information-security-manager-iso27001

information-security-manager-iso27001 skillの概要

このskillの用途

information-security-manager-iso27001 skillは、AIエージェントがISO 27001:2022のISMS業務を支援するためのskillです。特に、HealthTech、MedTech、患者データを扱うシステム、規制対象のソフトウェアチームに向いています。リスクアセスメント、Annex A管理策のマッピング、証跡計画、インシデント対応の準備、認証取得に向けた準備状況の確認、監査ギャップ分析など、実務的なコンプライアンスレビューを想定して作られています。

向いているユーザーと業務

セキュリティマネージャー、コンプライアンス責任者、品質・規制対応担当者、創業者、エンジニアリングリーダーなど、空のプロンプトから始めずに、構造化されたISO 27001関連のアウトプットを得たい場合にこのskillが役立ちます。対象システム、事業スコープ、資産、管理策、インシデント、監査上の論点がすでにあり、それらの文脈をもとにエージェントへリスク登録簿、是正計画、Statement of Applicabilityの作成支援、インシデント対応ワークフローを作らせたい場合に特に有用です。

他との違い

一般的なISO 27001プロンプトと異なり、このskillにはヘルスケア領域を意識した参照資料と、2つの補助スクリプトが含まれています。ISO 27001 Clause 6.1.2に沿ったリスク作業向けのscripts/risk_assessment.pyと、簡易的な管理策ステータス確認およびギャップレポート向けのscripts/compliance_checker.pyです。参照ファイルには、Annex Aの実装証跡、リスクアセスメント手法、重大度レベルと対応期待値を含むインシデント対応が整理されています。

導入時の注意点

このskillは、認定監査人、弁護士、DPO、認証機関の代替にはなりません。含まれている管理策カタログやスクリプトは有用な作業促進ツールですが、出力結果は必ず、自社の実際のISMSスコープ、ISO 27001:2022の要求事項、地域の医療関連規制、契約上の義務、監査人の期待値と照合して確認してください。

information-security-manager-iso27001 skillの使い方

information-security-manager-iso27001のインストール

GitHubリポジトリから次のコマンドでskillをインストールします。

npx skills add alirezarezvani/claude-skills --skill information-security-manager-iso27001

インストール後は、本番のコンプライアンス業務で使う前にskillディレクトリを確認してください。まずSKILL.mdを読み、その後に次のファイルを確認します。

• references/risk-assessment-guide.md
• references/iso27001-controls.md
• references/incident-response.md
• scripts/risk_assessment.py
• scripts/compliance_checker.py

ソースパスは、alirezarezvani/claude-skills内のra-qm-team/skills/information-security-manager-iso27001です。

精度を上げる入力情報

このskillは、プロンプトに具体的なISMSの文脈が含まれているほど効果を発揮します。次の情報を入力してください。

• 組織タイプ: HealthTech SaaS、MedTechメーカー、クリニック向けプラットフォーム、クラウドサービスなど
• スコープ: プロダクト、部門、クラウド環境、データフロー、システム境界
• 資産: 患者記録、医療機器テレメトリ、ソースコード、クラウドインフラ、バックアップ
• 現行管理策: IAM、ログ取得、暗号化、脆弱性管理、サプライヤーレビュー
• コンプライアンス目的: 認証準備、内部監査、管理策ギャップレビュー、インシデント対応
• 制約条件: チーム規模、クラウドプロバイダー、期限、リスク許容度、利用可能な証跡

弱いプロンプト例:

Help with ISO 27001 compliance.

より良いプロンプト例:

Use information-security-manager-iso27001 for Compliance Review. Assess ISO 27001 readiness for a HealthTech SaaS handling patient records in AWS. Scope includes web app, PostgreSQL database, S3 document storage, CI/CD, and support team access. Current controls include MFA, encryption at rest, basic logging, vendor DPAs, and quarterly vulnerability scans. Produce a risk register, Annex A control gaps, evidence checklist, and 90-day remediation plan.

実務で使うワークフロー

信頼性の高いinformation-security-manager-iso27001 usageの流れは次のとおりです。

1. ISMSのスコープと資産を定義する。
2. references/risk-assessment-guide.mdの手法を使って、リスクアセスメントを実行する、またはエージェントにシミュレーションさせる。
3. references/iso27001-controls.mdを使って、主要リスクをAnnex A管理策にマッピングする。
4. ギャップ分析と証跡チェックリストを作成する。
5. references/incident-response.mdを使って、インシデント対応の準備状況を確認する。
6. 推奨事項を、担当者、期限、証跡成果物、監査対応可能な記録に変換する。

スクリプトを直接使う場合は、次を試してください。

python scripts/risk_assessment.py --scope "patient-data-system" --output risk_register.json
python scripts/compliance_checker.py --standard iso27001 --gap-analysis --output gaps.md

コンプライアンスパイプラインへ組み込む前に、ソースでスクリプト引数と想定されるファイル形式を確認してください。

skillをうまく起動するプロンプトパターン

エージェントがこのskillを適用すべきだと分かるように、タスクを直接指定します。

• “Use information-security-manager-iso27001 to create an ISO 27001 risk assessment for…”
• “Perform an Annex A control gap analysis for…”
• “Prepare an ISO 27001 audit evidence checklist for…”
• “Review our incident response plan against ISO 27001 expectations…”
• “Create a Statement of Applicability draft based on these implemented controls…”

最良の結果を得るには、Control、Current State、Gap、Risk、Evidence、Owner、Priorityなどの列を持つ表のように、構造化されたアウトプットを依頼してください。

information-security-manager-iso27001 skillのFAQ

このskillは医療系企業専用ですか？

いいえ。ただし、患者データ、医療機器のサイバーセキュリティ、インシデント対応、規制対象環境に関する例が参照資料に含まれているため、ヘルスケア、HealthTech、MedTechとの相性が特に高いskillです。一般的なSaaSチームでもISO 27001のリスク管理や管理策の構造は活用できますが、ヘルスケア固有の前提は取り除く必要がある場合があります。

通常のISO 27001プロンプトより何が優れていますか？

通常のプロンプトでは、広く一般的な助言になりがちです。information-security-manager-iso27001 skillは、ISO 27001:2022のISMS業務、Annex A管理策の証跡、リスクアセスメント手法、インシデント分類、補助スクリプトという明確な作業フレームをエージェントに与えます。これにより推測が減り、レビューごとの出力の一貫性が高まります。

初心者でも使えますか？

はい。十分な文脈を提供し、出力を最終的なコンプライアンス判断ではなく、ガイド付きのドラフトとして扱うなら利用できます。初心者は、1つのシステム、1つの管理策領域、1つのリスク登録簿、1つの証跡チェックリストのように、範囲を絞った依頼から始めるのがよいでしょう。前提をレビューして検証できない場合は、完全なISMSを一度に作らせる依頼は避けてください。

使うべきでないケースは？

認証判断、法的主張、医療機器の規制申請、漏えい通知義務の判断について、このskillを唯一の根拠にしてはいけません。また、専門家レビューなしで、深い実装エンジニアリング、ペネトレーションテスト、クラウド設定の妥当性確認、法域別のプライバシー助言が必要な場合にも適していません。

information-security-manager-iso27001 skillを改善する方法

証跡を起点にプロンプトを作る

最もよくある失敗は、コンプライアンス対応しているように見えるものの、証跡に結び付いていない出力です。結果を改善するには、実際の成果物やその要約をエージェントに与えてください。たとえば、ポリシー名、アクセス制御のエクスポート、リスク登録簿の行、ベンダー一覧、インシデントログ、バックアップテスト記録、脆弱性レポート、過去の監査指摘などです。さらに、implemented、partially implemented、not implemented、unknownを区別するよう依頼してください。

コンプライアンスレビュー向けに出力を調整する

information-security-manager-iso27001 for Compliance Reviewでは、監査人が読みやすい構造を依頼します。

• ISO 27001 clause or Annex A control
• Requirement summary
• Current implementation
• Evidence available
• Evidence missing
• Risk or audit impact
• Recommended remediation
• Owner and target date

この形式にすると、AIの出力を単なる説明文レポートではなく、実際に使える監査トラッカーへ変換しやすくなります。

初回結果のあとに反復する

最初の出力は、不足情報を見つけるために使い、その後で修正情報をskillに戻してください。たとえば、“Revise the gap analysis assuming MFA is enforced for workforce users but not for third-party support accounts,” や “Re-rank risks using high impact for patient data confidentiality and medium likelihood for cloud misconfiguration.” のように依頼します。最初から大きな回答を求めるより、反復したほうが精度は上がります。

自社向けにskillを拡張する

ローカルでinformation-security-manager-iso27001 skillを改善するには、自社固有のテンプレートや例を追加します。たとえば、ISMSスコープ記述、リスクマトリクス、管理策の責任分担モデル、証跡の命名規則、サプライヤーリスク階層、インシデントエスカレーション連絡先、監査カレンダーなどです。GitHub上のskillを更新しても社内のコンプライアンス文脈を失わないよう、カスタム資料は upstream files とは分けて管理してください。