¿Qué es un SBOM? Explicación de la seguridad en la cadena de suministro de software.

Una lista de materiales de software (SBOM, por sus siglas en inglés) es un inventario formal y legible por máquina de todos los componentes, bibliotecas y dependencias que conforman un programa informático, junto con las relaciones de la cadena de suministro entre ellos.

Un SBOM (Board of Software Object) detalla la composición de un software: su código fuente, bibliotecas de terceros, paquetes de código abierto, sus versiones y relaciones. Los equipos de seguridad lo utilizan para detectar rápidamente componentes vulnerables ante el descubrimiento de nuevas fallas, cumplir con los requisitos normativos y de adquisición, y gestionar el riesgo en toda la cadena de suministro de software. Los dos formatos de SBOM más comunes son CycloneDX y SPDX.

Puntos Clave

• Un SBOM es un inventario legible por máquina de cada componente de un programa informático, que se utiliza para detectar vulnerabilidades, cumplir con los requisitos de cumplimiento normativo y gestionar el riesgo de la cadena de suministro.
• Los dos formatos SBOM dominantes y ampliamente aceptados son CycloneDX (OWASP, estandarizado como ECMA-424) y SPDX (un estándar ISO/IEC). La mayoría de las herramientas pueden generar ambos.
• La política federal estadounidense sobre las SBOM (Medidas de Operación y Mantenimiento) cambió en 2025 y 2026: la Orden Ejecutiva 14306 (junio de 2025) modificó órdenes anteriores y la Circular M-26-05 de la OMB (enero de 2026) adoptó un enfoque basado en el riesgo y liderado por las agencias. Las SBOM ya no se exigen uniformemente mediante certificación, pero las agencias aún pueden requerirlas.
• La Ley de Ciberresiliencia de la UE, en vigor desde diciembre de 2024, introduce obligaciones relacionadas con la gestión de la cadena de suministro (SBOM) para productos con elementos digitales, con fechas clave de aplicación en 2026 y 2027.
• A Lista de materiales para criptografía (CBOM) extiende la idea de SBOM a los activos criptográficos, convirtiéndose así en el puente entre la seguridad de la cadena de suministro de software y la preparación para la era post-cuántica.

Por qué es importante la seguridad en la cadena de suministro de software

El software moderno se ensambla, no se escribe desde cero. Una aplicación típica incorpora cientos de componentes de código abierto y de terceros, cada uno de los cuales puede incorporar sus propias dependencias. Este árbol de dependencias constituye la cadena de suministro de software, y cada componente de la misma representa un posible punto de entrada para un atacante.

Dos incidentes dejaron esto claro para toda la industria. El ataque a SolarWinds en 2020 insertó código malicioso en una actualización de software legítima y firmada que luego se distribuyó a miles de organizaciones. La vulnerabilidad Log4Shell de 2021 en la biblioteca de registro Log4j, ampliamente utilizada, dejó expuestas innumerables aplicaciones, y muchas organizaciones no pudieron responder rápidamente a una pregunta básica: ¿usamos Log4j y dónde? Un SBOM es lo que permite a una organización responder a esa pregunta en minutos en lugar de semanas.

¿Qué incluye un SBOM?

La NTIA de EE. UU. publicó en 2021 un conjunto básico de elementos mínimos para un SBOM, al que la mayoría de los marcos de referencia aún hacen referencia. Como mínimo, un SBOM registra:

• Nombre del componente y proveedor: Qué es cada componente y quién lo fabricó.
• Versión. La versión específica de cada componente, para que se puedan identificar las versiones vulnerables conocidas.
• Identificadores únicos: Identificadores legibles por máquina, como la URL del paquete (purl) o el CPE.
• Relaciones de dependencia: Cómo se relacionan los componentes entre sí, incluidas las dependencias transitivas.
• Autor y fecha y hora: Quién generó el SBOM y cuándo.

En 2025, CISA publicó un borrador de actualización de los elementos mínimos que añade campos como el hash del componente, la licencia y el contexto de generación. A julio de 2026, los elementos mínimos de CISA 2025 siguen siendo un borrador para comentarios públicos y no crean nuevos requisitos legales, por lo que la base de referencia de NTIA 2021 sigue siendo el punto de partida seguro.

Formatos SBOM: CycloneDX y SPDX

Predominan dos formatos, ambos aceptados en prácticamente todos los marcos normativos actuales. Lo más recomendable es elegir herramientas que puedan generar cualquiera de los dos, ya que distintos clientes y reguladores pueden requerir formatos diferentes.

Atributo	CiclónDX	SPDX
Mayordomo	OWASP; estandarizado como Ecma ECMA-424	Fundación Linux; estandarizada como ISO/IEC 5962
Enfoque original	Seguridad y riesgo	Cumplimiento de licencias de código abierto
tipos de lista de materiales	SBOM, CBOM, HBOM, SaaSBOM, OBOM, AI/ML-BOM	Principalmente SBOM, con crecientes áreas de seguridad.
Formatos	JSON, XML, Protocol Buffers	JSON, YAML, RDF, etiqueta-valor, hoja de cálculo
Soporte para criptografía	CBOM nativo (desde la versión 1.6)	Emergentes

Para una comparación más detallada, consulte el artículo de EC sobre CBOM frente a SBOM y la explicación sobre qué es CycloneDX.

El panorama regulatorio de la SBOM en 2026

La regulación de las SBOM es real, pero está en constante evolución, y el panorama federal estadounidense cambió significativamente en 2025 y 2026. Es importante aclarar, en lugar de repetir afirmaciones antiguas, que una sola orden ejecutiva impone las SBOM en todas partes.

Estados Unidos

La Orden Ejecutiva 14028 (mayo de 2021) dio inicio a la adopción de la SBOM federal moderna y ordenó a la NTIA que publicara los elementos mínimos. La Orden Ejecutiva 14306 (6 de junio de 2025) modificó la Orden Ejecutiva 14144, eliminando varios mandatos de certificación reforzados, pero manteniendo como prioridades la seguridad de la cadena de suministro de software, la criptografía postcuántica y el desarrollo seguro. El Memorando M-26-05 de la OMB (23 de enero de 2026) derogó los memorandos de certificación anteriores M-22-18 y M-23-16, impulsando a las agencias federales hacia un enfoque basado en riesgos y liderado por la propia agencia.

En la práctica, las agencias federales ya no están obligadas a recopilar un formulario de certificación estandarizado, pero aún pueden exigir SBOM contractualmente según su propia evaluación de riesgos. La M-26-05 especifica que las agencias que requieran un SBOM de un proveedor de servicios en la nube deben solicitar uno que cubra el entorno de producción en tiempo de ejecución. Los mandatos sectoriales y de las agencias también siguen vigentes, incluyendo una política del Ejército de EE. UU. emitida a principios de 2025 y el requisito de la FDA para los SBOM de dispositivos médicos en vigor desde marzo de 2023.

Unión Europea

La Ley de Resiliencia Cibernética de la UE (CRA, por sus siglas en inglés) entró en vigor en diciembre de 2024 y se aplica a fabricantes, importadores y distribuidores de productos con componentes digitales comercializados en el mercado de la UE. Esta ley introduce obligaciones de transparencia relacionadas con la gestión de vulnerabilidades y la gestión de la cadena de suministro (SBOM, por sus siglas en inglés), con un calendario de aplicación gradual. Las obligaciones de notificación de vulnerabilidades e incidentes se aplican a partir del 11 de septiembre de 2026, y el conjunto más amplio de requisitos a partir del 11 de diciembre de 2027. Las organizaciones que comercializan productos digitales en la UE deben planificar teniendo en cuenta estas fechas desde ahora.

La dirección del viaje

Incluso cuando se han flexibilizado los requisitos específicos de certificación, la expectativa subyacente persiste: compradores, reguladores y grandes empresas esperan cada vez más que los productores de software puedan generar un SBOM legible por máquina cuando se les solicite. La postura más segura es considerar la generación de SBOM como una capacidad permanente, no como un trámite de cumplimiento puntual.

Cómo se utilizan los SBOM en la práctica

• Respuesta ante vulnerabilidades: Cuando se detecte una nueva vulnerabilidad CVE, consulte sus listas de materiales (SBOM) para encontrar todos los productos que incluyan el componente y la versión afectados.
• Riesgo de adquisiciones y proveedores: Solicite listas de materiales (SBOM) a los proveedores para comprender qué es lo que realmente va a implementar antes de comprar.
• Cumplimiento de la licencia: Realiza un seguimiento de las licencias de código abierto en todo el árbol de dependencias para evitar problemas legales.
• Respuesta al incidente: Durante un incidente, un SBOM reduce el tiempo necesario para determinar el radio de la explosión.
• Monitoreo continuo: Genera una lista de materiales (SBOM) en cada compilación para que el inventario se mantenga actualizado a medida que cambia el código.

De SBOM a CBOM: La conexión con la criptografía

Un SBOM indica qué componentes de software se ejecutan. Sin embargo, por sí solo, no indica qué criptografía utilizan dichos componentes. Esta falta de información es importante ahora, ya que la migración a la criptografía postcuántica (PQC) depende de conocer con precisión qué algoritmos, tamaños de clave, certificados y protocolos se utilizan en todo el entorno.

Una Lista de Materiales Criptográficos (CBOM, por sus siglas en inglés) extiende el concepto de Lista de Materiales de Software (SBOM, por sus siglas en inglés) a los activos criptográficos. Inventaría algoritmos, claves, certificados y los protocolos que los utilizan, así como su relación con los componentes de software. CycloneDX incorporó soporte nativo para CBOM en la versión 1.6 (abril de 2024) y lo amplió en la versión 1.7 (octubre de 2025). Dado que una CBOM puede expresarse en el mismo documento de CycloneDX que una SBOM, una organización que ya genera SBOM tiene una vía de acceso natural al inventario criptográfico.

Este es el nexo entre la seguridad de la cadena de suministro de software y la preparación cuántica. El NIST estandarizó sus primeros algoritmos post-cuánticos en agosto de 2024 ( ML-KEM como FIPS 203 y ML-DSA como FIPS 204), y no se puede planificar una migración para criptografía sin haber inventariado el sistema. El CBOM es el mecanismo para crear y mantener actualizado dicho inventario.

Cómo ayuda la consultoría de cifrado

El servicio CBOM Secure de Encryption Consulting amplía la visibilidad de la cadena de suministro de software al ámbito de la criptografía. Analiza su entorno en busca de algoritmos, claves, certificados y protocolos, y genera una lista de materiales criptográficos en formato CycloneDX que se integra con sus listas de materiales existentes, de modo que el riesgo criptográfico se vuelve tan visible como el riesgo de los componentes. Para el software que usted desarrolla y distribuye, CodeSign Secure protege la integridad de la cadena de suministro centralizando la firma de código tras un HSM FIPS 140-2 Nivel 2, garantizando así que los artefactos descritos en su lista de materiales sean verificablemente auténticos y a prueba de manipulaciones. Respaldado por las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.

Preguntas frecuentes

¿Qué es un SBOM en términos sencillos?

Una SBOM, o Lista de Materiales de Software, es una lista de todo lo que compone un software: su propio código, además de todos los componentes de terceros y de código abierto de los que depende, con sus versiones y relaciones. Imagínelo como una etiqueta de ingredientes para el software. Cuando se detecta una vulnerabilidad en un componente, una SBOM permite a una organización identificar rápidamente cuáles de sus productos contienen dicho componente y requieren atención.

¿Cuál es la diferencia entre una SBOM y una CBOM?

Un SBOM (Lista de Materiales Criptográficos) inventaría los componentes de software: bibliotecas, paquetes y sus versiones. Un CBOM (Lista de Materiales Criptográficos) inventaría los activos criptográficos: algoritmos, claves, certificados y protocolos. Un CBOM amplía la idea del SBOM para responder a una pregunta diferente: no solo qué software se ejecuta, sino qué criptografía utiliza. CycloneDX puede expresar ambas en el mismo documento, y el CBOM es un paso fundamental hacia la preparación para la criptografía postcuántica.

¿Son obligatorias las listas de materiales de construcción (SBOM) por ley?

Depende de la jurisdicción y el sector. En EE. UU., la política federal sobre SBOM cambió en 2025 y 2026: la Orden Ejecutiva 14306 y el Memorando M-26-05 de la OMB orientaron a las agencias hacia un enfoque basado en el riesgo, por lo que los SBOM ya no se exigen uniformemente mediante un formulario de certificación estándar, aunque las agencias aún pueden requerirlos contractualmente. En la UE, la Ley de Resiliencia Cibernética introduce obligaciones relacionadas con los SBOM para productos con elementos digitales, que se implementarán gradualmente entre 2026 y 2027. La FDA exige SBOM para ciertas solicitudes de dispositivos médicos.

¿Cuáles son los principales formatos de SBOM?

Los dos formatos predominantes son CycloneDX y SPDX. CycloneDX, un proyecto de OWASP estandarizado como ECMA-424, se originó con un enfoque en la seguridad y admite varios tipos de listas de materiales (BOM), incluyendo criptografía (CBOM). SPDX, estandarizado como ISO/IEC 5962, se originó con un enfoque en el cumplimiento de licencias. Ambos son ampliamente aceptados, y la mayoría de las herramientas de gestión de listas de materiales (SBOM) pueden generar cualquiera de los dos formatos, por lo que la elección práctica suele depender de las necesidades específicas de cada cliente o regulador.

¿Cómo ayuda un SBOM a combatir ataques del tipo SolarWinds o Log4Shell?

Tanto en el ataque a SolarWinds en 2020 como en la vulnerabilidad de Log4Shell en 2021, la pregunta inicial más difícil para muchas organizaciones fue simplemente si se habían visto afectadas y dónde. Con los SBOM (Manual de Base de Datos de Software) archivados para su software, las organizaciones pueden consultar un componente y una versión específicos y obtener de inmediato una lista de todos los productos afectados. Esto convierte una investigación de varias semanas en una consulta rápida, lo que marca la diferencia entre un impacto contenido y uno generalizado durante un incidente activo.

¿Qué relación existe entre los SBOM y la criptografía postcuántica?

La migración post-cuántica requiere conocer qué algoritmos criptográficos y tamaños de clave se utilizan en sus sistemas, ya que algoritmos como RSA y ECDSA deberán reemplazarse con estándares resistentes a la computación cuántica como ML-KEM (FIPS 203) y ML-DSA (FIPS 204). Un inventario de materiales criptográficos (CBOM), que extiende el concepto de SBOM a los activos criptográficos, es la forma de crear dicho inventario. Las organizaciones que ya generan SBOM pueden extender las mismas herramientas de CycloneDX para generar un CBOM.

Extienda la seguridad de la cadena de suministro a su criptografía.

Un SBOM protege los componentes de su software. Un CBOM protege la criptografía que contienen y es el primer paso hacia la preparación para la era post-cuántica. Descubra cómo CBOM Secure crea su inventario criptográfico o explore CodeSign Secure para proteger la integridad del software que distribuye.