information-security-manager-iso27001

Descripción general de la skill information-security-manager-iso27001

Para qué sirve esta skill

La skill information-security-manager-iso27001 ayuda a un agente de IA a apoyar trabajos de SGSI conforme a ISO 27001:2022, especialmente para equipos de HealthTech, MedTech, sistemas con datos de pacientes y software regulado. Está pensada para tareas prácticas de revisión de cumplimiento: evaluación de riesgos, mapeo de controles del Anexo A, planificación de evidencias, preparación de respuesta a incidentes, preparación para la certificación y análisis de brechas de auditoría.

Usuarios y trabajos para los que encaja mejor

Usa esta skill si eres responsable de seguridad, líder de cumplimiento, profesional de calidad o regulación, fundador/a o líder de ingeniería y necesitas resultados estructurados sobre ISO 27001 sin partir de un prompt en blanco. Resulta más útil cuando ya tienes un sistema objetivo, alcance de negocio, activos, controles, incidentes o una pregunta de auditoría, y quieres que el agente convierta ese contexto en un registro de riesgos, un plan de remediación, apoyo para una Declaración de Aplicabilidad o un flujo de respuesta a incidentes.

Qué la hace diferente

A diferencia de un prompt genérico sobre ISO 27001, esta skill incluye material de referencia orientado a salud y dos scripts auxiliares: scripts/risk_assessment.py para trabajo de riesgos al estilo de la cláusula 6.1.2 de ISO 27001, y scripts/compliance_checker.py para reportes simplificados de estado de controles y brechas. Los archivos de referencia cubren evidencias de implementación del Anexo A, metodología de evaluación de riesgos y gestión de incidentes con niveles de severidad y expectativas de respuesta.

Consideraciones antes de adoptarla

Esta skill no sustituye a un auditor acreditado, asesoría legal, DPO u organismo de certificación. El catálogo de controles y los scripts incluidos son aceleradores útiles, pero debes validar los resultados frente al alcance real de tu SGSI, los requisitos de ISO 27001:2022, la normativa sanitaria local, las obligaciones contractuales y las expectativas del auditor.

Cómo usar la skill information-security-manager-iso27001

Instalación de information-security-manager-iso27001

Instala la skill desde el repositorio de GitHub con:

npx skills add alirezarezvani/claude-skills --skill information-security-manager-iso27001

Después de la instalación, revisa el directorio de la skill antes de confiar en ella dentro de un flujo real de cumplimiento. Empieza por SKILL.md y luego lee:

• references/risk-assessment-guide.md
• references/iso27001-controls.md
• references/incident-response.md
• scripts/risk_assessment.py
• scripts/compliance_checker.py

La ruta de origen es ra-qm-team/skills/information-security-manager-iso27001 en alirezarezvani/claude-skills.

Entradas que producen mejores resultados

La skill funciona mejor cuando tu prompt incluye contexto concreto del SGSI. Proporciona:

• Tipo de organización: HealthTech SaaS, fabricante MedTech, plataforma clínica, servicio cloud, etc.
• Alcance: producto, departamento, entorno cloud, flujo de datos o límite del sistema
• Activos: historiales de pacientes, telemetría de dispositivos médicos, código fuente, infraestructura cloud, backups
• Controles actuales: IAM, logging, cifrado, gestión de vulnerabilidades, revisión de proveedores
• Objetivo de cumplimiento: preparación para certificación, auditoría interna, revisión de brechas de control, respuesta a incidentes
• Restricciones: tamaño del equipo, proveedor cloud, plazo, tolerancia al riesgo, evidencias disponibles

Prompt débil:

Help with ISO 27001 compliance.

Prompt más sólido:

Use information-security-manager-iso27001 for Compliance Review. Assess ISO 27001 readiness for a HealthTech SaaS handling patient records in AWS. Scope includes web app, PostgreSQL database, S3 document storage, CI/CD, and support team access. Current controls include MFA, encryption at rest, basic logging, vendor DPAs, and quarterly vulnerability scans. Produce a risk register, Annex A control gaps, evidence checklist, and 90-day remediation plan.

Flujo práctico de uso

Un flujo fiable de information-security-manager-iso27001 usage es:

1. Definir el alcance del SGSI y los activos.
2. Ejecutar, o pedir al agente que simule, una evaluación de riesgos usando la metodología de references/risk-assessment-guide.md.
3. Mapear los principales riesgos con controles del Anexo A usando references/iso27001-controls.md.
4. Generar un análisis de brechas y una lista de verificación de evidencias.
5. Revisar la preparación de respuesta a incidentes con references/incident-response.md.
6. Convertir las recomendaciones en responsables, fechas límite, artefactos de evidencia y registros listos para auditoría.

Si usas los scripts directamente, prueba:

python scripts/risk_assessment.py --scope "patient-data-system" --output risk_register.json
python scripts/compliance_checker.py --standard iso27001 --gap-analysis --output gaps.md

Revisa los argumentos de los scripts y los formatos de archivo esperados en el código fuente antes de integrarlos en tu pipeline de cumplimiento.

Patrones de prompt que activan bien la skill information-security-manager-iso27001

Usa instrucciones directas para que el agente sepa que debe aplicar la skill:

• “Use information-security-manager-iso27001 to create an ISO 27001 risk assessment for…”
• “Perform an Annex A control gap analysis for…”
• “Prepare an ISO 27001 audit evidence checklist for…”
• “Review our incident response plan against ISO 27001 expectations…”
• “Create a Statement of Applicability draft based on these implemented controls…”

Para obtener mejores resultados, pide salidas estructuradas, como tablas con Control, Current State, Gap, Risk, Evidence, Owner y Priority.

Preguntas frecuentes sobre la skill information-security-manager-iso27001

¿Esta skill es solo para empresas de salud?

No, pero donde mejor encaja es en salud, HealthTech y MedTech, porque las referencias incluyen ejemplos sobre datos de pacientes, ciberseguridad de dispositivos médicos, respuesta a incidentes y entornos regulados. Los equipos SaaS generales también pueden usar la estructura de riesgos y controles de ISO 27001, aunque quizá tengan que eliminar supuestos específicos del sector sanitario.

¿En qué mejora a un prompt normal sobre ISO 27001?

Un prompt normal puede generar recomendaciones amplias. La information-security-manager-iso27001 skill ofrece al agente un marco de trabajo definido: trabajo de SGSI conforme a ISO 27001:2022, evidencias de controles del Anexo A, metodología de evaluación de riesgos, clasificaciones de incidentes y scripts auxiliares. Esto reduce las suposiciones y hace que los resultados sean más consistentes entre revisiones.

¿Pueden usarla personas principiantes?

Sí, siempre que aporten suficiente contexto y traten el resultado como una redacción guiada, no como una autoridad final de cumplimiento. Las personas principiantes deberían empezar con solicitudes acotadas: un sistema, un área de control, un registro de riesgos o una lista de evidencias. Evita pedir un SGSI completo en una sola pasada si no puedes revisar y validar los supuestos.

¿Cuándo no debería usarla?

No uses esta skill como única base para decisiones de certificación, afirmaciones legales, presentaciones regulatorias de dispositivos médicos u obligaciones de notificación de brechas. Tampoco encaja bien si necesitas ingeniería de implementación en profundidad, pruebas de penetración, validación de configuración cloud o asesoramiento de privacidad específico de una jurisdicción sin revisión experta.

Cómo mejorar la skill information-security-manager-iso27001

Prioriza las evidencias en los prompts

El fallo más común es obtener una salida que suena conforme, pero no está vinculada a evidencias. Mejora los resultados proporcionando al agente artefactos reales o resúmenes: nombres de políticas, exportaciones de control de acceso, filas del registro de riesgos, listas de proveedores, registros de incidentes, evidencias de pruebas de backup, informes de vulnerabilidades y hallazgos de auditorías anteriores. Pídele que distinga entre implemented, partially implemented, not implemented y unknown.

Ajusta las salidas para revisión de cumplimiento

Para information-security-manager-iso27001 for Compliance Review, solicita una estructura cómoda para auditoría:

• Cláusula de ISO 27001 o control del Anexo A
• Resumen del requisito
• Implementación actual
• Evidencia disponible
• Evidencia faltante
• Riesgo o impacto de auditoría
• Remediación recomendada
• Responsable y fecha objetivo

Este formato facilita convertir la salida de IA en un tracker de auditoría operativo, en lugar de un informe narrativo.

Itera después del primer resultado

Usa la primera salida para detectar información faltante y luego vuelve a introducir correcciones en la skill. Por ejemplo: “Revise the gap analysis assuming MFA is enforced for workforce users but not for third-party support accounts,” o “Re-rank risks using high impact for patient data confidentiality and medium likelihood for cloud misconfiguration.” La iteración mejora la precisión más que pedir una respuesta inicial más grande.

Adapta la skill a tu organización

Para mejorar localmente la skill information-security-manager-iso27001, añade plantillas y ejemplos específicos de tu organización: declaración de alcance del SGSI, matriz de riesgos, modelo de propietarios de controles, convención de nombres para evidencias, niveles de riesgo de proveedores, contactos de escalado de incidentes y calendario de auditoría. Mantén el material personalizado separado de los archivos upstream para poder actualizar la skill de GitHub sin perder el contexto interno de cumplimiento.