Lista de materiales de software leída por inteligencia

Una lista de materiales de software, o SBOM, es el inventario de los componentes que lleva un producto: nombre, versión, un identificador único (muchas veces un Package URL, que empieza por pkg:) y de qué otro componente cuelga cada uno. Los formatos más usados son CycloneDX y SPDX. La guía de elementos mínimos de la NTIA (2021) añade dos datos del documento: quién lo generó y cuándo.

Para inteligencia, el SBOM es la manera de pasar de «salió un aviso sobre el componente X» a «¿lo tenemos?» sin esperar a que el proveedor conteste. Pero tiene un límite: dice que el componente está dentro, no que la parte vulnerable se use ni que alguien pueda alcanzarla.

Abre la consola y ejecuta SELECT * FROM sbom_documento y SELECT * FROM componentes. Para cruzar un SBOM con un aviso hacen falta, como mínimo, el nombre y la versión de cada componente. Un componente sin versión no se puede descartar ni confirmar ante ningún aviso: queda como una pregunta abierta para el proveedor. Fíjate también en el purl: cuando falta la versión, el identificador no termina en @ y un número.

Ejecuta SELECT * FROM aviso. Un mismo componente puede aparecer dos veces en un SBOM: una porque el equipo lo incluyó a propósito y otra porque viene dentro de otro componente. La copia directa suele estar al día porque alguien la vigila; la transitiva queda en la versión que eligió el autor del componente que la trae.

Por eso no basta con buscar el nombre y mirar la primera fila: hay que comparar cada copia con el rango del aviso y seguir la columna incluido_por hasta el componente directo, que es lo que el proveedor tendrá que actualizar.

Ejecuta SELECT * FROM despliegue. Un SBOM describe una versión concreta del producto en una fecha concreta. Si el producto cambió después, el SBOM sigue siendo un dato, pero viejo: puede listar componentes que ya no están o faltar los que entraron.

Con lo que tienes, la cooperativa no puede afirmar ni descartar que su aplicación esté afectada: el SBOM es de otra versión y el aviso solo aplica con una condición que depende de cómo usa el producto ese componente. Quien puede responder es el proveedor, y la pregunta tiene que ser concreta.