El SBOM de tu proveedor, cruzado con los CVE que ya se explotan.

Sube el SBOM (la lista de componentes de software) de un proveedor y HodeiShield lo cruza con OSV.dev, marca los CVE (vulnerabilidades publicadas) explotados activamente y avisa de los críticos y altos. Descarga el SBOM original.

Para: Responsables de proveedores y CISO que deben saber qué componentes de software arrastran sus terceros, y reunir la base de su transparencia de componentes para el CRA y NIS2.

Solicitar demo Leer el motor de riesgo

SBOM en JSON, CycloneDX o SPDX; no se aceptan XML ni tag-value
Sincronización diaria de CVE; no es detección en tiempo real

SBOM de un proveedorProveedor A

Datos de ejemplo

sbom-proveedor-a.json

CycloneDX (JSON)412 componentes

Ingesta
Se lee y se guarda contra el proveedor
Cruce con OSV.dev
Componente a componente
Alerta
Si es crítico o alto
Descarga
El SBOM original, tal como lo subiste

libejemplo@2.3.1
CVE-2099-0001
Crítica
En KEV Sí
analizador-x@1.9.0
CVE-2099-0002
Alta
En KEV No
cliente-http@0.8.4
CVE-2099-0003
Media
En KEV No

Alerta: A los destinos que hayas configurado
Descarga: El SBOM original y su inventario de componentes

Datos de ejemplo: el proveedor, los componentes y los identificadores CVE son ficticios.

De un fichero a una decisión

El recorrido de un SBOM, en cuatro pasos, con lo que cada uno no hace.

Subes el SBOM
Lo subes tú, autenticado, desde la ficha del proveedor: JSON en CycloneDX o SPDX, hasta 10 MB.
Alcance. El proveedor no puede subirlo desde un enlace; no se aceptan XML ni tag-value.
Se cruza con OSV.dev
Cada componente se contrasta con la base de vulnerabilidades abiertas OSV.dev, y la reconciliación se repite a diario para captar CVE publicados después.
Alcance. Diaria, no en tiempo real.
Salta la alerta que importa
Un CVE de severidad crítica o alta genera una alerta atada al proveedor, que se enruta según tus reglas. Los explotados activamente (KEV) pesan más en la puntuación.
Alcance. El aviso al proveedor por correo es de disparo manual.
Consultas y descargas
Los componentes y sus CVE quedan consultables por proveedor, y puedes descargar el SBOM original que subiste.
Alcance. Es evidencia de componentes, no una declaración de conformidad ni una atestación firmada.

Qué hace, con su prueba y su alcance

Cada afirmación lleva al margen dónde comprobarla y hasta dónde llega.

Fuente de la prueba

Documentación pública
Código abierto
En la demo

Alcance: lo que la afirmación no cubre

SENSE · recoger evidencia

Lo que contiene el software de tu proveedor y lo que se sabe de cada componente.

Subida autenticada del SBOM de cada proveedor en JSON (CycloneDX o SPDX), con sus componentes guardados contra el proveedor.1
En la demo · pestaña SBOM del proveedor
Alcance. Solo JSON. El proveedor no sube su SBOM desde un enlace: lo subes tú.
Cada componente se cruza con OSV.dev y la reconciliación se repite a diario para captar los CVE publicados después de la subida.2
En la demo · CVE por componente
Alcance. Periodicidad diaria; no es detección en tiempo real.

Se aplica enGestión de riesgo de terceros

PREDICT · cuantificar y simular

Qué CVE merece tu atención primero y a cuántos proveedores alcanza.

Los CVE explotados activamente (catálogo KEV de CISA) pesan más en la puntuación del proveedor.3
Docs · Motor de riesgo (se abre en una pestaña nueva)
Cuando un componente vulnerable aparece en varios SBOM, ves qué proveedores quedan afectados, y los componentes compartidos alimentan el análisis de concentración.4
En la demo · impacto por componente
Alcance. El descubrimiento de n-ésimas partes a partir de SBOM existe, pero no está planificado: no es un mapa automático.

Se aplica enGestión de riesgo de terceros

ACT · proponer y aprobar

Qué ocurre cuando aparece un CVE que afecta a un proveedor.

Un CVE crítico o alto en un SBOM genera una alerta atada al proveedor, enrutada según tus reglas a ServiceNow, Jira, Slack, Teams, correo, webhook, SIEM, PagerDuty u Opsgenie.5
Docs · Conectores (se abre en una pestaña nueva)
Alcance. Notifica o crea el ticket en tu sistema; no remedia ni parchea.
El proveedor responde a una notificación de CVE desde un portal de enlace único, con plazos configurables por severidad.6
En la demo · respuesta a un CVE
Alcance. El bucle completo de plazo, nueva comprobación y evidencia de remediación es parcial: hoy funcionan la notificación, el portal y el seguimiento del plazo.

Se aplica enHodeiAI

ATTEST · demostrar a terceros

El SBOM no se atesta: queda como evidencia descargable.

El SBOM original se puede descargar tal como lo subiste, y sus componentes y CVE se consultan por proveedor.7
En la demo · descarga del SBOM
Alcance. No es una declaración de conformidad ni una atestación firmada. La atestación del Trust Center nunca incluye detalle de SBOM.

Se aplica enCyber Resilience Act Trust Center y ATTEST

SENSE alimenta PREDICT; PREDICT prioriza lo que ACT propone; ATTEST lo demuestra a terceros.

Lo que no hace

Para que sepas qué cubre un SBOM y qué no.

No genera SBOM: trabaja con el que te entrega el proveedor, en JSON.
No detecta en tiempo real: los CVE se sincronizan a diario.
No es un mapa completo de n-ésimas partes: el descubrimiento por SBOM existe, pero no está planificado.
No avisa por correo a tus proveedores por su cuenta: el envío lo disparas tú.
No parchea ni remedia, y no declara conformidad con el CRA: aporta evidencia de componentes.
El SBOM no se atesta ni forma parte de la atestación del Trust Center.

Cómo se conecta con las otras soluciones

El SBOM cuelga de la ficha del proveedor y acaba en tu expediente.

Preguntas de quien lleva la cadena de software

Las objeciones habituales, con la respuesta tal cual.

¿Qué formatos de SBOM acepta?

CycloneDX y SPDX, solo en JSON, hasta 10 MB por subida. No se aceptan XML ni tag-value. La subida es autenticada: la haces tú desde la ficha del proveedor.

¿Puede mi proveedor subir su propio SBOM?

Hoy no por un enlace: el SBOM lo subes tú, con el fichero que el proveedor te haya entregado.

¿Con qué base de vulnerabilidades se cruza?

Con OSV.dev, además de la sincronización diaria de CVE (NVD, CISA KEV y EPSS, la probabilidad de explotación) del resto de la plataforma. Los explotados activamente, los del catálogo KEV, pesan más en la puntuación.

¿Me avisa en tiempo real de un CVE nuevo?

No. La sincronización y la reconciliación de los SBOM son diarias, así que la latencia hasta la alerta puede llegar a un día. Las alertas de severidad crítica y alta se enrutan a los destinos que hayas configurado.

¿Me hace cumplir el CRA?

No. Te da el inventario de componentes de cada SBOM y sus CVE, una base para tu expediente del CRA. No es una declaración de conformidad: la conformidad de tu producto o de tu proveedor es una evaluación que haces tú.

¿Incluye el SBOM en la atestación del Trust Center?

No. La atestación solo lleva bandas de madurez por marco, nunca puntuaciones, importes ni detalle de SBOM.

Cruza un SBOM de tu cartera

En la demo subimos el SBOM de un proveedor tuyo y recorremos los CVE, la alerta y el inventario de componentes.

Las demos usan datos tuyos o de ejemplo, nunca de otros clientes.