La reciente decisión de la administración federal de dejar sin efecto la orientación que impulsaba la solicitud de SBOM y las declaraciones de cumplimiento con marcos de desarrollo seguro altera el panorama de la seguridad del software a nivel institucional. Un SBOM aporta visibilidad sobre componentes y dependencias, mientras que marcos como SSDF guían prácticas de desarrollo que reducen riesgos desde el diseño hasta la entrega. Aunque la normativa deja de exigir estas piezas, el impacto real dependerá de cómo compradores y proveedores adapten sus procesos y criterios de riesgo en los próximos meses.
Desde una perspectiva empresarial, la desaparición de una obligación regulatoria no elimina la exposición a vulnerabilidades en la cadena de suministro de software. Organizaciones que gestionan datos críticos o infraestructuras deberían mantener criterios rigurosos en la adquisición de soluciones y exigir transparencia técnica a sus socios. Esto incluye evaluar historiales de seguridad, auditorías de terceros y pruebas de penetración, así como incorporar cláusulas contractuales que mitiguen responsabilidades. En paralelo, los equipos de compras y de tecnología deben coordinarse para calibrar el coste de la confianza frente al coste potencial de incidentes.
Para las empresas que desarrollan tecnología o dependen de plataformas externas, adoptar buenas prácticas es una inversión en resiliencia y competitividad. Recomendamos mantener o establecer procesos que generen SBOMs internos, automatizar el escaneo de dependencias en pipelines CI/CD, y aplicar controles de seguridad durante todo el ciclo de vida del software. En Q2BSTUDIO trabajamos acompañando a clientes en esa transición, ofreciendo desarrollo de aplicaciones a medida con integraciones de seguridad desde el diseño y servicios de ciberseguridad que incluyen análisis de terceros y pruebas de intrusión. Además, combinamos despliegues en servicios cloud aws y azure con soluciones de observabilidad para detección temprana, y complementamos con capacidades de inteligencia artificial e ia para empresas cuando la automatización y los agentes IA aportan valor operativo.
En términos prácticos, los pasos concretos que deberían considerar las organizaciones son: definir inventarios de software y procesos para producir SBOMs, integrar herramientas de escaneo de componentes en la cadena de suministro, exigir evidencias de seguridad a proveedores clave y priorizar pruebas de seguridad continuas. Para equipos de negocio, las soluciones de servicios inteligencia de negocio y dashboards con power bi facilitan visualizar riesgos y justificar inversiones en mitigación. Adoptar estas medidas ayuda a transformar una posible relajación normativa en una oportunidad para fortalecer políticas internas y diferenciarse en el mercado por ofrecer software a prueba de fallos y compliance proactivo.
