PRISMA - Framework de Engenharia de Requisitos de Segurança com Aprendizagem Organizacional Assistida por IA
Engenharia de Requisitos de Segurança; Inteligência Artificial Generativa; AprendizagemOrganizacional; ModelagemdeAmeaças; FrameworkHíbridoHumano-IA.
Organizações contemporâneas investem continuamente em ferramentas de análise de se gurança, frameworks de maturidade e programas de capacitação. Paradoxalmente, esse arsenal tecnológico não tem se traduzido em ganhos proporcionais de segurança efetiva: vulnerabilidades persistem, correções não são propagadas adequadamente e incidentes recorrentes evidenciam a dificuldade em transformar conhecimento operacional em aprendizagem institucional. Esse cenário revela uma desconexão entre a capacidade de detecção de vulnerabilidades e a efetiva transformação dessas evidências em requisitos de segurança aprimorados, perpetuando ciclos de aprendizagem superficial que corrigem sin tomas sem revisar práticas organizacionais. Para enfrentar esse problema, este trabalho propõe o PRISMA-IA(Process for Requirements Integration, Security Maturity and AI-Augmented Learning), um framework metodológico híbrido para engenharia de requisitos desegurança assistida por Inteligência Artificial. A pesquisa adota a abordagem de Design Science Research, com foco na construção e avaliação do artefato proposto. A avaliação empírica é conduzida por meio de experimento controlado, no qual são comparadas três condições: geração manual, geração por IA e fluxo híbrido humano-IA. Os resultados parciais, obtidos a partir de um experimento inicial envolvendo vinte projetos, indicam que a abordagem híbrida supera tanto o processo manual quanto a geração isolada por IA em termos de eficiência, cobertura de ameaças e qualidade dos artefatos produzidos. Apesar dos resultados promissores, a abordagem demandou refinamento iterativo dos artefatos e apresentou menor adequação contextual em comparação à produção exclusivamente humana, reforçando a necessidade do modelo híbrido. Como trabalhos futuros, propõe-se a integração com pipelines CI/CD, a expansão para contextos ágeis de larga escala e a aplicação de técnicas de fine-tuning para domínios regulados.