インストール可能なClaudeスキル: ISO 27001、SOC 2、FedRAMP、GDPR、HIPAA、NIST CSF、PCI DSS、EU AI Actなど30以上のフレームワークに対応したエキスパートレベルのコンプライアンスガイダンスを提供します。ギャップ分析、ポリシーテンプレート、コントロールマッピングを含みます。
# ガバナンス・リスク・コンプライアンス(GRC)向けClaude Skills ISO 27001、SOC 2、FedRAMP、GDPR、HIPAA、NIST CSF、PCI DSS、TSAサイバーセキュリティ、ISO 42001 AIマネジメントシステム、ISO 27701プライバシー情報マネジメント、DORAデジタル運用レジリエンス、インドのデジタル個人データ保護法(DPDPA)、CMMC 2.0サイバーセキュリティ成熟度モデル認証、NIST AIリスクマネジメントフレームワーク、SWIFT顧客セキュリティプログラム(CSP)、オーストラリア情報セキュリティマニュアル(ISM)、EU NIS2指令、CCPA/CPRAカリフォルニアプライバシー、ITAR(国際武器取引規則)、ブラジルのLGPD(一般データ保護法)、EU CSRD(企業サステナビリティ報告指令)、CIS Controls v8(CIS Top 18)、EAR(輸出管理規則)、NIST SP 800-53(連邦システムのセキュリティおよびプライバシー管理策)、EU AI法(規則(EU) 2024/1689)、Section 508(米国連邦ICTアクセシビリティ)、WCAG(ウェブコンテンツアクセシビリティガイドライン)、NZISM(ニュージーランド情報セキュリティマニュアル)、ベトナムPDPL(個人データ保護法 第91/2025/QH15号)、EU CRA(サイバーレジリエンス法、規則(EU) 2024/2847)、サウジアラビアGRC(NCA ECC、サウジPDPL、SAMA、CST)、UAE GRC(連邦PDPL、DIFC、ADGM、CBUAE、ICT Health Law)、TISAX(VDA ISA / ENX 自動車サプライヤーセキュリティ)、TPRM(サードパーティ/ベンダーリスク)、UK Cyber Essentials、SOX ITGC — Claude Skillsによる提供。**毎月更新。** evalフレームワークを用いた180件のテストケースでベンチマークを実施 — 各テストケースは独立したエージェントによって少なくとも5つの検証可能なアサーションで評価(合計902アサーション)。Skillsはベースラインの**55%**に対して**89%**を記録。 [](../../releases/tag/v2.1.0) [](LICENSE) [](#the-skills) [](https://claude.ai) [](https://github.com/Sushegaad/Claude-Skills-Governance-Risk-and-Compliance) --- ## 目次 - [Claude Skillsとは?](#what-are-claude-skills) - [対象読者](#who-is-this-for) - [Skills一覧](#the-skills) - [ISO 27001](#-iso-27001) - [SOC 2](#-soc-2) - [FedRAMP](#-fedramp) - [GDPR](#-gdpr) - [HIPAA](#-hipaa) - [NIST CSF](#-nist-csf) - [PCI DSS](#-pci-dss) - [TSAサイバーセキュリティ](#-tsa-cybersecurity) - [ISO 42001 AIマネジメントシステム](#-iso-42001-ai-management-system) - [ISO 27701プライバシー情報マネジメント](#-iso-27701-privacy-information-management) - [DORAデジタル運用レジリエンス](#-dora-digital-operational-resilience) - [DPDPA インドデジタル個人データ保護](#-dpdpa-india-digital-personal-data-protection) - [CMMC 2.0サイバーセキュリティ成熟度モデル認証](#-cmmc-20-cybersecurity-maturity-model-certification) - [NIST AIリスクマネジメントフレームワーク](#-nist-ai-risk-management-framework) - [SWIFT顧客セキュリティプログラム(CSP)](#-swift-customer-security-programme-csp) - [オーストラリア情報セキュリティマニュアル(ISM)](#-australian-information-security-manual-ism) - [EU NIS2指令](#-eu-nis2-directive) - [CCPA/CPRAカリフォルニアプライバシー](#-ccpacpra-california-privacy) - [ITAR — 国際武器取引規則](#-itar--international-traffic-in-arms-regulations) - [LGPD — ブラジル一般データ保護法](#-lgpd--brazils-general-data-protection-law) - [CSRD — EU企業サステナビリティ報告指令](#-csrd--eu-corporate-sustainability-reporting-directive) - [CIS Controls v8 — CIS Top 18サイバーハイジーン](#-cis-controls-v8--cis-top-18-cyber-hygiene) - [EAR — 輸出管理規則](#-ear--export-administration-regulations) - [NIST SP 800-53 — 連邦システムのセキュリティおよびプライバシー管理策](#-nist-sp-800-53--security-and-privacy-controls-for-federal-systems) - [EU AI法 — 規則(EU) 2024/1689](#-eu-ai-act--regulation-eu-20241689) - [Section 508 — 米国連邦ICTアクセシビリティ](#-section-508--us-federal-ict-accessibility) - [WCAG — ウェブコンテンツアクセシビリティガイドライン](#-wcag--web-content-accessibility-guidelines) - [NZISM — ニュージーランド情報セキュリティマニュアル](#-nzism--new-zealand-information-security-manual) - [ベトナムPDPL — 個人データ保護法](#-vietnam-pdpl--law-on-personal-data-protection) - [EU CRA — サイバーレジリエンス法](#-eu-cra--cyber-resilience-act) - [サウジアラビアGRC — 国別コンプライアンスアドバイザー](#-saudi-arabia-grc--country-compliance-advisor) - [UAE GRC — 国別コンプライアンスアドバイザー](#-uae-grc--country-compliance-advisor) - [TISAX — 信頼された情報セキュリティ評価交換](#-tisax--trusted-information-security-assessment-exchange) - [TPRM — サードパーティリスク管理](#-tprm--third-party-risk-management) - [Cyber Essentials / CE Plus — UKベースライン認証](#-cyber-essentials--ce-plus--uk-baseline-certification) - [SOX ITGC — SOX 404向けIT全般統制](#-sox-itgc--it-general-controls-for-sox-404) - [想定されるユースケース](#potential-use-cases) - [Skillのインストール方法](#how-to-install-a-skill) - [Claude Code Marketplace経由でのインストール](#install-via-claude-code-marketplace) - [Skill評価](#skill-evaluation) - [お客様の声](#customer-testimonials) - [サポート](#support) - [作者](#author) - [免責事項](#disclaimer) --- ## Claude Skillsとは? Claude Skillsは、特定のドメインにおけるClaudeの能力を拡張するインストール可能なナレッジパッケージです。Skillは`.skill`ファイル — `SKILL.md`命令ファイルと任意の参照資料を含むバンドルアーカイブ — であり、一度Claudeにアップロードすればすべての会話で使用できます。 インストールすると、会話がそのトピック領域に触れたときにSkillが**自動的に**有効化されます。名前で呼び出したり特別なコマンドを使ったりする必要はありません。セッション中、Claudeはそのドメインのより深い専門家になるだけです。 **Skillsが理想的に機能するのは、次のような場合です:** - 専門的なトピックについて一貫した専門家レベルの回答が必要なとき - 専門的または規制上の基準に沿った形式の出力(例:監査対応可能な統制ナラティブ、適切な条項を含むポリシーテンプレート) - 一般的なLLMトレーニングを超えるドメイン知識 — 例えば、特定のシナリオに適用されるNIST 800-53統制はどれか、国際データ移転を規定するGDPR条項はどれかといった知識 **Skillsの仕組み:** 各`.skill`ファイルには、SkillがトリガーされたときにClaudeのコンテキストにロードされる主要な`SKILL.md`と、より深いサブトピックのためにオンデマンドでロードされる参照ファイルが含まれています。この「段階的開示」パターンにより、コンテキスト使用量を効率的に保ちながら、必要なときに包括的な知識を利用可能にします。 <div style="position:relative;padding-bottom:56.25%;height:0;overflow:hidden;max-width:100%;"> <iframe width="560" height="315" src="https://www.youtube-nocookie.com/embed/-IBLNR0N2vE" title="Claude Skills for GRC Demo" frameborder="0" allow="accelerometer; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen loading="lazy" sandbox="allow-scripts allow-same-origin"></iframe> </div> --- ## 対象読者 これらのSkillsは、情報セキュリティ、プライバシー、および規制コンプライアンスに携わる専門家 — 認証を目指す組織、準拠システムを構築する開発チーム、クライアントを支援するアドバイザー — のために設計されています。 **セキュリティ&コンプライアンスチーム**は、これらのSkillsを使ってギャップ評価を加速し、ポリシーの初稿を生成し、統制をマッピングし、証拠パッケージを準備します — 数週間分の参照作業を数分に圧縮します。 **ソフトウェア開発者&エンジニア**は、自社システムが実装すべき統制を理解し、コンプライアンス問題についてコードとアーキテクチャを監査し、特定の規制要件に紐づいた実行可能な技術ガイダンスを得るために使用します。 **法務、プライバシー&GRCの専門家**は、規制文書(DPA、BAA、プライバシー通知)の草案作成、正確な規制引用を伴うクライアントの質問への回答、フレームワーク要件の最新情報の把握に使用します。 **医療機関**は、HIPAA Skillを使ってシステムを評価し、必要な通知と契約を生成し、スタッフに義務を教育します — あらゆる質問にコンプライアンスコンサルタントを必要とせずに。 **クラウドサービスプロバイダー**は、連邦政府契約を目指す際にFedRAMP Skillを使ってATOプロセスを進め、SSPナラティブを作成し、POA&Mを管理し、3PAO評価に備えます。 **スタートアップとSMB**は、これらのSkillsを使って特定のフレームワークが自社に何を要求するかを理解し、コンプライアンスプログラムの範囲を定め、大規模な社内チームなしで専門家品質の出力を得ます。 --- ## Skills一覧 <a id="-iso-27001"></a> ### 1. <img src="https://assets.kitploit.com/production/public/readmes/13360/1b8e916266811181ecf8f041e2b8125f8ada099ad5879a2426c790712b9320af.jpg" alt="ISO 27001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27001 **ファイル:** `ISO 27001 - Claude Skill/iso27001.skill` ISO 27001 Skillは、Claudeを専門のISO 27001主任監査員およびISMS実装コンサルタントに変えます。**ISO 27001:2013**(114統制、14ドメイン)と**ISO 27001:2022**(93統制、4テーマ)の両方をカバーし、デフォルトでは現在の2022年版を使用します。 **できること:** - 必須条項(4〜10)およびすべてのAnnex A統制に対する構造化された**ギャップ分析**を実行 - 文書管理ブロック、スコープ記述、条項と統制のマッピングを含む、完全で監査対応可能な**ポリシー文書**を生成 - 任意のAnnex A統制に対するステップバイステップの**統制実装ガイダンス**を提供 - 発生可能性×影響度の方法論を用いた**リスク登録簿**と**リスク対応計画**を構築 - 全93統制をカバーする**適用宣言書(SoA)**テンプレートを作成 - **2013→2022移行**をガイドし、11の新規統制とマッピング変更を説明 **トリガーフレーズ:** `ISO 27001`、`ISMS`、`Annex A`、`Statement of Applicability`、`SoA`、`gap analysis`、`risk register`、`certification readiness`、`internal audit` --- <a id="-soc-2"></a> ### 2. <img src="https://assets.kitploit.com/production/public/readmes/13360/83496193c7dd515316dc418567519579495687aff85d44542bde7b8cc358a6a1.jpg" alt="SOC 2" height="20" style="vertical-align:middle;object-fit:contain;"> SOC 2 **ファイル:** `SOC 2 - Claude Skill/soc2.skill` SOC 2 Skillは、Claudeを**AICPA 2017 Trust Services Criteria(TSC)および2022 Revised Points of Focus**に基づく専門のSOC 2コンプライアンスアドバイザーに変えます。5つのTSCすべてをカバーします:セキュリティ(CC1〜CC9)、可用性(A1)、機密性(C1)、処理の完全性(PI1)、プライバシー(P1〜P8)。 **できること:** - 対象範囲のTSC基準にわたる**ギャップ分析**を🔴/🟡/🟢のステータス評価と是正ロードマップ付きで実施 - **12の中核SOC 2ポリシー**すべて(情報セキュリティ、アクセス制御、インシデント対応、変更管理、リスク評価、ベンダー管理、BCP/DRなど)を起草 - **統制**を監査対応形式で文書化:統制ID、TSC基準、タイプ、オーナー、頻度、証拠、テスト手順 - 各基準にマッピングされた**証拠チェックリスト**を作成し、Type 1対Type 2監査のサンプリングガイダンスを提供 - **ベンダーリスク**を処理:階層化、32問のセキュリティ質問票、SOC 2レポートレビュー、CUECトラッキング、契約要件 - トーンを適応 — 初めてSOC 2に取り組むチームには平易な言葉、実務家や監査人にはAICPAコード付きの技術的出力 **トリガーフレーズ:** `SOC 2`、`Trust Services Criteria`、`TSC`、`CC6`、`Type 1`、`Type 2`、`AICPA`、`audit readiness`、`control statement`、`evidence` --- <a id="-fedramp"></a> ### 3. <img src="https://raw.githubusercontent.com/sushegaad/claude-skills-governance-risk-and-compliance/HEAD/assets/Logos/fedramp.svg" alt="FedRAMP" height="20" style="vertical-align:middle;object-fit:contain;"> FedRAMP [米国] **ファイル:** `FedRamp - Claude Skill/fedramp.skill` FedRAMP Skillは、Claudeを**NIST SP 800-53 Rev 5**および新しい**CR26(FedRAMP Consolidated Rules for 2026)**フレームワークの下で、クラウドサービスプロバイダー(CSP)の認可ライフサイクル全体をカバーする知識豊富なFedRAMPアドバイザーに変えます。2026年8月時点で最新 — CR26は最終版(2027年1月1日必須)で、認証クラスA〜D(A=パイロット/移行、B=LI-SaaS/Low、C=Moderate、D=High)、クラスパイプラインは2026年8月に開始、FedRAMP 20xが主要経路、Readyは2026年7月28日に廃止(レガシーFedRAMP Ready)、新規認可には2026年9月30日のOSCAL義務化。 **できること:** - 75項目以上のチェックリストを用いた**準備状況およびギャップ評価**を実施し、CR26認証クラス(A/B/C/D)にマッピング - **ATO文書**の作成をガイド:システムセキュリティプラン(SSP)、POA&M(正しいSLA:Critical=15日、High=30日、Moderate=90日、Low=365日)、SAP、SAR、およびすべての付録(A〜Q) - 全20の統制ファミリーにわたる**NIST 800-53 Rev 5統制のマッピング**を実施;FedRAMP 20x継続的認可アプローチについて助言 - AWS GovCloud、Azure Government、Google Cloud Government向けの**クラウドアーキテクチャガイダンス**を提供 - **継続的モニタリング(ConMon)**義務をサポート:月次成果物、POA&M SLA管理、逸脱申請 - 2026年9月30日の必須提出期限に向けた**OSCAL準備**について助言 **トリガーフレーズ:** `FedRAMP`、`ATO`、`SSP`、`POA&M`、`3PAO`、`NIST 800-53`、`ConMon`、`AWS GovCloud`、`Azure Government`、`CR26`、`FedRAMP 20x`、`OSCAL`、`Certification Class` --- <a id="-gdpr"></a> ### 4. 🇪🇺 GDPR [EU] **ファイル:** `GDPR - Claude Skill/gdpr-compliance.skill` GDPR Skillは、Claudeを技術的視点と法的視点を橋渡しする専門のGDPRコンプライアンスアシスタントに変えます。**EU GDPR**規則全体をカバーし、規則が異なる箇所については**UK GDPR(DPA 2018)**に関する注記を付け、トーンを自動的に適応させます — 開発者には技術的に、コンプライアンスおよびプライバシー専門家には法的に正確に。 **できること:** - **コード、API、データベーススキーマ、アーキテクチャを監査**してGDPR違反を検出し、特定のGDPR条項にマッピングされた重大度評価付きの所見(🔴/🟡/🟢)を生成 - 組み込みテンプレートから**コンプライアンス文書を起草**:プライバシー通知(第13/14条)、データ処理契約(第28条)、Cookie/同意バナー、DPIA(第35条)、データ保持ポリシー、データ主体の権利手続き - 権威ある条項引用を伴って**コンプライアンスの質問に回答** — すべての回答は適用される条項を先頭に示し、次に例外、次に実務的影響を述べる - 6つの次元(何を、なぜ、どこで、誰が、どのくらいの期間、どのように保護するか)にわたって**データフローとPIIの取り扱いをレビュー**し、RoPA要件との整合性を確認 - GDPRのすべての主要領域をカバー:適法性の根拠、同意、データ主体の権利(第15〜22条)、国際移転(第44〜49条)、侵害対応(第32〜34条)、特別カテゴリーデータ(第9〜10条)、罰則(第77〜84条) **トリガーフレーズ:** `GDPR`、`data protection`、`privacy`、`personal data`、`DPA`、`DPIA`、`lawful basis`、`data subject rights`、`consent`、`RoPA`、`Schrems II`、`ICO`、`EDPB` --- <a id="-hipaa"></a> ### 5. <img src="https://assets.kitploit.com/production/public/readmes/13360/1f1742cb6d5aac9160ceff87d2649d8946b0fb1e5657fc893991c5bea33b0e39.png" alt="HIPAA" height="20" style="vertical-align:middle;object-fit:contain;"> HIPAA [米国] **ファイル:** `HIPAA - Claude Skill/hipaa-compliance.skill` HIPAA Skillは、Claudeを**プライバシールール、セキュリティルール、侵害通知ルール**(45 CFR Parts 160および164、HITECHにより改正)をカバーする知識豊富なHIPAAコンプライアンスアドバイザーに変えます。ePHIを扱うシステムを構築する技術チームと、組織の義務を管理するコンプライアンス/法務チームの両方に役立ちます。 **できること:** - **文書、システム、アーキテクチャをレビュー**してHIPAAコンプライアンスを確認し、CFR引用、リスクレベル(High / Medium / Low)、是正手順を含む構造化された所見を生成 - 9つのすぐに使えるテンプレートから**HIPAA準拠文書を生成**:プライバシー慣行通知(NPP)、業務提携契約(BAA)、認可フォーム、従業員トレーニング確認書、セキュリティインシデントレポート、リスク分析テンプレートなど — すべてにインラインのCFR引用付き - 現代のクラウド環境(AWS、Azure、GCP)、FHIR API、モバイル/BYOD、DevOpsパイプライン向けの**技術的保護措置**について助言 — 全54のセキュリティルール実装仕様(RequiredおよびAddressable)をカバー - あらゆる対象者に**HIPAAを平易な言葉で説明** — 暗号化ガイダンスを必要とする開発者から、何がPHIに該当するかを学ぶ一般スタッフまで - 4要素リスク評価、通知タイムライン、HHS報告義務、シナリオ別ガイダンスを用いて**侵害対応**をガイド **トリガーフレーズ:** `HIPAA`、`PHI`、`ePHI`、`covered entity`、`business associate`、`BAA`、`NPP`、`breach notification`、`minimum necessary`、`Privacy Rule`、`Security Rule` --- <a id="-nist-csf"></a> ### 6. <img src="https://assets.kitploit.com/production/public/readmes/13360/fba4d5c506ea7fcdc93306f04418b0eaf2a7dc0b8ba9e77ac0164e657dc7aaff.jpg" alt="NIST CSF" height="20" style="vertical-align:middle;object-fit:contain;"> NIST CSF **ファイル:** `NIST Cybersecurity framework - Claude Skill/NIST Cybersecurity.skill` NIST CSF Skillは、Claudeを**CSF 2.0**(2024年2月)と**CSF 1.1**(2018年4月)の両方をカバーする専門のNISTサイバーセキュリティフレームワークアドバイザーに変え、デフォルトでは現在のCSF 2.0を使用します。6つの機能すべて — **Govern、Identify、Protect、Detect、Respond、Recover** — をカバーし、CSF 2.0で導入された新しいGovern機能を含みます。 **できること:** - 6つのCSF 2.0機能、カテゴリー、サブカテゴリーすべてにわたる構造化された**ギャップ評価**を実施 - ビジネスコンテキスト、リスク許容度、規制義務に整合した**組織プロファイル** — 現状と目標 — を構築 - 3つの次元にわたって**実装ティア**(1〜4)を評価し、的を絞った向上ガイダンスを提供 - 段階的な30/60/90日および戦略的アクションを含む**優先順位付き実装ロードマップ**を作成 - **CSFサブカテゴリーを**NIST SP 800-53、ISO 27001:2022、CIS Controls v8に**マッピング** - **CSF機能に整合したポリシー**を生成 — ガバナンスポリシー、インシデント対応、データセキュリティ、アクセス制御など - 詳細なサブカテゴリーマッピングと移行チェックリストを用いて**CSF 1.1→CSF 2.0移行**をガイド **トリガーフレーズ:** `NIST CSF`、`Cybersecurity Framework`、`CSF 2.0`、`Govern function`、`GV.SC`、`ID.AM`、`PR.AA`、`DE.CM`、`RS.MA`、`RC.RP`、`cybersecurity profile`、`implementation tiers`、`CSF gap assessment` --- <a id="-pci-dss"></a> ### 7. <img src="https://assets.kitploit.com/production/public/readmes/13360/9651b451d683651828153371df9dd17bf1a54db3a375de14d65d714ee6e5814a.png" alt="PCI DSS" height="20" style="vertical-align:middle;object-fit:contain;"> PCI DSS **ファイル:** `PCI Compliance - Claude Skill/PCI-Compliance.skill` PCI DSS Skillは、Claudeを**PCI DSS v4.0.1**(2024年6月 — 現行版)をカバーする専門のPCI DSSコンプライアンスアドバイザーに変えます。2025年3月31日に必須となったすべての要件を含みます。12の要件すべて、8つのSAQタイプすべて、加盟店およびサービスプロバイダーのレベル、v3.2.1からの主要なv4.0変更をカバーします。 **できること:** - **カード会員データ環境(CDE)のスコープを設定** — 対象範囲を特定し、ネットワークセグメンテーションを評価し、トークン化またはP2PEによるスコープ削減を推奨 - **正しいSAQタイプを選択** — SAQ A、A-EP、B、B-IP、C、C-VT、P2PE、Dの決定ツリーを根拠とともに案内 - 12の要件すべてにわたる構造化された**ギャップ評価**をQSA証拠要件と一般的なギャップ付きで実施 - 任意のPCI DSSサブ要件に対する**統制実装ガイダンス**を提供 — 何を実装するか、必要な証拠、よくある落とし穴 - **PCI DSS準拠ポリシー**を生成 — インシデント対応、アクセス制御、暗号化、パッチ管理、データ保持など - **v3.2.1→v4.0.1移行**をガイド。MFA拡張、決済ページスクリプトの完全性(Req 6.4.3)、フィッシング対策(Req 5.4.1)、自動ログレビュー(Req 10.4.1.1)の新要件を含む - **Defined vs Customised Approach**と、ターゲットリスク分析(TRA)をいつ使用するかを説明 **トリガーフレーズ:** `PCI DSS`、`PCI compliance`、`cardholder data`、`CDE`、`SAQ`、`ROC`、`QSA`、`ASV scan`、`PAN`、`tokenisation`、`P2PE`、`merchant level`、`payment page`、`Req 8.4.2`、`Req 6.4.3` --- <a id="-tsa-cybersecurity"></a> ### 8. 🚨 TSAサイバーセキュリティ [米国] **ファイル:** `TSA Compliance - Claude Skill/TSA-Compliance.skill` TSAサイバーセキュリティスキルは、Claudeを**重要輸送インフラ**向けのTSAサイバーセキュリティ指令の専門アドバイザーに変えます。対象は現在のTSA Security Directiveシリーズすべて — **SD Pipeline-2021-01G**、**SD Pipeline-2021-02F**、**SD 1580-21-01E**（貨物鉄道）、**SD 1582-21-01E**（都市交通／旅客鉄道）— に加え、これらの指令を恒久的な連邦規則として正式化することを提案する**2024年11月のNPRM**を網羅します。 > **SSIに関する注記:** TSA Security Directiveは、49 CFR Part 1520に基づき**Sensitive Security Information（SSI）**に分類されます。本スキルは、公開されている概要、Federal Registerの通知、DHS/CISAの刊行物から構築されており、機密扱いの指令全文ではありません。対象事業者はTSAから直接、実際の指令を受領します。 **できること:** - **適用可否を判定** — どの指令シリーズが自組織（パイプライン、貨物鉄道、都市交通、またはバス）に適用されるか、およびそれがコンプライアンス義務にとって何を意味するかを特定 - 4つの技術領域（IT/OTネットワークセグメンテーション、アクセス制御（MFA）、継続的モニタリング、パッチ管理）にわたる構造化された**ギャップ評価**を実施 - **Cyber Risk Management Program（CRMP）文書の草案作成**: Cybersecurity Implementation Plan（CIP/COIP）、Incident Response Plan（IRP）、Architecture Design Review（ADR）、Cybersecurity Assessment Plan（CAP） - **OT/ICS固有の実装**をガイド — データダイオード、レガシーHMI向けジャンプサーバー、パッシブモニタリングツール（Claroty、Dragos、Nozomi）、ベンダー調整を伴うOTパッチライフサイクル - **24時間以内のCISAインシデント報告**義務を説明: 対象となる事象、報告方法、初報の文例、CIRCIAとの重複 - **年次のIRPテスト**について助言 — 最低2つの目的、テストシナリオ、文書化要件、事後レビュープロセス - **2024年NPRM**の影響を説明: NIST CSF 2.0への整合、CISA CPGベースライン、提案されたCOIP構造、規則が最終化された際に何が変わるか **トリガーフレーズ:** `TSA Security Directive`、`SD Pipeline-2021`、`SD 1580-21-01`、`SD 1582-21-01`、`TSA cybersecurity`、`Critical Cyber Systems`、`CCS`、`Cybersecurity Coordinator`、`Cybersecurity Implementation Plan`、`CIP`、`CRMP`、`IRP testing`、`Architecture Design Review`、`ADR`、`CAP`、`CISA 24-hour reporting`、`OT segmentation TSA`、`pipeline cybersecurity`、`rail cybersecurity directive`、`transit cybersecurity`、`TSA NPRM 2024` --- <a id="-iso-42001-ai-management-system"></a> ### 9. <img src="https://assets.kitploit.com/production/public/readmes/13360/94d64c693a5b55286e94f7b665a252f7981d797b4b7e7779f19ab215a3a3ee47.webp" alt="ISO 42001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 42001 AIマネジメントシステム **ファイル:** `ISO 42001 - Claude Skill/ISO-42001.skill` ISO 42001スキルは、Claudeを**ISO/IEC 42001:2023** AIマネジメントシステム（AIMS）の専門アドバイザーに変えます — AIガバナンスに関する世界初の国際規格です。**AIプロバイダー**（AIを開発または展開する組織）と**AIユーザー**（サードパーティAIを統合する組織）の両方に対応し、ギャップ評価からステージ2審査準備までの認証ライフサイクル全体をカバーします。 **できること:** - すべての必須箇条（4〜10）および全**38の附属書A管理策**（領域A.2〜A.10）にわたる構造化された**ギャップ評価**を🔴/🟡/🟢のステータス、証拠要件、段階的な是正ロードマップとともに実施 - 必須の**AI System Impact Assessment（AISIA）**をステップバイステップでガイド — 影響を受ける集団の特定、影響次元（重大性、可逆性、広範性、人的監督）の評価、影響レベルの分類（低／中／高）、および比例した管理策要件の決定 - すべてのリスクカテゴリにわたる**AIリスク評価**を実施: モデルリスク（バイアス、ドリフト、ハルシネーション、敵対的攻撃）、データリスク（品質、ポイズニング、学習データのプライバシー）、運用リスク（スコープクリープ、人間の過度な依存）、サプライチェーンリスク（サードパーティモデルリスク、API依存） - 全38の附属書A管理策（A.2.2〜A.10.4）を網羅する完全な**適用宣言書（SoA）**を、適用可否の判断、正当性、実装状況とともに生成 - すべての中核となる**AIMSポリシー**を草案作成 — AIポリシー、AIリスクマネジメントポリシー、AI利用規定、AIのためのデータガバナンスポリシー、AIインシデントマネジメントポリシー、AIシステムライフサイクルポリシー、AIサプライヤ管理ポリシー — それぞれ文書管理ブロックと箇条の引用付き - **ステージ1およびステージ2審査チェックリスト**をRAGステータス、箇条ごとの証拠要件、審査員がよく注目する領域とともに作成 - **ISO 42001をEU AI Actにマッピング** — AISIAを高リスクAIシステムのためのFundamental Rights Impact Assessment（FRIA）に整合させ、附属書A管理策をEU AI Actの技術要件にマッピング - 統合されたISMS + AIMSを構築する組織向けに**ISO 42001とISO 27001を統合** **トリガーフレーズ:** `ISO 42001`、`ISO/IEC 42001`、`AI Management System`、`AIMS`、`AISIA`、`AI System Impact Assessment`、`responsible AI standard`、`AI governance standard`、`Annex A AI controls`、`AI risk assessment ISO`、`Statement of Applicability AI`、`AI policy ISO`、`AI certification`、`AI lifecycle controls`、`AI supplier management ISO`、`EU AI Act management system`、`NIST AI RMF ISO mapping`、`AI bias controls`、`AI transparency standard`、`AI incident management ISO` --- <a id="-iso-27701-privacy-information-management"></a> ### 10. <img src="https://assets.kitploit.com/production/public/readmes/13360/b05ef92cf5653e4c65e5e6ff9b54aad12fa9ffd3cbf4c65c09e8324f6e5db463.png" alt="ISO 27701" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27701 プライバシー情報マネジメント **ファイル:** `ISO 27701 - Claude Skill/iso27701.skill` ISO 27701スキルは、Claudeを**ISO/IEC 27701:2025**プライバシー情報マネジメントシステム（PIMS）の専門アドバイザーに変えます — ギャップ評価から認証までのライフサイクル全体をカバーします。**ISO 27701:2025**（新しい独立版）と**ISO 27701:2019**（旧ISO 27001拡張版）の両方を扱い、**PII管理者**と**PII処理者**の両方に対応します。 **できること:** - すべての必須HLS箇条（4〜10）および全78の附属書A管理策にわたる構造化された**ギャップ分析**を実施 — PII管理者向け31（A.1）、PII処理者向け18（A.2）、共有セキュリティ管理策29（A.3） - 完全で審査対応可能な**PIMSポリシー文書**を生成 — プライバシーポリシー、処理活動の記録（RoPA）、データ主体の権利手続、プライバシーバイデザイン手続、データ処理契約（DPA）など - PII主体への危害に焦点を当てた**プライバシーリスク登録簿**を構築し、高リスク処理に対してDPIAを起動し、リスク対応計画を作成 - 組織の役割（管理者、処理者、またはその両方）に合わせた**適用宣言書（SoA）**を、適用可否の判断と正当性とともに作成 - すべてのA.1、A.2、A.3管理策について**管理策ごとの実装ガイダンス**を提供 — 目的、実装手順、審査証拠、よくある落とし穴を含む - **2019 → 2025への移行**を、完全な管理策マッピング表、ギャップ分析チェックリスト、2028年10月の期限までの推奨タイムラインとともにガイド - **ISO 27701をGDPRにマッピング** — 条文ごとに、さらにCCPA/CPRA、LGPD、PIPEDA、PDPA（シンガポール／タイ）、UK GDPRにも対応 --- [Read more](https://github.com/sushegaad/claude-skills-governance-risk-and-compliance)
