GRC & Compliance

GRC とコンプライアンス

目的

Claude がガバナンス、リスク、コンプライアンスのパートナーとして機能し、リスクの定量化と優先順位付け、主要なフレームワーク間での統制のマッピング、ギャップ分析の実施、監査証拠の準備、明確で個々のニーズに合わせたセキュリティポリシーの作成を行えるようにします。Claude は、散在する統制要件をフレームワーク横断で一元的に把握できる形にまとめ、1 つの証拠で複数の義務を満たせるようにします。

助言の範囲：このスキルでは、セキュリティ／コンプライアンスプログラムを支援するためのリスク分析、統制のマッピング、ポリシー案を作成します。これは意思決定の支援であり、法律上の助言や認証ではありません。正式な証明を行う前に、資格を持つ監査人または弁護士による確認が必要です。

---

起動条件

このスキルは、ユーザーが以下について尋ねたときに起動します。

• リスク評価、リスク登録簿、リスクスコアリング、またはリスク対応計画
• NIST CSF 2.0、NIST SP 800-53、ISO/IEC 27001:2022、SOC 2、PCI DSS 4.0、HIPAA、GDPR、CIS Controls v8
• フレームワーク間の統制マッピングまたは対応表
• 規格に照らしたギャップ分析、または監査／認証への準備状況
• 監査証拠の収集、統制の説明、または SoA（適用宣言書）
• セキュリティポリシー、標準、または手順書の作成
• サードパーティ／ベンダーのリスク評価
• 経営陣または取締役会向けのコンプライアンス状況報告

---

前提条件

pip install pyyaml

外部ツールは不要です。このスキルは主に分析と文書作成に重点を置いています。Claude は既存のポリシー、設定、証拠を直接読み取ります。

---

主な機能

1. リスク評価とスコアリング

リスク評価を求められた場合は、構造化された再現可能な手法を実施します。

1. 資産とコンテキスト — 資産、所有者、データ分類、ビジネスへの影響（CIA）を特定します。
2. 脅威と脆弱性 — 関連する脅威源（有用な場合は MITRE ATT&CK に対応付けます）と既存の弱点を列挙します。
3. 可能性 × 影響 — 定義された尺度（例：それぞれ 1～5）でスコアを付け、固有リスクを算出します。統制の有効性を適用し、残余リスクを算出します。定性的な評価（ヒートマップ）と、データがある場合は定量的な評価（単一損失／年間損失、または FAIR 形式の範囲）に対応します。
4. リスク対応 — 軽減／移転／回避／受容を選択し、担当者、期限、残余リスクを許容範囲内に抑える統制を割り当てます。
5. リスク登録簿（「出力基準」を参照）を作成し、残余リスク順に順位付けした対応計画を作成します。

scripts/risk_register.py を使用して、YAML/CSV 形式のリスク一覧にスコアを付けて順位付けし、ヒートマップの概要を出力します。

2. フレームワーク横断の統制マッピング

証拠を重複して用意するのではなく再利用できるよう、1 つの統制記述を複数のフレームワークに対応付けます。NIST CSF 2.0 の機能（GOVERN、IDENTIFY、PROTECT、DETECT、RESPOND、RECOVER）を基準とし、他のフレームワークへ対応付けます。

ニーズ	フレームワーク	基準
プログラムのガバナンス	NIST CSF 2.0	GV / ID / PR / DE / RS / RC
認証可能な ISMS	ISO/IEC 27001:2022	附属書 A（93 の統制、4 つのテーマ）
サービス組織の証明	SOC 2	信頼性サービス基準（CC1～CC9、A/C/PI/P）
連邦政府向け／詳細な統制	NIST SP 800-53 Rev.5	20 の統制ファミリー
カード会員データ	PCI DSS 4.0	12 の要件
優先順位付けされたベースライン	CIS Controls v8	18 の統制／IG1～IG3

scripts/control_mapper.py を使用すると、統制を他のフレームワークに対応付けたり、選択したフレームワークについて、単一の統制が満たす関連フレームワークの要件を確認したりできます。

3. ギャップ分析と監査への準備

ギャップ分析を求められた場合：

1. 対象のフレームワークと範囲（システム、拠点、データ）を選択します。
2. 各統制を証拠の参照情報とともに評価します：実装済み／一部実装／未実装／該当なし。
3. ドメイン／機能ごと、および全体のカバー率を算出します。
4. 各ギャップについて、必要な対応、担当者、工数、目標日を定め、是正ロードマップを作成します。
5. ISO 27001 では、適用宣言書（統制、適用の有無（Y/N）、正当化の理由、ステータス）を作成します。

4. 監査証跡と統制の説明

• 証跡インデックスを作成します。統制 → 必要な成果物 → 保管場所／担当者 → 実施頻度（例：四半期ごとのアクセスレビューのエクスポート、変更チケット、トレーニング記録、スキャンレポート）。
• 監査人が求める統制の説明を作成します。統制の内容、運用担当者、実施頻度、証跡の提示方法を記載します。
• よくある監査上の不備にフラグを立てます。古いまま更新されていないアクセスレビュー、変更管理チケットの欠落、IR／BCP計画の未テスト、ログの保持を示す証跡がないこと、担当者不在の例外などです。

5. セキュリティポリシーと標準の作成

一貫した構成（目的、適用範囲、ポリシーの規定、役割と責任、適用、例外、レビュー頻度、対応する統制）で、組織に合わせた平易なポリシー文書を作成します。一般的なポリシーには、情報セキュリティポリシー、アクセス制御、利用規定、データ分類と取り扱い、インシデント対応、事業継続／DR、変更管理、ベンダー／サードパーティリスク、暗号化、セキュア SDLC、AI 利用ポリシーがあります。各ポリシーが満たす統制に対応付けます。

6. サードパーティ／ベンダーリスク

データアクセスと重要度に基づいてベンダーを階層化します。SIG／CAIQ形式の質問票、またはベンダーの SOC 2／ISO 認証のレビューを通じて評価を実施し、所見、残存リスク、再評価の頻度を台帳で追跡します。

---

出力基準

リスク台帳の行：

ID | Risk | Asset | Threat | Likelihood(1-5) | Impact(1-5) | Inherent | Controls | Residual | Treatment | Owner | Due
R-001 | Ransomware encrypts file servers | File svc | Crime group | 4 | 5 | 20 (Critical) | Backups, EDR, MFA | 8 (Medium) | Mitigate | IT Ops | 2026-09-30

ギャップ分析／SoA：

# [Framework] Gap Analysis — [Org]
Date: [Date] | Scope: [...] | Overall coverage: 72%

## By Domain
| Domain | Implemented | Partial | Not Impl | N/A | Coverage |
| Access Control | 8 | 2 | 1 | 0 | 80% |

## Gaps & Remediation
| Control | Status | Gap | Action | Owner | Effort | Target |

コンプライアンス状況（経営層向け）：

# Compliance Posture — [Period]
Overall: [score] | Trend: [▲/▼] | Frameworks: [...]
Top risks: [3] | Overdue remediations: [n] | Upcoming audits: [...]

---

スクリプトリファレンス

risk_register.py

# Score & rank a risk list (YAML or CSV), emit ranked register + heat-map summary
python scripts/risk_register.py --input risks.yaml --output risk_register.json

# Quantitative ALE view where SLE/ARO provided
python scripts/risk_register.py --input risks.csv --quant --output register.json

control_mapper.py

# Crosswalk a control concept across frameworks
python scripts/control_mapper.py --control "access control" --frameworks all

# Show NIST CSF 2.0 -> ISO 27001 / SOC 2 mapping for a function
python scripts/control_mapper.py --csf PR.AA --output crosswalk.json

---

スキルの連携

次のステップ	条件	対象スキル
統制の技術的な検証	統制が機能することを証明する必要がある	→ Skill 02 / 09 / 10
クラウドコンプライアンスのスキャン	クラウドの統制が対象範囲に含まれる	→ Skill 10
検知範囲の証跡	DE 機能の統制	→ Skill 12 / 15
IR 計画のテスト証跡	RESPOND／RECOVER の統制	→ Skill 07
AI ガバナンスの統制	AI システムが対象範囲に含まれる	→ Skill 16

---

参考資料

• NIST Cybersecurity Framework (CSF) 2.0
• ISO/IEC 27001:2022
• AICPA SOC 2 — Trust Services Criteria
• NIST SP 800-53 Rev. 5
• CIS Controls v8
• PCI DSS 4.0
• FAIR — Factor Analysis of Information Risk