PSIRT-työkalut vertailussa

Lyhyt vastaus

• Toimittajien laiteohjelmisto binääreinä: ONEKEY, Finite State, NetRise tai Cybellum. Binäärianalyysi on tapa nähdä sellaisen koodin sisään, jonka buildia et koskaan aja.
• Auto-, lääkintä- tai teollisuuslaitteet sääntelypohjineen: Cybellum, jossa on pohjat FDA PMA:lle, ISO 21434:lle ja EU:n CRA:lle.
• Lääkinnälliset laitteet ja FDA-hakemukset: Medcrypt ja sen Helm SBOM:eille ja haavoittuvuuksille.
• Monta skanneria yhteen jonoon PSIRT-tiedotteiden työnkululla: DefectDojo, avointa lähdekoodia ja Pro-versio.
• Kirjausjärjestelmä monen toimittajan SBOM:eille: Cybeats SBOM Studio.
• Yocto- tai Buildroot-kuvat kuratoidulla CVE-datalla: Timesys Vigiles.
• Suojaus myös laitteessa: Exein.
• Ilmainen, itse ylläpidetty paikka SBOM:ien seurantaan: OWASP Dependency-Track.
• GitHub Actionsissa buildaamasi ohjelmisto: CRACI, joka tallentaa SBOM:n jokaisesta buildista, säilyttää jokaisen aiemman buildin ja seuraa toimitettua.

Kenelle tämä sivu on

Johdat tai rakennat tuoteturvallisuustoimintoa ja valitset sen taustalle työkaluja. Jos rooli on vielä määrittelyvaiheessa, aloita siitä, mitä PSIRT tekee. Me teemme CRACI:a, joten ota se huomioon. Jokainen väite muista tuotteista perustuu niiden omaan sivustoon tai dokumentaatioon, jotka tarkistettiin lokakuussa 2026, ja useimmista tämän sivun toimittajista on oma, pidempi CRACI vs. X -sivunsa.

Mitä PSIRT-työkalun on tehtävä

Työ noudattaa haavoittuvuuksien hallinnan elinkaarta, ja PSIRT tarvitsee tukea jokaisessa vaiheessa:

1. Tiedä, mitä toimitetaan. SBOM jokaisesta tuoteversiosta, transitiiviset riippuvuudet ja toimittajien komponentit mukaan lukien. Kaikki tämän jälkeen riippuu siitä, että se on kattava.
2. Huomaa uudet haavoittuvuudet. Jatkuva seuranta, joka täsmää uudet tietoturvatiedotteet jokaiseen julkaistuun versioon, ei vain seuraavaan.
3. Löydä haavoittuvat tuotteet. Mitkä tuotteet, versiot ja buildit sisältävät komponentin, ja kuinka kauan ne sisälsivät sen.
4. Tee triage ja ohjaa eteenpäin. Päätä, mikä on tärkeää, ja lähetä se korjauksesta vastaavalle tiimille.
5. Kerro, mikä ei ole haavoittuva. VEX kirjaa, mitä tuotteita haavoittuvuus koskee ja miksi muut eivät ole haavoittuvia.
6. Ota vastaan ilmoituksia ja tiedota. Kanava ulkopuolisille tutkijoille, tapausten seuranta ja tietoturvatiedotteet, usein koneluettavana CSAF-muotona.

Mikään alla olevista työkaluista ei kata kaikkia kuutta yhtä hyvin. Useimmat ovat vahvimmillaan kahdessa tai kolmessa ensimmäisessä vaiheessa, ja ne eroavat eniten siinä, mistä niiden inventaario tulee.

Miten valita

• Buildaatko ohjelmiston itse vai saatko sen valmiina? Jos suuri osa tuotteesta tulee piirivalmistajilta ja toimittajilta binääreinä, binäärianalyysillä näet sen sisään. Jos buildaat sen itse, buildi on inventaarion suorin lähde.
• Onko tuote säännelty? Lääkinnällisiin laitteisiin, ajoneuvoihin ja teollisuuslaitteisiin liittyy hakemusmuotoja ja standardeja. Jotkin työkalut tarjoavat niille valmiit pohjat; toiset jättävät sen omalle prosessillesi.
• Kuinka monta skanneria ajat jo? Jos löydöksiä tulee monesta työkalusta, niiden päällekkäisyydet poistava kokoaja voi olla tärkeämpi kuin uusi löydösten lähde.
• Mistä ulkopuoliset ilmoitukset tulevat? Tutkijoiden ilmoitukset tarvitsevat yleensä oman kanavansa (katso alta), valitsitpa minkä inventaariotyökalun tahansa.
• Onko sen oltava itse ylläpidetty? DefectDojo, Dependency-Track ja Medcrypt Enterprise toimivat omalla infrastruktuurillasi, ja Cybellum voi toimia omassa konesalissasi.

Yhdellä silmäyksellä

Kaksi taulukkoa: ensin laiteohjelmiston ja laitteiden ympärille rakennetut työkalut, sitten haavoittuvuuksien hallinnan ja SBOM:ien alustat. "Ei ilmoitettu" tarkoittaa, etteivät toimittajan sivut, joihin viittaamme, kerro asiasta kumpaankaan suuntaan. Ilmoitusten vastaanotto, tapausten hallinta ja tiedotteiden julkaisu käsitellään taulukoiden sijaan alla olevassa tekstissä.

Laiteohjelmistot ja laitteet

Haavoittuvuuksien hallinnan ja SBOM:ien alustat

CRACI

CRACI on GitHub Actions -runneri. Vaihdat runs-on-arvoksi craci, ja jokaisen jobin aikana paketit tunnistava välityspalvelin (proxy) tallentaa, mitä jobi hakee, mukaan lukien CI-välimuisteista palautetut paketit ja riippuvuudet, joita mikään lukitustiedosto ei listaa. CycloneDX- tai SPDX-muotoisessa SBOM:ssa on kattavuustila jobi- ja välimuistikohtaisesti. CRACI säilyttää jokaisen aiemman buildin SBOM:ineen, joten kun tietoturvatiedote julkaistaan, näet säilytysaikasi puitteissa, mitkä buildit sisälsivät haavoittuvan riippuvuuden, suoran tai transitiivisen, ja kuinka kauan. Sen inventaarionäkymä näyttää tarkasti, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa maailmanlaajuisesti.

Buildin jälkeen CRACI arvioi seurattuja SBOM:eja jatkuvasti uudelleen, antaa tietoturvatiimien tehdä löydösten triagen ja ohjata kunkin korjauksesta vastaavalle tiimille, ja tukee VEX:iä. Käytäntöportit voivat estää buildin, joka sisältää tietyn CVE:n, ja egress-käytäntö rajaa, mihin buildi saa yhteyden. Voit lisätä toimittajien SBOM:eja, joten ostettuja komponentteja seurataan omien buildiesi rinnalla. Aktiivisesti hyödynnetyille haavoittuvuuksille CRACI valmistelee CRA-ilmoitusten (ennakkovaroitus, ilmoitus ja loppuraportti) sisällön, jonka sinä lähetät. Yoctossa core-image-sato-kuvan rinnakkainen buildi tuotti SBOM:n, jossa oli jokainen Yocton oman SBOM:n komponentti sekä 88 komponenttia, jotka siitä puuttuivat. Hinnoittelu perustuu vain build-minuutteihin: $0.004 2 vCPU:n minuutilta, mitattuna sekunneittain, ilman kuukausimaksua ja ilman SBOM-kohtaista maksua. Sopii parhaiten: PSIRT-tiimeille, joiden tuotteet buildataan GitHub Actionsissa. Huomaa: se ei analysoi binäärejä, joten laiteohjelmisto, jota et ole itse buildannut, tarvitsee toimittajan SBOM:n tai binäärianalyysityökalun; siinä ei ole reachability-analyysiä eikä raporttivientiä; ja se tukee tällä hetkellä GitHub Actionsia, GitLab CI ja Jenkins tiekartalla. Katso CRACI PSIRT-tiimeille.

Laiteohjelmisto- ja laitealustat

Cybellum

Cybellum on tuoteturvallisuusalusta auto-, lääkintä- ja teollisuusmarkkinoiden laitevalmistajille, ja LG Electronics on omistanut siitä enemmistön vuodesta 2021. Sen Cyber Digital Twins rakennetaan laiteohjelmistobinääreistä, ja se yhdistää ne lähdekoodiin ja toimittajien SPDX-, CycloneDX- tai CPE CSV -muotoisiin SBOM:eihin. Se seuraa tuotannon jälkeisiä versioita, tekee triagen tekoälyavustajalla, VM CoPilotilla, tarjoaa "a workbench for creating and managing investigations" tiketteineen ja jakaa haavoittuvuuksien tilan VEX- ja CSAF-raporttien kautta. Sääntelypohjat kattavat FDA PMA:n, ISO 21434:n, EU:n CRA:n ja yli 50 standardia. Se toimii julkisissa pilvissä tai omassa konesalissasi. Sopii parhaiten: laitevalmistajille, jotka tarvitsevat binäärianalyysin ja sääntelynäytön samalle alustalle. Huomaa: hinnoittelua ei ole julkaistu, ja se toimii artefaktien pohjalta eikä aja buildiasi. CRACI vs. Cybellum ja Cybellumin vaihtoehdot

ONEKEY

ONEKEY analysoi käännetyn laiteohjelmiston: "no source code or network access needed." Se generoi SBOM:n binääristä, tuo toimittajien SBOM:t, etsii todennäköisiä nollapäivähaavoittuvuuksia, kuten kovakoodattuja tunnuksia, ja analysoi laiteohjelmiston uudelleen päivittäin. Sen Compliance Wizard opastaa tiimejä CRA:n, IEC 62443-4-2:n, ETSI EN 303 645:n ja radiolaitedirektiivin läpi. Sopii parhaiten: tiimeille, jotka integroivat paljon toimittajien laiteohjelmistoja. Huomaa: se käsittelee kuvaa buildin jälkeen, joten se ei tallenna, mitä buildi haki. CRACI vs. ONEKEY ja ONEKEYn vaihtoehdot

Finite State

Finite State analysoi laiteohjelmistoja, binäärejä, lähdekoodia ja toimittajien SBOM:eja, tukee yli 50:tä binääristä käskykanta-arkkitehtuuria ja kokoaa ne yhdeksi kirjaukseksi toimitetusta ohjelmistosta markkinoille saattamisen jälkeisellä seurannalla. Se priorisoi löydökset reachability-analyysin ja hyödyntämistiedon perusteella, kirjaa VEX-päätökset ja vastaavuuttaa kontrollit CRA:n ja FDA:n vaatimuksiin. Sopii parhaiten: PSIRT-tiimeille, joiden on priorisoitava pitkä löydöslista monelta toimittajalta. Huomaa: se lähtee artefakteista, joten sen hallinta, mihin oma buildisi saattoi saada yhteyden, on sen toiminta-alueen ulkopuolella. CRACI vs. Finite State ja Finite Staten vaihtoehdot

NetRise

NetRise Turbine tuottaa "a complete, binary-derived SBOM from the software itself," mukaan lukien staattisesti linkitetty ja upotettu koodi, ohjelmistoille, joita buildaat, ostat ja ajat. Se tuo SPDX- ja CycloneDX-muotoiset SBOM:t, tarkistaa jatkuvasti NVD:n, CISA KEV:n ja uhkatoimijoiden tiedot, priorisoi löydökset suorituspolun reachability-analyysin perusteella ja raportoi artefaktin sisältämät salaisuudet, avaimet ja virheelliset määritykset, ja se integroituu Jiraan ja ServiceNow'hun. Dragos ilmoitti 21.9.2026 ostaneensa NetRisen. Sopii parhaiten: operatiivisen teknologian ympäristöille ja laitekannoille, joiden ohjelmistot tulevat monelta toimittajalta. Huomaa: sen sivut eivät kuvaa VEX:iä, tapausten hallintaa tai tiedotteiden julkaisua, eikä hinnoittelua ole julkaistu. CRACI vs. NetRise ja NetRisen vaihtoehdot

Exein

Exein toimii laitteessa sekä ennen julkaisua. Exein Runtime käyttää eBPF:ää haitallisen toiminnan seurantaan ja estämiseen sulautetussa Linuxissa, ja avoimen lähdekoodin meta-exein-Yocto-kerros lisää sen Pulsar-agentin kuvaasi. Exein Analyzer skannaa laiteohjelmiston tai SBOM:si, kun binääriä ei ole saatavilla, priorisoi reachability-analyysipisteytyksellä ja vastaavuuttaa löydökset CRA:n vaatimuksiin. Sopii parhaiten: sulautetun Linuxin tuotteille, jotka tarvitsevat suojausta kentällä. Huomaa: Yocto-kerros muuttaa sitä, mitä laitteessa ajetaan; se ei aja eikä tallenna buildiasi. CRACI vs. Exein

Timesys Vigiles

Vigiles, jota nykyään myy Lynx Software Technologies, muuttaa Yocto-, Buildroot- tai OpenWrt-buildin metatiedot SBOM:ksi ja täsmää sen kuratoituun CVE-tietokantaan. Ytimen ja U-Bootin konfiguraatiosuodattimet poistavat CVE:t ominaisuuksista, joita et buildaa, triage-päätökset (affected, fixed, deferred, not exploitable) säilytetään julkaisukohtaisesti, CISA KEV -merkinnät korostetaan, ja se vie SBOM:t, VEX:n ja haavoittuvuusraportit. Sopii parhaiten: sulautetun Linuxin tiimeille, jotka haluavat vähemmän CVE-kohinaa. Huomaa: sen SBOM kuvaa sitä, mitä BitBaken metatietojen mukaan kuvaan menee, ei kaikkea, mitä buildi haki. CRACI vs. Timesys Vigiles

Haavoittuvuuksien hallinnan ja SBOM:ien alustat

DefectDojo

DefectDojo on OWASP Flagship -projekti, jolla on kaupallinen Pro-versio. Ilmainen Community Edition poistaa jo käyttämiesi skannereiden – oman ilmoituksensa mukaan yli 500 tuetun työkalun – löydöksistä päällekkäisyydet yhteen jonoon, jossa on vastuuhenkilöt, SLA:t ja Jira-tiketit. Pro lisää SBOM-tuonnin CycloneDX- ja SPDX-muodoissa, CycloneDX VEX -viennin ja PSIRT Advisory Enginen, joka ottaa vastaan tietoturvatiedotteita yli 20 syötteestä, täsmää ne SBOM-tietoihin, ryhmittelee ne vastuutetuiksi tapauksiksi ja julkaisee brändättyjä PDF-tiedotteita. Sen syyskuun 2026 julkaisu lisäsi CSAF 2.0- ja VEX-tiedotteiden viennin sekä CRA:n artiklan 14 raportointirajapinnan. Pro alkaa $100 kuukaudessa sekä $0.15 käsiteltyä löydöstä kohden. Sopii parhaiten: PSIRT-tiimeille, jotka haluavat avoimen lähdekoodin pohjan ja tiedotteiden työnkulun. Huomaa: se ei itse generoi SBOM:eja, joten inventaario on vain niin kattava kuin lataamasi aineisto. CRACI vs. DefectDojo ja DefectDojon vaihtoehdot

Medcrypt

Medcrypt auttaa lääkinnällisten laitteiden valmistajia viemään kyberturvallisuushakemuksensa FDA:n arvioinnin läpi tiimillä, johon kuuluu entisiä FDA:n arvioijia. Sen Helm-tuote tuo CycloneDX- tai SPDX-muotoiset SBOM:t API:n, GitHub Actionin tai Azure DevOpsin kautta, seuraa niitä jatkuvasti, priorisoi löydökset EPSS-, CISA KEV- ja hyödyntämistietojen avulla ja vie CycloneDX VEX- ja VDR-raportteja. Helmin sisältävä MSI maksaa $35,000 tuotelinjaa kohden vuodessa, ja sen MedISAO-jäsenyys tuo mukanaan koordinoidun haavoittuvuuksien julkistamisen ohjelman. Sopii parhaiten: lääkinnällisten laitteiden valmistajille, jotka valmistelevat tai ylläpitävät FDA-hakemuksia. Huomaa: se ottaa SBOM:eja vastaan eikä tuota niitä (generointityökalu on saatavilla pyynnöstä), ja sen hinnoittelusivun mukaan alusta kattaa tänään FDA:n. CRACI vs. Medcrypt

Cybeats

Cybeats SBOM Studio kutsuu itseään nimellä "the SBOM system of record." Se säilyttää tuotteidesi ja toimittajiesi SBOM:t SPDX-versioissa 2.2–3.0.1 ja CycloneDX-versioissa 1.2–1.7, pisteyttää niiden laadun ennen tuontia, täsmää jokaisen komponentin jatkuvasti haavoittuvuustietoihin, laatii VEX-dokumentteja ja jakaa SBOM:eja asiakkaille, myös Transparency Exchange API:n kautta. Sopii parhaiten: ICS-, lääkintälaite-, tietoliikenne- ja autoteollisuuden tuoteturvallisuustiimeille, jotka ajavat SBOM-ohjelmaa monen toimittajan kanssa. Huomaa: generointiin se ohjaa Marketplacensa toimittajiin, joten itse SBOM tulee toisesta työkalusta. CRACI vs. Cybeats ja Cybeatsin vaihtoehdot

Avoimen lähdekoodin vaihtoehto: Dependency-Track

OWASP Dependency-Track on Apache 2.0 -lisensoitu alusta, joka seuraa komponentteja jokaisen sovelluksen jokaisessa versiossa, hakee haavoittuvuustietoja lähteistä, kuten NVD:stä ja GitHub Advisoriesista, soveltaa tietoturva-, lisenssi- ja toimintakäytäntöjä sekä käsittelee ja tuottaa CycloneDX VEX -dokumentteja. CI/CD-putket lataavat SBOM:t sen API:n kautta. Se on ilmainen, ja ylläpidät ja operoit sitä itse. Sopii parhaiten: tiimeille, jotka haluavat läpinäkyvän, itse ylläpidetyn analyysialustan. Huomaa: se ei generoi SBOM:eja, joten sen tulokset riippuvat ketjussa aiemmin ajamastasi generaattorista. CRACI vs. Dependency-Track ja Dependency-Trackin vaihtoehdot

Ilmoitusten vastaanotto, tapaukset ja tiedotteet

Yllä olevat taulukot päättyvät triageen ja VEX:iin. PSIRTin muu työ, ilmoitusten vastaanotto ja tiedottaminen, on katettu epätasaisesti:

• Ulkopuolisten tutkijoiden ilmoitukset. Ne tulevat yleensä haavoittuvuuksien julkistamisohjelman kautta. Monet yritykset ajavat ohjelmaa alustalla, kuten HackerOne Response tai Bugcrowdin VDP, jotka antavat tutkijoille kanavan ilmoitusten lähettämiseen ja auttavat niiden triagessa. Toiset julkaisevat käytännön ja tietoturvayhteystiedon itse. Koordinoidun haavoittuvuuksien julkistamisen oppaamme käsittelee käytännön, security.txt:n ja aikataulut.
• Tapausten hallinta. Cybellumissa on työpöytä tutkinnoille tiketteineen. DefectDojo Pro ryhmittelee täsmätyt tietoturvatiedotteet tapauksiksi vastuuhenkilöineen ja SLA-seurantoineen. Kumpikaan ei kerro vastaanottavansa tutkijoiden ilmoituksia.
• Tietoturvatiedotteet. DefectDojo Pro julkaisee brändättyjä PDF-tiedotteita ja vie CSAF 2.0 -muotoon. Cybellum jakaa haavoittuvuuksien tilan VEX- ja CSAF-raporttien kautta. Medcryptin MedISAO-jäsenyyteen sisältyy koordinoidun haavoittuvuuksien julkistamisen ohjelma.

Miten CRACI sopii kokonaisuuteen

Jokaisen PSIRT-tapauksen ensimmäinen kysymys on, mitkä tuotteet ja versiot sisältävät haavoittuvan komponentin. Binäärianalyysi vastaa siihen toimitetun perusteella, SBOM-alustat niille antamiesi SBOM:ien perusteella ja kokoajat muiden skannereiden raporttien perusteella. CRACI vastaa siihen kirjauksesta siitä, mitä omat buildisi oikeasti hakivat, jokaisesta aiemmasta buildista säilytettynä. GitHub Actionsissa buildaamallesi ohjelmistolle se kattaa inventaarion, seurannan, triagen ja VEX:n yhdessä tuotteessa, joten erillistä SBOM-hallintatyökalua, kuten Dependency-Trackia tai Cybeatsia, ei tarvita näille buildeille.

Muut työkalut ovat parempia muualla. Cybellumin, ONEKEYn, Finite Staten tai NetRisen binäärianalyysi näkee sellaisen laiteohjelmiston sisään, jota et ole itse buildannut. Cybellum ja Medcrypt tuovat sääntelypohjat ja hakemusosaamisen. DefectDojo kokoaa satojen skannereiden löydökset ja julkaisee tietoturvatiedotteita. Finite State, NetRise ja Exein priorisoivat löydökset reachability-analyysin perusteella, mitä CRACI ei tarjoa. Lue, mitä PSIRT tekee, ja CRACI PSIRT-tiimeille, tai vertaa CRA-vaatimustenmukaisuuden työkaluja ja SBOM-työkaluja.

PSIRT-työkalut: usein kysytyt kysymykset

Mikä on PSIRT-työkalu?

Ohjelmisto, joka auttaa tuoteturvallisuuden poikkeamiin reagoivaa tiimiä (PSIRT) tekemään työnsä: tietämään, mitkä komponentit kuhunkin tuoteversioon sisältyvät, huomaamaan, kun uusi haavoittuvuus koskee niitä, tekemään triagen, ohjaamaan korjauksen, kirjaamaan, mitkä tuotteet eivät ole haavoittuvia, ja tiedottamaan asiakkaille ja viranomaisille. Harva tuote kattaa kaiken. Useimmat PSIRT-tiimit yhdistävät inventaario- ja seurantatyökalun, kanavan ulkopuolisille ilmoituksille ja tavan julkaista tietoturvatiedotteita.

Mikä PSIRT-työkalu sopii parhaiten laiteohjelmistoon, jonka saamme binääreinä?

Binäärianalyysityökalu. Cybellum, ONEKEY, Finite State ja NetRise muodostavat SBOM:n itse käännetystä laiteohjelmistosta, joten ne näkevät toimittajan koodin sisään, vaikka et koskaan aja sen buildia. Myös Exein Analyzer skannaa laiteohjelmiston ennen julkaisua. CRACI ei analysoi binäärejä; toimittajan laiteohjelmistolle se voi seurata toimittajan SBOM:ia, jos toimittaja sellaisen antaa.

Mikä PSIRT-työkalu sopii itse buildaamallemme ohjelmistolle?

Jos buildisi ajetaan GitHub Actionsissa, CRACI tallentaa SBOM:n jokaisesta buildista sen ajon aikana, säilyttää jokaisen aiemman buildin SBOM:ineen, arvioi seurattuja SBOM:eja uudelleen tietoturvatiedotteiden ilmestyessä ja näyttää, mitkä buildit sisälsivät haavoittuvan riippuvuuden ja mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa. GitLab CI ja Jenkins ovat sen tiekartalla. Yocto-kuville Timesys Vigiles muodostaa SBOM:n BitBaken metatiedoista buildin tallentamisen sijaan.

Onko olemassa ilmaista tai avoimen lähdekoodin PSIRT-työkalua?

Kahdesta tässä esitellystä työkalusta on ilmainen versio. DefectDojo Community Edition on ilmainen BSD 3-Clause -lisenssillä ja poistaa satojen skannereiden löydöksistä päällekkäisyydet yhteen jonoon; sen PSIRT Advisory Engine, SBOM-tuonti ja CSAF-vienti kuuluvat DefectDojo Prohon. OWASP Dependency-Track on ilmainen Apache 2.0 -lisenssillä ja seuraa lataamiasi SBOM:eja. Molempia ylläpidät ja operoit itse.

Ottavatko PSIRT-työkalut vastaan ilmoituksia ulkopuolisilta tutkijoilta?

Tutkijoiden ilmoitukset tulevat yleensä haavoittuvuuksien julkistamisohjelman kautta, jota ajetaan usein HackerOnen tai Bugcrowdin kaltaisella alustalla, tai julkaistun tietoturvayhteystiedon kautta. DefectDojo Pro ottaa vastaan tietoturvatiedotteita julkisista syötteistä, ja Cybellum tarjoaa työpöydän tutkintoja varten, mutta kumpikaan ei kerro vastaanottavansa tutkijoiden ilmoituksia.

Mitkä työkalut julkaisevat CSAF-tiedotteita?

DefectDojo Pro lisäsi CSAF 2.0- ja VEX-tiedotteiden viennin syyskuussa 2026 ja julkaisee brändättyjä PDF-tiedotteita. Cybellum jakaa haavoittuvuuksien tilan VEX- ja CSAF-raporttien kautta. Tämän sivun muut toimittajat eivät kuvaa CSAF-tiedotteiden julkaisua sivuilla, joihin viittaamme.

Vaatiiko CRA PSIRT-työkalua?

Mitään työkalua ei vaadita. EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) edellyttää, että valmistajat käsittelevät haavoittuvuuksia tukiajan ajan, ylläpitävät koordinoidun haavoittuvuuksien julkistamisen käytäntöä ja yhteystietoa ilmoituksille sekä 11.9.2026 alkaen raportoivat aktiivisesti hyödynnetyt haavoittuvuudet 24 tunnin, 72 tunnin ja 14 päivän kuluessa. CRACI valmistelee näiden ilmoitusten sisällön, jonka valmistajan edustaja lähettää keskitetyn raportointialustan kautta, ja DefectDojo Prossa on CRA:n artiklan 14 raportointirajapinta. Velvoite säilyy valmistajalla.