16.4
IG2 IG3

Establecer y Gestionar un Inventario de Componentes de Software de Terceros

Tipo de Activo: Aplicaciones
Función de Seguridad: Proteger

Descripción

Establecer y gestionar un inventario actualizado de componentes de terceros utilizados en el desarrollo, frecuentemente denominado "lista de materiales", así como componentes previstos para uso futuro. Este inventario debe incluir cualquier riesgo que cada componente de terceros pueda representar. Evaluar la lista al menos mensualmente para identificar cualquier cambio o actualización de estos componentes, y validar que el componente aún tenga soporte.

Lista de Verificación de Implementación

1
Evaluar los controles de protección actualmente implementados
2
Configurar e implementar los controles de seguridad requeridos
3
Probar la efectividad de los controles en un entorno de no producción
4
Implementar en producción y verificar la funcionalidad
5
Documentar la configuración y los procedimientos operativos

Amenazas y Vulnerabilidades (CIS RAM)

Escenarios de Amenazas

Ataque de Cadena de Suministro mediante Biblioteca de Terceros Comprometida

Integridad

Una biblioteca de terceros ampliamente usada incluida en la aplicación es comprometida por un atacante que inyecta código malicioso en una actualización, y la organización no se da cuenta porque no tiene inventario de componentes de terceros.

Vulnerabilidad Conocida en Dependencia No Rastreada Explotada

Confidencialidad

Se publica un CVE crítico para un componente de código abierto comúnmente usado, pero la organización no puede determinar qué aplicaciones están afectadas porque no existe una lista de materiales de software.

Componente al Final de su Vida Útil Permanece en Aplicación de Producción

Integridad

Una biblioteca de terceros usada en una aplicación de producción alcanza el final de su vida útil y deja de recibir parches de seguridad, pero esto pasa desapercibido porque ningún inventario rastrea el estado de soporte de componentes.

Vulnerabilidades (Cuando la Salvaguarda está Ausente)

Sin Lista de Materiales de Software (SBOM)

Sin un inventario de componentes de terceros, la organización no puede identificar qué aplicaciones usan bibliotecas vulnerables o comprometidas cuando se divulgan nuevas amenazas.

Riesgos de Componentes de Terceros No Rastreados

La ausencia de un inventario mantenido de componentes significa que los riesgos asociados con cada dependencia como vulnerabilidades conocidas, problemas de licencias y estado de soporte no se evalúan ni monitorean.

Requisitos de Evidencia

Tipo Elemento de Evidencia Frecuencia de Recolección
Técnico Capturas de pantalla o exportaciones de configuración que muestren los controles de protección habilitados Capturado trimestralmente
Documento Documentación de procedimientos para medidas de protección Revisado anualmente
Documento Documento de política vigente (actual, aprobado, comunicado) Revisado anualmente