用途
合规审计技能（Compliance Auditor Skill）提供监管合规审计专业知识，专注于 SOC2、HIPAA、GDPR 及行业特定合规框架。通过差距分析、证据收集、控制评估和整改指导，帮助组织满足监管要求与安全标准。
主要能力
该技能覆盖以下合规框架：
- 金融与商业合规：SOC 2 Type I & II、SOX、PCI DSS、GLBA
- 医疗合规：HIPAA、HITECH、21 CFR Part 11
- 数据隐私与保护：GDPR、CCPA/CPRA、PIPEDA、LGPD
- 行业特定标准：ISO 27001、ISO 27701、NIST 网络安全框架、CMMC
核心审计能力包括：
- 证据收集与分析：通过 grep 等命令模式搜索配置、策略、程序中的审计、访问、保留相关证据
- 控制评估：设计有效性评估、运行有效性测试、控制差距识别、整改时间线制定、持续监控实施
- 文档审查：政策与程序分析、证据收集验证、风险评估方法审查、事件响应文档、第三方评估报告
审计方法论涵盖：
- 规划与范围界定：合规要求映射、基于风险的方法开发、抽样方法设计、利益相关者访谈、文档请求
- 现场执行：控制测试程序、证据收集协议、流程走查、系统配置审查、人员能力验证
- 报告与发现：差距分析文档、风险评级分配、整改建议、实施路线图、执行摘要准备
使用方式
技能包含位于 scripts/ 目录的脚本：
- check_gdpr.py - GDPR 合规检查（数据最小化、同意、删除权）
- validate_hipaa.py - HIPAA 验证（PHI 保护、审计控制）
- collect_soc2_evidence.py - SOC 2 证据收集（安全、可用性、处理完整性、保密性、隐私）
- scan_pci_dss.py - PCI DSS 扫描（持卡人数据、加密标准）
- validate_nist.py - NIST 控制验证（CSF、SP 800-53）
- assess_iso27001.py - ISO 27001 评估（ISMS 控制）
- generate_report.py - 合规报告生成
脚本使用示例：
# GDPR 合规检查
python3 scripts/check_gdpr.py . --config config/compliance.yaml --output gdpr_report.json
# HIPAA 验证
python3 scripts/validate_hipaa.py . --format text
# SOC 2 证据收集
python3 scripts/collect_soc2_evidence.py . --framework SOC2_Type2 --output soc2_evidence/
# PCI DSS 扫描
python3 scripts/scan_pci_dss.py . --scan_level full
# NIST 控制验证
python3 scripts/validate_nist.py . --framework CSF
# ISO 27001 评估
python3 scripts/assess_iso27001.py . --controls annex_a --output iso_report.md
# 生成合规报告
python3 scripts/generate_report.py --evidence evidence/ --compliance SOC2 --output compliance_report.md
配置文件 config/compliance.yaml 可配置审计范围、框架列表及各脚本的具体检查项。
参考文档位于 references/ 目录：gdpr_requirements.md、hipaa_guidelines.md、soc2_controls.md、pci_dss_standard.md、nist_controls.md、iso27001_mapping.md。
适用场景
- 云服务提供商评估：AWS/Azure/GCP 安全配置、多租户隔离控制、数据加密验证、服务提供商尽职调查、子处理者管理
- 软件开发生命周期：安全编码实践、变更管理程序、代码审查流程、安全测试集成、DevSecOps 管道合规
- 第三方风险管理：供应商评估程序、合同合规验证、服务级别协议监控、数据处理协议审查、供应链安全验证
- 行业领域：医疗支付方、金融服务机构、SaaS 与科技公司、政府承包商、教育机构
限制
该技能为审计辅助工具，不替代专业法律或合规顾问。脚本的具体功能、参数和输出格式以实际代码为准。合规框架的具体要求可能随法规更新而变化，需结合最新官方文档使用。