Habilidades de Claude instalables que brindan orientación de cumplimiento a nivel de experto para más de 30 marcos normativos, incluidos ISO 27001, SOC 2, FedRAMP, GDPR, HIPAA, NIST CSF, PCI DSS y la Ley de IA de la UE. Incluye análisis de brechas, plantillas de políticas y mapeo de controles.
# Claude Skills para Gobernanza, Riesgo y Cumplimiento (GRC) Guía de cumplimiento de nivel experto para ISO 27001, SOC 2, FedRAMP, GDPR, HIPAA, NIST CSF, PCI DSS, Ciberseguridad TSA, ISO 42001 Sistema de Gestión de IA, ISO 27701 Gestión de Información de Privacidad, DORA Resiliencia Operativa Digital, Ley de Protección de Datos Personales Digitales de India (DPDPA), CMMC 2.0 Certificación del Modelo de Madurez de Ciberseguridad, Marco de Gestión de Riesgos de IA del NIST, Programa de Seguridad del Cliente (CSP) de SWIFT, Manual de Seguridad de la Información de Australia (ISM), Directiva NIS2 de la UE, Privacidad de California CCPA/CPRA, ITAR (Regulaciones Internacionales de Tráfico de Armas), LGPD de Brasil (Lei Geral de Proteção de Dados), CSRD de la UE (Directiva de Informes de Sostenibilidad Corporativa), Controles CIS v8 (CIS Top 18), EAR (Regulaciones de Administración de Exportaciones), NIST SP 800-53 (Controles de Seguridad y Privacidad para Sistemas Federales), Ley de IA de la UE (Reglamento (UE) 2024/1689), Sección 508 (Accesibilidad de las TIC Federales de EE. UU.), WCAG (Pautas de Accesibilidad para el Contenido Web), NZISM (Manual de Seguridad de la Información de Nueva Zelanda), PDPL de Vietnam (Ley de Protección de Datos Personales N.º 91/2025/QH15), CRA de la UE (Ley de Ciberresiliencia, Reglamento (UE) 2024/2847), GRC de Arabia Saudita (NCA ECC, PDPL de Arabia Saudita, SAMA, CST), GRC de los EAU (PDPL Federal, DIFC, ADGM, CBUAE, Ley de Salud TIC), TISAX (VDA ISA / seguridad de proveedores automotrices de ENX), TPRM (riesgo de terceros/proveedores), Cyber Essentials del Reino Unido y SOX ITGC — impulsado por Claude Skills. **Actualizado mensualmente.** Evaluado en 180 casos de prueba utilizando el marco de evaluación — cada uno calificado contra al menos 5 aserciones verificables por agentes independientes (902 aserciones en total). Las skills obtuvieron **89%** frente a una línea base del **55%**. [](../../releases/tag/v2.1.0) [](LICENSE) [](#the-skills) [](https://claude.ai) [](https://github.com/Sushegaad/Claude-Skills-Governance-Risk-and-Compliance) --- ## Tabla de Contenidos - [¿Qué son las Claude Skills?](#what-are-claude-skills) - [¿Para quién es esto?](#who-is-this-for) - [Las Skills](#the-skills) - [ISO 27001](#-iso-27001) - [SOC 2](#-soc-2) - [FedRAMP](#-fedramp) - [GDPR](#-gdpr) - [HIPAA](#-hipaa) - [NIST CSF](#-nist-csf) - [PCI DSS](#-pci-dss) - [Ciberseguridad TSA](#-tsa-cybersecurity) - [ISO 42001 Sistema de Gestión de IA](#-iso-42001-ai-management-system) - [ISO 27701 Gestión de Información de Privacidad](#-iso-27701-privacy-information-management) - [DORA Resiliencia Operativa Digital](#-dora-digital-operational-resilience) - [DPDPA India Protección de Datos Personales Digitales](#-dpdpa-india-digital-personal-data-protection) - [CMMC 2.0 Certificación del Modelo de Madurez de Ciberseguridad](#-cmmc-20-cybersecurity-maturity-model-certification) - [Marco de Gestión de Riesgos de IA del NIST](#-nist-ai-risk-management-framework) - [Programa de Seguridad del Cliente (CSP) de SWIFT](#-swift-customer-security-programme-csp) - [Manual de Seguridad de la Información de Australia (ISM)](#-australian-information-security-manual-ism) - [Directiva NIS2 de la UE](#-eu-nis2-directive) - [Privacidad de California CCPA/CPRA](#-ccpacpra-california-privacy) - [ITAR — Regulaciones Internacionales de Tráfico de Armas](#-itar--international-traffic-in-arms-regulations) - [LGPD — Ley General de Protección de Datos de Brasil](#-lgpd--brazils-general-data-protection-law) - [CSRD — Directiva de Informes de Sostenibilidad Corporativa de la UE](#-csrd--eu-corporate-sustainability-reporting-directive) - [Controles CIS v8 — Ciberhigiene CIS Top 18](#-cis-controls-v8--cis-top-18-cyber-hygiene) - [EAR — Regulaciones de Administración de Exportaciones](#-ear--export-administration-regulations) - [NIST SP 800-53 — Controles de Seguridad y Privacidad para Sistemas Federales](#-nist-sp-800-53--security-and-privacy-controls-for-federal-systems) - [Ley de IA de la UE — Reglamento (UE) 2024/1689](#-eu-ai-act--regulation-eu-20241689) - [Sección 508 — Accesibilidad de las TIC Federales de EE. UU.](#-section-508--us-federal-ict-accessibility) - [WCAG — Pautas de Accesibilidad para el Contenido Web](#-wcag--web-content-accessibility-guidelines) - [NZISM — Manual de Seguridad de la Información de Nueva Zelanda](#-nzism--new-zealand-information-security-manual) - [PDPL de Vietnam — Ley de Protección de Datos Personales](#-vietnam-pdpl--law-on-personal-data-protection) - [CRA de la UE — Ley de Ciberresiliencia](#-eu-cra--cyber-resilience-act) - [GRC de Arabia Saudita — Asesor de Cumplimiento Nacional](#-saudi-arabia-grc--country-compliance-advisor) - [GRC de los EAU — Asesor de Cumplimiento Nacional](#-uae-grc--country-compliance-advisor) - [TISAX — Intercambio de Evaluación de Seguridad de la Información de Confianza](#-tisax--trusted-information-security-assessment-exchange) - [TPRM — Gestión de Riesgos de Terceros](#-tprm--third-party-risk-management) - [Cyber Essentials / CE Plus — Certificación Base del Reino Unido](#-cyber-essentials--ce-plus--uk-baseline-certification) - [SOX ITGC — Controles Generales de TI para SOX 404](#-sox-itgc--it-general-controls-for-sox-404) - [Casos de Uso Potenciales](#potential-use-cases) - [Cómo Instalar una Skill](#how-to-install-a-skill) - [Instalar mediante Claude Code Marketplace](#install-via-claude-code-marketplace) - [Evaluación de Skills](#skill-evaluation) - [Testimonios de Clientes](#customer-testimonials) - [Soporte](#support) - [Autor](#author) - [Descargo de Responsabilidad](#disclaimer) --- ## ¿Qué son las Claude Skills? Las Claude Skills son paquetes de conocimiento instalables que amplían las capacidades de Claude para dominios específicos. Una skill es un archivo `.skill` — un archivo empaquetado que contiene un archivo de instrucciones `SKILL.md` y materiales de referencia opcionales — que subes a Claude una vez y usas en todas tus conversaciones. Una vez instalada, una skill se activa **automáticamente** cuando tu conversación toca su área temática. No necesitas invocarla por su nombre ni usar comandos especiales. Claude simplemente se convierte en un experto más profundo en ese dominio durante tu sesión. **Las skills son ideales cuando necesitas:** - Respuestas consistentes y de nivel experto sobre un tema especializado - Resultados formateados según estándares profesionales o regulatorios (por ejemplo, narrativas de controles listas para auditoría, plantillas de políticas con las cláusulas correctas) - Conocimiento de dominio que va más allá del entrenamiento general de un LLM — como saber qué controles específicos de NIST 800-53 aplican a un escenario dado, o qué artículos del GDPR rigen las transferencias internacionales de datos **Cómo funcionan las skills internamente:** Cada archivo `.skill` contiene un `SKILL.md` principal que se carga en el contexto de Claude cuando la skill se activa, además de archivos de referencia que se cargan bajo demanda para subtemas más profundos. Este patrón de "divulgación progresiva" mantiene el uso del contexto eficiente mientras pone a disposición conocimiento exhaustivo cuando se necesita. <div style="position:relative;padding-bottom:56.25%;height:0;overflow:hidden;max-width:100%;"> <iframe width="560" height="315" src="https://www.youtube-nocookie.com/embed/-IBLNR0N2vE" title="Claude Skills for GRC Demo" frameborder="0" allow="accelerometer; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen loading="lazy" sandbox="allow-scripts allow-same-origin"></iframe> </div> --- ## ¿Para quién es esto? Estas skills están diseñadas para profesionales que trabajan en seguridad de la información, privacidad y cumplimiento regulatorio — ya sea en organizaciones que buscan certificación, equipos de desarrollo que construyen sistemas conformes, o asesores que apoyan a clientes. **Los equipos de Seguridad y Cumplimiento** usan estas skills para acelerar las evaluaciones de brechas, generar borradores iniciales de políticas, mapear controles y preparar paquetes de evidencia — comprimiendo semanas de trabajo de referencia en minutos. **Los desarrolladores de software e ingenieros** las usan para entender qué controles deben implementar sus sistemas, auditar código y arquitectura en busca de problemas de cumplimiento, y obtener orientación técnica procesable vinculada a requisitos regulatorios específicos. **Los profesionales legales, de privacidad y GRC** las usan para redactar documentos regulatorios (DPA, BAA, avisos de privacidad), responder preguntas de clientes con citas regulatorias precisas y mantenerse al día con los requisitos de los marcos. **Las organizaciones de atención médica** usan la skill de HIPAA para evaluar sistemas, generar avisos y acuerdos requeridos, y capacitar al personal sobre sus obligaciones — sin necesitar un consultor de cumplimiento para cada pregunta. **Los proveedores de servicios en la nube** que buscan contratos con el gobierno federal usan la skill de FedRAMP para navegar el proceso de ATO, redactar narrativas de SSP, gestionar POA&M y prepararse para evaluaciones de 3PAO. **Las startups y PYMES** usan estas skills para entender qué les exige un marco determinado, definir el alcance de sus programas de cumplimiento y obtener resultados de calidad experta sin un gran equipo interno. --- ## Las Skills <a id="-iso-27001"></a> ### 1. <img src="https://assets.kitploit.com/production/public/readmes/13360/1b8e916266811181ecf8f041e2b8125f8ada099ad5879a2426c790712b9320af.jpg" alt="ISO 27001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27001 **Archivo:** `ISO 27001 - Claude Skill/iso27001.skill` La skill de ISO 27001 convierte a Claude en un experto Auditor Líder de ISO 27001 y consultor de implementación de SGSI. Cubre tanto **ISO 27001:2013** (114 controles, 14 dominios) como **ISO 27001:2022** (93 controles, 4 temas), usando por defecto la versión actual de 2022. **Qué hace:** - Ejecuta **análisis de brechas** estructurados contra las cláusulas obligatorias (4–10) y todos los controles del Anexo A - Genera **documentos de políticas** completos y listos para auditoría con bloques de control de documentos, declaraciones de alcance y mapeos de cláusulas a controles - Proporciona **orientación paso a paso para la implementación de controles** de cualquier control del Anexo A - Construye **registros de riesgos** y **planes de tratamiento de riesgos** usando la metodología de probabilidad × impacto - Crea plantillas de **Declaración de Aplicabilidad (SoA)** que cubren los 93 controles - Guía la **transición de 2013 → 2022**, explicando los 11 nuevos controles y los cambios de mapeo **Frases de activación:** `ISO 27001`, `ISMS`, `Annex A`, `Statement of Applicability`, `SoA`, `gap analysis`, `risk register`, `certification readiness`, `internal audit` --- <a id="-soc-2"></a> ### 2. <img src="https://assets.kitploit.com/production/public/readmes/13360/83496193c7dd515316dc418567519579495687aff85d44542bde7b8cc358a6a1.jpg" alt="SOC 2" height="20" style="vertical-align:middle;object-fit:contain;"> SOC 2 **Archivo:** `SOC 2 - Claude Skill/soc2.skill` La skill de SOC 2 convierte a Claude en un asesor experto en cumplimiento SOC 2 basado en los **Criterios de Servicios de Confianza (TSC) de AICPA 2017 con Puntos de Enfoque Revisados de 2022**. Cubre los cinco TSC: Seguridad (CC1–CC9), Disponibilidad (A1), Confidencialidad (C1), Integridad de Procesamiento (PI1) y Privacidad (P1–P8). **Qué hace:** - Realiza **análisis de brechas** en los criterios TSC dentro del alcance con calificaciones de estado 🔴/🟡/🟢 y hojas de ruta de remediación - Redacta las **12 políticas principales de SOC 2** (Seguridad de la Información, Control de Acceso, Respuesta a Incidentes, Gestión de Cambios, Evaluación de Riesgos, Gestión de Proveedores, BCP/DR y más) - Documenta **controles** en formato listo para auditor: ID de Control, criterio TSC, tipo, propietario, frecuencia, evidencia y procedimiento de prueba - Produce **listas de verificación de evidencia** mapeadas a cada criterio, con orientación de muestreo para auditorías Tipo 1 vs Tipo 2 - Gestiona el **riesgo de proveedores**: clasificación por niveles, cuestionarios de seguridad de 32 preguntas, revisión de informes SOC 2, seguimiento de CUEC y requisitos contractuales - Adapta su tono — lenguaje sencillo para equipos que hacen SOC 2 por primera vez, resultados técnicos codificados según AICPA para profesionales y auditores **Frases de activación:** `SOC 2`, `Trust Services Criteria`, `TSC`, `CC6`, `Type 1`, `Type 2`, `AICPA`, `audit readiness`, `control statement`, `evidence` --- <a id="-fedramp"></a> ### 3. <img src="https://raw.githubusercontent.com/sushegaad/claude-skills-governance-risk-and-compliance/HEAD/assets/Logos/fedramp.svg" alt="FedRAMP" height="20" style="vertical-align:middle;object-fit:contain;"> FedRAMP [EE. UU.] **Archivo:** `FedRamp - Claude Skill/fedramp.skill` La skill de FedRAMP convierte a Claude en un asesor experto en FedRAMP que cubre el ciclo de vida completo de autorización para Proveedores de Servicios en la Nube (CSP) bajo **NIST SP 800-53 Rev 5** y el nuevo marco **CR26 (Reglas Consolidadas de FedRAMP para 2026)**. Actualizado a agosto de 2026 — CR26 es definitivo (obligatorio el 1 de enero de 2027) con Clases de Certificación A–D (A = piloto/transitoria, B = LI-SaaS/Bajo, C = Moderado, D = Alto), canales de Clase que abren en agosto de 2026, FedRAMP 20x como la vía principal, Ready retirado el 28 de julio de 2026 (FedRAMP Ready heredado), y el mandato OSCAL del 30 de septiembre de 2026 para nuevas autorizaciones. **Qué hace:** - Realiza **evaluaciones de preparación y brechas** usando una lista de verificación de más de 75 elementos, mapeada a las Clases de Certificación CR26 (A/B/C/D) - Guía la redacción de **documentación de ATO**: Planes de Seguridad del Sistema (SSP), POA&M (con SLA correctos: Crítico=15d, Alto=30d, Moderado=90d, Bajo=365d), SAP, SAR y todos los apéndices (A–Q) - **Mapea los controles de NIST 800-53 Rev 5** en las 20 familias de controles; asesora sobre el enfoque de autorización continua de FedRAMP 20x - Proporciona **orientación de arquitectura en la nube** para AWS GovCloud, Azure Government y Google Cloud Government - Apoya las obligaciones de **Monitoreo Continuo (ConMon)**: entregables mensuales, gestión de SLA de POA&M, solicitudes de desviación - Asesora sobre la **preparación para OSCAL** de cara a la fecha límite de presentación obligatoria del 30 de septiembre de 2026 **Frases de activación:** `FedRAMP`, `ATO`, `SSP`, `POA&M`, `3PAO`, `NIST 800-53`, `ConMon`, `AWS GovCloud`, `Azure Government`, `CR26`, `FedRAMP 20x`, `OSCAL`, `Certification Class` --- <a id="-gdpr"></a> ### 4. 🇪🇺 GDPR [UE] **Archivo:** `GDPR - Claude Skill/gdpr-compliance.skill` La skill de GDPR convierte a Claude en un asistente experto en cumplimiento del GDPR que conecta las perspectivas técnica y legal. Cubre el reglamento completo del **GDPR de la UE** con notas sobre el **GDPR del Reino Unido (DPA 2018)** donde las reglas difieren, y adapta su tono automáticamente — técnico para desarrolladores, legalmente preciso para profesionales de cumplimiento y privacidad. **Qué hace:** - **Audita código, API, esquemas de bases de datos y arquitecturas** en busca de violaciones del GDPR, produciendo hallazgos clasificados por gravedad (🔴/🟡/🟢) mapeados a artículos específicos del GDPR - **Redacta documentos de cumplimiento** a partir de plantillas integradas: Avisos de Privacidad (Art. 13/14), Acuerdos de Procesamiento de Datos (Art. 28), Banners de Cookies/Consentimiento, DPIA (Art. 35), Políticas de Retención de Datos y Procedimientos de Derechos del Interesado - **Responde preguntas de cumplimiento** con citas autorizadas de artículos — cada respuesta comienza con el artículo aplicable, luego las excepciones y después las implicaciones prácticas - **Revisa flujos de datos y manejo de PII** en seis dimensiones (qué, por qué, dónde, quién, cuánto tiempo, cómo se protege) y verifica la alineación con los requisitos de RoPA - Cubre todas las áreas clave del GDPR: base legal, consentimiento, derechos del interesado (Arts. 15–22), transferencias internacionales (Arts. 44–49), respuesta a brechas (Arts. 32–34), datos de categoría especial (Arts. 9–10) y sanciones (Arts. 77–84) **Frases de activación:** `GDPR`, `data protection`, `privacy`, `personal data`, `DPA`, `DPIA`, `lawful basis`, `data subject rights`, `consent`, `RoPA`, `Schrems II`, `ICO`, `EDPB` --- <a id="-hipaa"></a> ### 5. <img src="https://assets.kitploit.com/production/public/readmes/13360/1f1742cb6d5aac9160ceff87d2649d8946b0fb1e5657fc893991c5bea33b0e39.png" alt="HIPAA" height="20" style="vertical-align:middle;object-fit:contain;"> HIPAA [EE. UU.] **Archivo:** `HIPAA - Claude Skill/hipaa-compliance.skill` La skill de HIPAA convierte a Claude en un asesor experto en cumplimiento de HIPAA que cubre la **Regla de Privacidad, la Regla de Seguridad y la Regla de Notificación de Brechas** (45 CFR Partes 160 y 164, según enmienda del HITECH). Sirve tanto a equipos técnicos que construyen sistemas que manejan ePHI como a equipos de cumplimiento/legales que gestionan obligaciones organizacionales. **Qué hace:** - **Revisa documentos, sistemas y arquitecturas** en busca de cumplimiento de HIPAA, produciendo hallazgos estructurados con citas del CFR, niveles de riesgo (Alto / Medio / Bajo) y pasos de remediación - **Genera documentos conformes con HIPAA** a partir de nueve plantillas listas para usar: Aviso de Prácticas de Privacidad (NPP), Acuerdos de Asociado Comercial (BAA), Formularios de Autorización, Reconocimientos de Capacitación del Personal, Informes de Incidentes de Seguridad, Plantillas de Análisis de Riesgos y más — todos con citas del CFR en línea - **Asesora sobre salvaguardas técnicas** para entornos modernos en la nube (AWS, Azure, GCP), API FHIR, móvil/BYOD y canalizaciones DevOps — cubriendo las 54 especificaciones de implementación de la Regla de Seguridad (Requeridas y Direccionables) - **Explica HIPAA en lenguaje sencillo** para cualquier audiencia — desde desarrolladores que necesitan orientación sobre cifrado hasta personal general que aprende qué cuenta como PHI - **Guía la respuesta a brechas** usando la evaluación de riesgo de 4 factores, plazos de notificación, obligaciones de reporte al HHS y orientación escenario por escenario **Frases de activación:** `HIPAA`, `PHI`, `ePHI`, `covered entity`, `business associate`, `BAA`, `NPP`, `breach notification`, `minimum necessary`, `Privacy Rule`, `Security Rule` --- <a id="-nist-csf"></a> ### 6. <img src="https://assets.kitploit.com/production/public/readmes/13360/fba4d5c506ea7fcdc93306f04418b0eaf2a7dc0b8ba9e77ac0164e657dc7aaff.jpg" alt="NIST CSF" height="20" style="vertical-align:middle;object-fit:contain;"> NIST CSF **Archivo:** `NIST Cybersecurity framework - Claude Skill/NIST Cybersecurity.skill` La skill de NIST CSF convierte a Claude en un asesor experto en el Marco de Ciberseguridad del NIST que cubre tanto **CSF 2.0** (febrero de 2024) como **CSF 1.1** (abril de 2018), usando por defecto el CSF 2.0 actual. Cubre las seis funciones — **Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar** — incluida la nueva función Gobernar introducida en CSF 2.0. **Qué hace:** - Realiza **evaluaciones de brechas** estructuradas en las seis funciones, categorías y subcategorías del CSF 2.0 - Construye **Perfiles Organizacionales** — Actual y Objetivo — alineados con el contexto empresarial, la tolerancia al riesgo y las obligaciones regulatorias - Evalúa los **Niveles de Implementación** (1–4) en tres dimensiones y proporciona orientación específica para avanzar - Crea **hojas de ruta de implementación priorizadas** con acciones por fases de 30/60/90 días y acciones estratégicas - **Mapea las subcategorías del CSF** a NIST SP 800-53, ISO 27001:2022 y Controles CIS v8 - Genera **políticas alineadas con las funciones del CSF** — política de gobernanza, respuesta a incidentes, seguridad de datos, control de acceso y más - Guía la **migración de CSF 1.1 → CSF 2.0** con un mapeo detallado de subcategorías y una lista de verificación de migración **Frases de activación:** `NIST CSF`, `Cybersecurity Framework`, `CSF 2.0`, `Govern function`, `GV.SC`, `ID.AM`, `PR.AA`, `DE.CM`, `RS.MA`, `RC.RP`, `cybersecurity profile`, `implementation tiers`, `CSF gap assessment` --- <a id="-pci-dss"></a> ### 7. <img src="https://assets.kitploit.com/production/public/readmes/13360/9651b451d683651828153371df9dd17bf1a54db3a375de14d65d714ee6e5814a.png" alt="PCI DSS" height="20" style="vertical-align:middle;object-fit:contain;"> PCI DSS **Archivo:** `PCI Compliance - Claude Skill/PCI-Compliance.skill` La skill de PCI DSS convierte a Claude en un asesor experto en cumplimiento de PCI DSS que cubre **PCI DSS v4.0.1** (junio de 2024 — versión actual), incluidos todos los requisitos que se volvieron obligatorios el 31 de marzo de 2025. Cubre los 12 requisitos, los 8 tipos de SAQ, los niveles de comerciante y proveedor de servicios, y los cambios clave de v4.0 respecto a v3.2.1. **Qué hace:** - **Define el alcance del Entorno de Datos del Titular de la Tarjeta (CDE)** — identifica qué está dentro del alcance, evalúa la segmentación de red y recomienda la reducción del alcance mediante tokenización o P2PE - **Selecciona el tipo de SAQ correcto** — recorre el árbol de decisión para SAQ A, A-EP, B, B-IP, C, C-VT, P2PE y D con su justificación - Realiza **evaluaciones de brechas** estructuradas en los 12 requisitos con requisitos de evidencia de QSA y brechas comunes - Proporciona **orientación para la implementación de controles** de cualquier subrequisito de PCI DSS — qué implementar, evidencia necesaria y errores comunes - Genera **políticas alineadas con PCI DSS** — respuesta a incidentes, control de acceso, criptografía, gestión de parches, retención de datos y más - Guía la **migración de v3.2.1 → v4.0.1**, incluidos los nuevos requisitos para la ampliación de MFA, la integridad de scripts en la página de pago (Req 6.4.3), la protección contra phishing (Req 5.4.1) y la revisión automatizada de registros (Req 10.4.1.1) - Explica el **Enfoque Definido vs Personalizado** y cuándo usar el Análisis de Riesgo Dirigido (TRA) **Frases de activación:** `PCI DSS`, `PCI compliance`, `cardholder data`, `CDE`, `SAQ`, `ROC`, `QSA`, `ASV scan`, `PAN`, `tokenisation`, `P2PE`, `merchant level`, `payment page`, `Req 8.4.2`, `Req 6.4.3` --- <a id="-tsa-cybersecurity"></a> ### 8. 🚨 Ciberseguridad TSA [EE. UU.] **Archivo:** `TSA Compliance - Claude Skill/TSA-Compliance.skill` La skill TSA Cybersecurity convierte a Claude en un asesor experto en directivas de ciberseguridad de la TSA para **infraestructuras de transporte críticas**. Cubre toda la serie actual de Directivas de Seguridad de la TSA — **SD Pipeline-2021-01G**, **SD Pipeline-2021-02F**, **SD 1580-21-01E** (ferrocarril de mercancías) y **SD 1582-21-01E** (ferrocarril de tránsito/pasajeros) — además del **NPRM de noviembre de 2024** que propone formalizar estas directivas como regulaciones federales permanentes. > **Nota sobre SSI:** Las Directivas de Seguridad de la TSA están clasificadas como **Información de Seguridad Sensible (SSI)** según 49 CFR Part 1520. Esta skill se basa en resúmenes de acceso público, avisos del Registro Federal y publicaciones del DHS/CISA — no en el texto completo clasificado de las directivas. Las entidades cubiertas reciben la directiva real directamente de la TSA. **Qué hace:** - **Determina la aplicabilidad** — qué serie de directivas aplica a tu organización (oleoductos, ferrocarril de mercancías, tránsito o autobús) y qué implica para tus obligaciones de cumplimiento - Ejecuta **evaluaciones de brechas** estructuradas en los cuatro dominios técnicos: segmentación de red IT/OT, controles de acceso (MFA), monitoreo continuo y gestión de parches - **Redacta documentos del Programa de Gestión de Riesgos Cibernéticos (CRMP)**: Plan de Implementación de Ciberseguridad (CIP/COIP), Plan de Respuesta a Incidentes (IRP), Revisión de Diseño de Arquitectura (ADR) y Plan de Evaluación de Ciberseguridad (CAP) - Guía la **implementación específica de OT/ICS** — diodos de datos, servidores jump para HMIs heredados, herramientas de monitoreo pasivo (Claroty, Dragos, Nozomi), ciclo de vida de parches OT con coordinación de proveedores - Explica las obligaciones de **notificación de incidentes a CISA en 24 horas**: qué califica, cómo reportar, lenguaje de ejemplo para el informe inicial y la superposición con CIRCIA - Asesora sobre las **pruebas anuales del IRP** — mínimo dos objetivos, escenarios de prueba, requisitos de documentación y proceso de revisión posterior a la acción - Explica el impacto del **NPRM de 2024**: alineación con NIST CSF 2.0, línea base de CISA CPG, estructura propuesta del COIP y qué cambia cuando se finalice la norma **Frases de activación:** `TSA Security Directive`, `SD Pipeline-2021`, `SD 1580-21-01`, `SD 1582-21-01`, `TSA cybersecurity`, `Critical Cyber Systems`, `CCS`, `Cybersecurity Coordinator`, `Cybersecurity Implementation Plan`, `CIP`, `CRMP`, `IRP testing`, `Architecture Design Review`, `ADR`, `CAP`, `CISA 24-hour reporting`, `OT segmentation TSA`, `pipeline cybersecurity`, `rail cybersecurity directive`, `transit cybersecurity`, `TSA NPRM 2024` --- <a id="-iso-42001-ai-management-system"></a> ### 9. <img src="https://assets.kitploit.com/production/public/readmes/13360/94d64c693a5b55286e94f7b665a252f7981d797b4b7e7779f19ab215a3a3ee47.webp" alt="ISO 42001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 42001 Sistema de Gestión de IA **Archivo:** `ISO 42001 - Claude Skill/ISO-42001.skill` La skill ISO 42001 convierte a Claude en un asesor experto en el Sistema de Gestión de IA (AIMS) **ISO/IEC 42001:2023** — el primer estándar internacional del mundo para la gobernanza de IA. Sirve tanto a **proveedores de IA** (organizaciones que desarrollan o despliegan IA) como a **usuarios de IA** (organizaciones que integran IA de terceros), cubriendo el ciclo de vida completo de certificación desde la evaluación de brechas hasta la preparación para la auditoría de Etapa 2. **Qué hace:** - Realiza **evaluaciones de brechas** estructuradas en todas las cláusulas obligatorias (4–10) y los **38 controles del Anexo A** (dominios A.2–A.10) con estado 🔴/🟡/🟢, requisitos de evidencia y una hoja de ruta de remediación por fases - Guía el paso obligatorio de **Evaluación de Impacto del Sistema de IA (AISIA)** paso a paso — identificando poblaciones afectadas, evaluando dimensiones de impacto (severidad, reversibilidad, alcance, supervisión humana), clasificando el nivel de impacto (Bajo/Medio/Alto) y determinando los requisitos de control proporcionales - Realiza **evaluación de riesgos de IA** en todas las categorías de riesgo: riesgos de modelo (sesgo, deriva, alucinación, ataques adversarios), riesgos de datos (calidad, envenenamiento, privacidad en datos de entrenamiento), riesgos operativos (expansión del alcance, dependencia humana excesiva) y riesgos de cadena de suministro (riesgo de modelos de terceros, dependencias de API) - Genera una **Declaración de Aplicabilidad (SoA)** completa que cubre los 38 controles del Anexo A (A.2.2–A.10.4) con decisiones de aplicabilidad, justificaciones y estado de implementación - Redacta todas las **políticas AIMS** principales — Política de IA, Política de Gestión de Riesgos de IA, Política de Uso Aceptable de IA, Política de Gobernanza de Datos para IA, Política de Gestión de Incidentes de IA, Política del Ciclo de Vida del Sistema de IA y Política de Gestión de Proveedores de IA — cada una con bloques de control de documentos y citas de cláusulas - Produce **listas de verificación para auditorías de Etapa 1 y Etapa 2** con estado RAG, requisitos de evidencia por cláusula y áreas de enfoque comunes de los auditores - **Mapea ISO 42001 al Reglamento de IA de la UE** — alinea la AISIA con la Evaluación de Impacto en los Derechos Fundamentales (FRIA) para sistemas de IA de alto riesgo; mapea los controles del Anexo A a los requisitos técnicos del Reglamento de IA de la UE - **Integra ISO 42001 con ISO 27001** para organizaciones que construyen un SGSI + AIMS unificado **Frases de activación:** `ISO 42001`, `ISO/IEC 42001`, `AI Management System`, `AIMS`, `AISIA`, `AI System Impact Assessment`, `responsible AI standard`, `AI governance standard`, `Annex A AI controls`, `AI risk assessment ISO`, `Statement of Applicability AI`, `AI policy ISO`, `AI certification`, `AI lifecycle controls`, `AI supplier management ISO`, `EU AI Act management system`, `NIST AI RMF ISO mapping`, `AI bias controls`, `AI transparency standard`, `AI incident management ISO` --- <a id="-iso-27701-privacy-information-management"></a> ### 10. <img src="https://assets.kitploit.com/production/public/readmes/13360/b05ef92cf5653e4c65e5e6ff9b54aad12fa9ffd3cbf4c65c09e8324f6e5db463.png" alt="ISO 27701" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27701 Gestión de la Información de Privacidad **Archivo:** `ISO 27701 - Claude Skill/iso27701.skill` La skill ISO 27701 convierte a Claude en un asesor experto en el Sistema de Gestión de la Información de Privacidad (PIMS) **ISO/IEC 27701:2025** — cubriendo el ciclo de vida completo desde la evaluación de brechas hasta la certificación. Maneja tanto **ISO 27701:2025** (la nueva edición independiente) como **ISO 27701:2019** (la extensión heredada de ISO 27001), y cubre tanto **responsables del tratamiento de PII** como **encargados del tratamiento de PII**. **Qué hace:** - Realiza **análisis de brechas** estructurados en todas las cláusulas obligatorias de la HLS (4–10) y los 78 controles del Anexo A — 31 para responsables del tratamiento de PII (A.1), 18 para encargados del tratamiento de PII (A.2) y 29 controles de seguridad compartidos (A.3) - Genera **documentos de política PIMS** completos y listos para auditoría — Política de Privacidad, Registros de Actividades de Tratamiento (RoPA), Procedimiento de Derechos del Interesado, Procedimiento de Privacidad desde el Diseño, Acuerdos de Tratamiento de Datos (DPAs) y más - Construye **registros de riesgos de privacidad** centrados en el daño a los titulares de PII, activa DPIAs para tratamientos de alto riesgo y produce planes de tratamiento de riesgos - Crea **Declaraciones de Aplicabilidad (SoA)** adaptadas al rol de la organización (responsable, encargado o ambos) con decisiones de aplicabilidad y justificación - Proporciona **guía de implementación control por control** para cada control A.1, A.2 y A.3 — con propósito, pasos de implementación, evidencia de auditoría y errores comunes - Guía las **transiciones de 2019 → 2025** con una tabla completa de mapeo de controles, lista de verificación de análisis de brechas y cronograma recomendado hasta la fecha límite de octubre de 2028 - **Mapea ISO 27701 al GDPR** artículo por artículo, además de CCPA/CPRA, LGPD, PIPEDA, PDPA (Singapur/Tailandia) y UK GDPR **Frases de activación:** `ISO 27701`, `PIMS`, `privacy information management`, `PII controller`, `PII processor`, `privacy risk assessment`, `DPIA`, `data subject rights`, `records of processing activities`, `RoPA`, `privacy by design`, `data processing agreement`, `DPA`, `GDPR alignment ISO 27701`, `ISO 27701:2025`, `ISO 27701:2019`, `27701 transition`, `standalone PIMS`, `Annex A controller controls`, `Annex A processor controls` --- --- [Read more](https://github.com/sushegaad/claude-skills-governance-risk-and-compliance)
