iso27001-audit-prep
por alirezarezvaniiso27001-audit-prep é uma skill focada em prontidão para auditorias de SGSI ISO 27001. Ela usa seis perguntas direcionadas para testar, sob pressão, o escopo, a atualização do registro de riscos, a ligação com o Annex A, a análise crítica pela direção, as ações corretivas e as evidências prontas para amostragem antes de auditorias internas, de certificação ou de supervisão.
Esta skill recebe 66/100, o que significa que é aceitável para listagem no diretório, mas deve ser apresentada como um auxílio leve de perguntas para prontidão de auditoria ISO 27001, não como um sistema completo de preparação para auditoria. Usuários do diretório conseguem entender quando acioná-la e quais perguntas de pressão ela aplica, mas o valor de adoção é limitado pela ausência de arquivos de suporte e por alguma dependência de referências externas não incluídas na skill.
- Gatilho e casos de uso claros: o frontmatter e o corpo especificam `/cs:iso27001-audit-prep <scope>` e indicam quando executá-lo, incluindo auditorias internas da Cláusula 9.2, prontidão para certificação, auditorias de supervisão, mudanças de escopo e revisões pós-incidente.
- Oferece perguntas concretas de prontidão para ISO 27001, incluindo cobertura de auditoria em 3 anos, atualização do registro de riscos, vínculo com controles do Annex A, aceitação de risco residual e independência do auditor.
- A skill tem conteúdo substancial em SKILL.md, sem marcadores de placeholder ou experimentais, dando aos agentes mais estrutura do que um prompt genérico de ISO 27001.
- Não inclui scripts, referências ou recursos de apoio, apesar de orientar os usuários a executar um `isms_audit_scheduler.py` externo em outro caminho.
- Parece ser mais uma checklist/interrogatório focado em prontidão para auditoria do que um fluxo completo de preparação para auditoria ISO 27001 com modelos, rastreadores de evidências ou exemplos de saída.
Visão geral do skill iso27001-audit-prep
O que o iso27001-audit-prep faz
iso27001-audit-prep é um skill de revisão de conformidade para testar, sob pressão, a prontidão de um ISMS ISO 27001 antes de uma auditoria interna, auditoria de certificação, auditoria de supervisão ou mudança relevante de escopo. Ele foi desenhado em torno de um fluxo forçado de seis perguntas, em vez de uma checklist ampla, para que o agente se concentre nas evidências que auditores normalmente questionam: escopo da auditoria, cobertura contínua de controles, atualização do registro de riscos, vínculo com o tratamento de riscos, análise crítica pela direção, ações corretivas e documentação pronta para amostragem.
Usuários e momentos de auditoria mais indicados
Este skill é mais útil para líderes de conformidade, gestores de segurança, responsáveis por GRC, auditores internos e operadores de startups que estão se preparando para uma auditoria interna da Cláusula 9.2 da ISO 27001 ou para uma revisão externa de certificação. Use iso27001-audit-prep for Compliance Review quando você já tiver algum material de ISMS e precisar de uma investigação estruturada de prontidão, não quando estiver tentando aprender ISO 27001 do zero.
Casos em que ele se encaixa bem incluem:
- planejamento anual de auditoria interna
- prontidão para certificação stage 1 ou stage 2
- preparação para auditoria de supervisão no ano 2 ou ano 3
- revisão do ISMS após incidente
- inclusão de novo produto, unidade de negócio, plataforma SaaS ou geografia no escopo
O que o diferencia de um prompt genérico
Um prompt genérico do tipo “prepare me for ISO 27001” costuma gerar uma checklist longa, com pouca priorização. O iso27001-audit-prep skill restringe a revisão a perguntas voltadas para auditoria e exige comprovação baseada em amostras. Isso o torna melhor para encontrar evidências ausentes, registros de risco desatualizados, mapeamentos fracos do Annex A, aceitações de risco residual sem assinatura e lacunas no programa de auditoria antes que um auditor encontre.
Limitações importantes antes da instalação
As evidências do repositório mostram um único arquivo SKILL.md e nenhum script, referência, recurso ou arquivo de metadados incluído. O skill menciona um isms_audit_scheduler.py em outro caminho, mas a própria pasta deste skill não inclui esse auxiliar. Trate iso27001-audit-prep como um fluxo de prompting focado, não como um pacote completo de automação de auditoria nem como um serviço jurídico de certificação.
Como usar o skill iso27001-audit-prep
Contexto de instalação do iso27001-audit-prep
Para iso27001-audit-prep install, adicione o skill a partir do caminho do repositório GitHub usado pelo seu executor de skills de IA ou ambiente Claude skills:
https://github.com/alirezarezvani/claude-skills/tree/main/compliance-os/skills/iso27001-audit-prep
Se o seu instalador oferece suporte a importações de skills do GitHub, aponte para o repositório e para o caminho do skill, depois verifique se SKILL.md está disponível. Como não há pastas de suporte neste diretório do skill, leia SKILL.md primeiro; não há um conjunto oculto de regras nem uma biblioteca de scripts para inspecionar dentro desta pasta.
Entradas necessárias para gerar uma saída útil
O formato do comando é:
/cs:iso27001-audit-prep <scope>
Não passe apenas “our ISMS” como escopo. Entradas de escopo melhores incluem a entidade legal, localidades, produtos, sistemas, equipes, exclusões, tipo de auditoria e data-alvo.
Prompt fraco:
/cs:iso27001-audit-prep SaaS company
Prompt mais forte:
/cs:iso27001-audit-prep Stage 1 readiness for Acme Ltd ISMS covering UK HQ, remote engineering, production AWS SaaS platform, customer support operations, and excluded corporate finance systems; audit in 6 weeks.
A versão mais forte ajuda o skill a testar se a cobertura da auditoria, a aplicabilidade do Annex A, o tratamento de riscos e as amostras de evidência correspondem ao limite real da certificação.
Fluxo prático de uso do iso27001-audit-prep
Use esta sequência para obter melhores resultados de iso27001-audit-prep usage:
- Defina o evento de auditoria: revisão interna da Cláusula 9.2, stage 1, stage 2, supervisão, pós-incidente ou mudança de escopo.
- Informe o escopo do ISMS e as principais exclusões.
- Acrescente o status atual das evidências: data do registro de riscos, versão da Statement of Applicability, plano de auditoria interna, data da análise crítica pela direção, log de ações corretivas e responsáveis pelos controles.
- Peça ao skill para investigar lacunas usando as seis perguntas de ISMS.
- Converta a saída em uma lista de solicitação de evidências, uma lista de responsáveis e um plano de remediação pré-auditoria.
Um prompt de alta qualidade pode incluir:
Use iso27001-audit-prep to challenge our ISO 27001 surveillance audit readiness. Scope: EU SaaS platform, AWS production, product engineering, SRE, support, HR onboarding, and vendor management. Risk register last updated 5 months ago. SoA version 2024-03. Last management review 9 months ago. Internal audit covered access control and incident management, but not supplier security. Return likely findings, missing samples, urgent fixes, and questions an auditor may ask.
Arquivos para ler antes de confiar no skill
Leia SKILL.md por completo antes do primeiro uso. Preste atenção à seção “When to Run” e às seis perguntas de ISMS. Observe também a referência em estilo de dependência a um agendador de auditoria fora desta pasta de skill; se o seu ambiente não incluir esse outro caminho de skill, peça ao agente para criar manualmente uma tabela de cobertura de auditoria de 3 anos, em vez de presumir que há um script disponível.
FAQ do skill iso27001-audit-prep
O iso27001-audit-prep é suficiente para a certificação ISO 27001?
Não. iso27001-audit-prep ajuda na preparação para conversas de auditoria e verificações de evidências, mas não certifica uma organização, não substitui um auditor acreditado e não gera um ISMS completo. Ele funciona melhor para expor lacunas de prontidão antes da revisão formal.
Por que ele é melhor do que pedir uma checklist de ISO 27001 ao ChatGPT?
O valor está no foco. O skill estrutura a revisão em torno de perguntas de pressão que um auditor pode usar contra o seu ISMS: disciplina de escopo, cobertura contínua em três anos, vínculo entre riscos e controles, aceitação de risco residual, independência e prontidão das evidências. Isso gera lacunas mais acionáveis do que uma checklist genérica.
Iniciantes podem usar o guia iso27001-audit-prep?
Sim, mas iniciantes devem fornecer mais contexto e pedir explicações sobre quaisquer termos de ISO. Se você ainda não sabe o escopo do seu ISMS, o status do registro de riscos, o status da SoA ou o plano de auditoria interna, o skill pode ajudar a identificar fundamentos ausentes, mas seu uso mais forte é para prontidão de auditoria, não para treinamento introdutório.
Quando eu não devo usar este skill?
Não use este skill como sua única fonte para decisões legais, regulatórias ou de certificação. Ele também é pouco adequado se você ainda não tem artefatos de ISMS; nesse caso, comece pela definição de escopo, inventário de ativos, avaliação de riscos, elaboração da SoA e desenvolvimento de políticas antes de executar uma investigação de preparação para auditoria.
Como melhorar o skill iso27001-audit-prep
Enriqueça as entradas do iso27001-audit-prep com evidências
A maior melhoria na saída vem de fornecer ao agente um status concreto das evidências. Inclua datas, nomes de documentos, responsáveis, achados não resolvidos, famílias de controles ainda não auditadas e áreas reconhecidamente frágeis. Por exemplo, “risk register refreshed quarterly” é menos útil do que “risk register last approved 2024-11-15; 4 high risks; 2 residual acceptances unsigned; supplier risk treatment not mapped to Annex A.”
Peça desafios de auditoria baseados em amostras
Auditorias ISO 27001 dependem de amostras. Melhore a saída do skill pedindo solicitações de amostras, não apenas lacunas:
For each weakness, list the sample evidence an auditor may request, the likely ISO 27001 clause or Annex A area, the owner who should prepare it, and what would make the sample defensible.
Isso transforma o iso27001-audit-prep guide em um plano de preparação acionável.
Fique atento a modos comuns de falha
Saídas fracas costumam vir de escopo vago, tipo de auditoria ausente ou da suposição de que as evidências existem. Se a primeira resposta parecer positiva demais, peça ao agente para ser adversarial: “Challenge our readiness as an external auditor and identify likely minor or major nonconformities.” Se a resposta estiver ampla demais, restrinja ao próximo evento de auditoria e aos cinco principais riscos de evidência.
Itere até chegar a um plano de remediação
Após a primeira passagem com iso27001-audit-prep, peça um plano de 30 dias com severidade, responsáveis, evidências a coletar e pontos de decisão. Bons prompts de acompanhamento incluem: “Separate must-fix before audit from nice-to-have,” “Map each issue to ISO 27001 clause or Annex A control where possible,” e “Create management review questions for unresolved residual risks.”