脆弱性管理・CRA対応を一元化

SBOM生成から脆弱性情報管理、VDP対応、CRA対応に必要な証跡管理まで。
製品セキュリティ管理を効率化するクラウドサービス。

無料相談・お見積りはこちら

このような課題はありませんか？

CRA対応の運用管理を自動化・一元化したい
OSSやサードパーティコンポーネントの利用状況を把握できていない
SBOMを作成しても更新・管理が続かない
脆弱性情報を手作業で確認している
PSIRT・開発・品質保証部門間で情報共有が煩雑
外部からの脆弱性報告への対応フローが整備されていない

SBOM＋で解決！

「SBOM＋」は、製品に含まれるソフトウェア構成情報であるSBOMを起点に、脆弱性情報収集、VDP（Vulnerability Disclosure Program）対応やCRAで規定された脆弱性報告義務への対応状況、および一連の対応証跡管理といったCRA対応に必要な運用全体を自動化し一元的に管理するクラウドサービスです。

PSIRT（Product Security Incident Response Team）や製品開発部門、品質保証部門等における製品ごとのSBOM管理の属人化、脆弱性対応の優先順位付け、外部からの脆弱性報告への対応、CRA等の規制対応に向けた証跡管理といった課題の解決を支援します。

CRA対応の全プロセスをご支援

SBOM＋の強み

SBOM生成

既存のSBOMフォーマットに対応しているほか、ソースコード、バイナリ、コンテナイメージ等、多様な入力形式からSBOMを生成・解析できます。製品ごとのSBOMを一元管理することで、構成部品の把握や変更管理を効率化します。

対応バイナリ種別

#	分類	バイナリ種別	拡張子・識別子
1	コンパイル済みバイナリ	ELF 実行ファイル・共有ライブラリ	.so ほか（拡張子なしの実行ファイル含む）
2		PE 実行ファイル・DLL	.exe / .dll / .sys
3		Mach-O 実行ファイル・dylib	.dylib（拡張子なしの実行ファイル含む）
4		Go バイナリ	Goでコンパイルされた実行ファイル。ELF/PE/Mach-Oいずれの形式でも検出
5	OSパッケージ	Debian パッケージ (.deb)	.deb
6		RPM パッケージ (.rpm)	.rpm
7		Alpine パッケージ (.apk)	.apk
8		Arch / Gentoo	alpm DB / portage DB
9	言語パッケージ	Java アーカイブ	.jar/.war/.ear/.par/.sar/.nar/.jpi/.hpi
10		Python 配布物	.whl / .egg
11		Ruby gem	.gem
12		.NET パッケージ	.dll / .exe / deps.json
13	コンテナ・アーカイブ	コンテナイメージ	Docker / OCI イメージ
14	コンテナ・アーカイブ	アーカイブ	.tar / .tar.gz / .tgz / .zip
15	その他	Linux カーネル・モジュール	vmlinuz / .ko
16	その他	ファームウェアイメージ	.bin / .img 等

脆弱性情報の収集とトリアージ

生成・登録されたSBOMに対して、関連する脆弱性情報や緊急度、悪用実態を示すKEV（Known Exploited Vulnerabilities）情報等を自動的に関連付けて製品ごとのセキュリティリスクを可視化します。これにより対応優先度の判断や影響範囲の把握を支援します。

製品の脆弱性対応マネジメント

製品の脆弱性対応はPSIRT、製品開発部門、品質保証部門等の多くの部門間で連携が必要です。「SBOM＋」では検出された脆弱性に対するBugFixタスクの管理や、Redmine、Jira等の外部アプリケーション連携に対応。PSIRT、製品開発部門、品質保証部門などの関係者間で対応状況を共有し、脆弱性対応の抜け漏れや遅延の抑制を支援します。製品ごとのSBOM、関連脆弱性、VDPやCRA対応状況をダッシュボード上で一元的に管理することが可能です。