Seguridad en la Cadena de Suministro de Software

Una serie completa de tres libros sobre seguridad en la cadena de suministro de software, que cubre amenazas, defensas y gobernanza. Este manuscrito de código abierto proporciona a profesionales de seguridad, desarrolladores y líderes organizacionales una guía práctica para asegurar las prácticas modernas de desarrollo de software.

La Serie de Libros

Libro 1: Entendiendo la Cadena de Suministro de Software

Proporciona la base para entender la seguridad de la cadena de suministro: cómo se construye el software moderno, el panorama de amenazas, ataques históricos y patrones de ataque detallados.

• Parte I - Fundamentos (Capítulos 1-4): Cómo se construye el software hoy, visión general de amenazas a la cadena de suministro, ataques históricos y riesgos específicos del ecosistema
• Parte II - Patrones de Ataque (Capítulos 5-10): Paquetes maliciosos, confusión de dependencias, typosquatting, ataques a sistemas de construcción, amenazas internas e ingeniería social

Libro 2: Protegiendo la Cadena de Suministro de Software

Traduce el conocimiento de amenazas en defensas prácticas a lo largo de todo el ciclo de vida del desarrollo, desde la selección de dependencias hasta el despliegue en producción.

• Parte III - Evaluación de Riesgos y Pruebas (Capítulos 11-15): Medición de riesgos, SBOMs, gestión de dependencias, pruebas de seguridad y ejercicios de equipo rojo
• Parte IV - Defensa y Respuesta (Capítulos 16-20): Aseguramiento de entornos de desarrollo, pipelines CI/CD, canales de distribución, respuesta a incidentes y comunicación de crisis
• Parte V - Operacionalizando la Defensa (Capítulos 21-22): Construcción de programas de seguridad y enfoques de ingeniería de plataforma

Libro 3: Gobernando la Cadena de Suministro de Software

Aborda las dimensiones humanas, políticas y estratégicas de la seguridad de la cadena de suministro: compromiso organizacional, cumplimiento normativo, incentivos económicos y colaboración en la industria.

• Parte V - Personas y Organizaciones (Capítulos 23-25): Capacitación y cultura de seguridad, perspectivas de los mantenedores de código abierto y gestión de riesgos de proveedores
• Parte VI - Regulación y Legal (Capítulos 26-29): Panorama regulatorio (EO 14028, EU CRA), marcos de cumplimiento, consideraciones legales e iniciativas de la industria
• Parte VII - Contexto y Futuro (Capítulos 30-33): Economía de la seguridad de la cadena de suministro, consideraciones geopolíticas, lecciones de otras industrias y direcciones futuras

Estructura del Repositorio

contents/
├── book1/                 # Capítulos 1-10
│   └── chapter-XX/        # Cada directorio de capítulo contiene:
│       ├── README.md      #   Resumen del capítulo
│       ├── ch-X.Y.md      #   Archivos de sección
│       └── img/           #   Imágenes del capítulo
├── book2/                 # Capítulos 11-22
├── book3/                 # Capítulos 23-33
├── appendices/            # Apéndices A-H
└── frontmatter/           # Información del autor, avisos legales, plantillas

scripts/
├── build-all.sh           # Construir los tres libros
├── cover-generator.py     # Generar portadas de libros
├── custom_template.latex  # Plantilla para generar PDF
└── verify_urls.py         # Utilidad de verificación de URLs

Construcción de PDFs

Prerrequisitos

• Pandoc (convertidor de documentos)
• XeLaTeX (generación de PDF)
• ImageMagick (conversión de imágenes)
• Python 3.x (para generación de portadas)

Comandos de Construcción

Construir los tres libros:

./scripts/build-all.sh

Construir libros individuales:

./contents/book1/build-pdf.sh
./contents/book2/build-pdf.sh
./contents/book3/build-pdf.sh

Los PDFs de salida se generan en el directorio scripts/.

Apéndices

Contribuciones

Las contribuciones son bienvenidas. Al contribuir:

• Mantenga la precisión técnica en temas de seguridad
• Cite fuentes para afirmaciones fácticas y estadísticas
• Puede usar IA para generar contenido, pero léalo y entiéndalo antes de enviar un pull request.
• Use terminología consistente (consulte el Apéndice A: Glosario)
• Siga la estructura existente de capítulos/secciones (formato ch-X.Y.md)
• Mantenga ejemplos del mundo real específicos con detalles verificables (nombres, fechas, impactos)

El repositorio incluye linting automatizado para la calidad de Markdown y compatibilidad con Zensical. Consulte CONTRIBUTING.md para pautas detalladas y CLAUDE.md para estándares de contenido.

Licencia

Este trabajo está licenciado bajo la Licencia MIT. Puede copiar, modificar, distribuir y utilizar el trabajo, incluso con fines comerciales, con atribución.