@shiftleftpt/sbd-toe-mcp 0.20.0-beta.47 → 0.20.0-beta.48

package/data/publish/runtime/deterministic_manifest.json

@@ -1,7 +1,7 @@
 {
   "artifacts": [
     {
-      "count": 273,
+      "count": 274,
       "entity_type": "Requirement",
       "file": "requirements.json",
       "name": "requirements",
@@ -36,7 +36,7 @@
       "source_artifact": "data/entities/practices.json"
     },
     {
-      "count": 1371,
+      "count": 1473,
       "entity_type": "PracticeAssignment",
       "file": "assignments.json",
       "name": "assignments",
@@ -99,7 +99,7 @@
       "source_artifact": "data/entities/mitigated_threats.json"
     },
     {
-      "count": 273,
+      "count": 274,
       "entity_type": "EvidencePattern",
       "file": "evidence_patterns.json",
       "name": "evidence_patterns",
@@ -122,7 +122,7 @@
       "source_artifact": "data/entities/artifact_requirements.json"
     },
     {
-      "count": 164,
+      "count": 188,
       "entity_type": "DecisionInvolvement",
       "file": "decision_involvements.json",
       "name": "decision_involvements",
@@ -133,7 +133,7 @@
       "source_artifact": "data/entities/decision_involvements.json"
     },
     {
-      "count": 305,
+      "count": 306,
       "entity_type": "RequirementControlLink",
       "file": "requirement_control_links.json",
       "name": "requirement_control_links",
@@ -266,5 +266,5 @@
       ]
     }
   },
-  "version": "manual-v1.9.0+sbdtoe-ontology-v2.7"
+  "version": "manual-v1.14.0+sbdtoe-ontology-v2.10"
 }

package/data/publish/runtime/evidence_patterns.json

@@ -1,6 +1,6 @@
 {
   "artifact_type": "deterministic_runtime_snapshot",
-  "count": 273,
+  "count": 274,
   "entity_type": "EvidencePattern",
   "items": [
     {
@@ -2570,6 +2570,52 @@
       "verification_logic": "Runners com isolamento forte (containers efémeros, VMs descartáveis); sem acesso ao Docker socket por jobs não privilegiados; sem capacidades de escalonamento de privilégios; logs de tentativas bloqueadas disponíveis.",
       "verification_when": null
     },
+    {
+      "authority_class": "normative",
+      "confidence_model": "deterministic",
+      "detectable_in": [
+        "ci_cd",
+        "documentation"
+      ],
+      "evidence_expectation": "Cada promoção entre ambientes é atribuível a uma pessoa identificada: quem a decidiu ou, quando promove automaticamente, quem aprovou os critérios ao abrigo dos quais promove. O registo identifica a pessoa (não apenas papel ou conta de serviço), o critério aplicado e a evidência avaliada. A promoção automática exige critérios determinísticos, versionados e pré-aprovados, e o nível de autonomia declarado quando a promoção for executada por um agente; saída de modelo probabilístico não constitui critério de promoção.",
+      "evidence_type": "workflow",
+      "expected_artifact_type_ids": [
+        "ART-approval-record-6fe32eb803",
+        "ART-environment-inventory-154c4568fd"
+      ],
+      "expected_artifacts": [
+        {
+          "artifact_type_id": "ART-approval-record-6fe32eb803",
+          "confidence": 0.68,
+          "name": "Approval Record",
+          "shared_salient_tokens": [
+            "registo"
+          ]
+        },
+        {
+          "artifact_type_id": "ART-environment-inventory-154c4568fd",
+          "confidence": 0.54,
+          "name": "Environment Inventory",
+          "shared_salient_tokens": [
+            "ambiente"
+          ]
+        }
+      ],
+      "id": "EP-CIC-011",
+      "maps_to_control_id": "CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2",
+      "maps_to_control_name": "Integridade e governação de pipelines",
+      "maps_to_requirement_id": "CIC-011",
+      "requirement_category": "CIC",
+      "requirement_name": "Promoção entre ambientes atribuível a um responsável identificado",
+      "responsible_roles": [],
+      "risk_level_hint": "L2+",
+      "source_bundle": "07-cicd-seguro",
+      "source_document": "010-sbd-manual/07-cicd-seguro/addon/00-catalogo-requisitos.md",
+      "source_mode": "explicit",
+      "supported_signal_ids": [],
+      "verification_logic": "Cada promoção entre ambientes é atribuível a uma pessoa identificada: quem a decidiu ou, quando promove automaticamente, quem aprovou os critérios ao abrigo dos quais promove. O registo identifica a pessoa (não apenas papel ou conta de serviço), o critério aplicado e a evidência avaliada. A promoção automática exige critérios determinísticos, versionados e pré-aprovados, e o nível de autonomia declarado quando a promoção for executada por um agente; saída de modelo probabilístico não constitui critério de promoção.",
+      "verification_when": null
+    },
     {
       "authority_class": "normative",
       "confidence_model": "deterministic",
@@ -11531,5 +11577,10 @@
   "profiles": [
     "review"
   ],
-  "source_artifact": "data/entities/evidence_patterns.json"
+  "source_artifact": "data/entities/evidence_patterns.json",
+  "traversal_assertion": {
+    "does_not_assert": "que a prova existe na organização; só o que contaria como prova",
+    "source": "EPs determinísticos (critério do catálogo / docs de validação)",
+    "verb": "interpreta-como-prova-de"
+  }
 }

package/data/publish/runtime/phases.json

@@ -21,6 +21,7 @@
         "03-threat-modeling",
         "04-arquitetura-segura",
         "06-desenvolvimento-seguro",
+        "08-iac-infraestrutura",
         "10-testes-seguranca",
         "12-monitorizacao-operacoes",
         "13-formacao-onboarding",
@@ -91,9 +92,12 @@
       ],
       "bundle_ids": [
         "02-requisitos-seguranca",
+        "03-threat-modeling",
         "04-arquitetura-segura",
         "05-dependencias-sbom-sca",
         "06-desenvolvimento-seguro",
+        "07-cicd-seguro",
+        "08-iac-infraestrutura",
         "09-containers-imagens",
         "10-testes-seguranca"
       ],
@@ -116,6 +120,7 @@
         "01-classificacao-aplicacoes",
         "02-requisitos-seguranca",
         "05-dependencias-sbom-sca",
+        "06-desenvolvimento-seguro",
         "07-cicd-seguro",
         "10-testes-seguranca",
         "11-deploy-seguro",
@@ -218,15 +223,12 @@
     }
   ],
   "phases_unassigned": {
-    "assignment_count": 219,
-    "chapter_count": 7,
+    "assignment_count": 57,
+    "chapter_count": 4,
     "chapters": [
       "02-requisitos-seguranca",
       "03-threat-modeling",
-      "06-desenvolvimento-seguro",
       "07-cicd-seguro",
-      "08-iac-infraestrutura",
-      "13-formacao-onboarding",
       "14-governanca-contratacao"
     ],
     "note": "fase `unassigned` dos assignments autorados — declarada, nunca absorvida numa fase real nem filtrada em silêncio (paridade com phases_unassigned da beta.39)"
@@ -242,14 +244,15 @@
   },
   "unmapped_phase_labels": {
     "Alteração": 1,
-    "Build/Promoção": 1,
+    "Aprovação": 1,
+    "Build/Promoção": 2,
     "CI/CD / Pré-release": 1,
     "CI/CD / Staging": 1,
     "Catalogação": 1,
     "Definição": 1,
     "Design/Refactor": 1,
     "Dev/CI": 2,
-    "Execução": 6,
+    "Execução": 9,
     "Implementação": 1,
     "Integração": 1,
     "Início/Revisão": 1,

package/data/publish/runtime/requirement_control_links.json

@@ -1,6 +1,6 @@
 {
   "artifact_type": "deterministic_runtime_snapshot",
-  "count": 305,
+  "count": 306,
   "entity_type": "RequirementControlLink",
   "items": [
     {
@@ -2246,6 +2246,38 @@
       "target_label": "Integridade e governação de pipelines",
       "target_type": "Control"
     },
+    {
+      "bundle_ids": [
+        "07-cicd-seguro"
+      ],
+      "confidence": 0.87,
+      "evidence_unit_ids": [],
+      "justification": [
+        "bundle_grounding",
+        "chapter_grounding",
+        "domain_mapping"
+      ],
+      "link_id": "CIC-011|maps_to_control|CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2",
+      "link_type": "maps_to_control",
+      "matched_control_field": "alias",
+      "matched_control_text": "Agentes AI como *principals* na pipeline {#us-19}",
+      "score_components": {
+        "chapter_overlap": [
+          "07-cicd-seguro"
+        ],
+        "runner_up_margin": 0.03,
+        "shared_salient_tokens": [
+          "agente"
+        ],
+        "token_similarity": 0.02
+      },
+      "source_id": "CIC-011",
+      "source_label": "Promoção entre ambientes atribuível a um responsável identificado",
+      "source_type": "Requirement",
+      "target_id": "CTRL-code-integrity-integridade-e-governacao-de-pipelines-d5b14eeef2",
+      "target_label": "Integridade e governação de pipelines",
+      "target_type": "Control"
+    },
     {
       "bundle_ids": [
         "01-classificacao-aplicacoes"
@@ -9952,5 +9984,11 @@
     "review",
     "threats"
   ],
-  "source_artifact": "data/publish/semantic/requirement_control_links.jsonl"
+  "source_artifact": "data/publish/semantic/requirement_control_links.jsonl",
+  "traversal_assertion": {
+    "does_not_assert": "exclusividade (multi-aresta permitida); que a secundária é primária; posse do requisito por um capítulo",
+    "note": "a ponte curada requisito→controlo — a maior travessia do produto e a afirmação central do programa; estava servida sem asserção (lacuna máxima do catálogo, fechada aqui)",
+    "source": "TRÊS vias declaradas, por precedência: curation (juízo humano ratificado) > catalogue_rules (regra de catálogo, type base) > scoring (grounding + léxico declarado); 305 ligações à data",
+    "verb": "mapeia-para-controlo"
+  }
 }

package/data/publish/runtime/requirements.json

@@ -1,6 +1,6 @@
 {
   "artifact_type": "deterministic_runtime_snapshot",
-  "count": 273,
+  "count": 274,
   "entity_type": "Requirement",
   "items": [
     {
@@ -1124,6 +1124,25 @@
       "source_file": "07-cicd-seguro/addon/00-catalogo-requisitos.md",
       "type": "domain-specific"
     },
+    {
+      "applicable_levels": {
+        "L1": false,
+        "L2": true,
+        "L3": true
+      },
+      "category": "CIC",
+      "description": "Cada promoção entre ambientes é atribuível a uma pessoa identificada: quem a decidiu ou, quando promove automaticamente, quem aprovou os critérios ao abrigo dos quais promove. O registo identifica a pessoa (não apenas papel ou conta de serviço), o critério aplicado e a evidência avaliada. A promoção automática exige critérios determinísticos, versionados e pré-aprovados, e o nível de autonomia declarado quando a promoção for executada por um agente; saída de modelo probabilístico não constitui critério de promoção.",
+      "domain": "cicd",
+      "evidence_types": [],
+      "name": "Promoção entre ambientes atribuível a um responsável identificado",
+      "requirement_id": "CIC-011",
+      "source_anchors": null,
+      "source_anchors_provenance": null,
+      "source_bundle": "07-cicd-seguro",
+      "source_chapter": 7,
+      "source_file": "07-cicd-seguro/addon/00-catalogo-requisitos.md",
+      "type": "domain-specific"
+    },
     {
       "applicable_levels": {
         "L1": true,

package/data/publish/runtime/roles.json

@@ -9,6 +9,7 @@
       ],
       "canonical": true,
       "role_id": "developer",
+      "role_scope": "intra_instance",
       "source": "00-fundamentos/roles-responsabilidades"
     },
     {
@@ -19,6 +20,7 @@
       ],
       "canonical": true,
       "role_id": "auditores",
+      "role_scope": "intra_instance",
       "source": "00-fundamentos/roles-responsabilidades"
     },
     {
@@ -28,6 +30,7 @@
       ],
       "canonical": true,
       "role_id": "arquitetos-software",
+      "role_scope": "intra_instance",
       "source": "00-fundamentos/roles-responsabilidades"
     },
     {
@@ -37,6 +40,7 @@
       ],
       "canonical": true,
       "role_id": "appsec-engineer",
+      "role_scope": "intra_instance",
       "source": "00-fundamentos/roles-responsabilidades"
     },
     {
@@ -46,6 +50,7 @@
       ],
       "canonical": true,
       "role_id": "security-champion",
+      "role_scope": "intra_instance",
       "source": "00-fundamentos/roles-responsabilidades"
     },
     {
@@ -56,6 +61,7 @@
       ],
       "canonical": true,
       "role_id": "scrum-master",
+      "role_scope": "intra_instance",
       "source": "00-fundamentos/roles-responsabilidades"
     },
     {
@@ -65,6 +71,7 @@
       ],
       "canonical": true,
       "role_id": "qa",
+      "role_scope": "intra_instance",
       "source": "00-fundamentos/roles-responsabilidades"
     },
     {
@@ -76,6 +83,7 @@
       ],
       "canonical": true,
       "role_id": "product-owner",
+      "role_scope": "intra_instance",
       "source": "00-fundamentos/roles-responsabilidades"
     },
     {
@@ -86,6 +94,7 @@
       ],
       "canonical": true,
       "role_id": "operacoes",
+      "role_scope": "intra_instance",
       "source": "00-fundamentos/roles-responsabilidades"
     },
     {
@@ -96,6 +105,7 @@
       ],
       "canonical": true,
       "role_id": "grc-compliance",
+      "role_scope": "intra_instance",
       "source": "00-fundamentos/roles-responsabilidades"
     },
     {
@@ -108,6 +118,7 @@
       ],
       "canonical": true,
       "role_id": "gestao-executiva",
+      "role_scope": "intra_instance",
       "source": "00-fundamentos/roles-responsabilidades"
     },
     {
@@ -117,6 +128,7 @@
       ],
       "canonical": true,
       "role_id": "fornecedores-terceiros",
+      "role_scope": "inter_instance",
       "source": "00-fundamentos/roles-responsabilidades"
     },
     {
@@ -128,6 +140,7 @@
       ],
       "canonical": true,
       "role_id": "devops-sre",
+      "role_scope": "intra_instance",
       "source": "00-fundamentos/roles-responsabilidades"
     }
   ],
@@ -148,5 +161,32 @@
       }
     ]
   },
+  "role_scope": {
+    "assignments": {
+      "inter_instance": [
+        "fornecedores-terceiros"
+      ],
+      "intra_instance": [
+        "developer",
+        "appsec-engineer",
+        "qa",
+        "devops-sre",
+        "arquitetos-software",
+        "scrum-master",
+        "product-owner",
+        "operacoes",
+        "grc-compliance",
+        "gestao-executiva",
+        "security-champion",
+        "auditores"
+      ],
+      "note_auditores": "externos ao projecto mas dentro do sistema de asseguramento da instância — intra_instance com nota; se se mostrar de fronteira, é uma linha"
+    },
+    "note": "v2.10: inter_instance (fornecedores-terceiros) tem ZERO-ESPERADO DECLARADO — 0 assignments/involvements na nossa instância é o estado correcto (ABS-003 withdrawn no ledger; o índice two-pass ainda a mostra aberta — o ledger prevalece para status)",
+    "structural_expectations_by_scope": {
+      "inter_instance": "ZERO-ESPERADO DECLARADO — 0 assignments e 0 involvements NA NOSSA instância é o estado CORRECTO; o papel é OBJECTO dos deveres do cliente (GOV-006/007, TRN-007, GOV-014); mata a classe de falsos-achados que enganou três leitores (GR-04)",
+      "intra_instance": "assignments/involvements esperados — 0 atribuições é ACHADO"
+    }
+  },
   "source_artifact": "data/entities/canonical_roles_s5.json"
 }