La integridad de la cadena de suministro de software se está convirtiendo en una preocupación más destacada en la gestión de riesgos empresariales. Este cambio se produce mientras el desarrollo asistido por IA se expande y las cadenas de suministro de software suman más capas, lo que obliga a los líderes empresariales a preguntarse si pueden dar cuenta con confianza del software que desarrollan, compran e implementan.

¿Por qué es difícil lograr la transparencia en la cadena de suministro de software?

Aaron Branson, director de crecimiento de FossID, una empresa de análisis de composición de software especializada en inteligencia de código fuente, afirma que esa pregunta comienza por tener visibilidad sobre el código. Las organizaciones a menudo saben con qué proveedores trabajan y qué productos compran. Conocer con exactitud lo que contienen esos productos requiere más trabajo.

“Las organizaciones pueden saber con qué proveedores se relacionan y qué productos de software adquieren, pero establecer la composición precisa de esos productos puede requerir una investigación adicional”, dijo Branson.

La brecha de visibilidad

Las bibliotecas de código abierto, las dependencias transitivas, los componentes desarrollados por proveedores y los fragmentos generados por IA pueden ingresar a una base de código por distintos canales. Branson traza una línea entre los registros de los proveedores y el código en sí. Los registros de los proveedores ofrecen un contexto útil, afirma, pero examinar el código subyacente puede revelar más sobre el origen del software y las obligaciones que lo acompañan.

Esa brecha afecta más que a la ingeniería. Una procedencia poco clara puede complicar las evaluaciones de propiedad intelectual, las revisiones de licenciamiento, las decisiones de compra y las garantías ofrecidas a los clientes.

“La comprensión que una organización tiene de su software puede influir en la confianza con la que evalúa los activos que construye, las obligaciones que acepta y los compromisos que asume con sus clientes”, dijo Branson.

La IA cambia el ritmo

¿Cómo afecta el desarrollo asistido por IA la supervisión del software?

El desarrollo asistido por IA plantea otro desafío, y Branson afirma que la supervisión debe ajustarse a medida que los equipos avanzan más rápido. Hoy el código puede producirse en segundos, pero muchos procesos de revisión, prácticas de documentación y controles de cumplimiento no fueron diseñados para esa velocidad.

“Las empresas deben ajustar su supervisión a medida que el desarrollo avanza más rápido”, dijo Branson. “La IA puede generar código en segundos, pero nuestros procesos de revisión, documentación y controles de cumplimiento simplemente no están preparados para esa velocidad. Además, el código de tamaño de fragmento puede colarse en las aplicaciones sin aparecer nunca en los registros estándar de dependencias”.

Las organizaciones pueden beneficiarse al revisar la manera en que compilan sus inventarios de software, señaló, y qué tan fielmente esos registros reflejan el código en uso.

¿Qué es un SBOM y por qué importa?

La documentación desempeña un papel central en esa revisión. Las Listas de Materiales de Software, o SBOM por sus siglas en inglés, proporcionan inventarios estructurados de los componentes y dependencias del software, y ayudan a los equipos a organizar la información de productos complejos. Los Elementos Mínimos de 2026 para una Lista de Materiales de Software de CISA ofrecen orientación sobre lo que puede contener un SBOM y cómo respalda la transparencia de la cadena de suministro. Para las empresas que reciben software de varios proveedores, el valor de esos inventarios depende del detalle, la coherencia y la vigencia de la información. El análisis del código fuente puede complementar esa documentación al ayudar a los equipos a verificar si los registros de componentes coinciden con el software que están examinando.

La tecnología de FossID está diseñada para identificar componentes de código abierto, licencias y fragmentos de código de terceros, incluido material que puede ser difícil de rastrear solo a través de las declaraciones de paquetes. Según la empresa, esa capacidad puede ayudar a las organizaciones a investigar software que incluye contribuciones de terceros o código asistido por IA.

“La procedencia del software resulta más útil cuando los equipos pueden conectar el origen de un componente con las responsabilidades que pueden derivarse de él”, dijo Branson. Información compartida de ese tipo puede dar a los equipos de ingeniería, legal, seguridad y cumplimiento una base común para evaluar las decisiones sobre software.

Branson también ve una oportunidad para integrar la gobernanza en el trabajo cotidiano. Las verificaciones de licencias y de composición pueden convertirse en parte de los flujos de desarrollo, las revisiones de compras y la gestión de proveedores. Cuando los equipos actualizan la información de los componentes a medida que el software cambia, pueden encontrar más fácil evaluar nuevas dependencias, revisar los requisitos de licenciamiento y prepararse para revisiones de producto o regulatorias.

La responsabilidad puede repartirse entre distintos departamentos. Ingeniería aporta el contexto técnico, los equipos legales interpretan las obligaciones, las compras revisan la información de los proveedores y la dirección establece las prioridades y la rendición de cuentas.

Branson sugiere que los líderes comiencen por identificar quién es responsable del riesgo en la cadena de suministro de software y cómo ese rol encaja dentro de las estructuras de gobernanza existentes. Revisar cómo se crean, validan y actualizan los inventarios de software puede mostrar dónde sería útil una verificación adicional. La debida diligencia con los proveedores también puede incluir preguntas sobre la composición del software, su procedencia y la calidad de los SBOM. Los procesos del ciclo de vida de los productos pueden establecer expectativas para mantener esos registros actualizados.

“La oportunidad consiste en hacer de la integridad de la cadena de suministro de software un elemento central de la forma en que las organizaciones innovan, garantizando que las estrategias de crecimiento tengan en cuenta el linaje del código y las obligaciones asociadas”, dijo Branson.

Para las empresas que desarrollan y compran software a un ritmo creciente, el mensaje es que la capacidad de desarrollo y el conocimiento confiable de su propio código deben avanzar juntos.

Questo articolo è stato scritto con l'assistenza dell'IA.
News Factory APP - notizie agentiche per potenziare il tuo SEO e AEO.