Frameworks de referência (NIST / LGPD / ISO)
NIST Cybersecurity Framework 2.0
O NIST CSF 2.0 é o framework âncora da metodologia Aranis, fornecendo a estrutura principal de 107 controles distribuídos em seis funções: Governar (GV), Identificar (ID), Proteger (PR), Detectar (DE), Responder (RS) e Recuperar (RC). A versão 2.0, publicada em fevereiro de 2024, introduziu a função Governar (GV) como nova — diferentemente da versão 1.1 que tinha apenas cinco funções. No Aranis, GV tem papel duplo: avalia a maturidade de governança e serve como fator de credibilidade cross-domínio via RC10.
Os controles CSF são estruturados no formato FUNÇÃO.CATEGORIA-NN. As categorias cobrem domínios como Gestão de Risco da Cadeia de Suprimentos (GV.SC), Gestão de Identidade e Acesso (PR.AA), Proteção de Dados (PR.DS), Detecção de Eventos Adversos (DE.AE) e Análise de Incidentes (RS.AN). O Aranis mapeia cada controle para as categorias de risco RC01–RC10 via tabela control_risk_map, pre-populada e versionnada no banco.
LGPD — Lei Geral de Proteção de Dados (Lei 13.709/2018)
A LGPD estrutura os 34 controles exclusivos do domínio Privacidade. Os controles cobrem as obrigações dos artigos centrais da lei: bases legais de tratamento (Art. 7), hipóteses de tratamento especial (Art. 11), DPIA/RIPD (Art. 38), direitos do titular (Arts. 17–22), notificação de incidentes (Art. 48) e transferência internacional (Art. 33). O identificador LGPD-{seção}.{item} mapeia diretamente sobre a estrutura de seções da lei.
Controles LGPD têm tratamento diferenciado no scoring: usam CVSS fixo de 7.5 (High) em vez de CVSS do NVD, pois o risco é regulatório e predefinido — multas de até 2% do faturamento, limitadas a R$ 50 milhões por infração. A responsabilidade solidária entre controlador e operador (fornecedor) torna a conformidade do fornecedor diretamente relevante para a sua exposição regulatória.
ISO 22301 — Gestão de Continuidade de Negócios
A ISO 22301 estrutura os 47 controles do domínio BCN. O mapeamento segue as cláusulas 32 a 39 da norma, cobrindo: Contexto e Liderança (32–33), Planejamento e Suporte (34–35), Operação — incluindo BIA, RTO, RPO e planos de continuidade (36–37), Avaliação de Desempenho e Melhoria (38–39). Controles BCM são particularmente relevantes para RC05 (Supply Chain Risk), pois um fornecedor sem plano de continuidade é vetor de disrupção operacional.
MITRE ATT&CK — contexto analítico
O MITRE ATT&CK é utilizado como contexto analítico nos relatórios — não entra nas fórmulas de scoring. Cada controle do pool tem técnicas e táticas ATT&CK mapeadas na tabela control_mitre_map, populada via CTID (Center for Threat-Informed Defense) com o mapeamento CSF 2.0 → NIST 800-53 → ATT&CK STIX. Isso permite que o relatório mostre, para um controle crítico em NÃO, quais táticas ATT&CK estão mais expostas no fornecedor — fornecendo contexto de ameaça real para as recomendações.
CVE/CVSS e NVD API
Os scores CVSS dos controles são pré-populados via NVD API (National Vulnerability Database) e armazenados na tabela control_cve_map. O sync é periódico (via Inngest), garantindo que o modelo use CVSS atualizados sem depender de consulta ao NVD em tempo de cálculo — o scoring é determinístico baseado nos valores armazenados. Para controles LGPD, o campo cvss_override = 7.5 substitui o CVSS real. A view control_effective_cvss retorna coalesce(cvss_override, cvss_score) para cada controle.