ITI: SBOM puede jugar un papel útil en la seguridad del software
WASHINGTON – Como los gobiernos buscan cada vez más abordar los desafíos de seguridad de la cadena de suministro de software, muchos están considerando los requisitos regulatorios, que pueden incluir una factura de software de materiales (SBOM), o un inventario de los componentes que componen el software.
Hoy, la asociación mundial de comercio tecnológico ITI publicó un nuevo documento de posición (se abre en una pestaña nueva), que proporciona información sobre SBOMs y describe cómo los gobiernos deben abordar los requisitos reglamentarios que pueden incluir un SBOM. Un SBOM es un componente de un programa amplio de gestión de riesgos de la cadena de suministro de software y puede aumentar la transparencia del software para la gestión de la vulnerabilidad y los fines de adquisición.
ITI subraya que los SBOM no deben considerarse una solución independiente de seguridad del software, sino que deben considerarse como una parte de un programa holístico de gestión del riesgo de cadena de suministro de software. ITI también observa que hay desafíos prácticos relacionados con un SBOM que todavía se está abordando. Por ejemplo, la Agencia de Seguridad de la Ciberseguridad e Infraestructura de los Estados Unidos (CISA) lanzó recientemente grupos de trabajo para definir los elementos de SBOM y el alcance de los programas y plataformas en la nube. La ITI insta a los encargados de formular políticas a que se abstengan de promulgar los requisitos de la SBOM en una ley sin una participación más significativa de los interesados.
“A medida que los responsables de la formulación de políticas mundiales consideran formas de promover cadenas seguras de suministro de software, es importante que trabajen con la industria para comprender las esferas en que las prácticas de la SBOM son maduras, así como las esferas en que se requieren nuevos progresos. Los SBOM son una herramienta importante para mejorar la transparencia del software y deben formar parte de un programa integral de gestión del riesgo de cadena de suministro. El nuevo análisis de ITI ofrece factores que los responsables de las políticas deben considerar en enfoques de seguridad de la cadena de suministro de software, incluyendo cualquier requisito de SBOM”, dijo el Director Principal de Confianza, Datos y Tecnología de ITI Courtney Lang.
Para implementar y utilizar eficazmente un SBOM, ITI insta a los gobiernos a:
- Crear una estrategia SBOM junto con el sector privado;
- Exigir a los organismos que evalúen la capacidad actual para consumir un SBOM y elaborar estrategias de aplicación;
- Iniciar programas piloto para identificar retos prácticos y determinar cómo se pueden abordar esos desafíos; y
- Desarrollar mecanismos para incentivar la adopción del SBOM, incluso mediante instrumentos existentes como contratos y sistemas de gestión de activos.
Leer el documento de posición completo de ITI sobre SBOMs Aquí. (se abre en una pestaña nueva).
###
Related News & Analysis
Por qué un «interruptor de apagado» de IA no es una solución universal
AI es Supercarging Cyber Threats. Los defensores necesitan nuevas herramientas y asociaciones.
