@shiftleftpt/sbd-toe-mcp 0.20.0-beta.39 → 0.20.0-beta.40

package/data/publish/runtime/artifact_requirements.json

@@ -16,7 +16,21 @@
         "11-deploy-seguro",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "02-requisitos-seguranca",
+        "04-arquitetura-segura",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "11-deploy-seguro",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "11-deploy-seguro",
+        "14-governanca-contratacao"
+      ],
       "description": "Access Review must be produced and retained as auditable evidence for practices such as Janela de mudança e aprovações por papel, Segregação de ambientes, tagging e permissões mínimas, RBAC Mínimo e ServiceAccounts Dedicadas.",
       "evidence": [
         "control CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af references access_review",
@@ -24,6 +38,11 @@
         "corpus document 010-sbd-manual/04-arquitetura-segura/canon/25-rastreabilidade.md matched aliases ['access review']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-access-000",
       "source_control_ids": [
         "CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af",
@@ -58,7 +77,33 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "09-containers-imagens",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "14-governanca-contratacao"
+      ],
       "description": "Alert Policy must be produced and retained as auditable evidence for practices such as Geração de SBOM e assinatura de artefactos de build, Incorporação de restrições legais, normativas e contratuais, AI BOM e gestão de *providers* de modelos AI {#us 14}.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references alert_policy",
@@ -68,6 +113,11 @@
         "control CTRL-supply-chain-inventario-e-analise-de-dependencias-6b0fd9f7fb references alert_policy"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-alert-000",
       "source_control_ids": [
         "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460",
@@ -197,7 +247,35 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "11-deploy-seguro",
+        "14-governanca-contratacao"
+      ],
       "description": "Approval Record must be produced and retained as auditable evidence for practices such as Produção e manutenção do inventário central com autoridade de aprovação proporcional, Uso controlado de assistentes automatizados (incluindo IA) no desenvolvimento, Validação e aprovação final.",
       "evidence": [
         "control CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a references approval_record",
@@ -207,6 +285,11 @@
         "practice 02-requisitos-seguranca:validacao-e-aprovacao-final matched alias 'aprovacao'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-approval-000",
       "source_control_ids": [
         "CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a",
@@ -248,13 +331,24 @@
       "chapter_ids": [
         "04-arquitetura-segura"
       ],
+      "cited_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "description": "Architecture Baseline must be produced and retained as auditable evidence for practices such as Atualização da baseline após alteração arquitetural significativa, Avaliação de impacto no negócio e priorização de trade offs, Catálogo de padrões de arquitetura segura (reutilização governada).",
       "evidence": [
         "control CTRL-governance-arquitetura-segura-e-rastreavel-74562442c4 references architecture_baseline",
         "corpus document 010-sbd-manual/04-arquitetura-segura/canon/25-rastreabilidade.md matched aliases ['architecture baseline']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-architecture-000",
       "source_control_ids": [
         "CTRL-governance-arquitetura-segura-e-rastreavel-74562442c4"
@@ -284,12 +378,23 @@
       "chapter_ids": [
         "04-arquitetura-segura"
       ],
+      "cited_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "description": "Architecture Checklist must be produced and retained as auditable evidence for practices such as Atualização da baseline após alteração arquitetural significativa, Avaliação de impacto no negócio e priorização de trade offs, Catálogo de padrões de arquitetura segura (reutilização governada).",
       "evidence": [
         "control CTRL-governance-arquitetura-segura-e-rastreavel-74562442c4 references architecture_checklist"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-architecture-000",
       "source_control_ids": [
         "CTRL-governance-arquitetura-segura-e-rastreavel-74562442c4"
@@ -319,7 +424,13 @@
       "chapter_ids": [
         "04-arquitetura-segura"
       ],
+      "cited_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "description": "Architecture Decision Record must be produced and retained as auditable evidence for practices such as Atualização da baseline após alteração arquitetural significativa, Avaliação de impacto no negócio e priorização de trade offs, Catálogo de padrões de arquitetura segura (reutilização governada).",
       "evidence": [
         "control CTRL-governance-arquitetura-segura-e-rastreavel-74562442c4 references architecture_decision_record",
@@ -329,6 +440,11 @@
         "corpus document 010-sbd-manual/04-arquitetura-segura/addon/10-kpis-metricas.md matched aliases ['architecture decision record']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-architecture-000",
       "source_control_ids": [
         "CTRL-governance-arquitetura-segura-e-rastreavel-74562442c4"
@@ -358,12 +474,23 @@
       "chapter_ids": [
         "04-arquitetura-segura"
       ],
+      "cited_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "description": "Architecture Diagram must be produced and retained as auditable evidence for practices such as Revisão de fronteiras de confiança e integrações, Segmentação de ambientes e validação de topologia como código (L3).",
       "evidence": [
         "control CTRL-infrastructure-segmentacao-e-controlo-arquitetural-dceb3c1f0b references architecture_diagram"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-architecture-000",
       "source_control_ids": [
         "CTRL-infrastructure-segmentacao-e-controlo-arquitetural-dceb3c1f0b"
@@ -379,13 +506,24 @@
       "chapter_ids": [
         "04-arquitetura-segura"
       ],
+      "cited_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "description": "Architecture Review must be produced and retained as auditable evidence for practices such as Atualização da baseline após alteração arquitetural significativa, Avaliação de impacto no negócio e priorização de trade offs, Catálogo de padrões de arquitetura segura (reutilização governada).",
       "evidence": [
         "control CTRL-governance-arquitetura-segura-e-rastreavel-74562442c4 references architecture_review",
         "corpus document 010-sbd-manual/04-arquitetura-segura/canon/25-rastreabilidade.md matched aliases ['architecture review']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-architecture-000",
       "source_control_ids": [
         "CTRL-governance-arquitetura-segura-e-rastreavel-74562442c4"
@@ -429,7 +567,36 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "14-governanca-contratacao"
+      ],
       "description": "Artifact Provenance must be produced and retained as auditable evidence for practices such as Classificação do tipo de controlo na matriz de rastreabilidade, Geração de SBOM e assinatura de artefactos de build, Rastreabilidade de requisitos.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references artifact_provenance",
@@ -439,6 +606,11 @@
         "control CTRL-supply-chain-inventario-e-analise-de-dependencias-6b0fd9f7fb references artifact_provenance"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-artifact-000",
       "source_control_ids": [
         "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460",
@@ -600,7 +772,33 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "11-deploy-seguro"
+      ],
       "description": "Artifact Signature must be produced and retained as auditable evidence for practices such as Geração de SBOM e assinatura de artefactos de build, AI BOM e gestão de *providers* de modelos AI {#us 14}, Alertas sobre Vulnerabilidades em Componentes Usados.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references artifact_signature",
@@ -610,6 +808,11 @@
         "control CTRL-supply-chain-inventario-e-analise-de-dependencias-6b0fd9f7fb references artifact_signature"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-artifact-000",
       "source_control_ids": [
         "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460",
@@ -746,7 +949,26 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "07-cicd-seguro",
+        "09-containers-imagens"
+      ],
       "description": "Container Image must be produced and retained as auditable evidence for practices such as Validação de integridade de imagens base, Aplicação de políticas formais de segurança no runtime com OPA/Kyverno, Aprovação, depreciação e revogação de Golden Base Images (catálogo organizacional).",
       "evidence": [
         "control CTRL-supply-chain-supply-chain-segura-de-imagens-e-containers-8a8af25a4d references container_image",
@@ -756,6 +978,11 @@
         "practice 09-containers-imagens:assinatura-e-verificacao-de-proveniencia-de-imagens-com-cosign-e-rekor matched alias 'imagens'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-container-000",
       "source_control_ids": [
         "CTRL-supply-chain-supply-chain-segura-de-imagens-e-containers-8a8af25a4d"
@@ -793,7 +1020,14 @@
         "03-threat-modeling",
         "04-arquitetura-segura"
       ],
+      "cited_chapter_ids": [
+        "03-threat-modeling",
+        "04-arquitetura-segura"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "description": "Data Flow Diagram must be produced and retained as auditable evidence for practices such as Revisão de fronteiras de confiança e integrações, Segmentação de ambientes e validação de topologia como código (L3).",
       "evidence": [
         "control CTRL-infrastructure-segmentacao-e-controlo-arquitetural-dceb3c1f0b references data_flow_diagram",
@@ -801,6 +1035,11 @@
         "corpus document 010-sbd-manual/03-threat-modeling/addon/13-linddun-privacidade.md matched aliases ['data flow diagram', 'data flow diagrams']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-data-000",
       "source_control_ids": [
         "CTRL-infrastructure-segmentacao-e-controlo-arquitetural-dceb3c1f0b"
@@ -820,7 +1059,18 @@
         "05-dependencias-sbom-sca",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "02-requisitos-seguranca",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "05-dependencias-sbom-sca"
+      ],
       "description": "Dependency Inventory must be produced and retained as auditable evidence for practices such as Geração de SBOM e assinatura de artefactos de build, AI BOM e gestão de *providers* de modelos AI {#us 14}, Alertas sobre Vulnerabilidades em Componentes Usados.",
       "evidence": [
         "control CTRL-supply-chain-inventario-e-analise-de-dependencias-6b0fd9f7fb references dependency_inventory",
@@ -830,6 +1080,11 @@
         "corpus document 010-sbd-manual/04-arquitetura-segura/addon/05-validacao.md matched aliases ['inventario de componentes']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-dependency-000",
       "source_control_ids": [
         "CTRL-supply-chain-inventario-e-analise-de-dependencias-6b0fd9f7fb"
@@ -874,7 +1129,28 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "07-cicd-seguro",
+        "11-deploy-seguro"
+      ],
       "description": "Deployment Plan must be produced and retained as auditable evidence for practices such as Separação CI/CD, build/test/deploy e templates versionados {#us 21}, Controlo de execução com *feature flags*, Controlo e validação de drift operacional.",
       "evidence": [
         "control CTRL-infrastructure-deploy-seguro-e-reversivel-ae204be5f0 references deployment_plan",
@@ -884,6 +1160,11 @@
         "practice 11-deploy-seguro:credenciais-de-deploy-isoladas-por-aplicacao-e-efemeras matched alias 'deploy'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-deployment-000",
       "source_control_ids": [
         "CTRL-infrastructure-deploy-seguro-e-reversivel-ae204be5f0"
@@ -931,7 +1212,28 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "04-arquitetura-segura",
+        "08-iac-infraestrutura",
+        "11-deploy-seguro"
+      ],
       "description": "Environment Inventory must be produced and retained as auditable evidence for practices such as Segmentação de ambientes e validação de topologia como código (L3), Assinatura e Proveniência de artefactos IaC, Backend remoto, locking e rastreabilidade.",
       "evidence": [
         "control CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905 references environment_inventory",
@@ -941,6 +1243,11 @@
         "corpus document 010-sbd-manual/00-fundamentos/baseline.md matched aliases ['ambientes']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-environment-000",
       "source_control_ids": [
         "CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905"
@@ -987,7 +1294,35 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "12-monitorizacao-operacoes",
+        "14-governanca-contratacao"
+      ],
       "description": "Exception Record must be produced and retained as auditable evidence for practices such as Gestão de Exceções com TTL e Revalidação Obrigatória, Incorporação de restrições legais, normativas e contratuais, Gestão de exceções arquiteturais com controlos compensatórios.",
       "evidence": [
         "control CTRL-governance-governacao-de-fornecedores-e-excecoes-a9a9ab3628 references exception_record",
@@ -997,6 +1332,11 @@
         "practice 06-desenvolvimento-seguro:gestao-de-excecoes-tecnicas matched alias 'excecoes'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-exception-000",
       "source_control_ids": [
         "CTRL-governance-governacao-de-fornecedores-e-excecoes-a9a9ab3628"
@@ -1042,7 +1382,25 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "09-containers-imagens",
+        "10-testes-seguranca"
+      ],
       "description": "Finding Register must be produced and retained as auditable evidence for practices such as Exceções temporárias a findings/policies com TTL, compensações e revalidação, Avaliação crítica de cobertura real e limitações, Critérios de release e aceitação de risco.",
       "evidence": [
         "control CTRL-testing-testes-de-seguranca-baseados-em-risco-55dcb62d34 references finding_register",
@@ -1052,6 +1410,11 @@
         "practice 10-testes-seguranca:gestao-centralizada-de-findings-com-triagem-e-sla matched alias 'findings'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-finding-000",
       "source_control_ids": [
         "CTRL-testing-testes-de-seguranca-baseados-em-risco-55dcb62d34"
@@ -1102,21 +1465,53 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
-      "confidence": null,
-      "description": "Governance Kpi must be produced and retained as auditable evidence for practices such as Incorporação de restrições legais, normativas e contratuais, Recolha e thresholds dos indicadores RQS, Validação de arquitetura com threat modeling.",
-      "evidence": [
-        "control CTRL-governance-governacao-de-fornecedores-e-excecoes-a9a9ab3628 references governance_kpi",
-        "control CTRL-governance-governacao-organizacional-ownership-e-conformidade-761d416ead references governance_kpi",
-        "practice 02-requisitos-seguranca:recolha-e-thresholds-dos-indicadores-rqs matched alias 'indicadores'",
-        "practice 03-threat-modeling:validacao-de-arquitetura-com-threat-modeling matched alias 'metricas'",
-        "practice 06-desenvolvimento-seguro:guidelines-de-desenvolvimento-seguro matched alias 'metricas'"
-      ],
-      "mandatory": true,
-      "requirement_id": "REQ-governance-000",
-      "source_control_ids": [
-        "CTRL-governance-governacao-de-fornecedores-e-excecoes-a9a9ab3628",
-        "CTRL-governance-governacao-organizacional-ownership-e-conformidade-761d416ead"
-      ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
+      "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "10-testes-seguranca",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
+      "description": "Governance Kpi must be produced and retained as auditable evidence for practices such as Incorporação de restrições legais, normativas e contratuais, Recolha e thresholds dos indicadores RQS, Validação de arquitetura com threat modeling.",
+      "evidence": [
+        "control CTRL-governance-governacao-de-fornecedores-e-excecoes-a9a9ab3628 references governance_kpi",
+        "control CTRL-governance-governacao-organizacional-ownership-e-conformidade-761d416ead references governance_kpi",
+        "practice 02-requisitos-seguranca:recolha-e-thresholds-dos-indicadores-rqs matched alias 'indicadores'",
+        "practice 03-threat-modeling:validacao-de-arquitetura-com-threat-modeling matched alias 'metricas'",
+        "practice 06-desenvolvimento-seguro:guidelines-de-desenvolvimento-seguro matched alias 'metricas'"
+      ],
+      "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
+      "requirement_id": "REQ-governance-000",
+      "source_control_ids": [
+        "CTRL-governance-governacao-de-fornecedores-e-excecoes-a9a9ab3628",
+        "CTRL-governance-governacao-organizacional-ownership-e-conformidade-761d416ead"
+      ],
       "source_practice_ids": [
         "02-requisitos-seguranca:incorporacao-de-restricoes-legais-normativas-e-contratuais",
         "02-requisitos-seguranca:recolha-e-thresholds-dos-indicadores-rqs",
@@ -1161,7 +1556,19 @@
         "06-desenvolvimento-seguro",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "06-desenvolvimento-seguro"
+      ],
       "description": "Guideline Catalog must be produced and retained as auditable evidence for practices such as Uso controlado de assistentes automatizados (incluindo IA) no desenvolvimento, Arquivo Central de Evidências de Validação, Automatização em CI/CD (Linters & SAST).",
       "evidence": [
         "control CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a references guideline_catalog",
@@ -1171,6 +1578,11 @@
         "corpus document 010-sbd-manual/00-fundamentos/baseline.md matched aliases ['guidelines']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-guideline-000",
       "source_control_ids": [
         "CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a",
@@ -1214,7 +1626,25 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "08-iac-infraestrutura"
+      ],
       "description": "Iac Plan must be produced and retained as auditable evidence for practices such as Assinatura e Proveniência de artefactos IaC, Backend remoto, locking e rastreabilidade, Deteção e correção de *drift*.",
       "evidence": [
         "control CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905 references iac_plan",
@@ -1224,6 +1654,11 @@
         "practice 08-iac-infraestrutura:determinismo-e-reprodutibilidade-do-plan matched alias 'iac'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-iac-000",
       "source_control_ids": [
         "CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905"
@@ -1269,7 +1704,30 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "11-deploy-seguro",
+        "14-governanca-contratacao"
+      ],
       "description": "Identity Binding must be produced and retained as auditable evidence for practices such as Gestão de segredos, Gestão de segredos e identidades para IaC, Janela de mudança e aprovações por papel.",
       "evidence": [
         "control CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af references identity_binding",
@@ -1279,6 +1737,11 @@
         "corpus document 010-sbd-manual/00-fundamentos/roles-responsabilidades/devops-sre.md matched aliases ['rbac']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-identity-000",
       "source_control_ids": [
         "CTRL-identity-gestao-de-identidades-acessos-e-ownership-d0919c69af",
@@ -1318,7 +1781,29 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "09-containers-imagens",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding"
+      ],
       "description": "Incident Metrics must be produced and retained as auditable evidence for practices such as Monitorização e Resposta a Incidentes em Runtime, Reprodutibilidade de incidentes em runtime, Alertas com SLAs definidos.",
       "evidence": [
         "control CTRL-monitoring-monitorizacao-e-resposta-operacional-1797f0af70 references incident_metrics",
@@ -1328,6 +1813,11 @@
         "practice 12-monitorizacao-operacoes:integracao-com-processos-de-resposta-a-incidentes matched alias 'incidentes'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-incident-000",
       "source_control_ids": [
         "CTRL-monitoring-monitorizacao-e-resposta-operacional-1797f0af70"
@@ -1362,7 +1852,13 @@
       "chapter_ids": [
         "04-arquitetura-segura"
       ],
+      "cited_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "description": "Integration Review must be produced and retained as auditable evidence for practices such as Revisão de fronteiras de confiança e integrações, Segmentação de ambientes e validação de topologia como código (L3).",
       "evidence": [
         "control CTRL-infrastructure-segmentacao-e-controlo-arquitetural-dceb3c1f0b references integration_review",
@@ -1371,6 +1867,11 @@
         "corpus document 010-sbd-manual/04-arquitetura-segura/canon/25-rastreabilidade.md matched aliases ['integration review']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-integration-000",
       "source_control_ids": [
         "CTRL-infrastructure-segmentacao-e-controlo-arquitetural-dceb3c1f0b"
@@ -1400,7 +1901,28 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "07-cicd-seguro",
+        "12-monitorizacao-operacoes"
+      ],
       "description": "Log Stream must be produced and retained as auditable evidence for practices such as Contenção de contexto e higiene de logs/outputs, Alertas com SLAs definidos, Classificação e Cobertura de Domínios de Monitorização.",
       "evidence": [
         "control CTRL-identity-identidade-autenticacao-e-sessoes-aplicacionais-c9d3f51e82 references log_stream",
@@ -1410,6 +1932,11 @@
         "corpus document 010-sbd-manual/00-fundamentos/baseline.md matched aliases ['logs']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-log-000",
       "source_control_ids": [
         "CTRL-identity-identidade-autenticacao-e-sessoes-aplicacionais-c9d3f51e82",
@@ -1457,7 +1984,30 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "10-testes-seguranca",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "description": "Onboarding Checklist must be produced and retained as auditable evidence for practices such as Política, Formação e Procedimentos Operacionais, Avaliação crítica de cobertura real e limitações, Decisão Assistida para Findings de Testes de Segurança.",
       "evidence": [
         "control CTRL-governance-capacitacao-e-onboarding-de-seguranca-f84db7abdf references onboarding_checklist",
@@ -1467,6 +2017,11 @@
         "practice 10-testes-seguranca:gestao-centralizada-de-findings-com-triagem-e-sla matched alias 'checklist'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-onboarding-000",
       "source_control_ids": [
         "CTRL-governance-capacitacao-e-onboarding-de-seguranca-f84db7abdf"
@@ -1520,7 +2075,14 @@
         "02-requisitos-seguranca",
         "11-deploy-seguro"
       ],
+      "cited_chapter_ids": [
+        "02-requisitos-seguranca",
+        "11-deploy-seguro"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "11-deploy-seguro"
+      ],
       "description": "Operational Evidence must be produced and retained as auditable evidence for practices such as Controlo de execução com *feature flags*, Controlo e validação de drift operacional, Deploy apenas de artefactos assinados.",
       "evidence": [
         "control CTRL-infrastructure-deploy-seguro-e-reversivel-ae204be5f0 references operational_evidence",
@@ -1530,6 +2092,11 @@
         "corpus document 010-sbd-manual/11-deploy-seguro/canon/25-rastreabilidade.md matched aliases ['evidencia operacional']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-operational-000",
       "source_control_ids": [
         "CTRL-infrastructure-deploy-seguro-e-reversivel-ae204be5f0"
@@ -1574,7 +2141,35 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca"
+      ],
       "description": "Pipeline Config must be produced and retained as auditable evidence for practices such as Adoção de modelo de classificação alternativo (DRP/BIA) mapeado para E/D/I, Análise de risco residual, Aplicação da matriz de controlo.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references pipeline_config",
@@ -1584,6 +2179,11 @@
         "control CTRL-governance-threat-modeling-e-gestao-de-risco-272c9a8ed0 references pipeline_config"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-pipeline-000",
       "source_control_ids": [
         "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460",
@@ -1769,7 +2369,32 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "05-dependencias-sbom-sca",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "14-governanca-contratacao"
+      ],
       "description": "Policy Report must be produced and retained as auditable evidence for practices such as Política, Formação e Procedimentos Operacionais, Governação documentada de política de severidade, registries e registo de aprovação, Evidência empírica obrigatória (anti “relatórios sem execução”).",
       "evidence": [
         "control CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905 references policy_report",
@@ -1779,6 +2404,11 @@
         "practice 08-iac-infraestrutura:enforcement-automatico-de-politicas matched alias 'politicas'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-policy-000",
       "source_control_ids": [
         "CTRL-infrastructure-infraestrutura-como-codigo-governada-5228bca905"
@@ -1820,7 +2450,21 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "description": "Quiz Result must be produced and retained as auditable evidence for practices such as Política, Formação e Procedimentos Operacionais, Ação Corretiva sobre Desvios de KPIs, Caminho de Remediação Abaixo do Limiar.",
       "evidence": [
         "control CTRL-governance-capacitacao-e-onboarding-de-seguranca-f84db7abdf references quiz_result",
@@ -1830,6 +2474,11 @@
         "corpus document 010-sbd-manual/01-classificacao-aplicacoes/pre-note.md matched aliases ['assessment']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-quiz-000",
       "source_control_ids": [
         "CTRL-governance-capacitacao-e-onboarding-de-seguranca-f84db7abdf"
@@ -1879,7 +2528,34 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "10-testes-seguranca",
+        "11-deploy-seguro"
+      ],
       "description": "Release Gate must be produced and retained as auditable evidence for practices such as Gates automáticos em CI/CD para requisitos de segurança, Gate de controlo de consistência no CI/CD, Gate arquitetural antes do Go live.",
       "evidence": [
         "control CTRL-testing-testes-de-seguranca-baseados-em-risco-55dcb62d34 references release_gate",
@@ -1889,6 +2565,11 @@
         "practice 05-dependencias-sbom-sca:sca-automatico-com-gates matched alias 'gates'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-release-000",
       "source_control_ids": [
         "CTRL-testing-testes-de-seguranca-baseados-em-risco-55dcb62d34"
@@ -1949,7 +2630,31 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "10-testes-seguranca",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "description": "Review Checklist must be produced and retained as auditable evidence for practices such as Adoção de modelo de classificação alternativo (DRP/BIA) mapeado para E/D/I, Análise de risco residual, Aplicação da matriz de controlo.",
       "evidence": [
         "control CTRL-governance-classificacao-e-governacao-por-risco-97aceecf29 references review_checklist",
@@ -1959,6 +2664,11 @@
         "practice 10-testes-seguranca:feedback-automatico-de-findings-as-equipas matched alias 'checklist'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-review-000",
       "source_control_ids": [
         "CTRL-governance-classificacao-e-governacao-por-risco-97aceecf29",
@@ -2034,7 +2744,23 @@
         "11-deploy-seguro",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "01-classificacao-aplicacoes",
+        "03-threat-modeling"
+      ],
       "description": "Risk Acceptance Record must be produced and retained as auditable evidence for practices such as Análise de risco residual, Aplicação LINDDUN quando existir tratamento de dados pessoais  *(novo)*, Aprovação formal do Threat Model (baseline e revisões).",
       "evidence": [
         "control CTRL-governance-threat-modeling-e-gestao-de-risco-272c9a8ed0 references risk_acceptance_record",
@@ -2044,6 +2770,11 @@
         "corpus document 010-sbd-manual/00-fundamentos/roles-responsabilidades/gestao-executiva.md matched aliases ['risco residual']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": false,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-risk-000",
       "source_control_ids": [
         "CTRL-governance-threat-modeling-e-gestao-de-risco-272c9a8ed0"
@@ -2076,7 +2807,17 @@
         "10-testes-seguranca",
         "13-formacao-onboarding"
       ],
+      "cited_chapter_ids": [
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "10-testes-seguranca",
+        "13-formacao-onboarding"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca"
+      ],
       "description": "Risk Matrix must be produced and retained as auditable evidence for practices such as Adoção de modelo de classificação alternativo (DRP/BIA) mapeado para E/D/I, Análise de risco residual, Aplicação da matriz de controlo.",
       "evidence": [
         "control CTRL-governance-classificacao-e-governacao-por-risco-97aceecf29 references risk_matrix",
@@ -2085,6 +2826,11 @@
         "corpus document 010-sbd-manual/13-formacao-onboarding/aplicacao-lifecycle.md matched aliases ['matriz de riscos']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-risk-000",
       "source_control_ids": [
         "CTRL-governance-classificacao-e-governacao-por-risco-97aceecf29"
@@ -2133,7 +2879,24 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "05-dependencias-sbom-sca",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "08-iac-infraestrutura",
+        "11-deploy-seguro"
+      ],
       "description": "Rollback Plan must be produced and retained as auditable evidence for practices such as *Rollback* e salvaguarda de *destroy*, Controlo de execução com *feature flags*, Controlo e validação de drift operacional.",
       "evidence": [
         "control CTRL-infrastructure-deploy-seguro-e-reversivel-ae204be5f0 references rollback_plan",
@@ -2143,6 +2906,11 @@
         "corpus document 010-sbd-manual/00-fundamentos/canon/25-rastreabilidade.md matched aliases ['rollback']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-rollback-000",
       "source_control_ids": [
         "CTRL-infrastructure-deploy-seguro-e-reversivel-ae204be5f0"
@@ -2185,7 +2953,25 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "06-desenvolvimento-seguro",
+        "10-testes-seguranca"
+      ],
       "description": "Sast Report must be produced and retained as auditable evidence for practices such as Arquivo Central de Evidências de Validação, Automatização em CI/CD (Linters & SAST), Gate de Segurança Pré release.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references sast_report",
@@ -2195,6 +2981,11 @@
         "corpus document 010-sbd-manual/00-fundamentos/baseline.md matched aliases ['sast']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-sast-000",
       "source_control_ids": [
         "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460"
@@ -2238,7 +3029,33 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "09-containers-imagens",
+        "14-governanca-contratacao"
+      ],
       "description": "Sbom must be produced and retained as auditable evidence for practices such as Geração de SBOM e assinatura de artefactos de build, Incorporação de restrições legais, normativas e contratuais, Aplicação LINDDUN quando existir tratamento de dados pessoais  *(novo)*.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references sbom",
@@ -2248,6 +3065,11 @@
         "control CTRL-supply-chain-inventario-e-analise-de-dependencias-6b0fd9f7fb references sbom"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-sbom-000",
       "source_control_ids": [
         "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460",
@@ -2378,7 +3200,32 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "09-containers-imagens",
+        "14-governanca-contratacao"
+      ],
       "description": "Sca Report must be produced and retained as auditable evidence for practices such as Geração de SBOM e assinatura de artefactos de build, Incorporação de restrições legais, normativas e contratuais, Aplicação LINDDUN quando existir tratamento de dados pessoais  *(novo)*.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references sca_report",
@@ -2388,6 +3235,11 @@
         "control CTRL-supply-chain-inventario-e-analise-de-dependencias-6b0fd9f7fb references sca_report"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-sca-000",
       "source_control_ids": [
         "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460",
@@ -2519,7 +3371,31 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes"
+      ],
       "description": "Secret Config must be produced and retained as auditable evidence for practices such as Agentes AI como *principals* na pipeline {#us 19}, Assinatura e proveniência, Cobertura ampliada (containers e SBOM).",
       "evidence": [
         "control CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2 references secret_config",
@@ -2529,6 +3405,11 @@
         "practice 08-iac-infraestrutura:gestao-de-segredos-e-identidades-para-iac matched alias 'segredos'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-secret-000",
       "source_control_ids": [
         "CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2",
@@ -2585,7 +3466,29 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens"
+      ],
       "description": "Signature Attestation must be produced and retained as auditable evidence for practices such as Geração de SBOM e assinatura de artefactos de build, Assinatura e proveniência, Identidade empresarial no SCM e assinatura de commits/tags {#us 20}.",
       "evidence": [
         "control CTRL-supply-chain-supply-chain-segura-de-imagens-e-containers-8a8af25a4d references signature_attestation",
@@ -2595,6 +3498,11 @@
         "practice 08-iac-infraestrutura:assinatura-e-proveniencia-de-artefactos-iac matched alias 'assinatura'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-signature-000",
       "source_control_ids": [
         "CTRL-supply-chain-supply-chain-segura-de-imagens-e-containers-8a8af25a4d"
@@ -2638,7 +3546,20 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "02-requisitos-seguranca",
+        "05-dependencias-sbom-sca",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "14-governanca-contratacao"
+      ],
       "description": "Supplier Assessment must be produced and retained as auditable evidence for practices such as Incorporação de restrições legais, normativas e contratuais, Ciclo contínuo de revisão e reavaliação de exceções, Cláusulas contratuais de segurança.",
       "evidence": [
         "control CTRL-governance-governacao-de-fornecedores-e-excecoes-a9a9ab3628 references supplier_assessment",
@@ -2648,6 +3569,11 @@
         "corpus document 010-sbd-manual/10-testes-seguranca/addon/14-tlpt-readiness.md matched aliases ['third party']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-supplier-000",
       "source_control_ids": [
         "CTRL-governance-governacao-de-fornecedores-e-excecoes-a9a9ab3628"
@@ -2686,7 +3612,31 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "10-testes-seguranca"
+      ],
       "description": "Test Report must be produced and retained as auditable evidence for practices such as Adoção de modelo de classificação alternativo (DRP/BIA) mapeado para E/D/I, Análise de risco residual, Aplicação da matriz de controlo.",
       "evidence": [
         "control CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460 references test_report",
@@ -2696,6 +3646,11 @@
         "control CTRL-identity-identidade-autenticacao-e-sessoes-aplicacionais-c9d3f51e82 references test_report"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-test-000",
       "source_control_ids": [
         "CTRL-code-integrity-desenvolvimento-seguro-e-validacao-de-codigo-63dedd7460",
@@ -2811,7 +3766,30 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "01-classificacao-aplicacoes",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "13-formacao-onboarding"
+      ],
       "description": "Threat Model must be produced and retained as auditable evidence for practices such as Mapeamento de ameaças por nível de risco, Aplicação LINDDUN quando existir tratamento de dados pessoais  *(novo)*, Aprovação formal do Threat Model (baseline e revisões).",
       "evidence": [
         "control CTRL-governance-threat-modeling-e-gestao-de-risco-272c9a8ed0 references threat_model",
@@ -2821,6 +3799,11 @@
         "practice 03-threat-modeling:atualizacao-do-modelo-apos-alteracao-tecnica matched alias 'threat modeling'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": false,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-threat-000",
       "source_control_ids": [
         "CTRL-governance-threat-modeling-e-gestao-de-risco-272c9a8ed0"
@@ -2863,7 +3846,26 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "description": "Training Plan must be produced and retained as auditable evidence for practices such as Política, Formação e Procedimentos Operacionais, Ação Corretiva sobre Desvios de KPIs, Caminho de Remediação Abaixo do Limiar.",
       "evidence": [
         "control CTRL-governance-capacitacao-e-onboarding-de-seguranca-f84db7abdf references training_plan",
@@ -2873,6 +3875,11 @@
         "practice 13-formacao-onboarding:code-clinics-estruturadas-e-recorrentes matched alias 'formacao'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-training-000",
       "source_control_ids": [
         "CTRL-governance-capacitacao-e-onboarding-de-seguranca-f84db7abdf"
@@ -2908,13 +3915,24 @@
       "chapter_ids": [
         "04-arquitetura-segura"
       ],
+      "cited_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "04-arquitetura-segura"
+      ],
       "description": "Trust Boundary Model must be produced and retained as auditable evidence for practices such as Revisão de fronteiras de confiança e integrações, Segmentação de ambientes e validação de topologia como código (L3).",
       "evidence": [
         "control CTRL-infrastructure-segmentacao-e-controlo-arquitetural-dceb3c1f0b references trust_boundary_model",
         "corpus document 010-sbd-manual/04-arquitetura-segura/canon/25-rastreabilidade.md matched aliases ['trust boundary models']"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-trust-000",
       "source_control_ids": [
         "CTRL-infrastructure-segmentacao-e-controlo-arquitetural-dceb3c1f0b"
@@ -2944,7 +3962,28 @@
         "13-formacao-onboarding",
         "14-governanca-contratacao"
       ],
+      "cited_chapter_ids": [
+        "00-fundamentos",
+        "01-classificacao-aplicacoes",
+        "02-requisitos-seguranca",
+        "03-threat-modeling",
+        "04-arquitetura-segura",
+        "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
+        "09-containers-imagens",
+        "10-testes-seguranca",
+        "11-deploy-seguro",
+        "12-monitorizacao-operacoes",
+        "13-formacao-onboarding",
+        "14-governanca-contratacao"
+      ],
       "confidence": null,
+      "defining_chapter_ids": [
+        "02-requisitos-seguranca",
+        "06-desenvolvimento-seguro"
+      ],
       "description": "Validation Evidence must be produced and retained as auditable evidence for practices such as Uso controlado de assistentes automatizados (incluindo IA) no desenvolvimento, Arquivo Central de Evidências de Validação, Automatização em CI/CD (Linters & SAST).",
       "evidence": [
         "control CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a references validation_evidence",
@@ -2954,6 +3993,11 @@
         "practice 06-desenvolvimento-seguro:arquivo-central-de-evidencias-de-validacao matched alias 'evidencias'"
       ],
       "mandatory": true,
+      "required_for_levels": {
+        "L1": true,
+        "L2": true,
+        "L3": true
+      },
       "requirement_id": "REQ-validation-000",
       "source_control_ids": [
         "CTRL-code-integrity-ambiente-e-tooling-de-desenvolvimento-governados-77015fa38a",