security-audit

security-audit

目的

セキュリティ要件が適切に定義、実装、テストされていることを確認し、コード、依存関係、インフラストラクチャ、設定にまたがる脆弱性を特定します。広く認知された標準（OWASP Top 10、CWE、該当する場合はGDPR/HIPAA/SOC 2/PCI DSS）への準拠を検証し、STRIDE脅威モデリングを実施します。セキュリティ要件はSPEC（レイヤー6）およびその上流にあるEARS/ADRのセキュリティトピックから追跡します。

使用するタイミング

次の場合にsecurity-auditを使用します。

• SDDプロジェクトまたはその実装のセキュリティ態勢をレビューするとき。
• SPEC（および上流のEARS/ADR）に含まれるセキュリティ要件が完全で、テスト可能であることを検証するとき。
• コード、依存関係、インフラストラクチャ、設定をスキャンし、脆弱性、シークレット、コンプライアンス上の不備を検出するとき。
• コンポーネントまたはシステムの脅威モデリングを実施するとき。

一般的な（セキュリティ以外の）成果物の品質確認には使用しないでください（../quality-advisor/SKILL.mdを使用してください）。トレーサビリティの検証にも使用しないでください（../doc-validator/SKILL.mdを使用してください）。

動作

監査はパイプラインとして実行され、単一のレポートを作成します。

1. 要件の検証 — SPECおよび上流のEARS/ADRを情報源とするセキュリティ要件の完全性を確認します。認証、認可、データ保護、暗号化、鍵管理を対象とし、不足している要件や曖昧な要件を指摘します。
2. コードスキャン — SAST（bandit、semgrep）、依存関係のCVE（safety、pip-audit）、シークレット検出（detect-secrets、gitleaks）、インジェクション、XSS、CSRFのパターンチェックを実行します。重大な検出事項がある場合、デプロイをブロックします。
3. インフラストラクチャのスキャン — IaC（checkov、tfsec）、コンテナ（trivy、grype）、Kubernetes、クラウド／ネットワーク設定をスキャンします。
4. 依存関係の評価 — 既知のCVE、CVSSスコア、古いパッケージや間接依存パッケージ、ライセンス準拠に関する問題を評価します。
5. コンプライアンスチェック — OWASP Top 10（2021）の網羅状況とCWEのマッピング、および該当する規制フレームワークを確認します。
6. 脅威モデリング — STRIDE分析、攻撃対象領域と信頼境界のマッピングを行い、脅威ごとの緩和策の状況を記録します。
7. レポート — セキュリティ全体のスコア、重大度（critical/high/medium/low）ごとに分類した検出事項（ファイル:行番号、CWE/CVE、CVSS、修正策を含む）、コンプライアンス状況、優先順位付けされた修正対応を報告します。重大な問題はデプロイをブロックする項目として示します。

目標：重大な脆弱性ゼロ、リポジトリ内にシークレットなし、MUSTセキュリティ要件の網羅率100%、OWASP Top 10を完全に網羅。

制限事項：すべてのビジネスロジック上の欠陥を検出できるわけではありません。手動レビューが必要な誤検知が発生する可能性があり、最新のツール脆弱性データベースに依存します。

関連リソース

• SPECレイヤー：${CLAUDE_PLUGIN_ROOT}/framework/layers/06_SPEC/README.md · ${CLAUDE_PLUGIN_ROOT}/framework/layers/06_SPEC/SPEC-TEMPLATE.yaml
• 上流のセキュリティトピック：${CLAUDE_PLUGIN_ROOT}/framework/layers/03_EARS/README.md · ${CLAUDE_PLUGIN_ROOT}/framework/layers/05_ADR/README.md
• ガバナンス：${CLAUDE_PLUGIN_ROOT}/framework/governance/（ID、タグ付け、トレーサビリティの標準）
• 関連スキル：../quality-advisor/SKILL.md · ../doc-validator/SKILL.md · ../doc-spec/SKILL.md
• 参考資料：OWASP Top 10 (2021)、CWE、OWASP ASVS