用途：该技能用于 CIA 平台软件开发生命周期（SDLC）各阶段的安全集成，确保在编写代码前识别并缓解威胁，遵循与 Hack23 ISMS 安全开发策略一致的纵深防御原则。适用于新功能或用户故事启动、API 端点与数据流设计、架构或设计文档编写、安全故事验收标准撰写、拉取请求安全审查、涉及敏感数据的冲刺规划以及实现前的设计评审。不适用于事后取证（用 incident-response 技能）、运行时安全监控（用 aws-cloudwatch-monitoring）和代码级漏洞扫描（用 secure-code-review）。
主要能力：按 SDLC 阶段组织安全活动。需求阶段识别安全需求（滥用用例）、定义数据分类、记录合规要求（GDPR、NIS2）；设计阶段用 STRIDE 做威胁建模、定义信任边界、选择安全控制并评审纵深防御；实现阶段遵循安全编码标准、使用经批准的库与框架、在边界做输入验证、应用最小权限；测试阶段包括安全单元测试、SAST（CodeQL、SonarCloud）、DAST（ZAP）、依赖漏洞检查（OWASP）；部署阶段做安全配置评审、基础设施加固验证、密钥管理验证、监控与告警设置；维护阶段包括漏洞修补节奏、安全事件响应、定期更新威胁模型、依赖更新评审。STRIDE 模板覆盖 Spoofing、Tampering、Repudiation、Information Disclosure、Denial of Service、Elevation of Privilege，并给出 CIA 平台政治家风险评分仪表板示例，如 @PreAuthorize、@Transactional(readOnly=true)、审计日志、Cache-Control: no-store、连接超时与 @Secured 等控制。纵深防御分网络、应用、数据、身份、监控五层，涉及 AWS VPC/安全组/WAF/Shield、Spring Security/CSRF/CSP、输入验证/参数化查询/输出编码/AES-256 与 KMS、bcrypt 成本 12 与 RBAC、CloudWatch/GuardDuty/CodeQL/OWASP。另提供每项新功能的安全控制清单（实现前、实现中、实现后）以及带安全默认值的 Spring Security 配置示例，并与 ISO 27001、NIST CSF、CIS Control 16、NIS2 等控制项对齐。
使用方式与限制：资料未提供具体安装命令或调用步骤，暂未提供。该技能针对 CIA 平台与 Hack23 ISMS，其他环境适用性未说明。