git:20260528.77f2458 to git:20260908.452d6f7

---

name: ch015-feedback

description: "Run CH015 security design review workflows for PRDs and specs to produce security opinions or review findings mapped to standards and regulatory requirements."

---

# Security Design Review — 보안 설계 리뷰 스킬

> PRD/기획서를 분석하여 글로벌 보안 표준·규제에 근거한 **보안 의견서** 또는 **보안 검토 의견서**를 생성한다.

---

## 서비스 개요

| 항목 | 내용 |

|------|------|

| 서비스명 | Security Design Review |

| 방법론 | 문서 정찰 → 위협 표면 매핑 → 표준 바인딩 → 의견/검토 생성 |

| 출력물 | **Opinion**: 섹션별 MUST/SHOULD 의견 + 코드 예시 (OP-{NNN}) |

| | **Review**: CRITICAL~LOW 검토 Finding + 설계 가이드 (C/H/M/L-{NN}) |

| 코드 수정 | 없음 (명세·의견 생성 전용) |

| 코드 분석 | 없음 (PRD/기획서 텍스트 분석) |

| 토큰 예산 | ~22-35K (Phase별 계층 로딩) |

---

## 출력 모드

```yaml

Mode_Selection:

opinion:

trigger: "--mode opinion (기본값)"

대상: "개발자, AI 코딩 도구"

관점: "구현 가이드 — '이렇게 만들어라'"

ID: "OP-{NNN} (001부터 순차)"

구조: "문서 섹션별 MUST / MUST NOT / SHOULD 의견 + 코드 예시"

용도: "Cursor, Claude Code 등에 컨텍스트로 주입하여 보안 요건 반영 코딩"

review:

trigger: "--mode review"

대상: "QSA, CISO, 경영진, 개발팀"

관점: "감사 리포트 — '이 설계의 위험은 이것이다'"

ID: "C-{NN} / H-{NN} / M-{NN} / L-{NN}"

구조: "Severity별 Finding + 표준 Gap 분석 + Risk Acceptance Matrix"

용도: "Go/No-Go 의사결정, 감사 대응, 규제 보고"

```

---

## 설계 원칙

```yaml

No_Pattern_Lists:

- "CWE/OWASP 카탈로그를 기계적으로 나열하지 않는다"

- "PRD 컨텍스트에서 실제 관련된 표준만 바인딩"

- "도메인·관할에 따라 적용 표준이 달라짐을 인지"

Standards_Authority:

- "권고하는 모든 알고리즘·파라미터에 근거 표준 인용 필수"

- "표준이 명확하면 그대로 인용 (e.g., NIST SP 800-63B §5.1.1.2)"

- "표준 간 충돌 시 가장 엄격한 기준 채택"

- "표준이 업데이트된 경우 최신 버전 적용 (e.g., PCI DSS 4.0.1 future-dated 2025-03-31)"

Implementation_Specificity:

핵심: "구현자가 바로 코딩할 수 있는 수준"

bad_examples:

- "암호화 적용"

- "강력한 비밀번호 정책"

- "적절한 접근 제어"

good_examples:

- "AES-256-GCM envelope encryption, DEK 로테이션 365일, CMK→DEK 2-tier"

- "bcrypt cost 12, 최소 12자, zxcvbn score ≥ 3, breached-password 사전 차단"

- "리소스별 ABAC, policy: {action, resource, condition}, 서버사이드 enforcement"

Conservative_Judgment:

- "규제 적용 범위 불확실 시 '적용 가능성 있음'으로 포함"

- "'이 정도면 안전하다'는 표현 금지"

- "법률 자문이 아닌 기술 보안 관점의 참고 정보"

```

---

## Phase 구조 (Overview)

```

Phase 0: Input Normalization → 입력 유형 판별 (문서/질문/구현의도) + 도메인·관할·차원 감지

Phase 1: Threat Surface Map → 문서 섹션별 위협 표면 매핑 (8차원 활용)

Phase 2: Standard Binding → 위협별 글로벌 표준/규제 바인딩

Phase 3: Opinion/Review/Consultation Gen → 모드별 출력 생성

Phase 4: Code Exemplification → 수정 코드 예시 생성 (의견 모드) 또는 설계 가이드 (검토 모드)

Phase 5: Checklist Assembly → Phase별 체크리스트 + Risk Acceptance

Phase 6: Output Formatting → 템플릿 기반 최종 출력

```

### 모드별 Phase 실행 맵

```yaml

Phase_Execution_Map:

opinion: [Phase_0, Phase_1, Phase_2, Phase_3, Phase_4, Phase_5, Phase_6]

review: [Phase_0, Phase_1, Phase_2, Phase_3, Phase_4, Phase_5, Phase_6]

consultation: [Phase_0, Phase_2, Phase_3]

consultation_예외:

구현_가이드: [Phase_0, Phase_2, Phase_3, Phase_4]

컴플라이언스_체크: [Phase_0, Phase_1, Phase_2, Phase_3]

```

---

## 옵션 및 파라미터

```yaml

Parameters:

required:

input: "분석 대상 문서 또는 질문 (파일 경로, Confluence URL, 인라인 텍스트, 또는 자연어 질문)"

optional:

--mode: "opinion (기본) | review | consultation (문서 없으면 자동 전환)"

--domain: "도메인 강제 지정 (auto-detect 대신)"

--jurisdiction: "관할 강제 지정 (e.g., kr, eu, uae, global)"

--level: "essential | standard (기본) | comprehensive"

--previous: "이전 리뷰 파일 경로 (이터레이션 비교 활성화)"

--target: "출력 저장 디렉토리"

Usage_Examples:

기본: "/ch015:feedback docs/prd-payment.md"

리뷰_모드: "/ch015:feedback docs/prd-payment.md --mode review"

도메인_강제: "/ch015:feedback docs/prd-wallet.md --domain web3"

이터레이션: "/ch015:feedback docs/prd-v2.md --previous reports/ch015-myapp-20260401-opinion.md"

Confluence: "/ch015:feedback https://wiki.example.com/pages/viewpage.action?pageId=12345"

상담_구현가이드: "/ch015:feedback 인증 구현하고 싶은데 뭐 조심해야 해?"

상담_트리아지: "/ch015:feedback 취약점 진단에서 XSS 나왔는데 꼭 고쳐야 해?"

상담_비교: "/ch015:feedback JWT랑 세션 중에 뭐가 더 안전해?"

상담_컴플라이언스: "/ch015:feedback 다음 주 출시인데 결제 보안 빠진 거 없나? --domain payment"

상담_인시던트: "/ch015:feedback 개인정보 유출된 것 같은데 신고해야 해? --jurisdiction kr"

상담_보상제어: "/ch015:feedback WAF 못 다는데 입력값 검증으로 대체해도 돼?"

상담_갭분석: "/ch015:feedback ISMS 인증 있는데 PCI DSS 추가로 받으려면 뭐가 더 필요해?"

```

---

## Anti-Patterns

```yaml

금지_사항:

Pattern_Dump:

설명: "CWE/OWASP 카탈로그를 PRD 컨텍스트 무관하게 전부 나열"

올바른_접근: "PRD에서 실제 관련된 표준 항목만 바인딩"

Vague_Recommendations:

설명: "'암호화 적용', '적절한 인증' 등 구체성 없는 권고"

올바른_접근: "알고리즘·파라미터·프로토콜 수준 명세"

Scope_Creep:

설명: "PRD에 없는 기능에 대한 보안 요구사항 생성"

올바른_접근: "PRD 범위에 충실. 누락 우려 시 별도 '범위 외 권고' 메모로 분리"

Legal_Advice:

설명: "'이 구현으로 GDPR 준수 완료' 등 법적 판단"

올바른_접근: "'GDPR Art.32 기준 기술적 보호조치 명세' — 법무 검토 필요 부기"

Over_Loading:

설명: "모든 표준 YAML을 한 번에 로드하여 토큰 낭비"

올바른_접근: "도메인·위협에 매칭된 파일만 조건부 Read"

Code_Analysis:

설명: "소스코드를 분석하거나 코드 기반 Finding을 생성"

올바른_접근: "문서 텍스트만 분석. 코드 진단은 /ch015:va로 위임"

Zero_Risk_Pretense:

설명: "'이 의견을 모두 반영하면 보안 완료' 등 절대 안전 암시"

올바른_접근: "Risk Acceptance 섹션으로 잔여 위험 명시. 보안은 지속적 프로세스"

MUST_Inflation:

설명: "대부분의 의견을 MUST로 분류하여 과잉 설계 유도"

올바른_접근: "MUST ≤ 50% 품질 게이트. 방어 심층은 SHOULD로 분류"

Orphan_Threat:

설명: "위협을 식별했으나 표준 근거 없이 의견만 생성"

올바른_접근: "모든 MUST/MUST NOT에 CWE/OWASP/NIST 근거 필수"

```

---

## Root Cause 해당 없음

이 스킬은 기존 코드의 문제를 진단하지 않으므로 Root Cause Classification을 사용하지 않습니다.

출력은 코드 Finding이 아닌 **보안 의견서** 또는 **보안 검토 의견서**입니다.