Habilidades de Claude instalables que brindan orientación de cumplimiento a nivel de experto para más de 30 marcos normativos, incluidos ISO 27001, SOC 2, FedRAMP, GDPR, HIPAA, NIST CSF, PCI DSS y la Ley de IA de la UE. Incluye análisis de brechas, plantillas de políticas y mapeo de controles.
Asesoramiento de cumplimiento de nivel experto para ISO 27001, SOC 2, FedRAMP, GDPR, HIPAA, NIST CSF, PCI DSS, Ciberseguridad TSA, ISO 42001 Sistema de Gestión de IA, ISO 27701 Gestión de Información de Privacidad, DORA Resiliencia Operativa Digital, Ley de Protección de Datos Personales Digitales de la India (DPDPA), CMMC 2.0 Certificación de Modelo de Madurez de Ciberseguridad, Marco de Gestión de Riesgos de IA de NIST, Programa de Seguridad del Cliente de SWIFT (CSP), Manual de Seguridad de la Información de Australia (ISM), Directiva NIS2 de la UE, Privacidad de California CCPA/CPRA, ITAR (Regulaciones Internacionales de Tráfico de Armas), LGPD de Brasil (Lei Geral de Proteção de Dados), CSRD de la UE (Directiva de Informes de Sostenibilidad Corporativa), Controles CIS v8 (CIS Top 18), EAR (Regulaciones de Administración de Exportaciones), NIST SP 800-53 (Controles de Seguridad y Privacidad para Sistemas Federales), Ley de IA de la UE (Reglamento (UE) 2024/1689), Sección 508 (Accesibilidad TIC del Gobierno Federal de EE. UU.), WCAG (Pautas de Accesibilidad para el Contenido Web), NZISM (Manual de Seguridad de la Información de Nueva Zelanda), PDPL de Vietnam (Ley de Protección de Datos Personales N.º 91/2025/QH15) y EU CRA (Ley de Resiliencia Cibernética, Reglamento (UE) 2024/2847) — impulsado por Claude Skills. Actualizado mensualmente.
Evaluado en 150 casos de prueba mediante el framework de evaluación — cada uno calificado con al menos 5 aserciones verificables por agentes independientes (752 aserciones en total). Las skills obtuvieron una puntuación del 93% frente a una línea base del 79%.
Las Claude Skills son paquetes de conocimiento instalables que amplían las capacidades de Claude para dominios específicos. Una skill es un archivo .skill — un archivo empaquetado que contiene un archivo de instrucciones SKILL.md y materiales de referencia opcionales — que se sube a Claude una vez y se usa en todas tus conversaciones.
Una vez instalada, una skill se activa automáticamente cuando tu conversación aborda su área temática. No necesitas invocarla por su nombre ni usar comandos especiales. Claude simplemente se convierte en un experto más profundo en ese dominio durante tu sesión.
Las skills son ideales cuando necesitas:
Cómo funcionan las skills internamente: Cada archivo .skill contiene un SKILL.md principal que se carga en el contexto de Claude cuando la skill se activa, además de archivos de referencia que se cargan bajo demanda para subtemas más profundos. Este patrón de «divulgación progresiva» mantiene un uso eficiente del contexto mientras pone a disposición conocimiento integral cuando se necesita.
Estas skills están diseñadas para profesionales que trabajan en seguridad de la información, privacidad y cumplimiento normativo — ya sea en organizaciones que buscan certificación, equipos de desarrollo que construyen sistemas conformes o asesores que brindan soporte a clientes.
Equipos de Seguridad y Cumplimiento utilizan estas skills para acelerar las evaluaciones de brechas, generar borradores iniciales de políticas, mapear controles y preparar paquetes de evidencia — comprimiendo semanas de trabajo de consulta en minutos.
Desarrolladores e Ingenieros de Software las utilizan para comprender qué controles deben implementar sus sistemas, auditar el código y la arquitectura en busca de problemas de cumplimiento, y obtener orientación técnica práctica vinculada a requisitos regulatorios específicos.
Profesionales de Legal, Privacidad y GRC las utilizan para redactar documentos regulatorios (DPA, BAA, avisos de privacidad), responder preguntas de clientes con citas regulatorias precisas y mantenerse al día con los requisitos de los marcos.
Organizaciones de Salud utilizan la skill de HIPAA para evaluar sistemas, generar los avisos y acuerdos requeridos y capacitar al personal sobre sus obligaciones — sin necesidad de un consultor de cumplimiento para cada pregunta.
Proveedores de Servicios en la Nube que buscan contratos con el gobierno federal utilizan la skill de FedRAMP para navegar el proceso de ATO, redactar narrativas de SSP, gestionar POA&M y prepararse para las evaluaciones de 3PAO.
Startups y PYMES utilizan estas skills para comprender qué les exige un marco determinado, definir el alcance de sus programas de cumplimiento y obtener resultados de calidad experta sin un gran equipo interno.
ISO 27001Archivo: ISO 27001 - Claude Skill/iso27001.skill
La skill de ISO 27001 convierte a Claude en un experto Auditor Líder de ISO 27001 y consultor de implementación de SGSI (ISMS). Cubre tanto ISO 27001:2013 (114 controles, 14 dominios) como ISO 27001:2022 (93 controles, 4 temas), con la versión 2022 actual como predeterminada.
Qué hace:
Frases de activación: ISO 27001, ISMS, Annex A, Statement of Applicability, SoA, gap analysis, risk register, certification readiness, internal audit
SOC 2Archivo: SOC 2 - Claude Skill/soc2.skill
La skill de SOC 2 convierte a Claude en un asesor experto en cumplimiento de SOC 2 basado en los Criterios de Servicios de Confianza (TSC) de AICPA 2017 con Puntos de Enfoque Revisados de 2022. Cubre los cinco TSC: Seguridad (CC1–CC9), Disponibilidad (A1), Confidencialidad (C1), Integridad de Procesamiento (PI1) y Privacidad (P1–P8).
Qué hace:
Frases de activación: SOC 2, Trust Services Criteria, TSC, CC6, Type 1, Type 2, AICPA, audit readiness, control statement, evidence
FedRAMP [EE. UU.]Archivo: FedRamp - Claude Skill/fedramp.skill
La skill de FedRAMP convierte a Claude en un asesor experto en FedRAMP que cubre todo el ciclo de vida de autorización para Proveedores de Servicios en la Nube (CSP) bajo NIST SP 800-53 Rev 5 y el nuevo marco CR26 (Reglas Consolidadas de FedRAMP para 2026). Vigente a agosto de 2026 — CR26 es definitivo (obligatorio a partir del 1 de enero de 2027) con Clases de Certificación A–D (A = piloto/transicional, B = LI-SaaS/Bajo, C = Moderado, D = Alto), apertura de pipelines de Clase en agosto de 2026, FedRAMP 20x como vía principal, Ready retirado el 28 de julio de 2026 (Legacy FedRAMP Ready) y el mandato OSCAL del 30 de septiembre de 2026 para nuevas autorizaciones.
Qué hace:
Frases de activación: FedRAMP, ATO, SSP, POA&M, 3PAO, NIST 800-53, ConMon, AWS GovCloud, Azure Government, CR26, FedRAMP 20x, OSCAL, Certification Class
Archivo: GDPR - Claude Skill/gdpr-compliance.skill
La skill de GDPR convierte a Claude en un asistente experto de cumplimiento de GDPR que integra las perspectivas técnica y legal. Cubre el reglamento completo del GDPR de la UE con notas sobre el GDPR del Reino Unido (DPA 2018) donde las normas difieren, y adapta su tono automáticamente — técnico para desarrolladores, jurídicamente preciso para profesionales de cumplimiento y privacidad.
Qué hace:
Frases de activación: GDPR, data protection, privacy, personal data, DPA, DPIA, lawful basis, data subject rights, consent, RoPA, Schrems II, ICO, EDPB
HIPAA [EE. UU.]Archivo: HIPAA - Claude Skill/hipaa-compliance.skill
La skill de HIPAA convierte a Claude en un asesor experto en cumplimiento de HIPAA que cubre la Regla de Privacidad, la Regla de Seguridad y la Regla de Notificación de Violaciones de Datos (45 CFR Partes 160 y 164, modificadas por HITECH). Sirve tanto a equipos técnicos que construyen sistemas que manejan ePHI como a equipos de cumplimiento y legales que gestionan las obligaciones organizacionales.
Qué hace:
Frases de activación: HIPAA, PHI, ePHI, covered entity, business associate, BAA, NPP, breach notification, minimum necessary, Privacy Rule, Security Rule
NIST CSFArchivo: NIST Cybersecurity framework - Claude Skill/NIST Cybersecurity.skill
La skill de NIST CSF convierte a Claude en un asesor experto del Marco de Ciberseguridad de NIST que cubre tanto CSF 2.0 (febrero de 2024) como CSF 1.1 (abril de 2018), con el actual CSF 2.0 como predeterminado. Cubre las seis funciones — Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar — incluida la nueva función Gobernar introducida en CSF 2.0.
Qué hace:
Frases de activación: NIST CSF, Cybersecurity Framework, CSF 2.0, Govern function, GV.SC, ID.AM, PR.AA, DE.CM, RS.MA, RC.RP, cybersecurity profile, implementation tiers, CSF gap assessment
PCI DSSArchivo: PCI Compliance - Claude Skill/PCI-Compliance.skill
La skill de PCI DSS convierte a Claude en un asesor experto en cumplimiento de PCI DSS que cubre PCI DSS v4.0.1 (junio de 2024 — versión actual), incluidos todos los requisitos que se volvieron obligatorios el 31 de marzo de 2025. Cubre los 12 requisitos, los 8 tipos de SAQ, los niveles de comerciantes y proveedores de servicios, y los cambios clave de la v4.0 con respecto a la v3.2.1.
Qué hace:
Frases de activación: PCI DSS, PCI compliance, cardholder data, CDE, SAQ, ROC, QSA, ASV scan, PAN, tokenisation, P2PE, merchant level, payment page, Req 8.4.2, Req 6.4.3
Archivo: TSA Compliance - Claude Skill/TSA-Compliance.skill
La skill de Ciberseguridad TSA convierte a Claude en un asesor experto en directivas de ciberseguridad de TSA para infraestructura de transporte crítica. Cubre todas las series vigentes de Directivas de Seguridad de TSA — SD Pipeline-2021-01G, SD Pipeline-2021-02F, SD 1580-21-01E (ferrocarril de carga) y SD 1582-21-01E (tránsito/ferrocarril de pasajeros) — además del NPRM de noviembre de 2024 que propone formalizar estas directivas como regulaciones federales permanentes.
Nota sobre SSI: Las Directivas de Seguridad de TSA están clasificadas como Información de Seguridad Sensible (SSI) conforme a 49 CFR Parte 1520. Esta skill se construye a partir de resúmenes disponibles públicamente, avisos del Registro Federal y publicaciones de DHS/CISA — no del texto completo clasificado de la directiva. Las entidades cubiertas reciben la directiva real directamente de TSA.Qué hace:
Frases de activación: TSA Security Directive, SD Pipeline-2021, SD 1580-21-01, SD 1582-21-01, TSA cybersecurity, Critical Cyber Systems, CCS, Cybersecurity Coordinator, Cybersecurity Implementation Plan, CIP, CRMP, IRP testing, Architecture Design Review, ADR, CAP, , , , , ,
ISO 42001 Sistema de Gestión de IAArchivo: ISO 42001 - Claude Skill/ISO-42001.skill
La habilidad ISO 42001 convierte a Claude en un asesor experto en ISO/IEC 42001:2023, el primer estándar internacional para la gobernanza de IA. Sirve tanto a proveedores de IA (organizaciones que desarrollan o despliegan IA) como a usuarios de IA (organizaciones que integran IA de terceros), cubriendo todo el ciclo de vida de certificación, desde la evaluación de brechas hasta la preparación para la auditoría de Etapa 2.
Qué hace:
Frases de activación: ISO 42001, ISO/IEC 42001, AI Management System, AIMS, AISIA, AI System Impact Assessment, responsible AI standard, AI governance standard, Annex A AI controls, AI risk assessment ISO, Statement of Applicability AI, AI policy ISO, AI certification, AI lifecycle controls, , , , , ,
ISO 27701 Gestión de Información de PrivacidadArchivo: ISO 27701 - Claude Skill/iso27701.skill
La habilidad ISO 27701 convierte a Claude en un asesor experto en ISO/IEC 27701:2025, el Sistema de Gestión de Información de Privacidad (PIMS) — cubriendo todo el ciclo de vida, desde la evaluación de brechas hasta la certificación. Maneja tanto ISO 27701:2025 (la nueva edición independiente) como ISO 27701:2019 (la extensión heredada de ISO 27001), y cubre tanto controladores de PII como procesadores de PII.
Qué hace:
Frases de activación: ISO 27701, PIMS, privacy information management, PII controller, PII processor, privacy risk assessment, DPIA, data subject rights, records of processing activities, RoPA, privacy by design, data processing agreement, DPA, GDPR alignment ISO 27701, ISO 27701:2025, , , , ,
DORA [UE] — Resiliencia Operativa DigitalArchivo: DORA - Claude Skill/dora.skill
La habilidad DORA convierte a Claude en un asesor experto en el Reglamento (UE) 2022/2554 (Ley de Resiliencia Operativa Digital) — el reglamento TIC de referencia para las entidades financieras de la UE desde el 17 de enero de 2025. Codifica los 64 artículos de DORA, las 12 RTS/ITS adoptadas, y proporciona una guía precisa a nivel de artículo para cada flujo de trabajo de cumplimiento. Separa explícitamente DORA de NIS2, las directrices TIC heredadas de la EBA e ISO 27001 — una fuente común de confusión en las respuestas de los LLM en general.
Qué hace:
Frases de activación: DORA, Regulation (EU) 2022/2554, digital operational resilience, ICT risk management framework, DORA gap analysis, Art. 6 DORA, Art. 17 ICT incident, Art. 18 classification, Art. 19 incident reporting, Art. 26 TLPT, Art. 28 third-party risk, Art. 30 contractual provisions, Register of Information, CIR 2024/2956, , , , , , , , , , , , , ,
Archivo: DPDPA - Claude Skill/dpdpa.skill
La habilidad DPDPA convierte a Claude en un asesor experto en la Ley de Protección de Datos Personales Digitales de 2023 de la India y en las Reglas DPDP de 2025 finalizadas (notificadas el 13 de noviembre de 2025, efectivas el 13 de mayo de 2027). Cubre las 44 secciones de la Ley y las 23 Reglas, con citas precisas a nivel de sección, mapeo de alineación con el RGPD y orientación calibrada tanto para empresas indias como para organizaciones globales con titulares de datos indios.
Qué hace:
Frases de activación: DPDPA, Digital Personal Data Protection Act, India data protection, Data Fiduciary, Data Principal, Significant Data Fiduciary, SDF, Data Protection Board of India, DPBI, DPDP Rules 2025, Section 5 DPDPA, Section 6 DPDPA, Section 7 DPDPA, Section 8 DPDPA, Section 9 DPDPA, , , , , , , , , , , , , , ,
CMMC 2.0 [EE. UU.] — Certificación del Modelo de Madurez de CiberseguridadArchivo: CMMC - Claude Skill/cmmc.skill
La habilidad CMMC 2.0 convierte a Claude en un asesor experto en cumplimiento de CMMC para contratistas de defensa de EE. UU. que navegan el programa de Certificación del Modelo de Madurez de Ciberseguridad. Cubre los tres niveles de CMMC — Nivel 1 (17 prácticas FAR 52.204-21), Nivel 2 (110 prácticas NIST SP 800-171 Rev 2) y Nivel 3 (110+ requisitos NIST SP 800-172) — bajo la regla final 32 CFR Parte 170 (efectiva desde el 16 de diciembre de 2024). Actualizado a agosto de 2026 — incluida la suspensión de la Fase 2 del 13 de julio de 2026 (requisitos C3PAO en suspenso a la espera de la revisión del CMMC Reform Task Force, con vencimiento ≈ 13 de septiembre de 2026; las vías de autoevaluación y todas las obligaciones DFARS continúan).
Qué hace:
Frases de activación: CMMC, CMMC 2.0, CMMC Level 2, CUI, Controlled Unclassified Information, NIST 800-171, DFARS 7021, DFARS 252.204-7021, C3PAO, SPRS score, defense contractor, DIB, DoD contractor, FCI, SSP CMMC, , , , ,
Archivo: NIST AI RMF - Claude Skill/nist-ai-rmf.skill
La habilidad NIST AI RMF convierte a Claude en un asesor experto en el Marco de Gestión de Riesgos de IA de NIST (AI RMF 1.0), publicado en enero de 2023 como NIST AI 100-1. Cubre las cuatro funciones principales — GOVERN, MAP, MEASURE y MANAGE — con sus 19 categorías y subcategorías, las acciones sugeridas del AI RMF Playbook y orientación profunda sobre la evaluación de sistemas de IA en cuanto a su confiabilidad.
Qué hace:
Frases de activación: NIST AI RMF, AI RMF, NIST AI 100-1, AI Risk Management Framework, GOVERN function, MAP function, MEASURE function, MANAGE function, AI RMF Playbook, AI risk profile, AI trustworthiness, AI bias assessment, AI explainability, MEASURE 2.2, AI risk register, , , , ,
Archivo: SWIFT CSP - Claude Skill/swift-csp.skill
La habilidad SWIFT CSP convierte a Claude en un asesor experto en el Marco de Controles de Seguridad del Cliente de SWIFT (CSCF) v2026 — el programa de ciberseguridad obligatorio para todos los participantes de la red SWIFT. Cubre los 32 controles (25 obligatorios + 7 de asesoramiento — el Control 2.4 Back-Office Data Flow Security promovido a obligatorio en v2026), los cinco tipos de arquitectura (A1/A2/A3/A4/B), el proceso de atestación anual KYC-SA (ventana del 1 de julio al 31 de diciembre de 2026) y mapeos completos entre marcos con ISO 27001:2022, PCI DSS v4.0.1 y NIST CSF 2.0.Qué hace:
Frases de activación: SWIFT CSP, CSCF, KYC-SA, SWIFT security attestation, Alliance Access, SWIFT operator MFA, SWIFT secure zone, SWIFT secure flow zone, CSCF v2026, Control 2.4 SWIFT, Control 4.2 SWIFT, Control 6.4 SWIFT, Control 7.1 SWIFT, SWIFT architecture type A1, SWIFT service bureau, , , , , ,
Archivo: ISM - Claude Skill/ism.skill
La habilidad ISM convierte a Claude en un asesor experto en el Manual Australiano de Seguridad de la Información — el marco de ciberseguridad de todo el gobierno publicado por la Dirección Australiana de Señales (ASD) para las entidades del gobierno federal y estatal australiano y sus cadenas de suministro. Cubre los 22 capítulos de directrices, el ciclo de gestión de riesgos de seis pasos, las marcas de aplicabilidad de controles (OFFICIAL hasta TOP SECRET), el programa de evaluación IRAP, la autorización de sistemas y la relación con el Essential Eight. Actualizado a la versión ISM de junio de 2026 — incluidos los 49 principios de ciberseguridad reestructurados (GOVERN duplicado a 14), los controles de aplicación de IA pioneros (ISM-2112/2113/2114) y los requisitos ampliados de criptografía aprobados por ASD para datos en tránsito.
Qué hace:
Frases de activación: ISM, Information Security Manual, ASD cybersecurity, IRAP assessment, IRAP assessor, system authorisation, ATO Australia, PROTECTED system, OFFICIAL Sensitive, NC OS PROTECTED, Essential Eight, ASD compliance, Australian government cybersecurity, ISM controls, , , , , ,
Archivo: NIS2 - Claude Skill/nis2.skill
La habilidad NIS2 convierte a Claude en un asesor experto en la Directiva NIS2 de la UE (Directiva (UE) 2022/2555) — el marco general de ciberseguridad de la Unión Europea para entidades esenciales e importantes. En vigor desde el 27 de diciembre de 2022 (plazo de transposición el 17 de octubre de 2024), la NIS2 sustituye a la Directiva NIS1 original y amplía significativamente el ámbito de aplicación, refuerza las obligaciones de notificación de incidentes, introduce la responsabilidad del órgano de gestión y eleva las multas máximas a 10 millones de euros o el 2% del volumen de negocios mundial.
Qué hace:
Frases de activación: NIS2, NIS 2, Directive EU 2022 2555, essential entity, important entity, NIS2 compliance, NIS2 incident reporting, Article 21 NIS2, Article 23 NIS2, NIS2 gap analysis, NIS2 policy, NIS2 supply chain, NIS2 governance, NIS2 risk management, ENISA NIS2, , , , ,
CCPA/CPRA [California] PrivacidadArchivo: CCPA - Claude Skill/ccpa.skill
La habilidad CCPA/CPRA convierte a Claude en un asesor experto en las leyes integrales de privacidad de California — la Ley de Privacidad del Consumidor de California (CCPA, vigente desde el 1 de enero de 2020) y la Ley de Derechos de Privacidad de California (CPRA/Proposición 24, vigente desde el 1 de enero de 2023). La CPRA amplió significativamente la CCPA, creó la Agencia de Protección de la Privacidad de California (CPPA), introdujo la Información Personal Sensible (SPI) como una nueva categoría y añadió derechos para corregir la PI, limitar el uso de SPI y establecer períodos de retención.
Qué hace:
Frases de activación: CCPA, CPRA, California Consumer Privacy Act, California Privacy Rights Act, Do Not Sell or Share, sensitive personal information California, CPPA, California privacy compliance, right to know California, right to delete California, California opt-out, GPC signal, Global Privacy Control, ad tech CCPA, , , , , ,
ITAR [EE. UU.] — Reglamento sobre el Tráfico Internacional de ArmasArchivo: ITAR - Claude Skill/itar.skill
La habilidad ITAR convierte a Claude en un asesor experto en los controles de exportación de defensa de EE. UU. según 22 CFR Partes 120–130, administrados por la Dirección de Controles de Comercio de Defensa (DDTC) del Departamento de Estado de EE. UU. El ITAR controla la exportación, reexportación y transferencia de artículos de defensa, servicios de defensa y datos técnicos relacionados enumerados en la Lista de Municiones de los Estados Unidos (USML).
Qué hace:
Frases de activación: ITAR, International Traffic in Arms Regulations, USML, United States Munitions List, DDTC, defense export, deemed export, TAA, technical assistance agreement, MLA, manufacturing license agreement, DSP-5, DSP-73, ITAR registration, ITAR violation, , , , , , , ,
LGPD [Brasil] — Ley General de Protección de DatosArchivo: LGPD - Claude Skill/lgpd.skill
La habilidad LGPD convierte a Claude en un asesor experto en la Lei Geral de Proteção de Dados Pessoais (Ley 13,709/2018) de Brasil, la ley integral brasileña de protección de datos aplicada por la ANPD (Autoridade Nacional de Proteção de Dados). La LGPD se aplica extraterritorialmente a cualquier organización que procese datos personales de individuos ubicados en Brasil.
Frases de activación: LGPD, Brazil data protection, Lei Geral de Proteção de Dados, ANPD, Brazilian privacy law, LGPD compliance, LGPD gap assessment, Encarregado, RIPD, LGPD legal basis, LGPD data subject rights, Brazil data breach, ANPD notification, LGPD vs GDPR, Brazil personal data, ,
CSRD [UE] — Directiva de Información sobre Sostenibilidad CorporativaArchivo: CSRD - Claude Skill/csrd.skill
La habilidad CSRD convierte a Claude en un asesor experto en la Directiva 2022/2464 de la UE (CSRD), que exige a aproximadamente 50.000 empresas divulgar información detallada ambiental, social y de gobernanza (ASG) según los Estándares Europeos de Información sobre Sostenibilidad (ESRS). La CSRD entró en vigor el 5 de enero de 2023 y sustituye a la Directiva de Información No Financiera (NFRD).
Frases de activación: CSRD, Corporate Sustainability Reporting Directive, ESRS, double materiality, double materiality assessment, DMA, ESG reporting Europe, sustainability disclosure EU, non-financial reporting, ESRS E1, ESRS S1, ESRS G1, Scope 3 CSRD, transition plan ESRS, CSRD gap assessment, , , , , , , , ,
Archivo: CIS Controls - Claude Skill/cis-controls.skill
La habilidad CIS Controls v8 convierte a Claude en un asesor experto en CIS Controls que cubre los 18 CIS Controls y 153 salvaguardas de la versión v8 de mayo de 2021, incluida la cobertura explícita de nube y móvil. Aplica el marco de Grupos de Implementación (IG) — IG1 (56 salvaguardas, ciberhigiene esencial), IG2 (130 salvaguardas, intermedio) e IG3 (153 salvaguardas, avanzado) — para adaptar la orientación al perfil de riesgo y nivel de recursos de cada organización.Qué hace:
Frases de activación: CIS Controls, CIS Top 18, CIS v8, CIS Controls v8, Implementation Group, IG1, IG2, IG3, CIS safeguards, cyber hygiene controls, CIS gap assessment, CIS Controls NIST mapping, CIS Benchmarks, CIS CSAT, asset inventory CIS, , , , , ,
Archivo: EAR - Claude Skill/ear.skill
La habilidad EAR convierte a Claude en un asesor experto en Regulaciones de Administración de Exportaciones con un profundo conocimiento de todas las Partes 730–774 del 15 CFR, administradas por el Bureau of Industry and Security (BIS). Guía a exportadores, fabricantes, empresas de tecnología y profesionales de cumplimiento a lo largo de todo el ciclo de vida del control de exportaciones de doble uso — desde la clasificación de artículos hasta el análisis de licencias y la respuesta ante acciones de cumplimiento.
Qué hace:
Frases de activación: EAR, Export Administration Regulations, ECCN, EAR99, BIS, export control, Commerce Control List, CCL, dual-use export, export licence, Entity List, Denied Persons List, deemed export, FDPR, Foreign Direct Product Rule, , , , , , , , , , , , ,
Archivo: NIST 800-53 - Claude Skill/nist-800-53.skill
La habilidad NIST SP 800-53 convierte a Claude en un asesor experto en controles federales de seguridad y privacidad que cubre el catálogo completo de SP 800-53 Rev 5 (septiembre de 2020) y sus publicaciones complementarias — líneas base SP 800-53B, procedimientos de evaluación SP 800-53A y el Marco de Gestión de Riesgos SP 800-37 Rev 2. Sirve a equipos de agencias federales, proveedores de servicios en la nube que buscan FedRAMP, propietarios de sistemas, ISSO y profesionales de GRC que implementan controles exigidos por FISMA.
Qué hace:
Frases de activación: NIST SP 800-53, SP 800-53, NIST 800-53, federal security controls, RMF, Risk Management Framework, FISMA, ATO, Authority to Operate, FIPS 199, FIPS 200, FIPS 140, SP 800-53B, control baseline, Low baseline, , , , , , , , , , , , , , , , , , , , , , , , , , , ,
Archivo: EU AI Act - Claude Skill/eu-ai-act.skill
La habilidad EU AI Act convierte a Claude en un asesor experto en cumplimiento de la EU AI Act que cubre el Reglamento (UE) 2024/1689 completo — la primera regulación horizontal integral de IA del mundo, en vigor desde el 1 de agosto de 2024 y modificada por el Digital Omnibus (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026). Los poderes de ejecución para la IA de propósito general (GPAI) están activos desde el 2 de agosto de 2026. Sirve a proveedores de IA, desplegadores, importadores y representantes autorizados que operan en el mercado de la UE o colocan IA en él.
Qué hace:
Frases de activación: EU AI Act, AI Act, Regulation 2024/1689, high-risk AI, prohibited AI, GPAI model, general-purpose AI, AI system classification, AI conformity assessment, CE marking AI, EU AI database, AI Office, AI Board, systemic risk AI, Art. 5 AI, , , , , , , , , , , , ,
Archivo: Section 508 - Claude Skill/section-508.skill
La habilidad Sección 508 convierte a Claude en un asesor experto en cumplimiento de accesibilidad de las TIC federales de EE. UU. que cubre los Estándares Revisados de la Sección 508 (2018) (36 CFR Parte 1194), que incorporan WCAG 2.0 Nivel A y AA como estándar técnico para contenido web, software y documentos electrónicos. Apoya a agencias federales, contratistas y proveedores de TIC en todo el ciclo de vida de cumplimiento — desde auditorías de accesibilidad y completado de VPAT hasta remediación de PDF, lenguaje de RFP en contrataciones y determinaciones de carga indebida.
Qué cubre esta habilidad:
Frases de activación: Section 508, 508 compliance, WCAG federal, VPAT, ACR accessibility, accessibility conformance report, ICT accessibility, federal accessibility, POUR principles, web accessibility 508, keyboard accessibility audit, screen reader testing, PDF accessibility, accessible federal website, , , , , , , , , ,
Archivo: WCAG - Claude Skill/wcag.skill
La habilidad WCAG convierte a Claude en un asesor experto en WCAG 2.0, 2.1 y 2.2 — el estándar internacional W3C para la accesibilidad digital desarrollado por la Web Accessibility Initiative (WAI). WCAG sustenta las leyes de accesibilidad en todo el mundo: la EAA de la UE (EN 301 549), la Sección 508 y la ADA de EE. UU., la Equality Act del Reino Unido y la DDA de Australia hacen referencia a la conformidad con WCAG. Apoya a desarrolladores, diseñadores, equipos de producto y equipos legales/de cumplimiento que trabajan en la accesibilidad de contenido web, móvil y digital.
Capacidades clave:
Frases de activación: WCAG, WCAG 2.1, WCAG 2.2, web accessibility, POUR principles, accessibility audit, colour contrast, screen reader, keyboard accessibility, ARIA, focus visible, reflow, accessibility statement, EN 301 549, European Accessibility Act, , , , , , , , , ,
Archivo: NZISM - Claude Skill/nzism.skill
La habilidad NZISM convierte a Claude en un asesor experto en el Manual de Seguridad de la Información de Nueva Zelanda (NZISM) — el marco de ciberseguridad obligatorio publicado por el Government Communications Security Bureau (GCSB) / National Cyber Security Centre (NCSC NZ) para las agencias gubernamentales de Nueva Zelanda y sus cadenas de suministro. Cubre el Sistema de Clasificación de la Información del Gobierno de Nueva Zelanda (ISCS), desde No Clasificado hasta Alto Secreto, las más de 18 secciones de controles del NZISM, el proceso de Certificación y Acreditación (C&A) y las obligaciones obligatorias de las agencias.
Capacidades clave:
chapter.section.control.C.nn, p. ej., 16.1.46.C.02, 16.3.5.C.02) de una referencia incluida y verificada en origen — con una regla estricta de nunca inventar un CID y respaldo por capítulo/secciónFrases de activación: NZISM, NZ government security, GCSB compliance, NCSC NZ, Restricted system NZ, Confidential system NZ, NZ information classification, agency security policy NZ, system certification NZ, C&A NZ, government cybersecurity New Zealand, NZISM gap analysis, NZISM controls, NZ classification ISCS,
Archivo: Vietnam PDPL - Claude Skill/vn-pdpl.skill
La habilidad PDPL de Vietnam convierte a Claude en un asesor experto en la Ley de Protección de Datos Personales de Vietnam No. 91/2025/QH15 — la primera ley integral de protección de datos personales del país, efectiva desde el 1 de enero de 2026 — y su reglamento de implementación, el Decreto 356/2025/ND-CP. Administrada por el Ministerio de Seguridad Pública, la ley se aplica a entidades vietnamitas y a organizaciones extranjeras que procesan datos personales de ciudadanos vietnamitas (alcance extraterritorial).Key capabilities:
Frases de activación: Vietnam data privacy, VN-PDPL, Law 91/2025, Nghị định 356, Vietnamese personal data, Vietnam PDPL, cross-border transfer Vietnam, Vietnam breach notification, Vietnam data protection, Vietnamese data subjects
File: EU CRA - Claude Skill/eu-cra.skill
La habilidad EU CRA convierte a Claude en un asesor experto en el Reglamento (UE) 2024/2847 — la Ley de Resiliencia Cibernética de la UE, publicado el 20 de noviembre de 2024 y plenamente aplicable a partir del 11 de diciembre de 2027. Este reglamento emblemático exige requisitos de ciberseguridad para todos los Productos con Elementos Digitales (PDE) — hardware y software conectados — vendidos en el mercado de la UE, y cubre a fabricantes, importadores y distribuidores.
Key capabilities:
Frases de activación: EU CRA, Cyber Resilience Act, CRA compliance, product with digital elements, PDE, Annex I requirements, CRA conformity assessment, CE marking cybersecurity, SBOM EU regulation, ENISA vulnerability reporting, Class I CRA, Class II CRA, connected product security EU, IoT security regulation EU
|----------|------------------| | Preparándose para una auditoría de certificación ISO 27001:2022 Etapa 2 | ISO 27001 | | Redactando una Política de Seguridad de la Información mapeada al Anexo A | ISO 27001 | | Ejecutando una evaluación de preparación para SOC 2 antes de contratar a un auditor | SOC 2 | | Documentando controles para un informe SOC 2 Tipo 2 | SOC 2 | | Definiendo el alcance de una autorización FedRAMP Moderate en AWS GovCloud | FedRAMP | | Redactando narrativas de controles SSP para las 20 familias de controles de NIST 800-53 | FedRAMP | | Auditando una API para cumplimiento de GDPR antes del lanzamiento del producto | GDPR | | Redactando una DPIA para una nueva función de IA que procesa datos personales | GDPR | | Generando un BAA para una relación con un proveedor SaaS de salud | HIPAA | | Evaluando si un incidente de datos constituye una violación de HIPAA notificable | HIPAA | | Construyendo un programa de cumplimiento que satisfaga tanto ISO 27001 como SOC 2 | ISO 27001 + SOC 2 | | Respondiendo a un cuestionario de seguridad de un cliente que cubre múltiples marcos | All skills | | Integrando a un nuevo ingeniero de cumplimiento que necesita contexto de marcos rápidamente | Any skill | | Preparando un registro de riesgos y un plan de tratamiento para un SGSI | ISO 27001 | | Transicionando de ISO 27001:2013 a ISO 27001:2022 | ISO 27001 | | Preparándose para una transición de FedRAMP Rev 4 → Rev 5 | FedRAMP | | Evaluando la postura actual de ciberseguridad utilizando NIST CSF 2.0 | NIST CSF | | Construyendo un perfil organizativo CSF con estados Actual y Objetivo | NIST CSF | | Avanzando del Nivel de Implementación CSF 1 al Nivel 2 | NIST CSF | | Migrando un programa de ciberseguridad de CSF 1.1 a CSF 2.0 | NIST CSF | | Mapeando controles de ISO 27001 o SOC 2 a subcategorías de NIST CSF | NIST CSF + ISO 27001 / SOC 2 | | Redactando una Política de Gobernanza de Ciberseguridad alineada con la función GV del CSF | NIST CSF | | Definiendo el alcance del CDE de PCI DSS para una plataforma de comercio electrónico alojada en la nube | PCI DSS | | Seleccionando el tipo de SAQ adecuado para un comerciante que utiliza una página de pago alojada | PCI DSS | | Preparándose para un ROC de Nivel 1 con un QSA | PCI DSS | | Implementando los nuevos requisitos de integridad de scripts en la página de pago de PCI DSS v4.0 | PCI DSS | | Extendiendo MFA a todos los accesos al CDE según el Req 8.4.2 | PCI DSS | | Gestionando proveedores de servicios de terceros según el Req 12.8 de PCI DSS | PCI DSS | | Determinando si su operación de oleoducto o ferrocarril es una entidad cubierta por TSA | TSA Cybersecurity | | Redactando un Plan de Implementación de Ciberseguridad (CIP) para entornos OT/SCADA de oleoductos | TSA Cybersecurity | | Planificando y documentando las pruebas anuales del IRP para cumplir la directiva de TSA | TSA Cybersecurity | | Respondiendo a ransomware en TI que pueda propagarse a OT — obligaciones de notificación a CISA | TSA Cybersecurity | | Realizando una Revisión de Diseño de Arquitectura (ADR) para la segmentación de red IT/OT | TSA Cybersecurity | | Implementando MFA y PAM para sistemas OT/HMI heredados con controles nativos limitados | TSA Cybersecurity | | Comprendiendo qué cambia si la NPRM de noviembre de 2024 de TSA se convierte en regulación final | TSA Cybersecurity | | Alineando un CRMP de TSA con NIST CSF 2.0 y los CPG intersectoriales de CISA | TSA Cybersecurity + NIST CSF | | Realizando una evaluación de brechas ISO 42001 para un proveedor de IA con varios modelos de ML en producción | ISO 42001 | | Completando una Evaluación de Impacto de Sistemas de IA (AISIA) para una herramienta automatizada de contratación | ISO 42001 | | Elaborando una Declaración de Aplicabilidad (SoA) que cubra los 38 controles del Anexo A de ISO 42001 (A.2–A.10) | ISO 42001 | | Redactando una Política de IA y una Política de Uso Aceptable de IA para una empresa de servicios financieros | ISO 42001 | | Evaluando si un sistema de IA orientado al cliente requiere controles de alto impacto según ISO 42001 | ISO 42001 | | Preparando paquetes de evidencia para las auditorías de certificación Etapa 1 y Etapa 2 de ISO 42001 | ISO 42001 | | Mapeando los requisitos AISIA de ISO 42001 con la Evaluación de Impacto sobre los Derechos Fundamentales (FRIA) de la Ley de IA de la UE | ISO 42001 | | Integrando un AIMS de ISO 42001 con un SGSI ISO 27001 existente | ISO 42001 + ISO 27001 | | Gobernando el uso por parte del personal de herramientas de IA públicas (ChatGPT, Copilot) según los controles A.9.2 y A.9.4 del Anexo A | ISO 42001 | | Realizando una evaluación de brechas ISO 27701:2025 para una empresa SaaS que actúa como controlador y encargado de IPD | ISO 27701 | | Transicionando de la certificación ISO 27701:2019 a la edición independiente de 2025 | ISO 27701 | | Redactando un Acuerdo de Tratamiento de Datos (DPA) alineado con el GDPR que incluya todas las cláusulas requeridas del Artículo 28 | ISO 27701 | | Elaborando un Registro de Actividades de Tratamiento (RoPA) que cubra todas las operaciones de procesamiento | ISO 27701 | | Completando una DPIA para una nueva función de IA que perfila a usuarios para publicidad dirigida | ISO 27701 | | Implementando un procedimiento de atención de Derechos de los Interesados con SLA de respuesta | ISO 27701 | | Mapeando los controles de ISO 27701:2025 a los artículos del GDPR para una auditoría de cumplimiento | ISO 27701 | | Evaluando las obligaciones de gestión de subencargados para un SaaS B2B nativo de la nube | ISO 27701 | | Integrando un SGP (PIMS) con un SGSI ISO 27001:2022 existente para evitar duplicar controles | ISO 27701 + ISO 27001 | | Realizando un análisis de brechas DORA para una entidad de crédito de la UE antes de una revisión supervisora | DORA | | Clasificando un incidente TIC según los criterios del Art. 18 y los umbrales del CDR (UE) 2024/1772 | DORA | | Construyendo un procedimiento de notificación de incidentes en tres fases (4 h / 72 h / 1 mes) conforme al Art. 19 | DORA | | Revisando los contratos de proveedores TIC frente a las disposiciones obligatorias del Art. 30, apartado 2 | DORA | | Creando o validando el Registro de Información según el CIR (UE) 2024/2956 | DORA | | Evaluando el riesgo de concentración TIC para un banco que depende de un único hiperscaler | DORA | | Definiendo el alcance de un programa TLPT y evaluando si se aplica el umbral del Art. 26 | DORA | | Redactando una Política de Riesgo de Terceros TIC que cumpla el CDR (UE) 2024/1773 | DORA | | Asesorando sobre la interacción entre DORA y NIS2 para una entidad financiera | DORA | | Mapeando las obligaciones de DORA con las directrices TIC heredadas de la EBA e identificando qué ha cambiado | DORA | | Realizando un análisis de brechas DPDPA para una empresa SaaS india antes del plazo de cumplimiento de mayo de 2027 | DPDPA | | Identificando qué actividades de procesamiento conformes con el GDPR necesitan consentimiento nuevo o re-mapeo bajo la DPDPA | DPDPA + GDPR | | Diseñando un aviso conforme a la Sección 5 y la Regla 3, incluidas las obligaciones multilingües | DPDPA | | Implementando un flujo de notificación de violaciones en 72 horas según la Sección 8(6) y la Regla 6 | DPDPA | | Diseñando un programa de cumplimiento de datos de menores con verificación parental de la Regla 12 (DigiLocker, tokens virtuales) | DPDPA | | Evaluando si una plataforma digital debe eliminar la publicidad dirigida y el seguimiento conductual para usuarios menores de 18 años | DPDPA | | Asesorando a una empresa global sobre sus obligaciones de transferencia de datos en India — enfoque de lista negra frente a la lista blanca del GDPR | DPDPA | | Preparándose para una posible designación como Fiduciario de Datos Significativo — nombramiento de DPO, DPIA y preparación para auditorías | DPDPA | | Actualizando los Acuerdos de Tratamiento de Datos con proveedores para cumplir la Regla 16 | DPDPA | | Evaluando si una empresa que depende de intereses legítimos para analítica debe obtener consentimiento bajo la DPDPA | DPDPA | | Construyendo un procedimiento de cumplimiento de derechos del Titular de Datos que cubra acceso, corrección, supresión y nominación | DPDPA | | Determinando su nivel CMMC según las cláusulas DFARS del contrato y el manejo de CUI | CMMC 2.0 | | Realizando una evaluación de brechas CMMC Nivel 2 en las 110 prácticas de NIST SP 800-171 | CMMC 2.0 | | Redactando un Plan de Seguridad del Sistema (SSP) que cubra las 110 prácticas con narrativas de implementación | CMMC 2.0 | | Calculando su puntuación SPRS y priorizando las remediaciones de brechas de mayor impacto | CMMC 2.0 | | Preparándose para una evaluación C3PAO — paquetes de evidencia, prácticas críticas, reglas de POA&M | CMMC 2.0 | | Definiendo el alcance del CUI dentro de su organización y diseñando un enclave para reducir el alcance de CMMC | CMMC 2.0 | | Gestionando las obligaciones de notificación de incidentes de DFARS 252.204-7012 (notificación DIBNET en 72 horas) | CMMC 2.0 | | Transfiriendo los requisitos de CMMC a subcontratistas que manejan CUI | CMMC 2.0 | | Construyendo un perfil organizativo de IA utilizando los estados Actual y Objetivo del NIST AI RMF | NIST AI RMF | | Realizando una evaluación de brechas GOVERN para una organización que inicia su programa de riesgo de IA | NIST AI RMF | | Evaluando un modelo de scoring crediticio frente a los criterios de confiabilidad de MEASURE 2.x | NIST AI RMF | | Construyendo un registro de riesgos de IA mapeado a las categorías del NIST AI RMF para un sistema de ML desplegado | NIST AI RMF | | Mapeando el NIST AI RMF con el requisito del sistema de gestión de riesgos del Artículo 9 de la Ley de IA de la UE | NIST AI RMF + ISO 42001 | | Evaluando el sesgo y la equidad de una herramienta de IA de contratación (paridad demográfica, probabilidades igualadas, regla de 4/5 de la EEOC) | NIST AI RMF | | Diseñando un programa de monitoreo de IA posterior al despliegue utilizando MEASURE 3.x y MANAGE 3.x | NIST AI RMF | | Integrando el NIST AI RMF con un programa NIST CSF existente | NIST AI RMF + NIST CSF | | Determinando su tipo de arquitectura SWIFT (A1/A2/A3/A4/B) y obteniendo la matriz completa de aplicabilidad de controles CSCF v2026 | SWIFT CSP | | Realizando una evaluación de brechas CSCF v2026 para una implementación local de Alliance Access (incluido el Control 2.4, ahora obligatorio) | SWIFT CSP | | Comprendiendo por qué el OTP de software (Google Authenticator) no cumple el Control 4.2 y remediándolo con tokens de hardware antes de la atestación de julio | SWIFT CSP | | Preparando toda la evidencia y completando la atestación anual KYC-SA a través de swift.com/myswift | SWIFT CSP | | Desarrollando un plan de respuesta a incidentes específico de SWIFT que cubra la notificación a SWIFT en 24 horas y las obligaciones de informe en 30 días | SWIFT CSP | | Verificando la atestación KYC-SA de su centro de servicios (Tipo B) y comprendiendo las responsabilidades de control divididas | SWIFT CSP | | Mapeando los controles existentes de ISO 27001 o PCI DSS a los requisitos CSCF para identificar brechas específicas de SWIFT | SWIFT CSP + ISO 27001 / PCI DSS | | Remediando patrones comunes de incumplimiento CSCF: VLAN compartida, parches obsoletos, cobertura SIEM ausente, brechas en el inventario de tokens | SWIFT CSP | | Comprendiendo qué marcas de aplicabilidad de controles ISM (NC/OS/PROTECTED) se aplican a un sistema de nube del gobierno australiano | ISM | | Preparando artefactos para una evaluación IRAP de un sistema de nivel PROTECTED | ISM | | Endureciendo una implementación de Windows Server 2022 según los requisitos del Capítulo 13 del ISM con lista de verificación de evidencia | ISM | | Mapeando los requisitos del Nivel de Madurez 2 de Essential Eight con sus capítulos de guía del ISM | ISM | | Comprendiendo las obligaciones de cumplimiento del ISM para un proveedor de nube del sector privado bajo un contrato gubernamental | ISM | | Redactando un Plan de Seguridad del Sistema (SSP) para la aprobación ATO de un sistema OFFICIAL: Sensitive | ISM | | Comprendiendo los algoritmos criptográficos aprobados y los períodos de retención de registros según el ISM | ISM | | Comparando los requisitos del ISM con los controles de ISO 27001 para identificar brechas específicas del gobierno | ISM + ISO 27001 | | Determinando si una empresa energética europea es una Entidad Esencial o Importante según NIS2 y comprendiendo sus obligaciones | NIS2 | | Recorriendo el flujo de notificación de incidentes del Art. 23 de NIS2 (24 h / 72 h / 1 mes) después de un ataque de ransomware | NIS2 | | Realizando un análisis de brechas entre un SGSI ISO 27001:2022 existente y el cumplimiento pleno de NIS2 | NIS2 + ISO 27001 | | Redactando una política de respuesta a incidentes conforme a NIS2 que cubra las 10 medidas del Art. 21 y los plazos de notificación del Art. 23 | NIS2 | | Explicando la relación lex specialis de DORA e identificando las obligaciones NIS2 residuales para un banco europeo | NIS2 + DORA | | Comprendiendo las obligaciones del órgano de dirección del Art. 20, la responsabilidad personal y la formación obligatoria en ciberseguridad según NIS2 | NIS2 | | Evaluando las obligaciones de seguridad de la cadena de suministro según el Art. 21, apartado 2, letra d) de NIS2 y las evaluaciones de riesgo coordinadas de ENISA del Art. 22 | NIS2 | | Calculando la exposición máxima a sanciones de NIS2 y comparando los regímenes de supervisión EE e IE (Art. 32 vs Art. 33) | NIS2 | | Determinando si una empresa de comercio electrónico de EE. UU. alcanza alguno de los umbrales de CCPA/CPRA y comprendiendo sus obligaciones principales | CCPA/CPRA | | Gestionando una solicitud combinada de derecho a saber y derecho a eliminar de un consumidor californiano, incluida la verificación de identidad y las excepciones | CCPA/CPRA | | Evaluando si compartir identificadores de cookies con una plataforma de tecnología publicitaria constituye una 'venta' según CCPA o un 'intercambio' según CPRA, e implementando mecanismos de exclusión | CCPA/CPRA | | Realizando un análisis de brechas entre un programa GDPR existente y CCPA/CPRA — identificando adiciones específicas de California | CCPA/CPRA + GDPR | | Clasificando datos de geolocalización precisa, salud y biométricos como Información Personal Sensible (SPI) de CPRA y comprendiendo el flujo de trabajo de limitación de SPI de 15 días hábiles | CCPA/CPRA | | Redactando un aviso de privacidad en el momento de la recopilación y una política de privacidad integral que cumpla todos los requisitos de divulgación de CCPA/CPRA | CCPA/CPRA | | Implementando el reconocimiento de la señal Global Privacy Control (GPC) como exclusión válida de venta/intercambio | CCPA/CPRA | | Evaluando el riesgo de ejecución de la CPPA y calculando la exposición a sanciones por violaciones no intencionales frente a intencionales de CCPA/CPRA | CCPA/CPRA | | Determinando si una pequeña empresa de servicios profesionales necesita controles IG1, IG2 o IG3 — y obteniendo un plan de inicio rápido de 12 semanas con alcance definido | CIS Controls v8 | | Realizando una evaluación de brechas CIS Controls v8 para una organización sanitaria y mapeando los hallazgos a las salvaguardas de la Regla de Seguridad de HIPAA | CIS Controls v8 + HIPAA | | Implementando las 56 salvaguardas IG1 en endpoints, cuentas de usuario, copias de seguridad y formación — priorizadas por impacto en seguridad | CIS Controls v8 | | Desplegando MFA en aplicaciones externas, acceso remoto y cuentas de administrador (salvaguardas 6.3/6.4/6.5) y seleccionando opciones resistentes a phishing | CIS Controls v8 | | Mapeando CIS Controls v8 a las subcategorías de NIST CSF 2.0 para un programa de cumplimiento multiframework | CIS Controls v8 + NIST CSF | | Construyendo un programa de gestión de vulnerabilidades con escaneos autenticados, SLA de remediación basados en CVSS y seguimiento de KPI | CIS Controls v8 | | Diseñando un programa de SIEM y gestión de registros según el Control 8 — qué eventos recopilar, estándares de retención y sincronización NTP | CIS Controls v8 | | Clasificando un amplificador de potencia de RF según la EAR — determinación de ECCN y análisis de requisitos de licencia para exportación a Alemania | EAR | | Evaluando las obligaciones de exportación implícita (deemed export) para un empleado de nacionalidad china que accede a código fuente de cifrado controlado | EAR | | Respondiendo a una violación de reexportación descubierta en la Entity List — proceso de autodivulgación voluntaria y mitigación de sanciones | EAR | | Determinando si el software de ciberseguridad AES-256 requiere una licencia BIS para exportarse a Francia, India y Brasil | EAR | | Diseñando un Programa de Cumplimiento de Exportaciones de 7 elementos para una empresa de equipos semiconductores con clientes en Europa y Asia | EAR | | Determinando si un chip fabricado en el extranjero utiliza equipos de origen estadounidense sujetos a la Regla de Producto Directo Extranjero (FDPR) | EAR | | Aplicando la excepción de licencia ENC para un producto de cifrado comercial y completando la notificación única a BIS | EAR | | Categorizando un sistema federal de RR. HH. según FIPS 199 y seleccionando la línea base correcta de SP 800-53B | NIST SP 800-53 | | Documentando un hallazgo OTS de AC-2(3) de una evaluación de seguridad y elaborando el POA&M con plazos de remediación FedRAMP | NIST SP 800-53 | | Implementando MFA resistente a phishing según IA-2(1) e IA-2(2) para cumplir EO 14028 y OMB M-22-09 | NIST SP 800-53 | | Redactando la narrativa de control SSP para SC-8(1) Confidencialidad de Transmisión que cubra TLS 1.2/1.3 con módulos FIPS 140-3 | NIST SP 800-53 | | Realizando un análisis de brechas entre ISO 27001:2022 y la línea base FedRAMP Moderate y mapeando los pasos del RMF al paquete ATO | NIST SP 800-53 | | Personalizando una línea base Moderate para eliminar controles no aplicables, establecer ODV y documentar controles compensatorios para un sistema heredado | NIST SP 800-53 | | Construyendo una estrategia ConMon con frecuencias mensuales de escaneo de vulnerabilidades, pruebas de penetración anuales y cadencia de actualización del POA&M | NIST SP 800-53 | | Clasificando una herramienta de selección de CV impulsada por IA para empleadores europeos según la Ley de IA de la UE — nivel de riesgo y obligaciones del proveedor | EU AI Act | | Evaluando si una herramienta de IA de vigilancia predictiva viola las prácticas prohibidas del Art. 5 de la Ley de IA de la UE | EU AI Act | | Determinando las obligaciones de modelos GPAI para un LLM de código abierto con cómputo de entrenamiento de 3×10²⁴ FLOPs | EU AI Act | | Navegando la doble regulación para una herramienta de IA de diagnóstico por imágenes marcada CE según el Reglamento de Productos Sanitarios de la UE | EU AI Act | | Comprendiendo las obligaciones de divulgación de chatbots del Art. 50, apartado 1, y las obligaciones del responsable del despliegue frente a las del proveedor GPAI para una IA de comercio electrónico | EU AI Act | | Completando una VPAT 2.x (ACR) para la contratación federal de software empresarial — las tres tablas y la divulgación de la metodología de pruebas | Section 508 | | Auditando una aplicación web pública para el cumplimiento de la Sección 508 mediante pruebas solo con teclado y con lector de pantalla | Section 508 | | Remediando 200 documentos PDF heredados para la Sección 508 — estructura etiquetada, orden de lectura, etiquetas de campos de formulario y texto alternativo | Section 508 | | Incorporando los requisitos de accesibilidad de FAR 52.239-2 en un RFP de contratación federal y evaluando las presentaciones de VPAT de los proveedores | Section 508 | | Preparando una determinación formal de carga indebida y documentando la obligación de medios alternativos de acceso | Section 508 | | Auditando una aplicación React para el cumplimiento de WCAG 2.2 AA — contraste de color, navegación por teclado, ARIA y gestión del foco | WCAG | | Determinando qué versión de WCAG y nivel de conformidad se exigen para el cumplimiento legal en los mercados de EE. UU., la UE y el Reino Unido | WCAG | | Revisando la paleta de colores de un sistema de diseño frente a SC 1.4.3 e identificando valores de reemplazo accesibles | WCAG | | Redactando una declaración completa de accesibilidad web para un sitio web del sector público que cumpla los requisitos de la Directiva de Accesibilidad Web de la UE | WCAG | | Comprendiendo qué nuevos criterios de éxito deben cumplirse para actualizar una declaración de conformidad WCAG 2.1 AA a WCAG 2.2 AA | WCAG | | Realizando un análisis de brechas para una agencia gubernamental de Nueva Zelanda que implementa un sistema de gestión de casos clasificado como Restricted | NZISM | | Preparando una presentación de Certificación y Acreditación (C&A) para un sistema Restricted — SSP, SRA, POA&M y aprobación ATO | NZISM | | Evaluando si alojar datos Restricted en AWS Sydney cumple las obligaciones de NZISM y qué aprobaciones de la Autoridad Acreditadora se necesitan | NZISM | | Redactando una Política de Control de Acceso conforme a NZISM con identificadores de control NZISM integrados y un bloque de clasificación documental | NZISM | | Asesorando sobre la diligencia debida de proveedores SaaS y los requisitos contractuales de seguridad obligatorios según NZISM para datos In-Confidence | NZISM | | Realizando un análisis de brechas VN-PDPL para una empresa extranjera que procesa datos personales vietnamitas antes de la fecha de entrada en vigor del 1 de enero de 2026 | VN-PDPL | | Diseñando un mecanismo de consentimiento válido conforme a la Ley 91/2025 de Vietnam — aviso independiente, formatos permitidos y flujos de retiro del consentimiento | VN-PDPL | | Construyendo un flujo de notificación de violaciones en 72 horas al Ministerio de Seguridad Pública para una fintech vietnamita después de un incidente de datos | VN-PDPL | | Mapeando un programa de cumplimiento GDPR existente a VN-PDPL — identificando brechas en base legal, DPO y reglas de transferencia transfronteriza | VN-PDPL + GDPR | | Evaluando las obligaciones de transferencia transfronteriza de datos y preparando el expediente de evaluación de impacto conforme al Artículo 20 para el procesamiento en nube offshore | VN-PDPL | | Clasificando un producto IoT conectado según la EU CRA — Default, Clase I o Clase II — y comprendiendo la ruta de evaluación de conformidad aplicable | EU CRA | | Realizando una evaluación de brechas del Anexo I para un producto de software comercializado en la UE — las 10 propiedades de seguridad de la Parte I y las 9 obligaciones de vulnerabilidad de la Parte II | EU CRA | | Construyendo un programa de divulgación de vulnerabilidades conforme a la CRA con divulgación coordinada, notificación a ENISA en 24 h / 72 h y aviso al CSIRT | EU CRA | | Preparando la documentación técnica según el Anexo VII para la evaluación de conformidad obligatoria por organismo notificado de un producto de Clase I | EU CRA | | Implementando un programa SBOM en formato SPDX o CycloneDX que cumpla los requisitos mínimos de contenido de la EU CRA y la integración CI/CD | EU CRA |
Descargue el archivo .skill para el marco que necesite:| Marco | Descarga |
|-----------|----------|
| ISO 27001 | iso27001.skill |
| SOC 2 | soc2.skill |
| FedRAMP [EE. UU.] | fedramp.skill |
| 🇪🇺 GDPR [UE] | gdpr-compliance.skill |
| HIPAA [EE. UU.] | hipaa-compliance.skill |
| NIST CSF | NIST Cybersecurity.skill |
| PCI DSS | |
| 🚨 Ciberseguridad de TSA [EE. UU.] | |
| 🤖 Sistema de Gestión de IA ISO 42001 | |
| 🔒 Gestión de Información de Privacidad ISO 27701 | |
| 🏦 DORA Resiliencia Operativa Digital | |
| 🇮🇳 DPDPA [India] — Ley de Protección de Datos Personales Digitales | |
| 🛡️ Controles CIS v8 — Top 18 de Ciberhigiene del CIS | |
| 🤖 Marco de Gestión de Riesgos de IA del NIST | |
| 🏦 Programa de Seguridad del Cliente de SWIFT (CSP) | |
| 🇦🇺 ISM [Australia] — Manual de Seguridad de la Información de Australia | |
| 🇪🇺 Directiva NIS2 [UE] | |
| CCPA/CPRA [California] Privacidad | |
| ITAR [EE. UU.] — Regulaciones Internacionales de Tráfico de Armas | |
| LGPD [Brasil] — Ley General de Protección de Datos | |
| CSRD [UE] — Directiva de Informes de Sostenibilidad Corporativa | |
| 🛡️ Controles CIS v8 — Top 18 de Ciberhigiene del CIS | |
| 📦 EAR [EE. UU.] — Regulaciones de Administración de Exportaciones | |
| 🏛️ NIST SP 800-53 — Controles de Seguridad y Privacidad para Sistemas Federales | |
| 🤖 Ley de IA de la UE — Reglamento (UE) 2024/1689 | |
| ♿ Sección 508 [EE. UU.] — Accesibilidad TIC Federal | |
| ♿ WCAG — Pautas de Accesibilidad al Contenido Web | |
| 🇳🇿 NZISM [Nueva Zelanda] — Manual de Seguridad de la Información | |
| 🇻🇳 PDPL de Vietnam — Ley de Protección de Datos Personales | |
| 🇪🇺 CRA de la UE — Ley de Resiliencia Cibernética | |
Consejo: Puedes instalar varias habilidades a la vez. Si trabajas con varios marcos (p. ej., tanto ISO 27001 como SOC 2), instálalos todos — Claude activará el que sea más relevante para cada pregunta.
Si usas Claude Code — la CLI impulsada por IA para desarrolladores — estas habilidades también están disponibles como plugins instalables de Claude Code a través de un marketplace alojado. Esta es la ruta de instalación recomendada para desarrolladores y equipos, ya que admite fijación de versiones, actualizaciones automáticas y distribución en todo el equipo sin manipulación manual de archivos.
Añade el marketplace e instala las habilidades que necesites directamente desde la terminal:```shell /plugin marketplace add Sushegaad/Claude-Skills-Governance-Risk-and-Compliance /plugin install iso27001@grc-skills soc2@grc-skills fedramp@grc-skills gdpr-compliance@grc-skills hipaa-compliance@grc-skills nist-csf@grc-skills pci-compliance@grc-skills tsa-compliance@grc-skills iso42001@grc-skills iso27701@grc-skills dora@grc-skills dpdpa@grc-skills cmmc@grc-skills nist-ai-rmf@grc-skills swift-csp@grc-skills ism@grc-skills nis2@grc-skills ccpa@grc-skills itar@grc-skills lgpd@grc-skills csrd@grc-skills cis-controls@grc-skills ear@grc-skills nist-800-53@grc-skills eu-ai-act@grc-skills section-508@grc-skills wcag@grc-skills nzism@grc-skills vn-pdpl@grc-skills eu-cra@grc-skills
Los equipos pueden preconfigurar el marketplace en `.claude/settings.json` para que cada desarrollador obtenga las habilidades automáticamente al abrir el proyecto — sin necesidad de instalación manual.
📖 **[Instrucciones completas de instalación, configuración de equipos y guía de actualización → INSTALLATION.md](https://github.com/sushegaad/claude-skills-governance-risk-and-compliance/blob/HEAD/INSTALLATION.md)**
---
## Evaluación de habilidades
Estas habilidades se evaluaron utilizando el framework de evaluación [Claude Skill Creator](https://claude.ai). Se ejecutaron **150 casos de prueba realistas** en las 30 habilidades — 5 por framework — con **Claude Sonnet como modelo tanto asistido por habilidades como de referencia** (el mismo modelo en ambos lados, por lo que el delta mide las habilidades, no la potencia del modelo) — cubriendo análisis de brechas, redacción de políticas, análisis profundos de controles, casos límite y escenarios de asesoramiento en cumplimiento. Cada caso de prueba se evaluó contra al menos 5 afirmaciones verificables objetivamente (752 en total) mediante agentes evaluadores independientes que compararon las respuestas de Claude con habilidades instaladas frente a las de Claude de referencia.
| Configuración | Tasa de aprobación | Aserciones superadas |
|---------------|-----------|-------------------|
| **Con las habilidades de GRC instaladas** | **93%** | **703 / 752** |
| Sin habilidades (Claude de referencia) | 79% | 596 / 752 |
| **Delta** | **+14 puntos** | **+107 aserciones** |
### Resultados por habilidad
| Habilidad | Casos de prueba | Con habilidad | Referencia | Delta | Qué se probó |
|-------|-----------|-----------|---------|-------|-----------------|
| ISO 27001 | 5 | **100%** | 84% | +16% | Evaluación de brechas; Redacción de políticas; Transición 2013→2022; Evaluación de riesgos; CAP de revisión de gestión |
| SOC 2 | 5 | **100%** | 84% | +16% | Tipo 1 vs 2; Lista de verificación de controles CC; Criterios de disponibilidad; Política de control de acceso; Respuesta a excepciones de auditoría |
| FedRAMP [US] | 5 | **96%** | 72% | +24% | Vías de autorización; Clases de certificación CR26 A-D; FedRAMP 20x (vía principal); Mandato OSCAL septiembre 2026; Cronogramas de remediación POA&M |
| GDPR [EU] | 5 | **88%** | 88% | +0% | Lista de verificación para empresa estadounidense; Artículo 28 DPA; Solicitud de acceso del interesado; Consentimiento de cookies; Notificación de violación en 72 horas |
| HIPAA [US] | 5 | **92%** | 88% | +4% | Análisis de entidad cubierta; Plantilla BAA; Cifrado (direccionable vs obligatorio); Análisis de riesgos; Violación por parte del personal |
| NIST CSF | 5 | **96%** | 84% | +12% | Descripción general de CSF 2.0; Plan de recuperación ante ransomware; Creación de perfiles; Mapeo de controles; Informes a la junta |
| PCI DSS | 5 | **92%** | 88% | +4% | Selección de tipo de SAQ; Req 3 datos almacenados (v4.0); Obligaciones por violación; Pruebas de penetración; Alcance de la tokenización |
| TSA Cybersecurity [US] | 5 | **100%** | 96% | +4% | Requisitos de la directiva de ductos; Elementos CIRP; Segmentación OT/IT; Aplicabilidad aeroportuaria; TSA vs CIRCIA |
| ISO 42001 | 5 | **92%** | 80% | +12% | Aplicabilidad de AIMS; Requisitos clave; Riesgos específicos de IA; Gestión de LLM de terceros; Controles de ética de IA |
CISA 24-hour reportingOT segmentation TSApipeline cybersecurityrail cybersecurity directivetransit cybersecurityTSA NPRM 2024AI supplier management ISOEU AI Act management systemNIST AI RMF ISO mappingAI bias controlsAI transparency standardAI incident management ISOISO 27701:201927701 transitionstandalone PIMSAnnex A controller controlsAnnex A processor controlsCDR 2024/1772CDR 2024/1773CDR 2024/1774CDR 2025/301CDR 2025/1190TLPT financial entitiesICT concentration riskcritical ICT TPSPDORA vs NIS2EBA ICT guidelines DORADORA incident classificationDORA reporting timelinesChapter II DORAChapter III DORASection 10 DPDPARule 3 DPDPRule 6 DPDP breach notificationRule 12 parental consentIndia privacy lawIndia digital privacyDPDPA gap analysisDPDPA vs GDPRIndia data lawMeitY data protectionDigiLocker consentIndia children data lawDPDPA consent requirementsDPDPA breach notificationIndia cross-border data transferPOA&M CMMCgap analysis CMMCDIBCACCUI scoping32 CFR Part 170AI organizational profileresponsible AI frameworkAI governance frameworkAI incident responseAI RMF gap assessmentType B SWIFTSWIFT incident responseSWIFT gap assessmentSWIFT mandatory controlsSWIFT hardware tokenSWIFT log retentionISM gap analysisISM chapterISM hardeningISM OSCALcyber.gov.auASD IRAPNIS2 penaltiesNIS2 transpositionNIS2 and DORANIS2 and ISO 27001network information security directiveCCPA gap analysisCCPA vs GDPRCalifornia data privacyCCPA service providerCCPA third partyCCPA penaltyvoluntary disclosure ITARITAR vs EARcommodity jurisdictiondefense articledefense serviceITAR compliancetechnology control planEmpowered OfficialLGPD penaltyBrazil privacy policyCSRD scopeEU sustainability reportingESRS assuranceXBRL sustainabilityCSRD vs GRICSRD vs TCFDEU Taxonomy CSRDNFRD CSRDESRS materialityvulnerability management CISCIS Controls ISO 27001CIS Controls SOC 2CIS Controls PCI DSSCIS Controls CMMCCIS Controls NIST CSFlicence exceptionENC exceptionvoluntary self-disclosureVSDSNAP-Rexport compliance programmeECPrestricted party screeningexport to Chinaexport to Russiade minimis ruleCCATSEAR vs ITARModerate baselineHigh baselineSSP narrativeSystem Security PlanPOA&MPlan of ActionConMoncontinuous monitoringSP 800-53Asecurity assessmentODVorganization-defined valuecontrol tailoringcommon controlsinherited controlsAC-2IA-2SC-8SI-2SR familyPT familysupply chain riskOSCAL3PAOFedRAMP controlsISSOsystem ownerauthorizing officialAnnex III AIAI provider obligationsAI deployer obligationshuman oversight AIAI risk managementArt. 50 transparencychatbot disclosure AIAI Act complianceGPAI obligationsopen-source AI ActAI Act penaltyAI Act timelineAI Act GDPRundue burden 508assistive technology testingFAR 52.239-2508 procurementJAWS testingVoiceOver complianceaxe accessibilitycolour contrast 508focus visible 508alt text federalWCAG conformancesuccess criteriaalt textcaptions accessibilitySC 1.4.3SC 4.1.2NVDAVoiceOverJAWS screen readerWCAG 2.2 upgradeNZISM policyAbre Claude y navega hasta Personalizar → Habilidades.
Haz clic en Cargar habilidad y selecciona el archivo .skill.
La habilidad ahora está activa. Inicia una nueva conversación y haz tu pregunta de cumplimiento — Claude aplicará la habilidad automáticamente.