可安装的 Claude Skills，为超过 30 个框架提供专家级合规指导，包括 ISO 27001、SOC 2、FedRAMP、GDPR、HIPAA、NIST CSF、PCI DSS 和 EU AI 法案。包含差距分析、政策模板和控制映射。
# 面向治理、风险与合规（GRC）的 Claude Skills 面向 ISO 27001、SOC 2、FedRAMP、GDPR、HIPAA、NIST CSF、PCI DSS、TSA 网络安全、ISO 42001 AI 管理体系、ISO 27701 隐私信息管理、DORA 数字运营韧性、印度《数字个人数据保护法》（DPDPA）、CMMC 2.0 网络安全成熟度模型认证、NIST AI 风险管理框架、SWIFT 客户安全计划（CSP）、澳大利亚信息安全手册（ISM）、欧盟 NIS2 指令、CCPA/CPRA 加州隐私法、ITAR（国际武器贸易条例）、巴西 LGPD（《通用数据保护法》）、欧盟 CSRD（企业可持续发展报告指令）、CIS 控制措施 v8（CIS 前 18 项）、EAR（出口管理条例）、NIST SP 800-53（联邦系统安全与隐私控制）、欧盟 AI 法案（欧盟第 2024/1689 号条例）、Section 508（美国联邦 ICT 无障碍）、WCAG（网页内容无障碍指南）、NZISM（新西兰信息安全手册）、越南 PDPL（第 91/2025/QH15 号个人数据保护法）、欧盟 CRA（网络韧性法案，欧盟第 2024/2847 号条例）、沙特阿拉伯 GRC（NCA ECC、沙特 PDPL、SAMA、CST）、阿联酋 GRC（联邦 PDPL、DIFC、ADGM、CBUAE、ICT 健康法）、TISAX（VDA ISA / ENX 汽车供应商安全）、TPRM（第三方/供应商风险）、英国 Cyber Essentials 以及 SOX ITGC——由 Claude Skills 提供支持。**每月更新。** 使用评估框架对 180 个测试用例进行基准测试——每个用例由独立代理依据至少 5 项可验证断言进行评分（共 902 项断言）。技能得分 **89%**，基线为 **55%**。 [](../../releases/tag/v2.1.0) [](LICENSE) [](#the-skills) [](https://claude.ai) [](https://github.com/Sushegaad/Claude-Skills-Governance-Risk-and-Compliance) --- ## 目录 - [什么是 Claude Skills？](#what-are-claude-skills) - [适用人群](#who-is-this-for) - [技能列表](#the-skills) - [ISO 27001](#-iso-27001) - [SOC 2](#-soc-2) - [FedRAMP](#-fedramp) - [GDPR](#-gdpr) - [HIPAA](#-hipaa) - [NIST CSF](#-nist-csf) - [PCI DSS](#-pci-dss) - [TSA 网络安全](#-tsa-cybersecurity) - [ISO 42001 AI 管理体系](#-iso-42001-ai-management-system) - [ISO 27701 隐私信息管理](#-iso-27701-privacy-information-management) - [DORA 数字运营韧性](#-dora-digital-operational-resilience) - [DPDPA 印度数字个人数据保护](#-dpdpa-india-digital-personal-data-protection) - [CMMC 2.0 网络安全成熟度模型认证](#-cmmc-20-cybersecurity-maturity-model-certification) - [NIST AI 风险管理框架](#-nist-ai-risk-management-framework) - [SWIFT 客户安全计划（CSP）](#-swift-customer-security-programme-csp) - [澳大利亚信息安全手册（ISM）](#-australian-information-security-manual-ism) - [欧盟 NIS2 指令](#-eu-nis2-directive) - [CCPA/CPRA 加州隐私法](#-ccpacpra-california-privacy) - [ITAR — 国际武器贸易条例](#-itar--international-traffic-in-arms-regulations) - [LGPD — 巴西《通用数据保护法》](#-lgpd--brazils-general-data-protection-law) - [CSRD — 欧盟企业可持续发展报告指令](#-csrd--eu-corporate-sustainability-reporting-directive) - [CIS 控制措施 v8 — CIS 前 18 项网络卫生](#-cis-controls-v8--cis-top-18-cyber-hygiene) - [EAR — 出口管理条例](#-ear--export-administration-regulations) - [NIST SP 800-53 — 联邦系统安全与隐私控制](#-nist-sp-800-53--security-and-privacy-controls-for-federal-systems) - [欧盟 AI 法案 — 欧盟第 2024/1689 号条例](#-eu-ai-act--regulation-eu-20241689) - [Section 508 — 美国联邦 ICT 无障碍](#-section-508--us-federal-ict-accessibility) - [WCAG — 网页内容无障碍指南](#-wcag--web-content-accessibility-guidelines) - [NZISM — 新西兰信息安全手册](#-nzism--new-zealand-information-security-manual) - [越南 PDPL — 个人数据保护法](#-vietnam-pdpl--law-on-personal-data-protection) - [欧盟 CRA — 网络韧性法案](#-eu-cra--cyber-resilience-act) - [沙特阿拉伯 GRC — 国家合规顾问](#-saudi-arabia-grc--country-compliance-advisor) - [阿联酋 GRC — 国家合规顾问](#-uae-grc--country-compliance-advisor) - [TISAX — 可信信息安全评估交换](#-tisax--trusted-information-security-assessment-exchange) - [TPRM — 第三方风险管理](#-tprm--third-party-risk-management) - [Cyber Essentials / CE Plus — 英国基线认证](#-cyber-essentials--ce-plus--uk-baseline-certification) - [SOX ITGC — SOX 404 的 IT 一般控制](#-sox-itgc--it-general-controls-for-sox-404) - [潜在用例](#potential-use-cases) - [如何安装技能](#how-to-install-a-skill) - [通过 Claude Code Marketplace 安装](#install-via-claude-code-marketplace) - [技能评估](#skill-evaluation) - [客户评价](#customer-testimonials) - [支持](#support) - [作者](#author) - [免责声明](#disclaimer) --- ## 什么是 Claude Skills？ Claude Skills 是可安装的知识包，用于扩展 Claude 在特定领域的能力。一个技能就是一个 `.skill` 文件——一个打包归档文件，包含一个 `SKILL.md` 指令文件和可选的参考资料——你只需将其上传到 Claude 一次，即可在所有对话中使用。 安装后，当你的对话涉及该主题领域时，技能会**自动**激活。你无需按名称调用它或使用特殊命令。Claude 会在你的会话期间成为该领域更深入的专家。 **当你需要以下内容时，技能是理想选择：** - 在专业主题上获得一致、专家级的回答 - 按专业或监管标准格式化的输出（例如，可供审计的控制措施叙述、包含正确条款的政策模板） - 超越通用 LLM 训练范围的领域知识——例如知道哪些具体的 NIST 800-53 控制措施适用于给定场景，或哪些 GDPR 条款管辖国际数据传输 **技能在底层如何工作：** 每个 `.skill` 文件包含一个主 `SKILL.md`，在技能触发时加载到 Claude 的上下文中，以及按需加载以深入子主题的参考文件。这种“渐进式披露”模式在保持上下文使用高效的同时，在需要时提供全面的知识。 <div style="position:relative;padding-bottom:56.25%;height:0;overflow:hidden;max-width:100%;"> <iframe width="560" height="315" src="https://www.youtube-nocookie.com/embed/-IBLNR0N2vE" title="Claude Skills for GRC Demo" frameborder="0" allow="accelerometer; clipboard-write; encrypted-media; gyroscope; picture-in-picture" allowfullscreen loading="lazy" sandbox="allow-scripts allow-same-origin"></iframe> </div> --- ## 适用人群 这些技能专为从事信息安全、隐私和监管合规工作的专业人士设计——无论是在寻求认证的组织、构建合规系统的开发团队，还是为客户提供支持的顾问。 **安全与合规团队**使用这些技能来加速差距评估、生成政策初稿、映射控制措施并准备证据包——将数周的参考工作压缩到几分钟内完成。 **软件开发人员与工程师**使用它们来了解其系统必须实施哪些控制措施、审计代码和架构中的合规问题，并获得与特定监管要求相关的可操作技术指导。 **法律、隐私与 GRC 专业人士**使用它们来起草监管文件（DPA、BAA、隐私声明）、以精确的监管引用来回答客户问题，并随时了解框架要求的最新动态。 **医疗保健组织**使用 HIPAA 技能来评估系统、生成所需的通知和协议，并培训员工的义务——无需为每个问题都聘请合规顾问。 **追求联邦政府合同的云服务提供商**使用 FedRAMP 技能来应对 ATO 流程、编写 SSP 叙述、管理 POA&M，并为 3PAO 评估做准备。 **初创企业和中小企业**使用这些技能来了解给定框架对其的要求、界定其合规计划的范围，并在没有庞大内部团队的情况下获得专家级质量的输出。 --- ## 技能列表 <a id="-iso-27001"></a> ### 1. <img src="https://assets.kitploit.com/production/public/readmes/13360/1b8e916266811181ecf8f041e2b8125f8ada099ad5879a2426c790712b9320af.jpg" alt="ISO 27001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27001 **文件：** `ISO 27001 - Claude Skill/iso27001.skill` ISO 27001 技能将 Claude 转变为一名专家级 ISO 27001 主任审核员和 ISMS 实施顾问。它涵盖 **ISO 27001:2013**（114 项控制措施，14 个域）和 **ISO 27001:2022**（93 项控制措施，4 个主题），默认使用当前的 2022 版本。 **功能：** - 针对强制性条款（4–10）和所有附录 A 控制措施运行结构化的**差距分析** - 生成完整的、可供审计的**政策文件**，包含文档控制块、范围声明和条款到控制措施的映射 - 为任何附录 A 控制措施提供分步的**控制措施实施指导** - 使用可能性 × 影响方法论构建**风险登记册**和**风险处置计划** - 创建涵盖全部 93 项控制措施的**适用性声明（SoA）**模板 - 指导 **2013 → 2022 过渡**，解释 11 项新控制措施和映射变更 **触发短语：** `ISO 27001`、`ISMS`、`Annex A`、`Statement of Applicability`、`SoA`、`gap analysis`、`risk register`、`certification readiness`、`internal audit` --- <a id="-soc-2"></a> ### 2. <img src="https://assets.kitploit.com/production/public/readmes/13360/83496193c7dd515316dc418567519579495687aff85d44542bde7b8cc358a6a1.jpg" alt="SOC 2" height="20" style="vertical-align:middle;object-fit:contain;"> SOC 2 **文件：** `SOC 2 - Claude Skill/soc2.skill` SOC 2 技能将 Claude 转变为一名专家级 SOC 2 合规顾问，以 **AICPA 2017 信任服务标准（TSC）及 2022 年修订关注点**为基础。它涵盖全部五项 TSC：安全性（CC1–CC9）、可用性（A1）、保密性（C1）、处理完整性（PI1）和隐私（P1–P8）。 **功能：** - 对范围内的 TSC 标准进行**差距分析**，提供 🔴/🟡/🟢 状态评级和整改路线图 - 起草全部 **12 项核心 SOC 2 政策**（信息安全、访问控制、事件响应、变更管理、风险评估、供应商管理、BCP/DR 等） - 以可供审计的格式记录**控制措施**：控制 ID、TSC 标准、类型、负责人、频率、证据和测试程序 - 生成映射到每项标准的**证据清单**，并提供 Type 1 与 Type 2 审计的抽样指导 - 处理**供应商风险**：分级、32 问安全问卷、SOC 2 报告审查、CUEC 跟踪和合同要求 - 调整其语气——为首次接触 SOC 2 的团队使用通俗语言，为从业者和审计师提供带有 AICPA 编码的技术性输出 **触发短语：** `SOC 2`、`Trust Services Criteria`、`TSC`、`CC6`、`Type 1`、`Type 2`、`AICPA`、`audit readiness`、`control statement`、`evidence` --- <a id="-fedramp"></a> ### 3. <img src="https://raw.githubusercontent.com/sushegaad/claude-skills-governance-risk-and-compliance/HEAD/assets/Logos/fedramp.svg" alt="FedRAMP" height="20" style="vertical-align:middle;object-fit:contain;"> FedRAMP [美国] **文件：** `FedRamp - Claude Skill/fedramp.skill` FedRAMP 技能将 Claude 转变为一名知识渊博的 FedRAMP 顾问，涵盖云服务提供商（CSP）在 **NIST SP 800-53 Rev 5** 和新的 **CR26（FedRAMP 2026 年综合规则）**框架下的完整授权生命周期。截至 2026 年 8 月的最新状态——CR26 已定稿（2027 年 1 月 1 日强制实施），包含认证等级 A–D（A = 试点/过渡，B = LI-SaaS/低，C = 中，D = 高），各等级通道于 2026 年 8 月开放，FedRAMP 20x 作为主要路径，Ready 于 2026 年 7 月 28 日退役（Legacy FedRAMP Ready），以及 2026 年 9 月 30 日对新授权的 OSCAL 强制要求。 **功能：** - 使用 75+ 项清单进行**准备情况和差距评估**，映射到 CR26 认证等级（A/B/C/D） - 指导 **ATO 文档**的编写：系统安全计划（SSP）、POA&M（具有正确的 SLA：严重=15 天，高=30 天，中=90 天，低=365 天）、SAP、SAR 以及所有附录（A–Q） - 在全部 20 个控制族中**映射 NIST 800-53 Rev 5 控制措施**；就 FedRAMP 20x 持续授权方法提供建议 - 为 AWS GovCloud、Azure Government 和 Google Cloud Government 提供**云架构指导** - 支持**持续监控（ConMon）**义务：月度交付物、POA&M SLA 管理、偏差请求 - 就 2026 年 9 月 30 日强制提交截止日期前的 **OSCAL 准备情况**提供建议 **触发短语：** `FedRAMP`、`ATO`、`SSP`、`POA&M`、`3PAO`、`NIST 800-53`、`ConMon`、`AWS GovCloud`、`Azure Government`、`CR26`、`FedRAMP 20x`、`OSCAL`、`Certification Class` --- <a id="-gdpr"></a> ### 4. 🇪🇺 GDPR [欧盟] **文件：** `GDPR - Claude Skill/gdpr-compliance.skill` GDPR 技能将 Claude 转变为一名专家级 GDPR 合规助手，在技术视角和法律视角之间架起桥梁。它涵盖完整的 **EU GDPR** 法规，并在规则不同之处附有 **UK GDPR（DPA 2018）**的说明，且会自动调整语气——为开发者使用技术性语言，为合规和隐私专业人士使用法律上精确的语言。 **功能：** - **审计代码、API、数据库模式和架构**中的 GDPR 违规行为，生成按严重程度分级（🔴/🟡/🟢）并映射到具体 GDPR 条款的发现 - 使用内置模板**起草合规文件**：隐私声明（第 13/14 条）、数据处理协议（第 28 条）、Cookie/同意横幅、DPIA（第 35 条）、数据保留政策和数据主体权利程序 - 以权威条款引用**回答合规问题**——每个回答先给出适用条款，然后是例外情况，最后是实际影响 - 从六个维度（什么、为什么、在哪里、谁、多长时间、如何保护）**审查数据流和 PII 处理**，并检查与 RoPA 要求的一致性 - 涵盖所有关键 GDPR 领域：合法性基础、同意、数据主体权利（第 15–22 条）、国际传输（第 44–49 条）、违规响应（第 32–34 条）、特殊类别数据（第 9–10 条）和处罚（第 77–84 条） **触发短语：** `GDPR`、`data protection`、`privacy`、`personal data`、`DPA`、`DPIA`、`lawful basis`、`data subject rights`、`consent`、`RoPA`、`Schrems II`、`ICO`、`EDPB` --- <a id="-hipaa"></a> ### 5. <img src="https://assets.kitploit.com/production/public/readmes/13360/1f1742cb6d5aac9160ceff87d2649d8946b0fb1e5657fc893991c5bea33b0e39.png" alt="HIPAA" height="20" style="vertical-align:middle;object-fit:contain;"> HIPAA [美国] **文件：** `HIPAA - Claude Skill/hipaa-compliance.skill` HIPAA 技能将 Claude 转变为一名知识渊博的 HIPAA 合规顾问，涵盖**隐私规则、安全规则和违规通知规则**（45 CFR 第 160 和 164 部分，经 HITECH 修订）。它既服务于构建处理 ePHI 系统的技术团队，也服务于管理组织义务的合规/法律团队。 **功能：** - **审查文件、系统和架构**中的 HIPAA 合规性，生成带有 CFR 引用、风险级别（高/中/低）和整改步骤的结构化发现 - 使用九个即用型模板**生成符合 HIPAA 的文件**：隐私实践通知（NPP）、业务伙伴协议（BAA）、授权表、员工培训确认书、安全事件报告、风险分析模板等——全部带有内联 CFR 引用 - 为现代云环境（AWS、Azure、GCP）、FHIR API、移动/BYOD 和 DevOps 流水线提供**技术保障措施建议**——涵盖全部 54 项安全规则实施规范（必需和可寻址） - 为任何受众**用通俗语言解释 HIPAA**——从需要加密指导的开发者到学习什么算作 PHI 的普通员工 - 使用 4 因素风险评估、通知时间表、HHS 报告义务和逐场景指导来**指导违规响应** **触发短语：** `HIPAA`、`PHI`、`ePHI`、`covered entity`、`business associate`、`BAA`、`NPP`、`breach notification`、`minimum necessary`、`Privacy Rule`、`Security Rule` --- <a id="-nist-csf"></a> ### 6. <img src="https://assets.kitploit.com/production/public/readmes/13360/fba4d5c506ea7fcdc93306f04418b0eaf2a7dc0b8ba9e77ac0164e657dc7aaff.jpg" alt="NIST CSF" height="20" style="vertical-align:middle;object-fit:contain;"> NIST CSF **文件：** `NIST Cybersecurity framework - Claude Skill/NIST Cybersecurity.skill` NIST CSF 技能将 Claude 转变为一名专家级 NIST 网络安全框架顾问，涵盖 **CSF 2.0**（2024 年 2 月）和 **CSF 1.1**（2018 年 4 月），默认使用当前的 CSF 2.0。它涵盖全部六项功能——**治理、识别、保护、检测、响应、恢复**——包括 CSF 2.0 中引入的新治理功能。 **功能：** - 在全部六项 CSF 2.0 功能、类别和子类别中进行结构化的**差距评估** - 构建与业务背景、风险容忍度和监管义务相一致的**组织概况**——当前和目标 - 从三个维度评估**实施层级**（1–4），并提供有针对性的提升指导 - 创建**优先级实施路线图**，包含分阶段的 30/60/90 天行动和战略行动 - 将 **CSF 子类别映射**到 NIST SP 800-53、ISO 27001:2022 和 CIS 控制措施 v8 - 生成**与 CSF 功能一致的政策**——治理政策、事件响应、数据安全、访问控制等 - 通过详细的子类别映射和迁移清单指导 **CSF 1.1 → CSF 2.0 迁移** **触发短语：** `NIST CSF`、`Cybersecurity Framework`、`CSF 2.0`、`Govern function`、`GV.SC`、`ID.AM`、`PR.AA`、`DE.CM`、`RS.MA`、`RC.RP`、`cybersecurity profile`、`implementation tiers`、`CSF gap assessment` --- <a id="-pci-dss"></a> ### 7. <img src="https://assets.kitploit.com/production/public/readmes/13360/9651b451d683651828153371df9dd17bf1a54db3a375de14d65d714ee6e5814a.png" alt="PCI DSS" height="20" style="vertical-align:middle;object-fit:contain;"> PCI DSS **文件：** `PCI Compliance - Claude Skill/PCI-Compliance.skill` PCI DSS 技能将 Claude 转变为一名专家级 PCI DSS 合规顾问，涵盖 **PCI DSS v4.0.1**（2024 年 6 月——当前版本），包括所有于 2025 年 3 月 31 日成为强制性的要求。它涵盖全部 12 项要求、全部 8 种 SAQ 类型、商户和服务提供商级别，以及 v4.0 相对于 v3.2.1 的关键变化。 **功能：** - **界定持卡人数据环境（CDE）的范围**——识别哪些在范围内、评估网络分段，并建议通过令牌化或 P2PE 缩小范围 - **选择正确的 SAQ 类型**——通过决策树引导完成 SAQ A、A-EP、B、B-IP、C、C-VT、P2PE 和 D 的选择并给出理由 - 在全部 12 项要求中进行结构化的**差距评估**，包含 QSA 证据要求和常见差距 - 为任何 PCI DSS 子要求提供**控制措施实施指导**——需要实施什么、需要什么证据以及常见陷阱 - 生成**符合 PCI DSS 的政策**——事件响应、访问控制、密码学、补丁管理、数据保留等 - 指导 **v3.2.1 → v4.0.1 迁移**，包括 MFA 扩展、支付页面脚本完整性（要求 6.4.3）、网络钓鱼防护（要求 5.4.1）和自动化日志审查（要求 10.4.1.1）的新要求 - 解释**定义方法与定制方法**以及何时使用针对性风险分析（TRA） **触发短语：** `PCI DSS`、`PCI compliance`、`cardholder data`、`CDE`、`SAQ`、`ROC`、`QSA`、`ASV scan`、`PAN`、`tokenisation`、`P2PE`、`merchant level`、`payment page`、`Req 8.4.2`、`Req 6.4.3` --- <a id="-tsa-cybersecurity"></a> ### 8. 🚨 TSA 网络安全 [美国] **文件：** `TSA Compliance - Claude Skill/TSA-Compliance.skill` TSA 网络安全技能将 Claude 转变为面向**关键交通基础设施**的 TSA 网络安全指令专家顾问。它涵盖所有现行的 TSA 安全指令系列——**SD Pipeline-2021-01G**、**SD Pipeline-2021-02F**、**SD 1580-21-01E**（货运铁路）和 **SD 1582-21-01E**（轨道交通/客运铁路）——以及 **2024 年 11 月 NPRM**，该提案拟将这些指令正式确立为永久性联邦法规。 > **关于 SSI 的说明：** 根据 49 CFR Part 1520，TSA 安全指令被归类为**敏感安全信息（SSI）**。本技能基于公开可获取的摘要、联邦公报通知以及 DHS/CISA 出版物构建——而非机密指令全文。受涵盖实体直接从 TSA 接收实际指令。 **功能：** - **确定适用性**——确定哪个指令系列适用于您的组织（管道、货运铁路、轨道交通或公交），以及这对您的合规义务意味着什么 - 在四个技术领域开展结构化**差距评估**：IT/OT 网络分段、访问控制（MFA）、持续监控和补丁管理 - **起草网络风险管理计划（CRMP）文档**：网络安全实施计划（CIP/COIP）、事件响应计划（IRP）、架构设计审查（ADR）和网络安全评估计划（CAP） - 指导 **OT/ICS 专项实施**——数据二极管、用于遗留 HMI 的跳板服务器、被动监控工具（Claroty、Dragos、Nozomi）、与供应商协调的 OT 补丁生命周期 - 解释 **24 小时 CISA 事件报告**义务：哪些事件符合条件、如何报告、初始报告语言示例以及 CIRCIA 重叠部分 - 就**年度 IRP 测试**提供建议——至少两个目标、测试场景、文档要求以及事后审查流程 - 解释 **2024 年 NPRM** 的影响：NIST CSF 2.0 对齐、CISA CPG 基线、拟议的 COIP 结构，以及规则最终确定后会发生哪些变化 **触发短语：** `TSA Security Directive`、`SD Pipeline-2021`、`SD 1580-21-01`、`SD 1582-21-01`、`TSA cybersecurity`、`Critical Cyber Systems`、`CCS`、`Cybersecurity Coordinator`、`Cybersecurity Implementation Plan`、`CIP`、`CRMP`、`IRP testing`、`Architecture Design Review`、`ADR`、`CAP`、`CISA 24-hour reporting`、`OT segmentation TSA`、`pipeline cybersecurity`、`rail cybersecurity directive`、`transit cybersecurity`、`TSA NPRM 2024` --- <a id="-iso-42001-ai-management-system"></a> ### 9. <img src="https://assets.kitploit.com/production/public/readmes/13360/94d64c693a5b55286e94f7b665a252f7981d797b4b7e7779f19ab215a3a3ee47.webp" alt="ISO 42001" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 42001 AI 管理体系 **文件：** `ISO 42001 - Claude Skill/ISO-42001.skill` ISO 42001 技能将 Claude 转变为 **ISO/IEC 42001:2023** AI 管理体系（AIMS）专家顾问——这是全球首个 AI 治理国际标准。它同时服务于 **AI 提供方**（开发或部署 AI 的组织）和 **AI 使用方**（集成第三方 AI 的组织），涵盖从差距评估到第二阶段审核准备就绪的完整认证生命周期。 **功能：** - 在所有强制性条款（4–10）和全部 **38 项附录 A 控制措施**（领域 A.2–A.10）中开展结构化**差距评估**，提供 🔴/🟡/🟢 状态、证据要求和分阶段整改路线图 - 逐步指导强制性的 **AI 系统影响评估（AISIA）**——识别受影响人群、评估影响维度（严重性、可逆性、广度、人工监督）、划分影响等级（低/中/高）并确定相称的控制要求 - 在所有风险类别中执行 **AI 风险评估**：模型风险（偏见、漂移、幻觉、对抗性攻击）、数据风险（质量、投毒、训练数据中的隐私）、运营风险（范围蔓延、人类过度依赖）和供应链风险（第三方模型风险、API 依赖） - 生成完整的**适用性声明（SoA）**，涵盖全部 38 项附录 A 控制措施（A.2.2–A.10.4），包含适用性决策、理由和实施状态 - 起草所有核心 **AIMS 政策**——AI 政策、AI 风险管理政策、AI 可接受使用政策、AI 数据治理政策、AI 事件管理政策、AI 系统生命周期政策和 AI 供应商管理政策——每项均包含文档控制块和条款引用 - 生成**第一阶段和第二阶段审核检查表**，包含 RAG 状态、每条款的证据要求以及审核员常见关注领域 - **将 ISO 42001 映射到 EU AI Act**——将 AISIA 与高风险 AI 系统的基本权利影响评估（FRIA）对齐；将附录 A 控制措施映射到 EU AI Act 技术要求 - **将 ISO 42001 与 ISO 27001 集成**，适用于构建统一 ISMS + AIMS 的组织 **触发短语：** `ISO 42001`、`ISO/IEC 42001`、`AI Management System`、`AIMS`、`AISIA`、`AI System Impact Assessment`、`responsible AI standard`、`AI governance standard`、`Annex A AI controls`、`AI risk assessment ISO`、`Statement of Applicability AI`、`AI policy ISO`、`AI certification`、`AI lifecycle controls`、`AI supplier management ISO`、`EU AI Act management system`、`NIST AI RMF ISO mapping`、`AI bias controls`、`AI transparency standard`、`AI incident management ISO` --- <a id="-iso-27701-privacy-information-management"></a> ### 10. <img src="https://assets.kitploit.com/production/public/readmes/13360/b05ef92cf5653e4c65e5e6ff9b54aad12fa9ffd3cbf4c65c09e8324f6e5db463.png" alt="ISO 27701" height="20" style="vertical-align:middle;object-fit:contain;"> ISO 27701 隐私信息管理 **文件：** `ISO 27701 - Claude Skill/iso27701.skill` ISO 27701 技能将 Claude 转变为 **ISO/IEC 27701:2025** 隐私信息管理体系（PIMS）专家顾问——涵盖从差距评估到认证的完整生命周期。它同时处理 **ISO 27701:2025**（新的独立版本）和 **ISO 27701:2019**（旧版 ISO 27001 扩展），并涵盖 **PII 控制者**和 **PII 处理者**两种角色。 **功能：** - 在所有强制性 HLS 条款（4–10）和全部 78 项附录 A 控制措施中开展结构化**差距分析**——31 项针对 PII 控制者（A.1）、18 项针对 PII 处理者（A.2），以及 29 项共享安全控制措施（A.3） - 生成完整、可随时接受审核的 **PIMS 政策文档**——隐私政策、处理活动记录（RoPA）、数据主体权利程序、隐私设计程序、数据处理协议（DPA）等 - 构建**隐私风险登记册**，重点关注对 PII 主体的伤害，为高风险处理触发 DPIA，并生成风险处置计划 - 创建**适用性声明（SoA）**，范围限定为组织的角色（控制者、处理者或两者兼有），包含适用性决策和理由 - 为每项 A.1、A.2 和 A.3 控制措施提供**逐项控制实施指导**——包含目的、实施步骤、审核证据和常见陷阱 - 通过完整的控制映射表、差距分析检查表和截至 2028 年 10 月截止日期的建议时间表，指导 **2019 → 2025 过渡** - **将 ISO 27701 逐条映射到 GDPR**，以及 CCPA/CPRA、LGPD、PIPEDA、PDPA（新加坡/泰国）和 UK GDPR **触发短语：** `ISO 27701`、`PIMS`、`privacy information management`、`PII controller`、`PII processor`、`privacy risk assessment`、`DPIA`、`data subject rights`、`records of processing activities`、`RoPA`、`privacy by design`、`data processing agreement`、`DPA`、`GDPR alignment ISO 27701`、`ISO 27701:2025`、`ISO 27701:2019`、`27701 transition`、`standalone PIMS`、`Annex A controller controls`、`Annex A processor controls` --- <a id="-dora-digital-operational-resilience"></a> ### 11. <img src="https://assets.kitploit.com/production/public/readmes/13360/d66c899f9e9c7cda51daceb14583af82e75aca1f0c7e9359e53f89ac6b47cac6.png" alt="DORA" height="20" style="vertical-align:middle;object-fit:contain;"> DORA [EU] — 数字运营韧性 **文件：** `DORA - Claude Skill/dora.skill` DORA 技能将 Claude 转变为 **Regulation (EU) 2022/2554**（数字运营韧性法案）专家顾问——这是自 2025 年 1 月 17 日起欧盟金融实体的锚定 ICT 法规。它编码了全部 64 条 DORA 条款、全部 12 项已通过的 RTS/ITS，并为每个合规工作流提供精确的条款级指导。它明确将 DORA 与 NIS2、旧版 EBA ICT 指南和 ISO 27001 区分开来——这是通用 LLM 响应中常见的混淆来源。 **功能：** - 在全部四大支柱中开展结构化 **DORA 差距分析**：ICT 风险管理框架（第二章，第 5–16 条）、事件管理（第三章，第 17–23 条）、韧性测试 / TLPT（第四章，第 24–27 条）和 ICT 第三方风险（第五章，第 28–44 条） - 依据第 18 条标准和 CDR (EU) 2024/1772 中的重要性阈值，指导 **ICT 相关事件分类**，并提供重大与非重大事件的完整决策树 - 依据第 19 条和 CDR (EU) 2025/301 构建**三阶段事件报告程序**——初始（4 小时）、中期（72 小时）、最终（1 个月）——包括每个阶段的内容要求 - 依据第 30(2)(a)–(i) 条审查和起草**合同条款**，标记与超大规模云提供商之间常见的审计权缺口 - 依据 CIR (EU) 2024/2956 构建或验证包含所有必填字段的**信息登记册** - 依据第 28(6) 条和第 29 条评估 **ICT 集中度风险**——包括对单一云提供商的多功能依赖 - 依据第 26 条和 CDR (EU) 2025/1190 界定 **TLPT 计划**范围，涵盖威胁情报阶段、红队测试、互认和测试人员资质要求 - 依据第 6–14 条和 CDR (EU) 2024/1774 起草 **ICT 风险管理框架**文档 - 精确区分**第二章**（主动式 ICT 风险治理）与**第三章**（被动式事件管理）——这是常见的合规混淆点 - 按确切的法规编号（CDR/CIR）引用全部 **12 项已通过的 RTS/ITS**，并提供条款级映射 **触发短语：** `DORA`、`Regulation (EU) 2022/2554`、`digital operational resilience`、`ICT risk management framework`、`DORA gap analysis`、`Art. 6 DORA`、`Art. 17 ICT incident`、`Art. 18 classification`、`Art. 19 incident reporting`、`Art. 26 TLPT`、`Art. 28 third-party risk`、`Art. 30 contractual provisions`、`Register of Information`、`CIR 2024/2956`、`CDR 2024/1772`、`CDR 2024/1773`、`CDR 2024/1774`、`CDR 2025/301`、`CDR 2025/1190`、`TLPT financial entities`、`ICT concentration risk`、`critical ICT TPSP`、`DORA vs NIS2`、`EBA ICT guidelines DORA`、`DORA incident classification`、`DORA reporting timelines`、`Chapter II DORA`、`Chapter III DORA` --- <a id="-dpdpa-india-digital-personal-data-protection"></a> ### 12. 🇮🇳 DPDPA [India] — 数字个人数据保护法 **文件：** `DPDPA - Claude Skill/dpdpa.skill` DPDPA 技能将 Claude 转变为印度 **2023 年数字个人数据保护法**及最终确定的 **2025 年 DPDP 规则**（2025 年 11 月 13 日通知，2027 年 5 月 13 日生效）的专家顾问。它涵盖该法全部 44 条和全部 23 条规则，提供精确的条款级引用、GDPR 对齐映射，以及针对印度公司和拥有印度数据主体的全球组织校准的指导。 **功能：** - 开展结构化 **DPDPA 差距分析**，涵盖通知与同意（第 5–6 条 + 规则 3–4）、合法处理（第 7 条）、数据受托人义务（第 8 条 + 规则 6–9）、儿童数据（第 9 条 + 规则 10–12）和 SDF 义务（第 10 条 + 规则 13） - 从 8 个关键维度**区分 DPDPA 与 GDPR**——范围（仅数字数据 vs. 所有个人数据）、合法性基础（DPDPA 中无正当利益）、同意标准（无条件 + 不得捆绑）、跨境传输（黑名单 vs. 白名单）、删除权（DPDPA 中范围更窄）、DPO 要求（仅 SDF；须为印度居民）、儿童门槛（18 岁 vs. 16 岁）和执法模式（单一委员会 vs. 多 DPA） - 依据规则 3 指导**通知设计**——独立格式、通俗语言、多语言义务（第八附表），以及针对生效前数据的遗留数据通知要求 - 就**仅有的两种合法性基础**提供建议——同意（第 6 条）和九种特定合法用途（第 7 条）——并识别在 DPDPA 下需要重新获得同意的 GDPR 处理活动 - 依据第 8(6) 条和规则 6 指导**违规通知**——72 小时委员会通知时限、内容要求、处理者通知义务，以及与 GDPR 风险阈值方法的差异（所有违规均须通知委员会） - 设计**儿童数据合规计划**——18 岁门槛、规则 12 家长验证方法（DigiLocker、政府令牌、现有已验证数据、虚拟令牌），以及对跟踪/画像/定向广告的绝对禁止 - 就**重要数据受托人（SDF）**的额外义务提供建议——印度居民 DPO（第 10 条 + 规则 13(2)）、年度 DPIA（规则 13(3)）、年度独立审计（规则 13(4)）和数据本地化准备 - 指导**数据主体权利履行**——访问（第 11 条）、更正/删除（第 12 条）、申诉救济（第 13 条——向委员会投诉前必须穷尽），以及独特的提名权（第 14 条） --- [Read more](https://github.com/sushegaad/claude-skills-governance-risk-and-compliance)
