2 noviembre, 2022

¿Qué es el SBOM? ¿Por qué debo generarlo?

Tiempo de lectura: 3 minutos

Neolo Compliance: Nueva herramienta para crear el SBOM de tu sitio web gracias al acuerdo con la Software Transparency Foundation.

Te contamos todo:

SBOM son las siglas de Software Bill of Materials. El SBOM es el listado de todos los componentes de un software, e inclusive, de un sitio web.

Todos los días usamos software, ya sea una aplicación web, un sitio web, una App, e inclusive el que utilizamos de forma cotidiana en coches, en el metro, en la TV y hasta en el microondas.

El software, cuando es creado, casi nunca se lo crea desde cero, sino que se lo hace con código propio pero también se utiliza código que otros desarrolladores o programadores han creado en el pasado, esto ocurre por un tema de ahorro de tiempo y de energía, porque después de todo, ¿para qué volver a programar lo que otra persona ya ha programado?

Sin embargo, todo software es por lo general publicado bajo una respectiva licencia que exige condiciones de uso y/o distribución.

Así, por ejemplo, hay fragmentos de código o programas completos que no permiten ser utilizados (copiados) para su uso en software que se distribuya bajo una licencia distinta.

Si al crear un software, ya sea una app o una página web, se utiliza código de terceros que acarrea licencias que deben ser respetadas. Caso contrario se comete nada que una violación de derechos de autor, independientemente de que dicho código sea gratuito.

La realidad, es que muy pocas veces los programadores analizan cuál es la licencia del código que están copiando o invocando, lo cual deja a los dueños del software o del sitio web como responsables por posibles litigios futuros.

Además del riesgo legal, existe un riesgo de seguridad, al usar código de terceros también incorporamos sus vulnerabilidades.

Por eso es tan necesario tener un SBOM: Para garantizar el cumplimiento de las licencias y la monitorización de las vulnerabilidades del código de terceros que incorporemos.

¿Puedo generar mi SBOM?

Neolo es parte de la Software Transparency Foundation, y gracias a ello, podrás generar tu SBOM, algo que ninguna otra empresa de web hosting te ofrece.

¿Y cómo puedo crear el SBOM de mi sitio web?

Accede al panel de Neolo, ingresa a «Neolo Compliance»:

Luego, haz clic en «Iniciar Scan» y espera unos minutos:

Lugo te llegará un email y podrás ver el reporte desde tu panel haciendo clic en «Descargar reporte», este es un ejemplo de reporte:

¿Qué obtendré con el reporte?

Tendrás una estimación de cuánto código de terceros estás usando en tu sitio web, sus versiones, nombres, y si los códigos y sus fragmentos tienen algún tipo de incompatibilidad en sus licencias.

¿Y ahora qué hago con el reporte?

Cuando trabajes con algún desarrollador web podrás pedirle que no haya incompatibilidades con las licencias para cumplir con las leyes de software y de propiedad intelectual.

Además, ese inventario completo del software y versiones de terceros que estás usando, te permite mantener tu sitio web actualizado y protegido ante las eventuales vulnerabilidades que se vayan publicando.

Te sugerimos también limpiar el hosting con lo que no uses, seguramente estés usando código de terceros que ni siquiera necesites.

¿Cómo funciona técnicamente la herramienta de Neolo Compliance?

La herramienta de Neolo Compliance escaneará el código de tu sitio web, calculando huellas criptográficas de tu código (tu código no se envía a ningún otro sitio ni servidor) y comparando esas huellas contra la base de datos de la Software Transparency Foundation que cuenta con más de 100 mil millones de archivos de más de 170 millones millones de componentes indexados en su repositorio de las siguientes plataformas:

Los repositorios de código son constanemente actualizados, por lo que podrás volver a realizar un escaneo más adelante en el tiempo y posiblemente notes distintos resultados.

¿Quieres saber más sobre el SBOM? Escucha el podcast en Pulsión Digital:

¿Te ha gustado este artculo?
Recíbe los nuevos en el newsletter mensual de Neolo o Telegram de Neolo