Os setores regulados (dispositivos médicos, serviços financeiros, infraestrutura crítica e aeroespacial) enfrentam requisitos específicos de segurança da cadeia de suprimentos de software impostos pelos reguladores, que vão além das orientações gerais de boas práticas. As orientações da FDA sobre segurança cibernética em dispositivos médicos exigem SBOMs com inventários de componentes legíveis por máquina. O DORA exige a gestão de riscos da cadeia de suprimentos de ICT, com obrigações específicas sobre risco de concentração e planejamento de saída. A NERC CIP exige a gestão de riscos da cadeia de suprimentos para software e firmware de concessionárias de energia elétrica. A FAA AC 119-1 trata da segurança de software na aviação. O marco regulatório de cada setor aborda os riscos da cadeia de suprimentos de software mais relevantes para as características de segurança e operacionais desse setor, e cada um impõe requisitos de documentação e evidência que os programas gerais de segurança da cadeia de suprimentos podem não produzir no formato específico que os reguladores esperam.
A lacuna da documentação VEX é o desafio específico dos dispositivos médicos. Os revisores da FDA que avaliam submissões de SBOM na revisão pré-comercialização verificam se vulnerabilidades conhecidas em componentes listados no SBOM representam riscos à segurança do paciente. Declarações informais do fornecedor de que as vulnerabilidades não são exploráveis no contexto do dispositivo não equivalem a uma documentação VEX formal: o formato VEX oferece o registro estruturado e verificável da avaliação de explorabilidade que os reguladores podem avaliar e auditar. Um fornecedor cujo processo de avaliação de vulnerabilidades produz determinações de explorabilidade precisas, mas não as documenta no formato VEX, enfrentará o mesmo atrito regulatório que um fornecedor que nunca avaliou a explorabilidade.
A dimensão de cadeia de suprimentos de ICT do DORA aplica-se aos serviços financeiros. O artigo 30 do DORA exige que os contratos de ICT para serviços críticos ou importantes incluam disposições sobre a segurança da cadeia de suprimentos, exigindo especificamente que os prestadores terceiros de serviços de ICT identifiquem e avaliem os subcontratados de serviços de ICT e comuniquem os riscos da cadeia de suprimentos de ICT. Isso estende a obrigação de TPRM da empresa ao fornecedor e cria um marco regulatório para exigências de segurança da cadeia de suprimentos nos contratos com fornecedores que vai além das orientações de boas práticas.
Por que isso importa
A segurança da cadeia de suprimentos em setores regulados é importante para a TPRM porque as empresas de setores regulados enfrentam requisitos regulatórios específicos e documentados que seus fornecedores também precisam cumprir, e que as avaliações gerais de segurança da cadeia de suprimentos podem não abordar no formato exigido. Um fornecedor seguro quanto à cadeia de suprimentos na prática geral ainda pode gerar atrito regulatório se sua documentação não atender aos padrões de evidência regulatória específicos do setor.
- Segurança geral da cadeia de suprimentos aceita sem os requisitos regulatórios específicos do setor
- SBOM fornecido sem VEX: o revisor regulatório não consegue avaliar o status das vulnerabilidades
- Obrigações do DORA sobre a cadeia de suprimentos não mapeadas para os requisitos contratuais dos fornecedores
- Requisitos regulatórios de formato não comunicados aos fornecedores
- Impactos nos prazos regulatórios decorrentes da falta de documentação da cadeia de suprimentos não previstos
Como é uma boa prática
Programas maduros de cadeia de suprimentos em setores regulados mapeiam os requisitos regulatórios para as expectativas de documentação dos fornecedores, exigem que os fornecedores produzam a documentação da cadeia de suprimentos nos formatos especificados pelos reguladores aplicáveis e incluem a conformidade regulatória da documentação da cadeia de suprimentos nos requisitos de avaliação de fornecedores.
- Mapeamento dos requisitos regulatórios para as obrigações setoriais específicas da cadeia de suprimentos
- Exigência de documentação VEX para fornecedores de dispositivos regulados pela FDA
- Disposições de cadeia de suprimentos de ICT do DORA nos contratos com fornecedores de serviços financeiros
- Requisitos de formato específicos do setor comunicados aos fornecedores
- Planejamento dos prazos regulatórios para a revisão da documentação da cadeia de suprimentos
Ferramentas
Dispositivos médicos: orientações de segurança cibernética da FDA em FDA.gov; orientações da MITRE sobre SBOM para dispositivos médicos; IEC 81001-5-1 para software de dispositivos médicos
As orientações da FDA sobre segurança cibernética em dispositivos médicos e os documentos de orientação para submissões pré-comercialização especificam requisitos de SBOM, requisitos de divulgação de vulnerabilidades e requisitos de segurança das atualizações de software para as submissões de dispositivos médicos. Para os profissionais de TPRM em setores regulados, mapear os requisitos de avaliação de fornecedores para os documentos de orientação regulatória específicos de seu setor oferece os padrões de formato e de evidência que os frameworks gerais de avaliação da cadeia de suprimentos não abordam.
Desafios de governança
O desafio de governança da segurança da cadeia de suprimentos em setores regulados é a exigência de conhecimento multifuncional. A conformidade regulatória da cadeia de suprimentos exige tanto conhecimento em segurança da cadeia de suprimentos quanto em conformidade regulatória, uma combinação que normalmente requer a colaboração entre a equipe de segurança e a equipe de assuntos regulatórios. A solução de governança é estabelecer um grupo de trabalho multifuncional que reúna as duas competências para tratar dos requisitos de documentação da cadeia de suprimentos dos fornecedores.
- Mapear os requisitos regulatórios específicos do setor para os padrões de documentação dos fornecedores
- Exigir documentação VEX dos fornecedores de software para dispositivos médicos com submissões à FDA
- Incluir as disposições do DORA sobre a cadeia de suprimentos nos contratos com fornecedores de serviços financeiros
- Grupo de trabalho multifuncional de regulação e segurança para os requisitos de documentação da cadeia de suprimentos
- Planejar os prazos de revisão da documentação regulatória, e não apenas os prazos da avaliação de segurança
Se você faz parte de uma equipe pequena
Identifique os três principais requisitos regulatórios específicos do setor que se aplicam ao seu programa de segurança da cadeia de suprimentos. Para dispositivos médicos: requisitos de SBOM e VEX da FDA. Para serviços financeiros: disposições de cadeia de suprimentos de ICT do DORA. Para infraestrutura crítica: requisitos de gestão da cadeia de suprimentos da NERC CIP. Para cada requisito, identifique o formato de documentação específico que a regulamentação exige e se o seu programa atual de avaliação da cadeia de suprimentos dos fornecedores produz essa documentação. A lacuna entre o formato exigido e o formato produzido é o risco de conformidade regulatória.
- Identificar os três principais requisitos regulatórios setoriais para a cadeia de suprimentos
- Mapear o formato de documentação exigido para cada requisito
- Avaliar a lacuna entre o resultado atual da avaliação de fornecedores e o formato regulatório
- Comunicar os requisitos regulatórios de formato aos fornecedores críticos
O que exigir
Pergunte diretamente:
“Para os requisitos regulatórios que se aplicam ao seu setor, especificamente [SBOM/VEX da FDA para dispositivos médicos, disposições do DORA sobre a cadeia de suprimentos para serviços financeiros], vocês produzem a documentação exigida no formato que os reguladores esperam? E podem fornecer exemplos de submissões regulatórias que incluam a sua documentação da cadeia de suprimentos?”
O que esperar como evidência
- SBOM e VEX em formato regulatório para fornecedores de dispositivos médicos
- Conformidade com as disposições de cadeia de suprimentos de ICT do DORA para serviços financeiros
- Exemplos de submissões regulatórias com documentação da cadeia de suprimentos
- Roteiro de conformidade regulatória para a documentação da cadeia de suprimentos
Um fornecedor que confirma a segurança da cadeia de suprimentos deve ser questionado se essa segurança está documentada no formato que o seu regulador espera. A segurança geral da cadeia de suprimentos e a documentação da cadeia de suprimentos em conformidade regulatória são relacionadas, mas distintas. O atraso de quatro meses na revisão da FDA decorreu de avaliações de explorabilidade precisas no formato errado.
Como comprovar
- Mapeamento dos requisitos regulatórios para os padrões de documentação dos fornecedores
- Requisitos de formato específicos do setor nos contratos com fornecedores
- Registros de revisão da documentação regulatória
- Grupo de trabalho multifuncional para a conformidade regulatória da cadeia de suprimentos
Principal conclusão
SBOM fornecido: requisito cumprido. 17 CVEs críticos no SBOM. Avaliações de explorabilidade: precisas, mas fora do formato VEX. Revisor da FDA: não consegue verificar as avaliações sem VEX. Atraso na revisão regulatória: 4 meses. A segurança geral da cadeia de suprimentos produziu resultados precisos no formato errado para a revisão regulatória. O formato VEX oferece o registro estruturado e verificável da avaliação de explorabilidade que o processo de revisão regulatória pode avaliar e auditar. SBOM mais VEX é o padrão regulatório para software de dispositivos médicos. SBOM sem VEX é um inventário preciso somado a uma avaliação não verificável: o mesmo atraso de quatro meses em outra submissão.