01 / When to use
什麼時候用 CISO？
適合需要把資安證據接到專案決策的時候。它有六項能力：威脅建模、程式安全審查、密鑰／權限／網路暴露、供應鏈、發布安全判斷與資安事件。一般語句就能起手，不必記住能力名稱。
直接深查 我要深入找 repo 的漏洞
可直接使用 security-audit 等專門技能。完整稽核的重點是漏洞搜尋、覆蓋追蹤與獨立驗證。
判斷與接續 哪些成立？修好了嗎？能上嗎？
由 ciso 核對證據、評級、交接修補與重新審查，再給出發布安全判斷。
共同使用 深查之後還要接到修補
由 ciso 統整，專門技能負責深查，專案實作入口或 DevOps 承接獲授權的變更。
02 / How it works
從證據，
走到有依據的判斷。
ciso 自帶每項能力的基準做法。需要更深入時，先查專案指定工具，再找已安裝且描述符合的資安技能；沒有找到時會明說，並以基準做法完成，不要求先安裝其他技能。
固定對象
確認本次能力、範圍與固定 SHA，列出無法從專案確認的環境資訊。只報告本次要求的能力。
取得所需深度
依專案規則與已安裝技能選擇工具。輕量唯讀委派直接進行；大量 token、寫檔或多代理模式先說明預期成本，取得該模式的同意。
重新核對證據
確認低信任行為者、可控輸入、控制、跨越的信任邊界、受影響資源與結果，並附可開啟的來源。底層報告是線索，不能照單全收其評級。
判斷並交接
證據完整才確認並評級；缺決定性事實就列待驗證，不給嚴重程度。修補交給專案自己的入口，憑證、權限與環境變更交給 DevOps 或環境負責人。
重新審查與發布判斷
獨立檢查修補證據，確認原本路徑已關閉。發布時核對證據是否適用於候選 SHA，再給出放行、有條件放行或阻擋。
| 面向 | 分工 |
|---|---|
| 漏洞搜尋 | security-audit 等專門技能提供深度調查；ciso 不保證更強的漏洞搜尋能力。 |
| 報告可信度 | 兩者都有證據門檻。ciso 收到報告後仍須核對來源，重新判斷嚴重程度與分類。 |
| 完整稽核 | security-audit 完整模式有多代理探索、覆蓋紀錄、結構化資料與報告檔；ciso 的基準審查不等於完整稽核。 |
| 修補與決策 | ciso 區分交付與驗證，交接給專案入口，再針對候選版本判斷發布風險。 |
| 產出與成本 | ciso 預設只在回覆交付；security-audit 輕量模式可直接回答，完整模式則會寫出稽核產物並使用多代理。 |
這裡以目前的 security-audit 為比較對象，其他資安技能的能力與產出須依各自說明核對。ciso 不綁定特定底層技能，也不保證每次都會呼叫它。
修補進度不能跳級
- 已確認 六要素與來源足以支持發現。
- 已分派 有接收者與包含證據、最小修正及完成條件的交接。
- 修補已交付 修補者回報完成，還需要查看實際證據。
- 已驗證 CISO 重新檢查固定 SHA 的程式證據，確認原本漏洞路徑已關閉。
- 已接受風險 另一種結束方式，由使用者明確決定理由、範圍與重審條件；不等於已驗證。
03 / Questions
常見問題
它比 security-audit 更會找漏洞嗎？
沒有這項保證。六要素、待驗證不評級等做法本來就借鑑了 security-audit。CISO 增加的是跨能力的判斷、修補交接、狀態驗證與發布安全條件；單純深入找漏洞，直接用專門技能更直接。
會自動幫我修補或撤銷憑證嗎？
不會。CISO 不自行修改程式、密鑰或權限，也不透過委派繞過這個界線。它交付證據與交接內容，實作與環境操作由專案入口承接。
什麼情況會阻擋發布？
對本次候選仍有 Critical 或 High 發現，且未驗證也沒有有效風險接受時，判斷為阻擋。沒有這類問題但仍有待驗證、未審查變更或其他未結條件時，為有條件放行。有利結論不會啟動發布，也不取代使用者的發布決定。
風險接受與舊的驗證可以一直沿用嗎？
不行。接受風險由使用者決定，必須說明理由、範圍與重審條件。程式驗證要確認修補已包含在候選中且相關控制與漏洞路徑未變；環境設定若無法從現有證據確認，會保留為資訊缺口。
用對的跡象
- 報告先給結論，再依序列出範圍、判斷、發現、分派與後續。
- 確認的發現附六要素與來源；待驗證明列缺少的事實，不先給嚴重程度。
- 不把檢查清單偏差直接當漏洞，也不把修補者的一句完成當成已驗證。
- 發布判斷綁定候選 SHA，不把舊版本的通過結論自動套用到新版本。
04 / My work
我在這個作品上的工作
我整理六項能力的共同入口、證據門檻、委派與接收規則、修補狀態及發布判斷。六要素與部分審查原則借鑑 security-audit，OWASP／CWE 分類等參考來源另有記錄；這個技能沒有自建掃描器或漏洞搜尋引擎。
05 / Boundaries
使用前需要知道
- 不處理攻擊性測試、滲透測試、治理或合規工作，例如政策、風險登錄簿及 ISO 27001／SOC 2 對照。
- 不探測已部署或正式系統；動態驗證只在隔離環境使用假資料與假憑證，無法隔離時保留待驗證。
- 預設成果留在回覆；只有你明確要求，才寫入指定路徑或既有紀錄，不自建 findings ledger。
- 基準審查不代表全面覆蓋，放行結論也不是系統安全保證。
- 本頁依技能文件描述規則，未宣稱已量測漏洞發現率或決策成效；示例沒有執行任何稽核或發布。
06 / Start here
帶回自己的專案
先閱讀完整流程，確認它和專案既有的規則與工具如何銜接，再按自己的情境安裝。