Mapa de conformidade
Cada achado é associada automaticamente ao referencial regulatório para o qual serve de evidência. Hoje: EU AI Act, NIST AI RMF (com GenAI Profile), SOC 2, ISO 27001:2022, PCI-DSS v4.0, HIPAA Security Rule, LGPD/GDPR. Sem marcação manual: o mapeamento é determinístico e fica em apps/shared.
Todo achado já carrega o que a auditoria precisa: uma categoria OWASP LLM e uma técnica ATT&CK. O mapa de conformidade deriva, de forma determinística, para quais controles do EU AI Act, NIST AI RMF, SOC 2, ISO 27001, PCI-DSS, HIPAA e LGPD/GDPR aquela achado constitui evidência.
Não há etapa de marcação nem taxonomia para manter. Esta página explica quais frameworks estão cobertos e como a derivação permanece reprodutível.
Pontos-chave
- Filtro por referencial em /findings: retorna apenas os achados que servem de evidência para uma regra.
- Em uma execução elegível do Starter+, SARIF segmentado por referencial no pacote de evidências: um .sarif por referencial coberto.
- compliance/coverage.json: resumo adequado para auditoria com ocorrências por controle e IDs de achado.
- Guia de manutenção em docs/COMPLIANCE_MAPPING.md para evoluir o mapeamento junto com novas versões dos referenciais.
Frameworks cobertos
- EU AI Act Art.10/13/14/15; NIST AI RMF GOVERN-1.5 + MAP-2.3 + MEASURE-2.6/2.7 + MANAGE-4.1 + GAI-1.1.
- SOC 2 CC6.1/CC6.6/CC7.1/CC7.2/CC8.1; ISO 27001 A.5.7/A.8.2/A.8.16/A.8.26/A.8.28.
- PCI-DSS Req.6.2/6.3/7/10; HIPAA §164.308/§164.312; LGPD Art.46 + GDPR Art.32/Art.25/Art.33-34.
A cobertura é declarada no nível de controle, não de framework: um artigo do AI Act, uma subcategoria do NIST, um critério do SOC 2, um controle do Anexo A da ISO, um requisito PCI, uma seção HIPAA, um artigo da LGPD/GDPR. Um achado mapeia para os controles que sua categoria e técnica realmente tocam.
Como o mapping é derivado
- Cada achado carrega um owasp_category (LLM01–LLM10) + attack_technique (MITRE ATT&CK).
- deriveComplianceFrameworks() em apps/shared percorre um catálogo curado de controles por framework.
- Match é determinístico e puro: sem LLM no loop, regenerável sob demanda.
A derivação é uma função pura em apps/shared: entra owasp_category mais attack_technique, saem identificadores de controle, sem LLM no circuito. Como é determinística, a mesma achado regenera o mesmo mapa sob demanda — e é isso que o torna auditável.
Recursos relacionados