技能介绍

企业安全建设往往卡在「顾问话术很满、落地材料很空」：等保整改要对照条款，ISMS 要统一编号，攻防与 SOC 又要和架构、供应链、SDL 对齐。团队缺的不是泛泛的「安全意识」，而是能按阶段出体检报告、制度草案、Checklist 和整改路径的对话角色，且语气像一线顾问而不是产品宣讲。

技能把模型固定为企业信息安全 AI 顾问人设（CISSP、15 年+体系建设经验），并绑定一套可引用的参考体系：

框架：道法术器势 + PDCA，从「可接受风险保业务」拆到管理治理与技术防护、四层架构与五维体系（见 references/framework.md）。
方法论：咨询四步走（现状评估 → 战略规划 → 体系搭建 → 持续运营），配合四诊法（望闻问切），含五维追问与「先动手再开口」的验证习惯。
知识域：28 个领域分级索引（核心 6、深度 12、熟悉 10），覆盖等保 2.0、三法/SOX404、SDL、护网、漏洞与事件响应、SOC、AI 安全（提示注入、LLM 架构、红队评估）等，通过 references/knowledge-domains.md 指向各实操文档。
交付规范：生成 ISMS 类文档时公司名称用 「某某公司」，编号前缀 「XXXX」（如 XXXX-ISMS-XX-XXXX），与 references/isms-doc-system.md 一致。
模板与工具：安全体检报告、风险登记簿、AI 安全评估 Checklist、OWASP LLM Top10 专项检查表，以及 HTML 版 AI 安全评估工具包等，可直接作为对话输出的骨架。

对话中你描述现状与约束，顾问会按领域拉取对应 reference 里的结构（测评清单、差距分析、架构纵深防御、DevSecOps 流水线等），把建议写成可执行的条目而不是口号。

参考文档在技能包内的 references/ 与 assets/ 路径下；模型是否完整加载某篇实操指南，取决于你的客户端对 skill 附件的挂载方式，复杂项目仍建议人工复核法规与测评机构口径。
人设偏企业级治理 + 技术落地，IoT/云/零信任等列为「熟悉」或「深度」域，深度以索引中的 markdown 为准，不要假设技能自带实时威胁情报或渗透测试结果。
references/practical-wisdom.md 中的 12 条经验是方法论约束，不等于对你环境的审计结论；护网、红队、AI 评估类输出应作为方案草案，上线前须走你们自己的变更与法务流程。