Software Bill of Materials
Un SBOM (lista de materiales de software) enumera todas las dependencias (directas y transitivas) con sus versiones, licencias e información de vulnerabilidades.
Propósito
Conocer el panorama completo de dependencias para respaldar la respuesta a vulnerabilidades y las auditorías de cumplimiento.
Mecanismo
Formatos: SPDX/CycloneDX. Describen nombres de componentes, versiones, proveedores, licencias y relaciones de dependencia; las herramientas de generación escanean gestores de paquetes y artefactos de compilación. Al cruzar el SBOM con bases de datos de vulnerabilidades se localizan de inmediato los componentes afectados.
Casos de uso
- Seguimiento de dependencias
- Respuesta a vulnerabilidades
- Cumplimiento normativo