mcpField
C
ciso-advisor

ciso-advisor

github.com/borghei安全1.0k106 次安装1 周前更新
代码仓库

关于 ciso-advisor

CISO Advisor 是面向成长阶段公司的安全策略技能，帮助安全负责人用业务风险和财务影响制定计划。内容涵盖风险量化、合规路线、纵深防御、事件响应及供应商评估。

主要功能

  1. 01以 ALE 量化风险
  2. 02规划合规实施顺序
  3. 03设计零信任与纵深防御
  4. 04制定事件响应流程
  5. 05评估供应商安全性
  6. 06构建安全指标与预算

适用场景

  1. 01向董事会说明安全投资依据
  2. 02安排 SOC 2 等合规路线
  3. 03设计安全事件处置流程
  4. 04审查接触敏感数据的供应商

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/borghei/claude-skills --skill ciso-advisor

安装后在 Claude Code 中输入/ciso-advisor确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

scripts/
compliance_tracker.py
risk_register_manager.py
security_posture_scorer.py

详细介绍

CISO 顾问

面向成长阶段公司的风险型安全框架。以美元量化风险，规划合规工作顺序以实现最大业务价值，构建纵深防御架构，并让安全从成本中心转变为销售助力和竞争优势。

关键词

CISO、安全战略、风险量化、ALE、SLE、ARO、安全态势、合规路线图、SOC 2、ISO 27001、HIPAA、GDPR、零信任、纵深防御、事件响应、董事会安全报告、供应商评估、安全预算、网络风险、计划成熟度、渗透测试、漏洞管理、数据分类、威胁建模、安全意识、钓鱼攻击、MFA、IAM

风险量化框架

每项安全投资都必须以业务术语说明其合理性。“我们需要更好的安全”不是商业论据。“这项未缓解风险的预期年损失为 80 万美元”才是。

核心公式
ALE = SLE x ARO

ALE  = Annual Loss Expectancy (expected cost per year)
SLE  = Single Loss Expectancy (cost if the event occurs once)
ARO  = Annual Rate of Occurrence (probability of occurrence per year)
风险登记表模板
风险 ID威胁资产SLEAROALE缓解成本ROI优先级
R-001数据泄露（客户 PII）客户数据库$2.5M0.15$375K$120K/yr3.1x严重
R-002勒索软件生产系统$1.8M0.10$180K$80K/yr2.3x高
R-003内部威胁源代码$500K0.05$25K$40K/yr0.6x中
R-004DDoS面向客户的应用$200K0.20$40K$30K/yr1.3x中
R-005第三方泄露可访问 PII 的供应商$1.2M0.08$96K$25K/yr3.8x高
风险优先级决策树
START: New risk identified
  |
  v
[Calculate ALE]
  |
  +-- ALE > $200K/yr --> CRITICAL: Board-level reporting, immediate mitigation
  |
  +-- ALE $50K-$200K --> HIGH: Quarterly review, funded mitigation plan
  |
  +-- ALE $10K-$50K --> MEDIUM: Annual review, budget if ROI > 1.5x
  |
  +-- ALE < $10K --> LOW: Accept risk, document decision, monitor
SLE 成本构成明细
成本构成说明典型范围
直接成本取证、补救、法律费用$100K-$500K
监管罚款GDPR：最高可达营收的 4%；HIPAA：每条记录 $100-$50K差异很大
通知成本每位受影响者 $5-$50随记录数量而变化
业务中断停机期间的收入损失小时数 x 每小时营收
声誉损害客户流失、品牌影响年营收的 2-5%
法律责任诉讼、和解金$50K-$5M+

合规路线图

以实现最大业务价值为目标规划实施顺序
Phase 1: Foundation (Months 1-3)
  Basic hygiene: MFA, endpoint protection, access controls, backups
  Cost: $20-50K   Impact: Blocks 80% of common attacks

Phase 2: SOC 2 Type I (Months 3-6)
  Policies, procedures, controls documentation
  Cost: $50-100K  Impact: Unlocks mid-market enterprise sales

Phase 3: SOC 2 Type II (Months 6-12)
  Sustained controls operation + audit
  Cost: $80-150K  Impact: Required by most enterprise buyers

Phase 4: Specialized (Months 12-18)
  ISO 27001, HIPAA, or GDPR based on market requirements
  Cost: $100-250K Impact: Market-specific requirement fulfillment
合规框架对比
框架时间线成本适用场景客户要求
SOC 2 Type I3-6 个月$50-100K向美国公司销售的 B2B SaaS最常见的要求
SOC 2 Type II6-12 个月$80-150K持续开展企业销售大型交易的必要条件
ISO 270019-15 个月$100-200K欧洲市场、全球公司欧盟企业标准
HIPAA6-12 个月$80-200K医疗健康数据处理医疗健康行业
GDPR3-6 个月$30-80K任何拥有欧盟用户的公司法律要求
PCI DSS6-12 个月$100-300K支付卡处理支付要求
FedRAMP12-24 个月$500K-2M向美国联邦政府销售政府要求
框架控制项重叠矩阵
控制领域SOC 2ISO 27001HIPAAGDPR
访问控制是是是是
加密是是是是
事件响应是是是是
风险评估是是是是
供应商管理是是是是
数据分类部分是是是
物理安全是是是部分
业务连续性是是部分部分
隐私设计否部分部分是

关键要点：SOC 2 和 ISO 27001 的控制项约有 70% 重叠。先完成 SOC 2，再以约 30% 的增量工作扩展至 ISO 27001。

安全架构策略

零信任成熟度模型
级别描述关键控制措施时间安排
0：临时应对没有正式的安全架构--大多数初创公司的当前状态
1：身份全面启用 MFA、SSO、基于角色的访问控制IAM + MFA + SSO第 1-3 个月
2：网络网络分段、VPN/ZTNA微分段、ZTNA第 3-6 个月
3：数据数据分类、静态/传输中加密、DLP加密 + 分类第 6-12 个月
4：监控SIEM、日志记录、异常检测集中式日志记录 + 警报第 9-15 个月
5：自动化自动响应、持续验证SOAR + 自动修复第 12-24 个月
安全架构决策树
START: New system or feature being designed
  |
  v
[Does it handle sensitive data?]
  |
  +-- YES --> [What classification level?]
  |            |
  |            +-- PII/PHI --> Full security review + threat model
  |            +-- Business-critical --> Standard security review
  |            +-- Internal --> Lightweight checklist
  |
  +-- NO  --> [Is it internet-facing?]
              |
              +-- YES --> Standard security review + pen test
              +-- NO  --> Security checklist only
深度防御层
层级控制措施投资优先级
身份MFA、SSO、RBAC、特权访问管理第 1 位（投资回报率最高）
终端EDR、设备管理、补丁管理第 2 位
网络分段、ZTNA、防火墙、IDS/IPS第 3 位
应用SAST、DAST、依赖项扫描、WAF第 4 位
数据加密、DLP、分类、备份第 5 位
监控SIEM、日志记录、警报、威胁检测第 6 位

事件响应协议

严重程度分类
严重程度定义响应时间通知对象
P0：严重正在发生的入侵、数据泄露、勒索软件攻击立即（< 15 分钟）CEO + 法务 + 董事会
P1：高漏洞正在遭到利用、服务中断< 1 小时CTO + CEO
P2：中发现漏洞、可疑活动< 4 小时CTO + 安全团队
P3：低违反策略、轻微配置错误< 24 小时仅安全团队
事件响应工作流
DETECT --> CONTAIN --> ERADICATE --> RECOVER --> LEARN

Phase 1: DETECT (Minutes)
  - Identify the scope and nature of the incident
  - Classify severity (P0-P3)
  - Activate response team based on severity

Phase 2: CONTAIN (Hours)
  - Isolate affected systems
  - Preserve evidence (forensic images)
  - Prevent lateral movement
  - Communicate to stakeholders per severity matrix

Phase 3: ERADICATE (Hours-Days)
  - Remove threat actor/malware
  - Patch vulnerability that enabled the incident
  - Verify eradication is complete

Phase 4: RECOVER (Days)
  - Restore from clean backups
  - Verify system integrity
  - Monitor for re-compromise
  - Return to normal operations

Phase 5: LEARN (Days-Weeks)
  - Root cause analysis (blameless)
  - Timeline reconstruction
  - Control gap identification
  - Remediation plan with owners and deadlines
监管通知时限
法规通知期限通知对象
GDPR72 小时监管机构 + 受影响个人
HIPAA60 天HHS + 受影响个人（+ 受影响人数 > 500 时通知媒体）
美国各州数据泄露法30-90 天（因州而异）州检察长 + 受影响个人
SEC（上市公司）4 个工作日SEC + 公开披露
PCI DSS立即卡组织 + 收单银行

供应商安全评估

供应商分级
级别数据访问权限评估级别频率
第 1 级：关键PII、PHI、财务数据、源代码全面安全评估 + 渗透测试审查每年
第 2 级：重要业务数据、内部通信安全问卷 + SOC 2 审查每年
第 3 级：标准无敏感数据访问权限自我证明 + 隐私政策审查每两年
第 4 级：最低无数据访问权限，无系统集成仅合同审查合同续签时
供应商评估清单（第 1 级）
领域关键问题通过/失败标准
合规性是否通过 SOC 2 Type II 或 ISO 27001 认证？至少具备其中一项
加密是否对静态数据和传输中的数据进行加密？AES-256 + TLS 1.2+
访问控制是否强制使用 MFA？是否实施 RBAC？两者都必须满足
事件响应是否有书面的 IR 计划？通知时限是什么？必须有计划 + 24 小时内通知
业务连续性是否测试过 DR 计划？是否定义了 RTO/RPO？必须在 12 个月内经过测试
数据处理是否有数据分类？是否有数据保留政策？两者都必须具备
子处理方还有哪些方会处理我们的数据？必须披露所有相关方

安全指标仪表板

董事会级指标（按季度）
指标目标警戒值董事会表述
ALE 覆盖率> 80%< 60%“总计 $Y 风险中，$X 已得到缓解”
平均检测时间（MTTD）< 24 小时> 72 小时“我们能在 X 小时内发现威胁”
平均响应时间（MTTR）< 4 小时> 24 小时“我们能在 X 小时内遏制威胁”
合规状态全部有效任一已失效“所有认证均有效”或“X 存在缺口”
未解决的严重漏洞0任一超过 30 天“没有未修补的严重漏洞”
运营指标（按月）
指标目标触发行动的条件
钓鱼邮件点击率< 5%> 10% = 必须重新培训
SLA 时限内修补的严重漏洞100%< 95% = 审查流程
已审核的特权账户每季度 100%任一未审核 = 立即审核
已评估的一级供应商每年 100%任一评估已过期 = 需要重新评估
安全培训完成率> 95%< 90% = 向经理升级

安全预算框架

预算占营收/IT 支出的比例
公司阶段安全预算（占营收的比例）安全预算（占 IT 支出的比例）
种子轮/ A 轮2-4%8-12%
B 轮3-5%10-15%
C 轮及以后4-8%12-18%
企业5-10%15-20%
按类别分配预算
类别占安全预算的比例示例
人员40-50%安全团队薪资、培训
工具25-35%SIEM、EDR、IAM、漏洞扫描器
合规10-15%审计人员、认证、法律服务
测试5-10%渗透测试、红队、漏洞赏金
事件响应5%服务留置费、保险、取证
预算论证公式

对于每项安全投资：

Investment ROI = (ALE_before - ALE_after) / Investment_cost

If ROI > 1.5x --> Strong business case, approve
If ROI 1.0-1.5x --> Moderate case, consider alternatives
If ROI < 1.0x --> Weak case, re-evaluate or accept the risk

警示信号

  • 以“行业基准”而非风险分析为依据论证安全预算——预算将会失准
  • 在做好基本安全卫生（MFA、修补、备份）之前就追求认证——流于形式，缺乏实质
  • 没有记录在案的资产清单——无法保护未知资产
  • 有 IR 计划却从未测试过（没有桌面演练）——需要时计划将会失效
  • 安全团队向 IT 而非高管层汇报——激励不一致，预算竞争
  • 身份、终端和电子邮件都依赖同一家供应商——供应商遭入侵 = 全面失陷
  • 安全问卷积压超过 30 天——企业交易正在悄然流失
  • 工程团队没有安全倡导者计划——安全会成为瓶颈
  • 渗透测试发现的问题 90 天后仍未解决——只测试不修复就是作秀
  • 没有数据分类方案——所有数据一视同仁 = 没有数据得到妥善保护

与 C-Suite 协作

当……CISO 与……协作以便……
企业销售受阻CRO（cro-advisor）完成安全问卷，推动交易
新产品功能CTO + CPO（cto-advisor、cpo-advisor）威胁建模、安全审查
合规预算CFO（cfo-advisor）根据量化的风险敞口确定计划规模
供应商合同COO（coo-advisor）制定安全 SLA、审计权条款
并购尽职调查CEO + CFO评估目标公司的安全状况
发生安全事件CEO + 法务协调响应、监管通报
董事会报告CEO（ceo-advisor）将风险转化为业务语言
招聘安全团队CHRO（chro-advisor）薪酬、职级、招聘

主动触发条件

  • 超过 12 个月未进行安全审计——应在客户或监管机构提出要求前安排审计
  • 企业交易要求 SOC 2 认证，但目前尚未获得认证——亟需制定合规路线图
  • 计划拓展新市场——检查数据驻留、隐私要求和当地法规
  • 关键系统没有访问日志——存在合规缺口和取证盲区
  • 尚未评估可访问敏感数据的供应商——需要进行供应商风险评估
  • 依赖项中披露了严重漏洞——须在 24 小时内评估补丁
  • 员工离职后没有撤销访问权限的 SOP——存在紧急安全缺口

输出成果

请求交付内容
“评估我们的安全态势”风险登记册，包含量化的 ALE，并按业务影响确定优先级
“我们需要 SOC 2”合规路线图：时间表、成本、工作量、速赢措施和供应商选择
“准备安全审计”针对目标框架的差距分析 + 附负责人信息的修复计划
“我们发生了安全事件”事件响应协调计划 + 沟通模板 + 监管时间表
“准备安全董事会报告部分”风险态势摘要、合规状态、事件报告、预算申请
“评估供应商安全性”供应商等级评估，包含风险评分和合同建议
“论证安全预算”基于风险的预算提案，为每项投资提供投资回报率

工具参考

security_posture_scorer.py

根据 NIST CSF 2.0 功能（治理、识别、保护、检测、响应、恢复）和 CISA 零信任成熟度模型支柱（身份、设备、网络、应用、数据）对安全态势评分，并生成可供董事会审阅的安全健康报告。

# Run with demo data (realistic Series B company)
python scripts/security_posture_scorer.py

# From JSON with control assessments (0-4 maturity per control)
python scripts/security_posture_scorer.py --input controls.json

# JSON output
python scripts/security_posture_scorer.py --json
risk_register_manager.py

管理网络风险登记册，包含 ALE（SLE x ARO）计算、缓解措施投资回报率和可供董事会审阅的风险报告。

# Run with demo risk register
python scripts/risk_register_manager.py

# From JSON risk register
python scripts/risk_register_manager.py --input risks.json

# Sort by ROI (best investments first)
python scripts/risk_register_manager.py --sort-by roi

# JSON output
python scripts/risk_register_manager.py --json
compliance_tracker.py

跟踪 SOC 2 Type I/II、ISO 27001、HIPAA 和 GDPR 的进展。计算差距分析、框架重叠情况和工作量估算。

# Track SOC 2 readiness (default)
python scripts/compliance_tracker.py

# Track multiple frameworks
python scripts/compliance_tracker.py --frameworks soc2_type1 iso27001 gdpr

# List available frameworks
python scripts/compliance_tracker.py --list-frameworks

# From JSON
python scripts/compliance_tracker.py --input compliance.json

# JSON output
python scripts/compliance_tracker.py --json

故障排除

问题可能原因解决方法
用“行业基准”而非风险数据来论证安全预算尚未建立风险量化框架实施基于 ALE 的风险登记册；针对量化的风险降低效果，为每一笔支出提供依据
在做好基础安全工作（MFA、备份）之前就着手 SOC 2只为勾选合规清单，缺乏实质内容优先完成第一阶段基础工作：MFA、终端保护、备份；之后再争取认证
渗透测试发现的问题 90 天后仍未解决只测试不修复，形同作秀设定 SLA：严重问题 7 天、高风险问题 30 天、中风险问题 90 天；在风险登记册中跟踪
安全团队向 IT 汇报，而非向高管汇报激励机制不协调，且存在预算竞争CISO 应向 CEO 或 COO 汇报；安全预算应与 IT 预算分开
企业交易因安全问卷而受阻尚未取得 SOC 2 认证，或问卷答复积压超过 30 天优先取得 SOC 2 Type I 认证；建立问卷答复库；指定专人负责
零信任计划停滞在身份层试图同时实施所有支柱遵循成熟度模型：先实施身份（第 1–3 个月），再实施网络，最后实施数据

成功标准

  • NIST CSF 评估中的安全态势评分高于 70/100（每年通过 security_posture_scorer.py 衡量）
  • ALE 覆盖率高于 80%——已为量化的风险敞口制定缓解措施并提供资金（在风险登记册中跟踪）
  • 所有严重级别的平均检测时间（MTTD）低于 24 小时
  • P0/P1 事件的平均响应时间（MTTR）低于 4 小时
  • 严重漏洞未修复时间超过 7 天的数量为零（每周衡量）
  • 持续维持 SOC 2 Type II 认证有效，且控制项例外为零
  • 每季度模拟活动中的钓鱼邮件点击率低于 5%

范围与限制

范围内：风险量化（ALE/SLE/ARO）、合规路线规划、零信任成熟度评估、NIST CSF 2.0 评分、事件响应协议、供应商安全评估、安全预算论证、董事会级安全报告。

范围外：渗透测试执行、恶意软件分析、SOC 运营、防火墙配置、代码审查、取证调查执行、安全工具采购。

限制：安全态势评分器使用自评的成熟度等级，可能会高估实际能力。风险登记表中的 ALE 计算基于行业数据估算，实际损失差异可能很大。合规跟踪器衡量的是控制措施的实施情况，而非其有效性。零信任评分采用二元标准（已实施/未实施），过度简化了部分实施情况。

集成点

技能集成
cto-advisor安全架构审查；新功能的威胁建模
cfo-advisor根据量化风险确定安全预算；合规成本
ceo-advisor董事会安全报告；向利益相关者通报事件
coo-advisor供应商安全 SLA；合同中的审计权条款
cro-advisor安全问卷答复；将 SOC 2 作为销售助力
chro-advisor安全团队招聘；安全意识培训计划
board-deck-builder在董事会演示文稿中加入风险/安全部分，包含态势评分和合规状态
ra-qm-team扩展合规框架（ISO 13485、MDR、FDA、GDPR、NIS2、DORA）

评论

支持 Markdown