CRACIとManifestの比較

結論

Manifest（Manifest Cyber）は、SBOMを中心に構築されたソフトウェアサプライチェーンプラットフォームです。自社製品、ベンダーのソフトウェア、AIモデルについて、SBOMの作成、取り込み、情報付加、共有を行います。CRACIはGitHub Actionsのランナーで、各ジョブが実際に取得した依存関係を記録し、その記録から完全性の状態付きのSBOMを生成します。

Manifestは、渡されたSBOMやスキャナーで生成したSBOMを管理します。CRACIはビルドからSBOMを生成し、そこから脆弱性を追跡します。自社でビルドするソフトウェアについては、CRACIがCI、SBOM、脆弱性トラッキングをカバーするため、別途SBOM管理プラットフォームは不要になります。

一覧で比較

Manifestの強み

• サードパーティのソフトウェア。これはManifestの最も明確な強みです。ベンダーはセキュアなポータルから直接SBOMをアップロードでき、「ベンダーがSBOMを提供しない、または提供できない場合、Manifestはバイナリを解析し、コンパイル済みのアプリケーションから直接SBOMを生成できる」としています。CRACIには相当する機能がなく、記録するのはお客様が実行するビルドです。
• SBOMの運用。ManifestはSBOMを収集・統合し、脆弱性や悪用可能性のデータで情報を付加し、その結果を自動チケット、サプライヤーへの連絡、リスクレポートにつなげます。SPDX、CycloneDX、VEXに対応しています。
• CIへの対応範囲。Manifest CLIはあらゆるCI/CDパイプラインからSBOMを生成・アップロードでき、GitHub Actions、CircleCI、Jenkins、Azure DevOpsの設定手順がドキュメント化されているほか、GitHub Appもあります。
• AIのリスク。ManifestはソフトウェアとともにAIモデルとAIBOMもインベントリ化するため、AI導入を統制する組織に適しています。
• 規制業界。同社は自社の機能をFDAのサイバーセキュリティガイダンス、EO 14028、NIST 800-218、UNECE R155、ISO/SAE 21434にマッピングしており、自動車、防衛、医療機器、政府、金融サービスの各分野で使われています。

CRACIの違い

リポジトリのスキャンではなく、ビルドの記録

ManifestのGitHub Actionは、オープンソースのスキャナーでSBOMを生成します。デフォルトはSyftで、Trivyやcdxgenなどにも対応しています。これらのツールは、指定されたファイルやイメージを読み取ります。CRACIは代わりにジョブを実行します。runs-onをcraciに変更すると、パッケージを認識するプロキシがビルド中のパッケージソースへの通信を記録します。対象はnpm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースと、ダウンロードプリセットです。依存関係のエビデンスはCIキャッシュと一緒に引き継がれるため、キャッシュから復元されたパッケージも記録に残ります。

この違いは、ファイルに書かれていない部分ですぐに表れます。Express 5.2.1はロックファイルをコミットしていないため、クリーンなチェックアウトを対象にした生成ツールには解決すべきnpmの依存関係がなく、GitHub Actionsやワークフローファイルなど、それ以外に認識できるものを返すだけです。Manifest自体はこの方法では比較できず、ビルドを記録しディレクトリをスキャンできないCRACIも同様です。要点は、スキャンの答えはツール、その設定、存在するファイルに左右され、管理プラットフォームでの後続の判断はすべてその答えを引き継ぐということです。

すべてのSBOMに完全性の状態

CRACIは、ジョブごと・キャッシュごとに完全性（Complete、Complete with connections、Incomplete、Unavailable、Not recorded）を明示します。この状態はキャッシュをまたいで推移的に引き継がれるため、すべてのアラートとレポートは、欠落が把握されたインベントリに基づいて動作します。

制御と来歴

CRACIはジョブを実行するため、ネットワークのエグレスポリシーを適用します。デフォルト拒否またはデフォルト許可を選べ、24の組み込みソフトウェアソースプリセットと型付きカスタムソースを使えます。ポリシーはジョブ開始前に検証され、フェイルクローズで動作します。APIはSBOM、ネットワークトレース、来歴を返します。CRACIは来歴に署名しません。

監視

CRACIは監視対象のSBOMを継続的に再評価し、ビルドとリポジトリをまたいで脆弱性を集約します。セキュリティチームは検出結果をトリアージし、適切なチームに割り当てられます。

どこに何がデプロイされているかのインベントリ

CRACIのインベントリビューは、どのソフトウェアバージョンがどの製品にデプロイされているかを、全世界にわたって正確に表示します。新たな脆弱性が見つかったとき、リリースノートやスプレッドシートをつなぎ合わせなくても、影響を受けるバージョンを使っている製品を確認できます。

ManifestからCRACIへの置き換え

自社でビルドする製品については、CRACIがすべてを担います。GitHub Actionsでビルドを実行し、そこからSBOMを記録し、新たな脆弱性の公開に応じてそのSBOMを再評価し続け、エビデンスをエクスポートします。設定すべきスキャナーも、パイプラインとSBOMプラットフォームの間のアップロード工程もありません。

失うものも明確にしておきましょう。Manifestの強みは購入するソフトウェアにあります。ベンダー用のアップロードポータルと、サプライヤーがSBOMを提供しない場合のバイナリ解析です。CRACIは自社のビルドと並べてベンダーのSBOMを保持できますが、ベンダー用ポータルもバイナリ解析もありません。またManifestは自動チケット作成やAIモデルのインベントリ化を提供し、複数のCIシステムに対応しています。一方、CRACIが現在対応しているのはGitHub Actionsで、GitLab CIとJenkinsはロードマップに掲載されています。サードパーティのソフトウェアが主なリスク要因であれば、Manifestのほうが適しています。

Cyber Resilience Actへの対応

ManifestはCRAに関する資料を公開しており、CRAについて「SBOM/AIBOMを生成・維持し、コンポーネントを脆弱性と来歴に結び付け、継続的な監視と通知を自動化し、CRA適合性のためのエクスポート可能なエビデンスを作成する」としています。

CRAの報告義務は2026年9月11日から適用されます。積極的に悪用されている脆弱性については、CRA Single Reporting Platformを通じて24時間以内に早期警告を行う必要があります。主要な規定は2027年12月11日から適用されます。自社製品について当局が問いうるのは、SBOMがリリースと一致していることをどう確認しているのか、という点です。CRACIの答えはビルドからのエビデンスです。APIは各ビルドのCycloneDX SBOM、来歴、ジョブのネットワークトレースを返し、SBOMはCycloneDXまたはSPDXでエクスポートできます。

CRACIは、企業がより広範なCRAコンプライアンスのプロセスで必要とするソフトウェアサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。どちらの製品も、それだけで製造者を準拠させるものではありません。CRAの要件とCRACIによるCRAコンプライアンスをご覧ください。