security-bluebook-builder について
機密データを扱うアプリケーション向けに、簡潔で実行可能なセキュリティポリシーを作成するスキルです。前提と対策を定め、セキュリティゲートを設けるとともに、提案と検証済みの実装を区別します。
主な機能
- 01セキュリティ情報の収集
- 02脅威モデルと範囲の定義
- 03データ取り扱いとアクセス制御
- 04ログ、保持、インシデント対応の指針
- 05セキュリティ可否チェックリスト
活用シーン
- 01機密アプリのセキュリティポリシー作成
- 02データ取り扱い要件の定義
- 03セキュリティレビューゲートの設定
- 04前提と未解決事項の記録
インストール
コマンドをコピーしてターミナルで実行します。
npx skills add https:/インストール後、Claude Code で/security-bluebook-builderを入力して読み込まれたか確認します。
詳細
補足資料の入手可能性
このカタログのコピーには、以下のインラインガイダンスが含まれていますが、次の補足パスは含まれていません。これらは外部の前提条件であり、同梱ファイルではありません。
<support-root>/references/bluebook_template.md
これらのパスに依存する手順を使用する前に、元の補足資料または既存のインストール環境を確認してください。このカタログには、検証済みのダウンロード元は記載されていません。各パスをそのインストール環境を基準に解決し、内容を確認して、適用されるライセンスと実行の前提条件を検証してください。必要なファイルが存在することを確認するまでは、コマンドを実行したり、参照先の手順に従ったと主張したりしないでください。不足しているスクリプトを捏造したり、同じ名前の無関係なファイルを同等のものとして扱ったりしないでください。ここに完全に記載された独立した手順は、ユーザーが許可した範囲内で実施できます。依存する手順は利用できないものとして報告してください。
セキュリティ・ブルーブック・ビルダー
使用する場面
- 機密データを扱うアプリ向けに、簡潔でありながら実効性のあるセキュリティポリシーが必要な場合。
- 明示的な前提条件、管理策、実施可否の判定基準を盛り込んだ、単一のブルーブック文書が必要な場合。
- 一般論ではなく、スコープ、脅威モデル、運用上のセキュリティ既定値に基づくポリシーガイダンスが必要な場合。
概要
機密アプリ向けの、最小限ながら実効性のあるセキュリティポリシーを作成します。出力は、明示的な前提条件、スコープ、セキュリティゲートを含む、MUST／SHOULD／CAN 形式の文言を用いた、一貫性のある単一のブルーブック文書です。
ワークフロー
1) 入力を収集する（不足している場合のみ質問）
テンプレートを埋めるのに必要な範囲で、状況を確認します。ユーザーから詳細が示されていない場合は、短い質問を最大6つ尋ねます。
- どのデータ分類を扱いますか（PII、PHI、財務情報、トークン、コンテンツなど）？
- 信頼境界はどこですか（クライアント／サーバー／サードパーティなど）？
- ユーザーはどのように認証しますか（OAuth、メールアドレス／パスワード、SSO、デバイスセッションなど）？
- どのようなストレージを使用しますか（DB、オブジェクトストレージ、ログ、アナリティクスなど）？
- どのコネクターやサードパーティを使用しますか？
- 保持と削除について、どのような要件がありますか（デフォルトおよびユーザー起点のもの）？
ユーザーが回答できない場合は、安全な既定値を使用して進め、TODO を明記します。
2) ブルーブックを作成する
元の補足資料がある場合は、<support-root>/references/bluebook_template.md を読み込み、提供された詳細を反映します。それ以外の場合は、以下の品質チェックに沿って独立したポリシーを作成し、上流のテンプレートが利用できなかったことを明記します。簡潔にまとめ、提案する管理策と、実際に実装または検証済みの管理策を区別します。
3) ガードレールを適用する
- シークレット、トークン、内部認証情報を含めないでください。
- 不明な事項には、明確な前提条件とともに「TODO」と記載してください。
- フェイルクローズにしてください。必要な機能を利用できない場合は、その旨を明示してください。
- スコープを最小限に保ち、ユーザーが求めていない機能やツールを追加しないでください。
4) 品質チェック
ブルーブックに次の項目が含まれていることを確認します。
- 脅威モデル（前提条件＋対象外事項）
- データ分類＋取り扱いルール
- 信頼境界＋管理策
- 認証／セッションポリシー
- トークン取り扱いポリシー
- ロギング／監査ポリシー
- 保持／削除
- インシデント対応のミニ・ランブック
- セキュリティゲート＋実施可否チェックリスト
リソース
<support-root>/references/bluebook_template.md
例
ユーザーの依頼：
MUST、SHOULD、CAN の要件を明示して、この機密性の高いアプリケーション向けに、簡潔で実効性のあるセキュリティポリシーを作成してください。
制限事項
- タスクが上記のスコープに明確に合致する場合にのみ、このスキルを使用してください。
- 出力を、環境固有の検証、テスト、または専門家によるレビューの代わりとして扱わないでください。
- 必要な入力、権限、安全上の境界、または成功基準が不明な場合は、作業を中止して確認を求めてください。