CRACIとFOSSAの比較

結論から言うと

FOSSAが最も強いのは、オープンソースのライセンスコンプライアンスとSBOMのライフサイクル管理です。アプリケーションのSBOMを生成し、サードパーティのSBOMをインポートし、脆弱性を監視し、顧客や当局と共有します。CRACIはGitHub Actionsのランナーで、各ジョブが実際に取得した依存関係を記録し、その記録から完全性の状態付きでSBOMを生成します。

FOSSAは渡されたSBOMを管理します。CRACIはビルドからSBOMを生成して監視し続けるため、自社のソフトウェアについては、CI、SBOM、脆弱性トラッキングが一か所にまとまります。ライセンスコンプライアンスが主な関心事である場合は、FOSSAが依然として先行しています。

一覧で比較

FOSSAの強み

• ライセンスコンプライアンス。FOSSAの出発点はここであり、その実力は明らかです。ライセンスを全文から検出し、ポリシーを自動適用し、著作権情報を抽出し、SPDX、HTML、テキスト形式で帰属表示を生成します。法務チームとエンジニアリングチームが同じデータをもとに作業できます。
• SBOMのライフサイクル。FOSSAは「SBOMを生成し、利用する」製品です。SPDXとCycloneDXでSBOMを生成し、必要に応じてVDRやVEXのステートメントを付けられます。既存のSBOMをインポートして「自社でビルドしない依存関係を分析」することもできます。SBOMポリシーにより、インポートしたファイルにNTIAやFDAの最小要素を必須とすることができます。
• 配布。Enterpriseプランでは、SBOM PortalでSBOMデータをパートナーと、または一般に共有できるため、顧客にファイルをメールで送る必要がありません。
• 幅広いスキャン。FOSSA CLIは20以上のビルドシステムと連携し、コンテナスキャンも含まれています。スニペットスキャンとバイナリスキャンはアドオンとして提供されています。
• 無料で始められる。Freeプランは5プロジェクトと5件のインポートSBOMまで利用できます。Businessは1プロジェクトあたり月額$20（年間請求）で、Enterpriseは個別見積もりです（2026年9月時点）。

ライセンスリスクが主な課題である場合や、多数のサプライヤーから届くSBOMを管理する必要がある場合、FOSSAはCRACIがカバーしない領域をカバーします。CRACIは宣言ライセンスのメタデータを表示し、SBOMのエクスポートに含め、ライセンスポリシーを適用します。

CRACIが異なる点

SBOMはビルドが実際に行ったことから生まれる

FOSSA CLIは、動作するビルドがあればビルドツールと連携してプロジェクトを分析し、なければソースから依存関係を推定します。これは妥当なアプローチですが、あくまでプロジェクトの分析です。CRACIは代わりにジョブを実行します。runs-onをcraciに変更すると、パッケージを認識するプロキシがビルド中のパッケージソースへの通信を記録します。対象はnpm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースと、ダウンロードプリセットです。依存関係のエビデンスはCIキャッシュと一緒に引き継がれるため、キャッシュから復元されたパッケージも、ビルドが使用したすべての推移的依存関係を含めて記録に残ります。

方法が重要なのは、SBOM生成ツールの結果が食い違い、しかもそれが設計上の違いによるものだからです。各ツールは何をコンポーネントとみなし、どのファイルを信頼するかを独自に判断するため、2つのツールを同じリポジトリに向けると、重なり合いつつも異なる2つのリストが得られます。CRACIはビルドを記録するもので、ディレクトリをスキャンできないため、FOSSAとCRACIをその条件で比較することはできません。ここで言いたいのは静的解析全般についてであり、結果はツール、その設定、存在するファイルによって変わるということです。

不完全なときはそう伝える

FOSSAのSBOMポリシーは、必須フィールドが存在するかをチェックします。CRACIはそれとは異なるシグナルを加えます。ジョブごと、キャッシュごとの完全性の状態（Complete、Complete with connections、Incomplete、Unavailable、Not recorded）で、記録そのものに欠落があったかどうかを示します。監査人から、インベントリが完全だとどうしてわかるのかと問われたとき、これがその答えになります。

制御と来歴

CRACIはジョブを実行するため、ネットワークのエグレスポリシーを適用します。デフォルト拒否またはデフォルト許可で、24種類の組み込みのソフトウェアソースプリセットと型付きのカスタムソースを備え、ジョブ開始前に検証され、フェイルクローズで動作します。APIはSBOM、ネットワークトレース、来歴を返します。

監視

CRACIは監視対象のSBOMを継続的に再評価します。FOSSAのfossabotは別の課題に取り組むもので、DependabotやRenovateからのものを含む依存関係の更新について、破壊的変更や影響をレビューします。

どこに何がデプロイされているかのインベントリ

CRACIのインベントリビューは、どのソフトウェアバージョンがどの製品にデプロイされているかを、グローバルに正確に表示します。新しい脆弱性が見つかったとき、リリースノートやスプレッドシートから寄せ集めなくても、影響を受けるバージョンを実行している製品がわかります。

FOSSAをCRACIに置き換える

自社で開発するソフトウェアについては、FOSSAのSBOMと脆弱性の機能が行うことを、CRACIが発生源からカバーします。CRACIはGitHub Actionsのジョブを実行し、各ビルドのSBOMを記録し、新たな脆弱性が公開されるたびに監視対象のSBOMを再評価し続け、ビルドとリポジトリをまたいで検出結果を集約し、セキュリティチームがそれをトリアージして、修正を担当するチームに割り当てられるようにします。ベンダーのSBOMも追加できるため、購入したコンポーネントも自社のビルドと並べて監視されます。別途保守すべきCLIステップはありません。

失うものも明確にしておきます。FOSSAのライセンスコンプライアンスは成熟しています。ポリシー、ライセンスの全文検出、著作権情報の抽出、帰属表示です。CRACIはすべてのコンポーネントの宣言ライセンスをエクスポートし、ライセンスによるビルドのブロックを含むライセンスポリシーを適用しますが、FOSSAの検出機能と帰属表示の出力はさらに踏み込んでいます。CRACIにはスニペットやバイナリのスキャンも、SBOM共有ポータルもなく、現在はGitHub Actionsのみに対応しており、GitLab CIとJenkinsはロードマップに掲載されています。ライセンスコンプライアンスが最大の関心事であれば、FOSSAを使い続けてください。

Cyber Resilience Actへの対応

FOSSAはCRAに関するガイダンスを公開しています。SBOM要件についての同社の要約は、メーカーが一般的に使われている機械可読フォーマットで「少なくとも製品のトップレベルの依存関係」を網羅するSBOMを作成し、技術文書の一部として市場監視当局と共有する、というものです。FOSSAは、インポート、生成、脆弱性分析、当局との安全な共有をCRA対応の支援として位置付けています。

トップレベルの依存関係は最低ラインであって、目標ではありません。推移的なパッケージの脆弱性も、製品の中に存在します。CRAの報告義務は2026年9月11日から適用され、積極的に悪用されている脆弱性については24時間以内の早期警告が必要です。主要な規定は2027年12月11日から適用されます。CRACIは各ビルドが使用した依存関係の全体を記録し、APIを通じてSBOM、ネットワークトレース、来歴を返し、脆弱性を含めてSBOMをCycloneDXまたはSPDXでエクスポートします。

CRACIは、企業がより広範なCRAコンプライアンスのプロセスに必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。どちらの製品も、それだけでメーカーを準拠させるものではありません。CRAの要件とCRACIによるCRAコンプライアンスをご覧ください。

CRACIとFOSSAに関するよくあるご質問

FOSSAからの移行、料金、SBOMフォーマット、CI対応

CRACIはFOSSAの代替ツールになりますか？

はい。自社で開発するソフトウェアのSBOMと脆弱性監視については代替になります。CRACIはGitHub Actionsのジョブを実行し、各ビルドのSBOMを記録し、監視対象のSBOMを再評価し続け、セキュリティチームが検出結果をトリアージして担当チームに割り当てられるようにします。オープンソースのライセンスコンプライアンスではFOSSAが引き続き先行しているため、それが最大の関心事であればFOSSAを使い続けてください。

CRACIはFOSSAを置き換えるのですか、それとも併用するのですか？

自社のソフトウェアについては、CRACIが置き換えます。CI、SBOM、脆弱性トラッキングが1つの製品にまとまり、別途保守すべきCLIステップはありません。失うのは、FOSSAの成熟したライセンスコンプライアンス機能（ライセンスの全文検出、著作権情報の抽出、帰属表示）、スニペットとバイナリのスキャンアドオン、そしてSBOM Portalです。

CRACIの料金はFOSSAと比べてどうですか？

2026年9月時点で、FOSSAには5プロジェクトと5件のインポートSBOMまで使えるFreeプラン、1プロジェクトあたり月額$20（年間請求）のBusinessプラン、個別見積もりのEnterpriseプランがあります。CRACIの課金はビルド時間のみです。1vCPU分あたり$0.002（デフォルトの2 vCPUランナーでは$0.004）で、秒単位で計測され、月額料金もSBOMごとの課金もありません。最新の条件は料金をご覧ください。

FOSSAとCRACIはどのSBOMフォーマットに対応していますか？

どちらもSPDXとCycloneDXでエクスポートできます。FOSSAはSBOMにVDRやVEXのステートメントを追加できます。CRACIはすべてのビルドのSBOMを推移的依存関係と各コンポーネントの宣言ライセンスとともにエクスポートし、ジョブごと、キャッシュごとに記録の完全性を明示し、VEXにも対応しています。

CRACIはFOSSAのようにサプライヤーのSBOMを追跡できますか？

はい。ベンダーのSBOMをCRACIに追加でき、購入したコンポーネントは自社で開発するソフトウェアと並べて監視されます。FOSSAはSPDXとCycloneDXのファイルをインポートし、NTIAやFDAの最小要素の必須化といったSBOMポリシーを適用できます。

FOSSAとCRACIはどのCIシステムに対応していますか？

FOSSA CLIはお使いのCI内で動作し、20以上のビルドシステムと連携します。CRACIは現在、GitHub Actions向けのランナーです。GitLab CIやJenkinsを含むその他のCIシステムはロードマップに掲載されています。

CRACIはCyber Resilience Actへの対応に役立ちますか？

はい。CRACIはトップレベルの依存関係だけでなく、各ビルドが使用した依存関係の全体を記録し、APIを通じてSBOM、ネットワークトレース、来歴を返し、CRAの脆弱性通知の内容を作成します。提出はお客様が行います。CRA対応のプロセスに必要なサプライチェーンの可視性とエビデンスのかなりの部分を自動化しますが、どちらの製品もそれだけでメーカーを準拠させるものではありません。デモを予約して、CRACIのSBOMと現在管理しているSBOMを比較してください。