nahisaho Control Mapping
Map regulatory requirements to internal controls with ownership.
Use This Skill When
- Mapping a new framework's requirements to existing controls.
- Building a control-to-requirement traceability matrix.
- Assigning control ownership.
Workflow
- Identify applicable framework and scope.
- List all requirements (use
web_searchfor current framework versions). - Map each requirement to internal controls.
- Assign owner for each control.
- Identify shared controls across multiple frameworks.
- Save mapping to files.
Deliverables
results/control-mapping.md: requirement-to-control matrix.- Reuse
assets/control-mapping-template.mdwhen producing standardized mappings.
Quality Gates
- Every requirement maps to ≥1 control.
- Every control has an assigned owner.
- Shared controls identified with cross-framework references.
- Framework version and date documented.
If any gate fails: identify the issue, fix, and re-validate.
Gotchas
- フレームワークのバージョンを必ず明記（例: ISO 27001:2022 vs 2013）。バージョン違いでコントロール番号が変わる
- 1つのコントロールで複数要件をカバーする「共通コントロール」を特定すると、効率が大幅に向上する
- コントロールオーナーは「チーム」ではなく「個人名+役職」で指定すること。曖昧なオーナーシップは監査で問題になる
Validation Loop
- マッピングを生成
- チェック: 全要件にコントロール紐付け、オーナー指定、共通コントロール特定
- 不合格なら修正
- 合格後のみ完了