用途：为托管在 GitHub Pages 上的静态 HTML/CSS 网站落实 ISO/IEC 27001:2022 附件 A 控制措施，建立系统化的信息安全管理，适用于安全控制实施、ISMS 审计与评审、安全架构变更及 ISO 27001 认证准备。
主要能力：覆盖组织控制（A.5），如可接受使用（A.5.10，数据分级为公开）、访问控制（A.5.15，GitHub 仓库分为 Admin/Write/Read 角色）、认证（A.5.17，要求 MFA、SSH 密钥或 PAT、GPG 签名提交）、云服务安全（A.5.23，GitHub Pages 与数据主权）。技术控制（A.8）包含终端设备安全、特权访问（分支保护、PR 审查、管理员操作日志）、信息访问限制（内容全部公开）、技术漏洞（Dependabot 每周扫描、每个 PR 运行 CodeQL、启用秘密扫描）、配置管理（配置全部入 Git）、Web 过滤（CSP 与 X-Frame-Options、X-Content-Type-Options、HSTS 等安全头）、密码学（强制 TLS 1.3、仅 HTTPS、HSTS 预加载）、安全编码（HTMLHint、CSSLint、语义化 HTML、无内联脚本、linkinator 链接完整性检查）。开发控制（A.14）包括安全开发策略与 STRIDE 威胁建模、工程原则（纵深防御、最小权限、安全失败、职责分离）、系统安全测试与验收测试（WCAG 2.1 AA、安全头验证、仅 HTTPS）。事件管理（A.16）定义严重级别与响应时间：CRITICAL 4 小时、HIGH 24 小时、MEDIUM 7 天、LOW 30 天。
使用方式：为每个控制记录引用、判定适用性、完成实施、收集证据、执行测试并更新文档；维护 SECURITY_ARCHITECTURE.md、ARCHITECTURE.md、THREAT_MODEL.md、SECURITY.md 及适用性声明（SOA）。可用 bash 脚本做合规核查：npm audit、curl -I 检查 Strict-Transport-Security、openssl s_client 检查 TLSv1.3、htmlhint index.html、linkinator --recurse --silent 检查链接。
限制：A.8.11 数据掩码不适用于该项目，因其仅处理公开政府数据；脚本与检查项需按实际站点域名和工具环境调整。