id: compliance-and-regulation-skill
version: 1.0.0
name: 法律法规与标准遵循（Compliance & Regulation）
category: proposal/security/compliance
language: zh-CN

description: >
  为项目技术方案/招标文件生成“法律法规与标准遵循”章节。
  内容遵循中国法律法规与等保相关国家标准，并将合规要求映射到数据采集、传输、存储、访问控制、审计留存与应急处置等控制点。
  严禁虚构认证或测评结果，仅描述可真实落地的系统控制措施。

inputs:
  project:
    type: object
    required: true
    fields:
      name:
        type: string
        required: true
        example: "康比特智慧食堂项目"
      customer_name:
        type: string
        required: false
        example: "某某单位（甲方）"
      scope_note:
        type: string
        required: false
        example: "覆盖结算、就餐数据采集、营养分析与报表等"
      deployment_mode:
        type: string
        required: false
        enum: ["本地化", "专有云", "公有云", "混合部署"]
      data_types:
        type: array
        required: false
        items:
          type: string
        example: ["人员身份信息", "就餐记录", "设备采集数据", "营养分析结果"]
      applies_cii:
        type: boolean
        required: false
        default: false
        example: false
      crypto_policy_follow_customer:
        type: boolean
        required: false
        default: true
        example: true
  style:
    type: object
    required: false
    fields:
      tone:
        type: string
        required: false
        default: "正式、审计友好、技术中立"
      risk_posture:
        type: string
        required: false
        enum: ["弱承诺版", "标准版", "强监管版"]
        default: "标准版"
      word_limit:
        type: integer
        required: false
        default: 900

outputs:
  format:
    type: string
    default: "markdown"
  sections:
    type: array
    items:
      type: string
    default:
      - "8.5 法律法规与标准遵循"
      - "8.5.1 法律法规遵循"
      - "8.5.2 标准与规范参考"
      - "8.5.3 合规控制落点总结（技术视角）"

constraints:
  do_not:
    - "不得虚构认证、测评结果（例如：已通过等保三级/已完成关基认定）"
    - "不得承诺无法控制的第三方行为或外部审计结论"
    - "不得给出法律结论性判断"
  must:
    - "必须覆盖数据采集、传输、存储、访问控制、审计留存、应急处置关键环节"
    - "必须逐条覆盖：网络安全法、数据安全法、个人信息保护法、（如适用）关基条例、密码法与商用密码管理要求"
    - "必须列明 GB/T 22239-2019, GB/T 25070-2019, GB/T 28448-2019, GB/T 35273-2020"
    - "用词审计友好：使用‘支持/按…设计/可提供…能力’，避免‘已通过/保证/绝对不’"

rubric:
  success_criteria:
    - "章节结构完整，编号清晰，能直接粘贴进技术方案"
    - "每条法律均包含：遵循说明 + 对应控制措施（可落地）"
    - "对‘关基’使用条件语句（如适用）"
    - "对‘密码法’不强行写算法名称，优先写遵循甲方密码应用规范"
  red_flags:
    - "出现‘已通过等保/已拿到证书/满足所有法规’等绝对表述"
    - "只写口号，没有控制点落地"
    - "遗漏任一法规/标准条目"

prompt:
  system: >
    你是企业级信息系统合规与安全架构专家。你的输出必须严谨、可审计、不过度承诺。
  user_template: |
    请为项目生成【8.5 法律法规与标准遵循】章节，要求不虚构、不夸大，只描述可真实落地的控制措施。

    ## 项目信息
    - 项目名称：{{project.name}}
    - 甲方名称：{{project.customer_name | default("甲方")}}
    - 范围说明：{{project.scope_note | default("本项目涉及系统建设、运行及数据处理全流程")}}
    - 部署模式：{{project.deployment_mode | default("未指定")}}
    - 数据类型：{{project.data_types | default(["人员身份信息","就餐记录"]) }}
    - 是否关基（如适用）：{{project.applies_cii | default(false)}}
    - 密码规范遵循甲方：{{project.crypto_policy_follow_customer | default(true)}}

    ## 输出风格
    - 语气：{{style.tone | default("正式、审计友好、技术中立")}}
    - 承诺力度：{{style.risk_posture | default("标准版")}}
    - 字数上限：{{style.word_limit | default(900)}}

    ## 必须遵循的合规原则（必须写进正文）
    - 遵循国家法律法规与国家/行业标准，并结合甲方既有安全制度与合规要求；
    - 将合规控制落到数据采集、传输、存储、访问控制、审计留存和应急处置等关键环节；
    - 目标：系统安全可控、数据可追溯、责任可审计。

    ## 8.5.1 法律法规遵循（逐条输出：遵循说明 + 控制措施）
    1) 《中华人民共和国网络安全法》
       - 覆盖：安全管理制度、权限控制、日志审计、应急预案；体现事件“发现—处置—复盘”闭环。
    2) 《中华人民共和国数据安全法》
       - 覆盖：数据分类分级、最小可用、风险评估与处置；覆盖数据全生命周期。
    3) 《中华人民共和国个人信息保护法》
       - 针对：人员身份、就餐记录等；体现合法/正当/必要；敏感信息加密与脱敏；授权与审计。
    4) 《关键信息基础设施安全保护条例》（如适用）
       - 若“是否关基=是”：按甲方关基要求落地网络边界、账号权限、运维审计、备份与演练等。
       - 若“是否关基=否”：用条件语句说明“如纳入关基范围将按要求执行”。
    5) 《中华人民共和国密码法》及商用密码相关管理规定
       - 描述传输/存储加密与密钥管理；不承诺算法认证结果；强调密钥生命周期与审计可追溯；
       - 如“密码规范遵循甲方=是”：明确“按甲方密码应用规范落地”。

    ## 8.5.2 标准与规范参考（必须列明）
    - GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》
    - GB/T 25070-2019《信息安全技术 网络安全等级保护安全设计技术要求》
    - GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》
    - GB/T 35273-2020《信息安全技术 个人信息安全规范》
    要求：不得写“已通过等保测评”，只能写“按标准设计/支持测评/可配合测评”。

    ## 8.5.3 合规控制落点总结（技术视角）
    请用一段话总结“采集-传输-存储-访问-审计-应急”的关键控制点清单式概括（但保持为段落表述，不用表格）。

    ## 禁止事项
    - 不得虚构认证/测评结果，不得绝对化承诺，不得法律结论性判断。

    ## 输出格式
    - 使用 Markdown
    - 章节编号严格从 8.5 开始，含 8.5.1、8.5.2、8.5.3