El Cyber Resilience Act (CRA) y su impacto en la visibilidad del software
El 11 de septiembre de 2023, la Directiva de Resiliencia Cibernética (CRA) de la Unión Europea establecerá un nuevo requisito para las empresas de software: notificar a las autoridades competentes en un plazo de 24 horas si se ha descubierto una vulnerabilidad en su producto que está siendo explotada activamente. Este cambio representa un paso significativo hacia una mayor transparencia y control en la cadena de suministro del software.
El desafío de la notificación temprana
La notificación temprana es crucial para mitigar riesgos y proteger la seguridad de los productos. Sin embargo, para las empresas que utilizan software de múltiples proveedores, el desafío no radica solo en la generación de un Software Bill of Materials (SBOM), sino en garantizar que este documento refleje con precisión el código subyacente.
El papel de FossID en la verificación de la cadena de suministro
FossID, una empresa especializada en análisis de composición de software y transparencia de la cadena de suministro, ha desarrollado soluciones que proporcionan una capa adicional de verificación a los SBOM. Aaron Branson, Chief Growth Officer de FossID, explica que la confiabilidad de la información es esencial: «Un SBOM solo es útil en la medida en que una organización puede confiar en la información que contiene».
📌 Puntos Clave
- El SBOM debe ser confiable y verificable.
- FossID ofrece análisis de código fuente para verificar la precisión del SBOM.
- La cadena de suministro puede ser compleja, con múltiples proveedores y dependencias.
La complejidad de las relaciones de proveedor
Las relaciones de proveedor pueden añadir otra capa de complejidad a la visibilidad. Para las grandes empresas, la utilidad de un SBOM puede depender de la consistencia en la evaluación de la información de diferentes proveedores y su integración en un registro común. El análisis de composición de software puede desempeñar un papel más amplio en este proceso, examinando el software en sí mismo para identificar componentes, dependencias, licencias y vulnerabilidades.
La evolución de la gestión de SBOM
La gestión de SBOMs se está transformando de una tarea de generación a una parte integral del proceso de gestión de la cadena de suministro del software. Katie Norton, Senior Research Manager de IDC, señala la importancia de procesos flexibles: «Las empresas necesitan procesos que puedan adaptarse a las diferencias entre los proveedores, las exigencias regulatorias y las revisiones internas sin imponer el mismo flujo de trabajo a todas las organizaciones».
Branson ve esto como un cambio en el propósito mismo de la gestión de SBOMs. «La pregunta ahora es: ¿Podemos verificar continuamente la cadena de suministro de software que representa el SBOM?»
La importancia de la verificación continua
La verificación continua del software es crucial para mantener una comprensión confiable de la información detrás del inventario de software de una organización. El análisis de código fuente de FossID proporciona una forma de comprobar la precisión del SBOM contra el software subyacente. Esta evolución representa un hito en la gestión de la cadena de suministro del software y la resiliencia cibernética.
💡 La Opinión de ExploxTV
La gestión de SBOMs se está transformando en una parte integral de la resiliencia cibernética y la seguridad de las cadenas de suministro. La verificación continua y la precisión de la información son fundamentales para mantener un control eficaz sobre el software utilizado en productos y sistemas críticos. FossID y otras soluciones de análisis de código fuente están desempeñando un papel crucial en esta evolución, proporcionando herramientas para garantizar la transparencia y la confiabilidad en la cadena de suministro del software.