CRA 컴플라이언스 도구 비교

이 페이지의 대상

디지털 요소가 있는 제품을 만들어 EU 시장에 출시하는 기업이 대상입니다. EU Cyber Resilience Act, 즉 규정 (EU) 2024/2847은 단계적으로 적용됩니다. 보고 의무는 2026년 9월 11일부터, 주요 조항은 2027년 12월 11일부터 적용됩니다. 이 작업의 기술적인 부분을 위한 도구를 고르고 계실 것입니다. CRACI를 만드는 저희가 작성했다는 점을 감안해 주세요. 각 도구는 해당 도구의 공식 문서를 바탕으로 설명하며, 다른 도구가 더 적합한 경우에는 그렇다고 밝힙니다.

이 페이지 전체에 적용되는 원칙이 하나 있습니다. 컴플라이언스는 위험 평가, 문서화, 적합성 평가를 포함해 제조사가 운영하는 프로세스입니다. 도구는 증거를 만들고 작업의 일부를 자동화합니다. 아래의 어떤 도구도 그 자체로 제품을 규정에 맞게 만들지는 못합니다.

CRA가 요구하는 것

소프트웨어 공급망과 관련해서는 다섯 가지 요구 사항이 대부분을 차지합니다.

1. SBOM. 제조사는 제품의 구성 요소를 식별하고 문서화해야 하며, 여기에는 "일반적으로 사용되고 기계가 읽을 수 있는 형식으로, 최소한 제품의 최상위 종속성을 포함하는 소프트웨어 자재 명세서를 작성하는 것"이 포함됩니다(부속서 I 제II부). 부속서 VII는 이를 시장 감시 당국이 요청할 수 있는 기술 문서에 포함시킵니다.
2. 취약점 처리. 보안 업데이트 등을 통해 취약점을 지체 없이 대응하고 해결하며, 정기적으로 테스트하고, 조정된 취약점 공개 정책을 운영해야 합니다(부속서 I 제II부).
3. 보고. 실제로 악용되는 취약점과 심각한 사고를 CRA Single Reporting Platform을 통해 CSIRT와 ENISA에 통지해야 합니다. 24시간 이내에 조기 경보, 72시간 이내에 통지, 그리고 취약점의 경우 수정 또는 완화 조치가 제공된 후 14일 이내에, 심각한 사고의 경우 1개월 이내에 최종 보고서를 제출합니다(제14조).
4. 증거. 기술 문서, 적합성 평가, EU 적합성 선언(제28조, 제31조, 제32조, 부속서 VII)이 필요하며, 이는 제품 출시 후 최소 10년 또는 지원 기간 중 더 긴 기간 동안 당국이 열람할 수 있도록 보관해야 합니다(제13조).
5. 지원 기간. 제품이 사용될 것으로 예상되는 기간을 반영한 기간으로, 예상 사용 기간이 더 짧지 않은 한 최소 5년이며, 이 기간 동안 취약점을 효과적으로 처리해야 합니다(제13조).

선택 방법

• 작업의 어느 쪽에 도움이 필요합니까? 기술 도구는 SBOM, 취약점 기록, 빌드 증거를 만듭니다. 컴플라이언스 관리 플랫폼은 요구 사항을 통제 항목에 매핑하고, 정책 초안을 작성하고, 프로세스를 추적합니다. 대부분의 도구는 한쪽에만 강하므로, 어느 쪽 공백이 더 큰지 판단하세요.
• 소프트웨어를 직접 빌드합니까, 통합합니까? 제품의 상당 부분이 칩 공급업체와 협력업체로부터 바이너리로 들어온다면, 바이너리 분석이 그 내부를 들여다보는 방법입니다. 직접 빌드한다면 빌드가 가장 직접적인 증거의 원천입니다.
• SBOM은 어디에서 오며, 완전하다는 것을 어떻게 알 수 있습니까? 스캐너, 빌드 도구 질의, 빌드 기록은 같은 릴리스에 대해 서로 다른 답을 낼 수 있습니다.
• 영향받는 릴리스를 몇 시간 안에 찾을 수 있습니까? 24시간 조기 경보는 신뢰할 수 있는 릴리스별 인벤토리에 달려 있습니다.
• 기록 시스템이 필요합니까? 제품과 공급업체가 많으면 VEX와 공유 기능을 갖춘 SBOM 관리가 그 자체로 하나의 업무가 됩니다.

한눈에 보기

표는 두 개입니다. 먼저 SBOM, SCA, SBOM 관리 도구를, 이어서 펌웨어와 디바이스를 위한 도구를 다룹니다. 행은 위의 요구 사항을 따릅니다. "명시되지 않음"은 인용한 공급업체 페이지에 어느 쪽으로도 언급이 없다는 뜻입니다.

SBOM, SCA 및 SBOM 관리

펌웨어 및 디바이스

CRACI

CRACI는 GitHub Actions 러너입니다. 직접 빌드하는 소프트웨어에 대해 CI 캐시에서 복원된 패키지를 포함해 각 작업이 가져온 항목을 기록하고, 작업 및 캐시별 완전성 상태가 담긴 CycloneDX 또는 SPDX SBOM을 생성합니다. 출시된 소프트웨어의 SBOM을 계속 재평가하고, VEX를 지원하며, 실제로 악용되는 취약점을 보고해야 할 때 CRA 통지의 내용을 준비합니다. 제출은 고객이 직접 합니다. Yocto의 경우 Yocto 자체 SPDX 출력이 빠뜨리는 항목을 기록합니다. 도움이 되는 영역: SBOM 생성, 취약점 처리, CRA 통지, 증거. 주의할 점: 직접 빌드하지 않은 바이너리는 분석하지 않고, 통제 매핑이나 정책 관리 기능이 없으며, 현재는 GitHub Actions를 지원합니다(GitLab CI와 Jenkins는 로드맵에 있습니다). CRACI를 통한 CRA 컴플라이언스

SBOM 관리

Cybeats

Cybeats SBOM Studio는 스스로를 "SBOM 기록 시스템"이라고 부릅니다. 고객사 제품과 공급업체의 SBOM을 SPDX 2.2~3.0.1 및 CycloneDX 1.2~1.7 형식으로 저장하고, 가져오기 전에 Quality Score로 검증하며, 모든 구성 요소를 취약점 인텔리전스와 매칭하고, VEX를 발행하며, Transparency Exchange API를 포함한 방식으로 고객과 SBOM을 공유합니다. 규정 가이드에는 CRA의 24시간, 72시간, 14일 일정이 정리되어 있습니다. 도움이 되는 영역: SBOM 관리, 취약점 처리, 증거. 주의할 점: 생성은 Marketplace의 공급업체에 맡기므로, SBOM 자체는 다른 도구에서 나옵니다. CRACI vs Cybeats 및 Cybeats 대안

FOSSA

FOSSA는 라이선스 컴플라이언스에서 출발해 이제 SBOM 수명 주기 전반을 다룹니다. SPDX 및 CycloneDX SBOM을 생성하고(선택적으로 VDR 또는 VEX 문서 포함), NTIA 및 FDA 최소 요소 정책으로 공급업체 SBOM을 가져오며, 취약점을 모니터링하고, Enterprise에서는 SBOM Portal을 통해 공유합니다. 2026년 9월 기준으로 무료 플랜이 있으며, Business는 프로젝트당 월 $20(연간 청구)입니다. 도움이 되는 영역: SBOM, 당국과의 공유, 라이선스. 주의할 점: FOSSA CLI는 빌드를 기록하는 대신 빌드 도구를 통해 프로젝트를 분석하거나 소스에서 추론합니다. CRACI vs FOSSA

Anchore

Anchore Enterprise는 오픈 소스 Syft와 Grype를 기반으로 합니다. 컨테이너 이미지, 파일 시스템, 가져온 SBOM을 스캔하고, 원본 아티팩트 없이 저장된 SBOM을 재스캔하며, FedRAMP와 NIST 같은 정책 팩을 적용하고, 에어갭 환경을 포함한 셀프 호스팅으로 실행됩니다. CRA 관련 자료에서는 SBOM 관리, CISA KEV 등을 소스로 한 모니터링, 24시간 및 72시간 기한 지원, VEX 주석, 감사 추적을 다룹니다. 도움이 되는 영역: SBOM, 취약점 처리, 증거. 주의할 점: SBOM은 빌드가 가져오고 남긴 것이 아니라 스캐너가 이미지나 디렉터리에서 찾은 것을 설명합니다. CRACI vs Anchore

SCA 제품군

Black Duck

Black Duck SCA는 패키지 관리자, 시그니처, 스니펫, 바이너리 스캔을 결합해 아무도 선언하지 않은 오픈 소스까지 찾아내며, KnowledgeBase는 2,750개 이상의 라이선스를 추적합니다. Binary Analysis는 소스 코드 없이 펌웨어를 검사하고, Coverity는 2026년 7월에 발표된 CRA 대응 검사기 옵션과 함께 SAST를 제공하며, Defensics는 퍼즈 테스트를 수행합니다. Black Duck은 CRA에는 SCA만이 아니라 여러 계층의 테스트가 필요하다고 주장합니다. 도움이 되는 영역: SBOM, 구성 요소와 자체 코드의 취약점 처리, 테스트. 주의할 점: 요금은 견적 방식이며, 모든 기법이 빌드가 아니라 코드나 출력물을 검사합니다. CRACI vs Black Duck

Sonatype

Sonatype Lifecycle은 도달 가능성과 업그레이드 데이터로 오픈 소스 정책을 적용하고 Golden Pull Requests를 생성합니다. Repository Firewall은 정책을 통과하지 못한 구성 요소를 리포지토리에 들어오기 전에 격리합니다. SBOM Manager는 VEX 워크플로와 함께 SBOM을 가져오고, 모니터링하고, 공유하며, Sonatype은 이를 자사의 CRA 제품으로 내세웁니다. 가이드에서는 보안 업데이트를 위한 업데이트 사이트로 Nexus Repository도 제시합니다. 도움이 되는 영역: 취약점 처리, SBOM 관리, 문제 있는 구성 요소 차단. 주의할 점: 제품 구성이 바뀌고 있으며(신규 고객은 Sonatype Guide를 구매합니다), Lifecycle은 빌드가 가져온 것이 아니라 빌드가 만든 결과물을 분석합니다. CRACI vs Sonatype

펌웨어 및 디바이스

ONEKEY

ONEKEY는 "소스 코드나 네트워크 접근이 필요 없이" 컴파일된 펌웨어를 분석합니다. 바이너리에서 SBOM을 생성하고, 공급업체 SBOM을 가져오며, 하드코딩된 자격 증명 같은 제로데이 가능성을 찾고, 펌웨어를 매일 재분석합니다. Compliance Wizard는 CRA, IEC 62443-4-2, ETSI EN 303 645, 무선 기기 지침(Radio Equipment Directive)을 단계별로 안내합니다. 도움이 되는 영역: 직접 빌드하지 않은 펌웨어의 SBOM, 취약점 처리, 안내형 점검. 주의할 점: 빌드 이후의 이미지를 다루므로 빌드가 가져온 항목은 기록하지 않습니다. CRACI vs ONEKEY 및 ONEKEY 대안

Finite State

Finite State는 펌웨어, 바이너리, 소스 코드, 공급업체 SBOM을 분석하며, 50개 이상의 바이너리 명령어 집합 아키텍처를 지원하고, 이를 하나의 제품 기록으로 통합합니다. 도달 가능성과 익스플로잇 인텔리전스로 발견 사항의 순위를 매기고, VEX 결정을 기록하며, 컴플라이언스 워크플로는 CRA 통제 매핑과 SBOM 및 VEX 아티팩트를 포함한 감사 대비 보고서를 다룹니다. 도움이 되는 영역: 공급업체 전반의 SBOM, 취약점 분류, 증거. 주의할 점: 아티팩트에서 출발하므로, 자체 빌드가 접근할 수 있는 대상을 통제하는 것은 범위 밖입니다. CRACI vs Finite State 및 Finite State 대안

Exein

Exein은 디바이스에서 작동합니다. Exein Runtime은 eBPF를 사용해 임베디드 Linux에서 악성 동작을 모니터링하고 차단하며, 오픈 소스 meta-exein Yocto 레이어가 Pulsar 에이전트를 이미지에 넣습니다. Exein Analyzer는 출시 전에 펌웨어를, 바이너리를 사용할 수 없을 때는 SBOM을 스캔하고, 도달 가능성 점수로 우선순위를 정하며, 발견 사항을 CRA 요구 사항에 매핑합니다. 도움이 되는 영역: 현장에서의 취약점 처리, 펌웨어 SBOM, CRA 매핑. 주의할 점: Yocto 레이어는 디바이스에서 실행되는 것을 바꿀 뿐, 빌드를 실행하거나 기록하지는 않습니다. CRACI vs Exein

컴플라이언스 관리 플랫폼

이 도구들은 SBOM을 생성하거나 코드를 스캔하지 않습니다. 거버넌스 쪽을 담당합니다. CRA 요구 사항을 통제 항목에 매핑하고, 정책 초안을 작성하며, 기한과 승인을 추적합니다. 기술적 증거는 다른 곳에서 가져와야 합니다.

Venvera

Venvera는 EU에서 만든 컴플라이언스 플랫폼으로 NIS2, DORA, ISO 27001, SOC 2와 함께 CRA를 다룹니다. CRA와 관련해서는 24시간 및 72시간 보고 기한, 취약점 처리, 유지 관리되는 요구 사항으로서의 SBOM, 제품 등급별 적합성 평가 경로, 부속서 VII 기술 문서와 EU 적합성 선언을 추적합니다. 도움이 되는 영역: 통제 매핑, 보고 기한, 적합성 프로세스 추적. 주의할 점: SBOM이 존재하고 유지 관리되는지를 추적할 뿐, SBOM 자체는 다른 도구에서 나옵니다.

ZeroRisk

ZeroRisk는 GDPR, ISO 27001, SOC 2, NIS2, DORA, CRA를 다루는 에이전트형 컴플라이언스 플랫폼입니다. CRA와 관련해 에이전트가 요구 사항을 조직에 매핑하고, 준비도 평가를 미리 채우고, 누락된 통제 항목과 정책의 초안을 작성하며, 제품에 포함된 공급업체를 24시간마다 재확인하며 모니터링합니다. 각 결론에는 사람의 승인이 따릅니다. 도움이 되는 영역: 준비도, 정책, 공급업체 보증. 주의할 점: CRA 페이지에는 SBOM 생성이나 자체 빌드의 취약점 모니터링에 대한 언급이 없습니다.

기한 내 보고

제14조는 통지 의무를 제조사에 부과하며, 이미 시장에 출시된 제품을 포함해 2026년 9월 11일부터 적용되고 있습니다. 도구가 할 수 있는 일은 "이 취약점이 악용되고 있다"는 시점과 "어떤 제품과 릴리스에 포함되어 있는지 안다"는 시점 사이의 시간을 줄이는 것입니다. 이는 신뢰할 수 있는 릴리스별 인벤토리, 지속적인 모니터링, 그리고 출시된 각 아티팩트와 그 구성 요소를 잇는 연결에 달려 있습니다. Anchore와 Cybeats는 CRA 자료에서 보고 기한을 설명하고, Venvera는 기한을 추적하며, ONEKEY, Finite State, Exein의 바이너리 분석은 다시 빌드할 수 없는 공급업체 코드를 다룹니다. CRACI의 API는 SBOM, 네트워크 추적, 출처 증명을 반환하며, CRACI는 조기 경보, 통지, 최종 보고서의 내용을 준비하며, 제출은 제조사가 합니다.

CRACI의 위치

CRACI는 GitHub Actions 러너입니다. 직접 빌드하는 소프트웨어에 대해 CI 캐시에서 복원된 패키지를 포함해 각 작업이 가져온 항목을 기록하고, 작업 및 캐시별 완전성 상태가 담긴 CycloneDX 또는 SPDX SBOM을 생성합니다. 빌드에 이그레스 정책을 적용하고, 출시된 소프트웨어의 SBOM을 계속 재평가하며, VEX를 지원하고, CRA 증거를 위해 취약점을 포함한 SBOM을 CycloneDX 또는 SPDX로 내보냅니다. 실제로 악용되는 취약점을 보고해야 할 때는 CRACI가 CRA 통지의 내용을 준비합니다. 제출은 고객이 직접 합니다. Yocto의 경우 최대 32 vCPU 및 96 GB RAM의 러너에서 BitBake를 실행하고, 호스트 패키지나 Rust 크레이트의 패키지 URL처럼 Yocto 자체 SPDX 출력이 빠뜨리는 항목을 기록합니다. CRACI의 인벤토리 보기는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 전 세계적으로 정확히 보여 줍니다. CRACI는 기업이 더 넓은 CRA 컴플라이언스 프로세스에 필요로 하는 소프트웨어 공급망 가시성과 증거의 상당 부분을 자동화합니다.

제품의 대부분이 공급업체로부터 바이너리로 들어오거나, 표준에 대한 안내형 점검, 통제 매핑과 정책 관리, 디바이스 보호, 또는 현재 GitHub Actions 이외의 CI 시스템이 필요하다면(GitLab CI와 Jenkins는 로드맵에 있습니다) CRACI만으로는 충분하지 않습니다. 자체 빌드에 대해서는 CRACI가 SBOM, 모니터링, CRA 통지를 하나의 제품으로 처리하며, 다시 빌드할 수 없는 펌웨어는 바이너리 분석이 빌드에서는 볼 수 없던 부분을 보여 줍니다. CRA란 무엇인지, CRA 컴플라이언스, 산업용 IoT를 참고하세요.

CRA 컴플라이언스 도구: 자주 묻는 질문

CRA 컴플라이언스 소프트웨어가 하는 일과 제조사에 남는 일

CRA 컴플라이언스 소프트웨어란 무엇입니까?

제조사가 Cyber Resilience Act를 충족하도록 돕는 소프트웨어입니다. 두 종류가 있습니다. SBOM, 취약점 기록, 빌드 증거를 만드는 기술 도구와, 요구 사항을 통제 항목에 매핑하고 보고 기한, 위험 평가, 적합성 평가를 추적하는 컴플라이언스 관리 플랫폼입니다. 어느 것도 그 자체로 제품을 규정에 맞게 만들지는 못합니다.

도구로 자동화할 수 있는 CRA 의무는 무엇입니까?

주로 취약점 처리 영역입니다. SBOM 생성, 새로운 취약점에 대한 SBOM 모니터링, 영향받는 릴리스 찾기, 분류 및 VEX 결정 기록, 제14조 통지의 준비, 기술 문서용 증거 내보내기가 해당합니다. 위험 평가, 보안 설계, 적합성 평가, 적합성 선언은 여전히 제조사가 결정할 사항입니다.

도구가 하나면 됩니까, 여러 개가 필요합니까?

대개 하나로는 부족합니다. 기술 도구는 SBOM과 취약점 증거를 제공하고, 컴플라이언스 관리 플랫폼이나 컨설턴트가 통제 항목, 정책, 적합성 평가 경로를 담당합니다. 공급업체로부터 바이너리로 받는 펌웨어의 경우, 바이너리 분석이 자체 빌드로는 볼 수 없는 부분을 보완합니다.

CRA 보고 기한은 언제입니까?

제14조는 2026년 9월 11일부터 적용되고 있습니다. 실제로 악용되는 취약점을 인지한 후 24시간 이내에 조기 경보, 72시간 이내에 통지, 수정 또는 완화 조치가 제공된 후 14일 이내에 최종 보고서를 제출해야 합니다. 이미 시장에 출시된 제품도 대상입니다. CRA의 나머지 조항은 2027년 12월 11일부터 적용됩니다.

CRACI는 CRA 통지를 어떻게 처리합니까?

CRACI가 준비합니다. CRACI는 조기 경보, 통지, 최종 보고서의 내용을 준비하고, 제조사의 담당자가 Single Reporting Platform을 통해 제출합니다. 보고 의무는 여전히 제조사에 있습니다.

CRA 적합성 평가를 수행하는 도구가 있습니까?

어떤 소프트웨어 도구도 이를 대신하지 못합니다. 적합성 평가는 제조사가 내부 통제로 수행하며, 중요 제품과 핵심 제품의 경우 CRA가 요구하는 곳에서는 인증 기관(notified body)이나 인증 체계를 통해 수행합니다. 도구는 평가에 쓰이는 증거를 제공합니다.