用途：本技能为 CIA 平台在 AWS 上的部署提供安全架构指导，涵盖 VPC 网络、IAM 最小权限、KMS 加密、CloudTrail 审计和 GuardDuty 威胁检测，并遵循 Hack23 ISMS 与 AWS Well-Architected 安全支柱。
适用场景：设计或修改 AWS 基础设施（CloudFormation）、配置 IAM 角色与策略、用 KMS 做静态数据加密、配置 VPC 网络与安全组/NACL、启用 CloudTrail 审计日志、启用 GuardDuty 威胁检测，以及审查 cia-dist-cloudformation 模板。不适用于应用层安全、CI/CD 流水线安全和数据分类决策。
参考架构：VPC 10.0.0.0/16 内含公有子网（ALB、NAT 网关）、私有应用子网（EC2/ECS）和私有数据子网（加密的 RDS PostgreSQL）；安全服务包括 ALB 上的 WAF、Shield、GuardDuty、CloudTrail 和 AWS Config；KMS 客户托管密钥用于 RDS、S3 与 Secrets Manager。
主要能力示例：安全组最小权限（应用仅接受来自 ALB 的 8080，出站仅 5432 与 443；数据库仅接受应用安全组，无出站）；NACL 纵深防御；IAM 角色仅授予 secretsmanager:GetSecretValue、日志写入与 kms:Decrypt，并列出通配符反模式与安全写法；KMS 密钥开启自动轮换并区分管理与使用权限；CloudTrail 多区域、日志校验、含数据事件；GuardDuty 检测类别与按严重度分级响应。还提供 CloudFormation 安全检查清单及 ISO 27001、NIST CSF、CIS 控制映射。
限制：资料未提供安装命令、版本号、价格或平台要求；本技能仅作架构指导，不替代应用层安全与数据分类技能。