CRACI frente a Medcrypt

La respuesta corta

Medcrypt es una empresa de ciberseguridad de dispositivos médicos. Su plataforma, Medcrypt Security Intelligence (MSI), combina software con un equipo de antiguos revisores de la FDA para preparar, auditar y mantener la presentación de ciberseguridad de un dispositivo. La promesa de su página de inicio es "Get your cybersecurity submission approved. The first time." Helm, su producto de gestión de SBOM y vulnerabilidades, forma parte de MSI y también se vende por separado.

CRACI es un runner de GitHub Actions que registra las dependencias que cada job descargó realmente y genera la SBOM a partir de ese registro, con un estado de completitud. Después reevalúa las SBOM monitorizadas a medida que aparecen avisos, y los equipos de seguridad hacen el triaje de los hallazgos y los envían al equipo responsable de la corrección. CRACI no prepara ni revisa presentaciones ante la FDA. Para la SBOM y el seguimiento poscomercialización de vulnerabilidades del software que usted compila, CRACI sustituye a Helm, empezando por el propio build.

De un vistazo

Lo que Medcrypt hace bien

• Experiencia en la FDA en plantilla. Las comprobaciones, auditorías y plantillas de MSI las elabora un equipo que, según Medcrypt, incluye antiguos revisores de la FDA y autores de la propia guía. El plan MSI incluye 15 horas de asesoramiento al año con ellos, y la plataforma escanea los paquetes de presentación en busca de lo que señalaría un revisor. Para una primera presentación 510(k) o PMA, es una ayuda que CRACI no ofrece.
• Toda la presentación, no solo la SBOM. MSI cubre el modelado de amenazas, la evaluación de riesgos de ciberseguridad, la generación de documentos (marcada como beta), las respuestas a cartas de deficiencias y, como complemento, las pruebas de penetración mediante socios verificados.
• Trabajo poscomercialización tras la autorización. MSI incluye monitorización continua de vulnerabilidades y la pertenencia a MedISAO, que según Medcrypt aporta alertas de vulnerabilidades específicas de dispositivos, un programa de divulgación coordinada de vulnerabilidades y actualizaciones de las directrices. Su página de plataforma lo dice sin rodeos: "Section 524B made post-market cybersecurity a legal duty."
• Helm está pensado para fabricantes de dispositivos. Helm ordena los hallazgos con datos de EPSS, CISA KEV, ExploitDB y Metasploit, repuntúa vulnerabilidades de forma masiva para adaptarlas al contexto de cada dispositivo, traslada las correcciones entre versiones de producto y usa reglas de alias para relacionar componentes con entradas de la NVD. Exporta SBOM en CycloneDX y SPDX, informes VEX y VDR y un formato Medcrypt FDA SBOM.
• Un proveedor consolidado en su nicho. Medcrypt se fundó en 2016, pasó por Y Combinator e informa de $36.4M de financiación, con inversores como Johnson & Johnson Innovation, Intuitive Ventures y Dexcom Ventures. Afirma que confían en ella más de 140 fabricantes de dispositivos médicos, entre ellos 13 de los 50 principales.
• Precios publicados. MSI cuesta $35,000 por línea de producto al año con usuarios ilimitados, con facturación anual.

En qué se diferencia CRACI

Genera la SBOM, desde el build

Helm trabaja con las SBOM que usted le da. Puede subir o crear archivos CycloneDX o SPDX, o bien una GitHub Action de Helm sube un archivo de SBOM desde su workflow (la documentación indica que hoy admite CycloneDX JSON). Para los equipos sin SBOM, la documentación de Helm remite a generadores de código abierto, a la creación manual, a servicios de expertos o a una herramienta de generación de Medcrypt disponible bajo petición. Así que la lista de componentes que monitoriza Helm sigue saliendo de un escáner o de un archivo hecho a mano.

CRACI ejecuta el job. Cambie runs-on a craci y un proxy que entiende de paquetes registrará el tráfico hacia las fuentes de paquetes durante el build: fuentes npm, PyPI, RubyGems, Cargo, Go, Nix, OCI, apt, apk y Git, además de los presets de descarga. La evidencia de dependencias viaja con las cachés de CI, así que un paquete restaurado desde una caché sigue en el registro. Cada SBOM indica cuán completa es, por job y por caché: Complete, Complete with connections, Incomplete, Unavailable o Not recorded.

Builds de Linux embebido

Si su dispositivo ejecuta una imagen de Yocto, la comparación es directa. La documentación de Helm muestra cómo activar la salida SPDX propia de Yocto y subirla. CRACI ejecuta BitBake en runners de hasta 32 vCPU y 96 GB de RAM. En un build comparado de core-image-sato, la SBOM de CRACI tenía todos los componentes de la salida SPDX de Yocto, 88 más, como paquetes del host y GitHub Actions, y una package URL para cada una de las 653 versiones de crates de Rust que Yocto enumera sin ella.

Respuestas poscomercialización a partir del historial de builds

Cuando aparece una nueva vulnerabilidad, la pregunta poscomercialización es qué versiones distribuidas la contienen y durante cuánto tiempo. CRACI conserva cada build anterior y su SBOM, dentro del periodo de retención, y muestra qué builds contenían la dependencia vulnerable, directa o transitiva, para que sepa durante qué periodo estuvo afectado. Su vista de inventario muestra qué versiones de software están desplegadas en qué productos. Los controles de política pueden detener un build posterior que siga conteniendo un CVE concreto.

Control sobre lo que el build puede alcanzar

Como CRACI es el runner, aplica una política de egress de red: denegación por defecto o permiso por defecto, con 24 presets integrados de fuentes de software y fuentes personalizadas tipadas, validada antes de que empiece el job y que bloquea si falla. Alerta de las infracciones de la política. Medcrypt no ejecuta su build, así que esto queda fuera de su alcance.

En virtud de la sección 524B de la FDA

Según la sección 524B, la presentación de un dispositivo cibernético debe incluir una SBOM con los componentes de software comerciales, de código abierto y disponibles en el mercado, y un plan para monitorizar y abordar las vulnerabilidades poscomercialización. Ambos productos tocan estos requisitos de maneras distintas.

Medcrypt trabaja en la propia presentación: el modelo de amenazas, la evaluación de riesgos, los documentos, la auditoría frente a lo que señalan los revisores de la FDA y la respuesta si la FDA envía una carta de deficiencias. Su página de precios indica: "FDA is what the platform covers today."

CRACI aporta evidencia que sale del build: una SBOM de lo que el build utilizó realmente, exportada en CycloneDX o SPDX, y la monitorización continua de esa SBOM tras el lanzamiento, con triaje y envío al equipo responsable de la corrección. CRACI no redacta, revisa ni presenta documentación para la FDA, y no hace que un dispositivo cumpla. El plan y la presentación siguen siendo trabajo del fabricante. Para saber cómo encaja esto en un equipo de seguridad de producto, consulte qué hace un PSIRT y CRACI para equipos PSIRT.

Cuándo elegir cada uno

• Está preparando una primera presentación o respondiendo a una carta de deficiencias. Medcrypt. Los antiguos revisores de la FDA, las auditorías de presentaciones y el modelado de amenazas son aquello para lo que está pensado, y CRACI no hace nada de eso.
• Necesita gestión de SBOM y vulnerabilidades para el software que compila en GitHub Actions. CRACI. Genera la SBOM en cada build y la monitoriza, así que no hay ningún generador aparte que ejecutar ni ningún paso de subida que mantener.
• Necesita cifrado, gestión de claves o identidad de dispositivo sobre el terreno. Guardian, de Medcrypt, cubre la seguridad en el dispositivo. CRACI trabaja en el build, no en el dispositivo.
• Sus builds se ejecutan en GitLab CI o Jenkins. Helm ofrece una API, una GitHub Action y una extensión de Azure DevOps para subir SBOM. CRACI es compatible hoy con GitHub Actions, con GitLab CI y Jenkins en la hoja de ruta.

Sustituir Helm por CRACI

Para el software de dispositivos compilado en GitHub Actions, CRACI cubre aquello para lo que existe Helm: genera la SBOM en cada build, reevalúa las SBOM monitorizadas a medida que se publican nuevas vulnerabilidades, agrega los hallazgos de todos los builds y repositorios, admite VEX y permite a los equipos de seguridad hacer su triaje y enviar cada uno al equipo responsable de la corrección. También puede añadir SBOM de proveedores, de modo que los componentes comprados se monitoricen junto a sus propios builds.

Tenga claro a qué renuncia. Helm ordena los hallazgos con inteligencia sobre exploits como EPSS y CISA KEV, ofrece orientación con IA sobre mitigaciones, relaciona componentes con reglas de alias, sigue los datos de fin de soporte y exporta informes VDR y el formato Medcrypt FDA SBOM. Y ni el trabajo de presentación de MSI, ni sus horas de asesoramiento, ni la pertenencia a MedISAO tienen equivalente en CRACI. Si su principal necesidad es superar la revisión de la FDA de una presentación, Medcrypt está pensado para eso.

¿Compara más herramientas para equipos de seguridad de producto? Consulte la comparativa de herramientas PSIRT.