SBOMs und Bedrohungsmodellierung für Medizinprodukte
Sytance · Aktualisiert
Eine SBOM und ein Bedrohungsmodell beantworten unterschiedliche Fragen. Die SBOM identifiziert Softwarekomponenten und ihre Abhängigkeitsbeziehungen. Das Bedrohungsmodell erläutert, wie ein Gerät, Softwaresystem, Nutzer, die Umgebung oder der Aktualisierungspfad angegriffen werden kann und wie sich dieser Angriff auf Sicherheit, Leistung oder Schutz auswirken könnte.
Unterschiedliche Aufzeichnungen
Eine Schwachstelle in einer Komponente wird zu einer gerätespezifischen Frage, wenn ihre Rolle bekannt ist. Ein Netzwerkparser kann direkt nicht vertrauenswürdige Eingaben erhalten; dieselbe Bibliothek kann eine andere Angriffsfläche bieten, wenn sie ohne die betroffene Funktion kompiliert wurde. Die SBOM identifiziert die Komponente, während das Bedrohungsmodell die Architektur liefert, die zur Untersuchung dieses Unterschieds erforderlich ist.
Die NTIA definiert eine SBOM als maschinenlesbares Verzeichnis von Softwarekomponenten und ihren Beziehungen. Bei einer Gerätebewertung hilft dies festzustellen, welche Software vorhanden ist und wo Informationen von Lieferanten oder zu Schwachstellen zu finden sind.
SBOM
Erfasst Komponentennamen, Lieferanten, Versionen, Kennungen, Hashes, Abhängigkeiten und Urheberangaben, damit Hersteller und Kunden die Betroffenheit durch Komponenten und deren Supportstatus nachverfolgen können.
Bedrohungsmodell
Erfasst Werte und Schutzgüter, Akteure, Vertrauensgrenzen, Datenflüsse, Schnittstellen, Angriffspfade, Bedrohungen, Gegenmaßnahmen, Annahmen und Entscheidungen zu Restrisiken.
Sicherheitsarchitektur
Zeigt, wie Maßnahmen wie Authentifizierung, Autorisierung, Verschlüsselung, Protokollierung, Update-Schutz und Wiederherstellung im System und in zugehörigen Diensten umgesetzt sind.
Risikomanagement
Entscheidet, ob das verbleibende Risiko akzeptabel ist und wie Cybersicherheitsfeststellungen sich auf Sicherheit, Leistung, Kennzeichnung, Überwachung nach dem Inverkehrbringen und Abhilfemaßnahmen auswirken.
Bezug zur Phase vor dem Inverkehrbringen
Die aktuellen Leitlinien der FDA vor dem Inverkehrbringen erwarten, dass SBOM, Bedrohungsmodellierung, Cybersicherheits-Risikobewertung, Architektur- und Prüfnachweise zusammenwirken. Für ein Cybergerät nach Abschnitt 524B ist die SBOM ein gesetzlich vorgeschriebener Bestandteil der Einreichung und muss kommerzielle, Open-Source- und handelsübliche Softwarekomponenten enthalten.
- Das Bedrohungsmodell sollte das Gerätesystem, externe Akteure, Einsatzumgebung, Interoperabilität, Wartung, Updates, Annahmen zur Lieferkette und Außerbetriebnahme abdecken.
- Die SBOM sollte vom Hersteller entwickelte und von Dritten bereitgestellte Komponenten, vorgelagerte Abhängigkeiten, Supportstatus und Informationen zur Bewertung bekannter Schwachstellen enthalten.
- Architekturansichten sollten Schnittstellen, Protokolle, Vertrauensgrenzen, Nutzer, Maßnahmen, verbundene Systeme und Aktualisierungspfade erläutern.
- Prüfungen sollten zeigen, dass ausgewählte Sicherheitsmaßnahmen und Gegenmaßnahmen zu Bedrohungen funktionieren, darunter Schwachstellenprüfungen und gegebenenfalls Penetrationstests.
Ein SBOM-Eintrag sollte auf die Position der Komponente in der Architektur und die einschlägige Schwachstellenanalyse zurückführbar sein. Diese Verknüpfungen verbinden das Verzeichnis mit Bedrohungsmodellierung, Prüfungen, Kennzeichnung und Überwachung nach dem Inverkehrbringen.
Bezug zur Phase nach dem Inverkehrbringen
Nach der Freigabe werden SBOM und Bedrohungsmodell zu betrieblichen Aufzeichnungen. Die SBOM hilft, die Betroffenheit zu erkennen, wenn sich ein Lieferant, ein Open-Source-Paket, eine kommerzielle Komponente oder eine Betriebssystemabhängigkeit ändert. Das Bedrohungsmodell hilft zu beurteilen, ob diese Betroffenheit in der tatsächlichen Gerätearchitektur und Einsatzumgebung zu einem Patientenschaden führen kann.
Prüfen Sie, ob die betroffene Version und der betreffende Code im Gerät vorhanden sind, und ermitteln Sie anschließend, wie ein Angreifer sie erreichen könnte. Bewerten Sie bestehende Maßnahmen und mögliche Patientenschäden. Das Ergebnis gilt für die analysierten Konfigurationen; andere noch verwendete Versionen können eine separate Bewertung erfordern.
Das Bedrohungsmodell sollte aktualisiert werden, wenn eine neue Schwachstelle, neue Angriffstechnik, geänderte Einsatzannahme, neue Schnittstelle, neuer Cloud-Dienst oder ein geänderter Aktualisierungspfad die Risikolage verändert.
Der Vulnerability Exploitability eXchange (VEX) kommuniziert eine Auswirkungsbewertung für eine benannte Schwachstelle und ein bestimmtes Produkt. Geben Sie die erfasste Version und Konfiguration an und erläutern Sie Bedingungen, die der Empfänger aufrechterhalten muss. Ist eine Abhilfe erforderlich, nennen Sie das Update oder eine andere für den Nutzer verfügbare Maßnahme.
Aufzeichnungen nutzbar halten
SBOM und Bedrohungsmodell sollten die beschriebene Produktversion benennen und nach der Freigabe aktuell bleiben. Die SBOM muss außerdem maschinenlesbar sein. Beide Aufzeichnungen sollten mit der Risikomanagementakte verknüpft sein.
Die NTIA-Basislinie von 2021 nennt Datenelemente wie Lieferantenname, Komponentenname, Versionszeichenfolge, Komponentenkennung, Abhängigkeitsbeziehung, Autorenname und Zeitstempel. Die FDA ergänzt gerätespezifische Erwartungen wie Softwaresupportstatus, bekannte Schwachstellen und den Bezug zu Risikokontrollen des Geräts.
Das Modell sollte erläutern, wie ein Angreifer eine Gerätefunktion erreichen könnte und welcher Schutz diesen Zugriff verhindert oder einschränkt. Beschreiben Sie das Gerät und verbundene Systeme und verknüpfen Sie anschließend jedes Angriffsszenario mit seinen Bedingungen, den ausgewählten Maßnahmen und dem verbleibenden Risiko.
- Auch ein Offline-Gerät kann über eine Update- oder Wartungsschnittstelle schädliche Eingaben erhalten. Nehmen Sie diese Wege in das Bedrohungsmodell auf.
- Eine SBOM ohne bekannte kritische CVEs sagt wenig über Entwurfsfehler oder fehlende Zugriffskontrollen aus. Bewerten Sie diese Bedrohungen anhand der Architektur.
- Ein Penetrationstestbericht gilt für den angegebenen Umfang und die angegebene Konfiguration. Verwenden Sie die Ergebnisse zusammen mit der Entwurfsanalyse und den geplanten Wartungsmaßnahmen.
- Wenn der Schutz vom Kundennetzwerk abhängt, nennen Sie die erforderlichen Maßnahmen und prüfen Sie, ob sie die Bedrohung abdecken. Teilen Sie dem Kunden mit, welche Bedingungen er aufrechterhalten muss.
Quellen
- FDA, Leitlinien zur Cybersicherheit vor dem Inverkehrbringen, Februar 2026
- FDA, Leitlinien zur Cybersicherheit nach dem Inverkehrbringen, Dezember 2016
- NTIA, Framing Software Component Transparency: Establishing a Common Software Bill of Materials
- MITRE, Playbook zur Bedrohungsmodellierung von Medizinprodukten