CRACIとMedcryptの比較

結論から言うと

Medcryptは医療機器のサイバーセキュリティ企業です。同社のプラットフォームであるMedcrypt Security Intelligence（MSI）は、ソフトウェアと元FDA審査官のチームを組み合わせて、機器のサイバーセキュリティ申請の準備、監査、維持を行います。ホームページに掲げる約束は「サイバーセキュリティ申請を承認に。それも一度で。」です。同社のSBOMと脆弱性管理の製品であるHelmはMSIの一部であり、単体でも販売されています。

CRACIはGitHub Actionsのランナーで、各ジョブが実際に取得した依存関係を記録し、その記録から完全性の状態付きでSBOMを生成します。その後、アドバイザリーが公開されるたびに監視対象のSBOMを再評価し、セキュリティチームが検出結果をトリアージして修正を担当するチームに割り当てます。CRACIはFDA申請の準備やレビューは行いません。自社で開発するソフトウェアのSBOMと市販後の脆弱性トラッキングについては、CRACIがビルドそのものを起点にHelmを置き換えます。

一覧で比較

Medcryptの強み

• FDAの専門家が在籍。MSIのチェック、監査、テンプレートは、Medcryptの言葉を借りれば「元FDA審査官とガイダンスの執筆者自身」を含むチームが作成しています。MSIプランには彼らによるアドバイザリーが年間15時間含まれ、プラットフォームは審査官が指摘しそうな点について申請パッケージをスキャンします。初めての510(k)やPMAの申請では、これはCRACIが提供しない支援です。
• SBOMだけでなく申請全体を支援。MSIは、脅威モデリング、サイバーセキュリティのリスク評価、文書生成（ベータ版）、不備通知への回答、さらに審査済みパートナーによるアドオンとしてのペネトレーションテストをカバーしています。
• 承認後の市販後対応。MSIには継続的な脆弱性監視とMedISAOのメンバーシップが含まれ、Medcryptによれば、医療機器に特化した脆弱性アラート、協調的な脆弱性開示プログラム、ガイダンスの更新情報が得られます。同社のプラットフォームページははっきりとこう述べています。「Section 524Bにより、市販後のサイバーセキュリティは法的義務となった。」
• Helmは医療機器メーカー向けに設計。HelmはEPSS、CISA KEV、ExploitDB、Metasploitのデータで検出結果をランク付けし、各機器のコンテキストに合わせて脆弱性を一括で再スコアリングし、修正内容を製品バージョン間で引き継ぎ、エイリアスルールでコンポーネントをNVDのエントリーと照合します。CycloneDXとSPDXのSBOM、VEXとVDRのレポート、Medcrypt FDA SBOMフォーマットをエクスポートできます。
• この分野で実績のあるベンダー。Medcryptは2016年に創業し、Y Combinatorを経て、Johnson & Johnson Innovation、Intuitive Ventures、Dexcom Venturesなどの投資家から$36.4Mの資金を調達したとしています。上位50社のうち13社を含む140社以上の医療機器メーカーから信頼されているとしています。
• 料金を公開。MSIは製品ラインごとに年間$35,000で、ユーザー数は無制限、年1回の請求です。

CRACIの違い

ビルドからSBOMを生成する

Helmは渡されたSBOMを扱います。CycloneDXやSPDXのファイルをアップロードまたは作成するか、HelmのGitHub ActionがワークフローからSBOMファイルをアップロードします（ドキュメントによると、現在対応しているのはCycloneDX JSONです）。SBOMを持たないチームに対して、Helmのドキュメントはオープンソースの生成ツール、手作業での作成、専門家によるサービス、または依頼に応じて提供されるMedcryptの生成ツールを案内しています。つまり、Helmが監視するコンポーネント一覧は、依然としてスキャナーか手作りのファイルから得られます。

CRACIはジョブを実行します。runs-onをcraciに変更すると、パッケージを認識するプロキシがビルド中のパッケージソースへの通信を記録します。対象はnpm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースと、ダウンロードプリセットです。依存関係のエビデンスはCIキャッシュと一緒に引き継がれるため、キャッシュから復元されたパッケージも記録に残ります。各SBOMは、ジョブごと、キャッシュごとにどれだけ完全かを、Complete、Complete with connections、Incomplete、Unavailable、Not recordedのいずれかで示します。

組み込みLinuxのビルド

機器でYoctoイメージが動いているなら、比較は明快です。Helmのドキュメントは、Yocto自身のSPDX出力を有効にしてアップロードする方法を説明しています。CRACIは最大32 vCPU、96 GBのRAMを備えたランナーでBitBakeを実行します。core-image-satoの比較ビルドでは、CRACIのSBOMにはYocto自身のSPDX出力のすべてのコンポーネントに加え、ホストパッケージやGitHub Actionsなど88個のコンポーネントが含まれ、YoctoがパッケージURLなしで記載している653のRustクレートバージョンすべてにパッケージURLが付いていました。

ビルド履歴から市販後の問いに答える

新しい脆弱性が見つかったとき、市販後の問いは、出荷したどのバージョンにそれが含まれ、どれだけの期間含まれていたかです。CRACIは保持期間内の過去のすべてのビルドとそのSBOMを保持し、脆弱な依存関係を（直接か推移的かを問わず）含んでいたビルドを表示するため、影響を受けていた期間がわかります。インベントリビューでは、どのソフトウェアバージョンがどの製品にデプロイされているかを確認できます。ポリシーゲートにより、特定のCVEを含んだままの後続のビルドを停止することもできます。

ビルドがアクセスできる範囲を制御

CRACIはランナーそのものなので、ネットワークのエグレスポリシーを適用します。デフォルト拒否またはデフォルト許可で、24種類の組み込みのソフトウェアソースプリセットと型付きのカスタムソースを備え、ジョブ開始前に検証され、フェイルクローズで動作します。ポリシー違反時にはアラートを発します。Medcryptはビルドを実行しないため、これは同社の対象外です。

FDA section 524Bのもとで

section 524Bのもとでは、サイバーデバイスの申請に「商用、オープンソース、既製のソフトウェアコンポーネントを含む」SBOMと、市販後の脆弱性を監視して対処する計画を含める必要があります。2つの製品は、それぞれ異なる形でこれらの要件に関わります。

Medcryptは申請そのものに取り組みます。脅威モデル、リスク評価、文書、FDA審査官が指摘する点に照らした監査、そしてFDAから不備通知が届いた場合の回答です。同社の料金ページには「現在プラットフォームがカバーしているのはFDAです」と記されています。

CRACIは、ビルドから得られるエビデンスを提供します。ビルドが実際に使用したもののSBOMをCycloneDXまたはSPDXでエクスポートし、リリース後もそのSBOMを継続的に監視し、トリアージと修正担当チームへの割り当てを行います。CRACIはFDAの文書を作成、レビュー、提出することはなく、機器を準拠させるものでもありません。計画と申請はあくまでメーカーの仕事です。製品セキュリティチームにどう適合するかについては、PSIRTの役割とPSIRTチーム向けのCRACIをご覧ください。

どちらを選ぶべきか

• 初めての申請を準備している、または不備通知に回答している場合。Medcryptです。元FDA審査官、申請書類の監査、脅威モデリングこそが同社の得意分野であり、CRACIはいずれも行いません。
• GitHub Actionsでビルドするソフトウェアに、SBOMと脆弱性管理が必要な場合。CRACIです。各ビルドでSBOMを生成して監視するため、別の生成ツールを実行する必要も、アップロードのステップを保守する必要もありません。
• 現場の機器で暗号化、鍵管理、デバイスIDが必要な場合。MedcryptのGuardianが機器側のセキュリティをカバーします。CRACIが扱うのはビルドであり、機器ではありません。
• ビルドがGitLab CIやJenkinsで実行されている場合。Helmには、SBOMをアップロードするためのAPI、GitHub Action、Azure DevOps拡張機能があります。CRACIは現在GitHub Actionsに対応しており、GitLab CIとJenkinsはロードマップに掲載されています。

HelmをCRACIに置き換える

GitHub Actionsでビルドする機器ソフトウェアについては、Helmが担う役割をCRACIがカバーします。各ビルドでSBOMを生成し、新たな脆弱性が公開されるたびに監視対象のSBOMを再評価し、ビルドとリポジトリをまたいで検出結果を集約し、VEXに対応し、セキュリティチームが検出結果をトリアージして修正を担当するチームに割り当てられるようにします。ベンダーのSBOMも追加できるため、購入したコンポーネントも自社のビルドと並べて監視されます。

失うものも明確にしておきます。HelmはEPSSやCISA KEVといったエクスプロイトインテリジェンスで検出結果をランク付けし、緩和策についてAIによるガイダンスを提供し、エイリアスルールでコンポーネントを照合し、サポート終了のデータを追跡し、VDRレポートとMedcrypt FDA SBOMフォーマットをエクスポートします。また、MSIの申請支援、アドバイザリー時間、MedISAOのメンバーシップに相当するものはCRACIにはありません。FDAの審査に申請を通すことが主な目的であれば、Medcryptはそのために作られています。

製品セキュリティチーム向けのツールをさらに比較したい方は、PSIRTツールの比較をご覧ください。