information-security-manager-iso27001
作者 alirezarezvaniinformation-security-manager-iso27001 skill 可協助 AI agents 為 HealthTech、MedTech 與受監管軟體團隊執行 ISO 27001:2022 ISMS 相關工作。適用於風險評估、Annex A control mapping、合規審查、佐證資料清單、事件應變規劃，以及稽核差距分析；並附有參考資料與 scripts，方便落地執行。
此 skill 評分為 78/100，代表它很適合列入目錄，尤其適用於需要可由 agent 直接執行的 ISO 27001 與醫療照護資安流程的使用者。該 repository 提供清楚的觸發條件、quick-start commands、以工作流程為導向的文件、參考指南，以及可執行的風險評估與合規檢查 scripts；相較於一般提示詞，能讓 agent 少一些摸索、更快進入執行。使用者仍應把它視為導入輔助工具，而不是完整的認證系統。
- 清楚涵蓋 ISO 27001 導入、ISMS 工作、資訊安全風險評估、認證準備、稽核、事件應變、醫療資料安全，以及醫療器材網路安全等觸發情境。
- 包含實用支援檔案：兩個用於風險評估與合規檢查的 scripts，以及事件應變、ISO 27001 controls、風險評估方法論的參考指南。
- 作業內容相當完整，提供 quick-start command 範例、工作流程、驗證檢查點、控制項指引、佐證資料期待，以及事件嚴重度處理程序。
- compliance checker 摘要中說明 ISO 27001 controls 為簡化版本，因此使用者不應假設它已完整涵蓋所有認證佐證資料或稽核員期待。
- skill 路徑中沒有安裝指令或 README；對不熟悉執行內含 Python scripts 的目錄使用者來說，初始設定可能較不順手。
information-security-manager-iso27001 skill 概覽
這個 skill 適合用來做什麼
information-security-manager-iso27001 skill 可協助 AI agent 支援 ISO 27001:2022 ISMS 相關工作，特別適合 HealthTech、MedTech、病患資料系統，以及受監管軟體團隊使用。它著重於實務型合規審查任務：風險評估、Annex A 控制措施對應、證據規劃、資安事件應變準備、認證就緒度檢查，以及稽核落差分析。
最適合的使用者與工作情境
如果你是資安經理、合規負責人、品質／法規專業人員、創辦人，或需要有結構地產出 ISO 27001 文件與分析的工程主管，而不想從空白 prompt 開始，這個 skill 會很有幫助。當你已經有目標系統、業務範圍、資產、控制措施、事件，或稽核問題時，它最能發揮作用，協助 agent 將脈絡轉成風險登錄表、改善計畫、Statement of Applicability 支援內容，或事件應變流程。
它的不同之處
不同於一般 ISO 27001 prompt，這個 skill 內含偏醫療照護情境的參考資料，以及兩個輔助腳本：scripts/risk_assessment.py 可支援 ISO 27001 Clause 6.1.2 類型的風險工作，scripts/compliance_checker.py 則可用於簡化版控制狀態與落差報告。參考檔案涵蓋 Annex A 導入證據、風險評估方法，以及包含嚴重度分級與應變期待的事件處理指引。
導入前需要考量的事
這個 skill 不能取代認可稽核員、法律顧問、DPO 或認證機構。內附的控制目錄與腳本是實用的加速工具，但你仍應依據實際 ISMS 範圍、ISO 27001:2022 要求、當地醫療法規、合約義務，以及稽核員期待來驗證產出內容。
如何使用 information-security-manager-iso27001 skill
安裝 information-security-manager-iso27001
使用以下指令從 GitHub repository 安裝這個 skill：
npx skills add alirezarezvani/claude-skills --skill information-security-manager-iso27001
安裝後，在正式合規流程中依賴它之前，請先檢視 skill 目錄。先從 SKILL.md 開始，再閱讀：
references/risk-assessment-guide.mdreferences/iso27001-controls.mdreferences/incident-response.mdscripts/risk_assessment.pyscripts/compliance_checker.py
來源路徑是 alirezarezvani/claude-skills 中的 ra-qm-team/skills/information-security-manager-iso27001。
提供哪些輸入會得到更好的結果
當 prompt 內包含具體的 ISMS 脈絡時，這個 skill 的表現最好。建議提供：
- 組織類型：HealthTech SaaS、MedTech 製造商、診所平台、雲端服務等
- 範圍：產品、部門、雲端環境、資料流，或系統邊界
- 資產：病患紀錄、醫療器材遙測資料、原始碼、雲端基礎架構、備份
- 目前控制措施：IAM、logging、加密、漏洞管理、供應商審查
- 合規目標：認證就緒度、內部稽核、控制落差檢視、事件應變
- 限制條件：團隊規模、雲端供應商、截止時間、風險承受度、可用證據
較弱的 prompt：
Help with ISO 27001 compliance.
較強的 prompt：
Use
information-security-manager-iso27001for Compliance Review. Assess ISO 27001 readiness for a HealthTech SaaS handling patient records in AWS. Scope includes web app, PostgreSQL database, S3 document storage, CI/CD, and support team access. Current controls include MFA, encryption at rest, basic logging, vendor DPAs, and quarterly vulnerability scans. Produce a risk register, Annex A control gaps, evidence checklist, and 90-day remediation plan.
實務使用流程
可靠的 information-security-manager-iso27001 usage 流程如下：
- 定義 ISMS 範圍與資產。
- 依據
references/risk-assessment-guide.md的方法，執行風險評估，或請 agent 模擬風險評估。 - 使用
references/iso27001-controls.md將主要風險對應到 Annex A 控制措施。 - 產出落差分析與證據檢查清單。
- 使用
references/incident-response.md檢視事件應變就緒度。 - 將建議轉成負責人、期限、證據文件，以及可供稽核使用的紀錄。
如果要直接使用腳本，可以嘗試：
python scripts/risk_assessment.py --scope "patient-data-system" --output risk_register.json
python scripts/compliance_checker.py --standard iso27001 --gap-analysis --output gaps.md
在把腳本整合進合規流程前，請先到原始碼中確認腳本參數與預期檔案格式。
能有效觸發這個 skill 的 prompt 寫法
使用直接的任務語句，讓 agent 明確知道要套用這個 skill：
- “Use
information-security-manager-iso27001to create an ISO 27001 risk assessment for…” - “Perform an Annex A control gap analysis for…”
- “Prepare an ISO 27001 audit evidence checklist for…”
- “Review our incident response plan against ISO 27001 expectations…”
- “Create a Statement of Applicability draft based on these implemented controls…”
為了得到更好的結果，建議要求結構化輸出，例如包含 Control、Current State、Gap、Risk、Evidence、Owner 和 Priority 的表格。
information-security-manager-iso27001 skill 常見問題
這個 skill 只適合醫療照護公司嗎？
不是，但它最適合醫療照護、HealthTech 和 MedTech，因為參考資料包含病患資料、醫療器材資安、事件應變，以及受監管環境的相關範例。一般 SaaS 團隊仍可使用其中的 ISO 27001 風險與控制架構，但可能需要移除醫療照護特定假設。
它比一般 ISO 27001 prompt 好在哪裡？
一般 prompt 可能只產出較廣泛的建議。information-security-manager-iso27001 skill 會給 agent 一個明確的作業框架：ISO 27001:2022 ISMS 工作、Annex A 控制證據、風險評估方法、事件分類，以及輔助腳本。這能減少猜測，讓不同審查之間的產出更一致。
初學者可以使用這個 skill 嗎？
可以，前提是提供足夠脈絡，並把產出視為有引導的草稿，而不是最終合規權威。初學者應從範圍較小的請求開始：一個系統、一個控制領域、一份風險登錄表，或一份證據檢查清單。除非你能審閱並驗證其中假設，否則不要一次要求產出完整 ISMS。
什麼時候不應該使用它？
不要把這個 skill 作為認證決策、法律主張、醫療器材法規送審，或資料外洩通報義務的唯一依據。如果你需要的是深入的工程實作、滲透測試、雲端設定驗證，或未經專家審查的特定司法管轄區隱私建議，它也不是合適工具。
如何改進 information-security-manager-iso27001 skill
讓 prompt 以證據為優先
最常見的失敗模式，是產出看起來合規，卻沒有連結到實際證據。若要改善結果，請提供真實文件或摘要給 agent：政策名稱、存取控制匯出資料、風險登錄表列、供應商清單、事件紀錄、備份測試紀錄、漏洞報告，以及過往稽核發現。並要求它區分 implemented、partially implemented、not implemented 和 unknown。
為合規審查調整輸出格式
針對 information-security-manager-iso27001 for Compliance Review，建議要求適合稽核員閱讀的結構：
- ISO 27001 clause 或 Annex A control
- Requirement summary
- Current implementation
- Evidence available
- Evidence missing
- Risk or audit impact
- Recommended remediation
- Owner and target date
這種格式能更容易把 AI 產出轉成可實際使用的稽核追蹤表，而不是一份敘述型報告。
在第一版結果後持續迭代
先利用第一版輸出找出缺少的資訊，再把修正內容回饋給 skill。例如：“Revise the gap analysis assuming MFA is enforced for workforce users but not for third-party support accounts,” 或 “Re-rank risks using high impact for patient data confidentiality and medium likelihood for cloud misconfiguration.” 相較於一開始就要求更龐大的答案，迭代更能提升準確度。
為你的組織延伸這個 skill
若要在本機改進 information-security-manager-iso27001 skill，可加入組織專用的範本與範例：你的 ISMS 範圍聲明、風險矩陣、控制權責模型、證據命名慣例、供應商風險分級、事件升級聯絡人，以及稽核行事曆。請將自訂內容與 upstream 檔案分開保存，這樣日後更新 GitHub skill 時，才不會遺失內部合規脈絡。