Vuonna 2026 raportoitiin päivässä 131% enemmän CVE:itä kuin edellisenä vuonna.

CRA-vaatimustenmukaisuus tietoturvatiimeille

Buildin aikana kerätty näyttö, haavoittuvuuksien valvonta ja triage CRA-prosessisi toimitusketjuosuuteen

Jatkuva tietoturvan valvonta

CRACI arvioi toimittamiesi ohjelmistojen valvotut SBOM:t uudelleen aina, kun uusia haavoittuvuuksia julkaistaan, ja kokoaa löydökset kaikista buildeista ja repositorioista. Se on tallentaja, ei skanneri: jokainen SBOM syntyy siitä, mitä buildi todella haki, ja sillä on kattavuustila. Hälytykset ilmoittavat egress-käytännön rikkomuksista.

Vulnerability tracking after release After a release ships, its SBOM stays monitored. When a new vulnerability is published, CRACI re-evaluates the monitored SBOMs, finds the affected releases, and the security team triages the finding and routes it to the team that owns the fix. The inventory view shows which software versions are deployed to which products. Release shipped SBOM monitored Later New advisory published Re-evaluated automatically Finding: critical, in 2 releases 1. Triage 2. Route to owner 3. Team fixes Policy gates can block a build on findings · VEX supported Inventory: deployed versions Product Version Web app v4.12.0 Mobile API v2.3.1

Haavoittuvuuksien triage

Tietoturvatiimit luokittelevat ja priorisoivat (triage) löydetyt haavoittuvuudet ja ohjaavat ne korjauksesta vastaaville tiimeille, ja CRACI tukee VEX:iä. Se näyttää, mitkä buildisi, repositoriosi ja tuotteesi sisältävät haavoittuvan komponentin, joten tiedät, mihin kukin löydös kohdistuu.

Triage and routing to the owning team A security team triages a discovered vulnerability and sends it to the team that owns the fix. CRACI supports VEX for recording how a vulnerability affects your product. New finding Vulnerable component in shipped builds 3 builds 2 repositories Security team Triages the finding VEX supported Owning team Receives the finding and ships the fix Each finding reaches the people who can act on it Policy gates can block a build on findings, so a known issue does not ship again

Poikkeamiin reagointi ja seuranta

Kun haavoittuvuutta hyödynnetään aktiivisesti, CRACI valmistelee CRA-ilmoitusten sisällön (ennakkovaroitus, ilmoitus ja loppuraportti), jotka sinä lähetät. Sen inventaarionäkymä näyttää, mitkä ohjelmistoversiot on otettu käyttöön missäkin tuotteessa, ja API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot (provenance) kirjanpitoosi.

CRA notifications, prepared for you When a vulnerability is actively exploited, the CRA sets deadlines: an early warning within 24 hours, a notification within 72 hours and a final report 14 days after a fix is available. CRACI prepares their content; a person at the manufacturer submits them through the CRA Single Reporting Platform to the CSIRT and ENISA. Actively exploited vulnerability found Aware 24 hours Early warning 72 hours Notification Fix + 14 days Final report CRACI prepares the notification content You submit it through the Single Reporting Platform to the CSIRT and ENISA and shows which products and releases are affected What stays with you The reporting obligation itself Informing affected users Severe incidents: final report within one month

Toimitusketjun tietoturva

Jokainen SBOM tallennetaan sen perusteella, mitä buildi todella toi mukanaan, myös CI-välimuisteista palautetut paketit. Runnerin egress-käytäntö rajaa, mihin buildi voi ottaa yhteyttä, se validoidaan ennen jobin alkua ja virhetilanteessa liikenne estetään (fail closed), ja API palauttaa SBOM:t, verkkojäljet ja alkuperätiedot. Toimittajien SBOM:eja valvotaan omien buildiesi rinnalla.

An egress policy on the build network A build job connects to hosts in its egress policy, such as package registries and Git, and a connection to a host outside the policy is blocked. The policy is validated before the job starts and fails closed, and a violation sends an alert. Egress policy Default deny Validated before the job starts Fails closed · 24 source presets Build job on a CRACI runner npm registry allowed PyPI allowed Git over HTTPS allowed Unapproved host blocked Alert on policy violation Connections are recorded in the job's network trace

Vahvista tietoturvasi tasoa

Varaa demo ja tehosta tietoturvatyötä CRACI:n avulla

Varaa demo