enterprise-security-exception-review

エンタープライズセキュリティ例外レビュー

このスキルを使用して、エンタープライズセキュリティの例外、代替統制、顧客要件、リスク受容、有効期限、修正に関する質問を、担当者、ゲート、指標、復旧手順を含む具体的な成果物にまとめます。

ワークフロー

1. 顧客の要望、統制要件、現行標準、ギャップ、影響を受けるデータ、契約への影響、代替統制、担当者、有効期限の必要性、修正の実現可能性を特定します。
2. references/enterprise-security-exception-patterns.md を読みます。
3. 例外を、例外不要、文書化の不足、顧客固有の設定、代替統制、リスク受容、ロードマップの要望、契約の修正条項、または許容できないリスクに分類します。
4. 承認者、証拠、代替統制、顧客への連絡、有効期限、更新レビュー、修正計画、サポート／ランブックへの影響を定めます。
5. 例外レビュー、状態遷移図、意思決定表、イベントスキーマ、リスクチェックリスト、顧客対応計画を作成します。

使用しない場合

• このスキル固有の成果物要件がなくても、ベースモデルで対応できる一般的なアドバイスには使用しないでください。

ガードレール

• 担当者、有効期限、更新レビューを定めずに、顧客固有のセキュリティ例外を無期限に認めないでください。
• 証拠なしに、セキュリティ統制、認証、暗号化、データレジデンシー、ログ記録、SSO、保持期間の例外を営業が約束することを認めないでください。
• 他の顧客、共有インフラストラクチャ、または規制上のコミットメントをひそかに弱める例外を受け入れないでください。
• ロードマップ上の意図を、現在運用中の代替統制と混同しないでください。

出力形式

Security exception context:
Audience / source of truth / risk boundary:

Exception decision plan:
| Area | Decision | Evidence | Risk | Owner |
| --- | --- | --- | --- | --- |

Compensating controls, expiry, and remediation:
- <trigger> -> <policy, metric, edge case, support note>