Escaneo de lista de materiales de software (SBOM)

Una lista de materiales de software (SBOM) es un inventario detallado de todos los componentes de software, bibliotecas y dependencias de código abierto y de terceros de su aplicación. Es fundamental identificar el software desactualizado y sus vulnerabilidades relacionadas, garantizar el cumplimiento de los requisitos de licencia y mitigar los riesgos en las cadenas de suministro de software.

Orden Ejecutiva 14028 de Ciberseguridad del Gobierno de los Estados Unidos
‍Requiere las organizaciones deben enviar una SBOM para cada producto vendido a las agencias del gobierno federal de EE. UU.

‍FDA (Administración de Alimentos y Medicamentos) de EE. UU.
‍Sección 524B de la Ley FD&C ahora exige a los fabricantes de ciertos «ciberdispositivos» (dispositivos médicos con software y conectividad a Internet) que incluyan una SBOM para los componentes de software comerciales, de código abierto y listos para usar de sus dispositivos.

‍PCI DSS (estándar de seguridad de datos para la industria de tarjetas de pago) v4.0 y superior
‍Incluye provisiones alineado con el uso de SBOM. Por ejemplo:
6.3.2: Las organizaciones deben mantener un inventario de componentes de software personalizados y de terceros
6.3.3: El software debe mantenerse actualizado mediante parches de seguridad
‍
‍CRA de la UE (Ley de ciberresiliencia)
‍Requiere fabricantes de productos digitales, incluidos sus distribuidores o importadores asociados, que venden en la UE para incluir una SBOM de alto nivel al presentar la documentación técnica de sus productos.

‍Centro Australiano de Ciberseguridad (ACSC) Pautas para Desarrollo de software
‍Asesora a los desarrolladores de software para proporcionar a sus clientes una lista de materiales de software.

Cualquier persona que necesite un inventario detallado de los componentes de software y las vulnerabilidades asociadas. Esto incluye a los equipos de desarrollo de software, propietarios de productos, equipos de seguridad, DevOps, DevSecOps, compras y cumplimiento.

Blacklock admite la integración con Github, lo que permite un acceso seguro y sin problemas a su repositorio de código. Puedes actualizar o eliminar el repositorio en cualquier momento.

Nuestra herramienta analiza las bibliotecas y las versiones de paquetes compatibles en su base de código comparándolas con bases de datos de vulnerabilidades públicas, como la base de datos nacional de vulnerabilidades (NVD). Identifica las vulnerabilidades en función de las versiones de los componentes compatibles y te proporciona recomendaciones prácticas para priorizar y mitigar los riesgos.

Nuestra herramienta muestra las versiones actuales y más recientes de cada componente de su SBOM. Esto te permite determinar fácilmente las prioridades de actualización y asegurarte de que estás usando las versiones más seguras y actualizadas de tus dependencias.

Recomendamos realizar análisis con regularidad, especialmente después de actualizar la aplicación o sus dependencias. El análisis continuo garantiza mantenerse a la vanguardia de las vulnerabilidades emergentes y mantener una cadena de suministro de software segura.

El escaneo de SBOM se centra en analizar los componentes de software, las dependencias y los paquetes de código abierto y de terceros antes de la implementación. Identifica las vulnerabilidades vinculadas a paquetes o bibliotecas específicos. El análisis de vulnerabilidades, por otro lado, examina el software o el propio sistema implementado en un entorno activo. Detecta errores de configuración, vulnerabilidades en la capa de aplicación y vulnerabilidades explotables en puertos abiertos. En conjunto, proporcionan seguridad al software en diferentes etapas del ciclo de vida de desarrollo e implementación.

La duración de un escaneo de SBOM depende del tamaño y la complejidad de su proyecto. Para proyectos pequeños y medianos, los escaneos suelen completarse en unos minutos. Los proyectos más grandes con amplias dependencias pueden tardar más. Dicho esto, el proceso está diseñado para ser eficiente y minimizar los retrasos en el flujo de trabajo.

El servicio se puede comprar a través de la página Comprar plan desde su cuenta de Blacklock. El precio es por repositorio en un plan mensual o anual. Elija el plan que mejor se adapte a sus necesidades y presupuesto actuales. A medida que tu organización crezca, puedes ampliarla fácilmente y agregar más repositorios según sea necesario.