SBOMの
統合管理基盤

SBOMの統合管理基盤は、自社の製品とサプライヤーにわたるすべてのSBOMを、ガバナンスの効いた一つの場所で取り込み、管理し、監視し、共有するための仕組みです。生成ツールや静的なリポジトリとの違いは、SBOMデータを正確に保ち、継続的に監視し、監査に対応できる状態に保つ点にあります。顧客、監査人、規制当局に対して、求めに応じて証明できる、信頼できる唯一の情報源となります。

RAVENは、Reachability（到達可能性）、Agentic（エージェント型）、VEX automation（VEXの自動化）、Evidence（エビデンス）、No exposure（情報を外部に出さない）の頭文字です。エージェントは、脆弱なコードパスが自社のビルド内で実際に実行され得るかを確認します。すでに使用しているコーディングエージェントを通じて動作し、すべての検出結果を根拠を示したVEXステートメントとして返し、すべての回答を監査証跡に記録します。また、ソースコードや社内文書を自社環境の外に移すことはありません。

インテリジェンスレイヤーは、このモデルの第4のレイヤーで、生成、保管、ガバナンスの上に位置します。統合管理基盤は「記憶」にあたり、すべてのSBOM、脆弱性、ギャップを、ガバナンスの効いた一か所にまとめます。Ravenはそこに「思考」を加えます。ビジネスとコードベースのコンテキストを踏まえて推論し、スコア付きの脆弱性リストをトリアージの判断へと変えるAIレイヤーです。

生成ツールが答えられるのは、今日の時点で1つのビルドに何が含まれているかです。リポジトリが答えられるのは、SBOMファイルがどこに保管されているかです。統合管理基盤は、すべての製品とサプライヤーにわたってどこが影響を受けるか、そしてそれを証明できるかに答えます。3つのレイヤーはいずれも必要ですが、規制上の義務は統合管理基盤で果たされます。

いいえ。Ravenは、ガバナンスの効いたインターフェースを介して、自社環境内にすでにあるコーディングエージェントを通じて動作します。入るのは質問、出るのはエビデンスであり、それ以外は何も境界を越えません。これはコードに限らず、Ravenがアクセスできるすべてのものに当てはまります。ソースコード、社内文書、仕様書、設計およびアーキテクチャの記録、脅威モデル、回路図は、すべて自社環境内に留まります。

境界の外に出るのは、根拠を示した回答だけです。その回答はすべて、該当するコンポーネント、製品、バージョンに正確に関連付けられ、監査証跡に記録されます。

欧州サイバーレジリエンス法は、積極的に悪用された脆弱性を認識してから24時間以内に、当局へ通知することを求めています（Regulation (EU) 2024/2847、第14条）。Ravenは、到達可能性の確認、VEXステートメントの下書き作成、監査に対応できるエビデンスの取りまとめを、機械の速度で行います。そのため、チームは分析を手作業で組み立てる代わりに、期限内にレビューと報告を行えます。

CRAがSBOM自体に求める要件（フォーマット、深さ、フィールド）については、EU CRAのSBOM要件で解説しています。

いいえ。RavenはSBOM Studioのアドオンであり、新たなスキャナーではありません。新たなアクセス権限も必要ありません。SBOM Studioはすでに、品質スコアが付与されたSBOMを対象に、すべてのコンポーネントを脆弱性情報と継続的に照合して監視しています。これにより、誤検知を低く抑えています。そのためRavenは、スキャナーの生の出力に含まれるノイズではなく、すでに相関分析された高品質なデータから分析を始めます。エンジニアがすでに使用しているコーディングエージェントを通じて動作し、検出結果を、チームが確認できる根拠を示したVEXステートメントとして返します。

Ravenは、製品セキュリティ責任者（PSO）、最高製品セキュリティ責任者（CPSO）、PSIRT、CSO、そしてソフトウェアサプライチェーンのセキュリティとコンプライアンスに責任を持つ、製品セキュリティ部門やガバナンス部門のリーダーを対象としています。これらのチームは一般に、SBOM Studioが支援する製品セキュリティのワークフローを担当しています。一方、CISOのチームは、より広範なサードパーティリスクや資産管理のユースケースに、SBOM Consumerの機能を利用することがあります。