為主的規範，能在程式碼層驗的部分本來就少，對照較淺，報告會據實呈現哪些控制項找不到證據。想知道某一套框架實際對照哪些控制項，來信我們把清單給您。
ForgeHelm 不是原始碼弱點掃描（SAST）工具的替代品。安全面我們做的是規則式檢查（例如弱雜湊、寫死在程式碼裡的密碼、SQL 字串組裝）與框架控制項對照；需要深度弱點掃描時，ForgeHelm 與那類工具是並存關係。
其中 7 套是 AI 治理框架
ISO/IEC 42001、EU AI Act、NIST AI RMF、OWASP 的 LLM 與 Agentic 兩份 Top 10，以及韓國與臺灣的 AI 基本法。它們看的是程式碼裡用到 AI 的地方：有沒有 AI 使用清單、AI 呼叫有沒有留下記錄、有沒有能關掉 AI 的開關、金鑰有沒有外洩、模型怎麼載入、AI 代理能做哪些事、有沒有告知使用者正在與 AI 互動，一共 23 項檢查。專案沒有用到 AI 時，這 7 套顯示「不適用」，不影響其他框架的分數。
這是程式碼層證據的對照，不是合規認證，也不構成法律意見。每套框架只自動檢查一部分條文，報告會寫明「參考全集幾條、自動檢查幾條」，例如 EU AI Act 的 18 條技術義務，自動檢查其中 10 條，其餘屬組織、流程或法律判斷。只適用於特定類別的條文（歐盟的高風險系統、韓國的高影響 AI）另列為條件式準備度，不計入分數；貴系統屬不屬於那一類，由貴組織判定。條文與法規現況以 2026 年 9 月 28 日查證為準。