用途：该技能用于信息安全风险分析工作，包括建立或更新风险登记册、对固有风险与剩余风险评分（可能性×影响或 FAIR 式损失估算）、将威胁、漏洞与控制映射到风险场景、给出处置建议（接受、缓解、转移、规避）并附业务理由，以及准备业务影响分析输入和风险 KRI。
主要能力：风险识别与评分；风险登记册维护（风险 ID、场景、负责人、固有/剩余评分、处置、目标日期、KRI，至少每季度复核，重大变更、事件或审计发现时重新评分）；威胁—漏洞—控制映射（威胁事件→漏洞/条件→影响→现有控制→差距→剩余风险）；处置与接受（成本、工作量、剩余风险，记录接受人、到期日与补偿控制）；第三方与供应链风险分级、问卷深度与集中度；委员会报告（顶级风险、热力图、趋势、KRI、处置状态、临近到期的例外）。
使用方式：按工作流加载对应参考文件，如 references/security_risk_analyst_scope.md、references/risk_identification_and_scoring.md、references/threat_vulnerability_control_mapping.md、references/treatment_and_acceptance.md、references/third_party_and_supply_chain_risk.md、references/reporting_and_governance.md。
适用场景：风险登记册建设、风险评分、控制差距分析、风险处置决策、供应商风险分级、风险委员会与董事会报告。
限制：不用于 SIEM/EDR 告警分诊或 SOC 剧本、授权渗透测试与利用、IAM/加密/SIEM/云护栏实施、IAM 权限设计与职责分离矩阵、GRC 项目与审计协调、SOC 2/ISO 证据自动化、企业安全战略或 IR 项目定义、AI 用例分类与模型治理、对手模拟规划、威胁行为者情报生产。具体收费、价格与平台信息暂未提供。