CRACIとWizの比較

結論から言うと

Wizはクラウドセキュリティプラットフォームで、2026年3月11日からGoogleの一部となっています。Wiz Codeはそのコードセキュリティ製品です。コード、依存関係、シークレット、IaCをスキャンし、バージョン管理とCI/CDの設定をチェックし、検出結果をそのコードが最終的に稼働するクラウドリソースと結び付けます。2026年4月、WizはWiz CodeをGitHub Actionsに拡張しました。現在はワークフローファイルを解析し、ワークフロー、ジョブ、ランナーをSecurity Graph上でモデル化して、リスクのあるトリガー、権限、サードパーティ製アクション、AIエージェントの構成を検出します。

これは設定分析であり、どのワークフローが悪用されうるかを示すものです。CRACIはその一段下の層で動作します。CRACIはGitHub Actionsのランナーなので、各ジョブが実際に取り込んだパッケージを記録し、ジョブの実行中にエグレスポリシーを適用し、出荷したものの監視を続けます。Wizはコードからクラウドまで、はるかに広い範囲をカバーします。CRACIがカバーするのは、ビルドの内部で起きることです。

一覧で比較

「記載なし」は、Wizの公開ページで確認できなかったことを意味します。

Wizの強み

コードからクラウドまで

• クラウドのコンテキスト。Wizの中核は、AWS、Azure、Google Cloud、Oracle Cloudにわたるクラウドセキュリティです。VM、コンテナ、サーバーレス関数をエージェントなしでスキャンし、Security Graphのコンテキスト（ネットワークへの露出、アイデンティティ、データの機密性、攻撃経路）に基づいて脆弱性に優先順位を付けます。
• コードからクラウドへのマッピング。Wiz Codeは、クラウドで見つかったリスクをそれを生み出したソースコードまでさかのぼって追跡し、そのコードでの修正方法を提案します。すでにWizを使っているチームにとっては、コードの検出結果が他のすべてと同じグラフに集まります。
• スキャンを一か所に集約。直接および推移的依存関係のSCAとSBOM、Terraform、CloudFormation、Azure Resource Manager、Kubernetes、Dockerを1,000以上のルールと照合するIaCスキャン、コード、IaCテンプレート、コンテナイメージ内のシークレット、PIIやPHIなどの機密データ、そしてコードベースのマルウェアスキャン（「CIランナーに届く前に」）を備えています。Wiz SASTとサードパーティ製スキャナーの検出結果が全体像を補完します。

GitHub ActionsとCI/CDのポスチャー

• ワークフローをグラフ上に。WizはGitHub ActionsのワークフローYAMLを解析し、ワークフロー、ジョブ、ランナーとその関係をモデル化します。これにより、パイプラインは、何がトリガーとなり何にアクセスできるかというコンテキストを持つ、クエリ可能な資産になります。
• リスクのある構成。pull_request_targetのような危険なトリガーを検出し、ワークフローファイルで宣言された権限を分析してリスクの高い権限や過剰な権限について課題を挙げます。パイプライン定義に含まれるリスクのある入力やシークレット漏えいの可能性を明らかにし、各ワークフローが使うサードパーティ製アクションを棚卸しし、プロンプトインジェクションを受けうるワークフロー内のAIエージェントを検出します。
• ベンチマーク。Wiz Codeは、バージョン管理システムとCI/CDシステムを設定ミスや安全でないデフォルトの観点でチェックします。OpenSSF Best Practices、OWASP Top 10 CI/CD Risks、GitHubとGitLab向けのCISベンチマークに対応しています。
• 脅威検知。Wizはバージョン管理とCI/CDプラットフォームの監査ログを取り込み、不審なクローンやブランチ保護ルールの削除といったイベントを捕捉します。また、セルフホストのCIランナー上のSensorは、ランナーが暗号資産マイニングのドメインに接続するといった不審なアクティビティを検知できます。

CRACIの違い

ジョブに関する検出結果ではなく、ジョブ内部での制御

Wizの発表が説明しているのは、棚卸し、分析、検出結果です。ジョブの実行中にジョブがアクセスできる先を制御することは記載されていません。CRACIのエグレスポリシーはランナーの一部です。ポリシーはデフォルト拒否またはデフォルト許可で、24種類の組み込みのソフトウェアソースプリセット、npm、PyPI、apt、apk、Goプロキシ、Nix、Cargo、OCIレジストリ、Git向けの型付きカスタムソース、明示的なTLS、TCP、UDP、ICMPのルールを備えています。ポリシーはジョブ開始前に検証され、フェイルクローズで動作し、違反時にはCRACIがアラートを発します。

これが重要なのは、サプライチェーン攻撃が正しく構成されているように見えるジョブの中で実行されるからです。Shai-Huludの第2波に関するWiz自身の調査では、感染の大半がCI/CDパイプライン内で発生していました。ポスチャーの検出結果はワークフローが露出していることを教えてくれますが、すでに実行中の侵害されたパッケージを止めることはできません。デフォルト拒否のポリシーなら、ビルドに不要なホストへの接続は、誰も見たことのない攻撃であってもブロックされます。

コードが宣言するものではなく、ビルドが取得したもの

Wiz CodeのSCAはコード内の依存関係をスキャンし、エージェントレスSBOMはクラウドワークロードを記述します。CRACIは各ビルドに入ってくる通信を見ています。パッケージを認識するプロキシが、npm、PyPI、RubyGems、Composer、Cargo、Go、Nix、OCI、apt、apk、Gitの各ソースとダウンロードプリセットから、ジョブが取得したすべてのパッケージを記録します。CIキャッシュから復元されたパッケージも含まれます。これにより、CRACIはロックファイルベースのツールが見落とす隠れた依存関係（npmのinstallフックがダウンロードするコードや、コンテナビルドのベースイメージレイヤーなど）を記録します。ワークフローが実行したGitHub Actionsも、使用されたコミットに固定された形でSBOMに含まれます。すべてのSBOMはジョブごと、キャッシュごとに完全性の状態を持つため、記録に欠落があればそのことが示されます。

ビルドから得られるエビデンス

APIはSBOM、ネットワークトレース、来歴を返します。CRACIは来歴に署名せず、SLSAレベルも主張していません。CRACIは新たな脆弱性が公開されるたびに、出荷したもののSBOMを再評価し続けます。また、脆弱な依存関係を含んでいた過去のすべてのビルドを表示するため、どれだけの期間リスクにさらされていたかがわかります。

Wizが優れている点

率直に言えば、CRACIにはSAST、シークレット、IaC、マルウェアのスキャンも、CI/CDのポスチャーチェックも、ランナー上のプロセス監視も、クラウドセキュリティも、コードからクラウドへのマッピングもありません。現在はGitHub Actionsのみに対応しており、GitLab CIとJenkinsはロードマップに掲載されています。コードからクラウドまでリスクを一元的に把握することが最優先なら、Wizのほうがはるかに広くカバーします。

どちらが適しているか

Wizが適しているケース

• すでにクラウドセキュリティにWizを使っており、コードとパイプラインのリスクも同じグラフで把握したい。
• 多数のリポジトリにわたって、リスクのあるワークフロートリガー、権限、サードパーティ製アクションを見つけたい。
• 優先順位付けのためのクラウドコンテキストを備えたSAST、シークレット、IaC、マルウェアのスキャンが必要。
• セルフホストランナーを運用しており、その上で脅威検知を行いたい。

CRACIが適しているケース

• ワークフローに関する検出結果だけでなく、すべてのGitHub Actionsジョブの中でエグレスポリシーを適用したい。
• 各ビルドが実際に取得したもののSBOMを、監査人に提示できる完全性の状態とともに必要としている。
• 出荷したものの監視とビルド履歴を、同じ記録から得たい。

両方を併用する

Wiz Codeのポスチャーチェック、コードスキャン、クラウドセキュリティは、CRACIが設計上扱わない領域をカバーするため、そのまま使い続けられます。CRACIが置き換えるのはランナーであり、GitHub Actionsではありません。ワークフローとリポジトリはGitHubに残るため、ジョブがCRACIで実行される間も、Wizは同じワークフローファイルを分析し続けます。さらにCRACIは、高速なハードウェア、短いキュー待ち時間、キャッシュにより、GitHubホステッドランナーの約2倍の速さでビルドを実行し、課金はビルド時間のみです。CRACIの料金をご覧ください。

Cyber Resilience Actへの対応

Cyber Resilience Actは、SBOMと脆弱性対応プロセスを求める複数のフレームワークの一つです。CRACIは、CRA対応のプロセスに必要なサプライチェーンの可視性とエビデンスのかなりの部分を自動化します。CycloneDXまたはSPDXでエクスポートできるビルド時SBOM、脆弱性トラッキング、そしてAPIを通じた来歴です。CRAエビデンスをご覧ください。どちらのツールも、それだけで製品を準拠させるものではありません。

この分野の他のプラットフォームについては、CRACIとOX Securityの比較、CRACIとStepSecurityの比較、CRACIとXygeniの比較、ソフトウェアサプライチェーンセキュリティツールをご覧ください。

Wizに関するよくあるご質問

Wiz Codeとは何ですか？

Wiz Codeは、Wizのクラウドセキュリティプラットフォームのうちコードセキュリティを担う製品です。脆弱な依存関係、シークレット、IaCの設定ミス、機密データ、マルウェアをコードからスキャンし、SASTとサードパーティ製スキャナーの検出結果を加え、バージョン管理とCI/CDの設定をベンチマークと照合し、クラウドのリスクを原因となったソースコードまでさかのぼって追跡します。

Wiz CodeはGitHub Actionsを保護しますか？

Wiz CodeはGitHub Actionsの設定を分析します。2026年4月以降、ワークフローのYAMLファイルを解析し、ワークフロー、ジョブ、ランナーとその関係をWiz Security Graph上でモデル化しています。pull_request_targetのような危険なトリガーを検出し、リスクの高い権限や過剰な権限について課題を挙げ、サードパーティ製アクションを棚卸しし、リスクのあるAIエージェントの構成を検出します。Wizの発表には、ジョブの実行中にジョブがアクセスできる先を制御することは記載されていません。CRACIはランナーそのものなので、すべてのジョブの中でエグレスポリシーを適用します。

WizはGoogleの一部ですか？

はい。GoogleはWizの買収を2026年3月11日に完了しました。Wizは、AWS、Azure、Google Cloud、Oracle Cloudをカバーするマルチクラウドプラットフォームであり続けるとしています。

Wizの料金はいくらですか？

Wizは定価を公開していません。2026年9月時点の料金ページでは、統合型のオファリングとアラカルトのオプションが紹介されており、見積もりは依頼に応じて提示されます。CRACIの課金はビルド時間のみです。1vCPU分あたり$0.002（デフォルトの2 vCPUランナーでは$0.004）で、秒単位で計測され、月額料金はかかりません。

CRACIはWiz Codeの代わりになりますか？

全体としてはなりません。CRACIにはSAST、シークレット、IaC、マルウェアのスキャンも、CI/CDのポスチャーチェックも、クラウドセキュリティもありません。GitHub Actionsのビルドについては、CRACIは設定分析ではできないことを補います。CRACIはランナーそのものなので、各ジョブが取得したパッケージを記録し、ジョブの実行中にエグレスポリシーを適用します。