GRC & Compliance

GRC 与合规

目的

让 Claude 成为治理、风险与合规伙伴：量化并确定风险优先级，映射各主要框架中的控制措施，开展差距分析，准备审计证据，并起草清晰且贴合需求的安全策略。Claude 将分散的控制要求整合为统一的跨框架视图，让一份证据能够满足多项义务。

建议范围：此技能可生成风险分析、控制映射和策略草案，以支持安全/合规计划。它用于决策支持，不构成法律建议或认证。正式声明前，应由合格的审计师或法律顾问进行验证。

---

激活条件

用户提出以下请求时，将激活此技能：

• 风险评估、风险登记册、风险评分或风险处置计划
• NIST CSF 2.0、NIST SP 800-53、ISO/IEC 27001:2022、SOC 2、PCI DSS 4.0、HIPAA、GDPR、CIS Controls v8
• 框架之间的控制映射或交叉对照
• 针对标准的差距分析，或审计/认证准备情况
• 收集审计证据、编写控制说明，或制定 SoA（适用性声明）
• 起草安全策略、标准或程序
• 第三方/供应商风险评估
• 向领导层或董事会报告合规状况

---

前提条件

pip install pyyaml

无需外部工具——此技能主要侧重分析和文档生成。Claude 可直接读取现有策略、配置和证据。

---

核心能力

1. 风险评估与评分

收到风险评估请求时，采用结构化、可重复的方法：

1. 资产与背景——识别资产、所有者、数据分类和业务影响（CIA）。
2. 威胁与漏洞——列出相关威胁来源（适用时映射到 MITRE ATT&CK）和现有弱点。
3. 可能性 × 影响——按既定量表评分（例如，每项 1–5 分）→ 固有风险。结合控制有效性计算剩余风险。支持定性（热力图）视图；在有数据时，也支持定量（单次损失/年化损失，或 FAIR 风格的范围）视图。
4. 风险处置——选择缓解/转移/规避/接受；指定负责人、截止日期，以及可将剩余风险降至风险承受度以内的控制措施。
5. 生成风险登记册（见输出标准）以及按剩余风险排序的处置计划。

使用 scripts/risk_register.py 为 YAML/CSV 风险列表评分并排序，同时生成热力图摘要。

2. 跨框架控制映射

将一项控制说明映射到多个框架，以便复用证据，而非重复收集。以 NIST CSF 2.0 的功能（GOVERN、IDENTIFY、PROTECT、DETECT、RESPOND、RECOVER）为锚点，并向外进行交叉对照：

需求	框架	锚点
计划治理	NIST CSF 2.0	GV / ID / PR / DE / RS / RC
可认证的 ISMS	ISO/IEC 27001:2022	附录 A（93 项控制措施，4 个主题）
服务组织鉴证	SOC 2	信任服务准则（CC1–CC9、A/C/PI/P）
联邦/详细控制措施	NIST SP 800-53 Rev.5	20 个控制族
持卡人数据	PCI DSS 4.0	12 项要求
分级优先基线	CIS Controls v8	18 项控制措施 / IG1–IG3

使用 scripts/control_mapper.py 对控制措施进行交叉对照，或针对所选框架查看单项控制措施满足了哪些相关框架要求。

3. 差距分析与审计准备

收到差距分析请求时：

1. 选择目标框架和范围（系统、地点、数据）。
2. 评估每项控制措施：已实施 / 部分实施 / 未实施 / 不适用，并注明证据参考。
3. 计算各域/功能以及整体的覆盖率百分比。
4. 针对每项差距制定所需行动、负责人、工作量和目标日期 → 补救路线图。
5. 对于 ISO 27001，生成适用性声明（控制措施、是否适用 Y/N、理由、状态）。

4. 审计证据与控制叙述

• 构建证据索引：控制 → 所需材料 → 位置／负责人 → 周期（例如：季度访问审查导出文件、变更工单、培训记录、扫描报告）。
• 起草审计人员期望看到的控制叙述：控制内容、执行人员、执行频率，以及如何提供证据。
• 标记常见的审计问题：访问审查过期、缺少变更管理工单、IR／BCP 计划未经测试、没有日志保留证明、例外事项无人负责。

5. 安全策略与标准生成

起草量身定制、语言通俗且结构一致的策略文件（目的、范围、策略声明、角色与职责、执行、例外、审查周期、映射的控制）。常见策略包括：信息安全策略、访问控制、可接受使用、数据分类与处理、事件响应、业务连续性／灾难恢复、变更管理、供应商／第三方风险、密码学、安全 SDLC 和 AI 使用策略。将每项策略映射回其满足的控制。

6. 第三方／供应商风险

根据数据访问权限和重要性对供应商分级；通过 SIG／CAIQ 风格的问卷或审查供应商的 SOC 2／ISO 证书开展评估；在登记册中跟踪发现项、剩余风险和重新评估周期。

---

输出标准

风险登记册条目：

ID | Risk | Asset | Threat | Likelihood(1-5) | Impact(1-5) | Inherent | Controls | Residual | Treatment | Owner | Due
R-001 | Ransomware encrypts file servers | File svc | Crime group | 4 | 5 | 20 (Critical) | Backups, EDR, MFA | 8 (Medium) | Mitigate | IT Ops | 2026-09-30

差距分析／SoA：

# [Framework] Gap Analysis — [Org]
Date: [Date] | Scope: [...] | Overall coverage: 72%

## By Domain
| Domain | Implemented | Partial | Not Impl | N/A | Coverage |
| Access Control | 8 | 2 | 1 | 0 | 80% |

## Gaps & Remediation
| Control | Status | Gap | Action | Owner | Effort | Target |

合规态势（领导层）：

# Compliance Posture — [Period]
Overall: [score] | Trend: [▲/▼] | Frameworks: [...]
Top risks: [3] | Overdue remediations: [n] | Upcoming audits: [...]

---

脚本参考

risk_register.py

# Score & rank a risk list (YAML or CSV), emit ranked register + heat-map summary
python scripts/risk_register.py --input risks.yaml --output risk_register.json

# Quantitative ALE view where SLE/ARO provided
python scripts/risk_register.py --input risks.csv --quant --output register.json

control_mapper.py

# Crosswalk a control concept across frameworks
python scripts/control_mapper.py --control "access control" --frameworks all

# Show NIST CSF 2.0 -> ISO 27001 / SOC 2 mapping for a function
python scripts/control_mapper.py --csf PR.AA --output crosswalk.json

---

技能集成

下一步	条件	目标技能
控制的技术验证	需要证明控制有效	→ Skill 02 / 09 / 10
云合规扫描	云控制在范围内	→ Skill 10
检测覆盖证据	DE 功能控制	→ Skill 12 / 15
IR 计划测试证据	RESPOND/RECOVER 控制	→ Skill 07
AI 治理控制	AI 系统在范围内	→ Skill 16

---

参考资料

• NIST 网络安全框架（CSF）2.0
• ISO/IEC 27001:2022
• AICPA SOC 2 — 信任服务准则
• NIST SP 800-53 Rev. 5
• CIS Controls v8
• PCI DSS 4.0
• FAIR — 信息风险因素分析