SBOM’s en dreigingsmodellering voor medische hulpmiddelen
Sytance · Bijgewerkt
Een SBOM en een dreigingsmodel beantwoorden verschillende vragen. De SBOM identificeert softwarecomponenten en hun afhankelijkheidsrelaties. Het dreigingsmodel legt uit hoe een apparaat, softwaresysteem, gebruiker, omgeving of updatepad kan worden aangevallen en hoe die aanval de veiligheid, prestaties of beveiliging kan beïnvloeden.
Verschillende registraties
Een kwetsbaarheid in een component wordt een apparaatspecifieke vraag zodra de rol van die component duidelijk is. Een netwerkparser kan rechtstreeks niet-vertrouwde invoer ontvangen; dezelfde bibliotheek kan minder blootstelling opleveren als deze zonder de getroffen functie is gecompileerd. De SBOM identificeert de component en het dreigingsmodel levert de architectuur die nodig is om dit verschil te onderzoeken.
De NTIA definieert een SBOM als een machineleesbare inventaris van softwarecomponenten en hun relaties. Voor een apparaatsbeoordeling helpt dit vaststellen welke software aanwezig is en waar informatie van leveranciers of over kwetsbaarheden kan worden gevonden.
SBOM
Legt componentnamen, leveranciers, versies, identificatiegegevens, hashes, afhankelijkheden en auteurschapsinformatie vast zodat fabrikant en klant blootstelling via componenten en de ondersteuningsstatus kunnen volgen.
Dreigingsmodel
Legt bedrijfsmiddelen, actoren, vertrouwensgrenzen, gegevensstromen, interfaces, aanvalspaden, dreigingen, risicobeperkende maatregelen, aannames en besluiten over restrisico vast.
Beveiligingsarchitectuur
Toont hoe maatregelen zoals authenticatie, autorisatie, versleuteling, logging, updatebeveiliging en herstel in het systeem en de bijbehorende services zijn geplaatst.
Risicobeheer
Bepaalt of het resterende risico aanvaardbaar is en hoe bevindingen op het gebied van cyberbeveiliging gevolgen hebben voor veiligheid, prestaties, etikettering, postmarkettoezicht en herstelmaatregelen.
Koppeling aan de fase vóór marktintroductie
De huidige FDA-richtsnoeren voor de fase vóór marktintroductie verwachten dat de SBOM, dreigingsmodellering, cyberbeveiligingsrisicobeoordeling, architectuur en testbewijzen samenwerken. Voor een cyberapparaat onder sectie 524B is de SBOM een wettelijk vereist onderdeel van de indiening en moet deze commerciële, opensource- en kant-en-klare softwarecomponenten bevatten.
- Het dreigingsmodel moet het apparaatsysteem, externe entiteiten, implementatie, interoperabiliteit, onderhoud, updates, aannames over de toeleveringsketen en buitengebruikstelling omvatten.
- De SBOM moet door de fabrikant ontwikkelde en externe componenten, upstream-afhankelijkheden, ondersteuningsstatus en informatie bevatten die nodig is om bekende kwetsbaarheden te beoordelen.
- Architectuuroverzichten moeten interfaces, protocollen, vertrouwensgrenzen, gebruikers, beheersmaatregelen, verwante systemen en updatepaden toelichten.
- Tests moeten aantonen dat de geselecteerde beveiligingsmaatregelen en risicobeperkende maatregelen voor dreigingen werken, waaronder kwetsbaarheidstests en waar relevant penetratietests.
Een SBOM-vermelding moet traceerbaar zijn naar de plaats van de component in de architectuur en de relevante kwetsbaarheidsanalyse. Deze koppelingen verbinden de inventaris met dreigingsmodellering, tests, etikettering en postmarketbeheer.
Koppeling aan de fase na marktintroductie
Na de release worden de SBOM en het dreigingsmodel operationele registraties. De SBOM helpt blootstelling vast te stellen wanneer een leverancier, opensourcepakket, commerciële component of afhankelijkheid van het besturingssysteem verandert. Het dreigingsmodel helpt bepalen of die blootstelling in de daadwerkelijke apparaatarchitectuur en gebruiksomgeving patiëntschade kan veroorzaken.
Controleer of de getroffen versie en code aanwezig zijn in het apparaat en bepaal vervolgens hoe een aanvaller deze kan bereiken. Beoordeel de bestaande maatregelen en mogelijke schade voor patiënten. De uitkomst geldt voor de geanalyseerde configuraties; voor andere versies die nog worden gebruikt kan een afzonderlijke beoordeling nodig zijn.
Het dreigingsmodel moet worden bijgewerkt wanneer een nieuwe kwetsbaarheid, aanvalstechniek, gewijzigde implementatieaanname, nieuwe interface, nieuwe cloudservice of gewijzigd updatepad het risicobeeld verandert.
Vulnerability Exploitability eXchange (VEX) communiceert een impactbeoordeling voor een benoemde kwetsbaarheid en een bepaald product. Vermeld welke versie en configuratie zijn beoordeeld en licht voorwaarden toe die de ontvanger moet blijven toepassen. Als herstel nodig is, vermeld dan de update of een andere maatregel die de gebruiker kan nemen.
Bruikbare registraties onderhouden
De SBOM en het dreigingsmodel moeten de productversie identificeren die zij beschrijven en na de release actueel blijven. De SBOM moet ook een machineleesbaar formaat hebben. Beide registraties moeten worden gekoppeld aan het risicobeheerdossier.
De NTIA-basislijn van 2021 noemt gegevenselementen zoals leveranciersnaam, componentnaam, versietekenreeks, componentidentificatie, afhankelijkheidsrelatie, auteursnaam en tijdstempel. De FDA voegt apparaatspecifieke verwachtingen toe, zoals softwareondersteuningsstatus, bekende kwetsbaarheden en de relatie met risicobeheersmaatregelen voor het apparaat.
Het model moet uitleggen hoe een aanvaller een apparaatfunctie kan bereiken en welke bescherming die handeling voorkomt of beperkt. Beschrijf het apparaat en verbonden systemen en koppel vervolgens elk aanvalsscenario aan de voorwaarden, geselecteerde beheersmaatregelen en het resterende risico.
- Een offline apparaat kan nog steeds schadelijke invoer ontvangen via een update- of onderhoudsinterface. Neem deze paden op in het dreigingsmodel.
- Een SBOM zonder bekende kritieke CVE's zegt weinig over ontwerpfouten of ontbrekende toegangscontroles. Beoordeel die dreigingen aan de hand van de architectuur.
- Een rapport van een penetratietest geldt voor de vermelde reikwijdte en configuratie. Gebruik de resultaten samen met de ontwerpanalyse en geplande onderhoudsmaatregelen.
- Als de bescherming afhankelijk is van het netwerk van de klant, vermeld dan de vereiste maatregelen en controleer of deze de dreiging afdekken. Informeer de klant over de voorwaarden die deze moet blijven toepassen.
Bronnen
- FDA, richtsnoeren voor cyberbeveiliging vóór marktintroductie, februari 2026
- FDA, richtsnoeren voor cyberbeveiliging na marktintroductie, december 2016
- NTIA, Framing Software Component Transparency: Establishing a Common Software Bill of Materials
- MITRE, draaiboek voor dreigingsmodellering van medische hulpmiddelen