Documenti di conformità redatti da NextPDF
In sintesi
Sezione intitolata “In sintesi”NextPDF redige e mantiene i documenti di conformità di prima parte elencati di seguito, ciascuno con il proprio tipo e ambito.
Sicurezza e supply chain
Sezione intitolata “Sicurezza e supply chain”| Documento | Tipo | Ambito |
|---|---|---|
| Pipeline di fiducia della supply chain | Specifica redatta da NextPDF | I gate eseguiti dalla pipeline di rilascio in fase di PR e di tag: generazione delle SBOM, provenance di build, verifiche di riproducibilità, controlli di deriva delle impronte del lockfile e dichiarazioni in-toto sugli input di build |
| Verifica di un rilascio | Procedura redatta da NextPDF | Verifica passo per passo di un artefatto di rilascio rispetto alla sua firma cosign e alla provenance di build SLSA |
| Postura di fuzzing | Metodologia redatta da NextPDF | La matrice php-fuzzer notturna e l’harness di fuzzing su AST |
| Metodologia di analisi statica | Metodologia redatta da NextPDF | Il gate PHPStan Level 10 bloccante per la build su src/ e la baseline circoscritta di tests/ |
| Autovalutazione OpenSSF S2C2F | Autovalutazione redatta da NextPDF | I controlli di supply chain lato consumo, registrati per singolo requisito S2C2F |
| Scheda di risposta OpenSSF Best Practices | Scheda di lavoro redatta da NextPDF | L’insieme delle risposte per i criteri passing, silver e gold di bestpractices.dev |
| Autovalutazione OSPS Baseline | Autovalutazione redatta da NextPDF | I requisiti attivi della OSPS Baseline di OpenSSF, con risposta per singolo requisito |
Aspetti normativi e legali
Sezione intitolata “Aspetti normativi e legali”| Documento | Tipo | Ambito |
|---|---|---|
| Autovalutazione CRA UE | Autovalutazione redatta da NextPDF | Un’autovalutazione rispetto agli obblighi del fabbricante previsti dal Regolamento (UE) 2024/2847 |
| SOP di segnalazione ex articolo 14 del CRA UE | Procedura redatta da NextPDF | Notifica regolamentare delle vulnerabilità attivamente sfruttate e degli incidenti gravi, con scadenze di segnalazione e percorso di escalation |
Mappatura NIST SSDF (SP 800-218) | Mappatura redatta da NextPDF | Le pratiche SSDF mappate, pratica per pratica, sui controlli che NextPDF opera |
Conformità delle licenze open source
Sezione intitolata “Conformità delle licenze open source”| Documento | Tipo | Ambito |
|---|---|---|
| Programma OpenChain ISO/IEC 5230 | Documentazione di programma redatta da NextPDF | Policy di conformità delle licenze, dichiarazione di ambito, risposte alla checklist, procedura di riesame degli obblighi, policy sui contributi, procedura di archiviazione e registro della formazione |
| Programma OpenChain ISO/IEC 18974 | Documentazione di programma redatta da NextPDF | Policy di sicurezza open source, risposte alla checklist e registro della formazione |
Accessibilità e conformità
Sezione intitolata “Accessibilità e conformità”| Documento | Tipo | Ambito |
|---|---|---|
Accessibility Conformance Report (VPAT 2.5) | Autovalutazione redatta da NextPDF | Output PDF generato; i criteri che dipendono da contenuti forniti dall’autore sono registrati, criterio per criterio, come dipendenti dall’autore |
| Checklist dei criteri manuali dell’ACR | Scheda di lavoro redatta da NextPDF | La procedura di verifica manuale e il risultato corrente per ciascun criterio; i criteri che richiedono una sessione di lettura con tecnologie assistive sono segnalati come tali |
| Indice delle evidenze di conformità | Indice redatto da NextPDF | Evidenze di conformità verificabili in modo automatico; ogni voce registra il profilo, la versione bloccata del validatore, il corpus e il comando di riproduzione |