用途：扫描软件仓库，针对 ISO 27001:2022 附录 A 的软件开发控制项（8.4、8.25–8.33）生成合规差距报告。
主要能力：采用两阶段架构，先收集证据再评分。第一阶段运行 python /path/to/skill/scripts/scan_repo.py /path/to/repo --output /tmp/iso27001-evidence.json，将文件证据收集为单个 JSON；第二阶段读取该 JSON，依据 references/controls.md 的评分规则对 10 个核心控制项评分并输出 Markdown 报告。证据涵盖文件模式、linter 配置、安全分析工具、硬编码密钥、CI/CD 配置、ADR、安全测试文件、语言/容器/IaC 检测及 monorepo 检测等。对 8.28 还需参考 references/secure-coding-patterns.md。
使用方式：先阅读 references/controls.md，再执行扫描脚本，审阅 stderr 摘要；若脚本失败或仓库不可本地访问，可用 find、grep、cat 手动收集证据。随后按控制项评分，并对 5.8、8.7、8.8、8.9、8.16 等支持性控制项做轻量检查。报告含执行摘要、详细发现、支持性控制项、后续步骤和分析局限。monorepo 只出一份汇总报告。
限制：仅能验证仓库内可见证据，无法核实平台级访问控制、流程遵循、培训记录、合同控制等；缺失基础设施应标记为分析缺口而非直接判定失败。未提供具体价格、平台支持范围等信息。