CRACIとSafeguardの比較

結論

Safeguardは、ソフトウェアサプライチェーンセキュリティプラットフォームを販売しています。同社のサイトによると、まだCVEが割り当てられていないものも含めて脆弱性を見つけ、到達可能性分析で絞り込み、Griffin AIモデルがパッチを作成し、CIを実行し、ポリシーに従ってプルリクエストをマージします。CycloneDXとSPDXでSBOMを生成し、SLSAの来歴を記録し、エビデンスをコンプライアンスフレームワークにマッピングし、クラウド、オンプレミス、エアギャップで動作します。ビルドは実行せず、CLIは既存のCIで動作します。

CRACIは同じサプライチェーンの予算を、異なる立ち位置から競います。CRACIはGitHub Actionsのランナーであり、各ジョブが実際に取り込んだパッケージを記録し、ジョブの実行中にエグレスポリシーを適用し、出荷したものを監視し続けます。Safeguardはコードの周辺をより広くカバーし、CRACIはビルドとそこから生まれたものをより深く扱います。

概要

Safeguardの列は、同社のサイトとドキュメントの記載内容を反映しています（2026年9月29日確認）。「記載なし」は、そこで確認できなかったことを意味します。

Safeguardの強み

• 検出だけでなく修正まで。Safeguardによると、Griffin AIは到達可能性を証明し、互換性のあるアップグレードを作成し、サンドボックス化されたブランチでCIと回帰テストスイートを実行し、ポリシーゲートに従ってマージします。すべての有料プランに、月ごとの修正プルリクエストの枠が含まれています。
• 到達可能性を優先。検出結果は、アプリケーションが実際に到達できる脆弱なコードに絞り込まれるため、キューが短く保たれます。
• 依存関係以外も。CLIはシークレットと設定ミスもSARIFとして報告し、GitHubのコードスキャンタブに表示されます。プラットフォームは、ソース、IaC、コンテナのスキャンについても説明しています。
• ハードニング済みコンポーネント。ハードニング済みイメージとパッケージの公開Goldディレクトリとレジストリがあり、既知のCVEがないコンポーネントから始められます。
• サプライヤーのリスク。Third Party Risk Managerがベンダーをスコア化し、ベンダーが提供するSBOMを検証します。Portalでは自社のSBOMを顧客に公開できます。
• 幅広いCI、導入形態の選択肢、無料プラン。ドキュメントはGitHub Actions、GitLab CI/CD、Jenkins、Azure DevOpsをカバーしています。Sovereignティアではオンプレミスとエアギャップでの導入が可能で、セルフサービスの料金を公開しており、カード登録不要の無料プランもあります。

CRACIの違い

事後のスキャンではなく、ビルドから記録

Safeguardのドキュメントによると、CLIはSyftとGrypeを実行し、接続されたリポジトリ、コンテナイメージ、package.jsonやrequirements.txtなどのアップロードされたマニフェストからSBOMを作成します。これはSBOMを作成する標準的な方法で、ファイルを読み取って何が含まれたかを割り出します。CRACIは代わりに、各ビルドに入ってくる通信を見ています。パッケージを認識するプロキシが、npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースとダウンロードプリセットにわたって、ジョブが取得したすべてのパッケージを記録し、CIキャッシュから復元されたパッケージも記録に残ります。

こうしてCRACIは、ロックファイルベースのツールが見落とす隠れた依存関係を記録します。npmのインストールフックがダウンロードするコード、ビルド時に取得を行うRustのビルドスクリプト、コンテナビルドのベースイメージのレイヤーなどです。すべてのSBOMは、ジョブごと、キャッシュごとに完全性の状態（Complete、Complete with connections、Incomplete、Unavailable、Not recorded）を持つため、記録に欠落があればそれが明示されます。

ビルドの実行中に制御

スキャナーは、見つけたものを事後に報告します。CRACIはランナーであるため、ジョブの実行中にどのホストに到達できるかを決定します。エグレスポリシーはデフォルト拒否またはデフォルト許可で、24の組み込みソフトウェアソースプリセットと型付きのカスタムソースを備え、ジョブの開始前に検証され、フェイルクローズで動作します。デフォルト拒否のポリシーでは、侵害されたパッケージがシークレットを未知のホストに送信しようとしても、誰も見たことのない攻撃であってもブロックされ、CRACIが違反についてアラートを送ります。

1つの記録から来歴とモニタリングを

Safeguardは、SLSAの来歴を生成、保存、検証するとしています。CRACIの来歴は、ジョブが実行されたランナーから得られます。APIからSBOM、ネットワークトレース、来歴を取得できます。CRACIは来歴に署名せず、SLSAレベルもうたっていません。新たな脆弱性が公開されるたびに、出荷したもののSBOMを再評価し続け、脆弱な依存関係を含んでいた過去のすべてのビルドを示すため、どれだけの期間リスクにさらされていたかを把握できます。

ランナーも製品の一部

CRACIはランナーであるため、エビデンスはコンピューティングとともに提供されます。実行は引き続きGitHubに表示され、CRACIは高速なハードウェア、短い待ち時間、キャッシュにより、GitHubホステッドランナーの約2倍の速さでビルドを実行します。CRACIの課金はビルド時間のみで、1vCPU分あたり$0.002（デフォルトの2 vCPUランナーでは$0.004）を秒単位で計測し、月額料金もSBOMごとの料金もありません。CRACIの料金をご覧ください。

どちらが適しているか

Safeguardが適しているケース

• 修正プルリクエストの作成、テスト、マージを任せたい場合。
• 到達可能性分析と、シークレットや設定ミスの検出結果を同じプラットフォームで扱いたい場合。
• GitLab、Jenkins、Azure DevOpsでビルドしている場合。
• 現時点でオンプレミスまたはエアギャップでの導入が必要な場合。
• SBOMと並べて、ハードニング済みコンポーネントのレジストリやサプライヤーのリスクスコアリングを使いたい場合。

CRACIが適しているケース

• GitHub Actionsでビルドしており、ランナー、エグレスポリシー、依存関係の記録を1か所にまとめたい場合。
• 各ビルドが実際に取得したもののSBOMを、監査人に示せる完全性の状態付きで必要とする場合。
• 出荷したもののモニタリングとビルド履歴を、同じ記録から得たい場合。

SafeguardからCRACIへの置き換え

GitHub Actionsでビルドするソフトウェアについて、CRACIはSBOMとモニタリングの役割を引き継ぎます。ビルド中に完全性を明示したSBOMを記録し、監視対象のSBOMを再評価し続け、ビルドとリポジトリをまたいで検出結果を集約し、セキュリティチームはそれらをトリアージして、それぞれを修正を担当するチームに割り当てられます。ポリシーゲートでは、特定のCVEを含め、検出結果に基づいてビルドをブロックできます。

失うものも明確にしておきましょう。CRACIは修正プルリクエストを作成せず、到達可能性分析もなく、シークレットや設定ミスのスキャンも行わず、ハードニング済みコンポーネントのレジストリも提供しません。署名付きの来歴やSLSAレベルもなく、新たな悪意あるパッケージを挙動から検出することもありません（CVE付きのアドバイザリが公開された既知の悪意あるリリースにはフラグを立てます）。また、現時点ではオンプレミスやエアギャップの選択肢もありません。対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。各リリースが何からビルドされたかの記録よりも、自動修復やこれらの導入形態のほうが重要であれば、Safeguardのほうが適しています。

SBOMツールを購入する前に確認すべきこと

以下の質問は、CRACIを含め、このカテゴリーのすべてのベンダーに当てはまります。

• SBOMはどのように生成されるか。どのツールが何から生成するのかを確認してください。ロックファイルとマニフェストか、完成したイメージのスキャンか、ビルドの記録か。そのうえで、自社のビルドの1つで実行し、推移的依存関係を含めてコンポーネントの一覧を比較してください。
• 認証は発行元に確認する。証明書や認可は、それを発行した機関に確認できます。また、フレームワークを「想定して設計」や「準拠を目指す」ことは、それを取得していることと同じではありません。Safeguardのセキュリティページでは、アーキテクチャはFedRAMP HighとIL5を想定して設計され、SOC 2 Type IIの監査は進行中と説明されています。その表現と整合的に、2026年9月29日に確認した時点では、SafeguardはFedRAMP Marketplaceに掲載されていませんでした。CRACIはInto CertificationからISO/IEC 27001認証を取得しており、詳細はTrust Centerに掲載しています。
• 導入事例の紹介を求める。Safeguardのサイトでは、顧客はNDAのもとで匿名で紹介されています。CRACIを含め、どのベンダーを検討する場合でも、自社と似たチームとのリファレンスコールを依頼してください。
• 料金は書面で確認する。公開料金は変わります。Safeguardの料金ページには、金額は最終承認前の提案段階であると記載されています。

SBOMの要件

いくつかのフレームワークが、SBOMとそこに含まれる脆弱性への対応方法を求めています。米国の大統領令14028はSBOMに関する連邦政府の調達ガイダンスを方向づけ、FDAの第524B条はサイバーデバイスに対してSBOMを義務付け、EUのCyber Resilience Actはメーカーにコンポーネントの文書化を求めています。CRACIは、これらのプロセスに必要なサプライチェーンの可視性とエビデンスの重要な部分を自動化します。CycloneDXまたはSPDXでエクスポートできるビルド時SBOM、脆弱性トラッキング、そしてAPIを通じた来歴です。CRAのエビデンスをご覧ください。どちらのツールも、それだけで製品をコンプライアンス準拠にするものではありません。

この分野の他のツールについては、CRACIとAnchoreの比較、CRACIとSyft、Grypeの比較、SBOMツールの比較をご覧ください。

Safeguardに関するよくあるご質問

Safeguardとは何ですか？

Safeguard（同社サイトによると、カリフォルニア州ダブリンのSafeguard.sh Inc）は、ソフトウェアサプライチェーンセキュリティプラットフォームを販売しています。同社のサイトでは、CycloneDXとSPDXでのSBOM生成、SLSAの来歴、到達可能性分析、Griffinモデルが作成するAIによる修正プルリクエスト、サードパーティのリスク管理、ハードニング済みコンポーネントのレジストリ、そしてクラウド、オンプレミス、エアギャップでの導入について説明しています。

SafeguardはどのようにSBOMを生成しますか？

ドキュメントによると、Safeguardは接続されたリポジトリ、コンテナイメージ、アップロードされたパッケージマニフェストからSBOMを作成し、そのCLI（safeguard scan）がパイプライン内でSyftとGrypeを実行します。Anchoreとの比較ページでは、SBOMを「Syft経由」のCycloneDXとSPDXとしています。CRACIはスキャンを行いません。ビルドを実行し、各ジョブが取得したパッケージを記録します。

SafeguardはCIランナーを提供していますか？

いいえ。SafeguardのCIに関するドキュメントでは、お客様が運用するGitHub Actions、GitLab CI/CD、Jenkins、Azure DevOpsのパイプライン内でCLIを実行する方法を示しており、CLIはビルドを失敗させずに検出結果を報告し、強制はプラットフォームのポリシーゲートで行うと記載しています。CRACIはランナーそのものです。GitHub ActionsのジョブはCRACI上で実行され、CRACIは各ジョブが取得したものを記録し、到達できる範囲を制御します。

Safeguardの料金はいくらですか？

2026年9月時点で、Safeguardの料金ページには、修正プルリクエスト5件、スキャン対象コンポーネント100個、MCPツール呼び出し100回を月ごとに含む無料プラン、月額$9、$25、$49、$99の個人向けプラン、ユーザー1人あたり月額$19、$49、$99（最低2ユーザー）のTeamプラン、そして見積もりのBusiness、Enterprise、Sovereignが掲載されています。コンプライアンスパックはフレームワークごとに年額$2,099です。このページには、金額は最終承認前の提案段階であると記載されているため、最新の料金はSafeguardにご確認ください。CRACIの課金はビルド時間のみで、1vCPU分あたり$0.002（デフォルトの2 vCPUランナーでは$0.004）を秒単位で計測します。

CRACIはSafeguardの代わりになりますか？

GitHub Actionsでビルドするソフトウェアの、SBOM、来歴、脆弱性モニタリングについてはなります。CRACIはビルドそのものからSBOMを生成し、監視し続けます。ただし、SafeguardのAIによる修正プルリクエスト、到達可能性分析、シークレットと設定ミスの検出、ハードニング済みコンポーネントのレジストリ、エアギャップでの導入は置き換えられません。また、現在対応しているのはGitHub Actionsのみで、GitLab CIとJenkinsはロードマップに掲載されています。