Terceros y licencias heredadas

Al comprar una empresa se hereda todo lo que ella ya había firmado o incorporado: contratos de proveedores con sus cláusulas y software con sus licencias. Ninguno de los dos se elige; vienen con la compra. Lo que sí se puede es leerlos antes de firmar para saber qué obligaciones o restricciones traen y quién tendrá que atenderlas.

Una licencia de software es el permiso con el que se usa un componente, con condiciones. Las licencias de la lista SPDX se nombran con identificadores como MIT, Apache-2.0 o GPL-3.0-only. Qué obliga cada una en cada uso es una pregunta jurídica: el analista identifica y prioriza, y Legal opina.

La regla del comprador es precisa: las licencias GPL y AGPL en un componente que se entrega a clientes o se ofrece como servicio a clientes pasan a revisión jurídica. Un componente con esas licencias que solo se usa por dentro no activa la regla; uno con una licencia permisiva, tampoco.

Abre componentes_del_portal y aplica la regla a la licencia y al uso a la vez.

La regla para proveedores críticos tiene dos condiciones que se cumplen a la vez: sin informe independiente vigente al corte (un SOC 2 o un certificado ISO/IEC 27001) y con contrato que vence en menos de 90 días. Esa mezcla obliga a decidir pronto si se renueva o se sustituye. El corte es el 31 de agosto de 2027.

Abre terceros_criticos, mira cuáles no tienen informe vigente y calcula cuántos días faltan para el vencimiento de cada contrato.

Un componente que nadie publica hace años no recibe correcciones de seguridad. No es lo mismo que un componente con una vulnerabilidad conocida: es más silencioso, porque cuando aparezca un problema no habrá quién lo arregle. La regla del comprador lo mide con la fecha de la última publicación: 24 meses o más al corte es «sin mantenimiento».

Calcula el límite a partir del corte, el 31 de agosto de 2027, y cuenta los componentes de componentes_del_portal que quedan por detrás.

Que un proveedor crítico no tenga informe independiente no demuestra que sea inseguro: demuestra que no hay prueba. El analista no da el servicio por malo ni por bueno. Pide al proveedor un informe o evidencia equivalente y, mientras tanto, mira qué datos maneja, qué dice el contrato sobre notificaciones y si existe una salida. Lo que dependa de su respuesta se trata en el plan de integración, salvo que ya exponga dinero o datos de forma incierta.