Proveniência e licenças dos catálogos

Os catálogos do PEART referenciam padrões externos, e ele mantém explícita a proveniência e a licença de cada um, porque para um auditor um mapa vale só quanto a fonte e a versão que ele declara.

O catálogo de técnicas

O conteúdo das técnicas é autoral do PEART e licenciado CC-BY-SA-4.0. Os códigos de mapeamento e quaisquer títulos de mapeamento verbatim referenciam OWASP WSTG 4.2, OWASP ASVS 5.0.0 (CC-BY-SA-4.0) e MITRE CWE 4.20, cada um sob sua própria licença. O catálogo declara essas versões em vez de deixá-las subentendidas, então o leitor sabe exatamente contra qual release de cada padrão os códigos valem.

O crosswalk de conformidade

O crosswalk CWE para NIST 800-53 rev5 é work-product do próprio PEART, curado e revisado com um DPO certificado, e licenciado CC-BY-4.0. Ele é licenciado de forma mais permissiva que o conteúdo das técnicas de propósito: mapeia identificadores CWE a controles NIST, nenhum dos dois share-alike (os identificadores do NIST SP 800-53 são domínio público do governo dos EUA, os do CWE referenciam o MITRE), então não carrega obrigação de share-alike, e o CC-BY deixa o mapa ser citado e reusado livremente mantendo a atribuição ao PEART.

Todo mapeamento é uma relação, não uma certificação. A cobertura é honesta: uma fraqueza sem controle limpo fica em branco em vez de forçada, e as entradas deliberadamente em branco são listadas para auditabilidade.

Proveniência no relatório

Quando um relatório mostra controles de conformidade relacionados, ele carrega a proveniência em três eixos para o mapa ser auditável: NIST SP 800-53 Rev. 5, a versão do crosswalk e CWE 4.20. Um framework e um crosswalk evoluem, e sem a versão o mapa é só número na tela; com ela, o auditor vê exatamente de onde cada relação saiu.

Front-end vendorizado

Os pacotes de front-end vendorizados sob web/vendor/ são registrados com suas versões fixas e licenças no web/vendor/MANIFEST.md, e aparecem no SBOM do release como componentes CycloneDX ao lado dos módulos Go, então o bill of materials publicado fica completo nos dois ecossistemas.