Les secteurs réglementés (dispositifs médicaux, services financiers, infrastructures critiques et aéronautique) sont soumis à des exigences de sécurité de la chaîne d'approvisionnement logicielle imposées par les régulateurs, qui vont au-delà des recommandations générales de bonnes pratiques. Les recommandations Cybersecurity in Medical Devices de la FDA exigent des SBOM comportant des inventaires de composants lisibles par machine. Le DORA exige une gestion des risques liés à la chaîne d'approvisionnement ICT assortie d'obligations précises en matière de risque de concentration et de plans de sortie. La norme NERC CIP exige une gestion des risques liés à la chaîne d'approvisionnement pour les logiciels et micrologiciels des services publics d'électricité. La circulaire FAA AC 119-1 traite de la sécurité des logiciels dans l'aviation. Le cadre réglementaire de chaque secteur traite les risques de la chaîne d'approvisionnement logicielle les plus pertinents au regard des caractéristiques de sécurité et d'exploitation de ce secteur, et chacun impose des exigences de documentation et de preuve que les programmes généraux de sécurité de la chaîne d'approvisionnement ne produisent pas forcément dans le format précis attendu par les régulateurs.
La lacune de documentation VEX est le défi propre aux dispositifs médicaux. Les examinateurs de la FDA qui évaluent les SBOM joints aux dossiers de mise sur le marché vérifient si les vulnérabilités connues des composants listés dans le SBOM présentent des risques pour la sécurité des patients. Les déclarations informelles d'un fournisseur selon lesquelles des vulnérabilités ne sont pas exploitables dans le contexte du dispositif n'équivalent pas à une documentation VEX formelle : le format VEX fournit l'enregistrement structuré et vérifiable de l'évaluation d'exploitabilité que les régulateurs peuvent examiner et auditer. Un fournisseur dont le processus d'évaluation des vulnérabilités produit des conclusions d'exploitabilité exactes mais ne les documente pas au format VEX se heurtera aux mêmes frictions réglementaires qu'un fournisseur qui n'a pas du tout évalué l'exploitabilité.
La dimension chaîne d'approvisionnement du DORA en matière de ICT s'applique aux services financiers. L'article 30 du DORA exige que les contrats ICT portant sur des services critiques ou importants comprennent des dispositions relatives à la sécurité de la chaîne d'approvisionnement, en imposant notamment aux prestataires tiers de services ICT d'identifier et d'évaluer leurs sous-traitants de services ICT et de communiquer les risques liés à la chaîne d'approvisionnement ICT. Cela étend l'obligation de TPRM de l'entreprise au fournisseur et crée un cadre réglementaire pour les exigences de sécurité de la chaîne d'approvisionnement dans les contrats fournisseurs, qui va au-delà des recommandations de bonnes pratiques.
Pourquoi c’est important
La sécurité de la chaîne d'approvisionnement dans les secteurs réglementés est importante pour la TPRM, car les entreprises des secteurs réglementés sont soumises à des exigences réglementaires précises et documentées que leurs fournisseurs doivent également respecter, et que les évaluations générales de la sécurité de la chaîne d'approvisionnement peuvent ne pas couvrir dans le format requis. Un fournisseur dont la chaîne d'approvisionnement est sécurisée selon les pratiques générales peut tout de même créer des frictions réglementaires si sa documentation ne répond pas aux normes de preuve réglementaires du secteur.
- Sécurité générale de la chaîne d'approvisionnement acceptée sans tenir compte des exigences réglementaires sectorielles
- SBOM fourni sans VEX : l'examinateur réglementaire ne peut pas évaluer le statut des vulnérabilités
- Obligations du DORA relatives à la chaîne d'approvisionnement non transposées dans les exigences contractuelles des fournisseurs
- Exigences réglementaires de format non communiquées aux fournisseurs
- Effets sur les délais réglementaires d'une documentation manquante de la chaîne d'approvisionnement non anticipés
À quoi ressemblent les bonnes pratiques
Les programmes matures de chaîne d'approvisionnement des secteurs réglementés font correspondre les exigences réglementaires aux attentes en matière de documentation des fournisseurs, exigent des fournisseurs qu'ils produisent leur documentation de la chaîne d'approvisionnement dans les formats prescrits par les régulateurs compétents et intègrent la conformité réglementaire de cette documentation aux exigences d'évaluation des fournisseurs.
- Correspondance des obligations réglementaires sectorielles relatives à la chaîne d'approvisionnement
- Exigence de documentation VEX pour les fournisseurs de dispositifs réglementés par la FDA
- Dispositions du DORA sur la chaîne d'approvisionnement ICT dans les contrats fournisseurs des services financiers
- Exigences de format sectorielles communiquées aux fournisseurs
- Planification des délais réglementaires pour l'examen de la documentation de la chaîne d'approvisionnement
Outils
Dispositifs médicaux : recommandations de cybersécurité de la FDA sur FDA.gov ; recommandations MITRE sur le SBOM pour les dispositifs médicaux ; IEC 81001-5-1 pour les logiciels de dispositifs médicaux
Les recommandations Cybersecurity in Medical Devices de la FDA et ses documents d'orientation sur les dossiers de mise sur le marché précisent les exigences relatives au SBOM, à la divulgation des vulnérabilités et à la sécurité des mises à jour logicielles pour les dossiers de dispositifs médicaux. Pour les praticiens de la TPRM dans les secteurs réglementés, faire correspondre les exigences d'évaluation des fournisseurs aux documents d'orientation réglementaires propres à leur secteur fournit les normes de format et de preuve que les cadres généraux d'évaluation de la chaîne d'approvisionnement ne traitent pas.
Enjeux de gouvernance
Le défi de gouvernance de la sécurité de la chaîne d'approvisionnement dans les secteurs réglementés est l'exigence d'expertise transverse. La conformité réglementaire de la chaîne d'approvisionnement exige à la fois une expertise en sécurité de la chaîne d'approvisionnement et une expertise en conformité réglementaire, une combinaison qui suppose généralement une collaboration entre l'équipe de sécurité et l'équipe des affaires réglementaires. La solution de gouvernance consiste à créer un groupe de travail transverse réunissant ces deux expertises pour définir les exigences de documentation de la chaîne d'approvisionnement des fournisseurs.
- Faire correspondre les exigences réglementaires sectorielles aux normes de documentation des fournisseurs
- Exiger une documentation VEX des éditeurs de logiciels pour dispositifs médicaux soumis à des dossiers FDA
- Inclure les dispositions du DORA relatives à la chaîne d'approvisionnement dans les contrats fournisseurs des services financiers
- Groupe de travail transverse réglementation-sécurité pour les exigences de documentation de la chaîne d'approvisionnement
- Prévoir les délais d'examen de la documentation réglementaire, et pas seulement ceux de l'évaluation de la sécurité
Si vous êtes une petite équipe
Identifiez les trois principales exigences réglementaires sectorielles applicables à votre programme de sécurité de la chaîne d'approvisionnement. Pour les dispositifs médicaux : les exigences de la FDA relatives au SBOM et au VEX. Pour les services financiers : les dispositions du DORA sur la chaîne d'approvisionnement ICT. Pour les infrastructures critiques : les exigences NERC CIP de gestion de la chaîne d'approvisionnement. Pour chaque exigence, identifiez le format de documentation précis que la réglementation impose et vérifiez si votre programme actuel d'évaluation de la chaîne d'approvisionnement des fournisseurs produit cette documentation. L'écart entre le format exigé et le format produit constitue le risque de non-conformité réglementaire.
- Identifier les trois principales exigences réglementaires sectorielles relatives à la chaîne d'approvisionnement
- Déterminer le format de documentation requis pour chaque exigence
- Évaluer l'écart entre les résultats actuels de l'évaluation des fournisseurs et le format réglementaire
- Communiquer les exigences réglementaires de format aux fournisseurs critiques
Ce qu’il faut exiger
Demandez directement :
« Pour les exigences réglementaires applicables à votre secteur, en particulier [SBOM/VEX exigés par la FDA pour les dispositifs médicaux, dispositions du DORA sur la chaîne d'approvisionnement pour les services financiers], produisez-vous la documentation requise au format attendu par les régulateurs, et pouvez-vous fournir des exemples de dossiers réglementaires comprenant votre documentation de la chaîne d'approvisionnement ? »
Preuves attendues
- SBOM et VEX au format réglementaire pour les fournisseurs de dispositifs médicaux
- Conformité aux dispositions du DORA sur la chaîne d'approvisionnement ICT pour les services financiers
- Exemples de dossiers réglementaires comprenant la documentation de la chaîne d'approvisionnement
- Feuille de route de conformité réglementaire pour la documentation de la chaîne d'approvisionnement
Il faut demander à un fournisseur qui affirme sécuriser sa chaîne d'approvisionnement si cette sécurité est documentée au format attendu par votre régulateur. La sécurité générale de la chaîne d'approvisionnement et une documentation de la chaîne d'approvisionnement conforme à la réglementation sont liées mais distinctes. Les quatre mois de retard dans l'examen de la FDA provenaient d'évaluations d'exploitabilité exactes présentées dans le mauvais format.
Comment le prouver
- Correspondance entre les exigences réglementaires et les normes de documentation des fournisseurs
- Exigences de format sectorielles dans les contrats fournisseurs
- Registres d'examen de la documentation réglementaire
- Groupe de travail transverse pour la conformité réglementaire de la chaîne d'approvisionnement
À retenir
SBOM fourni : exigence respectée. 17 CVE critiques dans le SBOM. Évaluations d'exploitabilité : exactes, mais pas au format VEX. Examinateur de la FDA : incapable de vérifier les évaluations sans VEX. Retard de l'examen réglementaire : 4 mois. La sécurité générale de la chaîne d'approvisionnement a produit des résultats exacts dans un format inadapté à l'examen réglementaire. Le format VEX fournit l'enregistrement structuré et vérifiable de l'évaluation d'exploitabilité que le processus d'examen réglementaire peut examiner et auditer. SBOM plus VEX, telle est la norme réglementaire pour les logiciels de dispositifs médicaux. Un SBOM sans VEX, c'est un inventaire exact assorti d'une évaluation invérifiable : les mêmes quatre mois de retard dans un autre dossier.