用途：该技能帮助组织搭建 ISO 27001 信息安全管理体系（ISMS）的骨架，包括范围界定、风险处置和可辩护的适用性声明（SoA），使认证成为有文档支撑的管理体系，而非临时应付。
主要能力：输出 ISO 27001 ISMS 文档，包含范围声明（资产、地点、排除项及理由）、背景与风险（相关方及其要求、风险评估方法与风险接受准则）、适用性声明（逐项列出附录 A 控制项是否适用、状态与理由）、风险处置计划（主要风险及缓解/接受/转移/规避方式）以及实施路线图（优先处理第 4–10 章强制条款，再处理高风险附录 A 缺口，含负责人与日期）。
使用方式：需提供 ISMS 范围、背景与相关方、风险方法、当前控制措施等输入。附带脚本 scripts/soa_coverage.py（仅用标准库）可评估 SoA 覆盖率并标记无理由排除的控制项，用法：python3 scripts/soa_coverage.py soa.json，或加 --json 输出 JSON。
适用场景：实施 ISO 27001、界定 ISMS 范围、构建 SoA、准备认证审核。
限制：该技能不构成认证，只有经认可的认证机构才能颁发证书；不得在未书面说明理由的情况下排除控制项；不得先建 SoA 再做风险评估；附录 A 并非标准全部，第 4–10 章为强制要求；不得在无运行证据的情况下标记控制项为已实施。