すべてのビルドからSBOMエクスポートとCRAエビデンスを
ビルド中に記録されるSBOM、APIで取得できるビルドの記録、修正リリースまで続く脆弱性の記録。技術文書の根拠となるエビデンスがそろいます
CycloneDXまたはSPDX形式のビルド時SBOM
CRACIは各ビルドがランナー上で実行される間にSBOMを記録するため、SBOMにはジョブが実際に取り込んだパッケージが、CIキャッシュから復元されたパッケージも含めて記載されます。すべてのSBOMはCycloneDXまたはSPDXでエクスポートでき、推移的依存関係、そのコンポーネントで見つかった脆弱性、各コンポーネントの宣言ライセンスが含まれます。各ジョブのSBOMには完全性の状態も付与されます。
SBOM、ネットワークトレース、来歴をAPIで取得
公開REST APIは、ジョブのSBOM、ネットワークトレース、来歴データを返します。そのため、ビルドの記録を自社のドキュメントやツールに取り込めます。SBOM APIはCycloneDX 1.7のJSONを返します。
トリアージから修正リリースまでの脆弱性記録
監視対象のSBOMは、新たな脆弱性が公開されるたびに再評価されます。セキュリティチームは各検出結果をトリアージし、修正を担当するチームに割り当てます。CRACIは修正リリースに至るまで記録を保持します。ビルド履歴には過去のすべてのビルドとそのSBOM、そして脆弱な依存関係（直接・推移的を問わず）を含んでいたビルドが表示されるため、影響を受けていた期間を把握できます。
既知の問題を持ち込ませないポリシーゲート
ポリシーゲートは、特定のCVEを含むビルドを含め、検出結果やライセンスに基づいてビルドをリアルタイムで停止できます。さらに、すべてのビルドはランナーで強制されるエグレスポリシーのもとで実行されます。このポリシーはジョブ開始前に検証され、フェイルクローズで動作し、ポリシー違反時にはアラートを発します。
CRA技術文書のためのエビデンス
Cyber Resilience Actのもとでは、技術文書の作成、適合性評価の実施、EU適合宣言書の作成はメーカーが行います。CRACIはこれらの手順を代行しません。CRACIが提供するのは、ビルドから生まれるエビデンス、つまりSBOM、脆弱性と是正の記録、来歴データです。また、CRACIはお客様が提出するCRAの脆弱性通知（早期警告、通知、最終報告）の内容を準備します。