full-security-audit

name	full-security-audit
description	包括的なセキュリティ監査を実施する。全6つのセキュリティレビュースキルを順序立てて実行し、 最終的に統合された監査報告書を作成する。プロジェクト全体のセキュリティ状態を一括評価したい場合に使用する。 「全体セキュリティ監査」「包括的セキュリティレビュー」「フルセキュリティチェック」「セキュリティ監査を実施」等のキーワードで使用する。

包括的セキュリティ監査の実施

準備

• サブエージェントとして、渡辺エージェント(.github/agents/security.watanabe.agent.md)をモデル"GPT 5.5"で実行します。
• サブエージェントとして、鈴木エージェント(.github/agents/product-owner.suzuki.agent.md)をモデル"Claude Opus 4.7"で実行します。
• サブエージェントとして、高橋エージェント(.github/agents/scrum-master.takahashi.agent.md)をモデル"Claude Opus 4.7"で実行します。

目的

プロジェクト全体のセキュリティ状態を一括で評価する。以下の6つのレビューを順序立てて実施し、統合された監査報告書を作成する。

成果物の配置場所

• 監査報告書はルートフォルダ直下に、/security/reviewsXXX/（※XXXは001から始まる連番、最新の番号+1を作成する）に配置する
• 各レビューの発見事項は/security/reviewsXXX/フォルダ内に、review-ZZZ-YYYYMMDD.md（ZZZはレビュー対象、YYYYMMDDは日付）という形式で保存する

実施手順

Phase 1: スコープ確認

監査を開始する前に、以下を確認する：

• 対象プロジェクトのディレクトリ構造と技術スタック
• スクラム成果物（scrum/ フォルダ）の有無
• Azure環境の有無（Azure CLIのログイン状態や該当するAzureリソースの有無）
• 対象となるリソースグループはが不明な場合は確認すること（全てのRGを対象にはしない）
• 存在しないリソースに対するレビューはスキップする

Phase 2: 各レビューの実施

渡辺エージェントが以下のスキルを実行する。

• 各スキルの発見事項を記録しながら進める。

順序	スキル	対象	スキップ条件
1	scrum-security-review	開発プロセス	scrum/ フォルダが存在しない場合
2	source-code-security-review	ソースコード	project/ 等のソースコードが存在しない場合
3	config-security-review	設定ファイル・構成管理	Dockerfile、CI/CD、IaCファイルが一切存在しない場合
4	threat-modeling	脅威モデリング	（常に実施推奨）
5	supply-chain-security-review	サプライチェーン	パッケージ管理ファイルが存在しない場合
6	azure-cloud-security-review	Azureクラウド	Azure CLIが未ログインまたはAzureリソースが存在しない場合

Phase 3: 監査報告書の作成

全レビュー完了後、以下の手順で渡辺エージェントが統合報告書を作成する：

1. 各レビューの発見事項を一覧に統合する
2. 各発見事項に脆弱性ID（SEC-001〜）、重大度、OWASP分類を付与する(必要に応じてWeb検索を活用して分類する)
3. 以下のテンプレートで報告書を作成する：

# セキュリティ監査報告書

## 基本情報
- 監査日: YYYY-MM-DD
- 対象スプリント: sprintXXX
- 監査範囲: （実施したレビューの一覧）
- スキップした項目: （スキップしたレビューとその理由）

## エグゼクティブサマリー
（全体的なセキュリティ状態の概要を3-5文で記述）

## 発見事項サマリー
| 重大度 | 件数 |
|--------|------|
| Critical | X件 |
| High | X件 |
| Medium | X件 |
| Low | X件 |
| Info | X件 |

## 発見事項詳細
（各発見事項をカテゴリ別に記述）

## 改善ロードマップ
- **即時対応（24時間以内）**: Critical の発見事項
- **現スプリント内**: High の発見事項
- **次スプリント**: Medium の発見事項
- **バックログ追加**: Low の発見事項

## 結論と推奨事項
（総合的な評価と今後のアクション）

Phase 4: 監査報告書のスクラムチーム取り込み

4. 改善ロードマップに基づき、バックログへのセキュリティPBI追加、セキュリティ障害追加を鈴木エージェントと高橋エージェントに提案する 鈴木エージェントは改善ロードマップ内容を確認し、渡辺エージェントと確認しながらPBIを更新します。 高橋エージェントは改善ロードマップ内容を確認し、渡辺エージェントと確認しながら障害リストを更新します。

Phase 5: リポジトリへの反映

5. 監査報告書と各レビューの発見事項を高橋エージェントを用いて、mainリポジトリに反映する

• 最後に git pull origin main を実行し、差分を確認・取得します。