Estados Unidos y sus aliados exigen ahora poder verificar si un componente de software fue alterado, no solo saber que existe
La actualización agrega datos que antes no eran obligatorios, como la huella criptográfica y la firma de cada componente, lo que permite verificar no solo qué código se usa, sino si ese código fue alterado. Cinco años después de la primera versión, el estándar mínimo para exigir transparencia a un proveedor de software subió de nivel. La pregunta para cualquier organización que compra software deja de ser si el proveedor entrega un inventario de componentes: pasa a ser si ese inventario alcanza el nuevo nivel de detalle.
30 de julio de 2026
La señal
Estados Unidos y trece países aliados actualizaron, cinco años después de la primera versión, los elementos mínimos que debe incluir un inventario de componentes de software (SBOM), sumando datos como la huella criptográfica y la firma de cada componente, que antes no eran obligatorios.
El supuesto que se rompe
Se asumía que saber qué componentes de código abierto usa un proveedor era suficiente para evaluar el riesgo de la cadena de suministro de software. El nuevo estándar exige además poder verificar si ese componente fue alterado.
Qué observar
Si los proveedores de software de la organización ya pueden entregar un inventario de componentes con el nivel de detalle que exige esta actualización, o si siguen operando con el estándar de hace cinco años.