ciso-review
作者 alirezarezvaniciso-review 是一個 CISO 風格的 Security Audit 提示詞，適用於涉及客戶資料、合規、供應商、信任邊界或 production access 的計畫。它透過六個強制檢核問題——威脅模型、影響範圍、偵測、應變、法規曝險，以及上線／不上線風險——將計畫轉化為阻擋項目、緩解措施與發布建議。
此 skill 評分為 72/100，代表可接受收錄於目錄，但最適合想要輕量資安審查清單，而非完整 CISO review 系統的使用者。儲存庫證據顯示它具備有效且聚焦的 SKILL.md，並提供清楚的指令、觸發情境與具實質內容的強制檢核問題；但缺少支援材料、範例與安裝指引，會降低採用時的信心。
- 觸發情境與呼叫方式清楚：針對涉及客戶資料、合規、production access、稽核、事件或 trust-boundary 變更的計畫，可使用 `/cs:ciso-review <plan>`。
- 以六個強制檢核問題提供精簡的 CISO 審查框架，涵蓋 STRIDE threat modeling、blast radius、detection、incident response 與法規風險。
- 比一般提示詞更能支援代理判斷，因為明確點出 PII/PHI/cardholder data、FAIR-based ALE、MTTD、alerts、on-call ownership 與 tabletop-tested runbooks 等具體資安概念。
- 未提供支援檔案、參考資料、範例或安裝說明，因此使用者必須完全仰賴 SKILL.md 的內容。
- 作業指引主要以問題引導為主，而不是包含範本、評分標準或具體交付成果範例的完整審查流程。
ciso-review skill 概覽
ciso-review 的用途
ciso-review skill 是一套安全主管層級的審查提示，適用於任何牽涉客戶資料、合規範圍、供應商、正式環境存取權，或信任邊界的計畫。它會用六個 CISO 風格的強制問題來組織審查：威脅模型、影響半徑、偵測能力、事件應變、法規暴露，以及上線／不上線風險。
當你在正式環境變更、供應商決策、稽核里程碑，或事件後矯正計畫之前，需要一個帶有懷疑精神的安全稽核（Security Audit）視角時，就很適合使用它。它的價值不在於提供「一般性的安全建議」；而是透過結構化追問，促使 AI assistant 找出可能出錯的地方、最壞情況會有多嚴重、你是否能偵測到問題，以及哪些事項必須在上線前修正。
最適合的使用者與決策情境
ciso-review skill 適合工程主管、創辦人、安全經理、合規負責人，以及平台團隊使用；這些角色通常需要快速完成上線前檢查，但又不想把每個決策都升級成完整的正式評估。它特別適合用在部署涉及 PII、PHI、支付資料、身分驗證、授權、日誌、第三方整合，或高權限存取的系統之前。
它較不適合用於深度漏洞利用研究、原始碼弱點掃描，或取代合格的安全評估人員。請把它視為提升決策品質的工具：它能幫你揭露風險、把問題問得更精準，並為真正的安全稽核（Security Audit）對話做好準備。
與一般提示詞的差異
一般的「幫我從安全角度審查」提示，常常只會產出寬泛的檢查清單。ciso-review skill 則會把 assistant 收斂到 CISO 的強制審查框架：STRIDE 威脅建模、最壞情境的影響半徑、類 FAIR 的損失思考、偵測準備度、事件應變準備度，以及合規影響。
這種結構很重要，因為導入阻力通常不是「我們忘了安全這件事」；真正的問題多半是權責模糊、暴露風險未量化、缺少偵測、應變計畫未演練，以及上線標準不清楚。
如何使用 ciso-review skill
ciso-review 安裝與 repository 路徑
若要從 GitHub skill repository 安裝，請使用該目錄的標準 skill install 流程，例如：
npx skills add alirezarezvani/claude-skills --skill ciso-review
這個 skill 位於：
c-level-advisor/c-level-agents/skills/ciso-review/SKILL.md
根據 repository 中可見的內容，沒有額外的 scripts、reference folders，或 companion rule files，因此請先閱讀 SKILL.md。它的實作相當精簡：主要資產是命令模式 /cs:ciso-review <plan>，以及六個問題組成的審查流程。
skill 需要哪些輸入
若想讓 ciso-review 發揮效果，不要只丟一句話的想法。請提供計畫內容、架構、涉及的資料、受影響使用者、供應商、存取路徑、控制措施、監控、合規背景，以及上線時程。
較弱的提示：
/cs:ciso-review We are adding a new analytics vendor.
較好的提示：
/cs:ciso-review Review our plan to send product usage events to Vendor X. Data includes user_id, email, workspace_id, IP address, feature events, and timestamps. Vendor receives data via server-side API from production. SOC 2 scope applies; GDPR users are included. We currently have a DPA draft, SSO for vendor admin access, no field-level tokenization, logs in Datadog, and no specific detection rule for abnormal export volume. Launch target is next Friday. Identify top risks, required blockers, detection gaps, and a ship/no-ship recommendation.
較好的版本能改善輸出品質，因為它提供了足夠脈絡，讓 assistant 評估影響半徑、偵測能力、法規暴露與應變準備度，而不是自行補上假設。
安全稽核準備的實務流程
請在安全簽核之前使用 ciso-review skill，而不是等到實作已經凍結後才使用。一個實用流程如下：
- 用白話寫出變更計畫。
- 補上資料盤點：資料類型、敏感程度、資料所在地、保留期間，以及受影響使用者數量。
- 補上信任邊界：內部服務、供應商、管理員、客戶、CI/CD，以及正式環境存取。
- 執行
/cs:ciso-review <plan>。 - 將發現轉換成阻擋事項、緩解措施、負責人與到期日。
- 變更完成後再次執行 skill，確認剩餘風險是否可接受。
若是為了稽核準備，請要求 assistant 區分「我們已具備的證據」與「仍需補齊的證據」。這會讓輸出更適合用於 SOC 2、ISO 27001、HIPAA、GDPR，或供應商安全審查文件包。
改善輸出的實用技巧
如果你需要更清楚的執行方向，請要求輸出排序過的風險表，而不是一段敘述。表格可包含可能性、影響、受影響資產、現有控制、缺少的控制、負責人，以及建議決策。
好用的補充要求包括：
- “Use STRIDE and call out the top 3 risks by likelihood × impact.”
- “Estimate worst-case exposure in users, records, systems, and business impact.”
- “Identify detection rules, alert owners, and MTTD assumptions.”
- “State what must be true before ship.”
- “Separate blockers from follow-up hardening.”
ciso-review skill 常見問題
ciso-review 只適合 CISO 使用嗎？
不是。ciso-review skill 適合任何需要做出或準備安全敏感決策的人。它讓非 CISO 團隊也能用結構化方式提出安全主管會問的問題，同時仍將最終核准權保留給你的安全、法務、合規或風險負責人。
ciso-review 可以取代正式的安全稽核嗎？
不可以。將 ciso-review 用於安全稽核（Security Audit）準備時，最適合把它當作事前審查與缺口盤點工具。它可以協助整理風險、證據與上線阻擋事項，但不會執行滲透測試、程式碼分析、法律審查，或正式認證工作。
什麼時候不該使用 ciso-review？
不要把它當成高風險受監管系統、密碼學設計、事件圍堵、法律上的資料外洩判定，或正式環境緊急應變的唯一審查方式。若你無法提供足夠的資料、存取、架構與控制脈絡，也應避免使用；否則輸出會充滿假設。
什麼樣的計畫才準備好接受審查？
一份準備好的計畫應該能回答：要變更什麼、涉及哪些資料、誰可以存取、資料如何流動、哪些地方可能失效、現有哪些監控、誰負責應變、適用哪些法規，以及存在哪些期限或商業壓力。如果這些事實缺漏，請先請 assistant 協助你收集缺少的審查輸入。
如何改善 ciso-review skill
用更精準的脈絡改善 ciso-review 結果
改善 ciso-review 輸出最快的方法，是把隱含風險明確寫出來。請提供圖表或精簡的架構說明、身分驗證與授權模型、管理員角色、供應商存取、加密邊界、保留期間、日誌覆蓋範圍，以及回復選項。
高品質輸入不應只說「我們有使用 logs」，而應說明是哪些 logs、送到哪裡、哪個 alert 會觸發、誰會收到，以及預期偵測時間是多少。這個 skill 的偵測問題，就是為了揭露「可觀測性」與「可採取行動的偵測」之間的落差。
常見失敗模式與注意事項
最主要的失敗模式，是接受一個看起來合理但過於籠統的答案。當輸出缺少量化的影響半徑、具名資產、具體偵測訊號，或上線／不上線標準時，請繼續追問。
另一個常見問題，是把合規當成標籤，而不是控制要求。如果提到 GDPR、HIPAA、SOC 2、ISO 27001 或 PCI 的相關性，請追問需要哪些證據、政策、控制措施，或合約文件。
第一次審查後持續迭代
第一次 ciso-review 完成後，請要求第二輪審查只聚焦在尚未解決的阻擋事項。例如：
Re-review the plan assuming we added vendor SSO, IP allowlisting, a Datadog alert for export spikes, and an incident runbook. What residual risks remain, and what would still block launch?
這會把 skill 從一次性的批判，轉化成實用的風險降低循環。最理想的最終輸出是一份簡短決策備忘錄：核准、有條件核准，或阻擋，並附上相關證據與負責人。