Software Supply Chain Security
Proteger dependencias, build y artefactos con SBOM, provenance, firma y políticas verificables.
Qué cubre
SCA y SBOM muestran qué componentes entran al producto; provenance permite saber cómo y desde qué commit se construyó.
Firmar imágenes y verificar firmas antes del deploy reduce el riesgo de sustituir artefactos después del build.
Dónde entra
En CI/CD junto a secret scanning, dependency scanning, permisos mínimos y repositorios de artefactos protegidos.
Las políticas deben bloquear únicamente riesgos definidos y permitir excepciones temporales con owner y fecha.
Compensaciones
La trazabilidad aumenta el trabajo de build y release, pero reduce el tiempo necesario para investigar vulnerabilidades.
Un SBOM desactualizado crea una falsa sensación de cobertura; debe generarse desde el artefacto exacto que se despliega.
Comentarios