Por qué una lista de materiales de criptografía (CBOM) es esencial ahora más que nunca: Guía de control de calidad de la seguridad empresarial

Vivimos en un mundo cada vez más interconectado donde la seguridad digital es primordial. Cada clic, cada transacción y cada dato dependen de la criptografía . Sin embargo, a medida que nuestros sistemas de software se vuelven más complejos y surgen nuevas y potentes tecnologías informáticas, comprender y gestionar todos los componentes criptográficos ocultos en nuestras herramientas digitales se ha convertido en un desafío importante. Si no se puede ver, no se puede proteger. La solución es una Lista de Materiales Criptográficos (CBOM, por sus siglas en inglés): un inventario legible por máquina que mapea cada algoritmo criptográfico, tamaño de clave, certificado, protocolo y biblioteca en todos los sistemas, proporcionando la visibilidad necesaria para la evaluación de riesgos cuánticos, el cumplimiento normativo y la migración a PQC. Dos regulaciones importantes, el Artículo 9 de DORA y el Requisito 12.3.3 de PCI DSS, exigen inventarios criptográficos documentados como obligaciones exigibles desde principios de 2025. La acción recomendada: crear una CBOM actualizada continuamente ahora, ya que la migración a PQC no puede comenzar sin saber qué algoritmos vulnerables a la computación cuántica están implementados y dónde. Para conocer la metodología de descubrimiento criptográfico que alimenta un CBOM, consulte No se puede proteger lo que no se puede ver.

Respuesta rápida: ¿Qué es un CBOM y por qué es necesario ahora?

Una CBOM (Lista de Materiales Criptográficos) es un inventario estructurado y legible por máquina de todos los activos criptográficos en el entorno de una organización: algoritmos, tamaños de clave, certificados, protocolos e implementaciones de bibliotecas. Su obligatoriedad se debe a que el Artículo 9.2 de DORA exige un registro documentado de activos criptográficos desde el 17 de enero de 2025; el Requisito 12.3.3 de PCI DSS exige un inventario de conjuntos de cifrado mantenido continuamente desde el 31 de marzo de 2025; y la migración a PQC según los plazos de NIST FIPS 203, 204, 205 y CNSA 2.0 no puede planificarse sin ella. La CBOM es la base de la que dependen todos los requisitos de cumplimiento y todas las iniciativas de migración. Para obtener información sobre la migración a PQC, consulte Pasos Esenciales para la Preparación de la Criptografía Post-Cuántica.

¿Qué es exactamente un CBOM?

No comprarías un producto complejo sin saber qué contiene. Un CBOM aplica el mismo principio a la seguridad de tu software. Se trata de un inventario muy detallado y legible por máquina que describe meticulosamente cada componente criptográfico integrado en tus aplicaciones, sistemas o productos. No se limita a indicar de forma general que se utiliza cifrado. En cambio, un CBOM proporciona detalles específicos como:

• Los algoritmos exactos y sus particularidades: Esto implica identificar no solo AES, sino también su variante precisa, como AES-128-GCM. Este nivel de detalle permite distinguir los algoritmos seguros frente a ataques cuánticos de los vulnerables, y los algoritmos correctamente implementados de los que están mal configurados.
• Fortalezas clave: Conocer la seguridad de sus claves (por ejemplo, una de 2048 bits) RSA La clave indica directamente la resistencia de su cifrado frente a adversarios actuales y con capacidad cuántica. RSA-2048 está designado para su descontinuación en 2030 según la norma NIST IR 8547.
• Sus credenciales digitales: Un CBOM (Certificado de Gestión de Certificados) enumera todos los certificados digitales, detallando quién los emitió, sus períodos de validez, los algoritmos que utilizan y su formato. Esto permite la monitorización proactiva de la caducidad y la identificación de certificados no oficiales mediante los registros de Transparencia de Certificados.
• Protocolos y reglas de seguridad: Especifica los protocolos de comunicación seguros que sigue su software, como por ejemplo: TLS 1.3y los conjuntos de cifrado específicos activos para cada conexión. Un servidor configurado para admitir TLS 1.3 aún puede negociar TLS 1.1 con puntos finales heredados; el CBOM registra lo que realmente se negocia, no solo lo que está configurado.
• Estado de vulnerabilidad cuántica: Cada entrada de CBOM debe llevar una calificación de vulnerabilidad cuántica vinculada a si el algoritmo es vulnerable al algoritmo de Shor (RSA, ECC y DH lo son), si es resistente a ataques cuánticos conocidos (AES-256, SHA-3 y ML-KEM lo son) o si está en revisión (algoritmos que aún están en evaluación del NIST).
• Mapeo de propiedad y cumplimiento: Cada activo debe estar vinculado a un propietario o equipo responsable de su remediación y a los requisitos reglamentarios que lo rigen, lo que permite generar evidencia de cumplimiento del Artículo 9 de DORA, PCI DSS 12.3.3 y CNSA 2.0 directamente a partir del inventario.

Este nivel de detalle proporciona una transparencia sin precedentes. Permite identificar rápidamente componentes de seguridad obsoletos o mal configurados y garantizar que las implementaciones cumplan con los estándares actuales. Se trata de una gestión de seguridad proactiva, no de reaccionar ante incidentes una vez que ocurren.

CBOM vs SBOM: ¿Cuál es la diferencia?

Un CBOM es una extensión especializada de un SBOM (Software Bill of Materials), no un reemplazo. Un SBOM proporciona un inventario general de todos los componentes de software en una aplicación o producto. Un CBOM añade la capa criptográfica: en lugar de simplemente indicar que un componente está presente, documenta el algoritmo específico y el conjunto de parámetros que utiliza, el tamaño y el tipo de clave, los detalles del certificado y la versión del protocolo de seguridad y la configuración del conjunto de cifrado. Para una comparación completa, consulte la sección « En qué se diferencia un CBOM de un SBOM».

Atributo	SBOM	CBOM
<b></b><b></b>	Todos los componentes de software	Todos los componentes criptográficos específicamente
granularidad	Nombre del componente, versión, licencia, árbol de dependencias	Algoritmo, conjunto de parámetros, tamaño de clave, detalles del certificado, versión del protocolo, conjunto de cifrado
Relevancia cuántica	No aborda la vulnerabilidad cuántica.	Incluye el estado de vulnerabilidad cuántica por activo
Uso de cumplimiento	Requisitos mínimos de NTIA SBOM, Orden Ejecutiva 14028	Artículo 9 de DORA, PCI DSS 12.3.3, CNSA 2.0, NIST IR 8547
Uso de la migración de PQC	No se puede controlar la priorización de PQC.	Base necesaria para la planificación de la migración de PQC

Por qué un CBOM es esencial para su organización hoy en día

La necesidad de un CBOM está creciendo rápidamente, impulsada por cambios significativos en el entorno de seguridad digital:

1. El cumplimiento ya es obligatorio.

   Dos normativas importantes exigen inventarios criptográficos documentados como obligaciones exigibles. El artículo 9.2 de DORA exige a las entidades financieras mantener un registro actualizado de todos los activos de información, incluidos los criptográficos, para todos los sistemas de TIC que dan soporte a funciones críticas o importantes. El artículo 7.4 de DORA exige además que el registro incluya todos los certificados digitales y los dispositivos en los que se almacenan. Ambas disposiciones son exigibles desde el 17 de enero de 2025. El requisito 12.3.3 de PCI DSS exige un inventario documentado y actualizado continuamente de todos los conjuntos de cifrado y protocolos criptográficos en uso, con una justificación empresarial para cada entrada, una monitorización activa de la viabilidad y una estrategia de respuesta documentada para las vulnerabilidades criptográficas identificadas. Este requisito es exigible desde el 31 de marzo de 2025. Una organización que no pueda presentar la documentación requerida durante una revisión de supervisión tiene una laguna en una obligación de cumplimiento activa, no en un punto de la hoja de ruta futura.

2. La migración de PQC lo requiere.

   NIST finalizó FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA) en agosto de 2024. NIST IR 8547 designa RSA-2048 y ECC P-256 para su desuso para 2030 y su prohibición total para 2035. NSA CNSA 2.0 establece plazos vinculantes para los Sistemas de Seguridad Nacional a partir de enero de 2027. Saber a qué algoritmos migrar es solo la mitad del problema. La otra mitad es saber qué sistemas están ejecutando RSA, ECDH, ECDSA y Diffie-Hellman, en qué contexto y con qué dependencias de hardware y software. Un CBOM proporciona ese mapeo. La planificación de la migración de PQC sin un CBOM es una conjetura, y los proyectos de migración tardan sistemáticamente el doble de tiempo de lo previsto cuando se inician sin un inventario de referencia.

3. La amenaza de cosechar ahora y descifrar después está activa hoy.

   Los atacantes capturan datos cifrados y los archivan hasta que un ordenador cuántico con capacidad criptográfica los descifre. Cualquier dato que deba permanecer confidencial más allá del punto en que un ordenador cuántico capaz pueda existir ya está en riesgo. Un CBOM proporciona el mapa preciso necesario para identificar qué sistemas presentan vulnerabilidades de Harvest Now, Decrypt Later (HNDL): aquellos que transmiten datos con requisitos de confidencialidad a largo plazo cifrados con RSA o ECDH. Estos sistemas requieren una migración inmediata. Sin un CBOM, no existe una forma sistemática de identificarlos.

4. La agilidad criptográfica requiere visibilidad.

   El entorno de la ciberseguridad es dinámico. Surgen nuevas vulnerabilidades y se desarrollan algoritmos más robustos. La agilidad criptográfica , es decir, la capacidad de modificar los algoritmos criptográficos de forma rápida y eficiente, es fundamental. Un CBOM integral facilita y agiliza la adaptación de los sistemas ante nuevas amenazas o actualizaciones de estándares. El NIST aún está finalizando FIPS 206 (FN-DSA basado en FALCON) y HQC. Una organización sin un CBOM no puede evaluar el impacto de la incorporación de un nuevo algoritmo o la revisión de un estándar en su entorno.

5. Respuesta acelerada a incidentes

   Imagina que se descubre una vulnerabilidad de seguridad crítica en un algoritmo de cifrado de uso generalizado. Sin un CBOM, identificar si se está utilizando ese algoritmo vulnerable y dónde, podría llevar días o incluso semanas de búsqueda manual. Con un CBOM, puedes consultar inmediatamente el algoritmo afectado, obtener todos los sistemas que lo utilizan junto con el propietario y el contexto de cumplimiento, evaluar el alcance de la exposición y comenzar la remediación por orden de prioridad. Esta misma capacidad se aplica a las emergencias por vencimiento de certificados: un CBOM que rastrea los períodos de validez y los propietarios de los certificados elimina las reacciones de emergencia que provocan las interrupciones de certificados a escala empresarial.

CBOM y estándares actuales: lo que su inventario debe registrar

Un CBOM no es útil como una lista genérica de componentes. Debe estar estructurado para respaldar las decisiones específicas de cumplimiento y migración que dependen de él. La siguiente tabla muestra los estándares y plazos actuales que debe cumplir un CBOM:

Estándar/Requisito	Lo que el CBOM debe controlar	Fecha límite / Estado
NIST IR 8547 (Descontinuación de RSA/ECC)	Cada clave y certificado RSA y ECC; tamaño de la clave y fecha de caducidad.	Depreciación para 2030; prohibición para 2035.
FIPS 203 (ML-KEM)	¿Qué operaciones de intercambio de claves utilizan actualmente RSA o ECDH y deben migrar a ML-KEM?	Finalizado en agosto de 2024.
FIPS 204 (ML-DSA)	¿Qué operaciones de firma utilizan actualmente RSA o ECDSA y deben migrar a ML-DSA?	Finalizado en agosto de 2024.
CNSA 2.0 (cadena de suministro NSS)	Todos los algoritmos asimétricos en sistemas adyacentes a NSS; cumplimiento con los requisitos del algoritmo CNSA 2.0.	Nuevas adquisiciones: enero de 2027; uso exclusivo: 2030-2033
Artículo 9.2 y 7.4 de DORA	Todos los activos criptográficos, incluidos los certificados y los dispositivos que los almacenan para los sistemas TIC incluidos en el ámbito de aplicación.	Exigible desde el 17 de enero de 2025.
Requisito 12.3.3 de PCI DSS	Todos los conjuntos de cifrado y protocolos con justificación comercial, monitoreo de viabilidad y estrategia de respuesta.	Exigible desde el 31 de marzo de 2025.

Creación y gestión de su CBOM: Pasos clave

Implementar un CBOM es un paso proactivo y estratégico. Su creación requiere un análisis exhaustivo en múltiples niveles, ya que ninguna herramienta por sí sola revela todos los activos criptográficos:

• Análisis pasivo del tráfico de red: Revela qué protocolos criptográficos se negocian realmente en el tráfico de producción, y no solo qué configuraciones indican que deberían estar disponibles.
• Análisis de código estático: Encuentra valores clave codificados, importaciones de bibliotecas obsoletas y opciones de algoritmos fijas en la lógica de la aplicación que no se pueden cambiar sin modificar el código y volver a implementarlo.
• Escaneo de certificados, incluidas las consultas de registros CT: Muestra todos los certificados emitidos para sus dominios, incluidos los certificados espejo que nunca se registraron en su inventario de certificados administrados.
• Análisis binario y de tiempo de ejecución: Evalúa la postura criptográfica de los dispositivos del proveedor, los sistemas OT y el firmware cuando no se dispone del código fuente.
• Investigación manual: Captura protocolos personalizados, esquemas de cifrado propietarios e integraciones no documentadas que las herramientas automatizadas no detectan.

En esencia, un CBOM es una versión avanzada y especializada de una lista estándar de componentes de software. Si bien una lista general (a menudo llamada SBOM ) ofrece una buena visión general, un CBOM añade la crucial capa de detalle criptográfico. Proporciona una visión exhaustiva de la seguridad digital. El CBOM debe mantenerse de forma continua, no generarse como una instantánea única. El requisito 12.3.3 de PCI DSS exige explícitamente el mantenimiento continuo. El artículo 9.2 de DORA exige un registro actualizado. Ambos requisitos se cumplen con un CBOM mantenido de forma continua y no con una evaluación puntual que queda obsoleta sin actualizarse.

Cómo puede ayudar la consultoría de cifrado

Somos líderes reconocidos mundialmente en criptografía aplicada y ofrecemos servicios de consultoría PQC diseñados para ayudar a las organizaciones a obtener visibilidad y control totales sobre su entorno criptográfico. Nuestros servicios se basan en un enfoque estructurado e integral:

• Evaluación PQC: Realizamos un análisis criptográfico y un inventario para localizar todas sus claves, certificados, algoritmos y dependencias en todos los entornos. Esto proporciona una evaluación clara de las amenazas cuánticas y un análisis de las brechas de preparación cuántica que resalta sus vulnerabilidades, prioridades urgentes y deficiencias de cumplimiento con respecto a DORA, PCI DSS 12.3.3 y CNSA 2.0.
• CBOM Seguro: CBOM seguro es la plataforma automatizada de descubrimiento e inventario criptográfico de Encryption Consulting. Ejecuta las cinco capas de descubrimiento (red pasiva, código estático, escaneo de certificados, análisis en tiempo de ejecución e investigación manual) como una única capacidad integrada. Cada entrada de CBOM se enriquece automáticamente con el estado de vulnerabilidad cuántica, el enrutamiento de propiedad y el etiquetado de brechas de cumplimiento normativo, de modo que su equipo siempre trabaja con una visión priorizada y contextualizada del entorno.
• Estrategia y hoja de ruta de PQC: Basándonos en los datos de su inventario, desarrollamos una estrategia de migración personalizada y por fases, alineada con los estándares NIST y los plazos de CNSA 2.0, que incorpora un marco de agilidad criptográfica para prepararlo para futuros cambios.
• Evaluación de proveedores y PoC: Le ayudamos a identificar, evaluar y validar soluciones de gestión criptográfica y PQC a través de rigurosas pruebas de concepto para garantizar que se ajusten a sus sistemas críticos.
• Implementación e Integración: Integramos sin problemas algoritmos preparados para PQC y modelos criptográficos híbridos en su PKI y ecosistema de seguridad para una transición segura y sin interrupciones.

Gracias a nuestra amplia experiencia y a nuestro marco de trabajo probado, podrá construir, evaluar y optimizar su infraestructura criptográfica, garantizando tanto el cumplimiento inmediato como la preparación a largo plazo frente a las amenazas cuánticas.

Conclusión

Un CBOM ya no es opcional; es un requisito legal según DORA y PCI DSS, y el prerrequisito técnico para la migración a PQC según los plazos de NIST y CNSA 2.0. Al proporcionar un inventario transparente y detallado de sus activos criptográficos, un CBOM le permite identificar vulnerabilidades, cumplir con las expectativas regulatorias, priorizar los sistemas expuestos a HNDL para una migración lo antes posible y planificar estratégicamente un futuro seguro. Las organizaciones que creen su CBOM ahora tendrán la visibilidad necesaria para ejecutar la migración a PQC sin interrupciones. Aquellas que esperen se encontrarán creando el inventario y ejecutando la migración simultáneamente bajo presión regulatoria, comprimiendo un programa de varios años en un plazo insuficiente. Para la metodología de descubrimiento criptográfico que crea un CBOM, consulte No se puede proteger lo que no se ve . Para el inventario criptográfico como base estratégica, consulte Por qué su inventario criptográfico es su clave maestra.

Preguntas frecuentes

¿Qué es un CBOM y en qué se diferencia de un SBOM?

Una CBOM (Lista de Materiales Criptográficos) es un inventario legible por máquina que identifica cada algoritmo criptográfico, tamaño de clave, certificado, protocolo y biblioteca en uso. Una SBOM (Lista de Materiales de Software) proporciona un inventario general de todos los componentes de software. La CBOM añade la capa criptográfica: en lugar de enumerar un componente, documenta el algoritmo y el conjunto de parámetros específicos, el tamaño de la clave, los detalles del certificado y la versión del protocolo de seguridad. Una CBOM es una extensión especializada de una SBOM que proporciona la profundidad criptográfica necesaria para la evaluación de riesgos cuánticos, la documentación de cumplimiento y la planificación de la migración a PQC.

¿Qué normativas de cumplimiento exigen actualmente un inventario criptográfico?

El artículo 9.2 de DORA exige a las entidades financieras mantener un registro documentado de activos criptográficos desde el 17 de enero de 2025. El artículo 7.4 de DORA exige que dicho registro incluya todos los certificados digitales y los dispositivos que los almacenan. El requisito 12.3.3 de PCI DSS exige un inventario de conjuntos de cifrado actualizado continuamente, con justificación comercial y seguimiento de su viabilidad, desde el 31 de marzo de 2025. Ambas son obligaciones exigibles en la actualidad, no elementos previstos en la hoja de ruta futura.

¿Por qué es esencial un CBOM para la migración a la criptografía post-cuántica?

Un CBOM es esencial para la migración de PQC, ya que no se puede migrar lo que no se ha mapeado. El NIST finalizó las normas FIPS 203, 204 y 205 en agosto de 2024, pero saber a qué algoritmos migrar es solo la mitad del problema. La otra mitad consiste en saber qué sistemas ejecutan RSA, ECDH, ECDSA y Diffie-Hellman, y en qué contexto, para priorizarlos según la exposición al riesgo cuántico y la sensibilidad de HNDL. Sin un CBOM, la planificación de la migración es una mera conjetura.

¿Qué información debe contener una entrada CBOM para cada activo criptográfico?

Una entrada CBOM completa debe contener: el algoritmo exacto y el conjunto de parámetros; el tamaño y el tipo de clave; para los certificados, el emisor, el período de validez, el sujeto y el algoritmo; la versión del protocolo de seguridad y la configuración del conjunto de cifrado; el sistema o la aplicación donde se implementa el activo; el propietario o el equipo responsable; el estado de vulnerabilidad cuántica; la relevancia para el cumplimiento; y cualquier plan de migración o estado de remediación existente.

¿Cómo apoya un CBOM la respuesta ante incidentes?

Cuando se descubre una vulnerabilidad crítica en un algoritmo criptográfico, un CBOM permite consultar instantáneamente el algoritmo afectado, devolviendo todos los sistemas que lo utilizan, junto con su propietario y el contexto empresarial. Sin un CBOM, la misma búsqueda requiere días o semanas de trabajo manual. Esta misma funcionalidad se aplica a las emergencias por vencimiento de certificados: un CBOM que rastrea los períodos de validez y los propietarios de los certificados elimina las reacciones de emergencia que provocan las interrupciones de certificados a nivel empresarial.

¿Cuál es la diferencia entre un CBOM estático y un CBOM con mantenimiento continuo?

Un CBOM estático es una instantánea puntual que se vuelve obsoleta a medida que el entorno cambia. Un CBOM con mantenimiento continuo se integra con herramientas de detección automatizadas, sistemas de control de versiones e infraestructura de gestión de certificados para actualizarse a medida que el entorno evoluciona. El requisito 12.3.3 de PCI DSS exige explícitamente un inventario con mantenimiento continuo. El artículo 9.2 de DORA exige un registro actualizado. Ambos requisitos se cumplen con un CBOM con mantenimiento continuo y no con una evaluación puntual.