Устанавливаемые навыки Claude, предоставляющие экспертные рекомендации по соблюдению требований для 30+ фреймворков, включая ISO 27001, SOC 2, FedRAMP, GDPR, HIPAA, NIST CSF, PCI DSS и EU AI Act. Включает анализ пробелов, шаблоны политик и сопоставление средств контроля.
# Claude Skills для управления, рисков и соответствия (GRC) Экспертное руководство по соответствию для ISO 27001, SOC 2, FedRAMP, GDPR, HIPAA, NIST CSF, PCI DSS, TSA Cybersecurity, ISO 42001 AI Management System, ISO 27701 Privacy Information Management, DORA Digital Operational Resilience, India's Digital Personal Data Protection Act (DPDPA), CMMC 2.0 Cybersecurity Maturity Model Certification, NIST AI Risk Management Framework, SWIFT Customer Security Programme (CSP), Australian Information Security Manual (ISM), EU NIS2 Directive, CCPA/CPRA California Privacy, ITAR (International Traffic in Arms Regulations), Brazil's LGPD (Lei Geral de Proteção de Dados), EU CSRD (Corporate Sustainability Reporting Directive), CIS Controls v8 (CIS Top 18), EAR (Export Administration Regulations), NIST SP 800-53 (Security and Privacy Controls for Federal Systems), EU AI Act (Regulation (EU) 2024/1689), Section 508 (US Federal ICT Accessibility), WCAG (Web Content Accessibility Guidelines), NZISM (New Zealand Information Security Manual), Vietnam PDPL (Law on Personal Data Protection No. 91/2025/QH15), EU CRA (Cyber Resilience Act, Regulation (EU) 2024/2847), Saudi Arabia GRC (NCA ECC, Saudi PDPL, SAMA, CST), UAE GRC (Federal PDPL, DIFC, ADGM, CBUAE, ICT Health Law), TISAX (VDA ISA / ENX automotive supplier security), TPRM (third-party/vendor risk), UK Cyber Essentials, и SOX ITGC — на базе Claude Skills. **Обновляется ежемесячно.** Протестировано на 180 тестовых сценариях с использованием фреймворка оценки — каждый оценивался как минимум по 5 проверяемым утверждениям независимыми агентами (всего 902 утверждения). Навыки набрали **89%** против базового уровня **55%**. [](../../releases/tag/v2.1.0) [](LICENSE) [](#the-skills) [](https://claude.ai) [](https://github.com/Sushegaad/Claude-Skills-Governance-Risk-and-Compliance) --- ## Содержание - [Что такое Claude Skills?](#what-are-claude-skills) - [Для кого это?](#who-is-this-for) - [Навыки](#the-skills) - [ISO 27001](#-iso-27001) - [SOC 2](#-soc-2) - [FedRAMP](#-fedramp) - [GDPR](#-gdpr) - [HIPAA](#-hipaa) - [NIST CSF](#-nist-csf) - [PCI DSS](#-pci-dss) - [TSA Cybersecurity](#-tsa-cybersecurity) - [ISO 42001 AI Management System](#-iso-42001-ai-management-system) - [ISO 27701 Privacy Information Management](#-iso-27701-privacy-information-management) - [DORA Digital Operational Resilience](#-dora-digital-operational-resilience) - [DPDPA India Digital Personal Data Protection](#-dpdpa-india-digital-personal-data-protection) - [CMMC 2.0 Cybersecurity Maturity Model Certification](#-cmmc-20-cybersecurity-maturity-model-certification) - [NIST AI Risk Management Framework](#-nist-ai-risk-management-framework) - [SWIFT Customer Security Programme (CSP)](#-swift-customer-security-programme-csp) - [Australian Information Security Manual (ISM)](#-australian-information-security-manual-ism) - [EU NIS2 Directive](#-eu-nis2-directive) - [CCPA/CPRA California Privacy](#-ccpacpra-california-privacy) - [ITAR — International Traffic in Arms Regulations](#-itar--international-traffic-in-arms-regulations) - [LGPD — Brazil's General Data Protection Law](#-lgpd--brazils-general-data-protection-law) - [CSRD — EU Corporate Sustainability Reporting Directive](#-csrd--eu-corporate-sustainability-reporting-directive) - [CIS Controls v8 — CIS Top 18 Cyber Hygiene](#-cis-controls-v8--cis-top-18-cyber-hygiene) - [EAR — Export Administration Regulations](#-ear--export-administration-regulations) - [NIST SP 800-53 — Security and Privacy Controls for Federal Systems](#-nist-sp-800-53--security-and-privacy-controls-for-federal-systems) - [EU AI Act — Regulation (EU) 2024/1689](#-eu-ai-act--regulation-eu-20241689) - [Section 508 — US Federal ICT Accessibility](#-section-508--us-federal-ict-accessibility) - [WCAG — Web Content Accessibility Guidelines](#-wcag--web-content-accessibility-guidelines) - [NZISM — New Zealand Information Security Manual](#-nzism--new-zealand-information-security-manual) - [Vietnam PDPL — Law on Personal Data Protection](#-vietnam-pdpl--law-on-personal-data-protection) - [EU CRA — Cyber Resilience Act](#-eu-cra--cyber-resilience-act) - [Saudi Arabia GRC — Country Compliance Advisor](#-saudi-arabia-grc--country-compliance-advisor) - [UAE GRC — Country Compliance Advisor](#-uae-grc--country-compliance-advisor) - [TISAX — Trusted Information Security Assessment Exchange](#-tisax--trusted-information-security-assessment-exchange) - [TPRM — Third-Party Risk Management](#-tprm--third-party-risk-management) - [Cyber Essentials / CE Plus — UK Baseline Certification](#-cyber-essentials--ce-plus--uk-baseline-certification) - [SOX ITGC — IT General Controls for SOX 404](#-sox-itgc--it-general-controls-for-sox-404) - [Потенциальные варианты использования](#potential-use-cases) - [Как установить навык](#how-to-install-a-skill) - [Установка через Claude Code Marketplace](#install-via-claude-code-marketplace) - [Оценка навыков](#skill-evaluation) - [Отзывы клиентов](#customer-testimonials) - [Поддержка](#support) - [Автор](#author) - [Отказ от ответственности](#disclaimer) --- ## Что такое Claude Skills? Claude Skills — это устанавливаемые пакеты знаний, которые расширяют возможности Claude для конкретных предметных областей. Навык — это файл `.skill`, представляющий собой упакованный архив, содержащий инструкционный файл `SKILL.md` и дополнительные справочные материалы, который вы загружаете в Claude один раз и используете во всех своих беседах. После установки навык активируется **автоматически**, когда ваша беседа затрагивает его предметную область. Вам не нужно вызывать его по имени или использовать специальные команды. Claude просто становится более глубоким экспертом в этой области на время вашей сессии. **Навыки идеальны, когда вам нужно:** - Последовательные ответы экспертного уровня по специализированной теме - Результаты, отформатированные в соответствии с профессиональными или нормативными стандартами (например, готовые к аудиту описания контролей, шаблоны политик с нужными пунктами) - Знания в предметной области, выходящие за рамки общего обучения LLM — например, знание того, какие конкретные контроли NIST 800-53 применимы к данному сценарию, или какие статьи GDPR регулируют международную передачу данных **Как работают навыки под капотом:** Каждый файл `.skill` содержит основной `SKILL.md`, который загружается в контекст Claude при срабатывании навыка, а также справочные файлы, которые загружаются по требованию для более глубоких подтем. Этот шаблон «прогрессивного раскрытия» обеспечивает эффективное использование контекста, делая при этом исчерпывающие знания доступными при необходимости. <div style="position:relative;padding-bottom:56.25%;height:0;overflow:hidden;max-width:100%;"> <iframe width="560" height="315" src="https://www.youtube-nocookie.com/embed/-IBLNR0N2vE" title="Claude Skills for GRC Demo" frameborder="0" allow="accelerometer; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen loading="lazy" sandbox="allow-scripts allow-same-origin"></iframe> </div> --- ## Для кого это? Эти навыки предназначены для специалистов, работающих в области информационной безопасности, конфиденциальности и нормативного соответствия — будь то в организациях, стремящихся к сертификации, командах разработчиков, создающих соответствующие требованиям системы, или консультантах, поддерживающих клиентов. **Команды по безопасности и соответствию** используют эти навыки для ускорения оценки пробелов, создания черновиков политик, сопоставления контролей и подготовки пакетов доказательств — сжимая недели справочной работы в минуты. **Разработчики программного обеспечения и инженеры** используют их, чтобы понять, какие контроли должны быть реализованы в их системах, провести аудит кода и архитектуры на предмет проблем соответствия и получить практические технические рекомендации, привязанные к конкретным нормативным требованиям. **Юристы, специалисты по конфиденциальности и GRC** используют их для составления нормативных документов (DPA, BAA, уведомления о конфиденциальности), ответов на вопросы клиентов с точными нормативными ссылками и поддержания актуальности требований фреймворков. **Организации здравоохранения** используют навык HIPAA для оценки систем, создания необходимых уведомлений и соглашений, а также обучения сотрудников обязанностям — без необходимости обращаться к консультанту по соответствию по каждому вопросу. **Поставщики облачных услуг**, стремящиеся к получению федеральных государственных контрактов, используют навык FedRAMP для навигации по процессу ATO, написания описаний SSP, управления POA&M и подготовки к оценкам 3PAO. **Стартапы и малые и средние предприятия** используют эти навыки, чтобы понять, что требует от них данный фреймворк, определить масштаб своих программ соответствия и получить результат экспертного качества без большой внутренней команды. --- ## Навыки <a id="-iso-27001"></a> ### 1. <img src="https://assets.kitploit.com/production/public/readmes/13360/1b8e916266811181ecf8f041e2b8125f8ada099ad5879a2426c790712b9320af.jpg" alt="ISO 27001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27001 **Файл:** `ISO 27001 - Claude Skill/iso27001.skill` Навык ISO 27001 превращает Claude в эксперта-ведущего аудитора ISO 27001 и консультанта по внедрению СУИБ. Он охватывает как **ISO 27001:2013** (114 контролей, 14 доменов), так и **ISO 27001:2022** (93 контроля, 4 темы), по умолчанию используя текущую версию 2022 года. **Что он делает:** - Проводит структурированные **анализы пробелов** по обязательным разделам (4–10) и всем контролям Приложения A - Создаёт полные, готовые к аудиту **документы политик** с блоками управления документами, заявлениями об области применения и сопоставлениями разделов с контролями - Предоставляет пошаговое **руководство по внедрению контролей** для любого контроля Приложения A - Создаёт **реестры рисков** и **планы обработки рисков**, используя методологию вероятности × воздействия - Создаёт шаблоны **Заявления о применимости (SoA)**, охватывающие все 93 контроля - Руководит **переходом с 2013 на 2022**, объясняя 11 новых контролей и изменения в сопоставлении **Триггерные фразы:** `ISO 27001`, `ISMS`, `Annex A`, `Statement of Applicability`, `SoA`, `gap analysis`, `risk register`, `certification readiness`, `internal audit` --- <a id="-soc-2"></a> ### 2. <img src="https://assets.kitploit.com/production/public/readmes/13360/83496193c7dd515316dc418567519579495687aff85d44542bde7b8cc358a6a1.jpg" alt="SOC 2" height="20" style="vertical-align:middle;object-fit:contain;"> SOC 2 **Файл:** `SOC 2 - Claude Skill/soc2.skill` Навык SOC 2 превращает Claude в эксперта-консультанта по соответствию SOC 2, основанного на **Критериях доверительных услуг AICPA 2017 (TSC) с пересмотренными точками фокуса 2022 года**. Он охватывает все пять TSC: Безопасность (CC1–CC9), Доступность (A1), Конфиденциальность (C1), Целостность обработки (PI1) и Приватность (P1–P8). **Что он делает:** - Проводит **анализы пробелов** по критериям TSC в рамках области применения с рейтингами статуса 🔴/🟡/🟢 и дорожными картами устранения - Составляет все **12 основных политик SOC 2** (Информационная безопасность, Контроль доступа, Реагирование на инциденты, Управление изменениями, Оценка рисков, Управление поставщиками, BCP/DR и другие) - Документирует **контроли** в готовом для аудитора формате: ID контроля, критерий TSC, тип, владелец, частота, доказательства и процедура тестирования - Создаёт **контрольные списки доказательств**, сопоставленные с каждым критерием, с рекомендациями по выборке для аудитов Type 1 и Type 2 - Управляет **рисками поставщиков**: категоризация, анкеты безопасности из 32 вопросов, проверка отчётов SOC 2, отслеживание CUEC и контрактные требования - Адаптирует свой тон — простой язык для команд, впервые проходящих SOC 2, технический вывод с кодами AICPA для практиков и аудиторов **Триггерные фразы:** `SOC 2`, `Trust Services Criteria`, `TSC`, `CC6`, `Type 1`, `Type 2`, `AICPA`, `audit readiness`, `control statement`, `evidence` --- <a id="-fedramp"></a> ### 3. <img src="https://raw.githubusercontent.com/sushegaad/claude-skills-governance-risk-and-compliance/HEAD/assets/Logos/fedramp.svg" alt="FedRAMP" height="20" style="vertical-align:middle;object-fit:contain;"> FedRAMP [US] **Файл:** `FedRamp - Claude Skill/fedramp.skill` Навык FedRAMP превращает Claude в осведомлённого консультанта по FedRAMP, охватывающего полный жизненный цикл авторизации для поставщиков облачных услуг (CSP) в соответствии с **NIST SP 800-53 Rev 5** и новой структурой **CR26 (FedRAMP Consolidated Rules for 2026)**. Актуально по состоянию на август 2026 года — CR26 является окончательным (обязателен с 1 января 2027 года) с классами сертификации A–D (A = пилотный/переходный, B = LI-SaaS/Low, C = Moderate, D = High), открытием потоков классов в августе 2026 года, FedRAMP 20x в качестве основного пути, выводом Ready из эксплуатации 28 июля 2026 года (Legacy FedRAMP Ready) и мандатом OSCAL от 30 сентября 2026 года для новых авторизаций. **Что он делает:** - Проводит **оценки готовности и пробелов** с использованием контрольного списка из 75+ пунктов, сопоставленного с классами сертификации CR26 (A/B/C/D) - Руководит составлением **документации ATO**: планов безопасности системы (SSP), POA&M (с правильными SLA: Critical=15д, High=30д, Moderate=90д, Low=365д), SAP, SAR и всех приложений (A–Q) - **Сопоставляет контроли NIST 800-53 Rev 5** по всем 20 семействам контролей; консультирует по подходу непрерывной авторизации FedRAMP 20x - Предоставляет **рекомендации по облачной архитектуре** для AWS GovCloud, Azure Government и Google Cloud Government - Поддерживает обязательства **непрерывного мониторинга (ConMon)**: ежемесячные результаты, управление SLA POA&M, запросы на отклонения - Консультирует по **готовности к OSCAL** для обязательного срока подачи 30 сентября 2026 года **Триггерные фразы:** `FedRAMP`, `ATO`, `SSP`, `POA&M`, `3PAO`, `NIST 800-53`, `ConMon`, `AWS GovCloud`, `Azure Government`, `CR26`, `FedRAMP 20x`, `OSCAL`, `Certification Class` --- <a id="-gdpr"></a> ### 4. 🇪🇺 GDPR [EU] **Файл:** `GDPR - Claude Skill/gdpr-compliance.skill` Навык GDPR превращает Claude в эксперта-помощника по соответствию GDPR, соединяющего технические и юридические перспективы. Он охватывает полный регламент **EU GDPR** с примечаниями по **UK GDPR (DPA 2018)** там, где правила различаются, и автоматически адаптирует свой тон — технический для разработчиков, юридически точный для специалистов по соответствию и конфиденциальности. **Что он делает:** - **Проверяет код, API, схемы баз данных и архитектуры** на нарушения GDPR, выдавая оценки серьёзности (🔴/🟡/🟢), сопоставленные с конкретными статьями GDPR - **Составляет документы о соответствии** из встроенных шаблонов: Уведомления о конфиденциальности (ст. 13/14), Соглашения об обработке данных (ст. 28), Баннеры cookie/согласия, DPIA (ст. 35), Политики хранения данных и Процедуры прав субъектов данных - **Отвечает на вопросы о соответствии** с авторитетными ссылками на статьи — каждый ответ начинается с регулирующей статьи, затем исключения, затем практические последствия - **Анализирует потоки данных и обработку PII** по шести измерениям (что, почему, где, кто, как долго, как защищено) и проверяет соответствие требованиям RoPA - Охватывает все ключевые области GDPR: правовое основание, согласие, права субъектов данных (ст. 15–22), международные передачи (ст. 44–49), реагирование на нарушения (ст. 32–34), данные особых категорий (ст. 9–10) и штрафы (ст. 77–84) **Триггерные фразы:** `GDPR`, `data protection`, `privacy`, `personal data`, `DPA`, `DPIA`, `lawful basis`, `data subject rights`, `consent`, `RoPA`, `Schrems II`, `ICO`, `EDPB` --- <a id="-hipaa"></a> ### 5. <img src="https://assets.kitploit.com/production/public/readmes/13360/1f1742cb6d5aac9160ceff87d2649d8946b0fb1e5657fc893991c5bea33b0e39.png" alt="HIPAA" height="20" style="vertical-align:middle;object-fit:contain;"> HIPAA [US] **Файл:** `HIPAA - Claude Skill/hipaa-compliance.skill` Навык HIPAA превращает Claude в осведомлённого консультанта по соответствию HIPAA, охватывающего **Правило конфиденциальности, Правило безопасности и Правило уведомления о нарушениях** (45 CFR Parts 160 и 164 с поправками HITECH). Он служит как техническим командам, создающим системы, обрабатывающие ePHI, так и командам по соответствию/юридическим командам, управляющим организационными обязательствами. **Что он делает:** - **Проверяет документы, системы и архитектуры** на соответствие HIPAA, выдавая структурированные выводы со ссылками на CFR, уровнями риска (High / Medium / Low) и шагами по устранению - **Создаёт документы, соответствующие HIPAA**, из девяти готовых шаблонов: Уведомление о практике конфиденциальности (NPP), Соглашения с деловыми партнёрами (BAA), Формы авторизации, Подтверждения обучения персонала, Отчёты о инцидентах безопасности, Шаблоны анализа рисков и другие — все с встроенными ссылками на CFR - **Консультирует по техническим мерам защиты** для современных облачных сред (AWS, Azure, GCP), FHIR API, мобильных/BYOD и конвейеров DevOps — охватывая все 54 спецификации реализации Правила безопасности (Required и Addressable) - **Объясняет HIPAA простым языком** для любой аудитории — от разработчиков, нуждающихся в рекомендациях по шифрованию, до общего персонала, изучающего, что считается PHI - **Руководит реагированием на нарушения** с использованием 4-факторной оценки рисков, сроков уведомления, обязательств по отчётности перед HHS и пошаговых рекомендаций для каждого сценария **Триггерные фразы:** `HIPAA`, `PHI`, `ePHI`, `covered entity`, `business associate`, `BAA`, `NPP`, `breach notification`, `minimum necessary`, `Privacy Rule`, `Security Rule` --- <a id="-nist-csf"></a> ### 6. <img src="https://assets.kitploit.com/production/public/readmes/13360/fba4d5c506ea7fcdc93306f04418b0eaf2a7dc0b8ba9e77ac0164e657dc7aaff.jpg" alt="NIST CSF" height="20" style="vertical-align:middle;object-fit:contain;"> NIST CSF **Файл:** `NIST Cybersecurity framework - Claude Skill/NIST Cybersecurity.skill` Навык NIST CSF превращает Claude в эксперта-консультанта по NIST Cybersecurity Framework, охватывающего как **CSF 2.0** (февраль 2024), так и **CSF 1.1** (апрель 2018), по умолчанию используя текущий CSF 2.0. Он охватывает все шесть функций — **Govern, Identify, Protect, Detect, Respond, Recover** — включая новую функцию Govern, введённую в CSF 2.0. **Что он делает:** - Проводит структурированные **оценки пробелов** по всем шести функциям, категориям и подкатегориям CSF 2.0 - Создаёт **Организационные профили** — текущий и целевой — согласованные с бизнес-контекстом, толерантностью к риску и нормативными обязательствами - Оценивает **Уровни внедрения** (1–4) по трём измерениям и предоставляет целевые рекомендации по продвижению - Создаёт **приоритизированные дорожные карты внедрения** с поэтапными действиями на 30/60/90 дней и стратегическими действиями - **Сопоставляет подкатегории CSF** с NIST SP 800-53, ISO 27001:2022 и CIS Controls v8 - Создаёт **политики, согласованные с функциями CSF** — политика управления, реагирование на инциденты, безопасность данных, контроль доступа и другие - Руководит **миграцией с CSF 1.1 на CSF 2.0** с подробным сопоставлением подкатегорий и контрольным списком миграции **Триггерные фразы:** `NIST CSF`, `Cybersecurity Framework`, `CSF 2.0`, `Govern function`, `GV.SC`, `ID.AM`, `PR.AA`, `DE.CM`, `RS.MA`, `RC.RP`, `cybersecurity profile`, `implementation tiers`, `CSF gap assessment` --- <a id="-pci-dss"></a> ### 7. <img src="https://assets.kitploit.com/production/public/readmes/13360/9651b451d683651828153371df9dd17bf1a54db3a375de14d65d714ee6e5814a.png" alt="PCI DSS" height="20" style="vertical-align:middle;object-fit:contain;"> PCI DSS **Файл:** `PCI Compliance - Claude Skill/PCI-Compliance.skill` Навык PCI DSS превращает Claude в эксперта-консультанта по соответствию PCI DSS, охватывающего **PCI DSS v4.0.1** (июнь 2024 — текущая версия), включая все требования, ставшие обязательными 31 марта 2025 года. Он охватывает все 12 требований, все 8 типов SAQ, уровни торговцев и поставщиков услуг, а также ключевые изменения v4.0 по сравнению с v3.2.1. **Что он делает:** - **Определяет область среды данных держателей карт (CDE)** — выявляет, что входит в область применения, оценивает сегментацию сети и рекомендует сокращение области с помощью токенизации или P2PE - **Выбирает правильный тип SAQ** — проходит по дереву решений для SAQ A, A-EP, B, B-IP, C, C-VT, P2PE и D с обоснованием - Проводит структурированные **оценки пробелов** по всем 12 требованиям с требованиями к доказательствам QSA и распространёнными пробелами - Предоставляет **руководство по внедрению контролей** для любого подтребования PCI DSS — что внедрить, какие доказательства нужны и распространённые ошибки - Создаёт **политики, согласованные с PCI DSS** — реагирование на инциденты, контроль доступа, криптография, управление патчами, хранение данных и другие - Руководит **миграцией с v3.2.1 на v4.0.1**, включая новые требования по расширению MFA, целостности скриптов платёжной страницы (Req 6.4.3), защите от фишинга (Req 5.4.1) и автоматизированному анализу журналов (Req 10.4.1.1) - Объясняет **Определённый подход против Настроенного подхода** и когда использовать Целевой анализ рисков (TRA) **Триггерные фразы:** `PCI DSS`, `PCI compliance`, `cardholder data`, `CDE`, `SAQ`, `ROC`, `QSA`, `ASV scan`, `PAN`, `tokenisation`, `P2PE`, `merchant level`, `payment page`, `Req 8.4.2`, `Req 6.4.3` --- <a id="-tsa-cybersecurity"></a> ### 8. 🚨 TSA Cybersecurity [US] **Файл:** `TSA Compliance - Claude Skill/TSA-Compliance.skill` --- [Read more](https://github.com/sushegaad/claude-skills-governance-risk-and-compliance)
