Mapeamento de conformidade
Cada descoberta é associada automaticamente ao referencial regulatório para o qual serve de evidência. Hoje: EU AI Act, NIST AI RMF (com GenAI Profile), SOC 2, ISO 27001:2022, PCI-DSS v4.0, HIPAA Security Rule, LGPD/GDPR. Sem marcação manual: o mapeamento é determinístico e fica em apps/shared.
Pontos-chave
- Filtro por referencial em /findings: retorna apenas as descobertas que servem de evidência para uma regra.
- Em uma execução elegível do Starter+, SARIF segmentado por referencial no pacote de evidências: um .sarif por referencial coberto.
- compliance/coverage.json: resumo adequado para auditoria com ocorrências por controle e IDs de descoberta.
- Guia de manutenção em docs/COMPLIANCE_MAPPING.md para evoluir o mapeamento junto com novas versões dos referenciais.
01
Frameworks cobertos
- EU AI Act Art.10/13/14/15; NIST AI RMF GOVERN-1.5 + MAP-2.3 + MEASURE-2.6/2.7 + MANAGE-4.1 + GAI-1.1.
- SOC 2 CC6.1/CC6.6/CC7.1/CC7.2/CC8.1; ISO 27001 A.5.7/A.8.2/A.8.16/A.8.26/A.8.28.
- PCI-DSS Req.6.2/6.3/7/10; HIPAA §164.308/§164.312; LGPD Art.46 + GDPR Art.32/Art.25/Art.33-34.
02
Como o mapping é derivado
- Cada descoberta carrega um owasp_category (LLM01–LLM10) + attack_technique (MITRE ATT&CK).
- deriveComplianceFrameworks() em apps/shared percorre um catálogo curado de controles por framework.
- Match é determinístico e puro: sem LLM no loop, regenerável sob demanda.