Cuando compras un automóvil sabes qué componentes tiene. Pero ¿sabes qué componentes contiene el software que utilizas diariamente?
Las aplicaciones modernas rara vez son construidas completamente desde cero. Los desarrolladores utilizan bibliotecas, frameworks, paquetes de código y componentes desarrollados por terceros.
Esto acelera enormemente el desarrollo, pero también introduce nuevos riesgos.
Una vulnerabilidad presente en una biblioteca utilizada por miles de aplicaciones puede afectar simultáneamente a organizaciones de todo el mundo.
Para conocer exactamente qué componentes contiene un programa existe el concepto de SBOM (Software Bill of Materials) o Lista de Materiales de Software.
Un SBOM funciona de forma similar a una lista de ingredientes. Permite conocer qué componentes, bibliotecas y dependencias forman parte de una aplicación.
Esta información resulta especialmente importante cuando aparece una vulnerabilidad crítica.
Supongamos que una empresa utiliza cientos de aplicaciones y aparece una vulnerabilidad en una biblioteca ampliamente utilizada. Sin un SBOM, los equipos de seguridad podrían tardar días o semanas en determinar qué sistemas están afectados.
Con un inventario actualizado, pueden identificar rápidamente qué aplicaciones contienen el componente vulnerable y priorizar las actualizaciones.
Los SBOM también ayudan a:
- Mejorar la gestión de vulnerabilidades.
- Conocer dependencias de terceros.
- Reducir riesgos en cadenas de suministro.
- Facilitar auditorías.
- Mejorar la transparencia del software.
Este último punto es especialmente importante porque los ataques a la cadena de suministro de software se han convertido en una amenaza cada vez más relevante.
Una organización puede tener excelentes controles internos y aun así quedar expuesta por una dependencia externa comprometida.
Tip Winxgo
No basta con tener un inventario de computadoras. Las organizaciones modernas también necesitan saber exactamente qué componentes de software están ejecutando.
¿Crees que en el futuro todas las aplicaciones empresariales deberán incluir obligatoriamente un SBOM?
Leave a Reply