의료기기 SBOM과 위협 모델링

서로 다른 기록

구성요소의 역할을 이해하면 취약점이 기기별 질문으로 이어집니다. 네트워크 파서는 신뢰할 수 없는 입력을 직접 받을 수 있지만, 영향을 받는 기능 없이 컴파일된 동일 라이브러리는 노출이 다를 수 있습니다. SBOM은 구성요소를 식별하고 위협 모델은 이러한 차이를 조사하는 데 필요한 아키텍처를 제공합니다.

NTIA는 SBOM을 소프트웨어 구성요소와 그 관계를 기계가 읽을 수 있는 형식으로 정리한 목록으로 정의합니다. 기기 평가에서는 어떤 소프트웨어가 포함되는지 확인하고 공급업체 또는 취약점 정보를 어디서 찾아야 하는지 파악할 수 있습니다.

시판 전 연계

FDA의 현재 시판 전 지침은 SBOM, 위협 모델링, 사이버보안 위험 평가, 아키텍처 및 시험 증거가 함께 활용될 것을 기대합니다. 제524B조의 사이버 기기에서 SBOM은 법률상 제출 요소이며 상용, 오픈소스 및 기성 소프트웨어 구성요소를 포함해야 합니다.

• 위협 모델은 기기 시스템, 외부 주체, 배포, 상호운용성, 유지보수, 업데이트, 공급망 가정 및 폐기를 다뤄야 합니다.
• SBOM에는 제조업체 개발 및 제3자 구성요소, 상류 의존성, 지원 상태 및 알려진 취약점을 평가하는 데 필요한 정보가 포함되어야 합니다.
• 아키텍처 뷰에는 인터페이스, 프로토콜, 신뢰 경계, 사용자, 통제, 관련 시스템 및 업데이트 경로가 설명되어야 합니다.
• 시험은 관련된 경우 취약점 시험과 침투 시험을 포함하여 선택한 보안 통제 및 위협 완화 조치가 효과적인지 보여줘야 합니다.

SBOM 항목은 아키텍처에서 해당 구성요소의 위치 및 관련 취약점 분석까지 추적 가능해야 합니다. 이러한 연결을 통해 목록을 위협 모델링, 시험, 라벨링 및 시판 후 관리와 연계할 수 있습니다.

시판 후 연계

출시 후 SBOM과 위협 모델은 운영 기록이 됩니다. 공급업체, 오픈소스 패키지, 상용 구성요소 또는 운영체제 의존성이 바뀌면 SBOM을 통해 노출 여부를 확인할 수 있습니다. 위협 모델은 실제 기기 아키텍처와 사용 환경에서 해당 노출이 환자 위해를 일으킬 수 있는지 판단하는 데 도움이 됩니다.

사용 가능한 기록 유지

SBOM과 위협 모델에는 설명 대상 제품 버전을 명시하고 출시 후에도 최신 상태를 유지해야 합니다. SBOM은 기계가 읽을 수 있는 형식도 필요합니다. 두 기록 모두 위험 관리 파일과 연결되어야 합니다.