Qué es un SBOM y qué no es

Un SBOM es una lista anidada de los componentes que lleva un producto: nombre, versión, proveedor y las relaciones de inclusión entre ellos. La comparación habitual es la lista de ingredientes de un alimento: dice qué contiene, no si hace daño. Quien tiene la lista puede comparar cada ingrediente con los avisos que vayan saliendo.

Un SBOM no es un informe de vulnerabilidades, ni el resultado de una prueba de intrusión, ni una promesa de seguridad. Es la materia prima de esas tres cosas.

Lo que el equipo escribe a mano es corto: las dependencias directas. Al resolverlas, cada una trae las suyas, y esas a su vez otras: son las transitivas. Un SBOM las muestra todas y marca la relación, porque un aviso sobre un componente profundo no aparece en el manifiesto.

Abre la tabla inventario. La columna arrastrado_por dice qué componente incluyó a cada transitiva.

Compara la tabla manifiesto (lo que el equipo declaró) con inventario (lo que el producto lleva de verdad). La diferencia entre las dos es la superficie que nadie eligió y que, sin SBOM, nadie vigila.

La fila ceniza-codec 1.0.7 del inventario afirma un hecho: ese componente, en esa versión, está dentro del producto. No afirma que tenga una vulnerabilidad, ni que el código afectado se ejecute en este producto. Eso se resuelve después, con una base de avisos y con el contexto de uso.