เอกสารการปฏิบัติตามข้อกำหนดที่ NextPDF จัดทำ
ภาพรวมโดยสังเขป
หัวข้อที่มีชื่อว่า “ภาพรวมโดยสังเขป”NextPDF เขียนขึ้นและดูแลรักษาเอกสารการปฏิบัติตามข้อกำหนดที่จัดทำเองด้านล่างนี้ แต่ละรายการแสดงพร้อมประเภทและขอบเขตของมัน
ความมั่นคงปลอดภัยและห่วงโซ่อุปทาน
หัวข้อที่มีชื่อว่า “ความมั่นคงปลอดภัยและห่วงโซ่อุปทาน”| เอกสาร | ประเภท | ขอบเขต |
|---|---|---|
| ไปป์ไลน์ความน่าเชื่อถือของห่วงโซ่อุปทาน | ข้อกำหนดจำเพาะที่ NextPDF จัดทำ | เกตระดับ PR และระดับแท็กที่ไปป์ไลน์การปล่อยรุ่นรัน: การสร้าง SBOM, provenance ของบิลด์, การตรวจสอบความสามารถในการทำซ้ำ, การตรวจสอบการเลื่อนของลายนิ้วมือ lockfile และคำแถลง in-toto เกี่ยวกับอินพุตของบิลด์ |
| การตรวจสอบการปล่อยรุ่น | ขั้นตอนที่ NextPDF จัดทำ | การตรวจสอบ artifact ของการปล่อยรุ่นทีละขั้นตอนเทียบกับลายเซ็น cosign และ provenance ของบิลด์ตาม SLSA |
| จุดยืนด้าน fuzzing | ระเบียบวิธีที่ NextPDF จัดทำ | เมทริกซ์ php-fuzzer รายคืนและ harness fuzzing แบบ AST |
| ระเบียบวิธีการวิเคราะห์แบบสถิต | ระเบียบวิธีที่ NextPDF จัดทำ | เกต PHPStan Level 10 ที่บล็อกการบิลด์บน src/ และ baseline ของ tests/ ที่จำกัดขอบเขต |
| การประเมินตนเองตาม OpenSSF S2C2F | การประเมินตนเองที่ NextPDF จัดทำ | มาตรการควบคุมห่วงโซ่อุปทานฝั่งการบริโภค บันทึกตามข้อกำหนดของ S2C2F แต่ละข้อ |
| แผ่นงานคำตอบ OpenSSF Best Practices | แผ่นงานที่ NextPDF จัดทำ | ชุดคำตอบสำหรับเกณฑ์ระดับ passing, silver และ gold ของ bestpractices.dev |
| การประเมินตนเองตาม OSPS Baseline | การประเมินตนเองที่ NextPDF จัดทำ | ข้อกำหนดที่ยังใช้งานอยู่ของ OpenSSF OSPS Baseline ตอบเป็นรายข้อกำหนด |
กฎระเบียบและกฎหมาย
หัวข้อที่มีชื่อว่า “กฎระเบียบและกฎหมาย”| เอกสาร | ประเภท | ขอบเขต |
|---|---|---|
| การประเมินตนเองด้าน EU CRA | การประเมินตนเองที่ NextPDF จัดทำ | การประเมินตนเองเทียบกับพันธกรณีของผู้ผลิตตาม Regulation (EU) 2024/2847 |
| SOP การรายงานตาม EU CRA Article 14 | ขั้นตอนที่ NextPDF จัดทำ | การแจ้งหน่วยงานกำกับดูแลเรื่องช่องโหว่ที่ถูกใช้โจมตีจริงและเหตุการณ์ร้ายแรง พร้อมนาฬิกาจับเวลาการรายงานและเส้นทางการยกระดับ |
การเทียบเคียงตาม NIST SSDF (SP 800-218) | การเทียบเคียงที่ NextPDF จัดทำ | แนวปฏิบัติของ SSDF ที่เทียบเคียงทีละแนวปฏิบัติเข้ากับมาตรการควบคุมที่ NextPDF ดำเนินการ |
การปฏิบัติตามสัญญาอนุญาตโอเพนซอร์ส
หัวข้อที่มีชื่อว่า “การปฏิบัติตามสัญญาอนุญาตโอเพนซอร์ส”| เอกสาร | ประเภท | ขอบเขต |
|---|---|---|
| โปรแกรม OpenChain ISO/IEC 5230 | เอกสารโปรแกรมที่ NextPDF จัดทำ | นโยบายการปฏิบัติตามสัญญาอนุญาต คำแถลงขอบเขต คำตอบในเช็กลิสต์ ขั้นตอนทบทวนพันธกรณี นโยบายการมีส่วนร่วม ขั้นตอนการจัดเก็บถาวร และบันทึกการฝึกอบรม |
| โปรแกรม OpenChain ISO/IEC 18974 | เอกสารโปรแกรมที่ NextPDF จัดทำ | นโยบายความมั่นคงปลอดภัยของโอเพนซอร์ส คำตอบในเช็กลิสต์ และบันทึกการฝึกอบรม |
การเข้าถึงได้และความสอดคล้อง
หัวข้อที่มีชื่อว่า “การเข้าถึงได้และความสอดคล้อง”| เอกสาร | ประเภท | ขอบเขต |
|---|---|---|
รายงานความสอดคล้องด้านการเข้าถึง (VPAT 2.5) | การประเมินตนเองที่ NextPDF จัดทำ | ผลลัพธ์ PDF ที่สร้างขึ้น เกณฑ์ที่ขึ้นอยู่กับเนื้อหาที่ผู้เขียนป้อนเข้ามาจะถูกบันทึกเป็นรายเกณฑ์ว่าขึ้นอยู่กับผู้เขียน |
| เช็กลิสต์เกณฑ์ที่ตรวจด้วยมือของ ACR | แผ่นงานที่ NextPDF จัดทำ | ขั้นตอนการตรวจด้วยมือและผลลัพธ์ปัจจุบันเป็นรายเกณฑ์ เกณฑ์ที่ต้องมีรอบการอ่านด้วยเทคโนโลยีสิ่งอำนวยความสะดวกจะถูกกำกับไว้เช่นนั้น |
| ดัชนีหลักฐานความสอดคล้อง | ดัชนีที่ NextPDF จัดทำ | หลักฐานความสอดคล้องที่ตรวจสอบได้ด้วยเครื่อง แต่ละรายการบันทึกโปรไฟล์ เวอร์ชันตัวตรวจสอบที่ตรึงไว้ คลังเอกสาร และคำสั่งทำซ้ำ |