Abilità Claude installabili che forniscono consulenza di conformità a livello esperto per oltre 30 framework, tra cui ISO 27001, SOC 2, FedRAMP, GDPR, HIPAA, NIST CSF, PCI DSS e EU AI Act. Include analisi delle lacune, modelli di policy e mappatura dei controlli.
# Claude Skills per Governance, Risk & Compliance (GRC) Guida esperta alla conformità per ISO 27001, SOC 2, FedRAMP, GDPR, HIPAA, NIST CSF, PCI DSS, TSA Cybersecurity, ISO 42001 AI Management System, ISO 27701 Privacy Information Management, DORA Digital Operational Resilience, Digital Personal Data Protection Act (DPDPA) dell'India, CMMC 2.0 Cybersecurity Maturity Model Certification, NIST AI Risk Management Framework, SWIFT Customer Security Programme (CSP), Australian Information Security Manual (ISM), Direttiva UE NIS2, CCPA/CPRA California Privacy, ITAR (International Traffic in Arms Regulations), LGPD del Brasile (Lei Geral de Proteção de Dados), EU CSRD (Corporate Sustainability Reporting Directive), CIS Controls v8 (CIS Top 18), EAR (Export Administration Regulations), NIST SP 800-53 (Security and Privacy Controls for Federal Systems), EU AI Act (Regolamento (UE) 2024/1689), Section 508 (Accessibilità ICT federale USA), WCAG (Web Content Accessibility Guidelines), NZISM (New Zealand Information Security Manual), Vietnam PDPL (Legge sulla protezione dei dati personali n. 91/2025/QH15), EU CRA (Cyber Resilience Act, Regolamento (UE) 2024/2847), GRC Arabia Saudita (NCA ECC, Saudi PDPL, SAMA, CST), GRC Emirati Arabi Uniti (Federal PDPL, DIFC, ADGM, CBUAE, ICT Health Law), TISAX (VDA ISA / sicurezza dei fornitori automotive ENX), TPRM (rischio di terze parti/fornitori), UK Cyber Essentials e SOX ITGC — basato su Claude Skills. **Aggiornato mensilmente.** Valutato su 180 casi di test utilizzando il framework di eval — ciascuno classificato rispetto ad almeno 5 asserzioni verificabili da agenti indipendenti (902 asserzioni in totale). Le skill hanno ottenuto un punteggio dell'**89%** rispetto a una baseline del **55%**. [](../../releases/tag/v2.1.0) [](LICENSE) [](#the-skills) [](https://claude.ai) [](https://github.com/Sushegaad/Claude-Skills-Governance-Risk-and-Compliance) --- ## Indice - [Cosa sono le Claude Skills?](#what-are-claude-skills) - [A chi è destinato?](#who-is-this-for) - [Le Skill](#the-skills) - [ISO 27001](#-iso-27001) - [SOC 2](#-soc-2) - [FedRAMP](#-fedramp) - [GDPR](#-gdpr) - [HIPAA](#-hipaa) - [NIST CSF](#-nist-csf) - [PCI DSS](#-pci-dss) - [TSA Cybersecurity](#-tsa-cybersecurity) - [ISO 42001 AI Management System](#-iso-42001-ai-management-system) - [ISO 27701 Privacy Information Management](#-iso-27701-privacy-information-management) - [DORA Digital Operational Resilience](#-dora-digital-operational-resilience) - [DPDPA India Digital Personal Data Protection](#-dpdpa-india-digital-personal-data-protection) - [CMMC 2.0 Cybersecurity Maturity Model Certification](#-cmmc-20-cybersecurity-maturity-model-certification) - [NIST AI Risk Management Framework](#-nist-ai-risk-management-framework) - [SWIFT Customer Security Programme (CSP)](#-swift-customer-security-programme-csp) - [Australian Information Security Manual (ISM)](#-australian-information-security-manual-ism) - [Direttiva UE NIS2](#-eu-nis2-directive) - [CCPA/CPRA California Privacy](#-ccpacpra-california-privacy) - [ITAR — International Traffic in Arms Regulations](#-itar--international-traffic-in-arms-regulations) - [LGPD — Legge generale sulla protezione dei dati del Brasile](#-lgpd--brazils-general-data-protection-law) - [CSRD — Direttiva UE sulla rendicontazione societaria di sostenibilità](#-csrd--eu-corporate-sustainability-reporting-directive) - [CIS Controls v8 — CIS Top 18 Cyber Hygiene](#-cis-controls-v8--cis-top-18-cyber-hygiene) - [EAR — Export Administration Regulations](#-ear--export-administration-regulations) - [NIST SP 800-53 — Security and Privacy Controls for Federal Systems](#-nist-sp-800-53--security-and-privacy-controls-for-federal-systems) - [EU AI Act — Regolamento (UE) 2024/1689](#-eu-ai-act--regulation-eu-20241689) - [Section 508 — Accessibilità ICT federale USA](#-section-508--us-federal-ict-accessibility) - [WCAG — Web Content Accessibility Guidelines](#-wcag--web-content-accessibility-guidelines) - [NZISM — New Zealand Information Security Manual](#-nzism--new-zealand-information-security-manual) - [Vietnam PDPL — Legge sulla protezione dei dati personali](#-vietnam-pdpl--law-on-personal-data-protection) - [EU CRA — Cyber Resilience Act](#-eu-cra--cyber-resilience-act) - [GRC Arabia Saudita — Consulente per la conformità nazionale](#-saudi-arabia-grc--country-compliance-advisor) - [GRC Emirati Arabi Uniti — Consulente per la conformità nazionale](#-uae-grc--country-compliance-advisor) - [TISAX — Trusted Information Security Assessment Exchange](#-tisax--trusted-information-security-assessment-exchange) - [TPRM — Gestione del rischio di terze parti](#-tprm--third-party-risk-management) - [Cyber Essentials / CE Plus — Certificazione baseline UK](#-cyber-essentials--ce-plus--uk-baseline-certification) - [SOX ITGC — Controlli generali IT per SOX 404](#-sox-itgc--it-general-controls-for-sox-404) - [Potenziali casi d'uso](#potential-use-cases) - [Come installare una Skill](#how-to-install-a-skill) - [Installazione tramite Claude Code Marketplace](#install-via-claude-code-marketplace) - [Valutazione delle Skill](#skill-evaluation) - [Testimonianze dei clienti](#customer-testimonials) - [Supporto](#support) - [Autore](#author) - [Dichiarazione di non responsabilità](#disclaimer) --- ## Cosa sono le Claude Skills? Le Claude Skills sono pacchetti di conoscenza installabili che estendono le capacità di Claude per domini specifici. Una skill è un file `.skill` — un archivio bundle contenente un file di istruzioni `SKILL.md` e materiali di riferimento opzionali — che carichi su Claude una volta sola e utilizzi in tutte le tue conversazioni. Una volta installata, una skill si attiva **automaticamente** quando la tua conversazione tocca il suo ambito tematico. Non devi invocarla per nome né usare comandi speciali. Claude diventa semplicemente un esperto più approfondito in quel dominio per la durata della tua sessione. **Le skill sono ideali quando hai bisogno di:** - Risposte coerenti e di livello esperto su un argomento specializzato - Output formattati secondo standard professionali o normativi (ad esempio, narrative sui controlli pronte per l'audit, template di policy con le clausole corrette) - Conoscenza del dominio che va oltre il training generale degli LLM — come sapere quali specifici controlli NIST 800-53 si applicano a un dato scenario, o quali articoli del GDPR disciplinano i trasferimenti internazionali di dati **Come funzionano le skill sotto il cofano:** Ogni file `.skill` contiene un `SKILL.md` principale che viene caricato nel contesto di Claude quando la skill si attiva, più file di riferimento che vengono caricati su richiesta per sotto-argomenti più approfonditi. Questo schema di "divulgazione progressiva" mantiene efficiente l'uso del contesto rendendo al contempo disponibile una conoscenza completa quando serve. <div style="position:relative;padding-bottom:56.25%;height:0;overflow:hidden;max-width:100%;"> <iframe width="560" height="315" src="https://www.youtube-nocookie.com/embed/-IBLNR0N2vE" title="Claude Skills for GRC Demo" frameborder="0" allow="accelerometer; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen loading="lazy" sandbox="allow-scripts allow-same-origin"></iframe> </div> --- ## A chi è destinato? Queste skill sono progettate per professionisti che lavorano nella sicurezza delle informazioni, nella privacy e nella conformità normativa — che si tratti di organizzazioni che cercano una certificazione, team di sviluppo che costruiscono sistemi conformi o consulenti che supportano i clienti. **Team di sicurezza e conformità** utilizzano queste skill per accelerare le valutazioni dei gap, generare prime bozze di policy, mappare i controlli e preparare pacchetti di evidenze — comprimendo settimane di lavoro di riferimento in pochi minuti. **Sviluppatori software e ingegneri** le utilizzano per capire quali controlli devono implementare i loro sistemi, verificare codice e architettura per problemi di conformità e ottenere indicazioni tecniche attuabili legate a requisiti normativi specifici. **Professionisti legali, privacy e GRC** le utilizzano per redigere documenti normativi (DPA, BAA, informative sulla privacy), rispondere alle domande dei clienti con citazioni normative precise e mantenersi aggiornati sui requisiti dei framework. **Organizzazioni sanitarie** utilizzano la skill HIPAA per valutare i sistemi, generare informative e accordi richiesti e formare il personale sugli obblighi — senza bisogno di un consulente per la conformità per ogni domanda. **Fornitori di servizi cloud** che perseguono contratti con il governo federale utilizzano la skill FedRAMP per orientarsi nel processo ATO, scrivere le narrative SSP, gestire i POA&M e prepararsi alle valutazioni 3PAO. **Startup e PMI** utilizzano queste skill per capire cosa richiede loro un dato framework, definire l'ambito dei propri programmi di conformità e ottenere output di qualità esperta senza un grande team interno. --- ## Le Skill <a id="-iso-27001"></a> ### 1. <img src="https://assets.kitploit.com/production/public/readmes/13360/1b8e916266811181ecf8f041e2b8125f8ada099ad5879a2426c790712b9320af.jpg" alt="ISO 27001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27001 **File:** `ISO 27001 - Claude Skill/iso27001.skill` La skill ISO 27001 trasforma Claude in un esperto Lead Auditor ISO 27001 e consulente per l'implementazione del SGSI. Copre sia **ISO 27001:2013** (114 controlli, 14 domini) sia **ISO 27001:2022** (93 controlli, 4 temi), con default alla versione corrente 2022. **Cosa fa:** - Esegue **gap analysis** strutturate rispetto ai requisiti obbligatori (4–10) e a tutti i controlli dell'Annex A - Genera **documenti di policy** completi e pronti per l'audit con blocchi di controllo del documento, dichiarazioni di ambito e mappature clausola-controllo - Fornisce **guida passo passo all'implementazione dei controlli** per qualsiasi controllo dell'Annex A - Costruisce **registri dei rischi** e **piani di trattamento dei rischi** utilizzando la metodologia probabilità × impatto - Crea template di **Statement of Applicability (SoA)** che coprono tutti i 93 controlli - Guida la **transizione 2013 → 2022**, spiegando gli 11 nuovi controlli e le modifiche alle mappature **Frasi di attivazione:** `ISO 27001`, `ISMS`, `Annex A`, `Statement of Applicability`, `SoA`, `gap analysis`, `risk register`, `certification readiness`, `internal audit` --- <a id="-soc-2"></a> ### 2. <img src="https://assets.kitploit.com/production/public/readmes/13360/83496193c7dd515316dc418567519579495687aff85d44542bde7b8cc358a6a1.jpg" alt="SOC 2" height="20" style="vertical-align:middle;object-fit:contain;"> SOC 2 **File:** `SOC 2 - Claude Skill/soc2.skill` La skill SOC 2 trasforma Claude in un esperto consulente per la conformità SOC 2 basato sugli **AICPA 2017 Trust Services Criteria (TSC) con i Revised Points of Focus del 2022**. Copre tutti e cinque i TSC: Sicurezza (CC1–CC9), Disponibilità (A1), Riservatezza (C1), Integrità di elaborazione (PI1) e Privacy (P1–P8). **Cosa fa:** - Conduce **gap analysis** su tutti i criteri TSC nell'ambito, con valutazioni di stato 🔴/🟡/🟢 e roadmap di remediation - Redige tutte le **12 policy SOC 2 principali** (Sicurezza delle informazioni, Controllo degli accessi, Risposta agli incidenti, Gestione dei cambiamenti, Valutazione dei rischi, Gestione dei fornitori, BCP/DR e altre) - Documenta i **controlli** in formato pronto per l'auditor: ID del controllo, criterio TSC, tipo, responsabile, frequenza, evidenza e procedura di test - Produce **checklist di evidenze** mappate a ciascun criterio, con indicazioni sul campionamento per audit di Tipo 1 e Tipo 2 - Gestisce il **rischio dei fornitori**: classificazione a livelli, questionari di sicurezza a 32 domande, revisione dei report SOC 2, monitoraggio dei CUEC e requisiti contrattuali - Adatta il tono — linguaggio semplice per team alle prime armi con SOC 2, output tecnico con codici AICPA per professionisti e auditor **Frasi di attivazione:** `SOC 2`, `Trust Services Criteria`, `TSC`, `CC6`, `Type 1`, `Type 2`, `AICPA`, `audit readiness`, `control statement`, `evidence` --- <a id="-fedramp"></a> ### 3. <img src="https://raw.githubusercontent.com/sushegaad/claude-skills-governance-risk-and-compliance/HEAD/assets/Logos/fedramp.svg" alt="FedRAMP" height="20" style="vertical-align:middle;object-fit:contain;"> FedRAMP [USA] **File:** `FedRamp - Claude Skill/fedramp.skill` La skill FedRAMP trasforma Claude in un consulente FedRAMP competente che copre l'intero ciclo di vita dell'autorizzazione per i Cloud Service Provider (CSP) secondo **NIST SP 800-53 Rev 5** e il nuovo framework **CR26 (FedRAMP Consolidated Rules for 2026)**. Aggiornata ad agosto 2026 — CR26 è definitivo (obbligatorio dal 1° gennaio 2027) con le Certification Classes A–D (A = pilota/transitoria, B = LI-SaaS/Low, C = Moderate, D = High), pipeline delle Classi aperte da agosto 2026, FedRAMP 20x come percorso principale, Ready ritirato il 28 luglio 2026 (Legacy FedRAMP Ready) e l'obbligo OSCAL dal 30 settembre 2026 per le nuove autorizzazioni. **Cosa fa:** - Conduce **valutazioni di readiness e gap** utilizzando una checklist di oltre 75 voci, mappata alle Certification Classes CR26 (A/B/C/D) - Guida la redazione della **documentazione ATO**: System Security Plan (SSP), POA&M (con SLA corretti: Critical=15g, High=30g, Moderate=90g, Low=365g), SAP, SAR e tutte le appendici (A–Q) - **Mappa i controlli NIST 800-53 Rev 5** su tutte le 20 famiglie di controlli; fornisce indicazioni sull'approccio di autorizzazione continua FedRAMP 20x - Fornisce **guida sull'architettura cloud** per AWS GovCloud, Azure Government e Google Cloud Government - Supporta gli obblighi di **Continuous Monitoring (ConMon)**: deliverable mensili, gestione degli SLA dei POA&M, richieste di deroga - Fornisce indicazioni sulla **readiness OSCAL** per la scadenza obbligatoria di presentazione del 30 settembre 2026 **Frasi di attivazione:** `FedRAMP`, `ATO`, `SSP`, `POA&M`, `3PAO`, `NIST 800-53`, `ConMon`, `AWS GovCloud`, `Azure Government`, `CR26`, `FedRAMP 20x`, `OSCAL`, `Certification Class` --- <a id="-gdpr"></a> ### 4. 🇪🇺 GDPR [UE] **File:** `GDPR - Claude Skill/gdpr-compliance.skill` La skill GDPR trasforma Claude in un esperto assistente per la conformità al GDPR che unisce prospettive tecniche e legali. Copre l'intero regolamento **GDPR UE** con note sul **UK GDPR (DPA 2018)** dove le regole differiscono, e adatta automaticamente il tono — tecnico per gli sviluppatori, giuridicamente preciso per i professionisti della conformità e della privacy. **Cosa fa:** - **Verifica codice, API, schemi di database e architetture** per violazioni del GDPR, producendo risultati classificati per gravità (🔴/🟡/🟢) mappati a specifici articoli del GDPR - **Redige documenti di conformità** da template integrati: informative sulla privacy (Art. 13/14), accordi sul trattamento dei dati (Art. 28), banner cookie/consenso, DPIA (Art. 35), politiche di conservazione dei dati e procedure per i diritti degli interessati - **Risponde a domande sulla conformità** con citazioni autorevoli degli articoli — ogni risposta inizia con l'articolo applicabile, poi le eccezioni, poi le implicazioni pratiche - **Esamina flussi di dati e trattamento dei dati personali** su sei dimensioni (cosa, perché, dove, chi, per quanto tempo, come protetti) e verifica l'allineamento con i requisiti del RoPA - Copre tutte le aree chiave del GDPR: base giuridica, consenso, diritti degli interessati (Artt. 15–22), trasferimenti internazionali (Artt. 44–49), risposta alle violazioni (Artt. 32–34), categorie particolari di dati (Artt. 9–10) e sanzioni (Artt. 77–84) **Frasi di attivazione:** `GDPR`, `data protection`, `privacy`, `personal data`, `DPA`, `DPIA`, `lawful basis`, `data subject rights`, `consent`, `RoPA`, `Schrems II`, `ICO`, `EDPB` --- <a id="-hipaa"></a> ### 5. <img src="https://assets.kitploit.com/production/public/readmes/13360/1f1742cb6d5aac9160ceff87d2649d8946b0fb1e5657fc893991c5bea33b0e39.png" alt="HIPAA" height="20" style="vertical-align:middle;object-fit:contain;"> HIPAA [USA] **File:** `HIPAA - Claude Skill/hipaa-compliance.skill` La skill HIPAA trasforma Claude in un competente consulente per la conformità HIPAA che copre la **Privacy Rule, la Security Rule e la Breach Notification Rule** (45 CFR Parti 160 e 164, come modificati dall'HITECH). Serve sia i team tecnici che costruiscono sistemi che trattano ePHI sia i team di conformità/legali che gestiscono gli obblighi organizzativi. **Cosa fa:** - **Esamina documenti, sistemi e architetture** per la conformità HIPAA, producendo risultati strutturati con citazioni CFR, livelli di rischio (Alto / Medio / Basso) e passi di remediation - **Genera documenti conformi HIPAA** da nove template pronti all'uso: Notice of Privacy Practices (NPP), Business Associate Agreement (BAA), moduli di autorizzazione, attestati di formazione del personale, rapporti sugli incidenti di sicurezza, template di analisi dei rischi e altri — tutti con citazioni CFR inline - **Fornisce indicazioni sulle salvaguardie tecniche** per ambienti cloud moderni (AWS, Azure, GCP), API FHIR, mobile/BYOD e pipeline DevOps — coprendo tutte le 54 specifiche di implementazione della Security Rule (Required e Addressable) - **Spiega l'HIPAA in linguaggio semplice** per qualsiasi pubblico — dagli sviluppatori che necessitano di indicazioni sulla crittografia al personale generale che impara cosa costituisce PHI - **Guida la risposta alle violazioni** utilizzando la valutazione del rischio a 4 fattori, le tempistiche di notifica, gli obblighi di segnalazione all'HHS e indicazioni scenario per scenario **Frasi di attivazione:** `HIPAA`, `PHI`, `ePHI`, `covered entity`, `business associate`, `BAA`, `NPP`, `breach notification`, `minimum necessary`, `Privacy Rule`, `Security Rule` --- <a id="-nist-csf"></a> ### 6. <img src="https://assets.kitploit.com/production/public/readmes/13360/fba4d5c506ea7fcdc93306f04418b0eaf2a7dc0b8ba9e77ac0164e657dc7aaff.jpg" alt="NIST CSF" height="20" style="vertical-align:middle;object-fit:contain;"> NIST CSF **File:** `NIST Cybersecurity framework - Claude Skill/NIST Cybersecurity.skill` La skill NIST CSF trasforma Claude in un esperto consulente del NIST Cybersecurity Framework che copre sia **CSF 2.0** (febbraio 2024) sia **CSF 1.1** (aprile 2018), con default al CSF 2.0 corrente. Copre tutte e sei le funzioni — **Govern, Identify, Protect, Detect, Respond, Recover** — inclusa la nuova funzione Govern introdotta nel CSF 2.0. **Cosa fa:** - Conduce **valutazioni dei gap** strutturate su tutte e sei le funzioni, categorie e sottocategorie del CSF 2.0 - Costruisce **Profili Organizzativi** — Corrente e Obiettivo — allineati al contesto di business, alla tolleranza al rischio e agli obblighi normativi - Valuta gli **Implementation Tiers** (1–4) su tre dimensioni e fornisce indicazioni mirate per il progresso - Crea **roadmap di implementazione prioritizzate** con azioni a fasi di 30/60/90 giorni e azioni strategiche - **Mappa le sottocategorie CSF** su NIST SP 800-53, ISO 27001:2022 e CIS Controls v8 - Genera **policy allineate alle funzioni CSF** — policy di governance, risposta agli incidenti, sicurezza dei dati, controllo degli accessi e altre - Guida la **migrazione da CSF 1.1 → CSF 2.0** con una mappatura dettagliata delle sottocategorie e una checklist di migrazione **Frasi di attivazione:** `NIST CSF`, `Cybersecurity Framework`, `CSF 2.0`, `Govern function`, `GV.SC`, `ID.AM`, `PR.AA`, `DE.CM`, `RS.MA`, `RC.RP`, `cybersecurity profile`, `implementation tiers`, `CSF gap assessment` --- <a id="-pci-dss"></a> ### 7. <img src="https://assets.kitploit.com/production/public/readmes/13360/9651b451d683651828153371df9dd17bf1a54db3a375de14d65d714ee6e5814a.png" alt="PCI DSS" height="20" style="vertical-align:middle;object-fit:contain;"> PCI DSS **File:** `PCI Compliance - Claude Skill/PCI-Compliance.skill` La skill PCI DSS trasforma Claude in un esperto consulente per la conformità PCI DSS che copre **PCI DSS v4.0.1** (giugno 2024 — versione corrente), inclusi tutti i requisiti diventati obbligatori il 31 marzo 2025. Copre tutti i 12 requisiti, tutti gli 8 tipi di SAQ, i livelli merchant e service provider e le principali modifiche della v4.0 rispetto alla v3.2.1. **Cosa fa:** - **Definisce l'ambito del Cardholder Data Environment (CDE)** — identifica cosa è nell'ambito, valuta la segmentazione di rete e raccomanda la riduzione dell'ambito tramite tokenizzazione o P2PE - **Seleziona il tipo di SAQ corretto** — guida attraverso l'albero decisionale per SAQ A, A-EP, B, B-IP, C, C-VT, P2PE e D con motivazione - Conduce **valutazioni dei gap** strutturate su tutti i 12 requisiti con i requisiti di evidenza QSA e i gap comuni - Fornisce **guida all'implementazione dei controlli** per qualsiasi sotto-requisito PCI DSS — cosa implementare, evidenze necessarie e insidie comuni - Genera **policy allineate a PCI DSS** — risposta agli incidenti, controllo degli accessi, crittografia, gestione delle patch, conservazione dei dati e altre - Guida la **migrazione da v3.2.1 → v4.0.1** inclusi i nuovi requisiti per l'estensione dell'MFA, l'integrità degli script delle pagine di pagamento (Req 6.4.3), la protezione dal phishing (Req 5.4.1) e la revisione automatizzata dei log (Req 10.4.1.1) - Spiega l'**Approccio Definito vs Personalizzato** e quando utilizzare la Targeted Risk Analysis (TRA) **Frasi di attivazione:** `PCI DSS`, `PCI compliance`, `cardholder data`, `CDE`, `SAQ`, `ROC`, `QSA`, `ASV scan`, `PAN`, `tokenisation`, `P2PE`, `merchant level`, `payment page`, `Req 8.4.2`, `Req 6.4.3` --- <a id="-tsa-cybersecurity"></a> ### 8. 🚨 TSA Cybersecurity [USA] **File:** `TSA Compliance - Claude Skill/TSA-Compliance.skill` La skill TSA Cybersecurity trasforma Claude in un esperto consulente delle direttive sulla cybersecurity TSA per le **infrastrutture di trasporto critiche**. Copre tutte le attuali serie di Security Directive TSA — **SD Pipeline-2021-01G**, **SD Pipeline-2021-02F**, **SD 1580-21-01E** (ferrovie merci) e **SD 1582-21-01E** (trasporto pubblico/passeggeri) — oltre al **NPRM di novembre 2024** che propone di formalizzare queste direttive come regolamenti federali permanenti. > **Nota sulle SSI:** le Security Directive TSA sono classificate come **Sensitive Security Information (SSI)** ai sensi del 49 CFR Part 1520. Questa skill è costruita a partire da riassunti pubblicamente disponibili, avvisi del Federal Register e pubblicazioni DHS/CISA — non dal testo classificato completo della direttiva. I soggetti interessati ricevono la direttiva effettiva direttamente dalla TSA. **Cosa fa:** - **Determina l'applicabilità** — quale serie di direttive si applica alla tua organizzazione (pipeline, ferrovie merci, trasporto pubblico o autobus) e cosa significa per i tuoi obblighi di conformità - Esegue **gap assessment** strutturati sui quattro domini tecnici: segmentazione di rete IT/OT, controlli di accesso (MFA), monitoraggio continuo e patch management - **Redige documenti del Cyber Risk Management Program (CRMP)**: Cybersecurity Implementation Plan (CIP/COIP), Incident Response Plan (IRP), Architecture Design Review (ADR) e Cybersecurity Assessment Plan (CAP) - Guida l'**implementazione specifica per OT/ICS** — data diode, jump server per HMI legacy, strumenti di monitoraggio passivo (Claroty, Dragos, Nozomi), ciclo di vita delle patch OT con coordinamento dei fornitori - Spiega gli obblighi di **segnalazione degli incidenti a CISA entro 24 ore**: cosa vi rientra, come segnalare, linguaggio di esempio per il report iniziale e sovrapposizione con CIRCIA - Fornisce consulenza sul **test annuale dell'IRP** — minimo due obiettivi, scenari di test, requisiti di documentazione e processo di after-action review - Spiega l'impatto del **NPRM 2024**: allineamento a NIST CSF 2.0, baseline CISA CPG, struttura proposta del COIP e cosa cambia quando la norma sarà finalizzata **Frasi di attivazione:** `TSA Security Directive`, `SD Pipeline-2021`, `SD 1580-21-01`, `SD 1582-21-01`, `TSA cybersecurity`, `Critical Cyber Systems`, `CCS`, `Cybersecurity Coordinator`, `Cybersecurity Implementation Plan`, `CIP`, `CRMP`, `IRP testing`, `Architecture Design Review`, `ADR`, `CAP`, `CISA 24-hour reporting`, `OT segmentation TSA`, `pipeline cybersecurity`, `rail cybersecurity directive`, `transit cybersecurity`, `TSA NPRM 2024` --- <a id="-iso-42001-ai-management-system"></a> ### 9. <img src="https://assets.kitploit.com/production/public/readmes/13360/94d64c693a5b55286e94f7b665a252f7981d797b4b7e7779f19ab215a3a3ee47.webp" alt="ISO 42001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 42001 AI Management System **File:** `ISO 42001 - Claude Skill/ISO-42001.skill` La skill ISO 42001 trasforma Claude in un esperto consulente di **ISO/IEC 42001:2023** AI Management System (AIMS) — il primo standard internazionale al mondo per la governance dell'IA. Serve sia i **fornitori di IA** (organizzazioni che sviluppano o distribuiscono IA) sia gli **utenti di IA** (organizzazioni che integrano IA di terze parti), coprendo l'intero ciclo di vita della certificazione, dalla gap assessment alla preparazione per l'audit di Stage 2. **Cosa fa:** - Conduce **gap assessment** strutturati su tutte le clausole obbligatorie (4–10) e tutti i **38 controlli dell'Annex A** (domini A.2–A.10) con stato 🔴/🟡/🟢, requisiti di evidenza e una roadmap di remediation per fasi - Guida passo dopo passo l'obbligatoria **AI System Impact Assessment (AISIA)** — identificando le popolazioni interessate, valutando le dimensioni dell'impatto (gravità, reversibilità, ampiezza, supervisione umana), classificando il livello di impatto (Basso/Medio/Alto) e determinando i requisiti di controllo proporzionati - Esegue la **valutazione del rischio IA** su tutte le categorie di rischio: rischi del modello (bias, drift, allucinazione, attacchi adversarial), rischi dei dati (qualità, poisoning, privacy nei dati di addestramento), rischi operativi (scope creep, eccessiva dipendenza umana) e rischi della supply chain (rischio di modelli di terze parti, dipendenze da API) - Genera una **Statement of Applicability (SoA)** completa che copre tutti i 38 controlli dell'Annex A (A.2.2–A.10.4) con decisioni di applicabilità, giustificazioni e stato di implementazione - Redige tutte le **policy AIMS** principali — AI Policy, AI Risk Management Policy, AI Acceptable Use Policy, Data Governance for AI Policy, AI Incident Management Policy, AI System Lifecycle Policy e AI Supplier Management Policy — ciascuna con blocchi di controllo del documento e citazioni delle clausole - Produce **checklist di audit per Stage 1 e Stage 2** con stato RAG, requisiti di evidenza per clausola e aree di attenzione comuni degli auditor - **Mappa ISO 42001 rispetto all'EU AI Act** — allinea l'AISIA alla Fundamental Rights Impact Assessment (FRIA) per i sistemi di IA ad alto rischio; mappa i controlli dell'Annex A ai requisiti tecnici dell'EU AI Act - **Integra ISO 42001 con ISO 27001** per le organizzazioni che costruiscono un ISMS + AIMS unificato **Frasi di attivazione:** `ISO 42001`, `ISO/IEC 42001`, `AI Management System`, `AIMS`, `AISIA`, `AI System Impact Assessment`, `responsible AI standard`, `AI governance standard`, `Annex A AI controls`, `AI risk assessment ISO`, `Statement of Applicability AI`, `AI policy ISO`, `AI certification`, `AI lifecycle controls`, `AI supplier management ISO`, `EU AI Act management system`, `NIST AI RMF ISO mapping`, `AI bias controls`, `AI transparency standard`, `AI incident management ISO` --- <a id="-iso-27701-privacy-information-management"></a> ### 10. <img src="https://assets.kitploit.com/production/public/readmes/13360/b05ef92cf5653e4c65e5e6ff9b54aad12fa9ffd3cbf4c65c09e8324f6e5db463.png" alt="ISO 27701" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27701 Privacy Information Management **File:** `ISO 27701 - Claude Skill/iso27701.skill` La skill ISO 27701 trasforma Claude in un esperto consulente di **ISO/IEC 27701:2025** Privacy Information Management System (PIMS) — coprendo l'intero ciclo di vita, dalla gap assessment alla certificazione. Gestisce sia **ISO 27701:2025** (la nuova edizione autonoma) sia **ISO 27701:2019** (la precedente estensione di ISO 27001), e copre sia i **titolari del trattamento dei PII** sia i **responsabili del trattamento dei PII**. **Cosa fa:** - Conduce **gap analysis** strutturate su tutte le clausole obbligatorie HLS (4–10) e tutti i 78 controlli dell'Annex A — 31 per i titolari del trattamento dei PII (A.1), 18 per i responsabili del trattamento dei PII (A.2) e 29 controlli di sicurezza condivisi (A.3) - Genera **documenti di policy PIMS** completi e pronti per l'audit — Privacy Policy, Records of Processing Activities (RoPA), Data Subject Rights Procedure, Privacy by Design Procedure, Data Processing Agreements (DPA) e altro ancora - Costruisce **registri dei rischi per la privacy** incentrati sul danno agli interessati dei PII, attiva le DPIA per i trattamenti ad alto rischio e produce piani di trattamento del rischio - Crea **Statement of Applicability (SoA)** in base al ruolo dell'organizzazione (titolare, responsabile o entrambi) con decisioni di applicabilità e giustificazione - Fornisce **guida all'implementazione controllo per controllo** per ogni controllo A.1, A.2 e A.3 — con finalità, passaggi di implementazione, evidenze di audit e insidie comuni - Guida le **transizioni 2019 → 2025** con una tabella completa di mappatura dei controlli, una checklist di gap analysis e una tempistica raccomandata verso la scadenza di ottobre 2028 - **Mappa ISO 27701 rispetto al GDPR** articolo per articolo, oltre a CCPA/CPRA, LGPD, PIPEDA, PDPA (Singapore/Thailandia) e UK GDPR **Frasi di attivazione:** `ISO 27701`, `PIMS`, `privacy information management`, `PII controller`, `PII processor`, `privacy risk assessment`, `DPIA`, `data subject rights`, `records of processing activities`, `RoPA`, `privacy by design`, `data processing agreement`, `DPA`, `GDPR alignment ISO 27701`, `ISO 27701:2025`, `ISO 27701:2019`, `27701 transition`, `standalone PIMS`, `Annex A controller controls`, `Annex A processor controls` --- <a id="-dora-digital-operational-resilience"></a> ### 11. <img src="https://assets.kitploit.com/production/public/readmes/13360/d66c899f9e9c7cda51daceb14583af82e75aca1f0c7e9359e53f89ac6b47cac6.png" alt="DORA" height="20" style="vertical-align:middle;object-fit:contain;"> DORA [EU] — Digital Operational Resilience **File:** `DORA - Claude Skill/dora.skill` La skill DORA trasforma Claude in un esperto consulente sul **Regolamento (UE) 2022/2554** (il Digital Operational Resilience Act) — il regolamento ICT di riferimento per le entità finanziarie dell'UE dal 17 gennaio 2025. Codifica tutti i 64 articoli del DORA, tutti i 12 RTS/ITS adottati e fornisce una guida precisa a livello di articolo per ogni flusso di lavoro di conformità. Distingue esplicitamente il DORA da NIS2, dalle precedenti linee guida ICT EBA e da ISO 27001 — una comune fonte di confusione nelle risposte generiche degli LLM. **Cosa fa:** - Conduce **gap analysis DORA** strutturate su tutti e quattro i pilastri: quadro di gestione del rischio ICT (Capo II, Art. 5–16), gestione degli incidenti (Capo III, Art. 17–23), test di resilienza / TLPT (Capo IV, Art. 24–27) e rischio ICT di terze parti (Capo V, Art. 28–44) - Guida la **classificazione degli incidenti correlati all'ICT** rispetto ai criteri dell'Art. 18 e alle soglie di materialità del CDR (UE) 2024/1772, con un albero decisionale completo per gli incidenti maggiori e non maggiori --- [Read more](https://github.com/sushegaad/claude-skills-governance-risk-and-compliance)
