Dokumen kepatuhan yang disusun NextPDF
Sekilas
Bagian berjudul “Sekilas”NextPDF menyusun dan memelihara dokumen kepatuhan pihak pertama di bawah ini, masing-masing dicantumkan dengan jenis dan lingkupnya.
Keamanan dan rantai pasok
Bagian berjudul “Keamanan dan rantai pasok”| Dokumen | Jenis | Lingkup |
|---|---|---|
| Pipeline kepercayaan rantai pasok | Spesifikasi yang disusun NextPDF | Gate saat PR dan saat tag yang dijalankan pipeline rilis: pembuatan SBOM, provenance build, pemeriksaan reprodusibilitas, pemeriksaan drift sidik jari lockfile, dan pernyataan input build in-toto |
| Memverifikasi sebuah rilis | Prosedur yang disusun NextPDF | Verifikasi langkah demi langkah sebuah artefak rilis terhadap tanda tangan cosign dan provenance build SLSA-nya |
| Postur fuzzing | Metodologi yang disusun NextPDF | Matriks php-fuzzer malam hari dan harness fuzzing AST |
| Metodologi analisis statis | Metodologi yang disusun NextPDF | Gate PHPStan Level 10 pemblokir build pada src/ dan baseline tests/ yang dibatasi lingkupnya |
| Penilaian mandiri OpenSSF S2C2F | Penilaian mandiri yang disusun NextPDF | Kontrol rantai pasok sisi konsumsi, dicatat per persyaratan S2C2F |
| Lembar kerja jawaban OpenSSF Best Practices | Lembar kerja yang disusun NextPDF | Kumpulan jawaban untuk kriteria passing, silver, dan gold di bestpractices.dev |
| Penilaian mandiri OSPS Baseline | Penilaian mandiri yang disusun NextPDF | Persyaratan aktif OpenSSF OSPS Baseline, dijawab per persyaratan |
Regulasi dan hukum
Bagian berjudul “Regulasi dan hukum”| Dokumen | Jenis | Lingkup |
|---|---|---|
| Penilaian mandiri EU CRA | Penilaian mandiri yang disusun NextPDF | Penilaian mandiri terhadap kewajiban produsen dalam Regulation (EU) 2024/2847 |
| SOP pelaporan Pasal 14 EU CRA | Prosedur yang disusun NextPDF | Notifikasi regulatori atas kerentanan yang dieksploitasi secara aktif dan insiden berat, dengan tenggat pelaporan dan jalur eskalasi |
Pemetaan NIST SSDF (SP 800-218) | Pemetaan yang disusun NextPDF | Praktik SSDF yang dipetakan, praktik demi praktik, ke kontrol yang dioperasikan NextPDF |
Kepatuhan lisensi open-source
Bagian berjudul “Kepatuhan lisensi open-source”| Dokumen | Jenis | Lingkup |
|---|---|---|
| Program OpenChain ISO/IEC 5230 | Dokumentasi program yang disusun NextPDF | Kebijakan kepatuhan lisensi, pernyataan lingkup, jawaban checklist, prosedur tinjauan kewajiban, kebijakan kontribusi, prosedur pengarsipan, dan log pelatihan |
| Program OpenChain ISO/IEC 18974 | Dokumentasi program yang disusun NextPDF | Kebijakan keamanan open-source, jawaban checklist, dan log pelatihan |
Aksesibilitas dan kesesuaian
Bagian berjudul “Aksesibilitas dan kesesuaian”| Dokumen | Jenis | Lingkup |
|---|---|---|
Accessibility Conformance Report (VPAT 2.5) | Penilaian mandiri yang disusun NextPDF | Keluaran PDF yang dihasilkan; kriteria yang bergantung pada konten yang dipasok penulis dicatat per kriteria sebagai bergantung pada penulis |
| Checklist kriteria manual ACR | Lembar kerja yang disusun NextPDF | Prosedur pemeriksaan manual dan hasil terkini per kriteria; kriteria yang memerlukan sesi pembacaan dengan teknologi asistif ditandai demikian |
| Indeks bukti kesesuaian | Indeks yang disusun NextPDF | Bukti kesesuaian yang dapat diverifikasi mesin; setiap entri mencatat profil, versi validator yang dipatok, korpus, dan perintah reproduksi |