Verificador de Conformidade FSI

Visão Geral

Mapeia uma mudança concreta (diferença de código, design de arquitetura, IaC, configuração de pipeline) para os controles específicos que ela afeta nos frameworks de conformidade de serviços financeiros — PCI-DSS v4.0 para dados de cartão de pagamento e MAS TRM para instituições regulamentadas por Singapura — e relata lacunas com remediação acionável. Esta é uma triagem de conformidade em nível de engenharia: ajuda as equipes a identificar violações antes da auditoria, mas não substitui um avaliador qualificado (QSA) ou a função de conformidade da instituição. Diga isso em todos os relatórios.

Quando Usar Esta Habilidade

• Use quando uma mudança tocar em dados de cartão de pagamento (PAN, CVV, dados de trilha) e precisar de uma verificação PCI-DSS
• Use ao revisar mudanças em uma instituição financeira regulamentada por Singapura contra as expectativas do MAS TRM
• Use quando alguém perguntar "isso está em conformidade", "o registro disso viola o PCI" ou solicitar uma revisão de regulamentação bancária de uma diferença, design ou mudança no Terraform
• NÃO use para revisão de segurança genérica (sem framework envolvido), GDPR/SOC2/HIPAA (fora do escopo agrupado) ou aconselhamento jurídico

Como Funciona

Etapa 1: Selecionar o framework

Carregue apenas os arquivos de referência que o engajamento necessita:

Se o usuário não informou qual se aplica, faça uma pergunta: quais dados a mudança afeta e a instituição é regulamentada por Singapura?

Etapa 2: Escopo da mudança

Identifique o que a diferença/design realmente afeta: elementos de dados (dados de cartão? PII do cliente? credenciais?), limites de confiança, ambientes (produção? DR?) e terceiros.

Etapa 3: Avaliar controles aplicáveis

Selecione os controles aplicáveis dos arquivos de referência carregados — tipicamente 5-15 controles, não o framework inteiro. Liste o que você descartou e por quê (uma linha cada) para que o escopo seja auditável. Avalie cada um como Compliant / Gap / Needs evidence (não é possível determinar a partir do artefato — nomeie a evidência necessária).

Etapa 4: Relatório

Cada Lacuna recebe: o ID do controle, o que está errado nesta mudança específica, remediação concreta e severidade (Crítica = violação envolvendo dados regulamentados ativos; Alta = controle ausente; Média = controle parcial/não documentado).

# Compliance Review: [change title]
**Frameworks:** [PCI-DSS v4.0 / MAS TRM 2021] · **Date:** [YYYY-MM-DD]
**Scope:** [what was reviewed: files, design doc, pipeline]
> Engineering triage only — not a substitute for QSA assessment or the compliance function.

## Data & Boundary Analysis
- Data elements touched: [e.g. PAN (masked), customer NRIC, none]
- Environments/boundaries: [e.g. CDE-adjacent service, public API]

## Findings
| # | Control | Status | Severity | Finding | Remediation |
|---|---------|--------|----------|---------|-------------|
| 1 | [PCI 3.5.1] | Gap | Critical | [specific issue in this change] | [specific fix] |

## Ruled Out (not applicable)
- [Control area] — [one-line reason]

## Evidence Needed
- [Control]: [what artifact would demonstrate compliance]

Etapa 5: Oferecer conversão para histórias

Ofereça converter descobertas em itens de backlog com o ID do controle em cada história para rastreabilidade.

Exemplos

Exemplo 1: Revisão de registro

Usuário: "Isso está em conformidade com o PCI-DSS: registramos o corpo completo da requisição das chamadas de autorização de cartão para depuração?"

Habilidade: Carrega pci-dss.md → Descobertas críticas contra 3.3.1 (CVV nunca deve ser armazenado após a autorização — logs são armazenamento), 3.4.1 (mascaramento de exibição de PAN), 3.5.1 (PAN ilegível em repouso); remediação: remover a linha de log ou aplicar um filtro de redação de lista de permissão de campo; sinaliza o escopo do pipeline de log downstream (10.3.x); isenção de responsabilidade do QSA incluída.

Exemplo 2: Migração para nuvem

Usuário: "Nosso banco de Singapura está movendo o serviço de notificação ao cliente para uma região de nuvem em outro país. Implicações do MAS TRM?"

Habilidade: Carrega mas-trm.md → revisa contra §11.5 (nuvem: devida diligência, residência de dados, estratégia de saída), sinaliza as Diretrizes de Terceirização do MAS como um instrumento relacionado, pergunta quais dados do cliente o serviço afeta antes de classificar a severidade.

Gatilhos Comuns de Engenharia FSI

…