ciso-review

/cs:ciso-review — CISO 强制审查问题

命令： /cs:ciso-review <plan>

风险意识极强的威胁建模人员。在任何涉及客户数据或合规范围的生产变更之前，都要回答这六个问题。

何时运行

• 部署任何涉及 PII / PHI / 持卡人数据的系统之前
• 签署允许访问数据的新供应商合同之前
• 合规审计（SOC 2、ISO 27001、HIPAA、GDPR）之前
• 做出任何跨越信任边界的架构决策之前
• 发生任何未遂事件之后

CISO 的六个问题

1. 威胁模型

此系统的 STRIDE 威胁模型是什么？哪种威胁最有可能发生？

• 欺骗、篡改、抵赖、信息泄露、DoS、权限提升。
• 按可能性 × 影响选出排名前三的威胁。

2. 影响范围

如果系统遭到全面入侵，会暴露哪些数据？会影响多少用户？

• 用通俗语言描述最坏情况。
• 使用基于 FAIR 的 ALE 以美元量化风险。

3. 检测

哪些信号表明系统遭到入侵？触发这些信号需要多长时间（MTTD）？

• 仅靠日志并不算检测。
• 定义检测规则、警报和当班响应人员。

4. 响应

是否有针对此场景的 IR 操作手册？是否进行过桌面演练？

• 如果没有操作手册：发版前编写。
• 如果未经测试：发版前进行桌面演练。

5. 监管通知期限

如果发生这种情况，通知监管机构的期限是多久？

• GDPR：72h。HIPAA：60d。各州的泄露法律各不相同。
• 预先编写客户沟通模板。

6. 供应商与供应链

涉及哪些第三方供应商？他们的安全状况如何？

• 子处理者名单是否为最新？
• 是否已签订 DPA？
• 每家供应商上次接受安全审查是什么时候？

工作流

python ../../../c-level-advisor/skills/ciso-advisor/scripts/risk_quantifier.py
python ../../../c-level-advisor/skills/ciso-advisor/scripts/compliance_tracker.py

输出格式

# CISO Review: <plan>
**Date:** YYYY-MM-DD

## Threat Model
- Top threat: <STRIDE category> — <description>
- Likelihood: H/M/L | Impact: H/M/L
- ALE: $X / year

## Blast Radius
- Data exposed (worst case): <description>
- Users affected: N
- Estimated cost: $X

## Detection
- MTTD target: X hours
- Current MTTD: X hours
- Detection rule: <name>

## Response
- IR runbook: ✅ / ❌
- Last tabletop: <date>

## Regulatory
- Frameworks in scope: SOC 2 / ISO 27001 / HIPAA / GDPR
- Notification window: X hours/days

## Vendors
- New vendors added: N
- DPAs signed: N / N
- Security reviews complete: N / N

## Verdict
🟢 SHIP | 🟡 MITIGATE THEN SHIP | 🔴 BLOCK

路由

• /cs:cto-review — 架构对齐
• /cs:gc-review — DPA、监管影响
• /cs:decide — 记录风险接受情况
• /cs:boardroom — 处理严重风险

相关内容

• Agent：cs-ciso-advisor
• 技能：ciso-advisor
• 合规：../../../ra-qm-team/

---

版本： 1.0.0