Guía del producto · Español
Proteger la cadena de suministro
Cree un inventario versionado, revise su cobertura de avisos de seguridad y evalúe la política respecto a la versión declarada antes de registrar decisiones VEX o comparar inventarios.
Pasos
- Abra el área Dependencias del repositorio o Cadena de suministro. Guarde una SBOM de una auditoría completada o cargue un documento CycloneDX o SPDX compatible con la identidad del producto, la versión y el commit.
- Examine las identidades de paquetes, licencias, resultados de avisos de seguridad y advertencias de datos incompletos. Actualice las evidencias de avisos cuando estén obsoletas.
- Evalúe las políticas aplicables a paquetes, licencias y vulnerabilidades. Registre una decisión VEX solo cuando tenga evidencias de si la vulnerabilidad afecta a este artefacto; cada decisión necesita una declaración de impacto revisada y la justificación legible por máquina es opcional.
- Compare con otro inventario del mismo repositorio/producto para revisar identidades de paquetes añadidas o eliminadas y cambios de licencia. Exporte una SBOM o VEX cuando necesite compartir las evidencias pertinentes.
Leer el resultado
Los inventarios describen componentes declarados para una versión concreta; no prueban qué está desplegado. Las evidencias de avisos ausentes, obsoletas o incompletas no pueden demostrar seguridad. Una ruta de dependencia es una evidencia estructural, no una prueba de que el componente sea alcanzable o inalcanzable durante la ejecución.
Límites y disponibilidad
Las importaciones admiten perfiles limitados de CycloneDX y SPDX, no todas sus funciones semánticas ni una conversión de ida y vuelta sin pérdidas. El importador no ejecuta compilaciones ni resuelve referencias externas arbitrarias. Las decisiones de política y VEX siguen ligadas a su alcance; las excepciones no aportan evidencias que faltan.
Esta guía describe el flujo implementado. Las funciones disponibles en su espacio de trabajo dependen de las capacidades de la cuenta y de la configuración; Free Quick Scan no incluye todos los flujos avanzados. Compruebe los controles disponibles y las evidencias devueltas por cada ejecución.