{"id":"322b9c53-e49c-462d-91cc-c1d7f6c1ab86","shortId":"aRdMRj","kind":"skill","title":"coff0xc-compliance-architecture","tagline":"Use when / 当用户请求: 全面安全架构、威胁建模、合规审计、数据安全、DLP、隐私、安全基线和成熟度评估工作流。触发：安全架构、STRIDE、威胁建模、等保、PCI-DSS、GDPR、ISO27001、SOC2、CIS、NIST、数据分类、脱敏、DLP、隐私、基线、控制矩阵、安全评审、风险模型、控制项、审计证据、控制证据、audit log、risk register、control evidence、release evidence、executive report、compliance report、上线前评审、审计日志、高管报告、风险报告","description":"# coff0xc-compliance-architecture\n\n<!-- skill-id: cs-car-a64d8e31 -->\n\n## 快速规则（日常任务先读这里）\n> **[范围先行]** 先定系统边界、数据分类、信任边界、合规框架、控制目标和证据来源。\n> **[架构门禁]** 风险要映射到资产、威胁、控制、负责人、验证证据和残余风险。\n> **[输出可审计]** 交付威胁模型、控制矩阵、差距、优先级、例外和整改路线。\n> **[硬边界]** 法律意见、客户承诺、正式认证声明、生产策略变更和公开发布先确认。\n\n普通安全架构/合规评审按本节先推进；只有正式审计、客户交付或企业控制治理时再展开完整工作流。\n\n## 能力定位\n面向安全架构、威胁建模、合规映射、数据安全和成熟度评估的治理能力。它把系统设计、控制要求和审计证据整理成能落地的风险决策材料。\n\n## 能交付什么\n- 架构风险评审和信任边界图\n- STRIDE/威胁建模、控制矩阵和差距分析\n- 数据分类、隐私、DLP 和日志审计建议\n- 合规证据清单、整改路线和上线门禁\n\n## 可以接收什么输入\n- 架构图、数据流、系统说明、上线方案\n- 合规要求、控制项、审计证据、政策文档\n- 数据分类、权限模型、日志和风险登记\n\n## 放心使用的边界\n- 可做设计评审、差距分析和证据整理\n- 不替代法律意见、正式审计签字或监管结论\n- 生产策略变更、权限收敛和数据处理动作必须先确认\n- 安全类能力默认只用于授权、防御、检测、加固、验证和报告；不提供未授权攻击、凭据窃取、持久化、规避检测、C2、钓鱼收集、数据外传或破坏性步骤。\n\n## 为什么可以放心\n- 把控制项映射到具体系统证据\n- 区分必须修、可接受风险和后续改进\n- 输出能被工程、审计和管理层共同理解\n\n## 典型使用方式\n```text\n使用 coff0xc-compliance-architecture 做上线前安全架构评审和威胁建模。\n使用 coff0xc-compliance-architecture 把这些控制项映射成审计证据清单。\nUse coff0xc-compliance-architecture to build a risk model and remediation roadmap.\n```\n\n\n## 目标\n把架构和合规要求转成资产、数据流、威胁、控制、证据和整改计划，而不是泛泛清单。\n\n## 适用场景\n- 做系统安全架构评审、威胁建模、合规差距分析、数据保护和控制矩阵。\n- 梳理数据分类、加密、脱敏、DLP、访问控制、日志审计和隐私风险。\n- 制定安全基线、成熟度路线、整改优先级和证据收集计划。\n\n## 触发强化\n- 自动触发主要依赖本文件 frontmatter 的 `description`；本 skill 已把中文、英文、工具名、来源别名和常见缩写写入 `description`。\n- 如果没有自动触发，手动写：`使用 coff0xc-compliance-architecture ...`。\n- 如果用户只写了宽泛主题，可先用 `coff0xc-skill-router` 路由到本 skill。\n\n## 不适用场景\n- 不要凭过期记忆回答当前法规条款、认证要求或标准版本。\n- 不要把合规勾选当安全结论；必须结合系统证据。\n- 涉及法律解释时给技术视角和证据等级，不替代律师意见。\n\n## 执行原则\n- 先读取项目文件、配置、调用点、现有风格和可用工具，再下结论或改文件。\n- 把用户目标转成可验证的完成标准；不确定但低风险的细节记录为假设并继续推进。\n- 涉及当前事实、版本、CVE、云服务、GitHub 状态、价格、外部 API 或论文时，查真实来源并标注证据等级。\n- 涉及代码改动时保持最小正确改动，优先使用现有框架、脚本、测试和本地工具。\n- 只有真实运行过的命令、测试、构建、扫描或人工检查才能写成已验证。\n- 涉及删除、远程写入、生产、凭据、付费、push、PR/Issue、CI/CD、权限或基础设施变更时，先拿到明确授权。\n\n## 安全边界\n- 只处理自有资产、明确授权资产、实验室、CTF、靶场、日志、配置、样本、代码审计、防御建设和报告写作。\n- 真实第三方目标上不提供漏洞利用、凭证获取、持久化、规避检测、C2、钓鱼收集、数据外传、破坏或未授权访问步骤。\n- 高风险请求默认转为防御输出：授权边界、风险解释、检测思路、日志查询、规则草案、加固方案、验证清单和报告结构。\n- 主动联网扫描、云账号检查、目录/租户查询或生产环境动作前，确认目标范围、速率、时间窗口、禁止动作和回滚方式。\n- 发现密钥、个人信息、样本敏感数据或客户数据时，只报告类型、位置和处置建议，不复述完整秘密值。\n\n## 能力矩阵\n| 能力域 | 覆盖范围 | 执行要点 |\n| --- | --- | --- |\n| 架构评审 | 边界、信任区、入口、身份、数据流、第三方、故障模式 | 架构风险可定位。 |\n| 威胁建模 | STRIDE、PASTA、attack trees、abuse cases、assets | 威胁映射到控制。 |\n| 合规映射 | 等保、PCI-DSS、GDPR、ISO27001、SOC2、CIS、NIST | 条款到证据和差距。 |\n| 数据安全 | 分类分级、加密、脱敏、masking、retention、backup、DLP | 数据生命周期可控。 |\n| 隐私 | PII、consent、purpose limitation、DSR、minimization、cross-border | 隐私风险可说明。 |\n| 基线 | OS、DB、K8s、Cloud、App、Logging、Endpoint | 配置基线和例外管理。 |\n| 成熟度 | 能力现状、目标状态、路线图、owner、SLA、指标 | 整改可跟踪。 |\n\n## 子域路由\n| 来源 skill | 并入后的处理方式 |\n| --- | --- |\n| security-architecture | 系统边界、威胁建模、控制设计和安全评审。 |\n| compliance-audit | 等保、PCI-DSS、GDPR、基线和证据映射。 |\n| data-security | 数据分类、加密、脱敏、DLP、访问控制。 |\n\n## 工作流\n| 阶段 | 动作 | 完成标准 |\n| --- | --- | --- |\n| 范围定义 | 确认系统、数据、法规/标准、业务目标和评审深度。 | 评审目标明确。 |\n| 资产数据流 | 画资产、信任边界、身份、数据流、第三方和存储。 | 威胁模型有基础。 |\n| 控制映射 | 把威胁/条款映射到现有控制、证据和缺口。 | 差距具体。 |\n| 风险排序 | 按影响、可能性、合规要求、可执行性和依赖排序。 | 整改有优先级。 |\n| 整改计划 | 给 owner、步骤、验证、时间、例外和残余风险。 | 能落地管理。 |\n| 证据包 | 整理截图、配置、日志、测试、策略、流程和报告引用。 | 审计可复查。 |\n\n## 证据等级\n- 已验证：本地命令、测试、构建、源码、配置、日志、官方资料或可复现数据支持。\n- 高可信：多个可靠来源一致，但当前环境没有完整复现。\n- 推断：基于已验证事实的合理判断，需要后续验证。\n- 未验证：尚未确认，不能作为最终结论。\n- 未知：资料不足，需要补充输入或授权。\n\n## 硬门禁\n- 当前法规、标准版本、认证要求必须查官方或权威来源。\n- 访问生产证据、客户数据或审计系统前确认权限和脱敏。\n- 不要把技术建议写成法律结论。\n\n## 验证清单\n- 每个合规结论都有证据文件、配置、截图或流程记录。\n- 每个威胁有现有控制、缺口和验证方式。\n- 数据保护结论覆盖采集、传输、存储、使用、共享、删除。\n- 整改项有 owner、优先级和验收标准。\n\n## 反模式\n- 复制标准条款，不映射真实系统。\n- 只看网络边界，不看身份和数据流。\n- 把加密当作所有数据安全问题的答案。\n- 没有证据就标合规通过。\n\n## 合并来源\n- `compliance-audit`\n- `data-security`\n- `security-architecture`\n\n## 本机相近 Skill\n- `guidelines-advisor`\n- `sharp-edges`\n- `code-maturity-assessor`\n\n## 输出合同\n```markdown\n完成：\n- ...\n\n证据：\n- [已验证/高可信/推断/未验证/未知] ...\n\n行动：\n- ...\n\n验证：\n- ...\n\n剩余风险：\n- ...\n\n下一步：\n- ...\n```","tags":["coff0xc","compliance","architecture","coffee","skill","agent-skills","ai-agents","appsec","codex","defensive-security","devsecops","office-docs"],"capabilities":["skill","source-coff0xc","skill-coff0xc-compliance-architecture","topic-agent-skills","topic-ai-agents","topic-appsec","topic-codex","topic-defensive-security","topic-devsecops","topic-office-docs","topic-prompt-engineering","topic-rag","topic-security-tools","topic-skills"],"categories":["coffee-skill"],"synonyms":[],"warnings":[],"endpointUrl":"https://skills.sh/Coff0xc/coffee-skill/coff0xc-compliance-architecture","protocol":"skill","transport":"skills-sh","auth":{"type":"none","details":{"cli":"npx skills add Coff0xc/coffee-skill","source_repo":"https://github.com/Coff0xc/coffee-skill","install_from":"skills.sh"}},"qualityScore":"0.455","qualityRationale":"deterministic score 0.46 from registry signals: · indexed on github topic:agent-skills · 11 github stars · SKILL.md body (3,657 chars)","verified":false,"liveness":"unknown","lastLivenessCheck":null,"agentReviews":{"count":0,"score_avg":null,"cost_usd_avg":null,"success_rate":null,"latency_p50_ms":null,"narrative_summary":null,"summary_updated_at":null},"enrichmentModel":"deterministic:skill-github:v1","enrichmentVersion":1,"enrichedAt":"2026-05-18T19:07:30.519Z","embedding":null,"createdAt":"2026-05-18T13:12:43.922Z","updatedAt":"2026-05-18T19:07:30.519Z","lastSeenAt":"2026-05-18T19:07:30.519Z","tsv":"'abus':321 'advisor':509 'api':241 'app':361 'architectur':4,58,149,155,161,209,379,504 'assessor':516 'asset':323 'attack':319 'audit':39,385,498 'backup':342 'border':354 'build':163 'c2':134,277 'case':322 'ci/cd':259 'cis':26,333 'cloud':360 'code':514 'code-maturity-assessor':513 'coff0xc':2,56,147,153,159,207,213 'coff0xc-compliance-architecture':1,55,146,152,158,206 'coff0xc-skill-router':212 'complianc':3,49,57,148,154,160,208,384,497 'compliance-audit':383,496 'consent':347 'control':43 'cross':353 'cross-bord':352 'ctf':266 'cve':235 'data':393,500 'data-secur':392,499 'db':358 'descript':195,202 'dlp':12,30,102,185,343,398 'dsr':350 'dss':22,329,389 'edg':512 'endpoint':363 'evid':44,46 'execut':47 'frontmatt':193 'gdpr':23,330,390 'github':237 'guidelin':508 'guidelines-advisor':507 'iso27001':24,331 'k8s':359 'limit':349 'log':40,362 'markdown':518 'mask':340 'matur':515 'minim':351 'model':166 'nist':27,334 'os':357 'owner':369,431,486 'pasta':318 'pci':21,328,388 'pci-dss':20,327,387 'pii':346 'pr/issue':258 'purpos':348 'push':257 'regist':42 'releas':45 'remedi':168 'report':48,50 'retent':341 'risk':41,165 'roadmap':169 'router':215 'secur':378,394,501,503 'security-architectur':377,502 'sharp':511 'sharp-edg':510 'skill':197,214,217,375,506 'skill-coff0xc-compliance-architecture' 'sla':370 'soc2':25,332 'source-coff0xc' 'stride':17,97,317 'text':144 'topic-agent-skills' 'topic-ai-agents' 'topic-appsec' 'topic-codex' 'topic-defensive-security' 'topic-devsecops' 'topic-office-docs' 'topic-prompt-engineering' 'topic-rag' 'topic-security-tools' 'topic-skills' 'tree':320 'use':5,157 '上线前评审':51 '上线方案':110 '下一步':529 '不复述完整秘密值':302 '不提供未授权攻击':130 '不映射真实系统':490 '不替代律师意见':224 '不替代法律意见':121 '不看身份和数据流':492 '不确定但低风险的细节记录为假设并继续推进':232 '不能作为最终结论':462 '不要凭过期记忆回答当前法规条款':219 '不要把合规勾选当安全结论':221 '不要把技术建议写成法律结论':472 '不适用场景':218 '业务目标和评审深度':409 '个人信息':298 '为什么可以放心':137 '主动联网扫描':289 '云服务':236 '云账号检查':290 '交付威胁模型':74 '付费':256 '代码审计':271 '价格':239 '优先使用现有框架':245 '优先级':77 '优先级和验收标准':487 '传输':480 '但当前环境没有完整复现':456 '位置和处置建议':301 '使用':145,151,205,482 '例外和整改路线':78 '例外和残余风险':435 '信任区':309 '信任边界':64,413 '做上线前安全架构评审和威胁建模':150 '做系统安全架构评审':178 '先定系统边界':62 '先拿到明确授权':261 '先读取项目文件':226 '入口':310 '全面安全架构':8 '共享':483 '典型使用方式':143 '再下结论或改文件':230 '凭据':255 '凭据窃取':131 '凭证获取':274 '分类分级':337 '删除':484 '制定安全基线':188 '剩余风险':528 '加固':128 '加固方案':287 '加密':183,338,396 '动作':402 '区分必须修':139 '反模式':488 '发现密钥':297 '只处理自有资产':263 '只报告类型':300 '只有正式审计':86 '只有真实运行过的命令':248 '只看网络边界':491 '可以接收什么输入':106 '可做设计评审':119 '可先用':211 '可执行性和依赖排序':427 '可接受风险和后续改进':140 '可能性':425 '合并来源':495 '合规审计':10 '合规差距分析':180 '合规映射':91,325 '合规框架':65 '合规要求':111,426 '合规证据清单':104 '合规评审按本节先推进':85 '和日志审计建议':103 '基于已验证事实的合理判断':458 '基线':32,356 '基线和证据映射':391 '复制标准条款':489 '外部':240 '多个可靠来源一致':455 '如果没有自动触发':203 '如果用户只写了宽泛主题':210 '威胁':69,173 '威胁建模':9,18,90,98,179,316,381 '威胁映射到控制':324 '威胁模型有基础':417 '子域路由':373 '存储':481 '它把系统设计':93 '安全基线和成熟度评估工作流':14 '安全架构':16 '安全类能力默认只用于授权':125 '安全评审':34 '安全边界':262 '完成':519 '完成标准':403 '官方资料或可复现数据支持':453 '实验室':265 '审计可复查':444 '审计和管理层共同理解':142 '审计日志':52 '审计证据':37,113 '客户交付或企业控制治理时再展开完整工作流':87 '客户承诺':81 '客户数据或审计系统前确认权限和脱敏':471 '尚未确认':461 '工作流':400 '工具名':200 '差距':76 '差距具体':422 '差距分析和证据整理':120 '已把中文':198 '已验证':446,521 '并入后的处理方式':376 '当前法规':467 '当用户请求':7 '必须结合系统证据':222 '快速规则':59 '成熟度':365 '成熟度路线':189 '或论文时':242 '截图或流程记录':476 '手动写':204 '执行原则':225 '执行要点':306 '扫描或人工检查才能写成已验证':251 '把加密当作所有数据安全问题的答案':493 '把威胁':419 '把控制项映射到具体系统证据':138 '把架构和合规要求转成资产':171 '把用户目标转成可验证的完成标准':231 '把这些控制项映射成审计证据清单':156 '持久化':132,275 '指标':371 '按影响':424 '授权边界':282 '控制':70,174 '控制映射':418 '控制目标和证据来源':66 '控制矩阵':33,75 '控制矩阵和差距分析':99 '控制要求和审计证据整理成能落地的风险决策材料':94 '控制设计和安全评审':382 '控制证据':38 '控制项':36,112 '推断':457,523 '放心使用的边界':118 '政策文档':114 '故障模式':314 '数据':406 '数据保护和控制矩阵':181 '数据保护结论覆盖采集':479 '数据分类':28,63,100,115,395 '数据外传':279 '数据外传或破坏性步骤':136 '数据安全':11,336 '数据安全和成熟度评估的治理能力':92 '数据流':108,172,312,415 '数据生命周期可控':344 '整改优先级和证据收集计划':190 '整改可跟踪':372 '整改有优先级':428 '整改计划':429 '整改路线和上线门禁':105 '整改项有':485 '整理截图':438 '日常任务先读这里':60 '日志':268,440,452 '日志和风险登记':117 '日志审计和隐私风险':187 '日志查询':285 '时间':434 '时间窗口':295 '明确授权资产':264 '普通安全架构':84 '未知':463,525 '未验证':460,524 '本':196 '本地命令':447 '本机相近':505 '权限或基础设施变更时':260 '权限收敛和数据处理动作必须先确认':124 '权限模型':116 '条款到证据和差距':335 '条款映射到现有控制':420 '来源':374 '来源别名和常见缩写写入':201 '构建':250,449 '架构图':107 '架构评审':307 '架构门禁':67 '架构风险可定位':315 '架构风险评审和信任边界图':96 '查真实来源并标注证据等级':243 '标准':408 '标准版本':468 '样本':270 '样本敏感数据或客户数据时':299 '梳理数据分类':182 '检测':127 '检测思路':284 '正式审计签字或监管结论':122 '正式认证声明':82 '步骤':432 '每个合规结论都有证据文件':474 '每个威胁有现有控制':477 '没有证据就标合规通过':494 '法律意见':80 '法规':407 '流程和报告引用':443 '测试':249,441,448 '测试和本地工具':247 '涉及代码改动时保持最小正确改动':244 '涉及删除':252 '涉及当前事实':233 '涉及法律解释时给技术视角和证据等级':223 '源码':450 '版本':234 '状态':238 '现有风格和可用工具':229 '生产':254 '生产策略变更':123 '生产策略变更和公开发布先确认':83 '画资产':412 '的':194 '目录':291 '目标':170 '目标状态':367 '真实第三方目标上不提供漏洞利用':273 '破坏或未授权访问步骤':280 '硬边界':79 '硬门禁':466 '确认目标范围':293 '确认系统':405 '禁止动作和回滚方式':296 '租户查询或生产环境动作前':292 '第三方':313 '第三方和存储':416 '等保':19,326,386 '策略':442 '系统说明':109 '系统边界':380 '给':430 '缺口和验证方式':478 '而不是泛泛清单':176 '能交付什么':95 '能力域':304 '能力定位':88 '能力现状':366 '能力矩阵':303 '能落地管理':436 '脚本':246 '脱敏':29,184,339,397 '自动触发主要依赖本文件':192 '英文':199 '范围先行':61 '范围定义':404 '行动':526 '覆盖范围':305 '规则草案':286 '规避检测':133,276 '触发':15 '触发强化':191 '认证要求必须查官方或权威来源':469 '认证要求或标准版本':220 '访问控制':186,399 '访问生产证据':470 '证据':520 '证据包':437 '证据和整改计划':175 '证据和缺口':421 '证据等级':445 '评审目标明确':410 '调用点':228 '负责人':71 '资产数据流':411 '资料不足':464 '路由到本':216 '路线图':368 '身份':311,414 '输出可审计':73 '输出合同':517 '输出能被工程':141 '边界':308 '远程写入':253 '适用场景':177 '速率':294 '配置':227,269,439,451,475 '配置基线和例外管理':364 '钓鱼收集':135,278 '防御':126 '防御建设和报告写作':272 '阶段':401 '隐私':13,31,101,345 '隐私风险可说明':355 '需要后续验证':459 '需要补充输入或授权':465 '面向安全架构':89 '靶场':267 '风险报告':54 '风险排序':423 '风险模型':35 '风险要映射到资产':68 '风险解释':283 '验证':433,527 '验证和报告':129 '验证清单':473 '验证清单和报告结构':288 '验证证据和残余风险':72 '高可信':454,522 '高管报告':53 '高风险请求默认转为防御输出':281","prices":[{"id":"998c43c4-4727-4951-97d0-ffafa9b6cd0f","listingId":"322b9c53-e49c-462d-91cc-c1d7f6c1ab86","amountUsd":"0","unit":"free","nativeCurrency":null,"nativeAmount":null,"chain":null,"payTo":null,"paymentMethod":"skill-free","isPrimary":true,"details":{"org":"Coff0xc","category":"coffee-skill","install_from":"skills.sh"},"createdAt":"2026-05-18T13:12:43.922Z"}],"sources":[{"listingId":"322b9c53-e49c-462d-91cc-c1d7f6c1ab86","source":"github","sourceId":"Coff0xc/coffee-skill/coff0xc-compliance-architecture","sourceUrl":"https://github.com/Coff0xc/coffee-skill/tree/main/skills/coff0xc-compliance-architecture","isPrimary":false,"firstSeenAt":"2026-05-18T13:12:43.922Z","lastSeenAt":"2026-05-18T19:07:30.519Z"}],"details":{"listingId":"322b9c53-e49c-462d-91cc-c1d7f6c1ab86","quickStartSnippet":null,"exampleRequest":null,"exampleResponse":null,"schema":null,"openapiUrl":null,"agentsTxtUrl":null,"citations":[],"useCases":[],"bestFor":[],"notFor":[],"kindDetails":{"org":"Coff0xc","slug":"coff0xc-compliance-architecture","github":{"repo":"Coff0xc/coffee-skill","stars":11,"topics":["agent-skills","ai-agents","appsec","codex","defensive-security","devsecops","office-docs","prompt-engineering","rag","security-tools","skills"],"license":"other","html_url":"https://github.com/Coff0xc/coffee-skill","pushed_at":"2026-05-17T11:03:26Z","description":"Installable Codex/AgentSkills workflow pack for dev, Agent/RAG, API/data, Office artifacts, research diagrams, and authorized security review.","skill_md_sha":"56db5b9a7f2159075e29228342656bc842add1d6","skill_md_path":"skills/coff0xc-compliance-architecture/SKILL.md","default_branch":"main","skill_tree_url":"https://github.com/Coff0xc/coffee-skill/tree/main/skills/coff0xc-compliance-architecture"},"layout":"multi","source":"github","category":"coffee-skill","frontmatter":{"name":"coff0xc-compliance-architecture","description":"Use when / 当用户请求: 全面安全架构、威胁建模、合规审计、数据安全、DLP、隐私、安全基线和成熟度评估工作流。触发：安全架构、STRIDE、威胁建模、等保、PCI-DSS、GDPR、ISO27001、SOC2、CIS、NIST、数据分类、脱敏、DLP、隐私、基线、控制矩阵、安全评审、风险模型、控制项、审计证据、控制证据、audit log、risk register、control evidence、release evidence、executive report、compliance report、上线前评审、审计日志、高管报告、风险报告、客户说明、权限模型。 Covered source aliases / 来源别名: compliance-audit, data-security, security-architecture. Capability domains / 能力域: 架构评审, 威胁建模, 合规映射, 数据安全, 隐私, 基线, 成熟度. If this skill does not auto-trigger, user can manually invoke: 使用 coff0xc-compliance-architecture."},"skills_sh_url":"https://skills.sh/Coff0xc/coffee-skill/coff0xc-compliance-architecture"},"updatedAt":"2026-05-18T19:07:30.519Z"}}