作者 Sushegaad · Sushegaad/Claude-Skills-Governance-Risk-and-Compliance
9个合规框架化为Claude技能——ISO 27001、SOC 2、FedRAMP、GDPR、HIPAA、NIST CSF、PCI DSS、TSA、ISO 42001。评测通过率94%，相比基准的72%。
一个专注GRC的技能库：每个框架对应一个SKILL.md，包含差距评估、带法规引用的政策模板、控制实现指南和审计证据清单。涵盖ISO 27001的2013和2022两个版本、SOC 2信任标准、通过NIST SP 800-53 Rev 5的FedRAMP，以及ISO 42001 AI管理体系。
何时使用： 企业客户要求SOC 2认证，你需要评估还差多远的距离。
结果： 一条清晰的SOC 2 Type I达成路径，附带示例政策。
何时使用： 新功能处理个人数据，且你需要一份数据保护影响评估。
结果： 一份你的DPO可以审阅和最终确定的DPIA草案。
何时使用： 你在构建PHI处理服务，需要映射每个HIPAA保护措施。
结果： 一份HIPAA控制矩阵和数据泄露应对准备手册。
生成实现政策的IaC控制措施
将HIPAA技术保护措施映射到特定的AWS服务
| 工具 | 输入参数 | 何时调用 | 成本 |
|---|---|---|---|
| Gap assessment | current posture + framework | 任何合规项目的开始阶段 | 0 |
| Policy template generation | gap + framework | 关闭差距时 | 0 |
| Control implementation guide | control ID | 实现特定控制措施时 | 0 |
| Evidence checklist | framework + scope | 审计准备阶段 | 0 |
技能引用了过时的控制版本明确指定框架版本（例如'ISO 27001:2022'而非只说'ISO 27001'）。
政策模板太通用提供你特定的技术栈和司法管辖权，以便技能可以定制。
| 替代方案 | 何时用它替代 | 权衡 |
|---|---|---|
| GRC平台（Vanta、Drata、Secureframe） | 你想要自动化证据收集和持续监控 | 付费服务；这个技能是为了指导，不是自动化 |
| 法律顾问 | 你需要具有约束力的法律建议 | 这个技能不能替代律师——它提供信息和加速，但不能做决定 |