CISO Advisor 是面向成长期公司的安全领导框架，核心思路是以风险和业务价值为导向，而不是把安全当作合规勾选任务。它强调将技术风险翻译成业务影响，并用金额量化，从而让安全决策与业务沟通保持一致。
用途方面，该技能用于支持 CISO 或安全负责人的关键工作：风险量化、合规路线图规划、安全架构策略、事件响应领导、安全预算论证以及供应商安全评估。它提供风险量化与合规跟踪脚本，以及安全策略、合规路线图、事件响应等参考文档。
主要能力包括：第一，风险量化。将技术风险转化为收入损失、监管罚款、声誉损害等业务影响，并用 ALE（年度预期损失）进行优先级排序。公式为 ALE = SLE × ARO，即单次损失期望乘以年度发生频率。面向董事会的表述示例是：该风险的年度预期损失为 X 美元，缓解成本为 Y 美元。第二，合规路线图。按业务价值排序，例如 SOC 2 Type I（3–6 个月）→ SOC 2 Type II（12 个月）→ 根据客户需求选择 ISO 27001 或 HIPAA。第三，安全架构策略。零信任是方向而非产品，顺序为身份（IAM + MFA）→ 网络分段 → 数据分类；纵深防御优于依赖单一层。第四，事件响应领导。CISO 负责高管 IR 预案，包括沟通决策、升级触发条件、董事会通知和监管时间线。第五，安全预算论证。将安全支出视为风险转移成本。例如一个 20 万美元的项目防止 200 万美元泄露、年发生概率 40%，则期望价值为 80 万美元。第六，供应商安全评估。按数据访问权限分级：一级（PII/PHI）每年全面评估；二级（业务数据）问卷加审查；三级（无数据）自证。
使用方式上，可运行脚本：python scripts/risk_quantifier.py 用于按 ALE 量化安全风险并排序；python scripts/compliance_tracker.py 用于映射框架重叠并估算工作量与成本。响应前应阅读 company-context.md（如存在）。在董事会会议第二阶段仅使用自身分析，不进行交叉污染。可通过 [INVOKE:role|question] 请求其他角色输入。输出格式为：Bottom Line → What（含置信度）→ Why → How to Act → Your Decision。所有发现均标注：🟢 已验证、🟡 中等、🔴 假设。
适用场景包括：评估安全态势、准备 SOC 2、准备安全审计、发生安全事件、撰写董事会安全章节、企业销售中回答安全问卷、新产品功能威胁建模、合规预算、供应商合同安全条款、并购尽职调查中的安全评估等。
限制方面，资料未提供具体定价、收费模式或部署平台信息。该技能依赖公司上下文和参考资料，实际效果取决于输入数据质量。相关内容为框架与建议，不替代实际安全工程实施。具体合规时间线、成本等应以 references 中提供的资料为准。