医疗器械 SBOM 与威胁建模

SBOM 和威胁模型是不同记录

了解组件在器械中的作用后，才能分析组件漏洞对具体器械的影响。网络解析器可能直接接收不可信输入；同一库在构建时排除受影响功能后，暴露情况可能不同。SBOM 识别组件，威胁模型则提供调查这些差异所需的架构信息。

NTIA 将 SBOM 定义为机器可读的软件组件及其关系清单。在器械评估中，它帮助确认实际包含哪些软件，以及应从何处查找供应商或漏洞信息。

上市前文件需要把记录连接起来

FDA 当前上市前指南期望结合 SBOM、威胁模型、网络安全风险评估、架构和测试证据开展评估。对于第 524B 条所称的 cyber device，SBOM 是法定申报内容，必须包括商业、开源和现成软件组件。

• 威胁模型应覆盖器械系统、外部实体、部署、互操作、维护、更新、供应链假设和退役。
• SBOM 应包括制造商开发和第三方组件、上游依赖、支持状态，以及评估已知漏洞所需信息。
• 架构视图应说明接口、协议、信任边界、用户、控制、相关系统和更新路径。
• 测试应验证所选安全控制和威胁缓解措施是否有效，并在相关时采用漏洞测试和渗透测试。

SBOM 条目应能追溯到组件在架构中的位置和相关漏洞分析。通过这些关联，组件清单才能用于威胁建模、测试、标签信息和上市后管理。

上市后记录用于实际运行

发布后，SBOM 和威胁模型用于评估在用器械。供应商、开源包、商业组件或操作系统依赖发生变化时，SBOM 帮助识别器械可能受到的影响。威胁模型则用于判断，在实际器械架构和使用环境中，这些影响是否可能造成患者伤害。

保持记录可用

SBOM 和威胁模型应明确对应的产品版本，并在发布后保持更新。SBOM 还需要采用机器可读格式。两类记录都应与风险管理文件关联。