Comunicados del proyecto y de terceros

El aviso de un fabricante dice «no estamos afectados» pero no da versiones del componente, ni SBOM, ni una declaración de estado. Eso es una afirmación, no evidencia: no se puede comprobar contra el inventario de la empresa. Lo que sí se puede hacer es pedir la evidencia que sí se verifica.

Lee aviso-fabricante.txt y piensa qué le pedirías al fabricante.

El tiempo entre fuentes importa: quien actúa sobre el aviso de un tercero que llegó tarde o que cita una versión vieja del comunicado se equivoca de alcance. Todas las horas de los textos están en UTC.

Mide las horas entre la revisión 1 del comunicado del proyecto y el aviso del fabricante (comunicado-proyecto.txt y aviso-fabricante.txt).

Los comunicados se revisan. La primera versión de un aviso suele ser incompleta, y quien copió el alcance de la primera queda con un inventario corto. Un analista siempre lee el historial de revisiones y se queda con la última, fechada y firmada por el proyecto.

El comunicado también dice a qué versión volver. Esa es la recomendación del dueño del proyecto y es la que se usa en el plan; los terceros pueden ofrecer paquetes reconstruidos, pero la versión de destino la fija el proyecto.

Un mensaje anónimo afirma que otra versión también estaría afectada, sin enlaces ni listados. No hay que ignorarlo ni creerlo: se registra como no verificado, se compara si es barato (por ejemplo, mirando la procedencia de esa versión) y se pregunta al proyecto. El alcance del plan no cambia sin evidencia.