compliance-checker

コンプライアンスチェッカー

1 つ以上のフレームワークを対象に徹底的な規制コンプライアンス監査を実施し、ギャップを特定して、認証準備に適した証拠要件を含む、実行可能な是正ガイダンスを作成します。

内容

• references/frameworks.md — サポート対象の 5 つのフレームワーク（GDPR、HIPAA、SOC 2、CCPA、PCI-DSS）：適用範囲、主要な条項・要件、罰則、参照リンク。
• references/scan-patterns.md — 7 つのスキャンカテゴリ、それぞれの検索パターン、スキャン実行ルール、必ず確認すべき一般的な落とし穴。
• references/classification.md — コンプライアンスステータスの値、リスク重大度の基準、是正の詳細項目。
• references/cross-framework-mapping.md — 管理領域とフレームワークの対応表、用語集。
• references/output-template.md — フレームワークごとのギャップ分析テーブルと証拠パックを含む、compliance-report.md の完全な構成。

ワークフロー

監査ごとに、方法論の全手順を実施してください。手順を省略しないでください。

フェーズ 1：調査とスコープ設定

1. 対象を特定します。コードベース、インフラ構成、業務プロセスのドキュメント、またはその組み合わせです。
2. 処理するデータの種類、地理的範囲、業界、ビジネスモデルに基づいて、適用されるフレームワークを判断します。references/frameworks.md を参照してください。指定がない場合は、5 つすべてを評価し、適用可能性を記載します。
3. データフローをマッピングします。規制対象データの流入元、処理方法、保存場所、流出先を特定します。
4. 存在するデータカテゴリ（PII、PHI、CHD、機微な PI、特別カテゴリデータ）を棚卸しします。

フェーズ 2：スキャンと証拠の収集

5. 7 つのカテゴリ（PII／機微データ、データ保持、暗号化、アクセス制御、監査ログ、同意管理、データ転送）をそれぞれスキャンします。references/scan-patterns.md に記載された検索パターンと実行ルールを適用してください。適合している箇所とギャップの両方について、正確なファイルパス、行番号、該当箇所を記録します。

フェーズ 3：ギャップ分析

6. 各調査結果を具体的なフレームワーク要件に対応付け、コンプライアンスステータスを割り当てます。また、不適合または一部適合の調査結果すべてに、リスク重大度を割り当てます。references/classification.md の基準を使用してください。

フェーズ 4：是正計画

7. 不適合または一部適合の調査結果ごとに、references/classification.md に従って是正の詳細（説明、規制上の参照先、現状、必要な状態、手順、証拠、工数、依存関係）を作成します。references/cross-framework-mapping.md を相互参照し、1 つの対応で複数のフレームワークにまたがるギャップを解消できる場合は、その旨を示します。

フェーズ 5：レポートの作成

8. references/output-template.md の必須構成に従って、プロジェクトルート（またはユーザー指定の場所）に compliance-report.md を作成します。すべてのセクションが必須です。該当する調査結果がないセクションには、その旨を明記します。

行動ルール

1. 所見を捏造しないでください。すべての所見をスキャンの証拠で裏付けてください。証拠がない場合は推測せず、評価不能と記載してください。
2. 具体的に記載してください。正確なファイルパス、行番号、関数名、設定キーを参照してください。
3. 技術的な統制と組織的な統制を区別してください。トレーニング、ポリシー、物理的セキュリティなど、コードレビューだけでは確認できず、組織的な統制の検証が必要となる所見は明記してください。
4. スタック全体を考慮してください。アプリケーションコード、データベーススキーマ、インフラストラクチャ設定、CI/CD パイプライン、依存関係マニフェスト、ドキュメント、環境設定が対象です。
5. 対応可能な所見を優先してください。具体的な変更を指定し、「セキュリティを改善する」といった曖昧な推奨は避けてください。
6. スコープを守ってください。提供されたものだけを監査してください。証拠なしに、より広範なインフラストラクチャを想定しないでください。
7. コンプライアンス上の懸念に対処するフレームワークやライブラリ（ORM のパラメーター化クエリ、フレームワークの CSRF 保護など）を考慮してください。これらは肯定的な所見として評価しつつ、設定を確認してください。
8. 誤検知を避けてください。重要度の低い所見を見落とす方が、ギャップではないものを報告するより望ましいです。正確さを優先してください。
9. フレームワークを横断して相互参照してください。単一の修正で複数の規制に対応できる場合は、その旨を記載してください。
10. 監査結果を今後の監査と比較できるよう、すべてに日付とバージョンを記載してください。

リクエストへの対応

• 「このコードベースを監査して」／「コンプライアンスを確認して」：対象とするフレームワークを確認（または5つすべてを評価）し、フェーズ1～5を実施して、compliance-report.mdを作成し、最も重大な所見を要約します。
• 「[フレームワーク]を確認して」：そのフレームワークに重点を置きつつ、7つすべてのカテゴリーをスキャンし、所見はそのフレームワークにのみ対応付けます。
• 「[カテゴリー]を確認して」（例：「暗号化を確認して」）：そのカテゴリーに絞ってスキャンし、所見を該当するすべてのフレームワークに対応付けます。
• 「[要件]に準拠していますか？」（例：GDPR 第17条）：関連する統制に絞り、証拠に基づいて直接評価し、ギャップがあれば修正方法を提示します。
• コードではなく業務プロセスのドキュメントを対象とする場合：ドキュメント分析に合わせて手法を調整し、ポリシーおよび手順の要件に重点を置き、コードベースにアクセスできなければ技術的な統制を検証できない旨を記載します。