セキュリティチームのためのCRA準拠
CRAプロセスのサプライチェーン面を支える、ビルド時のエビデンス、脆弱性の監視とトリアージ
継続的なセキュリティ監視
CRACIは、新しい脆弱性が公開されるたびに、出荷したものの監視対象SBOMを継続的に再評価し、検出結果をビルドとリポジトリをまたいで集約します。CRACIはスキャナーではなくレコーダーです。各SBOMはビルドが実際に取得したものから作られ、完全性の状態が付きます。エグレスポリシー違反はアラートで通知されます。
脆弱性のトリアージ
セキュリティチームは検出された脆弱性をトリアージし、修正を担当するチームに割り当てます。CRACIはVEXに対応しています。脆弱なコンポーネントを含むビルド、リポジトリ、製品が表示されるため、各検出結果がどこに該当するかがわかります。
インシデント対応と追跡
脆弱性が実際に悪用されている場合、CRACIはお客様が提出するCRAの通知（早期警告、通知、最終報告書）の内容を準備します。インベントリビューにはどのソフトウェアバージョンがどの製品に導入されているかが表示され、APIは記録用にSBOM、ネットワークトレース、来歴を返します。
サプライチェーンセキュリティ
すべてのSBOMは、CIキャッシュから復元されたパッケージを含め、ビルドが実際に取り込んだものから記録されます。ランナー上のエグレスポリシーはビルドの接続先を制限し、ジョブの開始前に検証され、フェイルクローズで動作します。APIはSBOM、ネットワークトレース、来歴を返します。ベンダーSBOMも自社のビルドと併せて監視されます。