Security Governance — Threat Modeling

1. Mission

把"系统里哪里可能被攻击、为什么、怎么防"用结构化方法回答出来，产物落到可追踪的工件（threat register、DFD、abuse cases、control gap），下游 risk register / remediation / pentest 都从这里取上下文。

职责边界：

• 仅做 threat modeling：识别威胁、列控制缺口、产出文档
• 不做：active testing、code-level remediation、风险接受决策
• 不替代 SAST/DAST/pentest——它们是验证手段，本 skill 是发现手段

2. Activation Triggers（什么时候必须激活）

任一条件成立即触发：