kao273183 compliance-test
⚙️ 執行前先讀
modules/config-loader.md。
為什麼需要這個 skill
現有 skill 各管一塊，但「法規合規」沒人覆蓋：
security-scan找技術漏洞（SQLi / XSS / 弱密碼）— 是「程式對不對」a11y-audit查無障礙（WCAG）— 是「障礙者用不用得到」test-master規劃功能 TC — 是「功能對不對」
但合規問的是「做這件事合不合法」：同意有沒有先取得？卡號有沒有落地？個資刪除請求 30 天內有沒有處理？稽核軌跡完不完整？
你已有
government/enterprisepreset，卻沒有對應的合規 skill —— 本 skill 補這個缺口。
→ 本 skill 把法規條文翻成可驗證的 control + TC + 證據掃描。
適用場景
- ✅ 金融 / 醫療 / 政府 / 跨境 SaaS — 受法規約束
- ✅ 上線前 / 稽核前 合規 readiness 檢查
- ✅ 進入新市場（歐盟 / 加州 / 醫療）前的 gap 分析
- ✅ 處理信用卡 / 健康資料 / 個資的新功能
- ✅ 產生稽核員要看的合規證據包
不適用場景
- ❌ 找技術漏洞 — 用
security-scan - ❌ 無障礙細項 — 用
a11y-audit（本 skill 只在 EAA/Section508 層連動） - ❌ 法律意見 — 本 skill 產工程可驗證項，不取代法務／DPO 審核
⚠️ 重要免責
本 skill 協助工程團隊把合規要求落實到可測項，產出供法務 / DPO / 稽核員審閱的證據。不構成法律意見，最終合規判定須由合格法律專業人士確認。報告會明確標註此點。
支援法規 + control 對照
| 法規 | 地區 / 適用 | 核心 control（本 skill 可驗的） |
|---|---|---|
| GDPR | 歐盟個資 | 同意先行、被遺忘權、資料可攜、72h breach 通知、資料最小化、DPO |
| CCPA / CPRA | 加州消費者 | opt-out「Do Not Sell」、資料揭露請求、刪除請求、敏感資料限制 |
| PCI-DSS v4.0 | 收信用卡 | 卡號不落地、傳輸加密 (TLS)、tokenization、不存 CVV、存取控管 |
| HIPAA | 美國醫療 PHI | PHI 加密（傳輸+靜態）、最小必要、access log、BAA、自動登出 |
| SOC 2 | B2B SaaS 信任 | 存取控管、變更管理、稽核軌跡、加密、可用性監控 |
| EU EAA / Section 508 / ADA | 無障礙法規 | → 委派 a11y-audit，本 skill 收斂其結果到合規報告 |
| 個資法 (TW PDPA) | 台灣個資 | 告知同意、特定目的、當事人權利、安全維護義務 |
嚴重度分級（合規 × 罰則風險）
| 等級 | 定義 | 範例 |
|---|---|---|
| 🔴 Blocker | 直接違法、可被立即裁罰 / 禁止上線 | 卡號明文落地、無同意就收集個資 |
| 🟠 Critical | 法規明訂義務未實作 | 無「刪除我的資料」流程、無 breach 通知機制 |
| 🟡 Major | 有實作但不完整 / 可舉證不足 | 有同意但無撤回途徑、稽核 log 不含 actor |
| 🟢 Minor | 最佳實踐建議 | 同意文案可更白話、保留期可再縮短 |
執行流程
Phase 1: 判定適用法規
依「地區 × 產業 × 處理的資料類型」推導，不要全測：
收信用卡？ → PCI-DSS
有歐盟使用者？ → GDPR
有加州使用者？ → CCPA/CPRA
存健康/醫療資料？ → HIPAA
台灣個資？ → PDPA
B2B 要過稽核？ → SOC 2
有 UI？ → EAA/Section508（委派 a11y-audit）
互動式確認後，載入對應 control checklist。
Phase 2: 證據掃描（code / config）
對每條 control 自動找證據，標 ✅ 有證據 / ⚠️ 證據不足 / ❌ 找不到：
# PCI-DSS: 卡號 / CVV 是否落地（log / DB / 變數）
grep -rniE "card[_ ]?number|pan|cvv|cvc|card[_ ]?code" --include=*.{kt,swift,py,ts,js,sql} .
# GDPR: 是否有同意管理 / 刪除流程
grep -rniE "consent|gdpr|right.to.be.forgotten|data.deletion|erasure" .
# HIPAA / 通用: 是否有稽核 log
grep -rniE "audit[_ ]?log|access[_ ]?log|activity[_ ]?trail" .
# 加密傳輸: 是否有明文 http / 寫死的 endpoint
grep -rniE "http://(?!localhost|127\.)" --include=*.{kt,swift,ts,js} .
掃描只證明「找不到證據」，不等於違規 — 報告會請人工確認，不誇大。
Phase 3: 合規缺口報告
合併掃描結果 → compliance-report.md：
# Compliance Report · my-app · 2026-06-02
## 📋 範圍
- 法規: GDPR + PCI-DSS v4.0
- 地區: EU + 收信用卡
- ⚠️ 本報告為工程可驗證項，非法律意見，須經 DPO/法務確認。
## 📊 合規評分
| 法規 | controls | Pass | Gap | 評分 |
|------|----------|------|-----|------|
| GDPR | 18 | 13 | 5 | 72% |
| PCI-DSS | 24 | 22 | 2 | 92% |
## 🔴 Blocker（上線前必修）
### PCI-DSS 3.4 — 卡號明文落地
- **法條**: PCI-DSS v4.0 Req 3.4「PAN 須遮蔽 / 不可還原儲存」
- **證據**: `PaymentLogger.kt:88` 把完整卡號寫進 log
```kotlin
Log.d("payment", "charging card $cardNumber") // ❌ 卡號落地
- 修法: 只 log 後四碼
****${cardNumber.takeLast(4)}，或改用 token - 罰則風險: PCI 罰款 + 銀行停止收單資格
GDPR Art.7 — 收集個資前無同意
- 法條: GDPR Art.6/7「處理須有合法基礎，同意須事前、明確、可撤回」
- 證據: 找不到 consent gate（
grep consent無結果） - 修法: 加入同意畫面，記錄同意時間戳 + 版本，提供撤回入口
🟠 Critical / 🟡 Major / 🟢 Minor
[依等級列出，含法條 + 證據 + 修法]
📝 須人工確認（工具無法自動驗）
- 隱私權政策是否涵蓋實際收集欄位
- 是否簽署 BAA（HIPAA）/ DPA（GDPR 處理者）
- breach 通知流程是否能在 72h 內啟動
- 資料保留排程是否真的有跑（非只是寫在文件）
📈 趨勢
- 上次 audit (2026-05): GDPR 61% / PCI 88%
- 這次: GDPR 72% / PCI 92%
### Phase 4: 生成合規 TC
把每條 control 轉成可重複跑的 TC（進 Sheet 或 markdown，套 14 欄格式）：
| ID | 標題 | 分類 | 優先度 | 前置 | 步驟 | 預期 |
|----|------|------|--------|------|------|------|
| CMP-GDPR-001 | 使用者可請求刪除個資 | 功能測試 | P0 | 已登入有資料 | 設定→刪除帳號→確認 | 30 天內資料清除，回確認信 |
| CMP-PCI-003 | 卡號不出現在 log | API 驗證測試 | P0 | 完成一筆付款 | 搜尋 log | log 僅後四碼，無完整 PAN |
→ 可接 `tc-to-pytest`（API 類）或 `test-automation`（UI 類）自動化。
### Phase 5: 稽核 log + 建 ticket
- 每次 audit 寫不可竄改的稽核紀錄到 `compliance_test.audit_log_path`（誰、何時、跑了哪些法規、結果）
- Blocker / Critical 自動 propose 為 P0 JIRA ticket（用 `bug-report`）
- 可選：把合規 TC 排進 release-gate（接 `regression-test` / `qa-signoff`）
## ⚠️ 安全護欄
- ❌ 不出具法律結論 — 一律標「須法務/DPO 確認」
- ❌ 不誇大 — 「找不到證據」≠「違規」，明確區分
- ✅ 報告含「須人工確認」section（工具盲區）
- ✅ 處理真實個資 / 卡號的掃描只在程式碼層，**不外傳任何樣本資料**
- ✅ Blocker 預設擋上線（接 `qa-signoff`）
## ♿ a11y 必檢（本 skill 專屬）
合規流程的 UI 本身也要無障礙（否則 EAA 反而不合規）：
- [ ] 同意畫面的 checkbox / 按鈕有 label，TalkBack / VoiceOver 讀得出
- [ ] 「刪除我的資料」「Do Not Sell」入口在字級放大 (AX5 / 200%) 下不破版
- [ ] 隱私設定的開關狀態（開/關）有 accessibility value，不只靠顏色
- [ ] 錯誤訊息（如同意未勾）非僅紅色，附文字說明
> 深度無障礙審查委派 `a11y-audit --standard=Section508`。
## 設定依賴
| 設定 Key | 用途 | 預設 |
|---------|------|------|
| `compliance_test.regulations` | 啟用的法規清單 | `[]`（不啟用） |
| `compliance_test.region` | 地區（推導適用法規） | `""` |
| `compliance_test.severity_threshold` | 擋上線門檻 | `critical` |
| `compliance_test.audit_log_path` | 稽核紀錄輸出位置 | `.claude/compliance/audit.log` |
| `workflow.auto_cross_platform_check` | 合規缺口自動配對 iOS+Android | true |
## 範例
詳見 [`examples.md`](./examples.md)