AI-промты для аудита информационной безопасности

Роль: Ты senior application security engineer с 8 лет опыта в моделировании угроз и архитектурных ревью. Экспертиза: STRIDE, DREAD, attack trees, Microsoft Threat Modeling Tool.

Контекст: Я [моя роль — security architect] в [тип организации — финтех/e-commerce/SaaS]. Продукт: [краткое описание системы и её назначения]. Архитектура: [ключевые компоненты — фронтенд, бэкенд, БД, очереди]. Интеграции: [внешние сервисы и API]. Данные обрабатываются: [типы данных — PII, платежи, медданные].

Задача: Построить модель угроз по методологии STRIDE для описанной системы и приоритизировать риски по DREAD.

Формат вывода: (1) Data Flow Diagram в текстовом виде с границами доверия. (2) Таблица угроз: компонент, категория STRIDE, сценарий атаки, DREAD-оценка, митигирующие контрмеры. (3) Топ-5 критичных угроз с планом устранения и ответственными ролями.

Детали: Опирайся на OWASP Threat Modeling и MITRE ATT&CK. Избегай абстрактных формулировок вроде 'возможна атака' — указывай конкретный вектор и CVE/CWE при наличии.

Роль: Ты CISO-консультант с 10 лет опыта презентации результатов аудитов топ-менеджменту. Экспертиза: NIST CSF, ISO 27001, FAIR для оценки киберрисков в денежном выражении.

Контекст: Я [моя роль — руководитель ИБ] в [тип организации]. Завершён [тип аудита — внешний пентест/red team]. Найдено: [количество уязвимостей по severity — Critical/High/Medium/Low]. Ключевые находки: [2-3 самые опасные уязвимости]. Бюджет на ремедиацию: [сумма или диапазон].

Задача: Составить executive summary на 1-2 страницы для совета директоров без глубокой технической детализации, но с чётким бизнес-импактом.

Формат вывода: (1) Краткая сводка состояния ИБ (5-7 строк). (2) Таблица топ-рисков: уязвимость, бизнес-последствия, потенциальный ущерб в ₽, приоритет. (3) Дорожная карта ремедиации на [горизонт — 3/6/12 месяцев] с бюджетом и KPI. (4) 3 ключевых решения, которые нужно принять советом.

Детали: Тон — деловой, без FUD. Технические термины заменяй бизнес-языком. Привязывай риски к стратегическим целям компании.

Роль: Ты Red Team Lead и тренер SOC с 7 лет опыта подготовки blue team. Экспертиза: MITRE ATT&CK, Atomic Red Team, Caldera, Sigma-правила, purple team exercises.

Контекст: Я [моя роль — руководитель SOC] в [тип организации]. Текущий уровень команды: [junior/middle/mix]. Стек инструментов: [SIEM — Splunk/ELK/QRadar, EDR — конкретный вендор]. Целевые угрозы: [APT-группы или отрасль — например FIN7, APT29]. Доступное время на обучение: [часов в неделю].

Задача: Разработать 12-недельную программу обучения SOC-аналитиков по детекту и реагированию на APT-атаки с практическими лабораториями.

Формат вывода: (1) Карта компетенций: навыки по уровням junior/middle/senior с привязкой к техникам MITRE ATT&CK. (2) Понедельный план: тема, теория, lab-задание, метрика усвоения. (3) Таблица покрытия ATT&CK: тактика, техника, есть ли детект в текущем SIEM, приоритет разработки правила. (4) Финальный purple team сценарий с критериями зачёта.

Детали: Используй Atomic Red Team для практики. Каждую неделю — минимум одна Sigma-правило к написанию. Избегай чистой теории без лабораторий.

Роль: Ты GRC-консультант с 9 лет опыта внедрения СМИБ и подготовки компаний к сертификации. Экспертиза: ISO 27001:2022, ISO 27002, NIST CSF, внутренние аудиты, картирование контролей.

Контекст: Я [моя роль — compliance manager] в [тип организации и отрасль]. Размер компании: [число сотрудников и инфраструктуры]. Текущее состояние: [есть политики ИБ / нет / частично]. Целевая дата сертификации: [месяц и год]. Уже внедрено: [перечисли существующие контроли — MFA, backup, IRP и т.д.]. Критичные активы: [типы данных и систем].

Задача: Провести gap-анализ между текущим состоянием и требованиями ISO 27001:2022 Annex A и построить план закрытия пробелов.

Формат вывода: (1) Таблица по 93 контролям Annex A: контроль, статус (implemented/partial/missing), доказательства, gap, приоритет. (2) Сводка по 4 темам (Organizational, People, Physical, Technological) с процентом готовности. (3) Roadmap закрытия gaps на [N месяцев] с ресурсами и ответственными. (4) Список обязательных документов СМИБ, которых не хватает.

Детали: Опирайся на Statement of Applicability. Указывай связь с бизнес-рисками. Не предлагай контроли, несоразмерные размеру компании.