简诗 AI 合规性审核与整改方案

当合规审计变成猜谜游戏

编写符合 GDPR 或 HIPAA 的代码已经够难了，但在审计阶段仍然可能因为找不到某个加密配置或权限控制的证据而陷入困境。更糟的是，审计报告往往充满"建议加强安全"这样模糊的建议，导致团队不知道下一步该做什么。

Compliance Checker Blueprint 为这个问题提供了一个结构化的解决方案。

它如何工作：从数据流到整改方案

这个技能的核心是一套严谨的五阶段审计方法论，确保每一次检查都有迹可循：

1. 发现与范围界定：首先绘制数据处理的完整旅程，识别涉及的合规框架
2. 扫描与证据收集：针对七个关键类别执行深度扫描：

- PII/敏感数据 处理
- 数据保留策略
- 加密机制
- 访问控制
- 审计日志
- 同意管理
- 数据传输

1. 差距分析：将每个发现映射到具体的法规条款，并分配合规状态和风险等级
2. 整改规划：为每个不符合项生成可操作的整改步骤，包括所需证据、工作量评估和依赖关系
3. 报告生成：输出结构化的 compliance-report.md，包含完整的差距分析表和证据包

两个关键原则

绝不猜测：所有发现必须有具体的文件路径、行号和代码片段作为证据。如果证据缺失，直接标记为 UNABLE TO ASSESS 而不是臆断。

区分技术与组织控制：清楚地区分哪些问题可以通过代码修改解决，哪些需要验证组织层面的控制措施（如安全策略、员工培训）。

适用边界

这个技能专注于静态审计，不会自动安装依赖、修改系统权限或执行下载内容。涉及外部写入操作（如发布、部署）时，必须先获得你的明确确认。凭据只用于指定的官方服务验证，不会回显或记录。