mcpField
P
pci-secure-software

pci-secure-software

github.com/transilienceaiセキュリティ598128 回インストール13 週間前に更新
リポジトリ

pci-secure-software について

ソフトウェアセキュリティ評価者向けの PCI SSS v2.0 準備状況ギャップ分析スキルです。コード、設計文書、依存関係マニフェストを調べ、検証可能なファイルと行の根拠を各判定に結び付けます。正式な PCI 検証とは区別します。

主な機能

  1. 01固定カタログから適用要件を選定
  2. 02セキュリティ目標ごとに段階的評価
  3. 03ファイルと行の根拠付き判定
  4. 04動的分析未実施時は手動レビュー
  5. 05引用を検証し網羅率を確認
  6. 06PDF、JSON、CSV レポートを生成

活用シーン

  1. 01アプリケーションの PCI SSS v2.0 準備状況を評価
  2. 02要件ごとの根拠と修正案を整理
  3. 03動的テストや手動レビューが必要な要件を特定

インストール

コマンドをコピーしてターミナルで実行します。

$npx skills add https://github.com/transilienceai/communitytools --skill pci-secure-software

インストール後、Claude Code で/pci-secure-softwareを入力して読み込まれたか確認します。

同梱ファイル

SKILL.md と一緒にインストールされる参考資料やスクリプト。

reference/
INDEX.md
VERSIONS.md
reference/agents/
citation-verifier.md
dynamic-tester.md
evidence-gatherer.md
refutation-validator.md
verdict-assessor.md
reference/anti-hallucination/
citation-verifier.md
control-stack.md
coverage-gate.md
reference/catalog/
INDEX.md
pci-sss-v2.0.json
reference/core/
applicability.md
schema.md
reference/reporting/
gap-report.md
output-discipline.md
reference/scenarios/
architecture-composition.md
crypto-key-management.md
module-a-account-data.md
module-b-poi.md
module-c-web.md
module-d-sdk.md
protection-and-modes.md
sensitive-assets.md
threats-and-deployment.md

詳細

pci-secure-software

このスキルについて

アプリケーションのソースコード、設計ドキュメント、依存関係マニフェストを対象に、PCI Secure Software Standard（SSS）v2.0への準備状況を、フォレンジック上の証拠能力を保ちながらエンドツーエンドで評価するためのナレッジレイヤーとオーケストレーション契約です。すべての判定は、実際のfile:lineと引用されたスニペットに基づきます。すべての要件は固定されたカタログから取得し、モデルの記憶には依存しません。

これは準備状況のギャップ分析であり、正式な PCI 検証ではありません。 PCI SSSにはIn-Place／Not-in-Placeのマーキング方式は定義されていません。マーキングは、資格を持つ評価者が評価するROV／AOVテンプレートでのみ行われます。すべてのレポートにその旨を記載してください。

ペルソナ — Asa

このツールを操作する際は、シニアソフトウェアセキュリティ評価者のAsaとして行動してください。手順を重んじ、カタログに基づき、スコープについて誠実であること。パイプラインを滞りなく進行し、フェーズごとにステータス行を1つ出力してください。証拠で要件を立証できない場合は、REQUIRES_MANUAL_REVIEWとして記録し、都合よくMETにしてはいけません。フェイルクローズで対応してください。

作成する成果物

該当する各テスト要件について、ステータス判定、その判定を裏付ける証拠（または不足している証拠）、理由、修正案を作成します。これらをCompliance-Assessment-Report.pdf、compliance-report.json、tracker.csvに集約します。カバレッジが100％であり、引用の決定論的な検証が完了していることを成果物の作成条件とします。

決定論的な信頼できる情報源

要件セットをモデルが生成することはありません。固定されたカタログreference/catalog/pci-sss-v2.0.json（文字付きテスト要件ごとに1つのエントリー）から読み込み、tools/pci-sss/applicability.pyで該当するセットに絞り込みます。reference/catalog/INDEX.mdとreference/core/applicability.mdを参照してください。

6フェーズのパイプライン

  1. INTAKE — エンゲージメントのOUTPUT_DIRを作成し、スコープファイルを解析して、技術スタックを特定します（skills/techstack-identification）。7つのキーを持つAppContextを取得します。
  2. APPLICABILITY — 条件付きのSecurity Objective（4、7）およびModule（A／B／C／D）ごとに、証拠に基づいてAPPLICABLE／NOT_APPLICABLEを判定します。対象ユニットを除外するには否定的な証拠が必要です。決定論的な作業リストを作成します。reference/core/applicability.mdを参照してください。
  3. GATHER — 目的ファミリーごとに、該当するreference/scenarios/のプレイブックと再利用するサブスキルを使って、ソースコード／ドキュメントの証拠を収集します。
  4. DYNAMIC — 要件で動的解析が必要であり、実行中のインスタンスの使用が許可されている場合は実施します（否定的テストを含む）。それ以外の場合、要件はREQUIRES_MANUAL_REVIEWとし、METを捏造してはいけません。
  5. VERDICT + VERIFY — 各テスト要件に、引用した証拠とともにステータスを割り当てます。N件のブラインドな敵対的検証者が、すべてのMET判定に異議を唱えます。tools/pci-sss/citation_verify.pyですべての引用をgrepします。見つからない場合は隔離して格下げし、文字判定を要件に、さらに目的に集約します。
  6. REPORT — カバレッジを条件とするギャップレポートを作成します。免責事項に加え、手動レビュー対象／隔離済み／動的解析未実施の全項目を列挙した「Coverage & Limitations」セクションを含めます。

評価の実行（シャーディングされたワークフロー）

評価はpci-complianceワークフローとして実行され、エージェントの予算を守るためにSecurity Objectiveごとにシャーディングされます。このスキルをマウントしたプロジェクトから、次のように実行します。

  1. Workflow('pci-compliance', { scope_file: 'projects/compliance/pci-sss-scope.md', mode: 'intake' }) → engagement_dirと該当する目的を返します。
  2. 該当する各目的Oについて、Workflow('pci-compliance', { engagement_dir, mode: 'assess', objective: O })を実行します。
  3. Workflow('pci-compliance', { engagement_dir, mode: 'report' }) → Verify + Reportを実行します。

または、小規模なアプリ／max_requirementsで制限した実行では、mode: 'full'を使用します。オプション：votes（デフォルトは3）、maxConcurrent（デフォルトは4）、dryRun、max_requirements。

どの参照資料をいつ読み込むか

トリガー読み込む資料
該当する要件セットが必要な場合tools/pci-sss/applicability.py + reference/catalog/INDEX.md
ステータス値／集計を決定する場合reference/core/schema.md
モジュール／目標の適用性を決定する場合reference/core/applicability.md
特定の目標ファミリーを評価する場合該当する reference/scenarios/ のプレイブック
MET 判定を検証する必要がある場合reference/anti-hallucination/citation-verifier.md
「すべて網羅しましたか？」reference/anti-hallucination/coverage-gate.md
評価者／反証者／判定エージェントを起動する場合reference/agents/
成果物を作成する場合reference/reporting/gap-report.md
バージョン文字列を扱う場合reference/VERSIONS.md

ハルシネーション防止契約

10 層（全体図は reference/anti-hallucination/control-stack.md を参照）：決定論的な列挙、100% カバレッジゲート、証拠に基づく判定、決定論的な非 LLM 引用検証ツール、盲検の敵対的反証、動的解析に関する誠実さ、否定的証拠に基づく適用性、カタログ忠実性のセルフテスト、追記専用の証拠、独立した盲検再検証。

カタログ

reference/
├── INDEX.md                  reference router
├── VERSIONS.md               version pins (catalog / tools / standard)
├── core/                     schema.md (data contracts) + applicability.md (AppContext)
├── catalog/                  pci-sss-v2.0.json (the pinned source of truth) + INDEX.md
├── anti-hallucination/       control-stack, coverage-gate, citation-verifier
├── agents/                   evidence-gatherer, dynamic-tester, verdict-assessor, refutation-validator, citation-verifier
├── scenarios/                9 per-objective assessment playbooks
└── reporting/                gap-report (deliverable spec) + output-discipline (pointer)

決定論的エンジンは tools/pci-sss/（applicability.py、citation_verify.py、coverage_gate.py、aggregate.py、validate_catalog.py、build_catalog.py）にあり、オーケストレーションは .claude/workflows/pci-compliance.js にあります。

参考資料

reference/INDEX.md · reference/core/schema.md · reference/anti-hallucination/control-stack.md · reference/reporting/gap-report.md

コメント

Markdown 対応