information-security-manager-iso27001

Visão geral da skill information-security-manager-iso27001

Para que serve esta skill

A skill information-security-manager-iso27001 ajuda um agente de IA a apoiar trabalhos de ISMS baseados na ISO 27001:2022, especialmente para equipes de HealthTech, MedTech, sistemas com dados de pacientes e software regulado. Ela foi criada para tarefas práticas de revisão de compliance: avaliação de riscos, mapeamento de controles do Annex A, planejamento de evidências, preparação para resposta a incidentes, prontidão para certificação e análise de lacunas de auditoria.

Usuários e tarefas mais indicados

Use esta skill se você é gerente de segurança, líder de compliance, profissional de qualidade/regulatório, fundador ou líder de engenharia e precisa de saídas estruturadas para ISO 27001 sem começar de um prompt em branco. Ela é mais útil quando você já tem um sistema-alvo, escopo de negócio, ativos, controles, incidentes ou pergunta de auditoria e quer que o agente transforme esse contexto em um registro de riscos, plano de remediação, apoio para Statement of Applicability ou fluxo de resposta a incidentes.

O que a torna diferente

Ao contrário de um prompt genérico sobre ISO 27001, esta skill inclui material de referência voltado para saúde e dois scripts auxiliares: scripts/risk_assessment.py para trabalhos de risco no estilo da Cláusula 6.1.2 da ISO 27001, e scripts/compliance_checker.py para status simplificado de controles e relatórios de lacunas. Os arquivos de referência cobrem evidências de implementação do Annex A, metodologia de avaliação de riscos e tratamento de incidentes com níveis de severidade e expectativas de resposta.

Pontos de atenção antes da adoção

Esta skill não substitui um auditor acreditado, assessoria jurídica, DPO ou organismo de certificação. O catálogo de controles e os scripts incluídos são aceleradores úteis, mas você deve validar as saídas contra o escopo real do seu ISMS, os requisitos da ISO 27001:2022, regulamentações locais de saúde, obrigações contratuais e expectativas do auditor.

Como usar a skill information-security-manager-iso27001

Instalação da information-security-manager-iso27001

Instale a skill a partir do repositório GitHub com:

npx skills add alirezarezvani/claude-skills --skill information-security-manager-iso27001

Depois da instalação, inspecione o diretório da skill antes de usá-la em um fluxo real de compliance. Comece por SKILL.md e depois leia:

• references/risk-assessment-guide.md
• references/iso27001-controls.md
• references/incident-response.md
• scripts/risk_assessment.py
• scripts/compliance_checker.py

O caminho de origem é ra-qm-team/skills/information-security-manager-iso27001 em alirezarezvani/claude-skills.

Entradas que geram melhores resultados

A skill funciona melhor quando seu prompt inclui contexto concreto do ISMS. Informe:

• Tipo de organização: HealthTech SaaS, fabricante MedTech, plataforma clínica, serviço em nuvem etc.
• Escopo: produto, departamento, ambiente em nuvem, fluxo de dados ou limite do sistema
• Ativos: prontuários de pacientes, telemetria de dispositivos médicos, código-fonte, infraestrutura em nuvem, backups
• Controles atuais: IAM, logs, criptografia, gestão de vulnerabilidades, avaliação de fornecedores
• Objetivo de compliance: prontidão para certificação, auditoria interna, revisão de lacunas de controles, resposta a incidentes
• Restrições: tamanho da equipe, provedor de nuvem, prazo, tolerância a risco, evidências disponíveis

Prompt fraco:

Help with ISO 27001 compliance.

Prompt mais forte:

Use information-security-manager-iso27001 for Compliance Review. Assess ISO 27001 readiness for a HealthTech SaaS handling patient records in AWS. Scope includes web app, PostgreSQL database, S3 document storage, CI/CD, and support team access. Current controls include MFA, encryption at rest, basic logging, vendor DPAs, and quarterly vulnerability scans. Produce a risk register, Annex A control gaps, evidence checklist, and 90-day remediation plan.

Fluxo prático de uso

Um fluxo confiável de information-security-manager-iso27001 usage é:

1. Definir o escopo do ISMS e os ativos.
2. Executar, ou pedir ao agente para simular, uma avaliação de riscos usando a metodologia em references/risk-assessment-guide.md.
3. Mapear os principais riscos para controles do Annex A usando references/iso27001-controls.md.
4. Gerar uma análise de lacunas e uma checklist de evidências.
5. Revisar a prontidão de resposta a incidentes usando references/incident-response.md.
6. Converter recomendações em responsáveis, prazos, artefatos de evidência e registros prontos para auditoria.

Se for usar os scripts diretamente, experimente:

python scripts/risk_assessment.py --scope "patient-data-system" --output risk_register.json
python scripts/compliance_checker.py --standard iso27001 --gap-analysis --output gaps.md

Verifique os argumentos dos scripts e os formatos de arquivo esperados no código-fonte antes de integrá-los ao seu pipeline de compliance.

Padrões de prompt que acionam bem a skill information-security-manager-iso27001

Use uma linguagem direta de tarefa para que o agente saiba que deve aplicar a skill:

• “Use information-security-manager-iso27001 to create an ISO 27001 risk assessment for…”
• “Perform an Annex A control gap analysis for…”
• “Prepare an ISO 27001 audit evidence checklist for…”
• “Review our incident response plan against ISO 27001 expectations…”
• “Create a Statement of Applicability draft based on these implemented controls…”

Para melhores resultados, peça saídas estruturadas, como tabelas com Control, Current State, Gap, Risk, Evidence, Owner e Priority.

FAQ da skill information-security-manager-iso27001

Esta skill é apenas para empresas de saúde?

Não, mas ela se encaixa melhor em organizações de saúde, HealthTech e MedTech porque as referências incluem exemplos sobre dados de pacientes, cibersegurança de dispositivos médicos, resposta a incidentes e ambientes regulados. Equipes de SaaS em geral ainda podem usar a estrutura de riscos e controles da ISO 27001, mas talvez precisem remover pressupostos específicos de saúde.

Por que ela é melhor do que um prompt comum sobre ISO 27001?

Um prompt comum pode gerar recomendações amplas. A information-security-manager-iso27001 skill dá ao agente um quadro de atuação definido: trabalho de ISMS na ISO 27001:2022, evidências de controles do Annex A, metodologia de avaliação de riscos, classificações de incidentes e scripts auxiliares. Isso reduz a necessidade de adivinhação e torna as saídas mais consistentes entre revisões.

Iniciantes podem usar esta skill?

Sim, desde que forneçam contexto suficiente e tratem a saída como uma redação orientada, não como autoridade final de compliance. Iniciantes devem começar com solicitações mais restritas: um sistema, uma área de controle, um registro de riscos ou uma checklist de evidências. Evite pedir um ISMS completo de uma só vez, a menos que você consiga revisar e validar os pressupostos.

Quando eu não devo usá-la?

Não use esta skill como única base para decisões de certificação, alegações legais, submissões regulatórias de dispositivos médicos ou obrigações de notificação de violação de dados. Ela também não é adequada quando você precisa de engenharia de implementação aprofundada, testes de invasão, validação de configuração em nuvem ou orientação de privacidade específica por jurisdição sem revisão especializada.

Como melhorar a skill information-security-manager-iso27001

Priorize evidências nos prompts

O modo de falha mais comum é uma saída que parece aderente a compliance, mas não está vinculada a evidências. Melhore os resultados fornecendo ao agente artefatos reais ou resumos: nomes de políticas, exportações de controle de acesso, linhas do registro de riscos, listas de fornecedores, logs de incidentes, registros de testes de backup, relatórios de vulnerabilidades e achados de auditorias anteriores. Peça que ele diferencie implemented, partially implemented, not implemented e unknown.

Ajuste as saídas para revisão de compliance

Para information-security-manager-iso27001 for Compliance Review, solicite uma estrutura amigável para auditores:

• Cláusula da ISO 27001 ou controle do Annex A
• Resumo do requisito
• Implementação atual
• Evidências disponíveis
• Evidências ausentes
• Risco ou impacto de auditoria
• Remediação recomendada
• Responsável e data-alvo

Esse formato facilita transformar a saída da IA em um tracker de auditoria operacional, em vez de um relatório narrativo.

Itere depois do primeiro resultado

Use a primeira saída para revelar informações faltantes e depois alimente a skill com correções. Por exemplo: “Revise the gap analysis assuming MFA is enforced for workforce users but not for third-party support accounts,” ou “Re-rank risks using high impact for patient data confidentiality and medium likelihood for cloud misconfiguration.” A iteração melhora a precisão mais do que pedir uma resposta inicial maior.

Adapte a skill para a sua organização

Para melhorar localmente a skill information-security-manager-iso27001, adicione templates e exemplos específicos da sua organização: declaração de escopo do ISMS, matriz de riscos, modelo de propriedade de controles, convenção de nomes de evidências, níveis de risco de fornecedores, contatos de escalonamento de incidentes e calendário de auditoria. Mantenha o material customizado separado dos arquivos upstream para conseguir atualizar a skill do GitHub sem perder o contexto interno de compliance.