医療機器のSBOMと脅威モデリング

異なる記録

コンポーネントの脆弱性は、そのコンポーネントの役割を把握した時点で、デバイス固有の問題として評価できるようになります。ネットワークパーサーが信頼できない入力を直接受け取る場合がありますが、影響を受ける機能を使わずにコンパイルされた同じライブラリでは、露出の状況が異なる可能性があります。SBOMはコンポーネントを特定し、脅威モデルはこの違いを調査するために必要なアーキテクチャを示します。

NTIAは、SBOMをソフトウェアコンポーネントとその関係を示す、機械可読なインベントリと定義しています。デバイスの評価では、搭載されているソフトウェアの特定や、サプライヤー情報、脆弱性情報の確認に役立ちます。

市販前との関連

FDAの現行の市販前ガイダンスでは、SBOM、脅威モデリング、サイバーセキュリティリスク評価、アーキテクチャ、試験のエビデンスを相互に連携させることが求められています。524B条の対象となるサイバーデバイスでは、SBOMは法定の申請要素であり、市販ソフトウェア、オープンソースソフトウェア、市販既製ソフトウェアの各コンポーネントを含める必要があります。

• 脅威モデルでは、デバイスシステム、外部エンティティ、導入環境、相互運用性、保守、更新、サプライチェーンに関する前提条件、廃止措置を対象にする必要があります。
• SBOMには、製造業者が開発したコンポーネントとサードパーティ製コンポーネント、上流の依存関係、サポート状況、既知の脆弱性を評価するために必要な情報を含める必要があります。
• アーキテクチャ図では、インターフェース、プロトコル、信頼境界、ユーザー、対策、関連システム、更新経路を説明する必要があります。
• 試験では、選定したセキュリティ対策と脅威緩和策が有効に機能することを示す必要があります。該当する場合は、脆弱性試験や侵入テストも含めます。

SBOMの各エントリーは、アーキテクチャ上でのコンポーネントの位置づけと、関連する脆弱性分析に追跡可能である必要があります。これらの関連付けにより、インベントリを脅威モデリング、試験、ラベリング、市販後管理に結び付けられます。

市販後との関連

リリース後、SBOMと脅威モデルは運用記録になります。SBOMは、サプライヤー、オープンソースパッケージ、市販コンポーネント、またはオペレーティングシステムの依存関係が変更された際に、影響を受ける可能性のあるコンポーネントの特定に役立ちます。脅威モデルは、実際のデバイスアーキテクチャと使用環境において、その露出が患者への危害につながり得るかどうかを判断するのに役立ちます。

活用可能な記録の維持

SBOMと脅威モデルには、対象となる製品バージョンを明記し、リリース後も最新の状態を維持する必要があります。SBOMは機械可読な形式であることも必要です。両方の記録をリスクマネジメントファイルに関連付けてください。