SBOM et modélisation des menaces pour les dispositifs médicaux

Des dossiers distincts

Une vulnérabilité de composant devient une question propre au dispositif lorsque le rôle du composant est compris. Un analyseur réseau peut recevoir directement des entrées non fiables ; la même bibliothèque compilée sans la fonction concernée peut présenter une exposition différente. La SBOM identifie le composant, tandis que le modèle de menace fournit l’architecture nécessaire pour examiner cette différence.

La NTIA définit une SBOM comme un inventaire lisible par machine des composants logiciels et de leurs relations. Pour l’évaluation d’un dispositif, cela aide à déterminer quels logiciels sont présents et où trouver les informations du fournisseur ou relatives aux vulnérabilités.

Lien avec la phase précommercialisation

Les orientations actuelles de la FDA pour la phase précommercialisation attendent que la SBOM, la modélisation des menaces, l’évaluation des risques de cybersécurité, l’architecture et les éléments de preuve d’essais soient utilisés conjointement. Pour un cyberdispositif relevant de la section 524B, la SBOM est un élément légalement requis du dossier de soumission et doit couvrir les composants logiciels commerciaux, libres et prêts à l’emploi.

• Le modèle de menace devrait couvrir le système du dispositif, les entités externes, le déploiement, l’interopérabilité, la maintenance, les mises à jour, les hypothèses relatives à la chaîne d’approvisionnement et la mise hors service.
• La SBOM devrait inclure les composants développés par le fabricant et ceux de tiers, les dépendances en amont, le statut de support et les informations nécessaires à l’évaluation des vulnérabilités connues.
• Les vues d’architecture devraient expliquer les interfaces, les protocoles, les frontières de confiance, les utilisateurs, les mesures de maîtrise, les systèmes associés et les chemins de mise à jour.
• Les essais devraient montrer que les mesures de sécurité et d’atténuation des menaces sélectionnées fonctionnent, notamment au moyen d’essais de vulnérabilité et, le cas échéant, de tests d’intrusion.

Une entrée de SBOM devrait être traçable jusqu’à la place du composant dans l’architecture et jusqu’à l’analyse des vulnérabilités concernée. Ces liens relient l’inventaire à la modélisation des menaces, aux essais, à l’étiquetage et à la gestion après commercialisation.

Lien avec la phase après commercialisation

Après la publication, la SBOM et le modèle de menace deviennent des dossiers opérationnels. La SBOM aide à identifier l’exposition lorsqu’un fournisseur, un paquet open source, un composant commercial ou une dépendance du système d’exploitation change. Le modèle de menace aide à déterminer si cette exposition peut entraîner un préjudice pour le patient dans l’architecture réelle et l’environnement d’utilisation du dispositif.

Maintenir des dossiers exploitables

La SBOM et le modèle de menace devraient identifier la version du produit qu’ils décrivent et rester à jour après la publication. La SBOM doit également être dans un format lisible par machine. Les deux dossiers devraient être liés au dossier de gestion des risques.