CISA оновила мінімальні елементи SBOM для кібербезпеки

Нове керівництво щодо SBOM

29 липня Агентство з кібербезпеки та безпеки інфраструктури (CISA) спільно з іншими американськими та міжнародними агентствами оприлюднило спільне керівництво. Документ окреслює мінімальні елементи для «переліку програмних компонентів» (Software Bill of Materials, SBOM), що має допомогти організаціям краще розуміти та покращувати свої зусилля з кібербезпеки.

Це керівництво оновлює та замінює мінімальні елементи, запропоновані Національною адміністрацією з телекомунікацій та інформації (NTIA) у 2021 році.

Що таке SBOM?

SBOM — це перелік усіх компонентів, що містяться у програмному продукті. Для інших типів програмного забезпечення, таких як штучний інтелект та програмне забезпечення як послуга (SaaS) у хмарних середовищах, можуть знадобитися додаткові елементи.

Вимоги для медичних пристроїв

Розділ 524B Федерального закону про харчові продукти, ліки та косметику вимагає від виробників медичних пристроїв надавати SBOM. Ця вимога стосується нових заявок на медичні пристрої, поданих до Управління з санітарного нагляду за якістю харчових продуктів і медикаментів (FDA) після 1 жовтня 2023 року.

Скотт Гі, заступник національного радника AHA з кібербезпеки та ризиків, навів приклад: «Розгляньте численні програмні компоненти, що керують пристроєм медичної візуалізації. Сам пристрій може не бути зазначений як скомпрометований, але один глибоко вбудований програмний компонент може містити не виправлену технічну вразливість, що може призвести до компрометації пристрою, а отже, і лікарняної мережі, до якої він підключений».

Для отримання додаткової інформації з питань кібербезпеки та ризиків можна звернутися до Скотта Гі або Джона Ріггі, національного радника AHA з кібербезпеки та ризиків.

Що це означає для розробників

Виробникам програмного забезпечення, особливо тим, хто працює з медичними пристроями, тепер потрібно буде дотримуватися оновлених рекомендацій щодо мінімальних елементів SBOM. Це означає, що вони повинні детально документувати всі компоненти своїх програмних продуктів, а для нових медичних пристроїв, поданих до FDA після 1 жовтня 2023 року, надання SBOM є обов'язковим.

Ключові факти

CISA та інші агентства випустили спільне керівництво щодо мінімальних елементів SBOM 29 липня.
Керівництво призначене для покращення розуміння та зусиль організацій з кібербезпеки.
Воно оновлює та замінює попередні рекомендації NTIA 2021 року.
SBOM перелічує всі компоненти програмного продукту.
ШІ та SaaS у хмарних середовищах можуть вимагати додаткових елементів SBOM.