ciso-review

ciso-review skill 概览

ciso-review 的作用

ciso-review skill 是一套面向安全高管视角的审查提示词，适用于涉及客户数据、合规范围、供应商、生产访问权限或信任边界的计划。它会围绕六个 CISO 式的关键追问展开审查：威胁模型、影响半径、检测能力、事件响应、监管暴露以及上线/不上线风险。

当你需要在生产变更、供应商决策、审计里程碑或事件后的整改计划之前，引入一个更审慎的 Security Audit 视角时，就可以使用它。它的价值不在于提供“泛泛的安全建议”，而在于通过结构化追问，推动 AI assistant 识别：哪里可能出问题、最坏会有多严重、你是否能发现问题，以及上线前必须修复什么。

最适合的用户和决策场景

ciso-review skill 适合工程负责人、创始人、安全经理、合规负责人和平台团队使用，尤其是在需要快速做上线前检查、但又不想把每个决策都变成完整正式评估时。对于涉及 PII、PHI、支付数据、身份认证、授权、日志、第三方集成或高权限访问的系统部署，它尤其有用。

它不太适合用于深度漏洞利用研究、源代码漏洞扫描，也不能替代合格安全评估人员。应把它当作提升决策质量的工具：帮助你暴露风险、把问题问得更尖锐，并为真正的 Security Audit 对话做好准备。

它与通用提示词有什么不同

通用的“从安全角度审查一下”提示词，往往会产出宽泛的检查清单。ciso-review skill 会把 assistant 限定在 CISO 的强制追问框架中：STRIDE 威胁建模、最坏情况影响半径、FAIR 风格的损失思维、检测就绪度、事件响应就绪度，以及合规影响。

这种结构很重要，因为真正阻碍落地的通常不是“我们忘了安全这件事”，而是责任归属模糊、暴露面没有量化、缺少检测、响应预案未经验证，以及上线标准不清晰。

如何使用 ciso-review skill

ciso-review 安装与仓库路径

如需从 GitHub skill repository 安装，请使用该目录标准的 skill install 流程，例如：

npx skills add alirezarezvani/claude-skills --skill ciso-review

该 skill 位于：

c-level-advisor/c-level-agents/skills/ciso-review/SKILL.md

从仓库证据来看，没有额外脚本、参考文件夹或配套规则文件，因此应先阅读 SKILL.md。它的实现很精简：核心资产是命令模式 /cs:ciso-review <plan> 和六问题审查流程。

ciso-review 需要哪些输入

想让 ciso-review 的效果更好，不要只给一句话想法。应提供计划、架构、涉及的数据、受影响用户、供应商、访问路径、控制措施、监控、合规背景和上线时间线。

较弱的提示：

/cs:ciso-review We are adding a new analytics vendor.

更强的提示：

/cs:ciso-review Review our plan to send product usage events to Vendor X. Data includes user_id, email, workspace_id, IP address, feature events, and timestamps. Vendor receives data via server-side API from production. SOC 2 scope applies; GDPR users are included. We currently have a DPA draft, SSO for vendor admin access, no field-level tokenization, logs in Datadog, and no specific detection rule for abnormal export volume. Launch target is next Friday. Identify top risks, required blockers, detection gaps, and a ship/no-ship recommendation.

更强的版本能提升输出质量，因为它给了 assistant 足够的上下文，可以评估影响半径、检测能力、监管暴露和响应就绪度，而不是靠自行假设来补全信息。

面向 Security Audit 准备的实用工作流

应在安全签核之前使用 ciso-review skill，而不是等实现已经冻结之后再用。一个有效的工作流是：

1. 用自然语言草拟变更计划。
2. 补充数据清单：数据类型、敏感级别、数据驻留、保留期限和受影响用户数量。
3. 补充信任边界：内部服务、供应商、管理员、客户、CI/CD 和生产访问。
4. 运行 /cs:ciso-review <plan>。
5. 将发现的问题转化为 blockers、缓解措施、负责人和截止日期。
6. 完成修改后再次运行该 skill，验证剩余风险是否可接受。

为了提升审计准备效果，可以要求 assistant 区分“我们已有的证据”和“仍需补充的证据”。这会让输出更适合用于 SOC 2、ISO 27001、HIPAA、GDPR 或供应商安全审查材料包。

提升输出质量的技巧

如果你需要更清晰的执行依据，可以要求输出按优先级排序的风险表，而不是叙述性文字。表格中可包含可能性、影响、受影响资产、现有控制、缺失控制、负责人和建议决策。

有用的附加要求包括：

• “Use STRIDE and call out the top 3 risks by likelihood × impact.”
• “Estimate worst-case exposure in users, records, systems, and business impact.”
• “Identify detection rules, alert owners, and MTTD assumptions.”
• “State what must be true before ship.”
• “Separate blockers from follow-up hardening.”

ciso-review skill 常见问题

ciso-review 只适合 CISO 使用吗？

不是。ciso-review skill 适用于任何需要做出或准备安全敏感决策的人。它让非 CISO 团队也能用结构化方式提出安全高管会问的问题，同时最终批准仍应由你的安全、法务、合规或风险负责人决定。

ciso-review 可以替代正式的 Security Audit 吗？

不能。用于 Security Audit 准备时，ciso-review 最适合作为预审和差距发现工具。它可以帮助整理风险、证据和上线 blockers，但不会执行渗透测试、代码分析、法律审查或正式认证工作。

什么时候不应该使用 ciso-review？

不要把它作为高风险受监管系统、密码学设计、事件遏制、法律层面的数据泄露认定或生产紧急响应的唯一审查方式。如果你无法提供足够的数据、访问、架构和控制措施上下文，也应避免直接使用；否则输出会高度依赖假设。

什么样的计划才适合提交审查？

当一个计划能够回答这些问题时，就适合进入审查：发生了什么变化、涉及哪些数据、谁可以访问、数据流向哪里、可能在哪里失败、有哪些监控、谁负责响应、适用哪些法规，以及存在哪些截止日期或业务压力。如果这些事实缺失，应先让 assistant 帮你收集缺失的审查输入。

如何改进 ciso-review skill

用更明确的上下文提升 ciso-review 结果

提升 ciso-review 输出质量最快的方法，是把隐含风险显性化。提供图示或简洁的架构说明、认证和授权模型、管理员角色、供应商访问、加密边界、保留期限、日志覆盖范围和回滚选项。

高质量输入不应只说“我们有日志”，而应说明是哪类日志、日志流向哪里、哪条告警会触发、谁会收到，以及预期检测时间是多少。该 skill 中的检测问题，正是为了暴露“可观测性”和“可执行检测”之间的差距。

需要警惕的常见失败模式

最主要的失败模式，是接受一个看似合理但过于泛化的答案。当输出缺少量化的影响半径、具名资产、具体检测信号或上线/不上线标准时，应继续追问。

另一个常见问题，是把合规当成标签，而不是控制要求。如果提到了 GDPR、HIPAA、SOC 2、ISO 27001 或 PCI 的相关性，应进一步追问需要哪些证据、政策、控制或合同文档。

首轮审查后继续迭代

完成第一轮 ciso-review 后，可以要求进行第二轮审查，只关注尚未解决的 blockers。例如：

Re-review the plan assuming we added vendor SSO, IP allowlisting, a Datadog alert for export spikes, and an incident runbook. What residual risks remain, and what would still block launch?

这样可以把该 skill 从一次性的批评工具，变成实际的风险降低闭环。最佳的最终输出应是一份简短的决策备忘录：批准、有条件批准或阻止上线，并附上对应证据和负责人。