iso27001-audit-prep
作者 alirezarezvaniiso27001-audit-prep 是一項專注於 ISO 27001 ISMS 稽核準備度的技能。它透過六個強制提問，在內部稽核、驗證稽核或監督稽核前，壓力測試範圍、風險登錄表的新鮮度、Annex A 對應關聯、管理審查、矯正措施，以及可供抽樣的證據是否到位。
此技能評分為 66/100，代表可接受收錄於目錄，但應定位為輕量的 ISO 27001 稽核準備度提問輔助，而非完整的稽核準備系統。目錄使用者可以理解何時啟用它，以及它會套用哪些壓力測試問題；不過，由於缺少支援檔案，且部分依賴技能內未附上的外部參考，採用價值仍有限。
- 觸發方式與使用情境清楚：frontmatter 與本文指定 `/cs:iso27001-audit-prep <scope>`，並列出適合執行的時機，包括 Clause 9.2 內部稽核、驗證準備、監督稽核、範圍變更與事件後檢討。
- 提供具體的 ISO 27001 準備度提示，涵蓋 3 年稽核覆蓋、風險登錄表更新、Annex A 控制措施連結、剩餘風險接受，以及稽核員獨立性。
- 此技能的 SKILL.md 內容具實質性，沒有 placeholder 或實驗性標記，能比一般 ISO 27001 prompt 提供代理更明確的結構。
- 未附任何支援腳本、參考資料或資源，但技能內容卻指示使用者在其他路徑執行外部的 `isms_audit_scheduler.py`。
- 它看起來是聚焦於稽核準備度的盤問／檢查清單，而不是包含範本、證據追蹤器或範例輸出的完整 ISO 27001 稽核準備工作流程。
iso27001-audit-prep skill 概覽
iso27001-audit-prep 的用途
iso27001-audit-prep 是一項合規審查 skill，用來在內部稽核、驗證稽核、監督稽核或重大範圍變更前，壓力測試 ISO 27001 ISMS 的稽核準備度。它不是一般的大型檢核表，而是以六個關鍵問題引導流程，讓 agent 聚焦在稽核員最常追問的證據：稽核範圍、滾動式控制覆蓋、風險登錄表的新鮮度、風險處置連結、管理審查、矯正措施，以及可供抽樣的文件。
最適合的使用者與稽核時機
這項 skill 最適合合規負責人、資安經理、GRC owner、內部稽核人員，以及正在準備 ISO 27001 Clause 9.2 內部稽核或外部驗證審查的新創營運團隊。當你已經有一些 ISMS 資料，需要一套結構化的準備度追問流程時，適合使用 iso27001-audit-prep for Compliance Review；如果你是要從零開始學 ISO 27001，這不是最合適的起點。
特別適合的情境包括：
- 年度內部稽核規劃
- stage 1 或 stage 2 驗證準備度檢查
- 第 2 年或第 3 年監督稽核準備
- 事件後 ISMS 檢討
- 新產品、事業單位、SaaS 平台或地理區域納入範圍
和一般 prompt 有什麼不同
一般「幫我準備 ISO 27001」的 prompt，常會產出一長串優先順序不明的檢核表。iso27001-audit-prep skill 會把審查收斂到面向稽核的問題，並要求以抽樣證據來驗證。這讓它更適合在稽核員發現之前，先找出缺漏證據、過期的風險紀錄、薄弱的 Annex A 對應、未簽核的剩餘風險接受，以及稽核方案覆蓋不足等問題。
安裝前的重要限制
從 repository 內容來看，這個 skill 只有一個 SKILL.md 檔案，沒有隨附 scripts、references、resources 或 metadata files。skill 內容提到另一個路徑中的 isms_audit_scheduler.py，但這個 skill folder 本身並未包含該輔助工具。請把 iso27001-audit-prep 視為一套聚焦的 prompting workflow，而不是完整的稽核自動化套件或法律驗證服務。
如何使用 iso27001-audit-prep skill
iso27001-audit-prep 安裝情境
若要進行 iso27001-audit-prep install，請從你的 AI skill runner 或 Claude skills environment 所使用的 GitHub repository path 加入此 skill：
https://github.com/alirezarezvani/claude-skills/tree/main/compliance-os/skills/iso27001-audit-prep
如果你的 installer 支援 GitHub skill imports，請指向該 repository 與 skill path，然後確認 SKILL.md 可用。由於這個 skill directory 沒有支援用的 folders，第一次使用前請先閱讀 SKILL.md；這個 folder 裡沒有隱藏的規則集或 script library 可供檢查。
產出有用結果所需的輸入
指令格式是：
/cs:iso27001-audit-prep <scope>
不要只把 “our ISMS” 當作 scope 傳入。較好的 scope 輸入應包含法律實體、地點、產品、系統、團隊、排除項目、稽核類型與目標日期。
較弱的 prompt：
/cs:iso27001-audit-prep SaaS company
較強的 prompt：
/cs:iso27001-audit-prep Stage 1 readiness for Acme Ltd ISMS covering UK HQ, remote engineering, production AWS SaaS platform, customer support operations, and excluded corporate finance systems; audit in 6 weeks.
較強的版本能幫助 skill 檢查稽核覆蓋、Annex A 適用性、風險處置與證據抽樣，是否真的符合實際的驗證邊界。
實務上的 iso27001-audit-prep 使用流程
若要取得更好的 iso27001-audit-prep usage 結果，建議依照以下順序：
- 定義稽核事件：內部 Clause 9.2、stage 1、stage 2、監督稽核、事件後檢討，或範圍變更審查。
- 提供 ISMS scope 與主要排除項目。
- 加上目前證據狀態：risk register 日期、Statement of Applicability 版本、internal audit plan、management review 日期、corrective action log，以及控制項 ownership。
- 要求 skill 以六個 ISMS 問題追問缺口。
- 將輸出轉換為證據需求清單、owner 清單與稽核前補救計畫。
高品質 prompt 可以包含：
Use iso27001-audit-prep to challenge our ISO 27001 surveillance audit readiness. Scope: EU SaaS platform, AWS production, product engineering, SRE, support, HR onboarding, and vendor management. Risk register last updated 5 months ago. SoA version 2024-03. Last management review 9 months ago. Internal audit covered access control and incident management, but not supplier security. Return likely findings, missing samples, urgent fixes, and questions an auditor may ask.
依賴前應先閱讀的檔案
第一次使用前，請完整閱讀 SKILL.md。特別留意 “When to Run” 區段與六個 ISMS 問題。也要注意其中以 dependency 形式提到此 skill folder 外部的 audit scheduler；如果你的環境沒有包含該其他 skill path，請要求 agent 建立手動的 3-year audit coverage table，而不是假設有 script 可用。
iso27001-audit-prep skill 常見問題
iso27001-audit-prep 足以完成 ISO 27001 驗證嗎？
不行。iso27001-audit-prep 可以協助準備稽核對談與證據檢查，但它不會替組織取得驗證、不能取代認可稽核員，也不會產生完整的 ISMS。它最適合用來在正式審查前暴露準備度缺口。
它為什麼比直接請 ChatGPT 產生 ISO 27001 檢核表更好？
價值在於聚焦。這個 skill 會以稽核員可能用來檢驗 ISMS 的壓力測試問題來架構審查：範圍紀律、滾動三年覆蓋、風險與控制連結、剩餘風險接受、獨立性，以及證據準備度。相較一般檢核表，這會產出更可執行的缺口。
初學者可以使用 iso27001-audit-prep guide 嗎？
可以，但初學者應提供更多背景，並要求解釋任何 ISO 術語。如果你還不清楚自己的 ISMS scope、risk register 狀態、SoA 狀態或 internal audit plan，這項 skill 可以幫你找出缺少的基本項目；不過它最強的用途仍是稽核準備度，而不是入門教學。
什麼時候不該使用這項 skill？
不要把它當成法律、法規或驗證決策的唯一來源。如果你還沒有任何 ISMS artifacts，也不太適合直接使用；這種情況下，應先從 scope definition、asset inventory、risk assessment、SoA drafting 與 policy development 開始，再進行 audit-prep interrogation。
如何改進 iso27001-audit-prep skill
讓 iso27001-audit-prep 輸入包含更多證據細節
提升輸出品質的最大關鍵，是提供 agent 具體的證據狀態。請包含日期、文件名稱、owners、尚未解決的 findings、尚未稽核的 control families，以及已知薄弱區域。例如，“risk register refreshed quarterly” 不如 “risk register last approved 2024-11-15; 4 high risks; 2 residual acceptances unsigned; supplier risk treatment not mapped to Annex A.” 有用。
要求以抽樣為核心提出稽核挑戰
ISO 27001 稽核仰賴抽樣。若要改善 skill 輸出，請要求它提出 sample requests，而不只是列出 gaps：
For each weakness, list the sample evidence an auditor may request, the likely ISO 27001 clause or Annex A area, the owner who should prepare it, and what would make the sample defensible.
這會把 iso27001-audit-prep guide 轉成可執行的準備計畫。
留意常見失敗模式
常見的弱輸出通常來自 scope 太模糊、缺少 audit type，或假設證據已存在。如果第一版回覆聽起來過於樂觀，請要求 agent 採取對抗式角度：“Challenge our readiness as an external auditor and identify likely minor or major nonconformities.” 如果回覆太廣，請把範圍收斂到下一次稽核事件與前五大證據風險。
迭代成補救計畫
完成第一輪 iso27001-audit-prep 後，要求產出 30 天計畫，包含嚴重度、owners、需要蒐集的證據與決策點。實用的 follow-up prompts 包括：“Separate must-fix before audit from nice-to-have,” “Map each issue to ISO 27001 clause or Annex A control where possible,” 以及 “Create management review questions for unresolved residual risks.”