@shiftleftpt/sbd-toe-mcp 0.20.0-beta.36 → 0.20.0-beta.37

package/data/publish/ontology/sbdtoe-ontology.yaml

@@ -1,12 +1,15 @@
 meta:
   name: SbD-ToE Manual Ontology
-  version: '2.4'
+  version: '2.5'
   status: current
   scope: Manual ontology
-  tag: sbdtoe-ontology-v2.4
+  tag: sbdtoe-ontology-v2.5
   history:
   - version: '2.0'
     note: V2 backbone + semantic layer (imported baseline from sbd-toe-knowledge-graph)
+  - version: '2.5'
+    date: '2026-09-06'
+    note: "Aditiva sobre 2.4 (ciclo macro-processos, gate ratificado pelo programme lead 2026-09-06 + adenda das três segmentações): entidade MacroProcess (MP-01..05) com travessias como dados declarados, 18 pares inter-MP tipados verbatim (9 dependency + 9 feedback; 23 registos de consumo; errata declarada face aos 17 do mapa: +MP2→MP4), DAG de adopção MP1 → {MP2 ∥ MP4} → MP3 → MP5, relações process_view, lacuna declarada da travessia de fases (não derivar). Ids dos 20 controlos, resolution_order, 260 práticas, catalogue_rules e acore_alignment inalterados."
   - version: '2.4'
     date: '2026-09-03'
     note: "Aditiva sobre 2.3 (walkthrough CTRL↔ACore, gate ratificado pelo programme lead 2026-09-03): secção acore_alignment — 102 alinhamentos curados CTRL(20)↔ACO(75) com taxonomia exact/partial/related (0,95/0,85/0,70), derivação ACP via supports_objectives, ACM deferidos (F-W1), CAP/C4/C3 e rollups *-007 declarados; nota epistémica: correspondência entre modelos, não autoria — o composto é cobertura compensada. Ids dos 20 controlos, resolution_order, 260 práticas e catalogue_rules inalterados."
@@ -280,6 +283,33 @@ entities:
     - applicability_notes: string
     - operational_expectation: string
     - verification_notes: string
+  MacroProcess:
+    layer: core
+    description: Vista processual do Manual — macro-processo que preserva uma continuidade entre capacidades (v2.5; fonte 00-fundamentos/macro-processos.md). Instâncias canónicas em `macro_processes.items` deste ficheiro; compilado para data/publish/semantic/macro_processes.jsonl.
+    id_field: mp_id
+    source_file: ontology/sbdtoe-ontology.yaml#macro_processes
+    authority_class: normative
+    attributes:
+    - mp_id: string  # MP-01..MP-05 (ontology-owned; label MPn é editorial)
+    - label: string
+    - name_pt: string
+    - name_en: string
+    - continuity: string   # novo, declarado (sem contraparte)
+    - invariant: string    # novo, declarado (sem contraparte)
+    - question: string
+    - traverses_bundles: list[string]
+    - path_edges: list[object]
+    - scope_subjects: list[object]
+    - triggers: list[object]
+    - inputs: list[object]
+    - activities: list[object]
+    - outputs: list[object]  # outputs[].consumed_by carrega as arestas inter-MP tipadas
+    - owner_role: string
+    - participant_roles: list[string]
+    - control_points: list[object]
+    - expected_evidence: list[object]
+    - indicators: list[string]
+    - provenance: object
   Practice:
     layer: core
     description: Operational practice that implements one or more controls
@@ -655,6 +685,46 @@ relations:
       source_mode: heuristic
       authority_class: normative
       confidence_model: bounded
+  process_view:
+    # v2.5 — vista processual (MacroProcess). NOTA: deliberadamente NÃO existe relação MacroProcess↔SDLCPhase
+    # (ver macro_processes.sdlc_phase_traversal — lacuna declarada; travessia parcial e não publicada).
+    mp_traverses_bundle:
+      from: MacroProcess
+      to: KnowledgeBundle
+      status: stable
+      source_mode: explicit
+      authority_class: normative
+      confidence_model: deterministic
+      note: percurso publicado (ordenado); nunca contenção — MP, capítulo e fase são segmentações paralelas
+    mp_consumes_from:
+      from: MacroProcess
+      to: MacroProcess
+      status: stable
+      source_mode: explicit
+      authority_class: normative
+      confidence_model: deterministic
+      note: tipada dependency|feedback pela edge_typing_rule; materializada de outputs[].consumed_by
+    mp_owned_by_role:
+      from: MacroProcess
+      to: Role
+      status: stable
+      source_mode: explicit
+      authority_class: normative
+      confidence_model: deterministic
+    mp_involves_role:
+      from: MacroProcess
+      to: Role
+      status: stable
+      source_mode: explicit
+      authority_class: normative
+      confidence_model: deterministic
+    mp_measured_by:
+      from: MacroProcess
+      to: Metric
+      status: stable
+      source_mode: explicit
+      authority_class: normative
+      confidence_model: deterministic
   semantic_layer:
     mechanism_implements_control:
       from: Mechanism
@@ -3347,3 +3417,1281 @@ acore_alignment:
     - {id: CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a, reason: "sem slice de ambiente/tooling de desenvolvimento no Core V1; candidato a ACR-watch se surgir pressão multi-fonte"}
     acm:
     - {ids_count: 58, reason: "a superfície V1 servida não materializa a aresta ACM→CO (supports/implements vazio nos components-drafts); deferido até F-W1 (materializar mecanismo→objectivo no V1) e então derivar como as ACP"}
+# ---------------------------------------------------------------------------
+# macro_processes — vista processual MP1–MP5 (v2.5, 2026-09-06; gate ratificado + adenda do programme lead)
+# ---------------------------------------------------------------------------
+macro_processes:
+  schema_version: '1.0'
+  model_note: MacroProcess, KnowledgeBundle (capítulo) e SDLCPhase são TRÊS SEGMENTAÇÕES do mesmo substrato — agregações/percursos
+    diferentes de olhar para o processo de desenvolvimento segundo SbD — e não níveis de uma hierarquia nem partições umas
+    das outras; nenhuma relação entre as três se tipa como contenção. `MP → capítulos` é «percurso publicado», e é só isso.
+    Os rótulos MP1–MP5 são ontology-owned (MP-0N); não são IDs de requisito.
+  sdlc_phase_traversal:
+    status: unpublished_gap
+    reason: 'a travessia MP↔fase existe mas é PARCIAL e NÃO PUBLICADA: um MP atravessa várias fases e não necessariamente
+      na íntegra; uma fase pode conter partes de vários MP. O Manual publica por MP o percurso de CAPÍTULOS, nunca um percurso
+      de fases («fase» ocorre uma única vez no capítulo, na frase que nega a equivalência). Lacuna declarada — NÃO derivar
+      a travessia a partir de capítulos/assignments.'
+    decided_by: programme-lead 2026-09-06 (adenda à ratificação)
+  edge_typing_rule: consumo que aparece nas «Entradas» do MP consumidor ⇒ dependency; consumo que aparece nos «Gatilhos»
+    do consumidor ou nas realimentações declaradas (fecho, laço, realimentar, «nos seus gatilhos») ⇒ feedback. Cada aresta
+    vive em outputs[].consumed_by com o artefacto (via) e refs.
+  adoption_order_rule: 'ordem topológica do subconjunto dependency (feedback excluído por definição): MP-01 → {MP-02 ∥ MP-04}
+    → MP-03 → MP-05; MP-02 e MP-04 são incomparáveis na fonte (declarado, não inferido).'
+  counts:
+    macro_processes: 5
+    inter_mp_typed_pairs: 18
+    dependency_pairs: 9
+    feedback_pairs: 9
+    consumption_records: 23
+    path_edges: 22
+  erratum_vs_gate_map: 'o mapa ratificado dizia 17 pares; na emissão a aplicação da regra ratificada à fonte encontrou a
+    18.ª — MP2→MP4 («threat model … consumido por MP4: risco aceite entra na cadeia de autoridade», CLA-007), tipada feedback
+    porque não figura nas Entradas de MP4; declarada aqui, nunca silenciada.'
+  curation:
+    curator: archon-2026-09-06
+    ratified_by: programme-lead
+    ratified_on: '2026-09-06'
+    source: agentic/briefs/2026-09-06-archon-proposta-macro-processos.md
+    adenda: três segmentações + lacuna de fases (2026-09-06)
+  ref_conventions: refs com padrão [A-Z]{3}-\d{3} / REQ-AGN-\d{3} são Requirement ids validados; [A-Z]{3}-K\d{2} são metric_id
+    validados; US-nn@cc refere a user story nn do capítulo cc (validação na materialização, Codex); F-0n e T-0n são a estrutura
+    de medição transversal do cap. 14 — refs textuais declaradas não-modeladas (lacuna para o ciclo de assurance); restantes
+    refs são âncoras editoriais textuais.
+  items:
+  - mp_id: MP-01
+    label: MP1
+    name_pt: Classificar → Selecionar
+    name_en: CLASSIFY → SELECT
+    continuity: Aplicabilidade
+    invariant: Um perfil de segurança registado seleciona requisitos, gates, profundidade de revisão, evidência e formação.
+    question: O que se aplica aqui?
+    provenance:
+      source: 'SbD-ToE-Manual: 010-sbd-manual/00-fundamentos/macro-processos.md'
+      anchor: '#mp1-classificar-selecionar'
+      manual_pin: v1.8.0 f78dfe734a83b01fa9283c2df5a3eb0ba9528001
+    traverses_bundles:
+    - 00-fundamentos
+    - 01-classificacao-aplicacoes
+    - 02-requisitos-seguranca
+    - 05-dependencias-sbom-sca
+    - 06-desenvolvimento-seguro
+    - 07-cicd-seguro
+    - 08-iac-infraestrutura
+    - 09-containers-imagens
+    - 10-testes-seguranca
+    - 11-deploy-seguro
+    - 12-monitorizacao-operacoes
+    - 13-formacao-onboarding
+    - 14-governanca-contratacao
+    path_edges:
+    - from: 01-classificacao-aplicacoes
+      to:
+      - 02-requisitos-seguranca
+      kind: fluxo
+      via_refs:
+      - CLA-001
+      - CLA-002
+    - from: 02-requisitos-seguranca
+      to:
+      - 05-dependencias-sbom-sca
+      - 06-desenvolvimento-seguro
+      - 07-cicd-seguro
+      - 08-iac-infraestrutura
+      - 09-containers-imagens
+      - 10-testes-seguranca
+      - 11-deploy-seguro
+      - 12-monitorizacao-operacoes
+      - 13-formacao-onboarding
+      kind: fluxo
+      via_refs:
+      - REQ-003
+      - US-04@02
+      - US-12@02
+      note: backlog SEC-Lx-* propaga aplicabilidade aos capítulos técnicos
+    - from: 00-fundamentos
+      to: todas as aplicações
+      kind: piso
+      via_refs:
+      - baseline (oito obrigações mínimas)
+      note: independente do nível; a seleção acrescenta, nunca subtrai
+    - from: 01-classificacao-aplicacoes
+      to:
+      - 14-governanca-contratacao
+      kind: ramo
+      via_refs:
+      - GOV-006
+      - GOV-007
+      note: ramo de aquisição — fornecedores e terceiros
+    scope_subjects:
+    - subject: application
+      refs:
+      - CLA-001
+      - CLA-008
+    - subject: supplier
+      refs:
+      - GOV-007
+    - subject: ai_agent
+      refs:
+      - A0–A4 por agente e contexto
+    triggers:
+    - text: Aplicação nova ou início de projeto
+      refs:
+      - US-01@01
+    - text: Alteração significativa, reavaliação ≤ 30 dias
+      refs:
+      - CLA-006
+      - CLA-004
+    - text: Ciclo periódico por nível (L1 anual, L2 semestral, L3 trimestral)
+      refs:
+      - CLA-005
+    - text: Alteração relevante de requisitos; pode disparar novo threat modeling
+      refs:
+      - REQ-005
+      - US-02@02
+    - text: Introdução/modificação de automação ou apoio à decisão (incl. IA); regra de reforço da matriz
+      refs: []
+    inputs:
+    - text: Eixos E/D/I e limiares L1–L3 (modelo de classificação)
+      refs: []
+    - text: Inventário central de aplicações
+      refs:
+      - CLA-008
+    - text: Matriz de controlos por nível de risco
+      refs: []
+    - text: Catálogos com colunas L1/L2/L3 (caps. 02–14) + baseline (Fundamentos)
+      refs: []
+    activities:
+    - order: 1
+      text: Classificar pelos três eixos e obter o nível
+      refs:
+      - CLA-001
+      - US-01@01
+    - order: 2
+      text: Aprovar proporcionalmente e registar no inventário
+      refs:
+      - CLA-002
+      - CLA-008
+      - US-15@01
+    - order: 3
+      text: Aplicar a matriz de controlos ao nível
+      refs:
+      - CLA-003
+      - US-02@01
+    - order: 4
+      text: Selecionar requisitos no backlog com SEC-Lx-* e registar a decisão
+      refs:
+      - REQ-003
+      - US-01@02
+    - order: 5
+      text: Propagar a aplicabilidade aos capítulos técnicos
+      refs:
+      - matriz transversal (cap. 10)
+    - order: 6
+      text: Validar no pipeline tags e ligação a REQ-XXX
+      refs:
+      - US-12@02
+    - order: 7
+      text: Reavaliar por gatilho ou ciclo, com registo
+      refs:
+      - CLA-004
+      - CLA-005
+      - CLA-006
+      - US-03@01
+      - US-02@02
+    - order: 8
+      text: Estender a fornecedores cláusulas e validação proporcionais
+      refs:
+      - GOV-006
+      - GOV-007
+    outputs:
+    - text: Perfil de segurança registado (classificação aprovada + inventário + seleção de requisitos)
+      consumed_by:
+      - mp: MP-02
+        kind: dependency
+        via: threat modeling formal aplica-se a L2+
+        refs:
+        - THR-001
+      - mp: MP-03
+        kind: dependency
+        via: gates e profundidade de verificação por nível
+        refs: []
+      - mp: MP-04
+        kind: dependency
+        via: alçadas de aprovação por nível
+        refs:
+        - GOV-003
+      - mp: MP-05
+        kind: dependency
+        via: inventário classificado é o denominador F-02 de todos os KPIs
+        refs:
+        - F-02
+    owner_role: appsec-engineer
+    participant_roles:
+    - developer
+    - scrum-master
+    - arquitetos-software
+    - product-owner
+    - gestao-executiva
+    - grc-compliance
+    - qa
+    control_points:
+    - text: Aprovação da classificação pela entidade proporcional
+      refs:
+      - CLA-002
+    - text: Verificação de tags no PR
+      refs:
+      - US-12@02
+    - text: Validação antes do go-live
+      refs:
+      - US-05@01
+    - text: Prazo de reavaliação (30 dias)
+      refs:
+      - CLA-006
+    - text: 'Completude do denominador: F-02 = F-01'
+      refs:
+      - F-01
+      - F-02
+    expected_evidence:
+    - text: Documento de classificação versionado + matriz aplicada
+      refs:
+      - US-01@01
+    - text: Inventário central completo
+      refs:
+      - CLA-008
+    - text: Backlog com tags SEC-Lx-* e relatórios exportáveis
+      refs:
+      - US-04@02
+    - text: Registo de revisão com trigger e justificação
+      refs:
+      - US-03@01
+    indicators:
+    - CLA-K01
+    - CLA-K03
+    - CLA-K04
+    - RQS-K01
+    - RQS-K06
+    foundation_refs:
+    - F-01
+    - F-02
+    ai_agentic_extension:
+      text: Classificar e depois selecionar, com o eixo adicional A0–A4; o nível A seleciona REQ-AGN-001..004 e os requisitos
+        AI dos capítulos; formação por perfil e nível
+      refs:
+      - REQ-AGN-001
+      - REQ-AGN-002
+      - REQ-AGN-003
+      - REQ-AGN-004
+      - US-19@13
+    proportionality_l1_l3:
+      L1: piso das oito obrigações + matriz de nível baixo; aprovação pelo responsável técnico; revisão anual
+      L2: classificação validada por AppSec (CLA-K04); revisão por alteração obrigatória
+      L3: aprovação Gestão Executiva/CISO; revisão trimestral
+  - mp_id: MP-02
+    label: MP2
+    name_pt: Desenhar → Assegurar
+    name_en: DESIGN → ASSURE
+    continuity: Intenção
+    invariant: Ameaças, decisões de arquitetura e testes fecham sobre o mesmo resultado declarado.
+    question: O que foi desenhado e implementado satisfaz a intenção de segurança?
+    provenance:
+      source: 'SbD-ToE-Manual: 010-sbd-manual/00-fundamentos/macro-processos.md'
+      anchor: '#mp2-desenhar-assegurar'
+      manual_pin: v1.8.0 f78dfe734a83b01fa9283c2df5a3eb0ba9528001
+    traverses_bundles:
+    - 02-requisitos-seguranca
+    - 03-threat-modeling
+    - 04-arquitetura-segura
+    - 10-testes-seguranca
+    path_edges:
+    - from: 02-requisitos-seguranca
+      to:
+      - 03-threat-modeling
+      kind: fluxo
+      via_refs:
+      - REQ-003
+      - REQ-005
+    - from: 03-threat-modeling
+      to:
+      - 04-arquitetura-segura
+      kind: fluxo
+      via_refs:
+      - THR-004
+      - THR-005
+      - THR-002
+    - from: 04-arquitetura-segura
+      to:
+      - 10-testes-seguranca
+      kind: fluxo
+      via_refs:
+      - ARC-005
+      - US-02@04
+      - TST-001
+    - from: 10-testes-seguranca
+      to:
+      - 02-requisitos-seguranca
+      kind: fecho
+      via_refs:
+      - TST-004
+      - REQ-006
+      - US-09@02
+    scope_subjects:
+    - subject: application
+      refs:
+      - L2+ (THR-*, maioria dos TST-*)
+    - subject: significant_architectural_change
+      refs:
+      - THR-006
+      - US-06@04
+      - US-11@04
+    - subject: ai_ml_component
+      refs:
+      - THR-008
+      - ARC-014
+    notes:
+    - ARC-015 (agente como principal) pertence à continuidade de autoridade — tratado em MP4 (declaração da própria fonte)
+    triggers:
+    - text: Nova aplicação L2+ antes do go-live
+      refs:
+      - THR-001
+      - THR-007
+    - text: Alteração arquitetural significativa (threat model ≤ 30 dias)
+      refs:
+      - THR-006
+      - US-03@03
+      - US-11@04
+    - text: Alteração relevante de requisito
+      refs:
+      - REQ-005
+    - text: Vulnerabilidade corrigida → teste de regressão
+      refs:
+      - TST-006
+    - text: Pipeline com alteração relevante sem threat model atualizado (gate de consistência)
+      refs:
+      - US-05@03
+    inputs:
+    - text: Requisitos selecionados com SEC-Lx-* (MP1)
+      refs:
+      - REQ-003
+    - text: DFDs com trust boundaries; zonas de confiança
+      refs:
+      - THR-002
+      - ARC-001
+    - text: Catálogo de ameaças mitigadas (MT-NNN)
+      refs: []
+    - text: Catálogo de padrões de arquitetura + estratégia de testes
+      refs:
+      - US-13@04
+      - TST-001
+    activities:
+    - order: 1
+      text: Modelar ameaças (STRIDE baseline; LINDDUN dados pessoais; PASTA alto risco) sobre DFDs
+      refs:
+      - THR-002
+      - THR-003
+      - US-01@03
+    - order: 2
+      text: Dispor cada ameaça com owner e aprovar o modelo
+      refs:
+      - THR-004
+      - THR-005
+      - US-09@03
+    - order: 3
+      text: Sincronizar com a arquitetura (ADR; rastreabilidade decisão↔ameaça↔controlo↔requisito)
+      refs:
+      - ARC-005
+      - US-04@04
+    - order: 4
+      text: Rever independentemente antes do go-live (L2+)
+      refs:
+      - THR-007
+      - US-03@04
+    - order: 5
+      text: Definir critérios de validação e estratégia/cobertura de testes
+      refs:
+      - US-05@02
+      - TST-001
+      - TST-007
+    - order: 6
+      text: Verificar com o oráculo adequado (SAST gate; DAST staging; regressão)
+      refs:
+      - DEV-003
+      - TST-002
+      - TST-005
+    - order: 7
+      text: Fechar sobre o requisito (REQ-XXX → evidência; matriz)
+      refs:
+      - US-09@02
+      - REQ-006
+    - order: 8
+      text: Decidir o release com aceitação explícita de risco residual; gate arquitetural
+      refs:
+      - US-07@10
+      - US-12@04
+      - ARC-012
+    - order: 9
+      text: Excecionar desvios arquiteturais em ADR com aceitação de risco
+      refs:
+      - processo canónico de exceções (cap. 14)
+    outputs:
+    - text: Threat model aprovado e versionado com decisões
+      consumed_by:
+      - mp: MP-03
+        kind: dependency
+        via: gates de promoção
+        refs: []
+      - mp: MP-04
+        kind: feedback
+        via: risco aceite entra na cadeia de autoridade (não é Entrada declarada de MP4; entra pelo circuito de exceção/aceitação)
+        refs:
+        - CLA-007
+    - text: Evidência de verificação ligada ao build
+      consumed_by:
+      - mp: MP-03
+        kind: dependency
+        via: promoção só com evidência
+        refs:
+        - TST-004
+      - mp: MP-05
+        kind: dependency
+        via: indicadores
+        refs:
+        - RQS-K03
+        - THR-K02
+    - text: Matriz requisito → ameaça → teste
+      consumed_by:
+      - mp: MP-05
+        kind: dependency
+        via: medição e auditoria
+        refs:
+        - REQ-006
+    owner_role: appsec-engineer
+    participant_roles:
+    - arquitetos-software
+    - developer
+    - qa
+    - product-owner
+    - scrum-master
+    - gestao-executiva
+    - devops-sre
+    control_points:
+    - text: Aprovação formal do threat model
+      refs:
+      - US-09@03
+    - text: Gate de consistência no CI/CD (alerta L2, bloqueante L3)
+      refs:
+      - US-05@03
+    - text: Revisão independente antes do go-live (L2+)
+      refs:
+      - THR-007
+    - text: Gate arquitetural antes do go-live (checklist assinada em L3)
+      refs:
+      - US-12@04
+      - ARC-012
+    - text: Critérios de release (L2 bloqueia High/Critical; L3 nenhum crítico sem exceção)
+      refs:
+      - US-07@10
+    expected_evidence:
+    - text: Threat model versionado com aprovação
+      refs:
+      - US-09@03
+    - text: ADR e ficha de solução alinhadas
+      refs:
+      - US-04@04
+      - US-09@04
+    - text: Matriz requisito↔ameaça↔teste
+      refs:
+      - REQ-006
+      - THR-005
+    - text: Resultado e evidência por REQ-XXX
+      refs:
+      - US-09@02
+    - text: Relatórios de teste ligados ao build; checklist de arquitetura
+      refs:
+      - TST-004
+      - US-12@04
+    indicators:
+    - THR-K02
+    - THR-K05
+    - ARC-K02
+    - RQS-K03
+    - RQS-K05
+    - TST-K04
+    ai_agentic_extension:
+      text: Threat model estendido a componentes AI/ML e agentes com tool-use; padrões arquitetónicos dedicados
+      refs:
+      - THR-008
+      - US-11@03
+      - US-12@03
+      - ARC-014
+    proportionality_l1_l3:
+      L1: zonas de confiança (ARC-001), SAST como gate (DEV-003), validação funcional (REQ-001)
+      L2: threat modeling formal + rastreabilidade requisito→ameaça→teste
+      L3: revisão formal reforçada; ARC-012; critérios de release estritos
+  - mp_id: MP-03
+    label: MP3
+    name_pt: Construir → Executar
+    name_en: BUILD → RUN
+    continuity: Proveniência / execução
+    invariant: A evidência de dependências, pipeline, artefacto, deployment e runtime descreve a mesma versão lançada.
+    question: O que está a correr e de onde veio?
+    provenance:
+      source: 'SbD-ToE-Manual: 010-sbd-manual/00-fundamentos/macro-processos.md'
+      anchor: '#mp3-construir-executar'
+      manual_pin: v1.8.0 f78dfe734a83b01fa9283c2df5a3eb0ba9528001
+    traverses_bundles:
+    - 05-dependencias-sbom-sca
+    - 06-desenvolvimento-seguro
+    - 07-cicd-seguro
+    - 08-iac-infraestrutura
+    - 09-containers-imagens
+    - 11-deploy-seguro
+    - 12-monitorizacao-operacoes
+    path_edges:
+    - from: 05-dependencias-sbom-sca
+      to:
+      - 07-cicd-seguro
+      kind: fluxo
+      via_refs:
+      - DEP-001
+      - DEP-002
+    - from: 06-desenvolvimento-seguro
+      to:
+      - 07-cicd-seguro
+      kind: fluxo
+      via_refs:
+      - DEV-006
+      - DEV-003
+    - from: 07-cicd-seguro
+      to:
+      - 09-containers-imagens
+      kind: fluxo
+      via_refs:
+      - CIC-007
+      - CIC-005
+    - from: 09-containers-imagens
+      to:
+      - 11-deploy-seguro
+      kind: fluxo
+      via_refs:
+      - CNT-009
+      - DPL-002
+    - from: 08-iac-infraestrutura
+      to:
+      - 11-deploy-seguro
+      kind: ramo
+      via_refs:
+      - IAC-007
+      - IAC-004
+    - from: 11-deploy-seguro
+      to:
+      - 12-monitorizacao-operacoes
+      kind: fluxo
+      via_refs:
+      - DPL-004
+    - from: 12-monitorizacao-operacoes
+      to:
+      - 05-dependencias-sbom-sca
+      kind: laço
+      via_refs:
+      - DEP-010
+      - DEP-007
+      - DPL-005
+    scope_subjects:
+    - subject: released_version
+      refs:
+      - build → artefacto → imagem → deploy → runtime
+    - subject: pipeline_as_code
+      refs:
+      - CIC-001
+    - subject: declared_infrastructure
+      refs:
+      - cap. 08
+    - subject: ai_agent
+      refs:
+      - em operação
+    triggers:
+    - text: Cada build, cada PR, cada promoção
+      refs:
+      - DEP-001
+      - DEV-003
+      - CIC-004
+      - DPL-003
+    - text: CVE nova (SLA por severidade); atualização de imagem base
+      refs:
+      - DEP-007
+      - TST-003
+      - CNT-010
+    - text: Drift IaC/real ou drift operacional pós-deploy
+      refs:
+      - IAC-012
+      - US-14@11
+    - text: Incidente em produção (reconstituir até ao commit)
+      refs:
+      - DPL-004
+      - US-09@07
+    - text: Mudança de modelo, skill files ou system prompts (agentes)
+      refs:
+      - DPL-010
+      - DPL-011
+    inputs:
+    - text: Código revisto + guidelines por stack
+      refs:
+      - DEV-004
+      - DEV-001
+    - text: Dependências e imagens de origem aprovada; IaC versionado
+      refs:
+      - DEP-005
+      - DEP-006
+      - CNT-001
+      - IAC-005
+    - text: Gates por nível (MP1); threat model e evidência (MP2); aprovação de deploy (MP4)
+      refs: []
+    activities:
+    - order: 1
+      text: Inventariar e verificar dependências por build (SBOM, SCA, versões fixas)
+      refs:
+      - DEP-001
+      - DEP-002
+      - DEP-003
+      - DEP-004
+    - order: 2
+      text: Construir com gates de integração (linters, SAST, secrets scanning)
+      refs:
+      - DEV-002
+      - DEV-003
+      - CIC-003
+      - IAC-011
+    - order: 3
+      text: Executar o pipeline como código, triggers restritos, runners isolados
+      refs:
+      - CIC-001
+      - CIC-002
+      - CIC-006
+    - order: 4
+      text: Assinar e registar proveniência de artefacto e imagem
+      refs:
+      - CIC-007
+      - CNT-007
+      - CNT-008
+    - order: 5
+      text: Policy-as-code e admission control
+      refs:
+      - IAC-003
+      - IAC-007
+      - CNT-009
+    - order: 6
+      text: Promover só com proveniência verificada, gates passados e aprovação humana
+      refs:
+      - DPL-002
+      - DPL-003
+      - DPL-001
+      - US-15@07
+      - US-16@11
+    - order: 7
+      text: Registar o deploy com rastreabilidade end-to-end; validar em staging
+      refs:
+      - DPL-004
+      - US-17@11
+      - DPL-007
+    - order: 8
+      text: Observar em runtime (logging estruturado, eventos, alertas, drift)
+      refs:
+      - OPS-001
+      - OPS-002
+      - OPS-004
+      - OPS-005
+      - OPS-015
+    - order: 9
+      text: Fechar o laço de vulnerabilidade e incidente (SBOM→CVE→correção; rollback testado)
+      refs:
+      - DEP-010
+      - DPL-005
+      - US-15@11
+    outputs:
+    - text: Release rastreável (pipeline ID, hash, commit, aprovador, gates)
+      consumed_by:
+      - mp: MP-05
+        kind: dependency
+        via: indicador de evidência de deploy
+        refs:
+        - DPL-K06
+    - text: Telemetria de runtime
+      consumed_by:
+      - mp: MP-05
+        kind: dependency
+        via: MTTD/MTTR
+        refs:
+        - OPS-010
+      - mp: MP-02
+        kind: feedback
+        via: vulnerabilidade corrigida origina teste de regressão (gatilho de MP2)
+        refs:
+        - TST-006
+    - text: Findings e desvios
+      consumed_by:
+      - mp: MP-04
+        kind: feedback
+        via: quando exigem exceção (gatilho de MP4)
+        refs:
+        - páginas de exceções caps. 05–12
+    owner_role: devops-sre
+    participant_roles:
+    - developer
+    - appsec-engineer
+    - operacoes
+    - product-owner
+    - grc-compliance
+    - gestao-executiva
+    control_points:
+    - text: Gate SCA com bloqueio + gates de pipeline bloqueantes
+      refs:
+      - DEP-002
+      - CIC-004
+    - text: Verificação de assinatura/proveniência antes de promoção
+      refs:
+      - CIC-007
+      - CNT-007
+      - DPL-002
+    - text: Admission control + plan aprovado antes de apply
+      refs:
+      - CNT-009
+      - IAC-007
+    - text: Aprovação humana para ações irreversíveis; bypass só com aprovação registada
+      refs:
+      - DPL-001
+      - CIC-004
+      - CIC-K02
+    - text: Janela de observação pós-deploy; falha de ingestão de logs é sinal
+      refs:
+      - DPL-008
+      - OPS-004
+    expected_evidence:
+    - text: SBOM ligado ao build; relatório SCA; SBOM→CVE→ação
+      refs:
+      - DEP-001
+      - DEP-002
+      - DEP-010
+    - text: Execução de pipeline identificável; artefacto com commit SHA e run ID
+      refs:
+      - CIC-005
+      - CIC-007
+    - text: SBOM e assinatura por imagem; logs de admissão
+      refs:
+      - CNT-007
+      - CNT-008
+      - CNT-009
+    - text: Registo de deploy completo
+      refs:
+      - DPL-004
+    - text: Logs estruturados persistidos e retidos
+      refs:
+      - OPS-001
+      - OPS-003
+    indicators:
+    - DEP-K01
+    - CIC-K03
+    - CNT-K03
+    - DPL-K06
+    - DEP-K02
+    - IAC-K02
+    ai_agentic_extension:
+      text: Identidade do que executa inclui modelo/versão, prompts/skill files, tools/MCP e mandate; AI BOM; pesos como
+        ativo crítico; eval suite como gate; telemetria dedicada. O mandate é matéria de MP4; MP3 garante que o que corre
+        é o que o mandate referencia
+      refs:
+      - DEP-011
+      - DEP-012
+      - US-14@05
+      - US-19@07
+      - DPL-010
+      - DPL-011
+      - OPS-011
+      - OPS-012
+      - OPS-013
+      - OPS-014
+    proportionality_l1_l3:
+      L1: SBOM, SCA com bloqueio, versões fixas, gates, aprovação formal de deploy, rollback testado, logging estruturado
+      L2: assinatura e proveniência
+      L3: reforços das colunas L3 dos catálogos
+  - mp_id: MP-04
+    label: MP4
+    name_pt: Autorizar → Agir / Excecionar
+    name_en: AUTHORISE → ACT / EXCEPT
+    continuity: Autoridade e agência
+    invariant: Papéis, deveres de fornecedor, automatismos e exceções exigem autoridade explícita e evidência retida.
+    question: Quem pode fazer isto — e onde fica registado?
+    provenance:
+      source: 'SbD-ToE-Manual: 010-sbd-manual/00-fundamentos/macro-processos.md'
+      anchor: '#mp4-autorizar-agir-excecionar'
+      manual_pin: v1.8.0 f78dfe734a83b01fa9283c2df5a3eb0ba9528001
+    traverses_bundles:
+    - 00-fundamentos
+    - 13-formacao-onboarding
+    - 14-governanca-contratacao
+    - 02-requisitos-seguranca
+    path_edges:
+    - from: 00-fundamentos
+      to:
+      - 13-formacao-onboarding
+      kind: fluxo
+      via_refs:
+      - GOV-002
+      - 13 papéis canónicos
+    - from: 13-formacao-onboarding
+      to:
+      - 14-governanca-contratacao
+      kind: fluxo
+      via_refs:
+      - TRN-004
+      - TRN-005
+    - from: 14-governanca-contratacao
+      to: acção ou exceção registada
+      kind: fluxo
+      via_refs:
+      - GOV-003
+      - GOV-004
+    - from: 14-governanca-contratacao
+      to:
+      - 02-requisitos-seguranca
+      kind: ramo
+      via_refs:
+      - REQ-AGN-001
+      note: 'ramo automatismos: alçadas → mandate A0–A4'
+    scope_subjects:
+    - subject: person_in_role
+      refs:
+      - colaborador, owner, aprovador
+    - subject: supplier
+      refs:
+      - TRN-007
+      - GOV-013
+    - subject: ai_agent
+      refs:
+      - A1+
+      - REQ-AGN-001
+    triggers:
+    - text: Entrada/mudança de função; designação ou rotação de owner
+      refs:
+      - US-01@13
+      - TRN-002
+      - US-09@14
+    - text: Onboarding de fornecedor/contractor; revisão periódica de acesso; offboarding
+      refs:
+      - GOV-007
+      - GOV-013
+      - GOV-014
+      - US-17@14
+    - text: Pedido de exceção; expiração (90 dias por defeito) ou trigger fora de prazo
+      refs:
+      - processo canónico, passo 1
+    - text: Novo agente ou mudança de nível/scope/allowlist (reabre proposta → aprovação)
+      refs:
+      - US-15@02
+    - text: Emergency deploy (aprovação post-facto ≤ 24h, notificação a Gestão Executiva/CISO)
+      refs:
+      - exceções de deploy (cap. 11)
+    inputs:
+    - text: Modelo formal de governação + 13 papéis
+      refs:
+      - GOV-001
+    - text: Classificação por nível (MP1) que fixa as alçadas
+      refs:
+      - GOV-003
+    - text: Trilhos de formação por perfil/nível; contratos com cláusulas
+      refs:
+      - TRN-001
+      - GOV-006
+    - text: Esquema mínimo de mandate (Policy 38)
+      refs:
+      - US-15@02
+    activities:
+    - order: 1
+      text: Definir papéis e atribuir ownership por aplicação
+      refs:
+      - GOV-001
+      - GOV-002
+      - US-09@14
+    - order: 2
+      text: Condicionar a autoridade à competência (onboarding validado; formação contínua; terceiros equivalente)
+      refs:
+      - TRN-002
+      - TRN-004
+      - TRN-005
+      - TRN-007
+    - order: 3
+      text: Exercer a autoridade dentro das alçadas (L1/L2/L3)
+      refs:
+      - GOV-003
+    - order: 4
+      text: Excecionar pelo processo canónico em seis passos
+      refs:
+      - GOV-004
+      - GOV-005
+    - order: 5
+      text: Aplicar especificidades por domínio sem substituir o processo
+      refs:
+      - gestão de exceções por capítulo
+    - order: 6
+      text: Mandatar automatismos e agentes (mandate em VCS; aprovação por nível A1–A4)
+      refs:
+      - REQ-AGN-001
+      - REQ-AGN-002
+      - US-15@02
+    - order: 7
+      text: Governar terceiros (validação, preparação pré-acesso, revisão, remoção no próprio dia)
+      refs:
+      - GOV-007
+      - GOV-013
+      - GOV-014
+    - order: 8
+      text: Reter a evidência da decisão (artefactos referenciáveis; registo consolidado)
+      refs:
+      - GOV-009
+      - GOV-008
+    outputs:
+    - text: Registo de exceções ativo (validade + cadeia de autoridade)
+      consumed_by:
+      - mp: MP-05
+        kind: dependency
+        via: indicadores de exceções
+        refs:
+        - GOV-K02
+        - GOV-K03
+        - GOV-K04
+      - mp: MP-01
+        kind: feedback
+        via: risco residual aceite com owner e TTL re-entra na reavaliação
+        refs:
+        - CLA-007
+      - mp: MP-02
+        kind: feedback
+        via: idem, no desenho
+        refs:
+        - CLA-007
+    - text: Mandate referenciável (mandate_ref)
+      consumed_by:
+      - mp: MP-03
+        kind: dependency
+        via: audit events por tool invocation; identidade de pipeline
+        refs:
+        - OPS-012
+        - US-19@07
+    - text: Aprovação de deploy por papel autorizado
+      consumed_by:
+      - mp: MP-03
+        kind: dependency
+        via: promoção
+        refs:
+        - DPL-001
+    - text: Acesso concedido/revisto/revogado com evidência
+      consumed_by:
+      - mp: MP-05
+        kind: dependency
+        via: indicadores de acesso e formação
+        refs:
+        - TRN-K03
+        - GOV-K01
+    owner_role: grc-compliance
+    participant_roles:
+    - gestao-executiva
+    - appsec-engineer
+    - scrum-master
+    - product-owner
+    - security-champion
+    - developer
+    - fornecedores-terceiros
+    - auditores
+    control_points:
+    - text: Acesso bloqueado até onboarding validado
+      refs:
+      - TRN-004
+      - US-01@13
+    - text: Aprovação formal explícita, nominal e registada (sem aprovações tácitas)
+      refs:
+      - processo canónico
+    - text: Expiração (90 dias por defeito) — não renovação = não conformidade ativa
+      refs:
+      - GOV-005
+    - text: Revisão periódica de acesso de terceiros com remoção no próprio dia
+      refs:
+      - GOV-014
+      - US-19@14
+    - text: Reabertura do ciclo do mandate a cada mudança; kill-switch exercitado
+      refs:
+      - US-15@02
+      - REQ-AGN-003
+    - text: Separação entre sinal automático e decisão
+      refs:
+      - US-15@07
+      - US-16@10
+      - US-16@11
+    expected_evidence:
+    - text: Registo de exceção completo com cadeia de autoridade
+      refs:
+      - processo canónico
+    - text: Certificados/LMS; bloqueios de acesso; ready-for-access de terceiros
+      refs:
+      - US-01@13
+      - US-15@14
+    - text: Mandate versionado com mandate_ref; audit events
+      refs:
+      - REQ-AGN-001
+      - OPS-012
+    - text: Checklist de revisão de acesso; designação de owner
+      refs:
+      - US-19@14
+      - US-09@14
+    - text: Artefactos de decisão referenciáveis
+      refs:
+      - GOV-009
+    indicators:
+    - GOV-K02
+    - GOV-K03
+    - GOV-K04
+    - GOV-K01
+    - TRN-K02
+    - TRN-K03
+    - CIC-K02
+    ai_agentic_extension:
+      text: 'O agente é o caso de maior distância capacidade↔autoridade: o que está autorizado é o que o mandate declara'
+      refs:
+      - REQ-AGN-001
+      - REQ-AGN-002
+      - REQ-AGN-003
+      - REQ-AGN-004
+    proportionality_l1_l3:
+      L1: exceção aprovada pelo responsável técnico; onboarding básico obrigatório; terceiros recomendado
+      L2: aprovação AppSec + responsável; formação contínua semestral
+      L3: AppSec + GRC/CISO com medida compensatória obrigatória; trimestral
+  - mp_id: MP-05
+    label: MP5
+    name_pt: Medir → Melhorar
+    name_en: MEASURE → IMPROVE
+    continuity: Asseguramento e aprendizagem
+    invariant: Cada capítulo precisa de população elegível, contrato de evidência, dono e medida de estado resultante.
+    question: O sistema funcionou, e o que temos de mudar?
+    provenance:
+      source: 'SbD-ToE-Manual: 010-sbd-manual/00-fundamentos/macro-processos.md'
+      anchor: '#mp5-medir-melhorar'
+      manual_pin: v1.8.0 f78dfe734a83b01fa9283c2df5a3eb0ba9528001
+    traverses_bundles:
+    - 00-fundamentos
+    - 01-classificacao-aplicacoes
+    - 02-requisitos-seguranca
+    - 03-threat-modeling
+    - 04-arquitetura-segura
+    - 05-dependencias-sbom-sca
+    - 06-desenvolvimento-seguro
+    - 07-cicd-seguro
+    - 08-iac-infraestrutura
+    - 09-containers-imagens
+    - 10-testes-seguranca
+    - 11-deploy-seguro
+    - 12-monitorizacao-operacoes
+    - 13-formacao-onboarding
+    - 14-governanca-contratacao
+    path_edges:
+    - from: 00/01 fundação de portfólio
+      to:
+      - 01-classificacao-aplicacoes
+      - 02-requisitos-seguranca
+      - 03-threat-modeling
+      - 04-arquitetura-segura
+      - 05-dependencias-sbom-sca
+      - 06-desenvolvimento-seguro
+      - 07-cicd-seguro
+      - 08-iac-infraestrutura
+      - 09-containers-imagens
+      - 10-testes-seguranca
+      - 11-deploy-seguro
+      - 12-monitorizacao-operacoes
+      - 13-formacao-onboarding
+      - 14-governanca-contratacao
+      kind: fluxo
+      via_refs:
+      - F-01
+      - F-02
+      - CLA-K01
+      - CLA-008
+      note: denominador comum
+    - from: KPIs de domínio (01–14)
+      to: dimensões transversais T-01..T-06
+      kind: fluxo
+      via_refs:
+      - catálogos KPIs por capítulo
+    - from: dimensões T-01..T-06
+      to: ação corretiva com owner e prazo
+      kind: fluxo
+      via_refs:
+      - GOV-K08
+      - GOV-010
+    scope_subjects:
+    - subject: organisation_practices_controls_knowledge
+      refs:
+      - medidos sobre o portfólio classificado; a evolução do próprio Manual fica fora
+    triggers:
+    - text: Período de cada indicador; ciclo de validação contínua por tipo de ativo
+      refs:
+      - GOV-010
+    - text: Avaliação anual de maturidade com comparação ao ciclo anterior
+      refs:
+      - T-06
+      - GOV-012
+    - text: Desvio face ao threshold → ação corretiva
+      refs:
+      - GOV-011
+      - US-18@13
+    - text: Incidente → MTTD/MTTR e causa raiz de formação
+      refs:
+      - OPS-006
+      - OPS-010
+      - TRN-K05
+    inputs:
+    - text: Inventário classificado e requisitos mapeados
+      refs:
+      - F-01
+      - F-02
+      - F-03
+      - CLA-008
+    - text: Catorze catálogos de indicadores + catálogo de governação
+      refs: []
+    - text: Evidência dos outros MP (exceções, releases, telemetria, matrizes, testes)
+      refs: []
+    - text: Metodologia de validação de claims (evidência sobre plausibilidade)
+      refs:
+      - canon metodologia-validacao-claims (cap. 00)
+    activities:
+    - order: 1
+      text: Estabelecer a fundação (F-02 = F-01) antes de qualquer percentagem
+      refs:
+      - CLA-008
+      - CLA-K01
+    - order: 2
+      text: Recolher indicadores de domínio com fonte primária e evidência
+      refs:
+      - TRN-009
+      - GOV-011
+      - OPS-010
+    - order: 3
+      text: Agregar nas dimensões T-01..T-06 e reportar no painel executivo
+      refs:
+      - US-05@14
+      - US-11@14
+    - order: 4
+      text: Validar por evidência, não por plausibilidade (backtrace por claim)
+      refs:
+      - metodologia de validação de claims
+    - order: 5
+      text: Priorizar com contexto de ameaça (EPSS/KEV sobre CVSS, nunca além do SLA)
+      refs:
+      - EPSS/KEV (cap. 12)
+    - order: 6
+      text: Agir sobre desvios (owner + prazo; indicadores inversos com alvo zero = SLA de finding crítico)
+      refs:
+      - RQS-K06
+      - GOV-K04
+      - TRN-K05
+    - order: 7
+      text: Avaliar maturidade por domínio (escala 1–3 de T-06; estagnação = dois ciclos sem plano)
+      refs:
+      - GOV-012
+    - order: 8
+      text: Realimentar os outros macro-processos
+      refs:
+      - TST-006
+      - TRN-006
+      - TRN-K04
+      - CLA-004
+      - CLA-006
+      - US-13@12
+    outputs:
+    - text: Painel executivo e relatórios por período
+      consumed_by: []
+    - text: Ações corretivas com owner e prazo
+      consumed_by:
+      - mp: MP-01
+        kind: feedback
+        via: reclassificação
+        refs:
+        - CLA-004
+      - mp: MP-02
+        kind: feedback
+        via: regressão de segurança
+        refs:
+        - TST-006
+      - mp: MP-03
+        kind: feedback
+        via: 'ações corretivas nos gatilhos (ex.: sinais de jailbreak → eval suite)'
+        refs:
+        - US-13@12
+      - mp: MP-04
+        kind: feedback
+        via: conteúdos formativos; renovação de exceções
+        refs:
+        - TRN-006
+        - GOV-005
+    - text: Avaliação de maturidade anual por domínio (T-06)
+      consumed_by: []
+    owner_role: grc-compliance
+    participant_roles:
+    - appsec-engineer
+    - gestao-executiva
+    - operacoes
+    - product-owner
+    - scrum-master
+    - security-champion
+    - auditores
+    control_points:
+    - text: F-02 = F-01 antes de qualquer percentagem
+      refs:
+      - F-01
+      - F-02
+    - text: Thresholds cumulativos por nível; indicadores inversos com alvo zero
+      refs: []
+    - text: Evidência obrigatória por indicador (sem fonte primária não é cobertura)
+      refs: []
+    - text: Comparação obrigatória com o ciclo anterior (T-06; OPS-010)
+      refs:
+      - OPS-010
+    - text: Desvio sem ação corretiva atribuída é falha do próprio processo
+      refs:
+      - GOV-K08
+    expected_evidence:
+    - text: Registos de indicadores por período com fonte primária
+      refs: []
+    - text: Painel executivo com F-01..F-04 e T-01..T-06
+      refs: []
+    - text: Avaliação anual de maturidade com evidência por domínio
+      refs:
+      - GOV-012
+    - text: Registo de ações corretivas com owner, prazo e fecho
+      refs:
+      - GOV-010
+    indicators:
+    - CLA-K01
+    - GOV-K07
+    - GOV-K08
+    foundation_refs:
+    - F-01
+    - F-02
+    - F-03
+    - F-04
+    dimension_refs:
+    - T-01
+    - T-02
+    - T-03
+    - T-04
+    - T-05
+    - T-06
+    ai_agentic_extension:
+      text: 'Fontes de medição para agentes: telemetria dedicada, audit por tool invocation, budget/runaway, jailbreak/off-policy'
+      refs:
+      - OPS-011
+      - OPS-012
+      - OPS-013
+      - OPS-014
+    proportionality_l1_l3:
+      L1: thresholds de base; T-06 espera nível 1
+      L2: thresholds apertam; validação contínua semestral
+      L3: trimestral; obrigações cumulativas