Demasiados secretos en el código: las nuevas reglas de SBOM obligan a entregarlos a las autoridades

Una lista ordinaria de componentes de un programa se convierte en un pasaporte completo de su origen. La Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) junto con las agencias de otros 17 países actualizó los requisitos mínimos para el listado de componentes de software, conocido como SBOM.

Ese listado muestra de qué bibliotecas, módulos y dependencias consta un programa. Desarrolladores y clientes pueden comprobar rápidamente si el producto incluye un componente vulnerable, quién lo creó y qué versión está instalada. La nueva guía reemplaza al documento de 2021, que dejó de reflejar las capacidades de las herramientas modernas de análisis de software.

El cambio principal se refiere a la exhaustividad de los datos. Ahora el SBOM debe abarcar todos los componentes del producto, incluidas las dependencias anidadas. Ya no existe un límite de profundidad. Si una biblioteca utiliza otra y esta a su vez enlaza con una tercera, en el listado debe seguirse toda la cadena. Este enfoque permitirá a las empresas reducir con más confianza el riesgo después de que se publique una nueva vulnerabilidad, en lugar de perder tiempo verificando manualmente cada producto.

Los autores del documento añadieron diez campos nuevos. Entre ellos: la firma digital del creador del SBOM, el nombre y la versión del formato, las condiciones bajo las cuales se elaboró el listado, el nombre y la versión de la herramienta utilizada, la versión del propio documento, la suma de comprobación del componente, el algoritmo para calcularla y la información sobre la licencia. La firma ayudará a confirmar el origen del archivo y a detectar modificaciones, y la suma de comprobación permitirá verificar la integridad del componente de software.

Requisitos específicos se refieren a datos desconocidos u ocultos. El creador del SBOM debe indicar explícitamente qué datos no dispone y qué información decide no revelar intencionadamente. Las organizaciones podrán considerar el listado como incompleto si el proveedor oculta información crítica sobre la composición del producto. Para los componentes de origen incierto también se requerirá una etiqueta explícita.

La nueva versión extiende los requisitos básicos a programas de código abierto, servicios en la nube y sistemas de inteligencia artificial. Para productos en la nube y la IA pueden ser necesarios datos adicionales; sin embargo, los autores aún no los han incluido en el mínimo común. Los cambios frecuentes en los servicios en la nube siguen siendo un problema aparte, ya que se recomienda publicar un SBOM para cada versión o compilación del programa.

El documento también consagra el procesamiento automático como principio obligatorio. Se aconseja a las organizaciones aceptar los formatos abiertos extendidos SPDX y CycloneDX y abandonar las versiones obsoletas. El procesamiento automático permitirá correlacionar la composición del software con bases de datos de vulnerabilidades y avisos de seguridad en minutos, en lugar de verificarlos manualmente.

Las normas actualizadas Las normas actualizadas no introducen obligaciones legales, pero establecen una guía general para desarrolladores, compradores y operadores de software. Los autores esperan que los requisitos unificados faciliten el intercambio de datos y aceleren la respuesta a vulnerabilidades en las cadenas de suministro.