比較
ソフトウェアサプライチェーンセキュリティの料金比較
自社でビルドするソフトウェアに何が含まれているかを把握し、監視し続けるにはいくらかかるのか。その役割を担うSCA、SBOM、ビルドセキュリティの各ツールの公開料金を、開発者あたりと、CIランナーを含めた総額で比較します。
更新日
要点
- ほとんどのツールは開発者単位で課金します。開発者25人の場合、公開されているライセンス料金は開発者1人あたり月額$16から$70です。Black Duck、Sonatype、Endor LabsのエンタープライズSCAは見積もりでの販売です。
- SBOMのエクスポートには上位プランが必要なことが多くあります。SnykはEnterpriseのみ、SocketはBusiness以上でSBOMをエクスポートできます。GitHubは依存関係グラフをSPDXとして無料でエクスポートできます。
- CRACIは現在ライセンス料金をいただいていません。課金はビルド時間のみで1vCPU分あたり$0.002、その時間にはランナーも含まれます。標準のx64ランナーでは、GitHubホステッドランナーの利用時間だけの料金よりも安くなります。
- 対象範囲は同じではありません。SAST、シークレット、マルウェア検出を加えているツールもあります。CRACIは各ビルドが実際に取得したものを記録し、到達できる範囲を制御します。
この比較の対象
CRACIはGitHub Actionsのジョブを実行し、各ジョブが取得したすべてのパッケージをSBOMとして記録し、そのSBOMを新たな脆弱性について監視し続け、ジョブにエグレスポリシーを適用します。このページでは、自社でビルドするソフトウェアについてその役割の一部を担う製品の料金を比較します。
- SBOMエクスポート付きのSCA：Snyk、GitHub Code Security、Aikido、Socket、Semgrep Supply Chain、JFrog Xray、Kusari Inspector。
- SBOM管理：FOSSA、およびコンテナイメージ向けのDocker Scout。
- ビルドセキュリティ：既存のランナーにエグレス制御を追加するStepSecurity。
対象外としたもの：CIランナー（別途料金比較があります）、SAST専用ツール、ファームウェアとバイナリの解析、そしてビルドを記録するのではなく入力を保護するChainguardなどのハードニング済みイメージ。
開発者1人あたりのライセンス料金
各製品は、SBOMエクスポートを含む最も安いプランで比較しています。定額プランや段階制プランはチームの人数で割っているため、FOSSA、JFrog、Aikidoは段階の上限に近づくほど開発者あたりの料金が下がります。バーにカーソルを合わせると、プランの内容が表示されます。
25人のチームでの開発者1人あたり月額ライセンス料金（安い順）
ここではCRACIは$0です。ライセンス料金も開発者単位の料金もありません。 ビルド時間1vCPU分あたり$0.002をお支払いいただき、これにはランナーも含まれます。次のグラフでこれを計算しています。
総額：ランナーの利用時間とセキュリティ
CRACIはランナーを置き換えるため、公平に比較するにはすべての選択肢にランナーを含める必要があります。他のツールでは、GitHubホステッドランナーの利用時間の料金を払い続けたうえで、ライセンス料金が加わります。CRACIで支払うのはビルド時間だけです。チームの人数と、開発者1人あたりの月間ビルド時間（分）を入力してください。初期値の1,000分は一例です。
開発者25人、2vCPU x64でのビルド時間25,000分の月額費用（安い順）
CRACIは月額$100、GitHubホステッドランナーのみでは$132。SBOM、脆弱性モニタリング、エグレスポリシーが、現在のランナー利用時間の料金を下回る費用で手に入ります。
チームの拡大に伴う年間費用（開発者1人あたりのビルド時間は同一）
定価で比較すると、標準的な2vCPUのx64ランナーでは、CRACIのビルド時間はGitHubホステッドの利用時間より約33%安く、ここに挙げたすべての製品はその利用時間にライセンス料金が上乗せされます。大型のARM64ランナーでは状況が変わります。GitHubの32コアarm64ランナーの定価は1分あたり$0.050で、CRACIは$0.064のため、そこではCRACIのほうが1分あたり約28%高くなります。また、CRACIは高速なハードウェア、短い待ち時間、キャッシュにより、GitHubホステッドランナーの約2倍の速さでビルドを実行します。これを計算に含めるにはチェックボックスをオンにしてください。
料金に含まれるもの
| 機能 | グラフのプラン | 課金方式 | このプランでのSBOM | CIジョブのエグレス制御 |
|---|---|---|---|---|
| CRACI | Pro、ビルド分単位の従量課金 | ビルド時間1vCPU分あたり$0.002、ランナー込み | ビルド中に記録、完全性の状態付き | ジョブ開始前に検証、フェイルクローズ |
| GitHub Code Security | Code Security | アクティブなコミッター1人あたり月額$30 | 依存関係グラフのSPDXエクスポートはすべてのプランで無料 | 記載なし |
| Snyk | Enterpriseクレジット | アクティブなコントリビューター1人につき1日1クレジット（$1） | SBOMエクスポートとライセンスコンプライアンスはEnterpriseのみ | 記載なし |
| Aikido | Basic、20人超はPro | ユーザー数の区分ごとの月額定額 | Basic以上でSBOM生成 | 記載なし |
| Socket | Business | 開発者1人あたり月額$50、最低20人 | Business以上でSBOMのインポートとエクスポート（エクスポートはベータ） | 記載なし |
| Semgrep Supply Chain | 10人まで無料、以降はTeams | コントリビューター1人あたり月額$30 | すべてのティアでSBOM生成 | 記載なし |
| FOSSA | Business | 開発者数とプロジェクト数によるサイズ別プラン | SBOMの生成、インポート、VEX | 記載なし |
| JFrog Xray | Enterprise X（クラウド） | 月額$950から | XrayがSBOMを作成してエクスポート | 記載なし |
| Docker Scout | Team、以降はBusiness | ユーザー1人あたり月額$16 | コンテナイメージのSBOMのみ | 記載なし |
| Kusari Inspector | Inspector for teams | 開発者1人あたり月額$25から | 有料プランでSBOM生成 | 記載なし |
| StepSecurity | Enterprise | コントリビュートする開発者1人あたり月額$16 | 料金ページに記載なし | 記載なし |
- 対応
- 一部対応
- 非対応
料金を公開していない製品
エンタープライズSCAやサプライチェーンセキュリティプラットフォームの多くは営業経由で販売されており、通常はコントリビュートする開発者単位の課金です。自社でビルドするソフトウェアについて同じ役割を担うため候補には入りますが、グラフには表示できません。
| 機能 | 機能 | 料金 |
|---|---|---|
| Black Duck | ソース、パッケージ、バイナリにわたるSCA | 見積もりのみ |
| Sonatype Guide (Lifecycle and SBOM Manager) | SCAとSBOM管理 | Proは5,000クレジットまで年額$1,200から、Enterpriseは見積もり |
| Endor Labs | 到達可能性分析、SBOM、VEXを備えたSCA | コントリビュートする開発者単位、見積もりのみ |
| Mend AppSec | SCA、SAST、コンテナ | 開発者1人あたり年額最大$1,000 |
| Anchore Enterprise | SBOMの生成と管理 | 見積もりのみ |
| Cycode | CI/CDセキュリティとSBOMを備えたASPM | 見積もりのみ、開発者数とAIの利用量による |
| OX Security | コード、SCA、SBOM、パイプラインのポスチャー | コントリビュートする開発者単位、見積もりのみ |
| Apiiro | ソフトウェアインベントリを備えたASPM | 非公開 |
| Legit Security | SDLCとパイプラインのセキュリティ | 非公開 |
| Cybeats、Manifest、Lineaje | SBOM管理 | 非公開 |
| SBOM Observer | SBOM管理 | ユーザー1人あたり月額約$80（€69）、10プロジェクトまで |
| sbomify | SBOMハブとトラストセンター | 月額$199、5製品 |
| Dependency-Track | SBOM分析、オープンソース | 無料、自社でホストして運用 |
CRACIが行わないこと
CRACIは、これらのツールが行うことをすべてカバーしているわけではありません。ソースコードの脆弱性やシークレットのスキャン、到達可能性分析、パッケージのマルウェアスコアリングは行いません。既知の悪意あるリリースについては、アドバイザリが公開されればフラグを立てます。GitHub ActionsのジョブはLinux上で実行し、WindowsとmacOSはロードマップに掲載されています。SASTやシークレットスキャンが必要な場合は、CRACIと並行して使える優れたツールが数多くあります。
その代わりにCRACIが行うのは、ビルドそのものの記録です。各ジョブの実行中に、取得したすべてのパッケージ（キャッシュから復元されたパッケージを含む）を記録し、完全性を明示したSBOMにします。そのSBOMを監視し続け、セキュリティチームは検出結果をトリアージしたり、それに基づいてビルドをブロックしたりでき、APIからSBOM、ネットワークトレース、来歴を取得できます。CRACIの料金をご覧いただくか、デモを予約して自社のパイプラインを試算してください。
比較の方法
- 出典：各ベンダー自身の料金ページまたはドキュメント（2026年9月29日確認）。
- プラン：SBOMエクスポートを含む最も安いプランで、ベンダーが提供している場合は月払い。Snykは、Snyk Open Sourceについて公開されているEnterpriseのクレジット単価（アクティブなコントリビューター1人につき1日1クレジット＝$1）でグラフ化しています。Kusariの料金は開始価格です。
- チームの人数：開発者とは各ベンダー独自のシート単位（アクティブなコミッター、コントリビュートする開発者、またはユーザー）を指し、チーム全員として計算しています。
- ランナーの利用時間：GitHubホステッドLinuxの定価をジョブごとの端数処理なしで適用しており、GitHubにやや有利です。CRACIは定価の1vCPU分あたり$0.002です。
- 含まないもの：税金、ボリュームディスカウント、年間前払い割引、そしてDependency-Trackなどのオープンソースツールを自社で運用するコスト。
サプライチェーンセキュリティの料金に関するよくあるご質問
これらのツールの費用と、料金に含まれるものについての簡潔な回答。
ソフトウェアサプライチェーンセキュリティにはいくらかかりますか？
料金を公開しているツールでは、2026年9月時点で無料から開発者1人あたり月額約$70までです。GitHubのDependabotアラートとSBOMエクスポートは無料、Semgrep Supply Chainはコントリビューター10人まで無料で、開発者単位のプランは$16（StepSecurity）から$50（Socket Business）です。Black Duck、Sonatype、Endor LabsのエンタープライズSCAは見積もりでの販売です。
CRACIの料金体系はどうなっていますか？
CRACIの課金はビルド時間のみです。1vCPU分あたり$0.002（デフォルトの2vCPUランナーでは$0.004）を秒単位で計測し、月額料金、開発者単位の料金、SBOMごとの料金はありません。CRACIはGitHub Actionsのランナーを置き換えるため、ビルド時間の料金にはランナーの費用も含まれます。
なぜ比較にランナーの利用時間を含めているのですか？
CRACIがランナーそのものだからです。このページの他のツールでは、GitHubホステッドランナーの利用時間の料金を払い続けたうえで、ライセンス料金が上乗せされます。CRACIのビルド時間をライセンス料金だけと比較すると、CRACIが置き換えるランナーの請求額が抜け落ちてしまいます。
SBOMのエクスポートにはどのプランが必要ですか？
ツールによって異なります。SnykはEnterpriseのみ、SocketはBusiness以上、AikidoはBasic以上で、FOSSA、Semgrep、JFrog Xrayはここでグラフ化したプランでエクスポートできます。GitHubはすべてのプランで依存関係グラフをSPDXとしてエクスポートできます。CRACIは実行するすべてのビルドでSBOMを記録します。
他のツールにできて、CRACIにできないことは何ですか？
SAST、シークレットスキャン、到達可能性分析、悪意あるパッケージのレピュテーション評価などです。Aikido、Snyk、Semgrep、GitHub Code Securityはソースコードをスキャンし、SocketとAikidoは悪意あるパッケージをブロックします。CRACIはアドバイザリのある既知の悪意あるリリースにフラグを立てますが、パッケージのマルウェアスコアリングは行いません。GitHub ActionsのジョブはLinux上で実行します。