# CSOセキュリティ監査 (cso)

> gstack-cso ヘルパー経由の証拠重視の監査で裏付けのある発見を報告し、包括モードでは再現と修正候補も加えます。

- カテゴリ: [セキュリティ監査](https://www.myskills.tools/ja/categories/security-audit/)
- 提供元: コミュニティ · Garry Tan
- リポジトリ: https://github.com/garrytan/gstack/tree/main/cso (commit 7dc2f23 · v3.0.0)
- SKILL.md: https://github.com/garrytan/gstack/blob/main/cso/SKILL.md
- インストールコマンド: `npx skills add garrytan/gstack --skill cso`
- ライセンス: MIT
- 対応ツール: Claude Code, Codex, Cursor, Copilot
- 権限: read-repo ✓, write-files ✗, shell ✓, network ✓
- 状態: スキャン済み
- ルールスキャンですべてのリスクを検出できるわけではありません。インストール前にこのスキルの SKILL.md を読み、権限を確認してください。
- ⚠ gstack-cso のインストールが必要で、包括モードではローカルのDockerでアプリを動かし、マスク済みレポートは30日間保持されます。

## 基本ルール

保証より証拠を優先し、攻撃者が操作できる入口、セキュリティ境界の越境、実際の影響がそろった発見だけを報告すること。

## 実行フェーズ

1. **モード解決と開始** — スコープと引数を解決し、信頼できるランチャーで実行を1回だけ開始し、以降はヘルパーの inspect/read/history でのみソースを読みます。
2. **モデル化と攻撃面** — アクター、資産、入口、テナント境界、セキュリティ不変条件を整理し、エンドポイント、アップロード、Webhook、CI/CDなどの攻撃面を記録します。
3. **スコープ別に監査** — 選んだスコープに応じて、インフラ、コード、スキル、サプライチェーン、OWASPなどの監査フェーズを実行します。
4. **証拠評価と検証** — 重大度・確信度・証拠を分けて判断し、独立レビュアーまたは別の懐疑的確認で各候補を検証し、同種の箇所も調べます。
5. **報告と再確認** — 報告は完了・部分・未評価のいずれかで始めて発見の表を示し、ヘルパーで保存します。resume・replay・recheck で継続や再確認ができます。

## 権限の説明（SKILL.md より）

| 機能 | 必要か | 説明 |
|---|---|---|
| ファイル書き込み | 不要 | ブランチやプロジェクトのソースは変更せず、レポートと修正候補はヘルパーが専用の状態ディレクトリに保存します。 |
| コマンド実行 | 一部で必要 | 実行できるのは gstack-cso ランチャーだけで、対象のツールやDockerをホスト上で直接動かしません。 |
| 外部通信 | 一部で必要 | 公開パッケージとセキュリティアドバイザリのIDだけを照会し、--offline で全ネットワークアクセスを無効にできます。 |

## SKILL.md のフロントマター（YAML）

```yaml
---
name: cso
version: 3.0.0
description: "Security audit: supported static findings; qualified profiles add reproduction and repair candidates. (gstack)"
allowed-tools:
  - "Bash(~/.claude/skills/gstack/bin/gstack-cso-launcher *)"
  - "Bash(~/.claude/skills/gstack/bin/gstack-cso-launcher.exe *)"
triggers:
  - security audit
  - check for vulnerabilities
  - owasp review
---
```

ホーム: https://www.myskills.tools/ja/ · URL: https://www.myskills.tools/ja/skills/cso/