Escenario: la SBOM de la app de Transportes Marea

La política dice qué hacer con un aviso de gravedad crítica: si la corrección no existe, esa versión no se publica. El boletín cruza los avisos con el SBOM por referencia de componente, pero el componente afectado puede no ser uno de los que el equipo eligió directamente.

La política manda a revisión jurídica un tipo de licencia de copyleft de red y la licencia sin afirmar. En este SBOM hay un componente de cada tipo, pero solo uno es del primero.

La política fija el criterio de abandono: sin versión publicada en los 24 meses anteriores al corte, o proyecto archivado. Cuenta con la fecha de corte del encargo y no con la fecha de hoy de tu calendario.

Todo componente de una función crítica debe tener un proveedor con contrato que incluya aviso de vulnerabilidades. La política lista cuáles son las funciones críticas de la empresa; no todas las funciones del SBOM lo son.

El boletín trae otro aviso de gravedad Crítica sobre un componente que cuelga del marco móvil, y para ese sí hay corrección disponible. La política distingue los dos casos. El gerente quiere saber qué le recomiendas para el componente cifrado-local.