{
  "id": "https://aicore.sk/profiles/common/1.0.0/",
  "version": "1.0.0",
  "status": "stable",
  "title": "Spoločný základ bezpečnostnej auditovateľnosti",
  "ontology": {
    "url": "https://aicore.sk/v2.0/ontology.jsonld",
    "version": "2.0.0",
    "sha256": "9eacd2e75967f9bd6853052df07d05f6ac14c3f9e60d9c1385b7fb4d4984ab56"
  },
  "license": "CC-BY-SA-4.0",
  "mapping_policy": "Každá nižšie uvedená kontrola je vlastná operacionalizácia AI CORE. Externé položky sú vybrané čiastočné referencie, nie tvrdenie ekvivalencie alebo úplného splnenia externého štandardu. Metódy a navrhnuté dôkazy sú návrh AI CORE. Pôvodné požiadavky ostávajú v citovaných vydaniach.",
  "controls": [
    {
      "id": "AC-C01",
      "group": "common",
      "title": "Predmet, účel a hranice hodnotenia",
      "requirement": "Každé hodnotenie jednoznačne vymedzí objekt, jeho schopnosti, použitie, časový rozsah a výluky.",
      "applicability": "Vždy.",
      "method": "Porovnať plán s dostupnými funkciami a vybrať reprezentatívnu vzorku. Každú vynechanú oblasť zdôvodniť.",
      "evidence": "Plán hodnotenia, verejný identifikátor snímky, zoznam schopností a výluk.",
      "pass_criteria": "Rozsah je jednoznačný a žiadna deklarovaná schopnosť nezostáva bez rozhodnutia o aplikovateľnosti.",
      "limits": "Opis rozsahu nie je test bezpečnosti. Verejná snímka nemusí umožniť nezávislé overenie interného nasadenia.",
      "references": [
        {
          "source": "airmf1",
          "sections": [
            "MAP 1.1",
            "MAP 2.1",
            "MAP 2.2"
          ],
          "relation": "context"
        }
      ]
    },
    {
      "id": "AC-C02",
      "group": "common",
      "title": "Identita a prístup k chráneným funkciám",
      "requirement": "Chránené funkcie vyžadujú doložené overenie používateľa; alternatívne prihlasovacie a obnovovacie cesty neobídu požadované faktory.",
      "applicability": "Ak systém obsahuje účty alebo obmedzené funkcie.",
      "method": "V dohodnutom prostredí preveriť platné, neplatné a obnovovacie prihlásenie vrátane požadovaného MFA.",
      "evidence": "Sanitizovaný testový záznam s očakávanými a skutočnými stavmi; bez hesiel, tokenov a MFA tajomstiev.",
      "pass_criteria": "Všetky zahrnuté cesty dodržia zdokumentovanú autentifikačnú politiku.",
      "limits": "Úspešné prihlásenie samo nepotvrdzuje ochranu úložiska hesiel ani odolnosť voči všetkým útokom.",
      "references": [
        {
          "source": "asvs5",
          "file": "0x15-V6-Authentication.md",
          "sections": [
            "6.3.3",
            "6.3.4",
            "6.4.3"
          ],
          "relation": "selected_partial_mapping"
        }
      ]
    },
    {
      "id": "AC-C03",
      "group": "common",
      "title": "Životnosť a ukončenie relácie",
      "requirement": "Relácie sa overujú na dôveryhodnej strane a po ukončení sa nedajú znovu používať.",
      "applicability": "Ak systém používa používateľské relácie.",
      "method": "Overiť zmenu relácie pri prihlásení, ukončenie a opakovanie chránenej požiadavky po odhlásení.",
      "evidence": "Výsledky scenárov s anonymizovanými identifikátormi; záznam platnosti bez hodnoty tokenu.",
      "pass_criteria": "Ukončená relácia nemá ďalší prístup a limity zodpovedajú deklarovanej politike.",
      "limits": "Verejný neprihlásený test nepokrýva všetky mechanizmy správy relácií.",
      "references": [
        {
          "source": "asvs5",
          "file": "0x16-V7-Session-Management.md",
          "sections": [
            "7.2.1",
            "7.2.4",
            "7.4.1"
          ],
          "relation": "selected_partial_mapping"
        }
      ]
    },
    {
      "id": "AC-C04",
      "group": "common",
      "title": "Autorizácia funkcií, objektov a polí",
      "requirement": "Oprávnenia sa vynucujú dôveryhodnou aplikačnou vrstvou pre operáciu, údaje aj sprístupnené polia.",
      "applicability": "Vždy; aj verejný systém má hranicu zverejnenia.",
      "method": "Zostaviť maticu rolí a operácií. Overiť povolenú aj odmietnutú operáciu v každej vybranej triede.",
      "evidence": "Sanitizovaná matica a receipts negatívnych aj pozitívnych testov.",
      "pass_criteria": "Vzorka zodpovedá matici a klientská manipulácia nemení oprávnenie.",
      "limits": "Samotné HTTP 401 alebo skryté tlačidlo nepokrýva celú autorizáciu.",
      "references": [
        {
          "source": "asvs5",
          "file": "0x17-V8-Authorization.md",
          "sections": [
            "8.2.1",
            "8.2.2",
            "8.2.3",
            "8.3.1"
          ],
          "relation": "selected_partial_mapping"
        }
      ]
    },
    {
      "id": "AC-C05",
      "group": "common",
      "title": "Minimalizácia a ochrana zverejnených údajov",
      "requirement": "Výstup obsahuje len údaje povolené pre príslušné publikum; tajomstvá a interné prevádzkové detaily zostávajú oddelené.",
      "applicability": "Vždy.",
      "method": "Skontrolovať zoznam povolených polí a skúsiť negatívne vzorky s citlivými hodnotami vrátane chybovej odpovede.",
      "evidence": "Verejná schéma, výsledky redakčných testov a opis hraníc zverejnenia.",
      "pass_criteria": "Neznáme ani zakázané polia nepreniknú do verejného výstupu.",
      "limits": "Redakcia môže znížiť overiteľnosť. Chýbajúci dôkaz sa prizná, nenahradí tvrdením o úspechu.",
      "references": [
        {
          "source": "asvs5",
          "file": "0x23-V14-Data-Protection.md",
          "sections": [
            "14.1.1",
            "14.1.2",
            "14.2.6"
          ],
          "relation": "selected_partial_mapping"
        }
      ]
    },
    {
      "id": "AC-C06",
      "group": "common",
      "title": "Validácia vstupov a kontraktov",
      "requirement": "Vstupy majú overované typy, veľkosti a logické hranice na dôveryhodnej strane.",
      "applicability": "Rozhrania prijímajúce dáta.",
      "method": "Predložiť povolené, chýbajúce, nadbytočné a hraničné hodnoty v schválenej testovacej vzorke.",
      "evidence": "Verzovaný kontrakt a výsledky hraničných testov.",
      "pass_criteria": "Platná vzorka je spracovaná, neplatná odmietnutá bez vedľajšieho účinku.",
      "limits": "Platná syntax nepotvrdzuje pravdivosť vstupu ani bezpečný význam textu.",
      "references": [
        {
          "source": "asvs5",
          "file": "0x11-V2-Validation-and-Business-Logic.md",
          "sections": [
            "2.1.1",
            "2.2.1",
            "2.2.2"
          ],
          "relation": "selected_partial_mapping"
        }
      ]
    },
    {
      "id": "AC-C07",
      "group": "common",
      "title": "Poradie, limity a opakovanie operácií",
      "requirement": "Proces dodrží povinné brány a limity; opakovaná požiadavka nespôsobí nezamýšľaný druhý účinok.",
      "applicability": "Ak systém vykonáva viacstupňové alebo nákladové operácie.",
      "method": "V bezpečnom prostredí preveriť vynechanie kroku, súbeh, opakovanie a prekročenie limitu.",
      "evidence": "Záznam stavu pred a po pokuse, idempotencie a uplatneného limitu bez citlivých hodnôt.",
      "pass_criteria": "Brány nemožno preskočiť a účinok zodpovedá deklarovanej politike opakovania.",
      "limits": "Toto je vlastná operacionalizácia; samotná referencia na ASVS nepredpisuje konkrétny mechanizmus idempotencie.",
      "references": [
        {
          "source": "asvs5",
          "file": "0x11-V2-Validation-and-Business-Logic.md",
          "sections": [
            "2.3.1",
            "2.3.2",
            "2.3.3",
            "2.3.4"
          ],
          "relation": "selected_partial_mapping"
        }
      ]
    },
    {
      "id": "AC-C08",
      "group": "common",
      "title": "Pôvod a väzba dôkazu",
      "requirement": "Dôkaz má identitu, pôvod, čas získania, väzbu na kontrolu a predmet; odvodený výstup uvedie podklad.",
      "applicability": "Vždy pri prezentovaní výsledku kontroly.",
      "method": "Zvoliť vzorku výsledkov a spätne sledovať väzbu od nálezu k pozorovaniu a dostupnému artefaktu.",
      "evidence": "Manifest dôkazov, označenie typu pôvodcu a odkazy na sanitizované artefakty.",
      "pass_criteria": "Väzby sú dohľadateľné a nevymieňajú podklad ani predmet bez priznania.",
      "limits": "Hash potvrdzuje zhodu bajtov, nie pravdivosť, nezávislosť ani úplnosť dôkazov.",
      "references": [
        {
          "source": "provo2013",
          "sections": [
            "3.1 Starting Point Terms: Entity, Activity, Agent, wasGeneratedBy, used, wasAttributedTo"
          ],
          "relation": "conceptual_inspiration"
        },
        {
          "source": "oscalconcept",
          "sections": [
            "Assessment Results Organization: Observation, Finding, Back Matter"
          ],
          "relation": "conceptual_inspiration"
        }
      ]
    },
    {
      "id": "AC-C09",
      "group": "common",
      "title": "Uchovanie a ochrana záznamov",
      "requirement": "Relevantné bezpečnostné udalosti a výsledky majú určenú retenciu, časy a ochranu pred neoprávnenou zmenou.",
      "applicability": "Ak vznikajú auditné alebo bezpečnostné záznamy.",
      "method": "Preskúmať vybraný životný cyklus záznamu vrátane prístupu, opravy a skončenia retencie.",
      "evidence": "Politika retencie, sanitizovaná časová stopa a doloženie ochrany.",
      "pass_criteria": "Záznam zostáva korelovateľný a zmeny alebo obmedzenia integrity sú vysvetlené.",
      "limits": "Verejný súhrn bez interných dôkazov nepreukazuje nemennosť celého úložiska.",
      "references": [
        {
          "source": "asvs5",
          "file": "0x25-V16-Security-Logging-and-Error-Handling.md",
          "sections": [
            "16.1.1",
            "16.2.1",
            "16.2.2",
            "16.2.5",
            "16.4.2"
          ],
          "relation": "selected_partial_mapping"
        }
      ]
    },
    {
      "id": "AC-C10",
      "group": "common",
      "title": "Bezpečné zlyhanie",
      "requirement": "Chyba neobíde ochrannú bránu a verejná odpoveď neodhalí interné citlivé údaje.",
      "applicability": "Vždy.",
      "method": "Simulovať nedostupný podklad alebo odmietnutú závislosť bez zasahovania do živej produkcie.",
      "evidence": "Očakávané a pozorované chybové stavy, potvrdenie nevykonaného účinku.",
      "pass_criteria": "Systém sa riadi dokumentovaným bezpečným stavom a neprezentuje nedokončenú operáciu ako úspešnú.",
      "limits": "Jedna simulácia nepokrýva všetky možné poruchy.",
      "references": [
        {
          "source": "asvs5",
          "file": "0x25-V16-Security-Logging-and-Error-Handling.md",
          "sections": [
            "16.5.1",
            "16.5.2",
            "16.5.3"
          ],
          "relation": "selected_partial_mapping"
        }
      ]
    },
    {
      "id": "AC-C11",
      "group": "common",
      "title": "Interpretácia, nezávislosť a neúplnosť",
      "requirement": "Výsledok rozlišuje pozorovanie, tvrdenie prevádzkovateľa a nezávislé posúdenie; uvádza neotestované oblasti.",
      "applicability": "Vždy.",
      "method": "Hodnotiteľ preverí vzorku záverov proti podkladom a zaznamená vlastný vzťah k prevádzkovateľovi.",
      "evidence": "Rozsah vzorky, zoznam chýbajúcich dôkazov, druh hodnotiteľa a odôvodnenie výsledku.",
      "pass_criteria": "Žiadny záver neprekračuje dostupné overenie a chýbajúci dôkaz nie je označený za úspech.",
      "limits": "Zverejnenie sebaohodnotenia nevytvára nezávislý audit.",
      "references": [
        {
          "source": "airmf1",
          "sections": [
            "MEASURE 1.1",
            "MEASURE 1.3",
            "MEASURE 2.1"
          ],
          "relation": "context"
        }
      ]
    },
    {
      "id": "AC-C12",
      "group": "common",
      "title": "Náprava a nové overenie",
      "requirement": "Nález má spôsob opravy a následného overenia; novší výsledok nevymaže staršiu stopu.",
      "applicability": "Ak sú nálezy, zmeny alebo opravné hodnotenie.",
      "method": "Vybrať opravený nález a porovnať pôvodný rozsah s novým overením; nevydávať plánovanú opravu za hotovú.",
      "evidence": "Väzba na predchádzajúci záznam, stav nápravy a nové dôkazy.",
      "pass_criteria": "Čitateľ rozlíši otvorený nález, vykonanú opravu a overenú opravu.",
      "limits": "Toto nie je automatické potvrdenie prevádzkovej obnovy.",
      "references": [
        {
          "source": "airmf1",
          "sections": [
            "MANAGE 4.1",
            "MANAGE 4.3"
          ],
          "relation": "context"
        }
      ]
    }
  ],
  "sources": [
    {
      "id": "asvs5",
      "title": "OWASP Application Security Verification Standard",
      "version": "5.0.0",
      "git_tag": "v5.0.0_release",
      "commit": "5cf9b032440be53ce345ab3c130fda46ba1ce7a2",
      "base_url": "https://github.com/OWASP/ASVS/blob/5cf9b032440be53ce345ab3c130fda46ba1ce7a2/5.0/en/",
      "license": "CC-BY-SA-4.0",
      "license_url": "https://github.com/OWASP/ASVS/blob/5cf9b032440be53ce345ab3c130fda46ba1ce7a2/LICENSE.md",
      "role": "Vybrané aplikačné bezpečnostné požiadavky. Nepriraďovať úroveň ASVS celému systému podľa tejto podmnožiny."
    },
    {
      "id": "aisvs1",
      "title": "OWASP AI Security Verification Standard",
      "version": "1.0",
      "git_tag": "v1.0",
      "commit": "f2bade20a5255a2f023e770784bd7b3cf1ebb599",
      "base_url": "https://github.com/OWASP/AISVS/blob/f2bade20a5255a2f023e770784bd7b3cf1ebb599/1.0/en/",
      "license": "CC-BY-SA-4.0",
      "license_url": "https://github.com/OWASP/AISVS/blob/f2bade20a5255a2f023e770784bd7b3cf1ebb599/LICENSE.md",
      "role": "Vybrané AI a agentové požiadavky. Zvolená verzia je pripnutá; nejde o tvrdenie najnovšieho vydania."
    },
    {
      "id": "airmf1",
      "title": "NIST AI Risk Management Framework",
      "version": "1.0, NIST AI 100-1, January 2023",
      "url": "https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-1.pdf",
      "role": "Kontext rizík, rozsah hodnotenia, nezávislosť a náprava; nie certifikačná schéma."
    },
    {
      "id": "provo2013",
      "title": "W3C PROV-O",
      "version": "W3C Recommendation 30 April 2013",
      "url": "https://www.w3.org/TR/2013/REC-prov-o-20130430/",
      "role": "Konceptuálna referencia proveniencie. AI CORE v2.0 sa tým nemení ani automaticky nestáva PROV-O ontológiou."
    },
    {
      "id": "oscalconcept",
      "title": "NIST OSCAL Assessment Results Model",
      "version": "Concept documentation, page updated 2025-03-03, accessed 2026-11-15",
      "url": "https://pages.nist.gov/OSCAL/learn/concepts/layer/assessment/assessment-results/",
      "role": "Konceptuálne oddelenie plánu, pozorovaní, dôkazov a nálezov. Tento JSON nie je OSCAL. Produkčný OSCAL export nie je súčasťou dodávky."
    }
  ]
}