SecureChain para software de código abierto

Puntos clave: Una dependencia transitiva es un paquete que se instala porque algo de lo que dependes lo necesita. Un solo paquete de npm puede acarrear cientos de dependencias transitivas, cada una de las cuales puede...

Puntos clave: La CRA, FedRAMP, NIS 2 y PCI DSS plantean las mismas dos preguntas sobre tus componentes de código abierto: qué es lo que distribuyes y qué ocurre cuando se detecta una vulnerabilidad...

Puntos clave: Según las normas de FedRAMP para 2026, los plazos recomendados para la corrección de vulnerabilidades oscilan entre 12 horas y 192 días, contados a partir de la evaluación de la vulnerabilidad por parte del proveedor. Los nuevos solicitantes deben cumplir con las normas de FedRAMP para 2026...

Puntos clave: El artículo 21 de la NIS2 establece la seguridad de la cadena de suministro como una medida mínima y exige a las entidades que evalúen las vulnerabilidades de cada proveedor directo. La ENISA, la agencia de ciberseguridad de la UE, afirma en su guía no vinculante para hospitales...

Puntos clave: A falta de una evaluación realizada por terceros, el director general o un empleado designado y autorizado para obligar a la empresa firma el formulario. El firmante certifica, según su leal saber y entender, que...

Puntos clave: El manual del Programa Federal de Gestión de Riesgos y Autorizaciones (FedRAMP), revisión 5 (Rev5), exige a los proveedores que suban mensualmente un plan de acción actualizado y los hitos correspondientes. Las normas consolidadas de FedRAMP para...

Puntos clave: El Marco de Desarrollo de Software Seguro (SSDF) del NIST (Instituto Nacional de Estándares y Tecnología) recomienda verificar continuamente los componentes de terceros, incluidos los de código abierto, en función de tus propios requisitos...

Puntos clave: Una declaración del Vulnerability Exploitability eXchange (VEX) establece un estado para una vulnerabilidad en uno o varios productos. Una declaración VEX constituye una afirmación de su autor, por lo que un auditor comprueba...

Puntos clave: El registro de información de DORA recoge los contratos de servicios tecnológicos prestados de forma continuada, por lo que una biblioteca que se descargue sin contrato normalmente no figura en él. Las especificaciones técnicas vinculantes...

Puntos clave: Desde el 13 de julio de 2026, las licitaciones en el ámbito de la defensa pueden exigir únicamente autoevaluaciones de nivel 1 o nivel 2, mientras que la fase 2 sigue suspendida. Ninguno de los 110 requisitos de nivel 2 menciona...

Puntos clave: En virtud de la Ley de Resiliencia Cibernética, debes gestionar las vulnerabilidades de tu producto, incluidas las de sus dependencias, durante al menos cinco años, a menos que se prevea que...