CRACI vs Cybeats SBOM Studio

結論

Cybeats SBOM Studioは自らを「SBOMの記録システム」と称しています。自社製品とサプライヤーのSBOMを保管し、脆弱性とライセンスの情報で拡充し、継続的に監視し、顧客や規制当局と共有します。CRACIはGitHub Actionsランナーで、各ジョブが実際に取得した依存関係を記録し、その記録から完全性の状態付きのSBOMを生成します。

記録システムの正確さは、そこに入るものの正確さで決まります。SBOM Studioが管理するのは、他のツールが生成したSBOMです。CRACIはビルドからSBOMを生成して監視するため、CI、SBOM、脆弱性トラッキングが1つの製品から得られます。

概要

Cybeatsの強み

• すべてのSBOMを統制された1か所に。SBOM Studioは、ICS・OT、医療機器、通信、自動車、金融サービスの製品セキュリティチーム向けに作られています。「製品とサプライヤーにまたがるすべてのSBOMについて、統制された唯一の信頼できる情報源」を提供します。
• 幅広いフォーマットへの対応。インポートとエクスポートの両方で、SPDX 2.2〜3.0.1とCycloneDX 1.2〜1.7に対応しています。プラットフォームはVEX、AIBOM、CBOM、HBOMも扱います。
• 入り口での品質管理。SBOM Quality Scoreはインポート前にファイルを検証し、規格に沿って正しくフォーマットされているかをチェックし、SBOMが基準を満たさない理由を記録します。
• 拡充と監視。すべてのコンポーネントが脆弱性インテリジェンスと継続的に照合され、ポリシーベースのアラート、どの脆弱性が製品に影響するかを伝えるVEX、OSSとCOTSのライセンス分析が提供されます。
• 共有。Transparency Exchange APIを含め、顧客との間でSBOMとVEXを管理された形で交換できます。別製品のSBOM Consumerは、受け取ったベンダーのSBOMを検証・監視します。

サプライヤーのSBOMの受け入れ、ライセンス分析、ホスト型の共有は、いずれも現時点でSBOM StudioがCRACIより多くを提供している分野です。多数の製品とサプライヤーにまたがるSBOMプログラムの運用がチームの仕事であれば、SBOM Studioはそのために作られています。

CRACIの違い

ビルドからSBOMを生成する

SBOM StudioはSBOMを取り込みます。生成については、CybeatsはMarketplaceを案内しています。これはバイナリコンポジション解析とSBOM生成ツールのベンダーを集めたものです。つまり、記録システム内のコンポーネント一覧は、結局何らかのスキャナーから来ています。

CRACIはジョブを実行します。runs-onをcraciに変更すると、パッケージを認識するプロキシが、ビルド中のパッケージソースへの通信を記録します。対象はnpm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースとダウンロードプリセットです。依存関係のエビデンスはCIキャッシュと一緒に引き継がれるため、キャッシュから復元されたパッケージも記録に残ります。SBOMには、ビルドが実際に使用したすべての推移的依存関係が含まれます。

正しい形式であることは、完全であることと同じではない

品質スコアは、SBOMが規格に従い、想定されるフィールドを備えていることを確認できます。しかし、ジェネレーターが一度も目にしなかったものについては何も分かりません。ジェネレーター同士は構造的に一致しません。それぞれが異なるファイルの集合を読み、異なる方法で解決するためです。正しい形式のドキュメントであっても、そこから漏れた依存関係がそもそもツールの目の前にあったかどうかは何も示しません。NTIAのsupplierフィールドがよい例です。存在するかしないかで検証されますが、ほとんどのジェネレーターにはその情報源がありません。CRACIはビルドを記録し、ディレクトリをスキャンできないため、この方法でスコアを付けることはできません。

CRACIは記録そのものから、ジョブごと・キャッシュごとに完全性を示します。状態はComplete、Complete with connections、Incomplete、Unavailable、Not recordedのいずれかです。記録の欠落は推測ではなく、把握されています。

制御と来歴

CRACIはジョブを実行するため、ネットワークのエグレスポリシーを適用します。デフォルト拒否またはデフォルト許可で、24種類の組み込みソフトウェアソースプリセットと型付きカスタムソースを備え、ジョブの開始前に検証され、フェイルクローズで動作します。APIはSBOM、ネットワークトレース、来歴を返します。

監視

CRACIは監視対象のSBOMを継続的に再評価し、ビルドとリポジトリをまたいで脆弱性を集約します。

どこに何がデプロイされているかのインベントリ

CRACIのインベントリビューでは、どのソフトウェアバージョンがどの製品にデプロイされているかを、グローバルに正確に把握できます。新たな脆弱性が見つかったとき、リリースノートやスプレッドシートからつなぎ合わせることなく、影響を受けるバージョンを使用している製品を確認できます。

SBOM StudioをCRACIに置き換える

GitHub Actionsを使うソフトウェアチームにとって、CRACIは、SBOMの記録システムが自社製品のために果たすべき役割をカバーします。各ビルドでSBOMを生成し、新たな脆弱性が公開されるたびに監視対象のSBOMを再評価し続け、ビルドとリポジトリをまたいで検出結果を集約し、セキュリティチームがそれらをトリアージして、それぞれを修正を担当するチームに振り分けられるようにします。ベンダーのSBOMを追加することもできるため、購入したコンポーネントも自社のビルドと並べて監視できます。別途ジェネレーターを実行する必要も、インポート手順を保守する必要もありません。

手放すものも明確にしておきます。SBOM StudioはOSSとCOTSのライセンス分析、AIBOM、CBOM、HBOMを扱い、インポート時にSBOMの品質をスコアリングし、Transparency Exchange APIで顧客とSBOMを共有します。CRACIは記録した宣言ライセンスに対してライセンスポリシーを適用しますが、それ以外の機能は現時点ではありません。多数の製品、サプライヤー、顧客にまたがるSBOMプログラムの運用が仕事であれば、SBOM Studioはそのために作られています。

Cyber Resilience Actへの対応

CybeatsはCRAに直接取り組んでいます。この規制を「現在のSBOM導入の主な推進力」と呼び、SBOM Studioが「準拠した最新のSBOMを生成」し、メーカーが製品ライフサイクル全体でソフトウェアの透明性を維持できるよう支援するとしています。同社の規制ガイドでは、24時間、72時間、14日間の報告タイムラインが説明されています。

CRAの報告義務は2026年9月11日からCRA Single Reporting Platformを通じて適用され、主要な規定は2027年12月11日から適用されます。24時間以内の早期警告は、影響を受けるコンポーネントを含むリリースをすばやく把握できるかどうか、そしてそれを示すインベントリを信頼できるかどうかにかかっています。CRACIのAPIはSBOM、ネットワークトレース、来歴を返し、SBOMは脆弱性を含めてCycloneDXまたはSPDXでエクスポートできます。

CRACIは、企業がより広範なCRAコンプライアンスのプロセスで必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。どちらの製品も、それだけでメーカーをコンプライアンスに適合させるものではありません。CRAが求めるもの、CRACIによるCRAコンプライアンス、産業用IoTをご覧ください。

3つ以上のツールを比較検討していますか？Cybeatsの代替ツールでは、9つの選択肢を並べて比較しています。