D4 · Segurança da supply chain

Peso: 2 (risco de segurança direto)
Prática: 05 · Segurança da supply chain

N1 significa que o critério de N2 não foi atingido. ★ indica indicador crítico.

ID	Indicador	Evidência	N2	N3	N4	N5
D4.1 ★	Secret scanning e push protection	Configuração de segurança por repo; alertas de segredo	Scan periódico em parte dos repos	≥ 80% dos repos	100%, com push protection; segredo exposto revogado em ≤ 24 h	Zero segredos abertos; revogação automatizada
D4.2 ★	SCA e tempo de correção	Cobertura de SCA; idade das vulnerabilidades críticas abertas	Scan em parte dos repos	≥ 80% dos repos; crítico corrigido em ≤ 30 dias	100%, bloqueante; crítico em ≤ 7 dias	Crítico em ≤ 48 h, com PR de correção automático
D4.3	SAST no PR	Steps de SAST; alertas por repo	≥ 25% dos repos	≥ 70%	≥ 95%, bloqueante para críticos novos	Regras próprias da organização; falsos positivos revisados
D4.4 ★	SBOM no inventário	Projetos no Dependency-Track × artefatos publicados	SBOM gerado em parte	≥ 80% dos artefatos	100%, gerado pelo template	Impacto de um novo CVE respondido em < 1 h para a org toda
D4.5	Assinatura e provenance	Artefatos em prd × atestações	Assinatura em parte	≥ 50% dos artefatos em prd	100%, verificação obrigatória no deploy	Requisitos de SLSA Build L3 atendidos e evidenciados
D4.6	IaC e container scanning	Steps de scan em repos de infra e builds de imagem	Em parte	≥ 80%	100%, bloqueante	Políticas como código versionadas e testadas
D4.7	DAST antes de produção	Execuções de DAST em hml por app exposta	Execução manual pontual	≥ 50% das apps expostas	100%, como check do Environment prd	Autenticado e com cobertura de APIs

Keyboard shortcuts