CRACI vs Medcrypt

간단히 말하면

Medcrypt는 의료기기 사이버 보안 기업입니다. 플랫폼인 Medcrypt Security Intelligence(MSI)는 소프트웨어와 전직 FDA 심사관 팀을 결합해 기기의 사이버 보안 제출 서류를 준비하고 감사하며 유지합니다. 홈페이지에 내건 약속은 "사이버 보안 제출, 한 번에 승인받으세요."입니다. SBOM 및 취약점 관리 제품인 Helm은 MSI의 일부이며 단독으로도 판매됩니다.

CRACI는 각 작업이 실제로 가져온 종속성을 기록하고 그 기록으로부터 완전성 상태가 포함된 SBOM을 만드는 GitHub Actions 러너입니다. 이후 권고가 나올 때마다 모니터링 대상 SBOM을 재평가하며, 보안 팀은 결과를 분류해 수정을 담당하는 팀에 전달합니다. CRACI는 FDA 제출 서류를 준비하거나 검토하지 않습니다. 직접 빌드하는 소프트웨어의 SBOM과 시판 후 취약점 추적에 대해서는, CRACI가 빌드 자체에서 출발해 Helm을 대체합니다.

한눈에 보기

Medcrypt의 강점

• FDA 전문 인력 보유. MSI의 점검, 감사, 템플릿은 Medcrypt의 표현에 따르면 "전직 FDA 심사관과 가이던스 작성자"가 포함된 팀이 만듭니다. MSI 플랜에는 이들과의 자문 시간이 연 15시간 포함되며, 플랫폼은 제출 패키지에서 심사관이 지적할 만한 부분을 스캔합니다. 첫 510(k) 또는 PMA 제출이라면 CRACI가 제공하지 않는 도움입니다.
• SBOM만이 아닌 제출 전체. MSI는 위협 모델링, 사이버 보안 위험 평가, 문서 생성(베타로 표시), 보완 요청서에 대한 대응, 그리고 검증된 파트너를 통한 추가 기능인 침투 테스트를 다룹니다.
• 허가 후의 시판 후 업무. MSI에는 지속적인 취약점 모니터링과 MedISAO 회원 자격이 포함되며, Medcrypt는 이를 통해 기기별 취약점 알림, 조정된 취약점 공개 프로그램, 가이던스 업데이트를 받을 수 있다고 설명합니다. 플랫폼 페이지는 분명하게 말합니다. "524B조로 시판 후 사이버 보안은 법적 의무가 되었습니다."
• Helm은 기기 제조업체를 위해 만들어졌습니다. Helm은 EPSS, CISA KEV, ExploitDB, Metasploit 데이터로 결과의 순위를 매기고, 각 기기의 컨텍스트에 맞게 취약점 점수를 일괄 재산정하며, 제품 버전 간에 조치 내역을 이어 가고, 별칭 규칙으로 구성 요소를 NVD 항목과 매칭합니다. CycloneDX 및 SPDX SBOM, VEX 및 VDR 보고서, Medcrypt FDA SBOM 형식으로 내보냅니다.
• 해당 분야에서 자리 잡은 공급업체. Medcrypt는 2016년에 설립되어 Y Combinator를 거쳤으며, Johnson & Johnson Innovation, Intuitive Ventures, Dexcom Ventures 등의 투자자로부터 $36.4M의 투자를 받았다고 밝힙니다. 상위 50개 중 13개를 포함해 140개 이상의 의료기기 제조업체가 신뢰한다고 말합니다.
• 공개된 요금. MSI는 사용자 수 제한 없이 제품 라인당 연 $35,000이며, 연 단위로 청구됩니다.

CRACI의 차이점

빌드에서 SBOM을 만듭니다

Helm은 주어진 SBOM으로 작업합니다. CycloneDX 또는 SPDX 파일을 업로드하거나 생성하고, 또는 Helm GitHub Action이 워크플로에서 SBOM 파일을 업로드합니다(문서에 따르면 현재 CycloneDX JSON을 지원). SBOM이 없는 팀에게 Helm 문서는 오픈 소스 생성 도구, 수작업 작성, 전문가 서비스, 또는 요청 시 제공되는 Medcrypt 생성 도구를 안내합니다. 따라서 Helm이 모니터링하는 구성 요소 목록은 여전히 스캐너나 직접 만든 파일에서 나옵니다.

CRACI는 작업을 실행합니다. runs-on을 craci로 바꾸면, 패키지를 인식하는 프록시가 빌드 중 패키지 소스로 가는 트래픽을 기록합니다. 대상은 npm, PyPI, RubyGems, Composer, Cargo, Go, Nix, OCI, apt, apk, Git 소스와 다운로드 프리셋입니다. 종속성 증거는 CI 캐시와 함께 전달되므로, 캐시에서 복원된 패키지도 기록에 남습니다. 각 SBOM은 작업별, 캐시별로 얼마나 완전한지를 Complete, Complete with connections, Incomplete, Unavailable 또는 Not recorded로 표시합니다.

임베디드 Linux 빌드

기기가 Yocto 이미지로 동작한다면 직접 비교할 수 있습니다. Helm 문서는 Yocto 자체의 SPDX 출력을 켜고 업로드하는 방법을 보여 줍니다. CRACI는 최대 32 vCPU와 96 GB RAM의 러너에서 BitBake를 실행합니다. core-image-sato를 나란히 빌드한 비교에서 CRACI의 SBOM에는 Yocto 자체 SPDX 출력의 모든 구성 요소가 포함되었고, 호스트 패키지와 GitHub Actions 등 88개가 더 있었으며, Yocto가 패키지 URL 없이 나열한 653개 Rust 크레이트 버전 각각에 패키지 URL이 있었습니다.

빌드 이력에서 얻는 시판 후 답변

새로운 취약점이 나오면 시판 후 단계의 질문은 출시된 어떤 버전에 그 취약점이 얼마나 오래 포함되어 있었느냐입니다. CRACI는 보존 기간 내 모든 과거 빌드와 그 SBOM을 보관하고, 취약한 종속성이 직접이든 전이적이든 포함되었던 빌드를 보여 주므로, 영향을 받은 기간을 알 수 있습니다. 인벤토리 보기는 어떤 소프트웨어 버전이 어떤 제품에 배포되어 있는지 보여 줍니다. 정책 게이트로 특정 CVE를 여전히 포함한 이후 빌드를 중단할 수 있습니다.

빌드가 접근할 수 있는 대상 제어

CRACI는 러너이므로 네트워크 이그레스 정책을 적용합니다. 기본 거부 또는 기본 허용 방식이며, 24개의 기본 제공 소프트웨어 소스 프리셋과 유형별 사용자 지정 소스를 지원하고, 작업 시작 전에 검증되며 실패 시 차단됩니다. 정책 위반 시 알림을 보냅니다. Medcrypt는 빌드를 실행하지 않으므로 이는 범위 밖입니다.

FDA 524B조 관점에서

524B조에 따라 사이버 기기 제출 서류에는 "상용, 오픈 소스, 기성 소프트웨어 구성 요소를 포함한" SBOM과 시판 후 취약점을 모니터링하고 대응하는 계획이 포함되어야 합니다. 두 제품은 서로 다른 방식으로 이 요구 사항에 관여합니다.

Medcrypt는 제출 서류 자체를 다룹니다. 위협 모델, 위험 평가, 문서, FDA 심사관이 지적하는 사항에 대한 감사, 그리고 FDA가 보완 요청서를 보냈을 때의 대응입니다. 요금 페이지에는 "현재 플랫폼이 다루는 것은 FDA입니다"라고 적혀 있습니다.

CRACI는 빌드에서 나오는 증거를 제공합니다. 빌드가 실제로 사용한 항목의 SBOM을 CycloneDX 또는 SPDX로 내보내고, 출시 후 그 SBOM을 지속적으로 모니터링하며, 분류해 수정을 담당하는 팀에 전달합니다. CRACI는 FDA 문서를 작성, 검토, 제출하지 않으며, 기기를 규정에 부합하게 만들지도 않습니다. 계획과 제출은 여전히 제조업체의 몫입니다. 제품 보안 팀에서 이것이 어떻게 맞물리는지는 PSIRT가 하는 일과 PSIRT 팀을 위한 CRACI를 참고하세요.

어느 쪽을 선택할까

• 첫 제출을 준비하거나 보완 요청서에 답해야 하는 경우. Medcrypt입니다. 전직 FDA 심사관, 제출 감사, 위협 모델링이 바로 Medcrypt의 목적이며, CRACI는 이 중 어느 것도 하지 않습니다.
• GitHub Actions에서 빌드하는 소프트웨어의 SBOM 및 취약점 관리가 필요한 경우. CRACI입니다. 각 빌드에서 SBOM을 만들고 모니터링하므로, 별도로 실행할 생성 도구도 관리할 업로드 단계도 없습니다.
• 현장 기기의 암호화, 키 관리, 기기 ID가 필요한 경우. Medcrypt의 Guardian이 기기 측 보안을 다룹니다. CRACI는 기기가 아니라 빌드를 다룹니다.
• 빌드가 GitLab CI 또는 Jenkins에서 실행되는 경우. Helm은 SBOM 업로드를 위한 API, GitHub Action, Azure DevOps 확장을 제공합니다. CRACI는 현재 GitHub Actions를 지원하며, GitLab CI와 Jenkins는 로드맵에 있습니다.

Helm을 CRACI로 대체하기

GitHub Actions에서 빌드하는 기기 소프트웨어라면 CRACI가 Helm의 역할을 해냅니다. 각 빌드에서 SBOM을 만들고, 새로운 취약점이 공개될 때마다 모니터링 대상 SBOM을 재평가하며, 빌드와 리포지토리 전반의 결과를 집계하고, VEX를 지원하며, 보안 팀이 결과를 분류해 수정을 담당하는 팀에 전달할 수 있게 합니다. 공급업체 SBOM도 추가할 수 있으므로, 구매한 구성 요소도 자체 빌드와 함께 모니터링됩니다.

포기하는 부분도 분명히 알아 두세요. Helm은 EPSS와 CISA KEV 같은 익스플로잇 인텔리전스로 결과의 순위를 매기고, 완화 조치에 대한 AI 가이드를 제공하며, 별칭 규칙으로 구성 요소를 매칭하고, 지원 종료 데이터를 추적하며, VDR 보고서와 Medcrypt FDA SBOM 형식으로 내보냅니다. 또한 MSI의 제출 업무, 자문 시간, MedISAO 회원 자격에 해당하는 기능은 CRACI에 없습니다. 주된 목적이 FDA 심사 통과라면 Medcrypt가 그 용도로 만들어졌습니다.

제품 보안 팀을 위한 도구를 더 비교하고 있다면 PSIRT 도구 비교를 참고하세요.