Elementos mínimos de un SBOM útil

La guía de elementos mínimos de la NTIA (2021) pide siete datos base. Cinco son por componente: el nombre del proveedor, el nombre del componente, la versión, otros identificadores únicos (por ejemplo un Package URL) y la relación de dependencia. Dos son del documento: el autor de los datos del SBOM y la marca de tiempo. La tabla elementos_minimos los reúne.

Empieza por lo que el documento dice de sí mismo: la tabla metadatos_sbom.

Cruzar un componente con una base de avisos exige nombre y versión: los avisos se escriben como rangos de versiones. Un componente sin versión no se puede descartar ni confirmar.

Revisa componentes_sbom y mira la columna version.

El identificador único evita confundir dos componentes con el mismo nombre en ecosistemas distintos. Un Package URL como pkg:pypi/nombre@version dice el ecosistema, el nombre y la versión de una vez. Sin él, la herramienta que cruza avisos adivina por el nombre.

Cuenta las filas de componentes_sbom cuya columna identificador está vacía. Una que trae un identificador sin versión no cuenta como vacía: cuéntala aparte en tu cabeza, porque es otro defecto.

Un documento cumple el mínimo cuando trae los siete datos para todos sus componentes. Una lista de nombres y versiones sin relaciones de dependencia deja a quien lee sin saber cuál componente trajo a cuál, y por tanto qué hay que actualizar para quitar uno profundo.