XBOM, cumplimiento e informes

XBOM: un inventario para software, criptografía y modelos de IA

Un hallazgo te dice que algo va mal. Un inventario te dice qué entregas. XBOM, abreviatura de Extended Bill of Materials, es el inventario de Plexicus de tres tipos de activos de tus repositorios. Igual que Plexicus Automation, funciona junto al ciclo Validar, Entender, Remediar.

Software (SBOM): librerías, paquetes y dependencias.
Criptografía (CBOM): algoritmos, tamaños de clave, primitivas y dónde se usan.
Modelos de IA (AIBOM): modelos de aprendizaje automático con sus proveedores, conjuntos de datos y licencias.

Abre XBOM desde la barra lateral principal. La página se titula “Inventario de Activos (XBOM)” y tiene tres pestañas: Software (SBOM), Criptografía (CBOM) y Modelos de IA (AIBOM). La pestaña seleccionada se guarda en la URL, así que al recargar o al abrir un enlace compartido se abre la misma pestaña, aunque no se conservan tus filtros. XBOM está disponible según tu plan.

Habilitar las herramientas BOM

Cada pestaña sigue vacía hasta que se habilita su herramienta y se escanea un repositorio, o hasta que importas un BOM de proveedor con ese tipo de componente. Una pestaña vacía indica qué herramienta debes habilitar y ofrece un botón Ir a Conectores.

La herramienta CBOM detecta criptografía en código JavaScript y TypeScript, Go, Ruby, PHP, C y C++, Python y Java.

Qué muestra cada inventario

Pestaña	Columnas	Filtros adicionales
Software (SBOM)	Componente, Versión, Repositorio, Estado VEX, Vulnerabilidades, Licencia, Acciones	Categoría de licencia
Criptografía (CBOM)	Algoritmo, Tamaño de clave / Parámetros, Primitiva, Contexto / Origen, Repositorio, Riesgo de cumplimiento	Clasificación cuántica
Modelos de IA (AIBOM)	Modelo, Tipo, Proveedor, Versión, Conjuntos de datos, Licencias, Repositorio, Seguridad / Riesgo	Proveedor, Indicador de riesgo

Todas las pestañas tienen además un cuadro de búsqueda y un filtro Repositorio. La columna Vulnerabilidades del SBOM cuenta, por severidad (C, H, M, L), los hallazgos activos cuyo nombre de librería y versión coinciden con el componente. Los recuentos no son enlaces; para ver los hallazgos, filtra Hallazgos por Librería. Las licencias se agrupan en cinco categorías: Permisiva (como MIT o Apache-2.0), Copyleft débil (como LGPL o MPL-2.0), Copyleft fuerte (como GPL o AGPL), Propietaria y Desconocida.

Cada activo del CBOM recibe una clasificación cuántica:

Vulnerable cuántico: criptografía de clave pública que un ordenador cuántico podría romper, como RSA, ECDSA, ECDH, DH y Ed25519.
Obsoleto/Débil: criptografía rota o débil ya hoy, como MD5, SHA-1, DES, 3DES y RC4.
Seguro cuántico: estándares poscuánticos del NIST como ML-KEM y ML-DSA, además de las primitivas simétricas y de hash que resisten los ataques cuánticos.
Desconocido: no hay información suficiente para clasificarlo.

Las filas del AIBOM llevan indicadores de riesgo: Riesgo de serialización (archivos de modelo como .pkl o .pt), Sin model card, Licencia desconocida, Licencia restringida (por ejemplo, condiciones no comerciales o solo para investigación), API externa (un modelo al que se llama a través de la API de un proveedor), Sin procedencia de datos y Versión sin fijar (vacía, “latest”, “main” y similares).

Haz clic en una fila para abrir su panel Detalles: PURL, hashes, rutas de archivo, proveedor y herramienta de origen en el software; motivos de clasificación en la criptografía; conjuntos de datos en los modelos de IA.

El resumen ejecutivo

El Resumen ejecutivo, encima de las pestañas, muestra cinco tarjetas de KPI: Componentes totales, Repositorios cubiertos (desglosados en SBOM, CBOM y AIBOM), Preparación cuántica, Modelos de IA (con cuántos tienen riesgos) y Riesgo de licencias. Después vienen cuatro gráficos: Categorías de licencias, Clasificación cuántica, Componentes más vulnerables y Proveedores de IA.

Dos tarjetas requieren atención:

Preparación cuántica es la proporción de todos los activos del CBOM, incluidos los que figuran como Desconocido, clasificados como Seguro cuántico, puntuada sobre 100 y referida a los plazos NIST 2030/2035. La tarjeta está en verde a partir de 80, en amarillo de 50 a 79 y en rojo por debajo de 50. Sin datos de CBOM, la tarjeta marca 0/100, así que confirma que la herramienta CBOM está habilitada antes de sacar conclusiones.
Riesgo de licencias cuenta los componentes con licencias copyleft fuerte, propietarias o desconocidas. El copyleft débil, como LGPL, no se cuenta. Te dice qué enviar a revisión legal; no es una opinión jurídica.

Una puntuación cuántica baja es una señal para planificar. Supón que el CBOM muestra RSA-2048 en tu servicio de identidad (Vulnerable cuántico) y MD5 en un generador de tokens de restablecimiento de contraseña (Obsoleto/Débil). Corrige primero el MD5, porque ya es débil hoy, y planifica la migración de RSA según los plazos del NIST.

Declaraciones VEX, listas de seguimiento y comparación entre escaneos

Tu SBOM incluye un componente con un CVE conocido. Eso, por sí solo, no significa que tu producto sea explotable. Una declaración VEX (Vulnerability Exploitability eXchange) registra tu evaluación de una vulnerabilidad en un componente, para que el siguiente revisor no tenga que repetir el análisis.

Definir una declaración VEX

En la fila del componente, abre XBOM Software (SBOM) Acciones Definir VEX . El formulario Declaración VEX tiene Componente (ya rellenado), ID de vulnerabilidad (por ejemplo CVE-2024-12345), Estado, Justificación y un Detalle opcional. El estado empieza en En investigación. Haz clic en Guardar declaración.

Estado	Úsalo cuando	Justificación
Afectado	El código vulnerable está presente y afecta a tu producto, y estás trabajando en ello	Opcional, pero indica qué estás haciendo
No afectado	El componente está presente pero la vulnerabilidad no aplica; por ejemplo, la función vulnerable nunca se invoca	Obligatoria en el formulario
Corregido	Has actualizado o parcheado a una versión sin la vulnerabilidad	Opcional, pero indica la versión
En investigación	No has terminado la evaluación	Opcional, pero indica qué se está comprobando

Ejemplo: tu servicio de pagos incluye una librería YAML con un CVE de deserialización en su cargador inseguro. Tu revisión, por ejemplo con Deep Code Analysis (módulo 5), muestra que tu código solo llama al cargador seguro. Registra No afectado con una justificación como “El cargador inseguro nunca se invoca; todo el parseo usa el cargador seguro, ver la traza del hallazgo.”

La columna Estado VEX muestra la declaración más reciente del componente. Si un componente tiene declaraciones para varias vulnerabilidades, la columna solo muestra la más reciente, sea cual sea la vulnerabilidad que cubra. Por tanto, una insignia No afectado no descarta todos los CVE de ese componente: revisa sus hallazgos en Hallazgos antes de darlo por descartado. Guardar una declaración requiere el mismo permiso de escritura que hacer el triage de hallazgos.

Las declaraciones VEX se quedan en Plexicus. Las exportaciones CycloneDX, SPDX, CSV y PDF no las incluyen, así que muestra a los revisores el estado VEX en XBOM o registra la evaluación en tu propio documento VEX.

Listas de seguimiento

Una lista de seguimiento te avisa cuando un componente de software (SBOM) que te interesa aparece en un nuevo escaneo. Los activos criptográficos y los modelos de IA no generan alertas de listas de seguimiento. Abre XBOM Listas de seguimiento , introduce un Patrón, elige un Tipo, deja activado Notificar al coincidir y haz clic en Añadir seguimiento.

Nombre coincide con cualquier componente cuyo nombre contenga el patrón, sin distinguir mayúsculas de minúsculas. El patrón “log4j” coincide con log4j-core y log4j-api.
PURL coincide con los componentes cuya URL de paquete empieza por el patrón, como pkg
/lodash.

La acción de fila Seguir componente de la pestaña SBOM es un atajo: crea una entrada de tipo Nombre para ese componente con las notificaciones activadas.

Una alerta solo salta cuando un nombre y una versión coincidentes no estaban presentes en escaneos anteriores de ese repositorio. Así, un componente que lleva tiempo ahí no genera una alerta en cada escaneo, pero una versión nueva de ese componente sí. Las alertas llegan como notificaciones de advertencia dentro de la aplicación, con el componente, su versión y el patrón con el que ha coincidido. Buenos candidatos son las librerías que tu equipo ha prohibido, los paquetes con un historial de versiones comprometidas y los paquetes internos que quieres rastrear entre equipos.

Cambios respecto al escaneo anterior

En el filtro Repositorio, selecciona exactamente un repositorio. Aparece un panel Cambios respecto al escaneo anterior. Compara los dos escaneos más recientes de ese repositorio y muestra los componentes como Añadidos, Eliminados o Modificados (la versión es distinta). Revísalo después de una fusión para detectar una dependencia que nadie había comentado, o después de una actualización para confirmar que la versión antigua ha desaparecido de verdad.

Importar BOM de proveedores y exportar

Importar un BOM de proveedor

Tu producto contiene software que no has desarrollado tú. Cuando un proveedor te envíe un BOM, impórtalo para que sus componentes queden junto a los tuyos: XBOM Importar . El formulario Importar SBOM de proveedor admite un archivo JSON CycloneDX o SPDX de hasta 20 MB y un Nombre del proveedor obligatorio. Un aviso confirma cuántos componentes se han importado.

En un archivo CycloneDX, los componentes de tipo activo criptográfico van al inventario CBOM, los de tipo modelo de aprendizaje automático van al AIBOM y todo lo demás va al SBOM. Cuando el mismo proveedor te envíe un BOM actualizado, vuelve a importarlo con el mismo nombre de proveedor. Plexicus sustituye la instantánea importada anterior de ese proveedor en lugar de añadir duplicados.

Formatos de exportación

Elige primero la pestaña y después abre Exportar.

Formato	Funciona en	Qué obtienes
CycloneDX JSON	SBOM, CBOM, AIBOM	Un documento CycloneDX 1.6
SPDX JSON	Solo SBOM	Un documento SPDX 2.3
CSV	SBOM, CBOM, AIBOM	Una hoja de cálculo del inventario, que se descarga al instante
Certificación PDF	SBOM, AIBOM (también aparece en CBOM, pero ahí falla)	Un informe de certificación XBOM puntuado frente a un perfil de cumplimiento

Para CycloneDX, SPDX y PDF, un diálogo pide Nombre del producto (si lo dejas en blanco, se usa el nombre mostrado, como el del repositorio o la organización) y Versión del producto (si lo dejas en blanco, se usa la fecha de exportación). En CycloneDX y SPDX, estos campos dan nombre al componente raíz del documento, así que rellena ambos en todo lo que salga de tu equipo. La Certificación PDF no imprime el nombre ni la versión del producto. Solo indica tu organización, así que envíala junto con la exportación CycloneDX correspondiente y especifica la versión publicada en el mensaje que la acompañe.

Qué cubre una exportación:

La última instantánea de escaneo, no el historial.
El primer repositorio seleccionado en el filtro, o toda la organización si no hay ninguno seleccionado.
En el SBOM, una entrada por PURL: un paquete encontrado en varios repositorios aparece una sola vez, con sus rutas de archivo combinadas como evidencia.

Ambos formatos nombran tu producto como raíz e incluyen una marca de tiempo de creación y tu organización. CycloneDX añade un número de serie único e indica tu organización como proveedor; SPDX usa en su lugar un espacio de nombres de documento único. Las relaciones de dependencia solo aparecen donde se han resuelto, y el documento CycloneDX declara completa la lista de componentes, pero incompleto el grafo de dependencias transitivas. Es una declaración precisa en la que un revisor puede confiar.

Certificación PDF y perfiles de cumplimiento

Perfil	Tipo de BOM	Campos comprobados por componente
EU CRA (BSI TR-03183-2)	SBOM	Nombre, versión, PURL, licencias, hashes, proveedor, rutas de archivo
CISA 2025	SBOM	Nombre, versión, PURL, licencias, hashes, proveedor, herramienta de origen
PCI DSS 6.3.2	SBOM	Nombre, versión, repositorio, herramienta de origen
EU AI Act	AIBOM	Nombre, versión, proveedor, licencias, conjuntos de datos, model card

El informe indica el tipo de BOM, la organización, la fecha y hora de generación y un hash SHA-256 del contenido del BOM. Le sigue una sección de resumen y, después, una puntuación de completitud sobre 100 para el perfil elegido, con una tabla por campo (Present, Missing y Coverage) y notas regulatorias. La puntuación promedia la cobertura de los campos con comprobaciones del documento: componente raíz, versión de la especificación, número de serie, marca de tiempo, creador, ausencia de duplicados, un grafo de dependencias y referencias de dependencias resolubles.

El hash se calcula sobre una representación CycloneDX generada en el momento de la exportación, así que no coincidirá con un archivo CycloneDX que descargues por separado. No lo presentes como una forma de verificar otro archivo.

La puntuación de completitud valora el documento, no tu cumplimiento. La columna Missing muestra cuántos componentes carecen de cada campo obligatorio. Las comprobaciones del documento se incluyen en la puntuación pero no se enumeran, así que si todos los campos marcan 100% y la puntuación sigue siendo más baja, la carencia está a nivel de documento; lo más habitual es un grafo de dependencias ausente o parcial. Revisa las carencias antes de enviar la certificación e informa al destinatario de las que no puedas resolver.

La vista de cumplimiento

Elige primero tus marcos

La vista de cumplimiento solo muestra los marcos que sigue tu organización. Elígelos en Configuración Organización Regulaciones : haz clic en Editar, selecciona marcos del catálogo y haz clic en Guardar cambios. Los dos botones Configurar marcos de la pestaña Compliance llevan ahí. Hasta que selecciones al menos uno, la pestaña muestra “No hay marcos de cumplimiento configurados”.

El catálogo incluye 50 marcos, entre ellos NIS2, DORA, CRA, GDPR, PCI DSS v4.0.1, ISO 27001

, SOC 2, NIST CSF, NIST 800-53r5, HIPAA, ENS e ISA/IEC 62443. Algunos marcos dependen de tu plan: llevan una insignia con el plan que requieren, y al seleccionarlos se abre un aviso para mejorar el plan. Los marcos que no están en el catálogo se añaden contactando con Plexicus.

Cómo se mapean los hallazgos

El mapeo se hace cuando Plexicus enriquece un hallazgo con IA. Se evalúa cada marco, pero un marco solo se vincula cuando existe un control estricto, es decir, uno que podría prevenir la vulnerabilidad. Los controles que solo ayudan a detectar o a responder se quedan fuera, y se registra como máximo un control por marco. Una inyección SQL en un handler de login puede mapearse a un control de validación de entradas o de desarrollo seguro. No se mapea a un control de registro de eventos solo porque los logs podrían haber detectado el ataque.

El resultado se guarda en el hallazgo como Regulación, Control y Categoría de control. Abre un hallazgo y baja hasta su sección Compliance y OWASP, que muestra cada regulación con su control, su categoría de control y una breve descripción. Cuando no aplica nada, dice “Este hallazgo de seguridad no activa ninguna política de cumplimiento aplicable.” En Hallazgos, Todos los filtros te permite filtrar por Regulación, Control y Categoría de control, y el filtro Regulación solo ofrece los marcos que has habilitado.

El mapeo lo genera la IA. Tómalo como un punto de partida sólido que una persona debe confirmar, sobre todo en cualquier control que pienses citar en una auditoría.

Leer la pestaña Compliance

Abre Panel de control Compliance . La antigua dirección de la página de cumplimiento redirige aquí. La barra de filtros tiene Repositorio, Tipo de activo (Todos los activos, Código, Cloud, SCM), Severidad y Marco normativo, además de Configurar marcos y Actualizar. La pestaña y algunos marcos están disponibles según tu plan.

Widget	Qué muestra
Tarjetas de marco	Hallazgos abiertos, Críticos / Altos, Corregidos, Activos afectados y un recuento de controles por cada marco
Panel de Riesgo	Un flujo desde Hallazgos Totales hasta Corregidos y Pendientes, y después por severidad, grupo de activos (Código, Cloud, SCM) y marco
Hallazgos de Cumplimiento	Un mapa de calor de los hallazgos abiertos por repositorio y marco en los repositorios con más actividad
Tendencia de Hallazgos	Hallazgos nuevos por semana y por marco en Últimos 30 días, Últimos 90 días (el valor predeterminado), Últimos 6 meses o Último año
Cuadrante de Riesgo por Marco	Los hallazgos abiertos frente al número de repositorios a los que afecta cada marco
Controles Más Vulnerados	Control, Marco, Categoría, Severidad, Hallazgos y Activos, empezando por los que tienen más hallazgos

La mayoría de los widgets llevan a Hallazgos con los filtros ya aplicados. Una tarjeta o un nodo de marco filtra por esa regulación; un nodo de severidad, por esa severidad; una celda del mapa de calor, por el marco y el repositorio; y una fila de Controles Más Vulnerados, por el marco y el control. Los filtros Repositorio y Severidad de la pestaña se mantienen. Tipo de activo no se mantiene, y estos accesos abren la pestaña Repo de Hallazgos, así que cambia a la pestaña Cloud o SCM para ver esos hallazgos. Una tarjeta que marca “Sin hallazgos · mapeo pendiente” aún no tiene hallazgos mapeados.

Los recuentos excluyen duplicados, subhallazgos, falsos positivos y hallazgos eliminados, y “abierto” significa que aún no está resuelto. La calidad del triage se refleja directamente aquí: un falso positivo que se deja abierto infla las cifras de un marco, y los hallazgos resueltos pasan a Corregidos.

Informes y evidencia

Auditores, clientes y tu propia dirección piden evidencia en formatos distintos. Plexicus te ofrece tres tipos de informe además de las exportaciones de XBOM.

El Informe de Inteligencia de Hallazgos

En Hallazgos, elige la pestaña (Repo, SCM, Cloud, Registry o App Pentest), configura los filtros y haz clic en Hallazgos Descargar PDF . El informe se genera en segundo plano. Un aviso “Generando reporte” te indica que recibirás un correo cuando esté listo. Después recibes un correo y una notificación Informe listo dentro de la aplicación con un botón Descargar informe. Ambos abren una página de descarga en Plexicus que requiere iniciar sesión. Si el informe aún se está generando o el enlace ha caducado, la página te lo indica y puedes volver a generarlo.

Lo que debes saber antes de confiar en él:

Tu organización puede solicitar como máximo 5 informes por hora, compartidos entre todos los usuarios. Por encima de ese límite verás “Límite de velocidad alcanzado”. Cada solicitud, incluida una rechazada, reinicia la hora, así que espera en lugar de reintentar.
El informe se redacta en el Idioma de escaneo e informes de la organización, que se define en Configuración Platform . Los títulos de los hallazgos y el código se mantienen en su idioma original.
Los informes PDF están disponibles según tu plan.

El informe empieza con una portada (organización, fecha de generación, total de hallazgos, repositorios analizados, marcada como CONFIDENCIAL) y un Resumen ejecutivo con los recuentos total, Crítico, Alto, Medio, Bajo, Resuelto, En progreso y de repositorios. Los gráficos incluyen Distribución de severidad, los 5 hallazgos principales por EPSS, Estado de remediación, Hallazgos por repositorio y Hallazgos por lenguaje. Una tabla Detalle de hallazgos (Severidad, Título, Repositorio, Herramienta, EPSS, Estado) muestra hasta 500 hallazgos, empezando por los más graves, mientras que los contadores y los gráficos siguen cubriendo todos los hallazgos del alcance. Hasta 10 hallazgos críticos tienen una sección de detalle con guía de remediación con IA.

Filtra antes de hacer clic. “Crítico y Alto, repositorio de pagos, Regulación NIS2” es un informe con el que un revisor puede actuar. Una exportación sin filtrar de un backlog grande corta la tabla en 500 filas.

Exportaciones SARIF y CSV

Hallazgos Descargar JSON descarga findings.json, un documento SARIF 2.1.0 limitado a la pestaña y los filtros actuales. Por defecto solo incluye los hallazgos en estado Analizado por IA. Los hallazgos que ya han pasado a Lista para corregir, Fix enviado, Emitido o Corregido se quedan fuera, así que usa el informe PDF cuando necesites mostrar el avance de la remediación. Usa el archivo SARIF para pasar los resultados a otra herramienta que lea SARIF.
Descargar reporte, en la vista de detalle de un hallazgo, te da un archivo SARIF solo con ese hallazgo, útil para un ticket o una revisión de código.
En Activos Repo Scan , el botón de descarga de la tabla exporta los repositorios filtrados como repositories.csv, una relación de activos lista para entregar a un auditor.

Las exportaciones de hallazgos quedan reflejadas en el registro de auditoría (módulo 10). Los informes de AI Pentest se tratan en el módulo 6.

Apoyo en las conversaciones regulatorias

Conversación	Evidencia que puedes aportar desde Plexicus
NIS2, sobre la gestión de vulnerabilidades y la seguridad de la cadena de suministro	La pestaña Compliance filtrada por NIS2, un Informe de Inteligencia de Hallazgos filtrado por la regulación NIS2, la Tendencia de Hallazgos y una exportación del SBOM
DORA Art. 28, sobre el riesgo de TIC derivado de terceros	BOM de proveedores importados, exportaciones del SBOM, declaraciones VEX sobre componentes de terceros registradas en XBOM (visibles en la aplicación, no en las exportaciones) y la pestaña Compliance filtrada por DORA
EU CRA	Un SBOM en CycloneDX o SPDX, una Certificación PDF con el perfil EU CRA y las declaraciones VEX que hayas registrado en XBOM
EU AI Act	El AIBOM con proveedores, conjuntos de datos e indicadores de riesgo, y una Certificación PDF con el perfil EU AI Act

Puntos clave

XBOM es un inventario con tres pestañas, Software (SBOM), Criptografía (CBOM) y Modelos de IA (AIBOM), que se rellenan al habilitar Plexicus SBOM, CBOM y AIBOM en la página Conectores y escanear.
Las declaraciones VEX registran, por componente y por vulnerabilidad, si el estado es Afectado, No afectado (con justificación obligatoria), Corregido o En investigación. No cambian el estado de los hallazgos, así que haz el triage de los hallazgos por separado.
Las listas de seguimiento avisan cuando aparecen componentes de software nuevos por nombre o PURL, y la comparación enfrenta los dos últimos escaneos de un repositorio.
Las exportaciones cubren la última instantánea: CycloneDX 1.6 para todas las pestañas, SPDX 2.3 para el SBOM, CSV y una Certificación PDF cuyo perfil debe corresponder al tipo de BOM.
La pestaña Compliance muestra solo los marcos elegidos en Configuración, Organización, Regulaciones, mapea los hallazgos únicamente a controles que podrían prevenirlos y permite profundizar hasta los hallazgos mapeados a un marco o a un control.
Los Informes de Inteligencia de Hallazgos, los archivos SARIF y los CSV de repositorios son evidencia para las conversaciones sobre NIS2, DORA, CRA y EU AI Act. Plexicus genera la evidencia; tus auditores juzgan el cumplimiento.