Cadena de suministro de software

Una cadena de suministro de software son los componentes, bibliotecas, herramientas y procesos utilizados para desarrollar, construir y publicar un artefacto de software . ^{[ 1 ]}

Una lista de materiales de software ( SBOM ) declara el inventario de componentes utilizados para construir un artefacto de software, incluyendo cualquier componente de software de código abierto y propietario . ^{[ 2 ] [ 3 ]} Es el análogo de software de la lista de materiales de fabricación tradicional, que se utiliza como parte de la gestión de la cadena de suministro . ^{[ 4 ]} Las SBOM son una estrategia para mejorar la transparencia en la cadena de suministro de software .

Los ataques a la cadena de suministro de software comprometen un componente inicial —como una biblioteca ampliamente utilizada, una herramienta de compilación o un canal de distribución— para afectar simultáneamente a todos los usuarios posteriores de dicho componente. Incidentes de gran repercusión, como el ataque a SolarWinds, ilustraron la magnitud y el alcance de estos ataques. Los investigadores han catalogado la superficie de ataque en una taxonomía que abarca todas las etapas, desde la contribución al código fuente hasta la distribución del paquete, vinculando los vectores de ataque con incidentes reales y las medidas de seguridad correspondientes. ^{[ 5 ]}

Otro concepto importante en las cadenas de suministro de software es la procedencia: las certificaciones firmadas pueden registrar de dónde proviene un artefacto de software, qué código fuente y dependencias se utilizaron, y qué pasos en el proceso de compilación lo produjeron. Los marcos de procedencia como in-toto ayudan a los usuarios posteriores a verificar que una versión se compiló mediante un proceso esperado y ayudan a detectar manipulaciones entre la obtención del código fuente, la compilación y la distribución. ^{[ 6 ]}

Un SBOM permite a los desarrolladores asegurarse de que los componentes de software de código abierto y de terceros estén actualizados y respondan rápidamente a nuevas vulnerabilidades. ^{[ 7 ]} Los compradores y otras partes interesadas pueden utilizar un SBOM para realizar análisis de vulnerabilidades o licencias, que pueden utilizarse para evaluar y gestionar el riesgo en un producto. ^{[ 8 ] [ 9 ] [ 10 ]}

Si bien muchas empresas utilizan una hoja de cálculo para la gestión general de la lista de materiales (BOM), existen riesgos y problemas adicionales al escribir una lista de materiales de base de datos (SBOM) en una hoja de cálculo, como la imposibilidad de enriquecerla automáticamente con datos de vulnerabilidades o integrarla en cadenas de herramientas de seguridad. ^{[ 11 ]} La mejor práctica es que las SBOM se almacenen colectivamente en un repositorio que pueda formar parte de otros sistemas de automatización y al que puedan acceder fácilmente otras aplicaciones. ^{[ 12 ]}

Los estudios de transparencia en ciberseguridad, incluido TRACS 2025, identifican la disponibilidad de SBOM como uno de los criterios utilizados al comprar soluciones de seguridad de la información. ^{[ 13 ]} Sin embargo, no todos los productos de seguridad empresarial proporcionan SBOM disponibles públicamente. La investigación en ecosistemas de código abierto indica que los SBOM impulsados ​​por políticas siguen siendo raros en la práctica: un estudio a gran escala encontró que solo alrededor del 0,56 % de los repositorios populares de GitHub contienen SBOM creados de acuerdo con políticas formales de seguridad o cumplimiento. ^{[ 14 ]} Además, según otra investigación, menos de la mitad de los proyectos de software probados incluyen SBOM en sus versiones, y muchos de esos SBOM están incompletos o no se ajustan completamente a los estándares establecidos. ^{[ 15 ]} En el ecosistema Java , un estudio que evaluó seis herramientas de generación de SBOM encontró que con frecuencia producen resultados inexactos, incluidas listas de dependencia infladas que informan sobre más componentes realmente utilizados. ^{[ 16 ]} Al mismo tiempo, las encuestas a nivel corporativo informan que aproximadamente entre el 60 y el 76  % de las empresas requieren SBOM de los proveedores o han integrado SBOM en los procesos de gestión de riesgos de adquisiciones y cadena de suministro . ^{[ 17 ]}

La Ley de Transparencia y Gestión de la Cadena de Suministro Cibernética de 2014 ^{[ 18 ]} fue un proyecto de ley estadounidense fallido que proponía exigir a las agencias gubernamentales obtener listas de materiales (SBOM) para cualquier producto nuevo que adquirieran y para "cualquier software, firmware o producto en uso por el Gobierno de los Estados Unidos". Esta ley impulsó legislación posterior, como la " Ley de Mejora de la Ciberseguridad del Internet de las Cosas de 2017" ^{[ 19 ] [ 20 ].}

La Orden Ejecutiva 14028 del Presidente de los Estados Unidos , Joe Biden, sobre la mejora de la ciberseguridad de la nación , del 12 de mayo de 2021, ordenó al NIST y a la NTIA que establecieran directrices para la gestión de la cadena de suministro de software, incluyendo los SBOM. ^{[ 21 ]} La NTIA describe tres categorías amplias de elementos mínimos de los SBOM: campos de datos (información básica sobre cada componente de software), soporte de automatización (la capacidad de generar SBOM en formatos legibles por máquina y por humanos ) y prácticas y procesos (cómo y cuándo las organizaciones deben generar los SBOM). ^{[ 22 ]} El requisito de "soporte de automatización" especifica la necesidad de "generación automática", que es posible con el uso de soluciones de Análisis de Composición de Software (SCA). ^{[ 23 ]}

• Lista de materiales criptográficos
• Ley de Resiliencia Cibernética – Legislación de la Unión Europea 
• El infierno de la dependencia
• Archivo manifiesto
• Compilaciones reproducibles
• Intercambio de datos de paquetes de software
• Cadena de herramientas de software