SBOM para proveedores industriales

Un SBOM dice qué componentes hay. Una base de datos de vulnerabilidades dice qué fallos tiene cada componente. Cruzarlos produce una lista larga de coincidencias, muchas de las cuales no afectan al producto: la función dañada no se compila, o no se alcanza desde ninguna entrada.

Una declaración VEX (Vulnerability Exploitability eXchange) es el documento del proveedor que dice, por vulnerabilidad y por producto, si está afectado, no afectado, corregido o en análisis, y por qué. Evita que el cliente corra a parchear lo que no hace falta y que se le escape lo que sí.

Los siete datos mínimos de un SBOM (proveedor, componente, versión, otros identificadores, dependencias, autor, fecha) existen para que el comprador pueda reconocer cada pieza. Si falta el proveedor, no se sabe a quién pedir el parche. Lee el SBOM de la pasarela y compáralo con la lista de mínimos de la empresa.

Una declaración «no afectado» sin razón no vale: el cliente no puede comprobarla. El estándar CycloneDX prevé justificaciones con nombre. Mira la declaración de la vulnerabilidad LAB-2026-002 y lee la justificación que da el proveedor.

Un estado «afectado» no es una emergencia por sí solo: depende de la acción que lo acompaña. Pero es lo que el cliente quiere ver resumido. Cuenta cuántas declaraciones del VEX tienen ese estado.

Palosanto depende de proveedores de componentes y no todos entregan SBOM. El borrador de solicitud tiene cuatro puntos. Cuando un proveedor se niega o responde con un listado incompleto, la empresa tiene que decidir qué pide y qué hace mientras tanto.