Sala 3 · La lista de componentes y lo que dice el proveedor

Un SBOM útil lleva, además de la lista de componentes, datos del propio documento: quién lo elaboró y cuándo. Sin la marca de tiempo no se sabe si describe el producto de hoy o el de hace un año, y sin el autor no se sabe a quién reclamar. Antes de cruzar nada con avisos conviene comprobar que el documento cumple lo mínimo.

Un aviso de componente se escribe como un rango de versiones: desde una incluida hasta la que lo corrige, que ya no está afectada. Para saber si el producto está alcanzado hay que comparar la versión que el SBOM declara instalada contra ese rango, componente por componente. Que el componente aparezca nombrado en un aviso no basta: la versión puede estar antes del rango o ya corregida.

Una declaración de no afectado se lee contrastando dos columnas: la justificación que el proveedor eligió y la evidencia que adjunta. Si la evidencia afirma lo contrario de lo que la etiqueta dice, la declaración no se puede aceptar tal cual, por bien formada que esté. Las dos primeras justificaciones se comprueban contra la lista de componentes y la compilación; las demás dependen de un análisis o de una medida que exista.

Una declaración VEX se refiere a una versión concreta del producto. Si el proveedor la emitió para una versión anterior, no describe lo que Payandé tiene instalado: el código pudo cambiar, la compilación pudo incluir lo que antes excluía. El analista no puede usarla para retirar un hallazgo del producto actual; debe pedir una declaración nueva.

Solo un no afectado bien formado y aplicable permite retirar un hallazgo de la cola. Los demás estados cambian el siguiente paso pero no retiran nada: una investigación abierta mantiene el hallazgo visible con fecha para reclamar respuesta, y una declaración incompleta, contradicha o de otra versión se devuelve al proveedor. La cola real es lo que sobrevive a ese filtro.