CBOM significa Certificate Bill of Materials (lista de materiales de certificados).

Es un concepto derivado del SBOM (Software Bill of Materials) del sector del software, aplicado al complejo ecosistema de certificados digitales y activos criptográficos de una organización.

Definición básica

Una CBOM es un inventario formal y legible por máquinas que detalla los certificados digitales (TLS/SSL, firma de código, S/MIME, autenticación de cliente, etc.), las claves criptográficas y, en ocasiones, otros activos criptográficos relacionados, como las CA raíz de confianza, utilizados en la infraestructura de TI de una organización.

Puede entenderse como una lista completa de los componentes del entorno de certificados de la organización.

Componentes clave de una CBOM

Para cada certificado, una CBOM completa suele incluir:

1. Identificación: número de serie, huella digital, emisor y sujeto (Common Name, SAN).
2. Detalles criptográficos: algoritmo de clave (RSA, ECC), tamaño de clave y algoritmo de firma.
3. Periodo de validez: fecha de emisión y fecha de expiración.
4. Uso y política: uso de clave (cifrado, firma) y Extended Key Usage (Server Auth, Client Auth, Code Signing).
5. Ubicación y propiedad: servidor, dispositivo o aplicación donde está instalado (IP, nombre de host), responsable y equipo administrador.
6. Emisor y cadena: CA emisora (pública, privada o interna) y cadena de confianza completa.
7. Estado: activo, caducado, revocado o próximo a caducar.

Por qué es importante una CBOM

Los entornos de TI modernos contienen miles de certificados, emitidos por distintas CA y repartidos entre servicios cloud, sistemas locales y dispositivos IoT. Esto puede generar problemas importantes:

• Riesgo de interrupciones: la expiración imprevista de un certificado en un servidor crítico, como un balanceador de carga, VPN o base de datos, puede causar una interrupción grave del servicio.
• Vulnerabilidades de seguridad: estándares criptográficos débiles (por ejemplo, SHA-1 o RSA de 1024 bits), claves comprometidas o certificados de CA no confiables crean brechas de seguridad.
• Falta de visibilidad y gobernanza: muchas organizaciones no saben cuántos certificados tienen, dónde están o cuándo caducan. Una CBOM ayuda a abordar esta falta de visibilidad.
• Retos de cumplimiento: estándares como PCI DSS, NIST, FIPS y GDPR requieren una gestión estricta del material criptográfico. Una CBOM es importante para demostrar el cumplimiento.

Cómo se crea y utiliza una CBOM

Las CBOM no se crean manualmente; se generan y mantienen con herramientas especializadas:

1. Herramientas de descubrimiento y plataformas CLM: herramientas como PKI Trust Manager y Trust Cloud analizan automáticamente redes, endpoints y entornos cloud para descubrir certificados y generar una CBOM dinámica y actualizada.
2. El proceso: las herramientas recopilan los metadatos de los certificados, identifican ubicación y estado, y mantienen el inventario al día conforme cambia el entorno.

Analogía con SBOM

Así como un SBOM enumera los componentes de software que utiliza una aplicación, una CBOM enumera los certificados y activos criptográficos de la organización.

Ventajas de mantener una CBOM

• Mejor visibilidad del inventario de certificados.
• Menor riesgo de interrupciones por expiraciones imprevistas.
• Mejor control sobre los algoritmos y las claves criptográficas.
• Auditorías y demostración de cumplimiento más sencillas.
• Base para planificar renovaciones y la migración a criptografía poscuántica.

Conclusión

Una CBOM ayuda a las organizaciones a comprender y gestionar su entorno de certificados. Junto con el descubrimiento, la automatización del ciclo de vida y una gobernanza adecuada, permite reducir riesgos y mejorar la preparación operativa.