用途
CISO Advisor 面向成长期公司的安全负责人，帮助把安全从成本中心转化为销售赋能与竞争优势。核心目标同样包括：用美元量化风险、按业务价值排序合规工作、构建纵深防御架构，并输出可向董事会汇报的安全语言。
主要能力
风险量化
强调每笔安全投入都须用业务语言证明，核心公式为 ALE = SLE x ARO（ALE 年度损失预期、SLE 单次损失预期、ARO 年发生概率）。提供风险登记表模板（风险 ID、威胁、资产、SLE、ARO、ALE、缓解成本、ROI、优先级），以及风险优先级决策树：ALE 大于 20 万美元/年为 CRITICAL，5 万至 20 万美元为 HIGH，1 万至 5 万美元为 MEDIUM，低于 1 万美元为 LOW。SLE 由直接成本、监管罚款、通知成本、业务中断、声誉损失与法律责任等构成。
合规路线图
按业务价值排序为四阶段：基础（第 1-3 月，MFA、终端防护、访问控制、备份）、SOC 2 Type I（第 3-6 月）、SOC 2 Type II（第 6-12 月）、专项合规（第 12-18 月，ISO 27001 / HIPAA / GDPR）。资料给出各框架的时间线、成本、适用场景与客户需求，并附框架重叠矩阵，指出 SOC 2 与 ISO 27001 约有 70% 控制项重叠，建议先做 SOC 2，再以约 30% 增量工作扩展到 ISO 27001。
安全架构
提供零信任成熟度模型（0 级到 5 级：身份、网络、数据、监控、自动化），以及架构决策树（是否处理敏感数据、分类级别、是否面向互联网）。纵深防御分层给出优先序：身份（MFA、SSO、RBAC、特权访问管理）最高 ROI，其次终端、网络、应用、数据、监控。
事件响应
按 P0-P3 分级并给出响应时限与通知对象（P0 立即、CEO+法务+董事会）。工作流为 DETECT → CONTAIN → ERADICATE → RECOVER → LEARN。列明监管上报时限：GDPR 72 小时、HIPAA 60 天、美国各州法 30-90 天、SEC 4 个工作日、PCI DSS 立即。
供应商评估
按数据访问分级：Tier 1 关键（PII、PHI、财务数据、源代码，年度全面评估）至 Tier 4 最小（仅合同审查）。Tier 1 清单覆盖合规、加密（AES-256 + TLS 1.2+）、访问、事件响应、业务连续性、数据处理与子处理商。
指标与预算
董事会级指标包括 ALE 覆盖率（目标 > 80%）、MTTD（< 24 小时）、MTTR（< 4 小时）、合规状态、未修复严重漏洞（0）；运营指标包括钓鱼点击率（< 5%）、补丁 SLA 等。预算按阶段占收入 2-10%、占 IT 8-20%，分配为人员 40-50%、工具 25-35%、合规 10-15%、测试 5-10%、事件响应 5%；投资 ROI = (ALE_before - ALE_after) / Investment_cost，ROI > 1.5x 为强商业理由。
输出物与协作
可输出风险登记表、合规路线图、差距分析、事件响应协调计划、董事会安全章节、供应商风险评估、风险预算提案。协作矩阵说明 CISO 在销售受阻时与 CRO、产品功能时与 CTO/CPO、合规预算时与 CFO、事件发生时与 CEO/法务等协同。
内置工具
security_posture_scorer.py 按 NIST CSF 2.0 的 Govern、Identify、Protect、Detect、Respond、Recover 以及 CISA 零信任成熟度模型支柱评分，输出董事会级报告。用法示例：
python scripts/security_posture_scorer.py
python scripts/security_posture_scorer.py --input controls.json
python scripts/security_posture_scorer.py --json
risk_register_manager.py 管理网络风险登记表，进行 ALE（SLE x ARO）计算、缓解 ROI 计算与董事会级风险报告：
python scripts/risk_register_manager.py
python scripts/risk_register_manager.py --input risks.json
python scripts/risk_register_manager.py --json
适用场景
安全体系搭建与成熟度评估、合规框架选型与路线图制定、安全预算论证、事件响应准备与监管上报、供应商安全评估、董事会安全汇报、企业级销售中的安全问卷支持。
限制
资料未提供该技能的许可协议、价格、支持渠道、依赖环境与版本要求；脚本需 Python 环境及相应输入文件，具体依赖暂未提供。以上内容均来自资料，未列出的功能不可推断。