GRCEngClub/claude-grc-engineering

解决的问题

该项目提供了一个自动化治理、风险与合规（GRC）任务的工具包。它将来自云服务商、SaaS 工具和代码库的技术证据，转化为符合框架的发现结果、差距报告和修复指导，将合规视为一个可重复、可版本化的工程问题。

工作原理

该工具包作为 Claude 生态系统（Claude Code、Claude Desktop 和 Claude Cowork）的插件市场运行。采用流水线模型，连接器插件从 AWS、GitHub、Okta 等来源收集证据，将其标准化为统一的「Finding」模式，然后使用 grc-engineer 中心将这些发现与安全控制框架（SCF）及各种合规框架（如 SOC 2、NIST 800-53、ISO 27001）进行映射。

适用人群

专为希望自动化合规工作流并将其集成到技术环境中的 GRC 从业者、安全工程师、审计人员和平台团队设计。

主要亮点

• 多框架支持：支持映射到 SOC 2、FedRAMP、HIPAA、GDPR 等广泛标准。
• 可扩展的插件系统：包含针对不同角色（审计员、内部 GRC）的专用插件，支持多种云/SaaS 工具的连接器，以及 draw.io 的绘图工具。
• 自动修复：生成修复代码、脚本和策略以填补合规差距。
• OSCAL 集成：提供 FedRAMP/OSCAL 工作流工具以及 SSP/SAR/POA&M 输出支持。
• 统一数据契约：使用版本化的 Finding 模式，确保不同证据连接器之间的一致性。