Habilidades Claude instaláveis que fornecem orientação de conformidade de nível especialista para mais de 30 frameworks, incluindo ISO 27001, SOC 2, FedRAMP, GDPR, HIPAA, NIST CSF, PCI DSS e EU AI Act. Inclui análise de lacunas, modelos de políticas e mapeamento de controles.
# Claude Skills para Governança, Risco e Conformidade (GRC) Orientação de conformidade de nível especializado para ISO 27001, SOC 2, FedRAMP, GDPR, HIPAA, NIST CSF, PCI DSS, TSA Cybersecurity, ISO 42001 AI Management System, ISO 27701 Privacy Information Management, DORA Digital Operational Resilience, Digital Personal Data Protection Act (DPDPA) da Índia, CMMC 2.0 Cybersecurity Maturity Model Certification, NIST AI Risk Management Framework, SWIFT Customer Security Programme (CSP), Australian Information Security Manual (ISM), Diretiva NIS2 da UE, CCPA/CPRA California Privacy, ITAR (International Traffic in Arms Regulations), LGPD do Brasil (Lei Geral de Proteção de Dados), CSRD da UE (Corporate Sustainability Reporting Directive), CIS Controls v8 (CIS Top 18), EAR (Export Administration Regulations), NIST SP 800-53 (Security and Privacy Controls for Federal Systems), EU AI Act (Regulamento (UE) 2024/1689), Section 508 (Acessibilidade TIC Federal dos EUA), WCAG (Web Content Accessibility Guidelines), NZISM (New Zealand Information Security Manual), Vietnam PDPL (Lei de Proteção de Dados Pessoais nº 91/2025/QH15), EU CRA (Cyber Resilience Act, Regulamento (UE) 2024/2847), GRC da Arábia Saudita (NCA ECC, Saudi PDPL, SAMA, CST), GRC dos EAU (Federal PDPL, DIFC, ADGM, CBUAE, ICT Health Law), TISAX (VDA ISA / segurança de fornecedores automotivos ENX), TPRM (risco de terceiros/fornecedores), UK Cyber Essentials e SOX ITGC — com tecnologia Claude Skills. **Atualizado Mensalmente.** Avaliado em 180 casos de teste usando o framework de avaliação — cada um classificado com base em pelo menos 5 asserções verificáveis por agentes independentes (902 asserções no total). As Skills pontuaram **89%** contra uma linha de base de **55%**. [](../../releases/tag/v2.1.0) [](LICENSE) [](#the-skills) [](https://claude.ai) [](https://github.com/Sushegaad/Claude-Skills-Governance-Risk-and-Compliance) --- ## Índice - [O que são Claude Skills?](#what-are-claude-skills) - [Para quem é isto?](#who-is-this-for) - [As Skills](#the-skills) - [ISO 27001](#-iso-27001) - [SOC 2](#-soc-2) - [FedRAMP](#-fedramp) - [GDPR](#-gdpr) - [HIPAA](#-hipaa) - [NIST CSF](#-nist-csf) - [PCI DSS](#-pci-dss) - [TSA Cybersecurity](#-tsa-cybersecurity) - [ISO 42001 AI Management System](#-iso-42001-ai-management-system) - [ISO 27701 Privacy Information Management](#-iso-27701-privacy-information-management) - [DORA Digital Operational Resilience](#-dora-digital-operational-resilience) - [DPDPA India Digital Personal Data Protection](#-dpdpa-india-digital-personal-data-protection) - [CMMC 2.0 Cybersecurity Maturity Model Certification](#-cmmc-20-cybersecurity-maturity-model-certification) - [NIST AI Risk Management Framework](#-nist-ai-risk-management-framework) - [SWIFT Customer Security Programme (CSP)](#-swift-customer-security-programme-csp) - [Australian Information Security Manual (ISM)](#-australian-information-security-manual-ism) - [Diretiva NIS2 da UE](#-eu-nis2-directive) - [CCPA/CPRA California Privacy](#-ccpacpra-california-privacy) - [ITAR — International Traffic in Arms Regulations](#-itar--international-traffic-in-arms-regulations) - [LGPD — Lei Geral de Proteção de Dados do Brasil](#-lgpd--brazils-general-data-protection-law) - [CSRD — Diretiva de Relatórios de Sustentabilidade Corporativa da UE](#-csrd--eu-corporate-sustainability-reporting-directive) - [CIS Controls v8 — CIS Top 18 Cyber Hygiene](#-cis-controls-v8--cis-top-18-cyber-hygiene) - [EAR — Export Administration Regulations](#-ear--export-administration-regulations) - [NIST SP 800-53 — Security and Privacy Controls for Federal Systems](#-nist-sp-800-53--security-and-privacy-controls-for-federal-systems) - [EU AI Act — Regulamento (UE) 2024/1689](#-eu-ai-act--regulation-eu-20241689) - [Section 508 — Acessibilidade TIC Federal dos EUA](#-section-508--us-federal-ict-accessibility) - [WCAG — Web Content Accessibility Guidelines](#-wcag--web-content-accessibility-guidelines) - [NZISM — New Zealand Information Security Manual](#-nzism--new-zealand-information-security-manual) - [Vietnam PDPL — Lei de Proteção de Dados Pessoais](#-vietnam-pdpl--law-on-personal-data-protection) - [EU CRA — Cyber Resilience Act](#-eu-cra--cyber-resilience-act) - [GRC da Arábia Saudita — Consultor de Conformidade Nacional](#-saudi-arabia-grc--country-compliance-advisor) - [GRC dos EAU — Consultor de Conformidade Nacional](#-uae-grc--country-compliance-advisor) - [TISAX — Trusted Information Security Assessment Exchange](#-tisax--trusted-information-security-assessment-exchange) - [TPRM — Gestão de Risco de Terceiros](#-tprm--third-party-risk-management) - [Cyber Essentials / CE Plus — Certificação de Base do Reino Unido](#-cyber-essentials--ce-plus--uk-baseline-certification) - [SOX ITGC — Controles Gerais de TI para SOX 404](#-sox-itgc--it-general-controls-for-sox-404) - [Casos de Uso Potenciais](#potential-use-cases) - [Como Instalar uma Skill](#how-to-install-a-skill) - [Instalar via Claude Code Marketplace](#install-via-claude-code-marketplace) - [Avaliação de Skills](#skill-evaluation) - [Depoimentos de Clientes](#customer-testimonials) - [Suporte](#support) - [Autor](#author) - [Aviso Legal](#disclaimer) --- ## O que são Claude Skills? Claude Skills são pacotes de conhecimento instaláveis que ampliam as capacidades do Claude para domínios específicos. Uma skill é um arquivo `.skill` — um arquivo compactado que contém um arquivo de instruções `SKILL.md` e materiais de referência opcionais — que você carrega no Claude uma vez e usa em todas as suas conversas. Uma vez instalada, uma skill é ativada **automaticamente** quando sua conversa aborda sua área temática. Você não precisa invocá-la pelo nome nem usar comandos especiais. O Claude simplesmente se torna um especialista mais aprofundado naquele domínio durante sua sessão. **Skills são ideais quando você precisa de:** - Respostas consistentes e de nível especializado sobre um tópico especializado - Resultados formatados segundo padrões profissionais ou regulatórios (por exemplo, narrativas de controles prontas para auditoria, modelos de políticas com as cláusulas corretas) - Conhecimento de domínio que vai além do treinamento geral de LLM — como saber quais controles específicos do NIST 800-53 se aplicam a um determinado cenário, ou quais artigos do GDPR regem transferências internacionais de dados **Como as skills funcionam nos bastidores:** Cada arquivo `.skill` contém um `SKILL.md` principal que é carregado no contexto do Claude quando a skill é acionada, além de arquivos de referência que são carregados sob demanda para subtópicos mais aprofundados. Esse padrão de "divulgação progressiva" mantém o uso do contexto eficiente, ao mesmo tempo que disponibiliza conhecimento abrangente quando necessário. <div style="position:relative;padding-bottom:56.25%;height:0;overflow:hidden;max-width:100%;"> <iframe width="560" height="315" src="https://www.youtube-nocookie.com/embed/-IBLNR0N2vE" title="Claude Skills for GRC Demo" frameborder="0" allow="accelerometer; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen loading="lazy" sandbox="allow-scripts allow-same-origin"></iframe> </div> --- ## Para quem é isto? Estas skills são projetadas para profissionais que trabalham com segurança da informação, privacidade e conformidade regulatória — seja em organizações que buscam certificação, equipes de desenvolvimento que constroem sistemas em conformidade, ou consultores que apoiam clientes. **Equipes de Segurança e Conformidade** usam estas skills para acelerar avaliações de lacunas, gerar primeiras versões de políticas, mapear controles e preparar pacotes de evidências — comprimindo semanas de trabalho de referência em minutos. **Desenvolvedores de Software e Engenheiros** usam-nas para entender quais controles seus sistemas devem implementar, auditar código e arquitetura em busca de problemas de conformidade e obter orientação técnica acionável vinculada a requisitos regulatórios específicos. **Profissionais de Jurídico, Privacidade e GRC** usam-nas para redigir documentos regulatórios (DPAs, BAAs, avisos de privacidade), responder a perguntas de clientes com citações regulatórias precisas e manter-se atualizados sobre os requisitos dos frameworks. **Organizações de Saúde** usam a skill HIPAA para avaliar sistemas, gerar avisos e acordos exigidos e treinar a equipe sobre obrigações — sem precisar de um consultor de conformidade para cada pergunta. **Provedores de Serviços em Nuvem** que buscam contratos com o governo federal usam a skill FedRAMP para navegar pelo processo de ATO, escrever narrativas de SSP, gerenciar POA&Ms e se preparar para avaliações 3PAO. **Startups e PMEs** usam estas skills para entender o que um determinado framework exige delas, delimitar seus programas de conformidade e obter resultados com qualidade especializada sem uma grande equipe interna. --- ## As Skills <a id="-iso-27001"></a> ### 1. <img src="https://assets.kitploit.com/production/public/readmes/13360/1b8e916266811181ecf8f041e2b8125f8ada099ad5879a2426c790712b9320af.jpg" alt="ISO 27001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27001 **Arquivo:** `ISO 27001 - Claude Skill/iso27001.skill` A skill ISO 27001 transforma o Claude em um especialista em ISO 27001 Lead Auditor e consultor de implementação de SGSI. Ela abrange tanto a **ISO 27001:2013** (114 controles, 14 domínios) quanto a **ISO 27001:2022** (93 controles, 4 temas), com padrão na versão atual de 2022. **O que ela faz:** - Executa **análises de lacunas** estruturadas em relação às cláusulas obrigatórias (4–10) e todos os controles do Anexo A - Gera **documentos de política** completos e prontos para auditoria, com blocos de controle de documentos, declarações de escopo e mapeamentos de cláusulas para controles - Fornece **orientação passo a passo para implementação de controles** para qualquer controle do Anexo A - Constrói **registros de riscos** e **planos de tratamento de riscos** usando a metodologia de probabilidade × impacto - Cria modelos de **Declaração de Aplicabilidade (SoA)** cobrindo todos os 93 controles - Orienta a **transição de 2013 → 2022**, explicando os 11 novos controles e as mudanças de mapeamento **Frases de acionamento:** `ISO 27001`, `ISMS`, `Annex A`, `Statement of Applicability`, `SoA`, `gap analysis`, `risk register`, `certification readiness`, `internal audit` --- <a id="-soc-2"></a> ### 2. <img src="https://assets.kitploit.com/production/public/readmes/13360/83496193c7dd515316dc418567519579495687aff85d44542bde7b8cc358a6a1.jpg" alt="SOC 2" height="20" style="vertical-align:middle;object-fit:contain;"> SOC 2 **Arquivo:** `SOC 2 - Claude Skill/soc2.skill` A skill SOC 2 transforma o Claude em um consultor especialista em conformidade SOC 2, fundamentado nos **AICPA 2017 Trust Services Criteria (TSC) com os Pontos de Foco Revisados de 2022**. Ela abrange todos os cinco TSC: Segurança (CC1–CC9), Disponibilidade (A1), Confidencialidade (C1), Integridade de Processamento (PI1) e Privacidade (P1–P8). **O que ela faz:** - Realiza **análises de lacunas** em todos os critérios TSC no escopo, com classificações de status 🔴/🟡/🟢 e roteiros de remediação - Redige todas as **12 políticas centrais do SOC 2** (Segurança da Informação, Controle de Acesso, Resposta a Incidentes, Gestão de Mudanças, Avaliação de Riscos, Gestão de Fornecedores, BCP/DR e mais) - Documenta **controles** em formato pronto para auditoria: ID do Controle, critério TSC, tipo, responsável, frequência, evidência e procedimento de teste - Produz **listas de verificação de evidências** mapeadas para cada critério, com orientação de amostragem para auditorias Tipo 1 vs Tipo 2 - Lida com **risco de fornecedores**: classificação por níveis, questionários de segurança de 32 perguntas, revisão de relatórios SOC 2, rastreamento de CUEC e requisitos contratuais - Adapta seu tom — linguagem simples para equipes que fazem SOC 2 pela primeira vez, resultados técnicos codificados pela AICPA para profissionais e auditores **Frases de acionamento:** `SOC 2`, `Trust Services Criteria`, `TSC`, `CC6`, `Type 1`, `Type 2`, `AICPA`, `audit readiness`, `control statement`, `evidence` --- <a id="-fedramp"></a> ### 3. <img src="https://raw.githubusercontent.com/sushegaad/claude-skills-governance-risk-and-compliance/HEAD/assets/Logos/fedramp.svg" alt="FedRAMP" height="20" style="vertical-align:middle;object-fit:contain;"> FedRAMP [EUA] **Arquivo:** `FedRamp - Claude Skill/fedramp.skill` A skill FedRAMP transforma o Claude em um consultor experiente em FedRAMP, cobrindo todo o ciclo de vida de autorização para Provedores de Serviços em Nuvem (CSPs) sob o **NIST SP 800-53 Rev 5** e o novo framework **CR26 (FedRAMP Consolidated Rules for 2026)**. Atualizada em agosto de 2026 — o CR26 está final (obrigatório em 1º de janeiro de 2027) com Classes de Certificação A–D (A = piloto/transicional, B = LI-SaaS/Baixo, C = Moderado, D = Alto), pipelines de Classe abrindo em agosto de 2026, FedRAMP 20x como via principal, Ready descontinuado em 28 de julho de 2026 (Legacy FedRAMP Ready) e o mandato OSCAL de 30 de setembro de 2026 para novas autorizações. **O que ela faz:** - Realiza **avaliações de prontidão e lacunas** usando uma lista de verificação com mais de 75 itens, mapeada para as Classes de Certificação CR26 (A/B/C/D) - Orienta a elaboração de **documentação de ATO**: System Security Plans (SSP), POA&Ms (com SLAs corretos: Crítico=15d, Alto=30d, Moderado=90d, Baixo=365d), SAPs, SARs e todos os apêndices (A–Q) - **Mapeia controles do NIST 800-53 Rev 5** em todas as 20 famílias de controles; orienta sobre a abordagem de autorização contínua do FedRAMP 20x - Fornece **orientação de arquitetura em nuvem** para AWS GovCloud, Azure Government e Google Cloud Government - Apoia as obrigações de **Monitoramento Contínuo (ConMon)**: entregáveis mensais, gestão de SLA de POA&M, solicitações de desvio - Orienta sobre **prontidão OSCAL** para o prazo obrigatório de envio de 30 de setembro de 2026 **Frases de acionamento:** `FedRAMP`, `ATO`, `SSP`, `POA&M`, `3PAO`, `NIST 800-53`, `ConMon`, `AWS GovCloud`, `Azure Government`, `CR26`, `FedRAMP 20x`, `OSCAL`, `Certification Class` --- <a id="-gdpr"></a> ### 4. 🇪🇺 GDPR [UE] **Arquivo:** `GDPR - Claude Skill/gdpr-compliance.skill` A skill GDPR transforma o Claude em um assistente especialista em conformidade com o GDPR que faz a ponte entre perspectivas técnicas e jurídicas. Ela abrange o regulamento completo do **EU GDPR**, com notas sobre o **UK GDPR (DPA 2018)** onde as regras diferem, e adapta seu tom automaticamente — técnico para desenvolvedores, juridicamente preciso para profissionais de conformidade e privacidade. **O que ela faz:** - **Audita código, APIs, esquemas de banco de dados e arquiteturas** em busca de violações do GDPR, produzindo constatações classificadas por gravidade (🔴/🟡/🟢) mapeadas para artigos específicos do GDPR - **Redige documentos de conformidade** a partir de modelos integrados: Avisos de Privacidade (Art. 13/14), Acordos de Processamento de Dados (Art. 28), Banners de Cookies/Consentimento, DPIAs (Art. 35), Políticas de Retenção de Dados e Procedimentos de Direitos dos Titulares de Dados - **Responde a perguntas de conformidade** com citações autoritativas de artigos — cada resposta começa pelo artigo aplicável, depois exceções e, em seguida, implicações práticas - **Revisa fluxos de dados e tratamento de PII** em seis dimensões (o quê, por quê, onde, quem, por quanto tempo, como protegido) e verifica o alinhamento com os requisitos de RoPA - Abrange todas as áreas-chave do GDPR: base legal, consentimento, direitos dos titulares de dados (Arts. 15–22), transferências internacionais (Arts. 44–49), resposta a violações (Arts. 32–34), dados de categoria especial (Arts. 9–10) e penalidades (Arts. 77–84) **Frases de acionamento:** `GDPR`, `data protection`, `privacy`, `personal data`, `DPA`, `DPIA`, `lawful basis`, `data subject rights`, `consent`, `RoPA`, `Schrems II`, `ICO`, `EDPB` --- <a id="-hipaa"></a> ### 5. <img src="https://assets.kitploit.com/production/public/readmes/13360/1f1742cb6d5aac9160ceff87d2649d8946b0fb1e5657fc893991c5bea33b0e39.png" alt="HIPAA" height="20" style="vertical-align:middle;object-fit:contain;"> HIPAA [EUA] **Arquivo:** `HIPAA - Claude Skill/hipaa-compliance.skill` A skill HIPAA transforma o Claude em um consultor experiente em conformidade com a HIPAA, cobrindo a **Privacy Rule, a Security Rule e a Breach Notification Rule** (45 CFR Partes 160 e 164, conforme alteradas pela HITECH). Ela atende tanto equipes técnicas que constroem sistemas que lidam com ePHI quanto equipes de conformidade/jurídicas que gerenciam obrigações organizacionais. **O que ela faz:** - **Revisa documentos, sistemas e arquiteturas** em busca de conformidade com a HIPAA, produzindo constatações estruturadas com citações do CFR, níveis de risco (Alto / Médio / Baixo) e etapas de remediação - **Gera documentos compatíveis com a HIPAA** a partir de nove modelos prontos para uso: Notice of Privacy Practices (NPP), Business Associate Agreements (BAA), Formulários de Autorização, Termos de Ciência de Treinamento da Força de Trabalho, Relatórios de Incidentes de Segurança, Modelos de Análise de Risco e mais — todos com citações do CFR embutidas - **Orienta sobre salvaguardas técnicas** para ambientes modernos de nuvem (AWS, Azure, GCP), APIs FHIR, mobile/BYOD e pipelines de DevOps — cobrindo todas as 54 especificações de implementação da Security Rule (Obrigatórias e Endereçáveis) - **Explica a HIPAA em linguagem simples** para qualquer público — de desenvolvedores que precisam de orientação sobre criptografia a funcionários em geral aprendendo o que conta como PHI - **Orienta a resposta a violações** usando a avaliação de risco de 4 fatores, prazos de notificação, obrigações de reporte ao HHS e orientação cenário a cenário **Frases de acionamento:** `HIPAA`, `PHI`, `ePHI`, `covered entity`, `business associate`, `BAA`, `NPP`, `breach notification`, `minimum necessary`, `Privacy Rule`, `Security Rule` --- <a id="-nist-csf"></a> ### 6. <img src="https://assets.kitploit.com/production/public/readmes/13360/fba4d5c506ea7fcdc93306f04418b0eaf2a7dc0b8ba9e77ac0164e657dc7aaff.jpg" alt="NIST CSF" height="20" style="vertical-align:middle;object-fit:contain;"> NIST CSF **Arquivo:** `NIST Cybersecurity framework - Claude Skill/NIST Cybersecurity.skill` A skill NIST CSF transforma o Claude em um consultor especialista no NIST Cybersecurity Framework, cobrindo tanto o **CSF 2.0** (fevereiro de 2024) quanto o **CSF 1.1** (abril de 2018), com padrão no CSF 2.0 atual. Ela abrange todas as seis funções — **Govern, Identify, Protect, Detect, Respond, Recover** — incluindo a nova função Govern introduzida no CSF 2.0. **O que ela faz:** - Realiza **avaliações de lacunas** estruturadas em todas as seis funções, categorias e subcategorias do CSF 2.0 - Constrói **Perfis Organizacionais** — Atual e Alvo — alinhados ao contexto de negócios, tolerância a riscos e obrigações regulatórias - Avalia os **Níveis de Implementação** (1–4) em três dimensões e fornece orientação direcionada para avanço - Cria **roteiros de implementação priorizados** com ações faseadas de 30/60/90 dias e ações estratégicas - **Mapeia subcategorias do CSF** para NIST SP 800-53, ISO 27001:2022 e CIS Controls v8 - Gera **políticas alinhadas às funções do CSF** — política de governança, resposta a incidentes, segurança de dados, controle de acesso e mais - Orienta a **migração do CSF 1.1 → CSF 2.0** com um mapeamento detalhado de subcategorias e lista de verificação de migração **Frases de acionamento:** `NIST CSF`, `Cybersecurity Framework`, `CSF 2.0`, `Govern function`, `GV.SC`, `ID.AM`, `PR.AA`, `DE.CM`, `RS.MA`, `RC.RP`, `cybersecurity profile`, `implementation tiers`, `CSF gap assessment` --- <a id="-pci-dss"></a> ### 7. <img src="https://assets.kitploit.com/production/public/readmes/13360/9651b451d683651828153371df9dd17bf1a54db3a375de14d65d714ee6e5814a.png" alt="PCI DSS" height="20" style="vertical-align:middle;object-fit:contain;"> PCI DSS **Arquivo:** `PCI Compliance - Claude Skill/PCI-Compliance.skill` A skill PCI DSS transforma o Claude em um consultor especialista em conformidade com o PCI DSS, cobrindo o **PCI DSS v4.0.1** (junho de 2024 — versão atual), incluindo todos os requisitos que se tornaram obrigatórios em 31 de março de 2025. Ela abrange todos os 12 requisitos, todos os 8 tipos de SAQ, níveis de comerciante e provedor de serviços, e as principais mudanças da v4.0 em relação à v3.2.1. **O que ela faz:** - **Delimita o Cardholder Data Environment (CDE)** — identifica o que está no escopo, avalia a segmentação de rede e recomenda a redução de escopo via tokenização ou P2PE - **Seleciona o tipo correto de SAQ** — percorre a árvore de decisão para SAQ A, A-EP, B, B-IP, C, C-VT, P2PE e D com justificativa - Realiza **avaliações de lacunas** estruturadas em todos os 12 requisitos com requisitos de evidência do QSA e lacunas comuns - Fornece **orientação para implementação de controles** para qualquer sub-requisito do PCI DSS — o que implementar, evidências necessárias e armadilhas comuns - Gera **políticas alinhadas ao PCI DSS** — resposta a incidentes, controle de acesso, criptografia, gestão de patches, retenção de dados e mais - Orienta a **migração da v3.2.1 → v4.0.1**, incluindo novos requisitos para expansão de MFA, integridade de scripts da página de pagamento (Req 6.4.3), proteção contra phishing (Req 5.4.1) e revisão automatizada de logs (Req 10.4.1.1) - Explica a **Abordagem Definida vs Personalizada** e quando usar a Targeted Risk Analysis (TRA) **Frases de acionamento:** `PCI DSS`, `PCI compliance`, `cardholder data`, `CDE`, `SAQ`, `ROC`, `QSA`, `ASV scan`, `PAN`, `tokenisation`, `P2PE`, `merchant level`, `payment page`, `Req 8.4.2`, `Req 6.4.3` --- <a id="-tsa-cybersecurity"></a> ### 8. 🚨 TSA Cybersecurity [EUA] **Arquivo:** `TSA Compliance - Claude Skill/TSA-Compliance.skill` A skill TSA Cybersecurity transforma o Claude num consultor especialista em diretivas de cibersegurança da TSA para **infraestrutura crítica de transporte**. Abrange todas as séries atuais de Diretivas de Segurança da TSA — **SD Pipeline-2021-01G**, **SD Pipeline-2021-02F**, **SD 1580-21-01E** (ferrovia de carga) e **SD 1582-21-01E** (trilhos de trânsito/passageiros) — além do **NPRM de novembro de 2024**, que propõe formalizar essas diretivas como regulamentos federais permanentes. > **Nota sobre SSI:** As Diretivas de Segurança da TSA são classificadas como **Informações de Segurança Sensíveis (SSI)** sob o 49 CFR Parte 1520. Esta skill é construída a partir de resumos disponíveis publicamente, avisos do Federal Register e publicações do DHS/CISA — não do texto completo classificado da diretiva. As entidades abrangidas recebem a diretiva real diretamente da TSA. **O que faz:** - **Determina a aplicabilidade** — qual série de diretivas se aplica à sua organização (pipeline, ferrovia de carga, trânsito ou ônibus) e o que isso significa para suas obrigações de conformidade - Executa **avaliações de lacunas** estruturadas nos quatro domínios técnicos: segmentação de rede de TI/OT, controles de acesso (MFA), monitoramento contínuo e gerenciamento de patches - **Elabora documentos do Programa de Gerenciamento de Risco Cibernético (CRMP)**: Plano de Implementação de Cibersegurança (CIP/COIP), Plano de Resposta a Incidentes (IRP), Revisão de Design de Arquitetura (ADR) e Plano de Avaliação de Cibersegurança (CAP) - Orienta a **implementação específica de OT/ICS** — diodos de dados, servidores jump para HMIs legados, ferramentas de monitoramento passivo (Claroty, Dragos, Nozomi), ciclo de vida de patches de OT com coordenação de fornecedores - Explica as obrigações de **notificação de incidentes à CISA em 24 horas**: o que se qualifica, como reportar, linguagem de exemplo para relatório inicial e sobreposição com a CIRCIA - Aconselha sobre **testes anuais do IRP** — mínimo de dois objetivos, cenários de teste, requisitos de documentação e processo de revisão pós-ação - Explica o impacto do **NPRM de 2024**: alinhamento com o NIST CSF 2.0, linha de base do CISA CPG, estrutura proposta do COIP e o que muda quando a regra for finalizada **Frases de acionamento:** `TSA Security Directive`, `SD Pipeline-2021`, `SD 1580-21-01`, `SD 1582-21-01`, `TSA cybersecurity`, `Critical Cyber Systems`, `CCS`, `Cybersecurity Coordinator`, `Cybersecurity Implementation Plan`, `CIP`, `CRMP`, `IRP testing`, `Architecture Design Review`, `ADR`, `CAP`, `CISA 24-hour reporting`, `OT segmentation TSA`, `pipeline cybersecurity`, `rail cybersecurity directive`, `transit cybersecurity`, `TSA NPRM 2024` --- <a id="-iso-42001-ai-management-system"></a> ### 9. <img src="https://assets.kitploit.com/production/public/readmes/13360/94d64c693a5b55286e94f7b665a252f7981d797b4b7e7779f19ab215a3a3ee47.webp" alt="ISO 42001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 42001 Sistema de Gestão de IA **Arquivo:** `ISO 42001 - Claude Skill/ISO-42001.skill` A skill ISO 42001 transforma o Claude num consultor especialista em Sistema de Gestão de IA (AIMS) **ISO/IEC 42001:2023** — o primeiro padrão internacional do mundo para governança de IA. Atende tanto **provedores de IA** (organizações que desenvolvem ou implantam IA) quanto **usuários de IA** (organizações que integram IA de terceiros), cobrindo todo o ciclo de vida de certificação, desde a avaliação de lacunas até a prontidão para a auditoria da Fase 2. **O que faz:** - Realiza **avaliações de lacunas** estruturadas em todas as cláusulas obrigatórias (4–10) e todos os **38 controles do Anexo A** (domínios A.2–A.10) com status 🔴/🟡/🟢, requisitos de evidência e um roteiro de remediação em fases - Orienta a etapa obrigatória de **Avaliação de Impacto do Sistema de IA (AISIA)** passo a passo — identificação das populações afetadas, avaliação das dimensões de impacto (gravidade, reversibilidade, amplitude, supervisão humana), classificação do nível de impacto (Baixo/Médio/Alto) e determinação dos requisitos de controle proporcionais - Realiza **avaliação de risco de IA** em todas as categorias de risco: riscos de modelo (viés, deriva, alucinação, ataques adversariais), riscos de dados (qualidade, envenenamento, privacidade em dados de treinamento), riscos operacionais (expansão de escopo, dependência humana excessiva) e riscos de cadeia de suprimentos (risco de modelo de terceiros, dependências de API) - Gera uma **Declaração de Aplicabilidade (SoA)** completa cobrindo todos os 38 controles do Anexo A (A.2.2–A.10.4) com decisões de aplicabilidade, justificativas e status de implementação - Elabora todas as **políticas principais do AIMS** — Política de IA, Política de Gerenciamento de Risco de IA, Política de Uso Aceitável de IA, Política de Governança de Dados para IA, Política de Gerenciamento de Incidentes de IA, Política de Ciclo de Vida do Sistema de IA e Política de Gerenciamento de Fornecedores de IA — cada uma com blocos de controle de documentos e citações de cláusulas - Produz **listas de verificação para auditorias de Fase 1 e Fase 2** com status RAG, requisitos de evidência por cláusula e áreas de foco comuns dos auditores - **Mapeia a ISO 42001 para o EU AI Act** — alinha a AISIA à Avaliação de Impacto nos Direitos Fundamentais (FRIA) para sistemas de IA de alto risco; mapeia os controles do Anexo A para os requisitos técnicos do EU AI Act - **Integra a ISO 42001 com a ISO 27001** para organizações que constroem um ISMS + AIMS unificado **Frases de acionamento:** `ISO 42001`, `ISO/IEC 42001`, `AI Management System`, `AIMS`, `AISIA`, `AI System Impact Assessment`, `responsible AI standard`, `AI governance standard`, `Annex A AI controls`, `AI risk assessment ISO`, `Statement of Applicability AI`, `AI policy ISO`, `AI certification`, `AI lifecycle controls`, `AI supplier management ISO`, `EU AI Act management system`, `NIST AI RMF ISO mapping`, `AI bias controls`, `AI transparency standard`, `AI incident management ISO` --- <a id="-iso-27701-privacy-information-management"></a> ### 10. <img src="https://assets.kitploit.com/production/public/readmes/13360/b05ef92cf5653e4c65e5e6ff9b54aad12fa9ffd3cbf4c65c09e8324f6e5db463.png" alt="ISO 27701" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27701 Gestão de Informações de Privacidade **Arquivo:** `ISO 27701 - Claude Skill/iso27701.skill` A skill ISO 27701 transforma o Claude num consultor especialista em Sistema de Gestão de Informações de Privacidade (PIMS) **ISO/IEC 27701:2025** — cobrindo todo o ciclo de vida, desde a avaliação de lacunas até a certificação. Ela lida tanto com a **ISO 27701:2025** (a nova edição autônoma) quanto com a **ISO 27701:2019** (a extensão legada da ISO 27001), e abrange tanto **controladores de PII** quanto **processadores de PII**. **O que faz:** - Realiza **análises de lacunas** estruturadas em todas as cláusulas obrigatórias do HLS (4–10) e todos os 78 controles do Anexo A — 31 para controladores de PII (A.1), 18 para processadores de PII (A.2) e 29 controles de segurança compartilhados (A.3) - Gera **documentos de política do PIMS** completos e prontos para auditoria — Política de Privacidade, Registros de Atividades de Tratamento (RoPA), Procedimento de Direitos dos Titulares de Dados, Procedimento de Privacidade desde a Concepção, Acordos de Processamento de Dados (DPAs) e mais - Constrói **registros de risco de privacidade** focados em danos aos titulares de PII, aciona DPIAs para processamento de alto risco e produz planos de tratamento de risco - Cria **Declarações de Aplicabilidade (SoA)** com escopo definido pelo papel da organização (controlador, processador ou ambos) com decisões de aplicabilidade e justificativa - Fornece **orientação de implementação controle por controle** para cada controle A.1, A.2 e A.3 — com propósito, etapas de implementação, evidências de auditoria e armadilhas comuns - Orienta **transições de 2019 → 2025** com uma tabela completa de mapeamento de controles, lista de verificação de análise de lacunas e cronograma recomendado até o prazo de outubro de 2028 - **Mapeia a ISO 27701 para o GDPR** artigo por artigo, além do CCPA/CPRA, LGPD, PIPEDA, PDPA (Singapura/Tailândia) e UK GDPR **Frases de acionamento:** `ISO 27701`, `PIMS`, `privacy information management`, `PII controller`, `PII processor`, `privacy risk assessment`, `DPIA`, `data subject rights`, `records of processing activities`, `RoPA`, `privacy by design`, `data processing agreement`, `DPA`, `GDPR alignment ISO 27701`, `ISO 27701:2025`, `ISO 27701:2019`, `27701 transition`, `standalone PIMS`, `Annex A controller controls`, `Annex A processor controls` --- <a id="-dora-digital-operational-resilience"></a> ### 11. <img src="https://assets.kitploit.com/production/public/readmes/13360/d66c899f9e9c7cda51daceb14583af82e75aca1f0c7e9359e53f89ac6b47cac6.png" alt="DORA" height="20" style="vertical-align:middle;object-fit:contain;"> DORA [UE] — Resiliência Operacional Digital **Arquivo:** `DORA - Claude Skill/dora.skill` --- [Read more](https://github.com/sushegaad/claude-skills-governance-risk-and-compliance)
