用途：面向组织的网络安全风险评估框架，围绕 NIST CSF 2.0、ISO 27001、CIS Controls v8 三种框架，对现有安全能力做成熟度评估、威胁面分析、控制差距分析与整改优先级排序，并可做量化的风险损失估算。
主要能力：
- 框架选择与对比，给出选择逻辑（法规要求、认证需求、从零起步、综合评估等情形）。
- NIST CSF 2.0 成熟度评估，按 6 大功能、22 个类别逐项打分，分级 1-4（Partial、Risk Informed、Repeatable、Adaptive），并给出加权总分（Govern 15%、Identify 15%、Protect 25%、Detect 20%、Respond 15%、Recover 10%）。
- 威胁面分析，覆盖国家背景 APT、有组织犯罪、黑客活动者、内部威胁、竞争对手、脚本小子等行为体，以及钓鱼、勒索软件、供应链、凭证窃取、漏洞利用、云配置错误、DDoS、物理访问等攻击向量。
- 漏洞评估方法，按网络、Web、云、终端、身份、第三方等层规定方式与频率，并按 CVSS 给出严重性分级与修复 SLA。
- 关键资产（Crown Jewel）识别与评分（机密性 0.4、完整性 0.3、可用性 0.3，≥4.0 为关键资产）。
- 控制差距与整改优先级，公式为风险影响×利用可能性/实施难度，并列出快赢项。
- FAIR 量化，LEF×LM 计算年度损失期望并输出损失超限曲线。
- 第三方/供应链风险分级（Critical/High/Medium/Low）与评估清单。
- 事件响应就绪度评分卡（满分 48，换算百分比并分级）。
- 安全架构审查清单（网络、身份与访问、数据保护等）。
使用方式：需先提供组织信息、评估范围、框架偏好、现有安全态势、合规要求、已知事件、技术栈与预算；随后按框架选择、成熟度评估、威胁面分析、漏洞评估、关键资产分析、控制差距、FAIR 量化、第三方评估、IR 就绪度、架构审查的顺序执行并填写相应模板表格。
适用场景：中大型企业的安全项目设计与审计准备、合规映射、整改规划和风险汇报。
限制：资料为方法框架与模板，未提供具体执行工具或自动化实现；部分表格内容在来源中被截断，收尾步骤未全部给出，实际使用需自行补全输入数据与判断。