关于 dpia-mitigation-plan
用于规划 GDPR 数据保护影响评估风险缓解措施的结构化技能，帮助隐私和安全团队为风险制定措施、负责人、期限、验证方法及剩余风险决策。
主要功能
- 01技术与组织措施分类
- 02与风险关联的计划结构
- 03负责人和期限跟踪
- 04效果验证方法
- 05剩余风险决策框架
- 06实施状态跟踪
适用场景
- 01为 DPIA 风险规划控制措施
- 02分配负责人和完成期限
- 03在处理前审查剩余风险
- 04跟踪缓解措施直至验证
安装
复制下面的命令，在终端中运行。
$
npx skills add https:/安装后在 Claude Code 中输入/dpia-mitigation-plan确认已加载。
包含的文件
除 SKILL.md 外，安装时一起下载的参考资料和脚本。
assets/template.mdreferences/standards.mdworkflows.mdscripts/process.py详细介绍
DPIA 缓解规划
概述
GDPR 第 35(7)(d) 条要求 DPIA 包含“拟采取的风险应对措施，包括保障措施、安全措施，以及确保个人数据受到保护并证明符合本法规的机制”。此技能提供了一个结构化的缓解规划框架。
缓解策略类别
技术措施
| 类别 | 示例 | GDPR 参考 |
|---|---|---|
| 加密 | 静态加密、传输中加密、端到端加密 | 第 32(1)(a) 条 |
| 假名化 | 令牌化、哈希处理、密钥编码 | 第 25(1) 条、第 32(1)(a) 条 |
| 访问控制 | RBAC、MFA、特权访问管理 | 第 32(1)(b) 条 |
| 数据最小化 | 字段级精简、汇总、抽样 | 第 5(1)(c) 条、第 25(1) 条 |
| 匿名化 | k-匿名性、差分隐私、泛化 | 序言第 26 条 |
| 监控 | SIEM、DLP、异常检测 | 第 32(1)(d) 条 |
组织措施
| 类别 | 示例 | GDPR 参考 |
|---|---|---|
| 政策 | 数据保护政策、可接受使用政策 | 第 24(2) 条 |
| 培训 | 隐私意识培训、针对特定角色的培训 | 第 39(1)(b) 条 |
| 合同 | DPA、联合控制者安排、NDA | 第 28 条、第 26 条 |
| 审计 | 内部审计、处理者审计、认证 | 第 28(3)(h) 条 |
| 治理 | DPO 监督、隐私委员会、RACI | 第 37-39 条 |
| 事件响应 | 泄露事件处理程序、通知流程 | 第 33-34 条 |
缓解计划结构
对于每项已识别的风险：
- 风险参考 -- 链接至 DPIA 风险登记表条目
- 固有风险级别 -- 缓解前
- 拟议措施 -- 具体的技术和组织控制措施
- 实施负责人 -- 负有责任的人员
- 实施截止日期 -- 目标完成日期
- 验证方法 -- 确认有效性的方式
- 剩余风险级别 -- 计划中的缓解措施实施后
- 接受决定 -- 在风险承受范围内 / 需要升级处理 / 事先咨询
剩余风险决策框架
Residual Risk LOW → Accept; document; routine monitoring
Residual Risk MEDIUM → Accept with enhanced monitoring; annual review
Residual Risk HIGH → Escalate to senior management; consider additional measures
Residual Risk VERY HIGH → Art. 36 prior consultation required before processing
实施跟踪
每项缓解措施按以下阶段推进：
- 拟议 -- 已识别但尚未获批
- 已批准 -- 已分配预算和资源
- 进行中 -- 正在实施
- 已实施 -- 已部署并投入运行
- 已验证 -- 已通过测试确认有效性
评论
支持 Markdown