Mapeamento de conformidade

Auditores, especialmente em banco e finanças, esperam que um relatório de pentest diga a qual controle de conformidade cada achado se relaciona. O PEART monta esse mapa para você, e o faz sob um princípio firme: ele relaciona, não certifica. Um achado se relaciona ao controle X do framework Y; se a organização está em conformidade é conclusão do auditor, não da ferramenta.

Um relatório exibe o NIST SP 800-53 Rev. 5, derivado por um crosswalk CWE→800-53 da MITRE redistribuído. O mecanismo é genérico por framework, mas nem todo framework chega do mesmo jeito. As leis de privacidade (LGPD, GDPR) são relacionadas por um crosswalk autoral do PEART que mapeia o achado a nexos regulatórios potenciais, não a controles, e nunca afirma certificação; os frameworks são escolhidos por engajamento, então um relatório carrega só os relevantes à sua jurisdição. ISO 27001 e CIS esbarram na licença do texto dos controles.

Derivado, não tagueado à mão

O pentester não tagueia nada para compliance. Cada técnica já carrega seus códigos CWE; um crosswalk CWE para NIST curado transforma esses códigos em controles NIST relacionados, e um achado herda os controles das técnicas vinculadas como a união, vivo. Mude as técnicas vinculadas ou o crosswalk, e os controles derivados acompanham. A cobertura é honesta: uma fraqueza sem controle limpo contribui nada em vez de um forçado, e as entradas deliberadamente em branco são registradas para auditabilidade.

A redação carrega a confiança em vez de um selo. Uma relação firme é afirmada direto ("controles NIST 800-53 relacionados: ..."); uma condicional entra mais suave, com a condição dita, e nunca é afirmada com a mesma força. Não há rótulo "confiança: média" num achado, porque num relatório profissional um selo de baixa confiança lê como desleixo e mina o relatório em que está.

Curadoria do especialista

O mapa derivado é uma linha de base, não um veredito. No editor de achado normal, o card Mapeamentos tem uma seção de compliance onde o especialista pode adicionar, remover ou refinar um controle, sendo refinar sobrepor a relação, a confiança ou a condição dele. Um achado curado mostra um marcador, do jeito que uma severidade ajustada mostra que houve ajuste, então fica sempre visível que uma pessoa moldou o mapa.

Derivado e curado se comportam diferente de propósito. Os controles derivados ficam vivos, acompanhando o catálogo. A sobreposição do especialista congela: a decisão gruda, e uma mudança posterior no catálogo não a reescreve em silêncio. Remover um controle à mão o mantém removido mesmo que o crosswalk voltasse a derivá-lo.

Revisão na liberação

Liberar um relatório abre uma revisão dos mapeamentos de compliance de cada achado, viva, antes de você confirmar. É um passo de revisão, não um portão: o DPO passa o olho no mapa composto e segue. Na liberação, os mapeamentos congelam naquele relatório, então um relatório entregue é um registro fixo do que ele afirmou, mesmo que a visão viva do achado continue evoluindo depois. Retirar e reliberar recongelam a partir da visão viva atual.

Proveniência

Um relatório carrega a proveniência do mapa em três eixos, para ser auditável: NIST SP 800-53 Rev. 5, a versão do crosswalk e CWE 4.20. Um framework e um crosswalk mudam com o tempo; a versão é o que transforma número na tela num mapa em que o auditor pode confiar.