Комплаенс-документы, подготовленные NextPDF
Коротко о главном
Заголовок раздела «Коротко о главном»NextPDF составляет и сопровождает перечисленные ниже собственные комплаенс-документы; каждый указан со своим типом и областью действия.
Безопасность и цепочка поставок
Заголовок раздела «Безопасность и цепочка поставок»| Документ | Тип | Область действия |
|---|---|---|
| Пайплайн доверия цепочки поставок | Спецификация, подготовленная NextPDF | Гейты на этапах PR и тегов, которые выполняет релизный пайплайн: генерация SBOM, provenance сборки, проверки воспроизводимости, проверки дрейфа отпечатка lock-файла и заявления in-toto о входных данных сборки |
| Проверка релиза | Процедура, подготовленная NextPDF | Пошаговая проверка релизного артефакта по его подписи cosign и SLSA provenance сборки |
| Подход к фаззингу | Методология, подготовленная NextPDF | Ночная матрица php-fuzzer и AST-харнесс фаззинга |
| Методология статического анализа | Методология, подготовленная NextPDF | Блокирующий сборку гейт PHPStan Level 10 на src/ и бейзлайн, ограниченный областью tests/ |
| Самооценка OpenSSF S2C2F | Самооценка, подготовленная NextPDF | Средства контроля цепочки поставок на стороне потребления, зафиксированные по каждому требованию S2C2F |
| Рабочая таблица ответов OpenSSF Best Practices | Рабочая таблица, подготовленная NextPDF | Набор ответов по критериям passing, silver и gold bestpractices.dev |
| Самооценка OSPS Baseline | Самооценка, подготовленная NextPDF | Действующие требования OpenSSF OSPS Baseline с ответом по каждому требованию |
Регуляторика и право
Заголовок раздела «Регуляторика и право»| Документ | Тип | Область действия |
|---|---|---|
| Самооценка по EU CRA | Самооценка, подготовленная NextPDF | Самооценка относительно обязанностей производителя по Regulation (EU) 2024/2847 |
| SOP по отчётности согласно статье 14 EU CRA | Процедура, подготовленная NextPDF | Регуляторное уведомление об активно эксплуатируемых уязвимостях и серьёзных инцидентах, с отчётными сроками и путём эскалации |
Сопоставление с NIST SSDF (SP 800-218) | Сопоставление, подготовленное NextPDF | Практики SSDF, сопоставленные — практика за практикой — со средствами контроля, которые применяет NextPDF |
Соответствие open-source-лицензиям
Заголовок раздела «Соответствие open-source-лицензиям»| Документ | Тип | Область действия |
|---|---|---|
| Программа OpenChain ISO/IEC 5230 | Документация программы, подготовленная NextPDF | Политика соответствия лицензиям, заявление об области действия, ответы чек-листа, процедура ревью обязательств, политика контрибуций, процедура архивирования и журнал обучения |
| Программа OpenChain ISO/IEC 18974 | Документация программы, подготовленная NextPDF | Политика безопасности open source, ответы чек-листа и журнал обучения |
Доступность и соответствие
Заголовок раздела «Доступность и соответствие»| Документ | Тип | Область действия |
|---|---|---|
Отчёт о соответствии требованиям доступности (VPAT 2.5) | Самооценка, подготовленная NextPDF | Генерируемый PDF-вывод; критерии, зависящие от контента, задаваемого автором, зафиксированы по каждому критерию как зависящие от автора |
| Чек-лист ручных критериев ACR | Рабочая таблица, подготовленная NextPDF | Процедура ручной проверки и текущий результат по каждому критерию; критерии, требующие сессии чтения со вспомогательными технологиями, помечены соответствующим образом |
| Указатель доказательств соответствия | Указатель, подготовленный NextPDF | Машинно-проверяемые доказательства соответствия; каждая запись фиксирует профиль, закреплённую версию валидатора, корпус и команду воспроизведения |