Seguridad de la cadena de suministro

Los ataques a la cadena de suministro (software bills, dependencia de terceros) continúan siendo uno de los vectores más agresivos. La lección recurrente: confiar ciegamente en dependencias externas es peligroso.

Buenas prácticas

• Firmado y verificación de artefactos.
• Escaneo de dependencias (SBOM) y bloqueo de versiones inseguras.
• Revisión de proveedores y evaluación contractuales.

Tabla comparativa de controles

Control	Objetivo	Complemento
SBOM	Inventario de dependencias	Integración en CI
Firma de artefactos	Verificar integridad	Key management
Escaneo SAST/DAST	Encontrar vulnerabilidades	Pipeline automático

Ejemplo de CI: bloquear vulnerabilidades severas

# pseudo-pipeline step
run: scan-deps --format=json > deps.json
if jq '.vulnerabilities | any(.severity=="critical")' deps.json; then
  echo "Blocking build: critical vulnerability detected"
  exit 1
fi

Conclusión

Una estrategia sólida de cadena de suministro combina procesos, herramientas y gobernanza. Implementar SBOM y automatizar validaciones reduce el riesgo de forma significativa.