醫療器械 SBOM 與威脅建模

SBOM 和威脅模型是不同記錄

瞭解組件在器械中的作用後，才能分析組件漏洞對具體器械的影響。網絡解析器可能直接接收不可信輸入；同一庫在構建時排除受影響功能後，暴露情況可能不同。SBOM 識別組件，威脅模型則提供調查這些差異所需的架構信息。

NTIA 將 SBOM 定義為機器可讀的軟件組件及其關係清單。在器械評估中，它幫助確認實際包含哪些軟件，以及應從何處查找供應商或漏洞信息。

上市前文件需要把記錄連接起來

FDA 當前上市前指南期望結合 SBOM、威脅模型、網絡安全風險評估、架構和測試證據開展評估。對於第 524B 條所稱的 cyber device，SBOM 是法定申報內容，必須包括商業、開源和現成軟件組件。

• 威脅模型應覆蓋器械繫統、外部實體、部署、互操作、維護、更新、供應鏈假設和退役。
• SBOM 應包括製造商開發和第三方組件、上游依賴、支持狀態，以及評估已知漏洞所需信息。
• 架構視圖應説明接口、協議、信任邊界、用戶、控制、相關係統和更新路徑。
• 測試應驗證所選安全控制和威脅緩解措施是否有效，並在相關時採用漏洞測試和滲透測試。

SBOM 條目應能追溯到組件在架構中的位置和相關漏洞分析。通過這些關聯，組件清單才能用於威脅建模、測試、標籤信息和上市後管理。

上市後記錄用於實際運行

發佈後，SBOM 和威脅模型用於評估在用器械。供應商、開源包、商業組件或操作系統依賴發生變化時，SBOM 幫助識別器械可能受到的影響。威脅模型則用於判斷，在實際器械架構和使用環境中，這些影響是否可能造成患者傷害。

保持記錄可用

SBOM 和威脅模型應明確對應的產品版本，並在發佈後保持更新。SBOM 還需要採用機器可讀格式。兩類記錄都應與風險管理文件關聯。