de lista de materiales de software (SBOM)

Un SBOM (Lista de materiales de software) es un inventario completo de todos los componentes de software, bibliotecas y dependencias de terceros o de código abierto en su aplicación. Es fundamental porque le brinda la visibilidad necesaria para identificar software desactualizado y vulnerabilidades conocidas, verificar el cumplimiento de licencias y gestionar el riesgo en toda su cadena de suministro de software. Piense en ello como una lista detallada de ingredientes para su software.

Las directrices de MAS TRM exigen que las instituciones financieras evalúen y supervisen continuamente la postura de seguridad de los proveedores externos y del software. Un escáner de SBOM proporciona la visibilidad a nivel de componente necesaria para identificar dependencias vulnerables u obsoletas en su cadena de suministro de software, demostrar una gestión de riesgos continua a los auditores y mantener pruebas de la integridad del software en toda su pila tecnológica.

Aunque Singapur no exige actualmente la producción de SBOM de la misma forma que la Orden Ejecutiva 14028 de EE. UU., la dirección normativa es clara. La Ley de Ciberseguridad modificada amplía la supervisión a los sistemas de terceros y en la nube. MAS TRM hace hincapié en la gestión continua de riesgos de terceros. La marca Cyber Trust espera cada vez más una higiene demostrable de la cadena de suministro de software. Adoptar el escaneo de SBOM garantiza que su organización se mantenga al día con estas expectativas normativas cada vez más estrictas.

La marca Cyber Trust evalúa las prácticas de ciberseguridad de una organización en relación con su perfil de riesgo, incluida la forma en que gestiona los riesgos de terceros y de la cadena de suministro de software. Mantener un inventario de software actual y preciso con las vulnerabilidades identificadas demuestra el tipo de gestión de riesgos proactiva que espera el marco de certificación. El escaneo de SBOM de Blacklock proporciona este inventario bajo demanda, con informes listos para auditorías.

El escaneo de SBOM identifica bibliotecas obsoletas, componentes con CVE conocidos y paquetes con restricciones de licencia u obligaciones de cumplimiento, lo que le brinda visibilidad de los riesgos en todas las dependencias de su software. Esta visibilidad es especialmente valiosa para empresas SaaS, empresas de tecnología financiera y organizaciones en sectores regulados donde una sola dependencia vulnerable podría comprometer los datos de los clientes o la disponibilidad del servicio.

Los marcos clave incluyen: la Orden Ejecutiva 14028 de EE. UU. (SBOM requerido para el software vendido a agencias federales de EE. UU.), la Sección 524B de la FDA de EE. UU. (SBOM para dispositivos médicos conectados), PCI DSS v4.0 (inventario de componentes personalizados y de terceros), la Ley de Ciberresiliencia de la UE (SBOM en la documentación técnica) y las Directrices del ACSC para el desarrollo de software (recomienda la provisión de SBOM a los clientes). En Singapur, aunque no existe un mandato directo de SBOM, los requisitos de riesgo de terceros de MAS TRM y la evaluación basada en el riesgo de la marca Cyber Trust se alinean con el SBOM como práctica de apoyo.

Equipos de desarrollo, propietarios de productos, profesionales de la seguridad, ingenieros de DevOps, equipos de compras y responsables de cumplimiento. Cualquier persona responsable de saber qué contiene su software y si esos componentes son seguros, tienen las licencias adecuadas y están actualizados.

Nuestra herramienta analiza las bibliotecas y las versiones de paquetes compatibles en su base de código comparándolas con bases de datos de vulnerabilidades públicas, como la base de datos nacional de vulnerabilidades (NVD). Identifica las vulnerabilidades en función de las versiones de los componentes compatibles y te proporciona recomendaciones prácticas para priorizar y mitigar los riesgos.

El escáner analiza las bibliotecas y las versiones de los paquetes de su base de código comparándolas con bases de datos públicas de vulnerabilidades, incluida la National Vulnerability Database (NVD). Muestra los identificadores CVE, los niveles de gravedad y las puntuaciones CVSS de cada componente afectado, junto con un contexto práctico para ayudar a su equipo a priorizar la corrección.

Para cada componente de su SBOM, Blacklock muestra tanto la versión que está ejecutando actualmente como la última versión disponible. Esto facilita la identificación de prioridades de actualización y garantiza que su software de producción utilice las versiones más actuales y seguras de sus dependencias.

Recomendamos realizar escaneos después de cada cambio importante en el código o actualización de dependencias, y programar escaneos periódicos incluso durante periodos de baja actividad de desarrollo. El escaneo continuo le permite adelantarse a las vulnerabilidades recién descubiertas y garantiza que su SBOM siga siendo un registro preciso y actualizado de la composición de su software.

El escaneo de SBOM analiza los componentes, las bibliotecas y las dependencias de terceros de su software antes de la implementación, identificando los riesgos vinculados a paquetes específicos. El escaneo de vulnerabilidades examina los sistemas implementados en un entorno real, detectando configuraciones incorrectas, puertos abiertos y debilidades explotables. Ambos son complementarios: el escaneo de SBOM protege la cadena de suministro de su código, mientras que el escaneo de vulnerabilidades protege su infraestructura en ejecución.

La mayoría de los proyectos pequeños y medianos se completan en pocos minutos. Las bases de código más grandes con árboles de dependencias extensos pueden tardar más, pero el proceso está diseñado para minimizar las interrupciones en su flujo de trabajo de desarrollo.

El escaneo de SBOM se factura por repositorio mediante una suscripción mensual o anual. Puede adquirir un plan directamente desde su cuenta de Blacklock y ampliarlo añadiendo repositorios a medida que crezcan sus necesidades.