用途：协助澳大利亚政府机构、承包商及其供应链，以风险为基础应用 ASD《信息安全手册》（2026 年 3 月版），覆盖控制项选择、差距分析、系统授权与 IRAP 评估准备。若未说明系统分级，默认按 OFFICIAL: Sensitive（OS）处理。
主要能力：按任务输出不同格式——差距分析输出控制表（控制 ID｜章节｜描述｜适用性｜状态｜所需证据｜差距说明）；控制指导按“目的→要求→实施步骤→审计证据”结构化；系统授权给出分步路径与交付物；IRAP 准备给出工件、评估范围与评估员标准清单；安全文档生成含 ISM 引用的结构化文档；一般问题以简洁文字并引用控制 ID 作答。
框架结构：23 项网络安全原则分为 Govern（G1–G5）、Protect（P1–P14）、Detect（D1）、Respond（R1–R3）；共 22 个指南章节。风险管理为六步循环：定义系统、选择控制、实施、评估、授权、监控。控制适用性标记为 NC、OS、P、S、TS，高级别叠加，如 PROTECTED 系统需实施 NC+OS+P。
核心流程：差距分析需确认分级、运行环境与现状，逐项标注状态（已实施/部分/未实施/不适用）并给出补救优先级；系统授权路径为 SSP→安全风险评估→IRAP 评估（PROTECTED+ 强制，OS 建议）→POA&M→ATO→持续监控；IRAP 准备需确认评估员在 ASD 注册名单，工件含 SSP、网络图、资产与风险登记册、策略集、控制证据等，至少每 24 个月或重大变更后重评；文档须含目的、范围、分级标记、ISM 引用、评审周期与文档负责人。
Essential Eight 是 ISM 控制的优先子集，其合规不等于完整 ISM 合规，成熟度 ML0–ML3 衡量八项策略实施深度，政府完整合规需同时满足 ISM 与 Essential Eight 目标。
限制：该技能提供一般合规信息，非法律意见；须对照官方来源核实最新要求，重大决策应咨询合格法律顾问或认可评估员。参考文件 guidelines-overview.md 与 control-applicability.md 按任务加载。