ciso-review
por alirezarezvaniciso-review é um prompt de Security Audit no estilo CISO para planos que envolvem dados de clientes, conformidade, fornecedores, limites de confiança ou acesso a produção. Ele usa seis perguntas orientadoras — modelo de ameaças, raio de impacto, detecção, resposta, exposição regulatória e risco de lançar/não lançar — para transformar um plano em bloqueios, mitigações e orientação de lançamento.
Esta skill recebe 72/100, o que significa que é aceitável para listagem no diretório, mas é mais indicada para usuários que querem um checklist leve de revisão de segurança, não um sistema completo de revisão CISO. As evidências do repositório mostram um SKILL.md válido, focado, com um comando claro, situações de acionamento e perguntas orientadoras substanciais, mas faltam materiais de apoio, exemplos e orientações de instalação que dariam mais confiança na adoção.
- Gatilho e invocação claros: `/cs:ciso-review <plan>` para planos que envolvem dados de clientes, conformidade, acesso a produção, auditorias, incidentes ou mudanças em limites de confiança.
- Oferece uma estrutura concisa de revisão no estilo CISO com seis perguntas orientadoras, incluindo modelagem de ameaças STRIDE, raio de impacto, detecção, resposta a incidentes e questões regulatórias.
- Dá aos agentes mais força do que um prompt genérico ao citar conceitos específicos de segurança, como PII/PHI/cardholder data, ALE baseado em FAIR, MTTD, alerts, responsabilidade de on-call e runbooks testados em tabletop.
- Não há arquivos de apoio, referências, exemplos ou instruções de instalação, então os usuários precisam se basear inteiramente no conteúdo do SKILL.md.
- A orientação operacional parece guiada por perguntas, e não por um fluxo completo de revisão com modelos, critérios de pontuação ou exemplos concretos de entregáveis.
Visão geral da skill ciso-review
O que a ciso-review faz
A skill ciso-review é um prompt de revisão executiva de segurança para planos que envolvem dados de clientes, escopo de compliance, fornecedores, acesso à produção ou fronteiras de confiança. Ela estrutura a revisão em torno de seis perguntas de pressão no estilo CISO: modelo de ameaças, raio de impacto, detecção, resposta a incidentes, exposição regulatória e risco de lançar ou não lançar.
Use quando você precisar de um olhar cético de Security Audit antes de uma mudança em produção, decisão sobre fornecedor, marco de auditoria ou plano corretivo pós-incidente. O valor não está em “conselhos gerais de segurança”, e sim em uma investigação estruturada que força um assistente de IA a identificar o que pode dar errado, quão grave pode ser, se você conseguiria detectar o problema e o que precisa ser corrigido antes do lançamento.
Usuários e decisões para os quais a skill é mais indicada
A skill ciso-review é indicada para líderes de engenharia, founders, gerentes de segurança, responsáveis por compliance e times de plataforma que precisam de uma revisão rápida antes de seguir em frente, sem transformar toda decisão em uma avaliação formal completa. Ela é especialmente útil antes de implantar sistemas que envolvam PII, PHI, dados de pagamento, autenticação, autorização, logging, integrações com terceiros ou acesso privilegiado.
Ela é menos adequada para pesquisa profunda de exploits, varredura de vulnerabilidades em código-fonte ou para substituir um avaliador de segurança qualificado. Trate-a como uma ferramenta para melhorar a qualidade da decisão: ela ajuda a expor riscos, refinar perguntas e se preparar para uma conversa real de Security Audit.
Por que ela é diferente de um prompt genérico
Um prompt genérico do tipo “revise isto do ponto de vista de segurança” costuma gerar checklists amplos. A skill ciso-review direciona o assistente para atuar como uma função de pressão de CISO: modelagem de ameaças com STRIDE, pior cenário de raio de impacto, raciocínio de perdas no estilo FAIR, prontidão de detecção, prontidão de resposta a incidentes e impacto de compliance.
Essa estrutura importa porque os bloqueios de adoção geralmente não são “esquecemos que segurança existe”; eles são ownership indefinido, exposição não quantificada, ausência de detecção, planos de resposta não testados e critérios de lançamento pouco claros.
Como usar a skill ciso-review
Instalação da ciso-review e caminho no repositório
Para instalar a partir do repositório de skills no GitHub, use o fluxo padrão de instalação de skills do diretório, por exemplo:
npx skills add alirezarezvani/claude-skills --skill ciso-review
A skill fica em:
c-level-advisor/c-level-agents/skills/ciso-review/SKILL.md
Não há scripts extras, pastas de referência ou arquivos de regras complementares indicados nas evidências do repositório, então leia SKILL.md primeiro. A implementação é compacta: o principal recurso é o padrão de comando /cs:ciso-review <plan> e o fluxo de revisão em seis perguntas.
Entradas de que a skill precisa
Para usar bem a ciso-review, não envie uma ideia em uma única linha. Forneça o plano, a arquitetura, os dados envolvidos, os usuários afetados, fornecedores, caminhos de acesso, controles, monitoramento, contexto de compliance e cronograma de lançamento.
Prompt fraco:
/cs:ciso-review We are adding a new analytics vendor.
Prompt mais forte:
/cs:ciso-review Review our plan to send product usage events to Vendor X. Data includes user_id, email, workspace_id, IP address, feature events, and timestamps. Vendor receives data via server-side API from production. SOC 2 scope applies; GDPR users are included. We currently have a DPA draft, SSO for vendor admin access, no field-level tokenization, logs in Datadog, and no specific detection rule for abnormal export volume. Launch target is next Friday. Identify top risks, required blockers, detection gaps, and a ship/no-ship recommendation.
A versão mais forte melhora a saída porque dá ao assistente contexto suficiente para avaliar raio de impacto, detecção, exposição regulatória e prontidão de resposta, em vez de inventar premissas.
Fluxo prático para preparação de Security Audit
Use a skill ciso-review antes do sign-off de segurança, não depois que a implementação estiver congelada. Um fluxo útil é:
- Escreva o plano de mudança em linguagem simples.
- Adicione um inventário de dados: tipos de dados, sensibilidade, residência, retenção e número de usuários afetados.
- Adicione fronteiras de confiança: serviços internos, fornecedores, admins, clientes, CI/CD e acesso à produção.
- Execute
/cs:ciso-review <plan>. - Converta os achados em bloqueadores, mitigações, responsáveis e prazos.
- Rode a skill novamente após as mudanças para verificar se o risco residual é aceitável.
Para prontidão de auditoria, peça ao assistente para separar “evidências que temos” de “evidências de que ainda precisamos”. Isso torna a saída mais útil para pacotes de SOC 2, ISO 27001, HIPAA, GDPR ou revisão de segurança de fornecedores.
Dicas para melhorar a saída
Peça uma tabela de riscos priorizada em vez de uma narrativa se você precisar de clareza para execução. Inclua probabilidade, impacto, ativos afetados, controles atuais, controles ausentes, responsável e decisão recomendada.
Bons complementos incluem:
- “Use STRIDE and call out the top 3 risks by likelihood × impact.”
- “Estimate worst-case exposure in users, records, systems, and business impact.”
- “Identify detection rules, alert owners, and MTTD assumptions.”
- “State what must be true before ship.”
- “Separate blockers from follow-up hardening.”
FAQ da skill ciso-review
A ciso-review é só para CISOs?
Não. A skill ciso-review é útil para qualquer pessoa que precise tomar ou preparar uma decisão sensível a segurança. Ela dá a times que não têm um CISO uma forma estruturada de fazer as perguntas que um executivo de segurança faria, sem tirar a aprovação final dos responsáveis por segurança, jurídico, compliance ou risco.
A ciso-review pode substituir um Security Audit formal?
Não. A ciso-review para preparação de Security Audit funciona melhor como ferramenta de pré-revisão e identificação de lacunas. Ela pode ajudar a organizar riscos, evidências e bloqueadores de lançamento, mas não realiza teste de invasão, análise de código, revisão jurídica nem trabalho formal de certificação.
Quando eu não devo usar a ciso-review?
Não a use como única revisão para sistemas regulados de alto risco, desenho criptográfico, contenção de incidentes, determinação jurídica de vazamento ou resposta emergencial em produção. Também evite usá-la quando você não puder fornecer contexto suficiente sobre dados, acesso, arquitetura e controles; a saída ficará carregada de suposições.
O que torna um plano pronto para revisão?
Um plano está pronto quando responde: o que está mudando, quais dados estão envolvidos, quem pode acessá-los, por onde eles fluem, o que pode falhar, qual monitoramento existe, quem responde, quais regulações se aplicam e qual prazo ou pressão de negócio existe. Se esses fatos estiverem faltando, comece pedindo ao assistente que ajude a reunir as entradas ausentes para a revisão.
Como melhorar a skill ciso-review
Melhore os resultados da ciso-review com contexto mais preciso
A forma mais rápida de melhorar a saída da ciso-review é tornar explícito o risco que está implícito. Inclua diagramas ou notas concisas de arquitetura, modelo de autenticação e autorização, papéis de admin, acesso de fornecedores, fronteiras de criptografia, períodos de retenção, cobertura de logs e opções de rollback.
Uma entrada de alta qualidade não deve dizer apenas “usamos logs”, mas quais logs, para onde eles vão, qual alerta dispara, quem o recebe e qual é o tempo esperado de detecção. A pergunta de detecção da skill foi criada para expor a diferença entre observabilidade e detecção acionável.
Modos comuns de falha a observar
O principal modo de falha é aceitar uma resposta plausível, mas genérica. Questione quando a saída não trouxer raio de impacto quantificado, ativos nomeados, sinais concretos de detecção ou critérios de lançamento/não lançamento.
Outro problema comum é tratar compliance como um rótulo, e não como um requisito de controle. Se houver menção a GDPR, HIPAA, SOC 2, ISO 27001 ou PCI, pergunte qual evidência, política, controle ou artefato contratual é necessário.
Itere depois da primeira revisão
Depois da primeira rodada com a ciso-review, peça uma segunda rodada focada apenas nos bloqueadores não resolvidos. Por exemplo:
Re-review the plan assuming we added vendor SSO, IP allowlisting, a Datadog alert for export spikes, and an incident runbook. What residual risks remain, and what would still block launch?
Isso transforma a skill de uma crítica pontual em um ciclo prático de redução de risco. A melhor saída final é um memorando curto de decisão: aprovado, aprovado com condições ou bloqueado, com evidências e responsáveis anexados.