CBOM explicado: La guía esencial de criptografía

Respuesta rápida: Una lista de materiales criptográficos (CBOM, por sus siglas en inglés) es un inventario estructurado de los activos criptográficos, algoritmos, claves, certificados y bibliotecas de una organización, similar a una lista de materiales de software. Es importante porque las organizaciones no pueden gestionar el riesgo, demostrar el cumplimiento ni planificar una migración de control de calidad para la criptografía si no tienen acceso a ella. Se recomienda crear una CBOM mediante un proceso de descubrimiento automatizado y continuo, en lugar de utilizar hojas de cálculo manuales o auditorías periódicas.

Puntos Clave

• Un CBOM cataloga algoritmos criptográficos, claves, certificados, bibliotecas y dependencias, del mismo modo que un SBOM cataloga componentes de software.
• Los sistemas de gestión de la configuración basados ​​en la nube (CBOM, por sus siglas en inglés) se presentan en cuatro tipos comunes: basados ​​en activos, basados ​​en aplicaciones, para toda la empresa e híbridos, cada uno de los cuales ofrece un alcance de visibilidad diferente.
• El NIST finalizó ML-KEM, ML-DSA y SLH-DSA el 13 de agosto de 2024; un CBOM es un requisito previo para saber dónde RSA y ECC aún necesitan ser reemplazados.
• El descubrimiento, el mantenimiento del inventario actualizado y la gestión de la complejidad en entornos híbridos son los tres mayores desafíos a los que se enfrentan las organizaciones al crear un CBOM (Mantenimiento Basado en la Computación).
• La utilidad de un CBOM depende de su actualidad; el descubrimiento continuo y automatizado supera con creces a las auditorías puntuales y a las hojas de cálculo manuales.

Por qué la visibilidad criptográfica es importante ahora

La criptografía es fundamental para la seguridad digital moderna. Desde la protección de sitios web y aplicaciones hasta la salvaguarda de datos y software empresariales confidenciales, las organizaciones recurren a las tecnologías criptográficas a diario. Las claves de cifrado, los certificados digitales, las bibliotecas criptográficas y los algoritmos trabajan en segundo plano para garantizar la confidencialidad, la integridad y la autenticidad en todos los sistemas y comunicaciones. La gestión y documentación de todos estos activos criptográficos es donde un CBOM se vuelve esencial.

A medida que las organizaciones amplían el uso de servicios en la nube, dispositivos IoT , metodologías DevOps y aplicaciones distribuidas, la cantidad de activos criptográficos que gestionan sigue creciendo. Si bien estos activos son fundamentales para la seguridad, a menudo se encuentran dispersos en diferentes equipos, plataformas y entornos, lo que dificulta su seguimiento y gestión eficaces.

Importancia creciente de la seguridad criptográfica

Las amenazas a la ciberseguridad son cada vez más sofisticadas, y los atacantes se centran cada vez más en las vulnerabilidades criptográficas, como certificados caducados, algoritmos débiles, claves expuestas e implementaciones de cifrado mal configuradas. Al mismo tiempo, las organizaciones deben cumplir con las normas y regulaciones de seguridad que exigen controles criptográficos sólidos y una gestión adecuada de los activos.

La aparición de la criptografía postcuántica ha añadido una nueva capa de complejidad. Muchas organizaciones están evaluando ahora dónde se utiliza la criptografía en sus entornos para identificar los sistemas que podrían verse afectados por futuros cambios criptográficos. Sin un inventario claro de los activos criptográficos, planificar y ejecutar estas transiciones puede resultar complicado.

¿Por qué las organizaciones necesitan visibilidad sobre sus activos criptográficos?

Muchas organizaciones saben que utilizan la criptografía de forma extensiva, pero pocas comprenden completamente dónde se utiliza, qué algoritmos se emplean, quién es el propietario de los activos específicos o cuándo deben renovarse los certificados y las claves. Como resultado, los equipos de seguridad suelen recurrir a hojas de cálculo, auditorías manuales o herramientas fragmentadas para gestionar los inventarios criptográficos.

La visibilidad limitada puede generar diversos problemas, como la caducidad inesperada de certificados, el uso continuado de algoritmos obsoletos, deficiencias en el cumplimiento normativo y mayores riesgos de seguridad. Cuando las organizaciones carecen de una visión centralizada de sus activos criptográficos, responder a las vulnerabilidades o planificar las actualizaciones criptográficas se vuelve más laborioso y requiere más recursos.

Disponer de un inventario completo de activos criptográficos ayuda a los equipos de seguridad a tomar decisiones informadas, reducir los riesgos operativos y mantener un mayor control sobre su infraestructura de seguridad.

¿Qué es un CBOM?

Una lista de materiales criptográficos (CBOM, por sus siglas en inglés) es un inventario estructurado que proporciona visibilidad de todos los activos criptográficos, algoritmos, claves, certificados, bibliotecas y dependencias criptográficas utilizados en las aplicaciones, sistemas e infraestructura de una organización. De forma similar a una lista de materiales de software (SBOM, por sus siglas en inglés), que enumera los componentes y dependencias del software, una CBOM cataloga los activos criptográficos, incluidos certificados, claves, algoritmos, bibliotecas criptográficas, protocolos e implementaciones de cifrado.

Consideremos el CBOM como un registro detallado del entorno criptográfico de una organización. Del mismo modo que una lista de ingredientes indica qué contiene un producto alimenticio, un CBOM indica dónde se utiliza la criptografía, qué algoritmos están implementados, qué certificados y claves están activos y si algún componente criptográfico puede representar riesgos de seguridad.

A medida que las organizaciones recurren cada vez más al cifrado para proteger datos confidenciales, asegurar las comunicaciones, autenticar usuarios y firmar software, mantener un inventario claro de activos criptográficos se vuelve esencial. Al crear un registro centralizado de estos activos, las organizaciones pueden simplificar las tareas de cumplimiento, mejorar la gestión de riesgos y prepararse mejor para futuras transiciones criptográficas, incluida la adopción de la criptografía postcuántica . Sin esa visibilidad, identificar algoritmos débiles, certificados caducados o sistemas afectados por nuevos requisitos de seguridad puede resultar difícil y laborioso.

CBOM ayuda a los equipos de seguridad a responder preguntas importantes como:

• ¿Dónde se utiliza la criptografía?
• ¿Qué algoritmos se implementan en todo el entorno?
• ¿Existen componentes criptográficos obsoletos o vulnerables?
• ¿Qué sistemas se verán afectados por los futuros cambios criptográficos, incluida la migración post-cuántica?

Componentes clave de un CBOM

Un CBOM normalmente contiene información sobre los elementos criptográficos utilizados en toda la organización. Si bien la estructura exacta puede variar, los componentes comunes incluyen:

• Algoritmos criptográficos: Detalles sobre algoritmos de cifrado, hash y firma digital como AES, RSA, ECC, SHA-256 y otros.
• Claves y certificados: Información sobre claves criptográficas y certificados digitales, incluyendo propiedad, uso, periodos de validez y ubicaciones de almacenamiento.
• Bibliotecas y proveedores criptográficos: Bibliotecas y marcos que proporcionan funcionalidad criptográfica, como por ejemplo: OpenSSL, Bouncy Castle, Microsoft CNG o servicios criptográficos nativos de la nube.
• Aplicaciones y sistemas: Las aplicaciones, servicios, dispositivos y componentes de infraestructura que dependen de la criptografía.
• Dependencias y relaciones: Mapas que muestran cómo están conectados los activos criptográficos, lo que ayuda a las organizaciones a comprender el impacto de las actualizaciones, las vulnerabilidades o los esfuerzos de migración.
• Información sobre riesgos y cumplimiento normativo: Metadatos que identifican algoritmos obsoletos, tamaños de clave débiles, infracciones de políticas o activos que requieren corrección.

En qué se diferencia un CBOM de un SBOM y un HBOM

Si bien CBOM comparte similitudes con otros marcos de listas de materiales, su enfoque es mucho más específico.

Una lista de materiales de software (SBOM, por sus siglas en inglés) proporciona una lista de los componentes, bibliotecas y dependencias de software que conforman una aplicación. Ayuda a las organizaciones a comprender qué software está presente e identificar vulnerabilidades en componentes de terceros.

Una lista de materiales de hardware (HBOM, por sus siglas en inglés) se centra en los componentes físicos del hardware, como procesadores, módulos de memoria, dispositivos de red y sistemas embebidos.

Por otro lado, un CBOM se centra exclusivamente en los activos y dependencias criptográficas. En lugar de rastrear paquetes de software o componentes de hardware, rastrea las tecnologías de cifrado que protegen los datos y los sistemas.

En términos sencillos, un SBOM indica el software que se tiene, un HBOM el hardware y un CBOM la forma en que se implementan la seguridad y el cifrado en esos activos. En conjunto, estos inventarios proporcionan una comprensión más completa del entorno tecnológico y la postura de seguridad de una organización.

Tipos de CBOM

Las organizaciones utilizan la criptografía de diversas maneras, lo que significa que un único enfoque para crear una lista de materiales criptográficos (CBOM, por sus siglas en inglés) puede no ser suficiente. Según el alcance y el objetivo de la evaluación, las CBOM se pueden clasificar en varios tipos. Cada tipo ofrece un nivel diferente de visibilidad de los activos y dependencias criptográficas.

Gestión de la comunidad basada en activos

Un CBOM basado en activos se centra en activos de infraestructura individuales, como servidores, terminales, bases de datos, dispositivos de red, recursos en la nube y módulos de seguridad de hardware (HSM) . El objetivo principal es identificar y documentar los componentes criptográficos asociados a cada activo.

Por ejemplo, un CBOM basado en activos puede registrar los certificados instalados en un servidor web, los algoritmos de cifrado que protegen una base de datos o las claves almacenadas en un HSM. Este enfoque ayuda a los equipos de seguridad a comprender cómo se utiliza la criptografía a nivel de infraestructura.

Los CBOM basados ​​en activos son especialmente útiles para la gestión de inventarios, el seguimiento de certificados, las evaluaciones de vulnerabilidad y la identificación de sistemas que dependen de estándares criptográficos obsoletos.

CBOM basado en aplicaciones

Un CBOM basado en aplicaciones se centra en una aplicación específica y en los elementos criptográficos que utiliza. En lugar de analizar dispositivos individuales o componentes de infraestructura, este tipo examina el software en sí.

Puede incluir detalles como bibliotecas criptográficas , algoritmos de cifrado, uso de certificados, mecanismos de gestión de claves y dependencias criptográficas dentro del código de la aplicación. Esta información ayuda a los equipos de desarrollo y seguridad a comprender cómo se implementan los controles de seguridad en toda la aplicación.

Los CBOM basados ​​en aplicaciones son especialmente valiosos durante las revisiones de seguridad del software, las iniciativas de desarrollo seguro y las evaluaciones de preparación post-cuántica, donde las organizaciones necesitan visibilidad de la criptografía integrada en sus aplicaciones.

Gestión de la experiencia del cliente en toda la empresa

Un CBOM (Gestión de Activos Criptográficos Basada en la Computación) a nivel empresarial proporciona una visión centralizada de los activos criptográficos en toda la organización. Combina información de múltiples aplicaciones, componentes de infraestructura, entornos en la nube y sistemas de seguridad en un único inventario.

Este tipo de CBOM ayuda a las organizaciones a responder preguntas más generales, como dónde se están utilizando algoritmos específicos, qué certificados están próximos a caducar o cuántos sistemas dependen de una biblioteca criptográfica en particular.

Las plataformas CBOM a nivel empresarial son utilizadas habitualmente por grandes organizaciones que necesitan una visibilidad uniforme en entornos complejos. Estas plataformas facilitan la gobernanza, las iniciativas de cumplimiento normativo, los programas de gestión de riesgos y la planificación estratégica para la modernización criptográfica.

CBOM híbrido

Un CBOM híbrido combina elementos de los enfoques basados ​​en activos y en aplicaciones, contribuyendo a una visión integral de la empresa. Proporciona visibilidad detallada de los activos y aplicaciones individuales, manteniendo al mismo tiempo una perspectiva organizacional más amplia.

Por ejemplo, un CBOM híbrido puede mostrar qué bibliotecas criptográficas utiliza una aplicación e identificar los servidores, servicios en la nube, certificados y claves asociados a ella. Esto genera una mayor trazabilidad entre los componentes criptográficos y los sistemas que dependen de ellos.

Muchas organizaciones prefieren el enfoque híbrido porque ofrece visibilidad tanto detallada como general. Permite a los equipos de seguridad investigar activos criptográficos específicos cuando sea necesario, al tiempo que facilita las evaluaciones de riesgos a nivel organizacional, la elaboración de informes de cumplimiento y la planificación de futuras migraciones.

Beneficios de CBOM

A medida que las organizaciones dependen cada vez más del cifrado, los certificados digitales y las claves criptográficas, mantener la visibilidad de estos activos se vuelve fundamental. Una lista de materiales criptográficos (CBOM, por sus siglas en inglés) ayuda a los equipos de seguridad a comprender mejor su entorno criptográfico y a tomar decisiones informadas sobre la gestión de riesgos y la planificación futura.

Visibilidad criptográfica completa

Una de las mayores ventajas de un CBOM es la visibilidad que proporciona. Los activos criptográficos suelen estar distribuidos en aplicaciones, servidores, servicios en la nube, bases de datos y dispositivos de seguridad, lo que dificulta su seguimiento manual.

Un CBOM crea un inventario centralizado de algoritmos criptográficos , certificados, claves, bibliotecas y dependencias. Esto permite a las organizaciones comprender dónde se utiliza la criptografía e identificar activos que de otro modo podrían pasar desapercibidos.

Apoyo para la preparación post-cuántica

La transición a la criptografía postcuántica se está convirtiendo en una consideración importante para muchas organizaciones. El NIST finalizó ML-KEM (FIPS 203), ML-DSA (FIPS 204) y SLH-DSA (FIPS 205) el 13 de agosto de 2024, y su borrador NIST IR 8547 propone la descontinuación de RSA y ECC en el nivel de seguridad de 112 bits después de 2030. Antes de reemplazar los algoritmos existentes, los equipos de seguridad necesitan saber dónde se implementan actualmente.

Un CBOM ayuda a identificar los activos criptográficos que podrían verse afectados por los avances en la computación cuántica. Esta visibilidad simplifica la planificación, la priorización y las migraciones, reduciendo la incertidumbre durante el proceso de transición.

Identificación y mitigación de riesgos

Los algoritmos débiles, los certificados caducados, las claves de longitud insuficiente y las bibliotecas criptográficas obsoletas pueden generar riesgos de seguridad. Sin un inventario preciso, detectar estos problemas puede resultar complicado.

Un CBOM ayuda a las organizaciones a identificar rápidamente componentes criptográficos vulnerables o que no cumplen con las normas y a priorizar las medidas correctivas. Esto reduce la probabilidad de incidentes de seguridad causados ​​por vulnerabilidades criptográficas pasadas por alto.

Soporte de Cumplimiento y Auditoría

Numerosos marcos regulatorios y estándares de seguridad exigen que las organizaciones mantengan el control sobre sus activos criptográficos. Un CBOM proporciona evidencia documentada del uso de criptografía en sistemas y aplicaciones.

Esta información puede simplificar las auditorías, respaldar la presentación de informes de cumplimiento y demostrar que se han implementado los controles criptográficos adecuados.

Mayor agilidad criptográfica

Los estándares criptográficos cambian con el tiempo a medida que surgen nuevas amenazas y se desarrollan algoritmos más robustos. Las organizaciones necesitan la capacidad de adaptarse sin interrupciones significativas.

Un CBOM fomenta la agilidad criptográfica al proporcionar una comprensión clara de las dependencias criptográficas en todo el entorno. Con este conocimiento, los equipos de seguridad pueden planificar actualizaciones, reemplazar algoritmos obsoletos e implementar nuevos estándares criptográficos de manera más eficiente.

Desafíos en la creación y el mantenimiento de un CBOM

Si bien una lista de materiales criptográficos (CBOM, por sus siglas en inglés) ofrece importantes beneficios operativos y de seguridad, su creación y mantenimiento no siempre son sencillos. Las organizaciones suelen enfrentarse a diversos desafíos al buscar una visibilidad completa de sus activos criptográficos.

Descubrimiento de activos criptográficos ocultos

Uno de los mayores desafíos es identificar los activos criptográficos dispersos en diferentes sistemas y entornos. Los certificados, las claves, las bibliotecas criptográficas y los algoritmos de cifrado pueden encontrarse en aplicaciones, servidores, bases de datos , plataformas en la nube, contenedores e incluso sistemas heredados.

En muchos casos, estos activos se implementaron hace años y es posible que ya no se gestionen ni se documenten activamente. Algunas aplicaciones también pueden usar funciones criptográficas indirectamente a través de bibliotecas de terceros, lo que dificulta su detección. Sin mecanismos de detección automatizados, la creación de un CBOM preciso puede ser laboriosa y propensa a errores.

Mantener los inventarios actualizados

Un CBOM solo es valioso si refleja el estado actual del entorno. Sin embargo, los activos criptográficos se añaden, actualizan, renuevan, reemplazan o retiran constantemente a medida que cambian las aplicaciones y la infraestructura.

Es posible que se emitan nuevos certificados, se roten las claves y las actualizaciones de software introduzcan diferentes dependencias criptográficas. Si el seguimiento de las actualizaciones se realiza manualmente, el inventario puede quedar obsoleto rápidamente. Mantener la precisión requiere una monitorización continua y procesos de detección periódicos para garantizar que el CBOM siga siendo relevante y fiable.

Gestión de entornos complejos

Las organizaciones modernas suelen operar con una combinación de infraestructura local, plataformas en la nube, contenedores, flujos de trabajo DevOps y servicios de terceros. Cada entorno puede utilizar diferentes herramientas, tecnologías e implementaciones criptográficas.

Recopilar y correlacionar información criptográfica de estas diversas fuentes puede resultar complejo. Los equipos de seguridad no solo deben identificar los activos, sino también comprender las relaciones entre aplicaciones, certificados, claves y bibliotecas criptográficas. A medida que aumenta el número de sistemas, mantener un CBOM completo y coherente se vuelve cada vez más difícil sin visibilidad centralizada y automatización.

A pesar de estos desafíos, las organizaciones que invierten en el descubrimiento continuo y la gestión automatizada del inventario pueden mejorar significativamente la precisión y la utilidad de sus iniciativas de gestión de operaciones basadas en la comunidad (CBOM).

Por qué CBOM Secure de Encryption Consulting destaca

Elaborar una lista de materiales criptográficos es solo una parte del desafío. Las organizaciones también necesitan una solución que permita descubrir continuamente activos criptográficos, identificar riesgos y proporcionar información útil en entornos complejos. Aquí es donde CBOM Secure de Encryption Consulting ofrece una ventaja distintiva.

A diferencia de las herramientas de inventario tradicionales, que se centran en un conjunto limitado de activos, CBOM Secure ofrece una visibilidad integral de los componentes criptográficos en aplicaciones, infraestructura, servicios en la nube, repositorios de código fuente, binarios, certificados, claves y bibliotecas criptográficas. Al consolidar esta información en una plataforma centralizada, las organizaciones obtienen una comprensión clara de dónde se utiliza la criptografía y cómo afecta a su nivel de seguridad.

Una de las principales fortalezas de CBOM Secure es su amplia capacidad de detección. La plataforma permite identificar activos criptográficos de múltiples fuentes, incluyendo entornos en la nube, módulos de seguridad de hardware (HSM), almacenes de certificados, código fuente, binarios y aplicaciones de terceros. Esto ayuda a los equipos de seguridad a descubrir dependencias criptográficas que de otro modo permanecerían ocultas, reduciendo los puntos ciegos y mejorando la visibilidad general.

CBOM Secure también ayuda a las organizaciones a prepararse para la transición a la criptografía postcuántica. A medida que las empresas evalúan el impacto de la computación cuántica en los sistemas criptográficos existentes, resulta fundamental saber con exactitud dónde se implementan los algoritmos vulnerables. CBOM Secure permite a las organizaciones localizar los activos criptográficos que dependen de algoritmos como RSA y ECC, lo que facilita priorizar las medidas correctivas y crear planes de migración estructurados y alineados con las iniciativas de seguridad postcuántica.

Otro factor diferenciador es la capacidad de la plataforma para normalizar los datos criptográficos recopilados de diversos entornos, en lugar de presentar la información de forma aislada. CBOM Secure correlaciona activos, dependencias y relaciones en un inventario unificado. Esto permite a los equipos de seguridad comprender cómo se conectan los certificados, las claves, las bibliotecas y las aplicaciones, lo que les ayuda a evaluar con mayor eficacia el impacto potencial de los cambios o las vulnerabilidades.

La plataforma también incluye funciones de evaluación de riesgos que ayudan a identificar algoritmos débiles, estándares criptográficos obsoletos, longitudes de clave inadecuadas y otros problemas de seguridad. Al destacar estos problemas, CBOM Secure facilita una corrección más rápida y una gobernanza criptográfica más sólida.

Además, CBOM Secure proporciona monitorización continua en lugar de basarse únicamente en evaluaciones puntuales. Esto garantiza que las organizaciones mantengan una visión actualizada de su entorno criptográfico a medida que se introducen nuevos activos y los existentes cambian con el tiempo.

Para las organizaciones que buscan mayor visibilidad criptográfica, una mejor preparación cuántica y un mayor control sobre sus activos criptográficos, CBOM Secure ofrece un enfoque práctico e integral que va más allá de la gestión de inventario tradicional. Transforma el descubrimiento criptográfico en una capacidad de seguridad continua, lo que ayuda a las organizaciones a tomar decisiones informadas y a mantener la confianza en su infraestructura criptográfica.

Conclusión

A medida que las organizaciones expanden su infraestructura digital, el uso de la criptografía se ha generalizado. El cifrado protege los datos confidenciales, los certificados digitales aseguran las comunicaciones y las claves criptográficas desempeñan un papel fundamental en la autenticación y la confianza. Sin embargo, gestionar estos activos sin una visibilidad clara puede generar problemas de seguridad, cumplimiento normativo y operativos. Por ello, la gestión de la criptografía basada en certificados (CBOM) se está convirtiendo en una herramienta esencial para las organizaciones modernas.

Una lista de materiales criptográficos proporciona un inventario estructurado de activos criptográficos, lo que ayuda a las organizaciones a comprender dónde se utiliza la criptografía, qué algoritmos se implementan y qué dependencias existen entre las aplicaciones y la infraestructura. Esta visibilidad facilita la identificación de riesgos, el cumplimiento de los requisitos normativos y la respuesta a los cambios en los estándares criptográficos. En lugar de depender de hojas de cálculo o del seguimiento manual, las organizaciones pueden mantener una visión más precisa y centralizada de su entorno criptográfico.

Se prevé que la importancia de CBOM aumente a medida que las organizaciones se preparen para los futuros desafíos criptográficos, incluida la transición a la criptografía postcuántica. Los equipos de seguridad necesitarán información fiable sobre los algoritmos, certificados, claves y bibliotecas criptográficas existentes antes de poder planificar y ejecutar migraciones a gran escala. Un CBOM bien mantenido sienta las bases para estos esfuerzos, ya que ayuda a las organizaciones a comprender el alcance y el impacto de los cambios necesarios.

Más allá de la gestión de inventario, la gestión de operaciones criptográficas basadas en la criptografía (CBOM) se está convirtiendo en una parte fundamental de la gobernanza criptográfica. Permite a las organizaciones establecer un mayor control sobre los activos criptográficos, aplicar políticas de seguridad, supervisar el cumplimiento y tomar decisiones informadas sobre la modernización criptográfica. A medida que aumentan las exigencias regulatorias y los entornos criptográficos se vuelven más complejos, mantener un registro claro y actualizado continuamente de los activos criptográficos será cada vez más valioso.

En resumen, CBOM ya no es solo un inventario de seguridad. Se está convirtiendo en un activo estratégico que ayuda a las organizaciones a fortalecer la supervisión criptográfica, mejorar la gestión de riesgos y prepararse para el futuro de la ciberseguridad con mayor confianza y claridad.

Preguntas frecuentes

¿Qué es una lista de materiales de criptografía (CBOM)?

Un CBOM es un inventario estructurado que documenta los componentes criptográficos utilizados en el entorno de una organización, incluyendo algoritmos, claves, certificados, bibliotecas criptográficas, protocolos y sus dependencias. Su concepto es similar al de una lista de materiales de software (SBOM), pero se centra específicamente en la criptografía en lugar de en los paquetes de software.

¿En qué se diferencia un CBOM de un SBOM o un HBOM?

Un SBOM enumera los componentes de software y las dependencias dentro de una aplicación. Un HBOM enumera los componentes de hardware físico. Un CBOM se centra exclusivamente en los activos y dependencias criptográficas, haciendo un seguimiento de las tecnologías de cifrado que protegen los datos y los sistemas, en lugar del software o el hardware en el que se ejecutan.

¿Cuáles son los principales tipos de CBOM?

Los CBOM basados ​​en activos se centran en infraestructuras individuales como servidores o HSM; los CBOM basados ​​en aplicaciones examinan la criptografía integrada en un software específico; los CBOM a nivel empresarial combinan todo en un único inventario para toda la organización; y los CBOM híbridos combinan detalles a nivel de activo y de aplicación, al tiempo que se consolidan en una vista empresarial.

¿Cómo facilita un CBOM la migración a la criptografía post-cuántica?

El NIST finalizó ML-KEM, ML-DSA y SLH-DSA el 13 de agosto de 2024, y su borrador NIST IR 8547 propone la desaprobación de RSA y ECC en el nivel de seguridad de 112 bits después de 2030. Un CBOM identifica con precisión dónde se implementan actualmente esos algoritmos vulnerables a la computación cuántica, lo cual es un requisito previo para priorizar y definir el alcance de un plan de migración.

¿Por qué no basta con un inventario criptográfico puntual?

Los activos criptográficos se añaden, renuevan, rotan o retiran constantemente a medida que cambian las aplicaciones y la infraestructura. Un inventario estático queda obsoleto casi de inmediato, por lo que un CBOM necesita un descubrimiento continuo y automatizado para mantenerse preciso y útil para la gestión de riesgos y el cumplimiento normativo.