Компания, которая создала NextPDF

Spec: ISO/IEC 27001:2022 Evidence: Mixed evidence

Кратко

NextPDF разрабатывает и сопровождает PATEON Network Technology — независимая технологическая компания из Тайбэя (Тайвань). Прежде чем хоть какая-то часть его кода стала открытой, движок годами существовал внутри компании как промышленный продукт: его применяли в B2B-процессах работы с документами, где безопасность и соответствие требованиям были ключевыми.

Открытое ядро (core) — тот же проверенный движок, выпущенный для сообщества под лицензией Apache-2.0. Редакции Pro и Enterprise остаются проприетарным продуктом PATEON. На этой странице объясняется, кто стоит за движком, какая дисциплина безопасности лежит в его основе и почему важно знать его происхождение, прежде чем брать его в работу.

Почему это важно

Выбирая PDF-движок, вы выбираете зависимость, которая оказывается рядом с чувствительными материалами: договорами, счетами, подписанными соглашениями и закрытыми ключами, которыми они подписываются. Для библиотеки с открытым исходным кодом, связанной с криптографией и юридически значимыми артефактами, вопрос “кто это сопровождает и в рамках какой дисциплины?” — не праздный. Это вопрос цепочки поставок.

Понятный ответственный за сопровождение даёт вам конкретные критерии оценки: кто владеет кодом, кто отвечает за его сопровождение и в какой системе управления работает команда. NextPDF отвечает на эти вопросы прямо. Это открытое ядро коммерческого продукта — результат работы компании со штатной инженерной командой, созданный в промышленной эксплуатации, по-прежнему принадлежащий исходной команде и активно ею сопровождаемый, а также управляемый системой менеджмента информационной безопасности, прошедшей независимую сертификацию. Происхождение можно проверить; эта страница показывает, как сделать это самостоятельно.

Коротко о главном

Создатель. PATEON Network Technology (под коммерческим наименованием pnt.) — компания из Тайбэя (Тайвань), которая предоставляет B2B-клиентам комплексные услуги в сфере сетевых технологий и безопасности.
Команда. Около 25 человек, включая независимую команду R&D, выделенную команду исследований безопасности и центр управления сетью (NOC), — это не побочный проект, а укомплектованная инженерная организация.
Происхождение. NextPDF Core начинался как внутренний движок PATEON и прошёл годы коммерческой промышленной эксплуатации, прежде чем стал открытым.
Дисциплина. PATEON поддерживает систему менеджмента информационной безопасности, сертифицированную по ISO/IEC 27001:2022, прошедшую независимый аудит и находящуюся под активным надзором.
Разделение. Ядро открыто (Apache-2.0) и доступно сообществу; Pro и Enterprise остаются проприетарными, а выручка от них финансирует дальнейшее сопровождение открытого ядра.

Как к этому подходит NextPDF

NextPDF не задумывался как маркетинговый проект. Он появился как инструмент, который был нужен компании по безопасности для своих клиентов, и до сих пор несёт следы этого происхождения: API, который отказывается угадывать, типизированные ошибки и отказ от молчаливой деградации. Это привычки программного обеспечения, написанного людьми, которым приходилось эксплуатировать его для платящих клиентов, а не один раз показать на демонстрации и забыть.

Путь от внутреннего продукта к движку с открытым исходным кодом проходил через осознанные этапы.

Built for clients NextPDF began as PATEON's internal engine for regulated B2B document, signing, and validation work.
Proven in production Years of commercial use under real compliance and security obligations exposed the edge cases and fixed them.
Security-governed Maintained under an ISO/IEC 27001:2022-certified ISMS, with a dedicated security-research team owning the cryptographic surface.
Opened to the community The mature core engine was released as Apache-2.0 open source, with the original team continuing to maintain it.
Premium stays specialised Pro and Enterprise remain PATEON's proprietary product, and fund the open core they build on.

Как NextPDF прошёл путь от внутреннего продукта к движку с открытым исходным кодом — каждый этап закалял код, который наследовал следующий.

Именно это на практике означает коммерчески проверенный. Ядро движка — не оптимистичный выпуск 1.0, который ждёт первой реальной нагрузки: годами его проверяла промышленная эксплуатация на документах, значимых для аудита, и процессах подписания с реальными обязательствами. Открыть его означало поделиться продуктом, который уже выполнял свою задачу, а не вынести на коллективную доработку незавершённую работу.

Та же дисциплина объясняет, почему информационная безопасность и соответствие стандартам — не функции, добавленные постфактум. Это основа проекта. Компания, чей бизнес — услуги безопасности, не относится к конвейеру подписания небрежно. Эта позиция видна в документации: утверждения о поведении явно задают свои границы, а стандарты называются точными идентификаторами. Обоснование принципа fail-closed, на котором стоит движок, приведено вместе с подтверждениями на странице философии проектирования — здесь страница лишь указывает на него.

Компания в поддающихся проверке фактах

PATEON Network Technology — зарегистрированная тайваньская корпорация. Приведённые ниже идентификаторы публичны, и их можно проверить независимо. Раздел о самостоятельной проверке происхождения показывает, как это сделать.

Атрибут	Значение
Зарегистрированное наименование (английское)	PATEON NETWORK TECHNOLOGY INCORPORATED (юридическое наименование)
Коммерческое наименование	PATEON NETWORK TECHNOLOGY, торговое наименование (pnt.)
Зарегистрированное наименование (китайское)	拓宇網路資訊股份有限公司
Юрисдикция	Тайвань (Китайская Республика, R.O.C.)
Регистратор	Правительство города Тайбэй
Головной офис	5F, No. 92, Section 3 Jianguo North Road, Zhongshan Dist., 104069 Taipei City, Taiwan (юридический адрес в Тайбэе)
Уставный капитал	TWD 20,000,000 (приблизительно USD 650,000)
Бизнес-идентификатор / VAT	TW-83211678
Номер D-U-N-S	657718207
Идентификатор организации	LEIXG-984500C5F04C2EF6C128
Применимое право	Тайвань / Китайская Республика (R.O.C.)

Что говорят подтверждения

Эта страница относится к категории Evidence: Mixed evidence : редакционный рассказ о происхождении проекта, подкреплённый сертификацией с документальными артефактами и набором публичных корпоративных регистраций. Она не просит вас принимать эту историю на веру. Создатель — зарегистрированная компания с реальным адресом, укомплектованной командой и сертификацией безопасности, которую вы можете проверить в независимом реестре.

ISO/IEC 27001:2022 — сертифицированная дисциплина информационной безопасности

Главное подтверждение на этой странице — то, что система менеджмента информационной безопасности (СУИБ) компании PATEON сертифицирована по Spec: ISO/IEC 27001:2022 .

Проще говоря, СУИБ — это управляемая структура работы с рисками информационной безопасности: документированные политики, явный процесс оценки и обработки рисков, определённый набор мер защиты, назначенная ответственность и цикл внутреннего аудита и непрерывного улучшения. ISO/IEC 27001 — международный стандарт, по которому такая система проходит независимый аудит; эта сертификация относится к его редакции 2022 года.

Сертификация важна здесь по трём конкретным причинам:

Она независима, а не самопровозглашена. Сторонний орган по сертификации проаудировал систему менеджмента на соответствие стандарту. Это его заключение, а не значок, который компания напечатала себе сама.
Она непрерывна, а не разовая печать. Сертификация ISO/IEC 27001 поддерживается через периодические надзорные аудиты и многолетний цикл ресертификации. Действующий сертификат означает, что дисциплину перепроверяют, а не что галочку поставили один раз.
Она регулирует работу с рисками вокруг ваших данных. Та же система менеджмента, которую охватывает сертификат, задаёт дисциплину обращения с ключами, исходным кодом, материалами клиентов и операционной средой вокруг продукта.

Сертификация поддаётся независимой проверке:

Атрибут	Значение
Стандарт	ISO/IEC 27001:2022
Номер сертификата	QCC/B86F/1224
Орган по сертификации	Quality Control Certification (орган по сертификации)
Запись, проверяемая через IAF	iafcertsearch.org

Ссылка IAF ведёт к записи о сертификате в базе данных IAF CertSearch — реестре сертификаций Международного форума по аккредитации (International Accreditation Forum), выданных аккредитованными органами. Такая проверка отделяет настоящую сертификацию от заявления: вы можете подтвердить её, не полагаясь ни на чьё слово.

Практический пример

Проверка происхождения занимает несколько минут и не требует специального доступа. Всё необходимое публично:

Подтвердите сертификацию. Откройте запись в IAF CertSearch и проверьте, что в ней указаны PATEON Network Technology и сертификат QCC/B86F/1224 по ISO/IEC 27001:2022.
Подтвердите компанию. Сверьте номер D-U-N-S 657718207 и тайваньский бизнес-идентификатор TW-83211678 с публичными реестрами компаний. Идентификатор организации LEIXG-984500C5F04C2EF6C128 соответствует формату идентификатора организации ETSI EN 319 412-1: префикс LEIXG обозначает идентификатор юридического лица (LEI), а 984500C5F04C2EF6C128 — его 20-символьный LEI.
Подтвердите код. Открытое ядро лицензировано под Apache-2.0; его лицензия, исходный код и история выпусков публичны. Обзор лицензирования точно описывает, что предоставляет открытое ядро и где начинаются проприетарные редакции.

Три независимых источника — реестр аккредитации, корпоративный реестр и публичная лицензия на код — указывают на одного и того же создателя. Именно так выглядит проверяемое происхождение.

Распространённое заблуждение

Самое частое неверное прочтение состоит в том, что открытый исходный код подразумевает отсутствие поддержки: библиотеку, которую вы берёте на свой страх и риск, сопровождают волонтёры в свободное время, и в критический момент нет никого ответственного. У NextPDF структура противоположная. Ядро — это открытая редакция коммерческого продукта, сопровождаемая компанией, которая продаёт построенные на нём редакции Pro и Enterprise. Коммерческий бизнес — причина, по которой открытое ядро остаётся сопровождаемым, а не угроза ему.

Второе неверное прочтение — что движок с поддержкой компании из-за этого должен звонить домой или видеть ваши документы. Это не так. NextPDF Core работает в вашем собственном процессе, на вашей собственной инфраструктуре; для работы ему не нужны сервисы PATEON. Отношения с компанией касаются того, кто создаёт код и управляет им, а не того, куда уходят ваши документы. Что движок собирает и чего не собирает, описано в разделе Обработка данных на его собственных условиях.

Ограничения и границы

Эта страница — редакционная страница о проекте. Она описывает происхождение проекта и квалификацию создателя; сама по себе она не делает новых утверждений о поведении движка. Каждое утверждение о поведении NextPDF находится на своей тематической странице, с её уровнем подтверждений.

Несколько границ стоит указать прямо:

Сертификация охватывает СУИБ, а не печать продукта для каждого выпуска. ISO/IEC 27001 сертифицирует систему менеджмента информационной безопасности компании. Это веское свидетельство организационной дисциплины; это не построчный сертификат соответствия для какого-либо отдельного выпуска NextPDF, и эта страница не представляет его таким образом.
Открытое ядро, проприетарный премиум. Apache-2.0 регулирует ядро движка. Редакции Pro и Enterprise — проприетарная работа PATEON, и они не входят в открытое лицензионное предоставление. Где проходит эта граница, описано в обзоре лицензирования.
Корпоративные сведения могут меняться. Капитал, адрес и реестровые данные актуальны на дату проверки этой страницы. Авторитетный источник — всегда публичный реестр, а не эта страница.

Связанная документация

Философия проектирования NextPDF — инженерные принципы, выросшие из этого коммерческого происхождения.
Ландшафт стандартов — стандарты, которые отслеживает движок, и как пункт становится поведением.
Документация как продукт — та же дисциплина, применённая к документации, которую вы сейчас читаете.
Обработка данных — что движок собирает и чего не собирает.

Глоссарий

PATEON Network Technology (pnt.) — компания из Тайбэя (Тайвань), которая создаёт и сопровождает NextPDF; зарегистрирована как PATEON NETWORK TECHNOLOGY INCORPORATED.
ISMS (Information-Security Management System, система менеджмента информационной безопасности) — управляемая структура политик, обработки рисков, мер защиты и аудита, через которую организация работает с рисками информационной безопасности.
ISO/IEC 27001:2022 — редакция 2022 года международного стандарта, по которому СУИБ проходит независимый аудит и сертификацию.
IAF CertSearch — публичный реестр Международного форума по аккредитации (International Accreditation Forum), содержащий сертификации, выданные аккредитованными органами по сертификации; место, где сертификат можно подтвердить независимо.
NOC (Network Operations Center, центр управления сетью) — штатная функция, которая отслеживает и эксплуатирует сетевую и сервисную инфраструктуру.
Коммерчески проверенный — проверенный в реальной, платной промышленной эксплуатации при подлинных обязательствах, в отличие от продемонстрированного лишь в контролируемом примере.