Bezpieczeństwo i zgodność
PATEON NETWORK TECHNOLOGY INCORPORATED, firma stojąca za NextPDF, posiada
certyfikat ISO/IEC 27001:2022 QCC/B86F/1224 dla swojego systemu zarządzania
bezpieczeństwem informacji. NextPDF Licensing Distribution Platform — chmurowa
usługa licencjonowania — ma opublikowaną samoocenę CSA STAR Level 1
(CAIQ v4.1.0).
Certyfikacja
Dział zatytułowany „Certyfikacja”PATEON NETWORK TECHNOLOGY INCORPORATED posiada certyfikat ISO/IEC 27001:2022
QCC/B86F/1224 dla firmowego systemu zarządzania bezpieczeństwem informacji.
Zarejestrowany zakres certyfikatu:
Specializing in information software services, data processing, third-party payment, software wholesale and retail, computer equipment installation and manufacturing, advertising services, management and leasing consulting, and other legally permitted activities as per the Statement of Applicability Version 1.1 dated 9th August 2024.
Tłumaczenie nieoficjalne: „Specjalizacja w usługach oprogramowania informacyjnego, przetwarzaniu danych, płatnościach realizowanych przez podmioty trzecie, hurtowej i detalicznej sprzedaży oprogramowania, instalacji i produkcji sprzętu komputerowego, usługach reklamowych, doradztwie w zakresie zarządzania i leasingu oraz innych prawnie dozwolonych rodzajach działalności, zgodnie z Deklaracją Stosowania (Statement of Applicability) w wersji 1.1 z dnia 9 sierpnia 2024 r.”
Certyfikat można zweryfikować w serwisie IAF CertSearch.
Opublikowana samoocena
Dział zatytułowany „Opublikowana samoocena”CSA STAR Level 1 to poziom samooceny w programie Cloud Security Alliance:
odpowiedzi dostawcy dotyczące kontroli są publikowane w publicznym rejestrze
STAR, gdzie można je przeczytać, zmapowane na Cloud Controls Matrix. NextPDF
publikuje samoocenę CAIQ v4.1.0 dla NextPDF Licensing Distribution
Platform — chmurowej usługi licencjonowania — w rejestrze
CSA STAR Registry.
Dowody w rejestrach
Dział zatytułowany „Dowody w rejestrach”| Deklaracja | Typ | Dowód |
|---|---|---|
ISO/IEC 27001:2022 — ISMS spółki PATEON NETWORK TECHNOLOGY INCORPORATED, certyfikat QCC/B86F/1224 | Certyfikacja zewnętrzna | IAF CertSearch |
Samoocena CSA STAR Level 1 (CAIQ v4.1.0) — NextPDF Licensing Distribution Platform | Samoocena opracowana przez NextPDF | CSA STAR Registry |
Wdrożone bramki CI i workflow
Dział zatytułowany „Wdrożone bramki CI i workflow”Szczegóły poszczególnych bramek: Integralność łańcucha dostaw i Jakość inżynierska.
| Bramka | Konfiguracja |
|---|---|
| Łańcuch dostaw | Emituje SBOM CycloneDX 1.7 dla builda, zapisuje oświadczenie in-toto wiążące dane wejściowe builda i porównuje odciski SHA-256 zależności z przypiętą linią bazową — twarde bramki na każdym pull requeście zmieniającym zależności i na każdym tagu wersji |
| Analiza statyczna | PHPStan Level 10 na src/, blokujące build przy każdym pushu i pull requeście |
| Pokrycie | Próg 90% dla linii zmienianych przez każdy pull request, mierzony narzędziem PCOV względem gałęzi bazowej; pull request poniżej progu kończy build niepowodzeniem |
| Wskaźnik mutacji | Monotonicznie niemalejące progi minimalne dla raw_msi, effective_msi i covered_msi; pull request, który obniżyłby którykolwiek z progów poniżej jego minimum, jest odrzucany |
| Walidacja wyjścia | veraPDF 1.30.1 z profilem pdfua.strict, blokujące build na korpusie tagowanych dokumentów wyjściowych |