/ 目錄 / 演練場 / Claude-Skills-Governance-Risk-and-Compliance
← 全部伺服器 ↗ GitHub
● 社群 Sushegaad ⚡ 即開即用

Claude-Skills-Governance-Risk-and-Compliance

作者 Sushegaad · Sushegaad/Claude-Skills-Governance-Risk-and-Compliance

9 個合規框架作為 Claude 技能 — ISO 27001、SOC 2、FedRAMP、GDPR、HIPAA、NIST CSF、PCI DSS、TSA、ISO 42001。評估通過率 94%，基準為 72%。

以 GRC 為核心的技能函式庫：每個框架配備一份 SKILL.md，涵蓋落差評估、附引用來源的政策範本、控制措施實施指引及稽核證據清單。支援 ISO 27001 2013 與 2022 版本、SOC 2 信任服務標準、基於 NIST SP 800-53 Rev 5 的 FedRAMP，以及 ISO 42001 AI 管理系統。

▶ 觀看演示 📦 安裝 💡 使用場景

為什麼要用

核心特性

即時演示

實際使用效果

claude-skills-governance-risk-and-compliance-skill.replay ▶ 就緒
0/0

安裝

作者儲存庫 · Claude Skills 官方文件

使用場景

實戰用法： Claude-Skills-Governance-Risk-and-Compliance

為 SaaS 新創公司執行 SOC 2 準備度評估

👤 準備取得 SOC 2 Type I 認證的創辦人及早期階段 CTO ⏱ ~90 min advanced

何時使用： 企業客戶要求提供 SOC 2 報告，您需要了解目前距離合規標準還有多遠。

步驟
  1. 執行落差評估
    Use the SOC 2 skill. Assess our readiness across CC, A, C, PI, P — here's our current security setup [paste].✓ 已複製
    → 依各項標準列出落差清單並標示嚴重程度
  2. 產生政策範本
    Give me policy templates for the top 5 gaps, with specific controls and citations.✓ 已複製
    → 附有 CC/A/C/PI/P 條文引用的政策文件
  3. 證據清單
    What evidence do we need to collect before the audit?✓ 已複製
    → 依優先順序排列並標明負責人的收集清單

結果： 清楚的 SOC 2 Type I 達成路徑，並附有政策範本。

注意事項
  • 將技能產出直接視為最終稽核交付物 — 務必搭配人工稽核師；此技能加速準備工作，無法取代正式認證

為新功能草擬 GDPR 資料保護影響評估（DPIA）

👤 負責推出面向歐盟功能的隱私負責人及工程師 ⏱ ~45 min advanced

何時使用： 新功能涉及處理個人資料，需要進行資料保護影響評估。

步驟
  1. 描述功能內容
    Use the GDPR skill. Draft a DPIA for: our new recommendation engine that processes behavioral data from EU users.✓ 已複製
    → 包含合法依據、風險評估及緩解措施的 DPIA 架構
  2. 殘餘風險審查
    What residual risks remain and what safeguards close them?✓ 已複製
    → 具體的緩解措施，而非制式化內容

結果： 可供個資保護官（DPO）審閱並定稿的 DPIA 草稿。

注意事項
  • 忽略英國 GDPR 的差異 — 技能已包含英國相關說明 — 請明確提出詢問

將工程控制措施對應至 HIPAA 安全規則

👤 建置面向醫療保健服務的工程團隊 ⏱ ~60 min advanced

何時使用： 您正在建置處理 PHI 的服務，需要對應每項 HIPAA 安全保護措施。

步驟
  1. 盤點現有控制措施
    Use the HIPAA skill. Here's our tech stack and current controls [paste]. Map to Security Rule administrative, physical, technical safeguards.✓ 已複製
    → 逐項安全保護措施的對應關係，並標記落差
  2. 違反通知準備計畫
    What do we need for a compliant breach-notification workflow?✓ 已複製
    → 包含時程與負責角色的操作手冊

結果： HIPAA 控制措施矩陣以及資安事件應變操作手冊。

注意事項
  • 誤以為簽署 BAA 即等於完全合規 — 技能會區分 BAA 範疇與更廣泛的安全規則要求

組合

與其他 MCP 搭配，撬動十倍槓桿

claude-skills-governance-risk-and-compliance-skill + terraform-skill

產生實作政策的基礎設施即程式碼（IaC）控制措施

For the access-control policy from SOC 2 skill, write Terraform modules that enforce it in AWS.✓ 已複製
claude-skills-governance-risk-and-compliance-skill + aws-agent-skill

將 HIPAA 技術安全保護措施對應至具體的 AWS 服務

For each HIPAA Security Rule technical safeguard, show the AWS services that implement it.✓ 已複製

工具

此 MCP 暴露的能力

工具輸入參數何時呼叫成本
Gap assessment current posture + framework 任何合規計畫的起始階段 0
Policy template generation gap + framework 修補落差時使用 0
Control implementation guide control ID 實作特定控制措施時使用 0
Evidence checklist framework + scope 稽核準備階段使用 0

成本與限制

運行它的成本

API 配額
None
每次呼叫 Token 數
每次框架互動約 10-30k tokens — 耗用較高
費用
免費 — 技能為本機執行
提示
每次聚焦於單一框架；跨框架作業會使 context 大幅膨脹。

安全

權限、密鑰、影響範圍

憑證儲存： 無需憑證 — 技能為純提示詞形式
資料出站： 技能本身不會將資料傳送至外部

故障排查

常見錯誤與修復

Skill cites an outdated control version

請明確指定框架版本（例如使用 'ISO 27001:2022'，而非僅寫 'ISO 27001'）。

Policy template is too generic

請提供您的具體技術堆疊與所在司法管轄區，讓技能能夠客製化內容。

替代方案

Claude-Skills-Governance-Risk-and-Compliance 對比其他方案

替代方案何時用它替代權衡
GRC platforms (Vanta, Drata, Secureframe)您需要自動化證據收集與持續監控功能為付費服務；本技能提供的是指引，而非自動化工具
Legal counsel您需要具法律效力的正式法律建議本技能無法取代律師 — 它提供資訊並加速流程，但不做最終決策

更多

資源

📖 閱讀 GitHub 上的官方 README

🐙 查看未解決的 issue

🔍 瀏覽全部 400+ MCP 伺服器和 Skills