mcpField
C
compliance-audit

compliance-audit

github.com/nickcrew安全6288 次安装17 周前更新
代码仓库

关于 compliance-audit

compliance-audit 是供团队评估法规合规性和准备审计的技能，涵盖范围界定、控制评估、证据收集、差距分析、整改、报告及持续监控，支持 GDPR、HIPAA、PCI DSS、SOC 2 和 ISO 27001 等框架。

主要功能

  1. 01框架适用性与控制映射
  2. 02自动化证据收集指导
  3. 03按风险评分的差距分析
  4. 04按优先级制定整改计划
  5. 05审计就绪报告
  6. 06持续合规监控

适用场景

  1. 01评估 GDPR 或 HIPAA 合规性
  2. 02准备外部审计或认证
  3. 03评估供应商合规状况
  4. 04跟踪整改进度和控制偏移

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/nickcrew/claude-cortex --skill compliance-audit

安装后在 Claude Code 中输入/compliance-audit确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

references/
evidence-collection.md
frameworks.md
gap-analysis.md

详细介绍

合规审计

通过自动化证据收集、控制措施映射、差距分析和整改规划，系统地针对主要合规框架开展审计。

何时使用此技能

  • 针对 GDPR、HIPAA、PCI DSS、SOC 2 或 ISO 27001 开展合规评估
  • 为外部审计或认证做准备
  • 构建或验证合规控制框架
  • 自动收集证据并维护审计跟踪记录
  • 对照法规要求开展差距分析
  • 为合规缺陷制定整改计划
  • 评估第三方供应商的合规状况

快速参考

资源用途加载时机
references/frameworks.mdGDPR、HIPAA、PCI DSS、SOC 2、ISO 27001 的关键要求、控制措施映射和认证路径确定适用哪些法规时
references/evidence-collection.md自动收集证据、整理材料、保留政策和审计跟踪模式设置或开展证据收集时
references/gap-analysis.md控制措施映射方法、差距识别、风险评分和整改规划分析合规差距时

工作流概览

Phase 1: Scope       → Identify applicable regulations, data types, and geographical scope
Phase 2: Assess      → Map controls, review policies, analyze data flows, test implementations
Phase 3: Evidence    → Collect and organize audit artifacts automatically
Phase 4: Gap Analyze → Identify control gaps, score risks, prioritize findings
Phase 5: Remediate   → Create remediation plans, assign owners, set timelines
Phase 6: Report      → Generate audit-ready documentation and compliance dashboards
Phase 7: Monitor     → Establish continuous compliance monitoring and drift detection

阶段 1：界定审计范围

在开展任何测试之前，确定适用的法规。

关键问题：

  • 系统会处理哪些类型的数据（PII、PHI、持卡人数据）？
  • 哪些司法管辖区适用（欧盟、美国各州、特定行业）？
  • 已实施哪些现有控制措施和认证？
  • 审计历史如何？此前是否发现过问题？

适用性矩阵：

框架适用情形
GDPR处理欧盟居民的个人数据
HIPAA处理受保护的健康信息（PHI）
PCI DSS存储、处理或传输持卡人数据
SOC 2提供与信任原则相关的服务
ISO 27001组织希望获得 ISMS 认证
CCPA/CPRA收集加利福尼亚州消费者的个人信息
NIST CSF联邦系统或自愿采用网络安全框架

阶段 2：评估当前状态

控制措施清单

将现有控制措施映射到适用框架的要求：

  1. 列出所有技术控制措施（加密、访问控制、日志记录）
  2. 列出所有管理控制措施（政策、培训、规程）
  3. 列出所有物理控制措施（设施访问、介质处理）
  4. 将每项控制措施映射到具体的框架要求
  5. 通过抽样和验证测试控制措施的有效性
数据流分析
  • 绘制数据流入、处理、存储和流出的各个环节
  • 确定每条数据流的数据分类
  • 记录处理数据的合法依据（GDPR）
  • 验证数据最小化和目的限制原则
  • 审查跨境传输机制
政策审查
  • 评估政策对框架要求的覆盖情况
  • 验证政策的分发和确认情况
  • 检查政策版本控制和更新频率
  • 验证例外管理流程

阶段 3：证据收集

加载 references/evidence-collection.md，查看详细模式。

自动化优先事项：

  1. 从云服务提供商和基础设施导出配置
  2. 访问控制列表和权限矩阵
  3. 日志保留和监控仪表板
  4. 漏洞扫描结果和补丁状态
  5. 培训完成记录
  6. 事件响应测试结果

材料整理：

evidence/
  {framework}/
    {control-id}/
      artifact-{date}.{ext}
      metadata.yaml           # source, collection method, timestamp

阶段 4：差距分析

加载 references/gap-analysis.md，查看完整方法。

针对每项框架要求：

  1. 映射到现有控制措施（完全、部分或无）
  2. 评估实施效果
  3. 根据风险影响和发生可能性为差距评分
  4. 将差距归类为文档、流程、技术或培训类
  5. 根据风险评分和整改工作量确定优先级

阶段 5：整改规划

针对每个已识别的差距：

字段内容
差距 ID唯一标识符
框架要求具体条款或控制措施
当前状态当前已有的内容
目标状态合规要求达到的状态
整改措施弥补差距的具体步骤
负责人负责的个人/团队
优先级根据风险评分确定的 P0-P4
时间线目标完成日期
依赖项此项工作所依赖的其他差距或行动

阶段 6：报告

生成可用于审计的文档：

  • 执行摘要：合规态势、关键风险、就绪度评分
  • 技术发现：详细的控制评估结果
  • 风险矩阵：按严重性和可能性绘制差距热力图
  • 整改路线图：包含负责人和优先级时间线
  • 证据包：按控制措施编制索引的整理材料
  • 合规证明：针对特定框架的认证就绪情况

阶段 7：持续监控

建立持续的合规态势管理：

  • 配置自动扫描以检测偏差
  • 设置控制措施退化的告警阈值
  • 安排定期重新评估的频率
  • 按时间线跟踪整改进度
  • 维护指标仪表板（控制覆盖率、证据时效性、审计就绪度）

核心原则

  1. 证据胜于陈述 — 每项合规声明都必须有可验证的材料作为依据
  2. 优先自动化 — 手动收集证据无法扩展，且容易引入错误
  3. 基于风险确定优先级 — 优先处理风险最高的差距
  4. 持续保持合规态势 — 合规是一种持续状态，而非一次性事件
  5. 纵深防御 — 分层部署控制措施，避免单点故障导致不合规

反模式

  • 将合规视为勾选清单，而不测试控制措施的有效性
  • 有自动化方案时仍手动收集证据
  • 因为“我们一直都是这么做的”而忽略差距
  • 等到审计季才开始收集证据
  • 混淆合规与安全（合规是安全的一部分）
  • 跳过第三方/供应商合规评估

评论

支持 Markdown