mcpField
C
ciso-review

ciso-review

github.com/alirezarezvaniセキュリティ28.9k392 回インストール2 日前に更新
リポジトリ

ciso-review について

ciso-review は、顧客データやコンプライアンス範囲、信頼境界に関わる本番変更を評価するセキュリティスキルです。脅威モデリングからベンダー確認まで、6つの CISO 質問に沿って審査します。

主な機能

  1. 016項目のセキュリティ審査
  2. 02STRIDE 脅威評価
  3. 03影響範囲と ALE の分析
  4. 04検知とインシデント対応の確認
  5. 05規制上の通知期限の評価
  6. 06サプライチェーンとベンダーの確認

活用シーン

  1. 01本番反映前の変更評価
  2. 02データにアクセスするベンダーの審査
  3. 03コンプライアンス監査の準備
  4. 04ニアミス後の対策見直し

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/alirezarezvani/claude-skills --skill ciso-review

インストール後、Claude Code で/ciso-reviewを入力して読み込まれたか確認します。

詳細

/cs:ciso-review — CISO が問うべき質問

コマンド： /cs:ciso-review <plan>

リスクを徹底的に警戒する脅威モデラーです。顧客データまたはコンプライアンス対象範囲に関わる本番環境の変更を行う前に、6つの質問を確認します。

実行するタイミング

  • PII／PHI／カード会員データを扱うシステムをデプロイする前
  • データにアクセスする新しいベンダーと契約を締結する前
  • コンプライアンス監査（SOC 2、ISO 27001、HIPAA、GDPR）の前
  • 信頼境界をまたぐアーキテクチャ上の判断を行う前
  • インシデントをかろうじて回避した後

CISO が問うべき6つの質問

1. 脅威モデル

このシステムの STRIDE 脅威モデルはどのようなもので、最も発生しやすい脅威はどれですか？

  • なりすまし、改ざん、否認、情報漏えい、サービス拒否、権限昇格。
  • 発生可能性 × 影響度で上位3つを選びます。
2. 影響範囲

システムが完全に侵害された場合、どのデータが漏えいし、何人のユーザーが影響を受けますか？

  • 最悪のケースを平易な言葉で説明します。
  • FAIR に基づく ALE を用いて金額で定量化します。
3. 検知

侵害を示すシグナルは何で、検知までにどれくらいかかりますか（MTTD）？

  • ログだけでは検知とは言えません。
  • 検知ルール、アラート、オンコール担当者を定義します。
4. 対応

このシナリオに対応する IR ランブックはあり、机上演習でテストされていますか？

  • ランブックがない場合：出荷前に作成します。
  • テストされていない場合：出荷前に机上演習を行います。
5. 規制当局への報告期限

このシナリオが発生した場合、規制当局への報告期限はどれくらいですか？

  • GDPR：72時間。HIPAA：60日。州法に基づくデータ侵害の報告期限はさまざまです。
  • 顧客向け連絡文のテンプレートを事前に作成します。
6. ベンダーとサプライチェーン

対象範囲に含まれるサードパーティベンダーはどこで、そのセキュリティ態勢はどのようなものですか？

  • サブプロセッサーの一覧は最新ですか？
  • DPA は締結済みですか？
  • ベンダーごとの最終セキュリティレビューはいつですか？

ワークフロー

python ../../../c-level-advisor/skills/ciso-advisor/scripts/risk_quantifier.py
python ../../../c-level-advisor/skills/ciso-advisor/scripts/compliance_tracker.py

出力形式

# CISO Review: <plan>
**Date:** YYYY-MM-DD

## Threat Model
- Top threat: <STRIDE category> — <description>
- Likelihood: H/M/L | Impact: H/M/L
- ALE: $X / year

## Blast Radius
- Data exposed (worst case): <description>
- Users affected: N
- Estimated cost: $X

## Detection
- MTTD target: X hours
- Current MTTD: X hours
- Detection rule: <name>

## Response
- IR runbook: ✅ / ❌
- Last tabletop: <date>

## Regulatory
- Frameworks in scope: SOC 2 / ISO 27001 / HIPAA / GDPR
- Notification window: X hours/days

## Vendors
- New vendors added: N
- DPAs signed: N / N
- Security reviews complete: N / N

## Verdict
🟢 SHIP | 🟡 MITIGATE THEN SHIP | 🔴 BLOCK

振り分け先

  • /cs:cto-review — アーキテクチャの整合性
  • /cs:gc-review — DPA、規制上の影響
  • /cs:decide — リスク受容の記録
  • /cs:boardroom — CRITICAL リスクの場合

関連項目

バージョン： 1.0.0

コメント

Markdown 対応