@shiftleftpt/sbd-toe-mcp 0.20.0-beta.42 → 0.20.0-beta.43

package/data/publish/runtime/assignments.json

@@ -1,7 +1,16 @@
 {
   "artifact_type": "deterministic_runtime_snapshot",
-  "count": 1296,
+  "count": 1305,
   "entity_type": "PracticeAssignment",
+  "extraction_declarations": {
+    "count": 24,
+    "source_artifact": "data/entities/extraction_declarations.json",
+    "summary": {
+      "role_unresolved": 2,
+      "unmapped_phase_label": 15,
+      "unreadable_sdlc_table": 7
+    }
+  },
   "items": [
     {
       "action": "classificar a aplicação com base nos eixos Exposição, Dados e Impacto (E+D+I)",
@@ -15,7 +24,7 @@
         "practice assignment derived from US-01"
       ],
       "id": "01-classificacao-aplicacoes-developer-l1-us-01",
-      "phase": "unassigned",
+      "phase": "plan",
       "practice_id": "01-classificacao-aplicacoes:classificacao-inicial-da-aplicacao",
       "proportionality": "Obrigatório - Classificação simplificada, apenas eixos principais",
       "risk_level": "L1",
@@ -37,7 +46,7 @@
         "practice assignment derived from US-01"
       ],
       "id": "01-classificacao-aplicacoes-developer-l2-us-01",
-      "phase": "unassigned",
+      "phase": "plan",
       "practice_id": "01-classificacao-aplicacoes:classificacao-inicial-da-aplicacao",
       "proportionality": "Obrigatório - Classificação completa com validação formal por AppSec Engineer",
       "risk_level": "L2",
@@ -59,7 +68,73 @@
         "practice assignment derived from US-01"
       ],
       "id": "01-classificacao-aplicacoes-developer-l3-us-01",
-      "phase": "unassigned",
+      "phase": "plan",
+      "practice_id": "01-classificacao-aplicacoes:classificacao-inicial-da-aplicacao",
+      "proportionality": "Obrigatório - Classificação formal, validada e aprovada por AppSec Engineer + GRC/Compliance",
+      "risk_level": "L3",
+      "role": "developer",
+      "source_document_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle",
+      "source_section_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle--aplicacao-da-classificacao-de-criticidade-ao-longo-do-ciclo-de-vida--user-stories-reutilizaveis--us-01-classificacao-inicial-da-aplicacao",
+      "user_story_id": "01-classificacao-aplicacoes-us-01",
+      "warnings": []
+    },
+    {
+      "action": "classificar a aplicação com base nos eixos Exposição, Dados e Impacto (E+D+I)",
+      "artifacts": [
+        "ficheiro_classificacao_aplicacao_yaml_localizacao_repo_security",
+        "ficheiro_matriz_controlos_aplicada_md_evidencia_anexo_ao_pr_ou_wiki"
+      ],
+      "chapter_id": "01-classificacao-aplicacoes",
+      "confidence": 0.86,
+      "evidence": [
+        "practice assignment derived from US-01"
+      ],
+      "id": "01-classificacao-aplicacoes-developer-l1-us-01",
+      "phase": "design",
+      "practice_id": "01-classificacao-aplicacoes:classificacao-inicial-da-aplicacao",
+      "proportionality": "Obrigatório - Classificação simplificada, apenas eixos principais",
+      "risk_level": "L1",
+      "role": "developer",
+      "source_document_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle",
+      "source_section_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle--aplicacao-da-classificacao-de-criticidade-ao-longo-do-ciclo-de-vida--user-stories-reutilizaveis--us-01-classificacao-inicial-da-aplicacao",
+      "user_story_id": "01-classificacao-aplicacoes-us-01",
+      "warnings": []
+    },
+    {
+      "action": "classificar a aplicação com base nos eixos Exposição, Dados e Impacto (E+D+I)",
+      "artifacts": [
+        "ficheiro_classificacao_aplicacao_yaml_localizacao_repo_security",
+        "ficheiro_matriz_controlos_aplicada_md_evidencia_anexo_ao_pr_ou_wiki"
+      ],
+      "chapter_id": "01-classificacao-aplicacoes",
+      "confidence": 0.86,
+      "evidence": [
+        "practice assignment derived from US-01"
+      ],
+      "id": "01-classificacao-aplicacoes-developer-l2-us-01",
+      "phase": "design",
+      "practice_id": "01-classificacao-aplicacoes:classificacao-inicial-da-aplicacao",
+      "proportionality": "Obrigatório - Classificação completa com validação formal por AppSec Engineer",
+      "risk_level": "L2",
+      "role": "developer",
+      "source_document_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle",
+      "source_section_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle--aplicacao-da-classificacao-de-criticidade-ao-longo-do-ciclo-de-vida--user-stories-reutilizaveis--us-01-classificacao-inicial-da-aplicacao",
+      "user_story_id": "01-classificacao-aplicacoes-us-01",
+      "warnings": []
+    },
+    {
+      "action": "classificar a aplicação com base nos eixos Exposição, Dados e Impacto (E+D+I)",
+      "artifacts": [
+        "ficheiro_classificacao_aplicacao_yaml_localizacao_repo_security",
+        "ficheiro_matriz_controlos_aplicada_md_evidencia_anexo_ao_pr_ou_wiki"
+      ],
+      "chapter_id": "01-classificacao-aplicacoes",
+      "confidence": 0.86,
+      "evidence": [
+        "practice assignment derived from US-01"
+      ],
+      "id": "01-classificacao-aplicacoes-developer-l3-us-01",
+      "phase": "design",
       "practice_id": "01-classificacao-aplicacoes:classificacao-inicial-da-aplicacao",
       "proportionality": "Obrigatório - Classificação formal, validada e aprovada por AppSec Engineer + GRC/Compliance",
       "risk_level": "L3",
@@ -81,7 +156,7 @@
         "practice assignment derived from US-01"
       ],
       "id": "01-classificacao-aplicacoes-scrum-master-l1-us-01",
-      "phase": "unassigned",
+      "phase": "plan",
       "practice_id": "01-classificacao-aplicacoes:classificacao-inicial-da-aplicacao",
       "proportionality": "Obrigatório - Classificação simplificada, apenas eixos principais",
       "risk_level": "L1",
@@ -103,7 +178,7 @@
         "practice assignment derived from US-01"
       ],
       "id": "01-classificacao-aplicacoes-scrum-master-l2-us-01",
-      "phase": "unassigned",
+      "phase": "plan",
       "practice_id": "01-classificacao-aplicacoes:classificacao-inicial-da-aplicacao",
       "proportionality": "Obrigatório - Classificação completa com validação formal por AppSec Engineer",
       "risk_level": "L2",
@@ -125,7 +200,73 @@
         "practice assignment derived from US-01"
       ],
       "id": "01-classificacao-aplicacoes-scrum-master-l3-us-01",
-      "phase": "unassigned",
+      "phase": "plan",
+      "practice_id": "01-classificacao-aplicacoes:classificacao-inicial-da-aplicacao",
+      "proportionality": "Obrigatório - Classificação formal, validada e aprovada por AppSec Engineer + GRC/Compliance",
+      "risk_level": "L3",
+      "role": "scrum-master",
+      "source_document_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle",
+      "source_section_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle--aplicacao-da-classificacao-de-criticidade-ao-longo-do-ciclo-de-vida--user-stories-reutilizaveis--us-01-classificacao-inicial-da-aplicacao",
+      "user_story_id": "01-classificacao-aplicacoes-us-01",
+      "warnings": []
+    },
+    {
+      "action": "classificar a aplicação com base nos eixos Exposição, Dados e Impacto (E+D+I)",
+      "artifacts": [
+        "ficheiro_classificacao_aplicacao_yaml_localizacao_repo_security",
+        "ficheiro_matriz_controlos_aplicada_md_evidencia_anexo_ao_pr_ou_wiki"
+      ],
+      "chapter_id": "01-classificacao-aplicacoes",
+      "confidence": 0.86,
+      "evidence": [
+        "practice assignment derived from US-01"
+      ],
+      "id": "01-classificacao-aplicacoes-scrum-master-l1-us-01",
+      "phase": "design",
+      "practice_id": "01-classificacao-aplicacoes:classificacao-inicial-da-aplicacao",
+      "proportionality": "Obrigatório - Classificação simplificada, apenas eixos principais",
+      "risk_level": "L1",
+      "role": "scrum-master",
+      "source_document_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle",
+      "source_section_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle--aplicacao-da-classificacao-de-criticidade-ao-longo-do-ciclo-de-vida--user-stories-reutilizaveis--us-01-classificacao-inicial-da-aplicacao",
+      "user_story_id": "01-classificacao-aplicacoes-us-01",
+      "warnings": []
+    },
+    {
+      "action": "classificar a aplicação com base nos eixos Exposição, Dados e Impacto (E+D+I)",
+      "artifacts": [
+        "ficheiro_classificacao_aplicacao_yaml_localizacao_repo_security",
+        "ficheiro_matriz_controlos_aplicada_md_evidencia_anexo_ao_pr_ou_wiki"
+      ],
+      "chapter_id": "01-classificacao-aplicacoes",
+      "confidence": 0.86,
+      "evidence": [
+        "practice assignment derived from US-01"
+      ],
+      "id": "01-classificacao-aplicacoes-scrum-master-l2-us-01",
+      "phase": "design",
+      "practice_id": "01-classificacao-aplicacoes:classificacao-inicial-da-aplicacao",
+      "proportionality": "Obrigatório - Classificação completa com validação formal por AppSec Engineer",
+      "risk_level": "L2",
+      "role": "scrum-master",
+      "source_document_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle",
+      "source_section_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle--aplicacao-da-classificacao-de-criticidade-ao-longo-do-ciclo-de-vida--user-stories-reutilizaveis--us-01-classificacao-inicial-da-aplicacao",
+      "user_story_id": "01-classificacao-aplicacoes-us-01",
+      "warnings": []
+    },
+    {
+      "action": "classificar a aplicação com base nos eixos Exposição, Dados e Impacto (E+D+I)",
+      "artifacts": [
+        "ficheiro_classificacao_aplicacao_yaml_localizacao_repo_security",
+        "ficheiro_matriz_controlos_aplicada_md_evidencia_anexo_ao_pr_ou_wiki"
+      ],
+      "chapter_id": "01-classificacao-aplicacoes",
+      "confidence": 0.86,
+      "evidence": [
+        "practice assignment derived from US-01"
+      ],
+      "id": "01-classificacao-aplicacoes-scrum-master-l3-us-01",
+      "phase": "design",
       "practice_id": "01-classificacao-aplicacoes:classificacao-inicial-da-aplicacao",
       "proportionality": "Obrigatório - Classificação formal, validada e aprovada por AppSec Engineer + GRC/Compliance",
       "risk_level": "L3",
@@ -147,7 +288,7 @@
         "practice assignment derived from US-02"
       ],
       "id": "01-classificacao-aplicacoes-developer-l1-us-02",
-      "phase": "unassigned",
+      "phase": "plan",
       "practice_id": "01-classificacao-aplicacoes:aplicacao-da-matriz-de-controlo",
       "proportionality": "Obrigatório - Aplicar controlos mínimos",
       "risk_level": "L1",
@@ -169,7 +310,7 @@
         "practice assignment derived from US-02"
       ],
       "id": "01-classificacao-aplicacoes-developer-l2-us-02",
-      "phase": "unassigned",
+      "phase": "plan",
       "practice_id": "01-classificacao-aplicacoes:aplicacao-da-matriz-de-controlo",
       "proportionality": "Obrigatório - Controlos completos com rastreamento obrigatório",
       "risk_level": "L2",
@@ -191,7 +332,7 @@
         "practice assignment derived from US-02"
       ],
       "id": "01-classificacao-aplicacoes-developer-l3-us-02",
-      "phase": "unassigned",
+      "phase": "plan",
       "practice_id": "01-classificacao-aplicacoes:aplicacao-da-matriz-de-controlo",
       "proportionality": "Obrigatório - Controlos completos + reforçados + validação por AppSec",
       "risk_level": "L3",
@@ -213,7 +354,7 @@
         "practice assignment derived from US-02"
       ],
       "id": "01-classificacao-aplicacoes-scrum-master-l1-us-02",
-      "phase": "unassigned",
+      "phase": "plan",
       "practice_id": "01-classificacao-aplicacoes:aplicacao-da-matriz-de-controlo",
       "proportionality": "Obrigatório - Aplicar controlos mínimos",
       "risk_level": "L1",
@@ -235,7 +376,7 @@
         "practice assignment derived from US-02"
       ],
       "id": "01-classificacao-aplicacoes-scrum-master-l2-us-02",
-      "phase": "unassigned",
+      "phase": "plan",
       "practice_id": "01-classificacao-aplicacoes:aplicacao-da-matriz-de-controlo",
       "proportionality": "Obrigatório - Controlos completos com rastreamento obrigatório",
       "risk_level": "L2",
@@ -257,7 +398,7 @@
         "practice assignment derived from US-02"
       ],
       "id": "01-classificacao-aplicacoes-scrum-master-l3-us-02",
-      "phase": "unassigned",
+      "phase": "plan",
       "practice_id": "01-classificacao-aplicacoes:aplicacao-da-matriz-de-controlo",
       "proportionality": "Obrigatório - Controlos completos + reforçados + validação por AppSec",
       "risk_level": "L3",
@@ -280,7 +421,7 @@
         "practice assignment derived from US-03"
       ],
       "id": "01-classificacao-aplicacoes-appsec-engineer-l1-us-03",
-      "phase": "unassigned",
+      "phase": "operate",
       "practice_id": "01-classificacao-aplicacoes:revisao-por-alteracao-relevante-event-based",
       "proportionality": "Sim (por alteração relevante)",
       "risk_level": "L1",
@@ -303,7 +444,7 @@
         "practice assignment derived from US-03"
       ],
       "id": "01-classificacao-aplicacoes-appsec-engineer-l2-us-03",
-      "phase": "unassigned",
+      "phase": "operate",
       "practice_id": "01-classificacao-aplicacoes:revisao-por-alteracao-relevante-event-based",
       "proportionality": "Obrigatório",
       "risk_level": "L2",
@@ -326,7 +467,7 @@
         "practice assignment derived from US-03"
       ],
       "id": "01-classificacao-aplicacoes-appsec-engineer-l3-us-03",
-      "phase": "unassigned",
+      "phase": "operate",
       "practice_id": "01-classificacao-aplicacoes:revisao-por-alteracao-relevante-event-based",
       "proportionality": "Obrigatório",
       "risk_level": "L3",
@@ -349,7 +490,7 @@
         "practice assignment derived from US-04"
       ],
       "id": "01-classificacao-aplicacoes-grc-compliance-l1-us-04",
-      "phase": "unassigned",
+      "phase": "test",
       "practice_id": "01-classificacao-aplicacoes:analise-de-risco-residual",
       "proportionality": "Opcional (se crítico)",
       "risk_level": "L1",
@@ -372,7 +513,7 @@
         "practice assignment derived from US-04"
       ],
       "id": "01-classificacao-aplicacoes-grc-compliance-l2-us-04",
-      "phase": "unassigned",
+      "phase": "test",
       "practice_id": "01-classificacao-aplicacoes:analise-de-risco-residual",
       "proportionality": "Obrigatório",
       "risk_level": "L2",
@@ -395,7 +536,7 @@
         "practice assignment derived from US-04"
       ],
       "id": "01-classificacao-aplicacoes-grc-compliance-l3-us-04",
-      "phase": "unassigned",
+      "phase": "test",
       "practice_id": "01-classificacao-aplicacoes:analise-de-risco-residual",
       "proportionality": "Obrigatório",
       "risk_level": "L3",
@@ -418,7 +559,7 @@
         "practice assignment derived from US-05"
       ],
       "id": "01-classificacao-aplicacoes-qa-l1-us-05",
-      "phase": "unassigned",
+      "phase": "test",
       "practice_id": "01-classificacao-aplicacoes:validacao-antes-do-go-live",
       "proportionality": "Recomendado",
       "risk_level": "L1",
@@ -441,7 +582,7 @@
         "practice assignment derived from US-05"
       ],
       "id": "01-classificacao-aplicacoes-qa-l2-us-05",
-      "phase": "unassigned",
+      "phase": "test",
       "practice_id": "01-classificacao-aplicacoes:validacao-antes-do-go-live",
       "proportionality": "Recomendado (obrigatório)",
       "risk_level": "L2",
@@ -464,7 +605,7 @@
         "practice assignment derived from US-05"
       ],
       "id": "01-classificacao-aplicacoes-qa-l3-us-05",
-      "phase": "unassigned",
+      "phase": "test",
       "practice_id": "01-classificacao-aplicacoes:validacao-antes-do-go-live",
       "proportionality": "Obrigatório (formal + assinatura)",
       "risk_level": "L3",
@@ -487,7 +628,7 @@
         "practice assignment derived from US-06"
       ],
       "id": "01-classificacao-aplicacoes-appsec-engineer-l1-us-06",
-      "phase": "unassigned",
+      "phase": "design",
       "practice_id": "01-classificacao-aplicacoes:mapeamento-de-ameacas-por-nivel-de-risco",
       "proportionality": "Opcional (STRIDE básico)",
       "risk_level": "L1",
@@ -510,7 +651,7 @@
         "practice assignment derived from US-06"
       ],
       "id": "01-classificacao-aplicacoes-appsec-engineer-l2-us-06",
-      "phase": "unassigned",
+      "phase": "design",
       "practice_id": "01-classificacao-aplicacoes:mapeamento-de-ameacas-por-nivel-de-risco",
       "proportionality": "Recomendado (STRIDE completo)",
       "risk_level": "L2",
@@ -533,7 +674,76 @@
         "practice assignment derived from US-06"
       ],
       "id": "01-classificacao-aplicacoes-appsec-engineer-l3-us-06",
-      "phase": "unassigned",
+      "phase": "design",
+      "practice_id": "01-classificacao-aplicacoes:mapeamento-de-ameacas-por-nivel-de-risco",
+      "proportionality": "Obrigatório (STRIDE + MITRE ATT&CK)",
+      "risk_level": "L3",
+      "role": "appsec-engineer",
+      "source_document_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle",
+      "source_section_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle--aplicacao-da-classificacao-de-criticidade-ao-longo-do-ciclo-de-vida--user-stories-reutilizaveis--us-06-mapeamento-de-ameacas-por-nivel-de-risco",
+      "user_story_id": "01-classificacao-aplicacoes-us-06",
+      "warnings": []
+    },
+    {
+      "action": "verificar se as ameaças esperadas para o nível de criticidade estão cobertas por controlos aplicados ou exceções rastreáveis",
+      "artifacts": [
+        "ficheiro_ameacas_mapeamento_md_com_tabela_ameaca_categoria_controlo_aplicado_cobertura_sim_nao_excecao",
+        "localizacao_repo_documentacao_de_seguranca",
+        "rastreamento_em_jira_backlog_validacao_por_appsec_arquitetos"
+      ],
+      "chapter_id": "01-classificacao-aplicacoes",
+      "confidence": 0.86,
+      "evidence": [
+        "practice assignment derived from US-06"
+      ],
+      "id": "01-classificacao-aplicacoes-appsec-engineer-l1-us-06",
+      "phase": "test",
+      "practice_id": "01-classificacao-aplicacoes:mapeamento-de-ameacas-por-nivel-de-risco",
+      "proportionality": "Opcional (STRIDE básico)",
+      "risk_level": "L1",
+      "role": "appsec-engineer",
+      "source_document_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle",
+      "source_section_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle--aplicacao-da-classificacao-de-criticidade-ao-longo-do-ciclo-de-vida--user-stories-reutilizaveis--us-06-mapeamento-de-ameacas-por-nivel-de-risco",
+      "user_story_id": "01-classificacao-aplicacoes-us-06",
+      "warnings": []
+    },
+    {
+      "action": "verificar se as ameaças esperadas para o nível de criticidade estão cobertas por controlos aplicados ou exceções rastreáveis",
+      "artifacts": [
+        "ficheiro_ameacas_mapeamento_md_com_tabela_ameaca_categoria_controlo_aplicado_cobertura_sim_nao_excecao",
+        "localizacao_repo_documentacao_de_seguranca",
+        "rastreamento_em_jira_backlog_validacao_por_appsec_arquitetos"
+      ],
+      "chapter_id": "01-classificacao-aplicacoes",
+      "confidence": 0.86,
+      "evidence": [
+        "practice assignment derived from US-06"
+      ],
+      "id": "01-classificacao-aplicacoes-appsec-engineer-l2-us-06",
+      "phase": "test",
+      "practice_id": "01-classificacao-aplicacoes:mapeamento-de-ameacas-por-nivel-de-risco",
+      "proportionality": "Recomendado (STRIDE completo)",
+      "risk_level": "L2",
+      "role": "appsec-engineer",
+      "source_document_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle",
+      "source_section_id": "010-sbd-manual-01-classificacao-aplicacoes-aplicacao-lifecycle--aplicacao-da-classificacao-de-criticidade-ao-longo-do-ciclo-de-vida--user-stories-reutilizaveis--us-06-mapeamento-de-ameacas-por-nivel-de-risco",
+      "user_story_id": "01-classificacao-aplicacoes-us-06",
+      "warnings": []
+    },
+    {
+      "action": "verificar se as ameaças esperadas para o nível de criticidade estão cobertas por controlos aplicados ou exceções rastreáveis",
+      "artifacts": [
+        "ficheiro_ameacas_mapeamento_md_com_tabela_ameaca_categoria_controlo_aplicado_cobertura_sim_nao_excecao",
+        "localizacao_repo_documentacao_de_seguranca",
+        "rastreamento_em_jira_backlog_validacao_por_appsec_arquitetos"
+      ],
+      "chapter_id": "01-classificacao-aplicacoes",
+      "confidence": 0.86,
+      "evidence": [
+        "practice assignment derived from US-06"
+      ],
+      "id": "01-classificacao-aplicacoes-appsec-engineer-l3-us-06",
+      "phase": "test",
       "practice_id": "01-classificacao-aplicacoes:mapeamento-de-ameacas-por-nivel-de-risco",
       "proportionality": "Obrigatório (STRIDE + MITRE ATT&CK)",
       "risk_level": "L3",
@@ -30913,5 +31123,13 @@
   "profiles": [
     "guide"
   ],
+  "roles_unassigned": {
+    "assignment_count": 12,
+    "by_user_story": {
+      "05-dependencias-sbom-sca-us-14": 9,
+      "13-formacao-onboarding-us-01": 3
+    },
+    "note": "papel `unassigned` = fallback do extractor quando a US não resolve papel canónico — declarado à imagem do phases_unassigned; fase `unassigned` é política ratificada e vive no envelope de phases.json"
+  },
   "source_artifact": "data/entities/practice_assignments.json"
 }

package/data/publish/runtime/controls.json

@@ -2711,5 +2711,11 @@
     "review",
     "threats"
   ],
-  "source_artifact": "data/entities/canonical_controls.json"
+  "source_artifact": "data/entities/canonical_controls.json",
+  "traversal_assertion": {
+    "does_not_assert": "exclusividade de citação",
+    "note": "possessivo LEGÍTIMO — 17/20 controlos têm um único capítulo definidor publicado",
+    "source": "template de controlos (defining_chapters, decisão K)",
+    "verb": "define"
+  }
 }

package/data/publish/runtime/deterministic_manifest.json

@@ -36,7 +36,7 @@
       "source_artifact": "data/entities/practices.json"
     },
     {
-      "count": 1296,
+      "count": 1305,
       "entity_type": "PracticeAssignment",
       "file": "assignments.json",
       "name": "assignments",
@@ -121,6 +121,17 @@
       ],
       "source_artifact": "data/entities/artifact_requirements.json"
     },
+    {
+      "count": 163,
+      "entity_type": "DecisionInvolvement",
+      "file": "decision_involvements.json",
+      "name": "decision_involvements",
+      "profiles": [
+        "consult",
+        "guide"
+      ],
+      "source_artifact": "data/entities/decision_involvements.json"
+    },
     {
       "count": 305,
       "entity_type": "RequirementControlLink",
@@ -255,5 +266,5 @@
       ]
     }
   },
-  "version": "manual-v1.8.1+sbdtoe-ontology-v2.6"
+  "version": "manual-v1.8.1+sbdtoe-ontology-v2.7"
 }

package/data/publish/runtime/phases.json

@@ -112,6 +112,7 @@
         "staging"
       ],
       "bundle_ids": [
+        "01-classificacao-aplicacoes",
         "02-requisitos-seguranca",
         "05-dependencias-sbom-sca",
         "07-cicd-seguro",
@@ -162,6 +163,7 @@
         "operacoes"
       ],
       "bundle_ids": [
+        "01-classificacao-aplicacoes",
         "02-requisitos-seguranca",
         "03-threat-modeling",
         "04-arquitetura-segura",
@@ -214,10 +216,9 @@
     }
   ],
   "phases_unassigned": {
-    "assignment_count": 219,
-    "chapter_count": 8,
+    "assignment_count": 195,
+    "chapter_count": 7,
     "chapters": [
-      "01-classificacao-aplicacoes",
       "02-requisitos-seguranca",
       "03-threat-modeling",
       "05-dependencias-sbom-sca",
@@ -231,5 +232,26 @@
   "profiles": [
     "guide"
   ],
-  "source_artifact": "data/entities/sdlc_phases_canonical_s6.json"
+  "source_artifact": "data/entities/sdlc_phases_canonical_s6.json",
+  "traversal_assertion": {
+    "does_not_assert": "contenção; cobertura do cap. 00 (piso); equivalência fase↔capítulo",
+    "source": "practice_assignments autorados",
+    "verb": "opera-na-fase"
+  },
+  "unmapped_phase_labels": {
+    "Alteração": 1,
+    "Build/Promoção": 1,
+    "CI/CD / Pré-release": 1,
+    "CI/CD / Staging": 1,
+    "Catalogação": 1,
+    "Definição": 1,
+    "Design/Refactor": 1,
+    "Dev/CI": 2,
+    "Execução": 1,
+    "Implementação": 1,
+    "Integração": 1,
+    "Início/Revisão": 1,
+    "Staging / Pré-release": 1,
+    "Sunsetting": 1
+  }
 }

package/data/publish/runtime/roles.json

@@ -134,5 +134,19 @@
   "profiles": [
     "guide"
   ],
+  "referenced_roles": {
+    "items": [
+      {
+        "absence_ref": "ABS-011",
+        "anchors": [
+          "13-formacao-onboarding/aplicacao-lifecycle.md:47 (US-01: «Como RH/PeopleOps, quero garantir formação obrigatória de onboarding em SbD…» — PROTAGONISTA de US autorada)",
+          "02-requisitos-seguranca/addon/02-lista-requisitos-base.md (mapeamento por domínio: responsável típico do cap. 13 inclui PeopleOps)"
+        ],
+        "canonical": false,
+        "label": "RH/PeopleOps",
+        "referenced_role_id": "rh-peopleops"
+      }
+    ]
+  },
   "source_artifact": "data/entities/canonical_roles_s5.json"
 }

package/data/publish/runtime/user_stories.json

@@ -31,13 +31,14 @@
         "Ferramenta, versão, data documentados",
         "Referência: [addon-11: Validação Assistida por Ferramentas](/sbd-toe/sbd-manual/classificacao-aplicacoes/addon/validacao-assistida-ferramentas)"
       ],
-      "confidence": 0.85,
+      "confidence": 0.95,
       "context": null,
       "document_path": "010-sbd-manual/01-classificacao-aplicacoes/aplicacao-lifecycle.md",
       "evidence": [
         "user story heading detected: US-01 - Classificação inicial da aplicação",
         ":::userstory block extracted",
         "proportionality table extracted",
+        "sdlc integration table extracted",
         "artifact list extracted"
       ],
       "goal": "classificar a aplicação com base nos eixos Exposição, Dados e Impacto (E+D+I)",
@@ -75,13 +76,14 @@
         "Exceções documentadas, aprovadas por AppSec Engineer com justificação técnica",
         "AppSec Engineer valida mapeamento antes de entrada em backlog"
       ],
-      "confidence": 0.85,
+      "confidence": 0.95,
       "context": null,
       "document_path": "010-sbd-manual/01-classificacao-aplicacoes/aplicacao-lifecycle.md",
       "evidence": [
         "user story heading detected: US-02 - Aplicação da matriz de controlo",
         ":::userstory block extracted",
         "proportionality table extracted",
+        "sdlc integration table extracted",
         "artifact list extracted"
       ],
       "goal": "aplicar a matriz de controlos e mapear cada requisito para REQ-XXX do Capítulo 02",
@@ -127,13 +129,14 @@
         "Se nível alterou: trilho de escalação documentado",
         "Referência: [addon-11: Validação Assistida por Ferramentas](/sbd-toe/sbd-manual/classificacao-aplicacoes/addon/validacao-assistida-ferramentas)"
       ],
-      "confidence": 0.85,
+      "confidence": 0.95,
       "context": null,
       "document_path": "010-sbd-manual/01-classificacao-aplicacoes/aplicacao-lifecycle.md",
       "evidence": [
         "user story heading detected: US-03 - Revisão por alteração relevante (event-based)",
         ":::userstory block extracted",
         "proportionality table extracted",
+        "sdlc integration table extracted",
         "artifact list extracted"
       ],
       "goal": "rever a classificação de criticidade sempre que houver alterações relevantes",
@@ -171,13 +174,14 @@
         "Em L3: aprovação adicional por Gestão Executiva/CISO",
         "Entrada em ferramenta GRC com audit trail"
       ],
-      "confidence": 0.85,
+      "confidence": 0.95,
       "context": null,
       "document_path": "010-sbd-manual/01-classificacao-aplicacoes/aplicacao-lifecycle.md",
       "evidence": [
         "user story heading detected: US-04 - Análise de risco residual",
         ":::userstory block extracted",
         "proportionality table extracted",
+        "sdlc integration table extracted",
         "artifact list extracted"
       ],
       "goal": "registar o risco residual após aplicar os controlos definidos",
@@ -215,13 +219,14 @@
         "Nenhuma exceção não-aprovada pendente",
         "Rastreamento: cada controlo ↔ evidência documentado"
       ],
-      "confidence": 0.85,
+      "confidence": 0.95,
       "context": null,
       "document_path": "010-sbd-manual/01-classificacao-aplicacoes/aplicacao-lifecycle.md",
       "evidence": [
         "user story heading detected: US-05 - Validação antes do go-live",
         ":::userstory block extracted",
         "proportionality table extracted",
+        "sdlc integration table extracted",
         "artifact list extracted"
       ],
       "goal": "validar que os requisitos aplicáveis por nível de risco estão cumpridos antes da entrada em produção",
@@ -267,13 +272,14 @@
         "Validação por Arquitetos + especialistas de domínio concluída",
         "Referência: [addon-11: Validação Assistida por Ferramentas](/sbd-toe/sbd-manual/classificacao-aplicacoes/addon/validacao-assistida-ferramentas)"
       ],
-      "confidence": 0.85,
+      "confidence": 0.95,
       "context": null,
       "document_path": "010-sbd-manual/01-classificacao-aplicacoes/aplicacao-lifecycle.md",
       "evidence": [
         "user story heading detected: US-06 - Mapeamento de ameaças por nível de risco",
         ":::userstory block extracted",
         "proportionality table extracted",
+        "sdlc integration table extracted",
         "artifact list extracted"
       ],
       "goal": "verificar se as ameaças esperadas para o nível de criticidade estão cobertas por controlos aplicados ou exceções rastreáveis",