sushegaad/claude-skills-governance-risk-and-compliance
Compétences Claude installables fournissant des conseils de conformité de niveau expert pour plus de 30 cadres, notamment ISO 27001, SOC 2, FedRAMP, GDPR, HIPAA, NIST CSF, PCI DSS et EU AI Act. Comprend une analyse des écarts, des modèles de politiques et un mapping des contrôles.
# Compétences Claude pour la Gouvernance, les Risques et la Conformité (GRC) Conseils de conformité de niveau expert pour ISO 27001, SOC 2, FedRAMP, RGPD, HIPAA, NIST CSF, PCI DSS, TSA Cybersecurity, ISO 42001 Système de management de l'IA, ISO 27701 Gestion des informations de confidentialité, DORA Résilience opérationnelle numérique, Digital Personal Data Protection Act (DPDPA) de l'Inde, CMMC 2.0 Cybersecurity Maturity Model Certification, NIST AI Risk Management Framework, SWIFT Customer Security Programme (CSP), Australian Information Security Manual (ISM), Directive NIS2 de l'UE, CCPA/CPRA Confidentialité Californie, ITAR (International Traffic in Arms Regulations), LGPD du Brésil (Lei Geral de Proteção de Dados), CSRD de l'UE (Corporate Sustainability Reporting Directive), CIS Controls v8 (CIS Top 18), EAR (Export Administration Regulations), NIST SP 800-53 (Security and Privacy Controls for Federal Systems), EU AI Act (Règlement (UE) 2024/1689), Section 508 (Accessibilité TIC fédérale américaine), WCAG (Web Content Accessibility Guidelines), NZISM (New Zealand Information Security Manual), Vietnam PDPL (Loi sur la protection des données personnelles n° 91/2025/QH15), EU CRA (Cyber Resilience Act, Règlement (UE) 2024/2847), GRC Arabie saoudite (NCA ECC, Saudi PDPL, SAMA, CST), GRC EAU (Federal PDPL, DIFC, ADGM, CBUAE, ICT Health Law), TISAX (sécurité des fournisseurs automobiles VDA ISA / ENX), TPRM (risque tiers/fournisseurs), UK Cyber Essentials, et SOX ITGC — propulsé par Claude Skills. **Mis à jour mensuellement.** Évalué sur 180 cas de test à l'aide du framework d'évaluation — chacun noté par rapport à au moins 5 assertions vérifiables par des agents indépendants (902 assertions au total). Les compétences ont obtenu **89 %** contre une base de référence de **55 %**. [](../../releases/tag/v2.1.0) [](LICENSE) [](#the-skills) [](https://claude.ai) [](https://github.com/Sushegaad/Claude-Skills-Governance-Risk-and-Compliance) --- ## Table des matières - [Que sont les Claude Skills ?](#what-are-claude-skills) - [À qui s'adresse ceci ?](#who-is-this-for) - [Les compétences](#the-skills) - [ISO 27001](#-iso-27001) - [SOC 2](#-soc-2) - [FedRAMP](#-fedramp) - [RGPD](#-gdpr) - [HIPAA](#-hipaa) - [NIST CSF](#-nist-csf) - [PCI DSS](#-pci-dss) - [TSA Cybersecurity](#-tsa-cybersecurity) - [ISO 42001 Système de management de l'IA](#-iso-42001-ai-management-system) - [ISO 27701 Gestion des informations de confidentialité](#-iso-27701-privacy-information-management) - [DORA Résilience opérationnelle numérique](#-dora-digital-operational-resilience) - [DPDPA Inde Protection des données personnelles numériques](#-dpdpa-india-digital-personal-data-protection) - [CMMC 2.0 Cybersecurity Maturity Model Certification](#-cmmc-20-cybersecurity-maturity-model-certification) - [NIST AI Risk Management Framework](#-nist-ai-risk-management-framework) - [SWIFT Customer Security Programme (CSP)](#-swift-customer-security-programme-csp) - [Australian Information Security Manual (ISM)](#-australian-information-security-manual-ism) - [Directive NIS2 de l'UE](#-eu-nis2-directive) - [CCPA/CPRA Confidentialité Californie](#-ccpacpra-california-privacy) - [ITAR — International Traffic in Arms Regulations](#-itar--international-traffic-in-arms-regulations) - [LGPD — Loi générale brésilienne sur la protection des données](#-lgpd--brazils-general-data-protection-law) - [CSRD — Directive de l'UE sur la publication d'informations en matière de durabilité par les entreprises](#-csrd--eu-corporate-sustainability-reporting-directive) - [CIS Controls v8 — CIS Top 18 Cyber Hygiene](#-cis-controls-v8--cis-top-18-cyber-hygiene) - [EAR — Export Administration Regulations](#-ear--export-administration-regulations) - [NIST SP 800-53 — Security and Privacy Controls for Federal Systems](#-nist-sp-800-53--security-and-privacy-controls-for-federal-systems) - [EU AI Act — Règlement (UE) 2024/1689](#-eu-ai-act--regulation-eu-20241689) - [Section 508 — Accessibilité TIC fédérale américaine](#-section-508--us-federal-ict-accessibility) - [WCAG — Web Content Accessibility Guidelines](#-wcag--web-content-accessibility-guidelines) - [NZISM — New Zealand Information Security Manual](#-nzism--new-zealand-information-security-manual) - [Vietnam PDPL — Loi sur la protection des données personnelles](#-vietnam-pdpl--law-on-personal-data-protection) - [EU CRA — Cyber Resilience Act](#-eu-cra--cyber-resilience-act) - [GRC Arabie saoudite — Conseiller de conformité nationale](#-saudi-arabia-grc--country-compliance-advisor) - [GRC EAU — Conseiller de conformité nationale](#-uae-grc--country-compliance-advisor) - [TISAX — Trusted Information Security Assessment Exchange](#-tisax--trusted-information-security-assessment-exchange) - [TPRM — Gestion des risques tiers](#-tprm--third-party-risk-management) - [Cyber Essentials / CE Plus — Certification de base du Royaume-Uni](#-cyber-essentials--ce-plus--uk-baseline-certification) - [SOX ITGC — Contrôles généraux informatiques pour SOX 404](#-sox-itgc--it-general-controls-for-sox-404) - [Cas d'usage potentiels](#potential-use-cases) - [Comment installer une compétence](#how-to-install-a-skill) - [Installer via Claude Code Marketplace](#install-via-claude-code-marketplace) - [Évaluation des compétences](#skill-evaluation) - [Témoignages clients](#customer-testimonials) - [Support](#support) - [Auteur](#author) - [Avertissement](#disclaimer) --- ## Que sont les Claude Skills ? Les Claude Skills sont des packages de connaissances installables qui étendent les capacités de Claude pour des domaines spécifiques. Une compétence est un fichier `.skill` — une archive groupée contenant un fichier d'instructions `SKILL.md` et des documents de référence optionnels — que vous téléchargez une fois dans Claude et utilisez dans toutes vos conversations. Une fois installée, une compétence s'active **automatiquement** lorsque votre conversation aborde son domaine. Vous n'avez pas besoin de l'invoquer par son nom ni d'utiliser des commandes spéciales. Claude devient simplement un expert plus approfondi dans ce domaine pour la durée de votre session. **Les compétences sont idéales lorsque vous avez besoin de :** - Des réponses cohérentes et de niveau expert sur un sujet spécialisé - Des résultats formatés selon des normes professionnelles ou réglementaires (par exemple, des narratifs de contrôles prêts pour l'audit, des modèles de politiques avec les bonnes clauses) - Des connaissances métier qui vont au-delà de l'entraînement général des LLM — comme savoir quels contrôles NIST 800-53 spécifiques s'appliquent à un scénario donné, ou quels articles du RGPD régissent les transferts internationaux de données **Comment fonctionnent les compétences en arrière-plan :** Chaque fichier `.skill` contient un `SKILL.md` principal qui est chargé dans le contexte de Claude lorsque la compétence se déclenche, ainsi que des fichiers de référence chargés à la demande pour des sous-thèmes plus approfondis. Ce modèle de « divulgation progressive » maintient une utilisation efficace du contexte tout en rendant des connaissances complètes disponibles en cas de besoin. <div style="position:relative;padding-bottom:56.25%;height:0;overflow:hidden;max-width:100%;"> <iframe width="560" height="315" src="https://www.youtube-nocookie.com/embed/-IBLNR0N2vE" title="Claude Skills for GRC Demo" frameborder="0" allow="accelerometer; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen loading="lazy" sandbox="allow-scripts allow-same-origin"></iframe> </div> --- ## À qui s'adresse ceci ? Ces compétences sont conçues pour les professionnels qui travaillent sur la sécurité de l'information, la confidentialité et la conformité réglementaire — que ce soit au sein d'organisations cherchant une certification, d'équipes de développement construisant des systèmes conformes, ou de conseillers accompagnant des clients. **Les équipes Sécurité et Conformité** utilisent ces compétences pour accélérer les analyses d'écart, générer des premières versions de politiques, cartographier les contrôles et préparer des dossiers de preuves — compressant des semaines de travail de référence en quelques minutes. **Les développeurs de logiciels et ingénieurs** les utilisent pour comprendre quels contrôles leurs systèmes doivent mettre en œuvre, auditer le code et l'architecture pour détecter les problèmes de conformité, et obtenir des conseils techniques exploitables liés à des exigences réglementaires spécifiques. **Les professionnels du juridique, de la confidentialité et de la GRC** les utilisent pour rédiger des documents réglementaires (DPA, BAA, avis de confidentialité), répondre aux questions des clients avec des citations réglementaires précises, et rester à jour sur les exigences des référentiels. **Les organisations de santé** utilisent la compétence HIPAA pour évaluer les systèmes, générer les avis et accords requis, et former le personnel sur ses obligations — sans avoir besoin d'un consultant en conformité pour chaque question. **Les fournisseurs de services cloud** poursuivant des contrats avec le gouvernement fédéral utilisent la compétence FedRAMP pour naviguer dans le processus ATO, rédiger les narratifs SSP, gérer les POA&M, et se préparer aux évaluations 3PAO. **Les startups et PME** utilisent ces compétences pour comprendre ce qu'un référentiel donné exige d'elles, délimiter leurs programmes de conformité, et obtenir des résultats de qualité experte sans disposer d'une grande équipe interne. --- ## Les compétences <a id="-iso-27001"></a> ### 1. <img src="https://assets.kitploit.com/production/public/readmes/13360/1b8e916266811181ecf8f041e2b8125f8ada099ad5879a2426c790712b9320af.jpg" alt="ISO 27001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27001 **Fichier :** `ISO 27001 - Claude Skill/iso27001.skill` La compétence ISO 27001 transforme Claude en un expert auditeur principal ISO 27001 et consultant en mise en œuvre de SMSI. Elle couvre à la fois **ISO 27001:2013** (114 contrôles, 14 domaines) et **ISO 27001:2022** (93 contrôles, 4 thèmes), avec la version 2022 actuelle par défaut. **Ce qu'elle fait :** - Réalise des **analyses d'écart** structurées par rapport aux clauses obligatoires (4–10) et à tous les contrôles de l'Annexe A - Génère des **documents de politique** complets et prêts pour l'audit avec blocs de contrôle de document, déclarations de périmètre et correspondances clause-contrôle - Fournit des **conseils de mise en œuvre des contrôles** étape par étape pour tout contrôle de l'Annexe A - Construit des **registres des risques** et des **plans de traitement des risques** selon la méthodologie probabilité × impact - Crée des modèles de **Déclaration d'Applicabilité (SoA)** couvrant les 93 contrôles - Guide la **transition 2013 → 2022**, en expliquant les 11 nouveaux contrôles et les changements de correspondance **Phrases déclencheuses :** `ISO 27001`, `ISMS`, `Annex A`, `Statement of Applicability`, `SoA`, `gap analysis`, `risk register`, `certification readiness`, `internal audit` --- <a id="-soc-2"></a> ### 2. <img src="https://assets.kitploit.com/production/public/readmes/13360/83496193c7dd515316dc418567519579495687aff85d44542bde7b8cc358a6a1.jpg" alt="SOC 2" height="20" style="vertical-align:middle;object-fit:contain;"> SOC 2 **Fichier :** `SOC 2 - Claude Skill/soc2.skill` La compétence SOC 2 transforme Claude en un conseiller expert en conformité SOC 2 fondé sur les **Trust Services Criteria (TSC) 2017 de l'AICPA avec les Revised Points of Focus 2022**. Elle couvre les cinq TSC : Sécurité (CC1–CC9), Disponibilité (A1), Confidentialité (C1), Intégrité du traitement (PI1) et Vie privée (P1–P8). **Ce qu'elle fait :** - Mène des **analyses d'écart** sur les critères TSC dans le périmètre avec des évaluations de statut 🔴/🟡/🟢 et des feuilles de route de remédiation - Rédige les **12 politiques SOC 2 principales** (Sécurité de l'information, Contrôle d'accès, Réponse aux incidents, Gestion des changements, Évaluation des risques, Gestion des fournisseurs, PCA/PRA, et plus) - Documente les **contrôles** dans un format prêt pour l'auditeur : ID du contrôle, critère TSC, type, responsable, fréquence, preuve et procédure de test - Produit des **listes de contrôle des preuves** mappées à chaque critère, avec des conseils d'échantillonnage pour les audits Type 1 vs Type 2 - Gère le **risque fournisseurs** : classification par niveaux, questionnaires de sécurité à 32 questions, revue des rapports SOC 2, suivi des CUEC et exigences contractuelles - Adapte son ton — langage clair pour les équipes découvrant SOC 2, résultats techniques codés AICPA pour les praticiens et auditeurs **Phrases déclencheuses :** `SOC 2`, `Trust Services Criteria`, `TSC`, `CC6`, `Type 1`, `Type 2`, `AICPA`, `audit readiness`, `control statement`, `evidence` --- <a id="-fedramp"></a> ### 3. <img src="https://raw.githubusercontent.com/sushegaad/claude-skills-governance-risk-and-compliance/HEAD/assets/Logos/fedramp.svg" alt="FedRAMP" height="20" style="vertical-align:middle;object-fit:contain;"> FedRAMP [US] **Fichier :** `FedRamp - Claude Skill/fedramp.skill` La compétence FedRAMP transforme Claude en un conseiller FedRAMP averti couvrant l'ensemble du cycle de vie d'autorisation pour les fournisseurs de services cloud (CSP) selon **NIST SP 800-53 Rev 5** et le nouveau cadre **CR26 (FedRAMP Consolidated Rules for 2026)**. À jour en août 2026 — CR26 est final (obligatoire le 1er janvier 2027) avec les classes de certification A–D (A = pilote/transitoire, B = LI-SaaS/Faible, C = Modéré, D = Élevé), les pipelines de classes ouvrant en août 2026, FedRAMP 20x comme voie principale, Ready retiré le 28 juillet 2026 (Legacy FedRAMP Ready), et le mandat OSCAL du 30 septembre 2026 pour les nouvelles autorisations. **Ce qu'elle fait :** - Réalise des **évaluations de préparation et d'écart** à l'aide d'une liste de contrôle de plus de 75 éléments, mappée aux classes de certification CR26 (A/B/C/D) - Guide la rédaction de la **documentation ATO** : System Security Plans (SSP), POA&M (avec les SLA corrects : Critique=15j, Élevé=30j, Modéré=90j, Faible=365j), SAP, SAR et toutes les annexes (A–Q) - **Cartographie les contrôles NIST 800-53 Rev 5** sur les 20 familles de contrôles ; conseille sur l'approche d'autorisation continue FedRAMP 20x - Fournit des **conseils d'architecture cloud** pour AWS GovCloud, Azure Government et Google Cloud Government - Soutient les obligations de **Surveillance Continue (ConMon)** : livrables mensuels, gestion des SLA des POA&M, demandes de dérogation - Conseille sur la **préparation OSCAL** pour l'échéance de soumission obligatoire du 30 septembre 2026 **Phrases déclencheuses :** `FedRAMP`, `ATO`, `SSP`, `POA&M`, `3PAO`, `NIST 800-53`, `ConMon`, `AWS GovCloud`, `Azure Government`, `CR26`, `FedRAMP 20x`, `OSCAL`, `Certification Class` --- <a id="-gdpr"></a> ### 4. 🇪🇺 RGPD [UE] **Fichier :** `GDPR - Claude Skill/gdpr-compliance.skill` La compétence RGPD transforme Claude en un assistant expert en conformité RGPD qui fait le lien entre les perspectives techniques et juridiques. Elle couvre l'intégralité du règlement **RGPD de l'UE** avec des notes sur le **RGPD britannique (DPA 2018)** là où les règles diffèrent, et adapte automatiquement son ton — technique pour les développeurs, juridiquement précis pour les professionnels de la conformité et de la vie privée. **Ce qu'elle fait :** - **Audite le code, les API, les schémas de bases de données et les architectures** pour détecter les violations du RGPD, en produisant des constats classés par gravité (🔴/🟡/🟢) mappés à des articles spécifiques du RGPD - **Rédige des documents de conformité** à partir de modèles intégrés : Avis de confidentialité (Art. 13/14), Contrats de traitement des données (Art. 28), Bandeaux cookies/consentement, AIPD (Art. 35), Politiques de conservation des données et Procédures relatives aux droits des personnes concernées - **Répond aux questions de conformité** avec des citations d'articles faisant autorité — chaque réponse commence par l'article applicable, puis les exceptions, puis les implications pratiques - **Examine les flux de données et le traitement des DCP** selon six dimensions (quoi, pourquoi, où, qui, combien de temps, comment protégé) et vérifie l'alignement avec les exigences du RoPA - Couvre tous les domaines clés du RGPD : base légale, consentement, droits des personnes concernées (Art. 15–22), transferts internationaux (Art. 44–49), réponse aux violations (Art. 32–34), données de catégories particulières (Art. 9–10) et sanctions (Art. 77–84) **Phrases déclencheuses :** `GDPR`, `data protection`, `privacy`, `personal data`, `DPA`, `DPIA`, `lawful basis`, `data subject rights`, `consent`, `RoPA`, `Schrems II`, `ICO`, `EDPB` --- <a id="-hipaa"></a> ### 5. <img src="https://assets.kitploit.com/production/public/readmes/13360/1f1742cb6d5aac9160ceff87d2649d8946b0fb1e5657fc893991c5bea33b0e39.png" alt="HIPAA" height="20" style="vertical-align:middle;object-fit:contain;"> HIPAA [US] **Fichier :** `HIPAA - Claude Skill/hipaa-compliance.skill` La compétence HIPAA transforme Claude en un conseiller averti en conformité HIPAA couvrant la **Privacy Rule, la Security Rule et la Breach Notification Rule** (45 CFR Parties 160 et 164, telles que modifiées par HITECH). Elle sert à la fois les équipes techniques qui construisent des systèmes traitant des ePHI et les équipes conformité/juridiques qui gèrent les obligations organisationnelles. **Ce qu'elle fait :** - **Examine les documents, systèmes et architectures** pour la conformité HIPAA, en produisant des constats structurés avec citations CFR, niveaux de risque (Élevé / Moyen / Faible) et étapes de remédiation - **Génère des documents conformes HIPAA** à partir de neuf modèles prêts à l'emploi : Notice of Privacy Practices (NPP), Business Associate Agreements (BAA), formulaires d'autorisation, accusés de formation du personnel, rapports d'incident de sécurité, modèles d'analyse des risques, et plus — tous avec citations CFR intégrées - **Conseille sur les garanties techniques** pour les environnements cloud modernes (AWS, Azure, GCP), les API FHIR, le mobile/BYOD et les pipelines DevOps — couvrant les 54 spécifications de mise en œuvre de la Security Rule (Required et Addressable) - **Explique HIPAA en langage clair** pour tout public — des développeurs ayant besoin de conseils sur le chiffrement au personnel général apprenant ce qui constitue des PHI - **Guide la réponse aux violations** à l'aide de l'évaluation des risques à 4 facteurs, des délais de notification, des obligations de déclaration au HHS et de conseils scénario par scénario **Phrases déclencheuses :** `HIPAA`, `PHI`, `ePHI`, `covered entity`, `business associate`, `BAA`, `NPP`, `breach notification`, `minimum necessary`, `Privacy Rule`, `Security Rule` --- <a id="-nist-csf"></a> ### 6. <img src="https://assets.kitploit.com/production/public/readmes/13360/fba4d5c506ea7fcdc93306f04418b0eaf2a7dc0b8ba9e77ac0164e657dc7aaff.jpg" alt="NIST CSF" height="20" style="vertical-align:middle;object-fit:contain;"> NIST CSF **Fichier :** `NIST Cybersecurity framework - Claude Skill/NIST Cybersecurity.skill` La compétence NIST CSF transforme Claude en un conseiller expert du NIST Cybersecurity Framework couvrant à la fois **CSF 2.0** (février 2024) et **CSF 1.1** (avril 2018), avec CSF 2.0 actuel par défaut. Elle couvre les six fonctions — **Govern, Identify, Protect, Detect, Respond, Recover** — y compris la nouvelle fonction Govern introduite dans CSF 2.0. **Ce qu'elle fait :** - Mène des **évaluations d'écart** structurées sur les six fonctions, catégories et sous-catégories de CSF 2.0 - Construit des **Profils Organisationnels** — Actuel et Cible — alignés sur le contexte métier, la tolérance au risque et les obligations réglementaires - Évalue les **Niveaux de mise en œuvre** (1–4) selon trois dimensions et fournit des conseils de progression ciblés - Crée des **feuilles de route de mise en œuvre priorisées** avec des actions échelonnées à 30/60/90 jours et des actions stratégiques - **Cartographie les sous-catégories CSF** vers NIST SP 800-53, ISO 27001:2022 et CIS Controls v8 - Génère des **politiques alignées sur les fonctions CSF** — politique de gouvernance, réponse aux incidents, sécurité des données, contrôle d'accès, et plus - Guide la **migration CSF 1.1 → CSF 2.0** avec une cartographie détaillée des sous-catégories et une liste de contrôle de migration **Phrases déclencheuses :** `NIST CSF`, `Cybersecurity Framework`, `CSF 2.0`, `Govern function`, `GV.SC`, `ID.AM`, `PR.AA`, `DE.CM`, `RS.MA`, `RC.RP`, `cybersecurity profile`, `implementation tiers`, `CSF gap assessment` --- <a id="-pci-dss"></a> ### 7. <img src="https://assets.kitploit.com/production/public/readmes/13360/9651b451d683651828153371df9dd17bf1a54db3a375de14d65d714ee6e5814a.png" alt="PCI DSS" height="20" style="vertical-align:middle;object-fit:contain;"> PCI DSS **Fichier :** `PCI Compliance - Claude Skill/PCI-Compliance.skill` La compétence PCI DSS transforme Claude en un conseiller expert en conformité PCI DSS couvrant **PCI DSS v4.0.1** (juin 2024 — version actuelle), y compris toutes les exigences devenues obligatoires le 31 mars 2025. Elle couvre les 12 exigences, les 8 types de SAQ, les niveaux de commerçants et de prestataires de services, et les principaux changements de la v4.0 par rapport à la v3.2.1. **Ce qu'elle fait :** - **Délimite le périmètre de l'environnement de données des titulaires de carte (CDE)** — identifie ce qui est dans le périmètre, évalue la segmentation réseau et recommande la réduction du périmètre via la tokenisation ou le P2PE - **Sélectionne le bon type de SAQ** — parcourt l'arbre de décision pour SAQ A, A-EP, B, B-IP, C, C-VT, P2PE et D avec justification - Mène des **évaluations d'écart** structurées sur les 12 exigences avec les exigences de preuves QSA et les écarts courants - Fournit des **conseils de mise en œuvre des contrôles** pour toute sous-exigence PCI DSS — quoi mettre en œuvre, preuves nécessaires et pièges courants - Génère des **politiques alignées PCI DSS** — réponse aux incidents, contrôle d'accès, cryptographie, gestion des correctifs, conservation des données, et plus - Guide la **migration v3.2.1 → v4.0.1** y compris les nouvelles exigences pour l'extension du MFA, l'intégrité des scripts de page de paiement (Exigence 6.4.3), la protection contre l'hameçonnage (Exigence 5.4.1) et la revue automatisée des journaux (Exigence 10.4.1.1) - Explique l'**Approche Définie vs Personnalisée** et quand utiliser l'Analyse de Risque Ciblée (TRA) **Phrases déclencheuses :** `PCI DSS`, `PCI compliance`, `cardholder data`, `CDE`, `SAQ`, `ROC`, `QSA`, `ASV scan`, `PAN`, `tokenisation`, `P2PE`, `merchant level`, `payment page`, `Req 8.4.2`, `Req 6.4.3` --- <a id="-tsa-cybersecurity"></a> ### 8. 🚨 TSA Cybersecurity [US] **Fichier :** `TSA Compliance - Claude Skill/TSA-Compliance.skill` La compétence TSA Cybersecurity transforme Claude en un conseiller expert des directives de cybersécurité de la TSA pour les **infrastructures de transport critiques**. Elle couvre toute la série actuelle des directives de sécurité de la TSA — **SD Pipeline-2021-01G**, **SD Pipeline-2021-02F**, **SD 1580-21-01E** (transport ferroviaire de marchandises) et **SD 1582-21-01E** (transport en commun/ferroviaire de voyageurs) — ainsi que le **NPRM de novembre 2024** proposant de formaliser ces directives en réglementations fédérales permanentes. > **Remarque sur les SSI :** les directives de sécurité de la TSA sont classées comme **Sensitive Security Information (SSI)** en vertu du 49 CFR Part 1520. Cette compétence est construite à partir de résumés publics, de notices du Federal Register et de publications du DHS/CISA — et non du texte classifié intégral des directives. Les entités concernées reçoivent la directive réelle directement de la TSA. **Ce qu'elle fait :** - **Détermine l'applicabilité** — quelle série de directives s'applique à votre organisation (pipeline, fret ferroviaire, transport en commun ou bus) et ce que cela implique pour vos obligations de conformité - Réalise des **évaluations d'écart** structurées sur les quatre domaines techniques : segmentation réseau IT/OT, contrôles d'accès (MFA), surveillance continue et gestion des correctifs - **Rédige les documents du Cyber Risk Management Program (CRMP)** : Cybersecurity Implementation Plan (CIP/COIP), Incident Response Plan (IRP), Architecture Design Review (ADR) et Cybersecurity Assessment Plan (CAP) - Guide la **mise en œuvre spécifique OT/ICS** — diodes de données, serveurs rebonds pour les HMI hérités, outils de surveillance passive (Claroty, Dragos, Nozomi), cycle de vie des correctifs OT avec coordination des fournisseurs - Explique les obligations de **notification d'incident au CISA sous 24 heures** : ce qui est concerné, comment déclarer, exemples de formulation du rapport initial et chevauchement avec CIRCIA - Conseille sur les **tests annuels de l'IRP** — deux objectifs minimum, scénarios de test, exigences de documentation et processus de retour d'expérience - Explique l'impact du **NPRM de 2024** : alignement sur le NIST CSF 2.0, référentiel CISA CPG, structure proposée du COIP et ce qui change lorsque la règle sera finalisée **Phrases déclencheuses :** `TSA Security Directive`, `SD Pipeline-2021`, `SD 1580-21-01`, `SD 1582-21-01`, `TSA cybersecurity`, `Critical Cyber Systems`, `CCS`, `Cybersecurity Coordinator`, `Cybersecurity Implementation Plan`, `CIP`, `CRMP`, `IRP testing`, `Architecture Design Review`, `ADR`, `CAP`, `CISA 24-hour reporting`, `OT segmentation TSA`, `pipeline cybersecurity`, `rail cybersecurity directive`, `transit cybersecurity`, `TSA NPRM 2024` --- <a id="-iso-42001-ai-management-system"></a> ### 9. <img src="https://assets.kitploit.com/production/public/readmes/13360/94d64c693a5b55286e94f7b665a252f7981d797b4b7e7779f19ab215a3a3ee47.webp" alt="ISO 42001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 42001 AI Management System **Fichier :** `ISO 42001 - Claude Skill/ISO-42001.skill` La compétence ISO 42001 transforme Claude en un conseiller expert du système de management de l'IA (AIMS) **ISO/IEC 42001:2023** — la première norme internationale au monde pour la gouvernance de l'IA. Elle s'adresse à la fois aux **fournisseurs d'IA** (organisations qui développent ou déploient de l'IA) et aux **utilisateurs d'IA** (organisations intégrant de l'IA tierce), couvrant l'ensemble du cycle de certification, de l'évaluation d'écart à la préparation à l'audit de phase 2. **Ce qu'elle fait :** - Réalise des **évaluations d'écart** structurées sur toutes les clauses obligatoires (4–10) et les **38 contrôles de l'Annexe A** (domaines A.2–A.10) avec un statut 🔴/🟡/🟢, les exigences de preuves et une feuille de route de remédiation par phases - Guide l'étape obligatoire d'**AI System Impact Assessment (AISIA)** pas à pas — identification des populations affectées, évaluation des dimensions d'impact (gravité, réversibilité, ampleur, supervision humaine), classification du niveau d'impact (Faible/Moyen/Élevé) et détermination des exigences de contrôle proportionnées - Réalise l'**évaluation des risques liés à l'IA** sur toutes les catégories de risques : risques de modèle (biais, dérive, hallucination, attaques adversariales), risques liés aux données (qualité, empoisonnement, confidentialité des données d'entraînement), risques opérationnels (dérive du périmètre, dépendance humaine excessive) et risques de chaîne d'approvisionnement (risque de modèle tiers, dépendances aux API) - Génère une **Statement of Applicability (SoA)** complète couvrant les 38 contrôles de l'Annexe A (A.2.2–A.10.4) avec les décisions d'applicabilité, les justifications et le statut de mise en œuvre - Rédige toutes les **politiques AIMS** essentielles — AI Policy, AI Risk Management Policy, AI Acceptable Use Policy, Data Governance for AI Policy, AI Incident Management Policy, AI System Lifecycle Policy et AI Supplier Management Policy — chacune avec des blocs de contrôle documentaire et des citations de clauses - Produit des **listes de contrôle d'audit de phase 1 et phase 2** avec statut RAG, exigences de preuves par clause et points de focalisation courants des auditeurs - **Met en correspondance ISO 42001 et l'EU AI Act** — aligne l'AISIA sur l'évaluation d'impact sur les droits fondamentaux (FRIA) pour les systèmes d'IA à haut risque ; met en correspondance les contrôles de l'Annexe A avec les exigences techniques de l'EU AI Act - **Intègre ISO 42001 avec ISO 27001** pour les organisations construisant un SMSI + AIMS unifié **Phrases déclencheuses :** `ISO 42001`, `ISO/IEC 42001`, `AI Management System`, `AIMS`, `AISIA`, `AI System Impact Assessment`, `responsible AI standard`, `AI governance standard`, `Annex A AI controls`, `AI risk assessment ISO`, `Statement of Applicability AI`, `AI policy ISO`, `AI certification`, `AI lifecycle controls`, `AI supplier management ISO`, `EU AI Act management system`, `NIST AI RMF ISO mapping`, `AI bias controls`, `AI transparency standard`, `AI incident management ISO` --- <a id="-iso-27701-privacy-information-management"></a> ### 10. <img src="https://assets.kitploit.com/production/public/readmes/13360/b05ef92cf5653e4c65e5e6ff9b54aad12fa9ffd3cbf4c65c09e8324f6e5db463.png" alt="ISO 27701" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27701 Privacy Information Management **Fichier :** `ISO 27701 - Claude Skill/iso27701.skill` La compétence ISO 27701 transforme Claude en un conseiller expert du système de management de l'information privée (PIMS) **ISO/IEC 27701:2025** — couvrant l'ensemble du cycle de vie, de l'évaluation d'écart à la certification. Elle traite à la fois d'**ISO 27701:2025** (la nouvelle édition autonome) et d'**ISO 27701:2019** (l'extension héritée d'ISO 27001), et couvre à la fois les **responsables de traitement des DCP** et les **sous-traitants des DCP**. **Ce qu'elle fait :** - Réalise des **analyses d'écart** structurées sur toutes les clauses obligatoires de la HLS (4–10) et les 78 contrôles de l'Annexe A — 31 pour les responsables de traitement des DCP (A.1), 18 pour les sous-traitants des DCP (A.2) et 29 contrôles de sécurité partagés (A.3) - Génère des **documents de politique PIMS** complets et prêts pour l'audit — Privacy Policy, Records of Processing Activities (RoPA), Data Subject Rights Procedure, Privacy by Design Procedure, Data Processing Agreements (DPAs), etc. - Construit des **registres des risques liés à la vie privée** axés sur le préjudice causé aux personnes concernées, déclenche des DPIA pour les traitements à haut risque et produit des plans de traitement des risques - Crée des **Statements of Applicability (SoA)** adaptées au rôle de l'organisation (responsable de traitement, sous-traitant ou les deux) avec les décisions d'applicabilité et leur justification - Fournit des **conseils de mise en œuvre contrôle par contrôle** pour chaque contrôle A.1, A.2 et A.3 — avec objectif, étapes de mise en œuvre, preuves d'audit et pièges courants --- [Read more](https://github.com/sushegaad/claude-skills-governance-risk-and-compliance)
