EVSec – Nền tảng DevSecOps và tuân thủ bảo mật cho sản phẩm vật lý kết nối

C2A Security là công ty phần mềm bảo mật sản phẩm có trụ sở tại Jerusalem, Israel, do Michael Dick, cựu chuyên gia NDS/Cisco, thành lập năm 2016. Công ty giúp nhà sản xuất ô tô, thiết bị y tế, robot và sản phẩm IoT công nghiệp quản lý rủi ro an ninh mạng và chứng minh tuân thủ ISO/SAE 21434, UN R155, Đạo luật Khả năng chống chịu an ninh mạng của EU, quy định FDA và IEC 62443.

EVSec là nền tảng DevSecOps định hướng rủi ro, xây dựng trên một mô hình an ninh mạng chung cho từng sản phẩm. Các mô-đun gồm mô hình hóa mối đe dọa động và cây tấn công, quản lý SBOM và lỗ hổng với báo cáo VEX và CSAF, phân tích mã nhị phân và mã nguồn, fuzzing trong CI/CD, phát hiện xâm nhập trên CAN và Ethernet, định lượng rủi ro toàn đội xe và trung tâm tuân thủ tạo tuyên bố hợp chuẩn. Lớp AI với máy chủ MCP tự động hóa phân tích. Người dùng gồm hãng xe, nhà cung cấp cấp 1 và nhà sản xuất thiết bị y tế.

• EVSec Analysis: Mô hình hóa mối đe dọa động, cây tấn công và tính toán rủi ro trực tiếp.
• Quản lý BOM và lỗ hổng: Phân loại lỗ hổng với báo cáo VEX, VDR và CSAF.
• Phân tích mã nhị phân và mã nguồn: Phát hiện thành phần, thông tin bí mật và điểm yếu theo CWE.
• EVSec Attacker: Chạy fuzzing và sinh ca kiểm thử trong quy trình CI/CD.
• Bảo vệ mạng và thiết bị: Phát hiện xâm nhập trên CAN, Ethernet và bảo vệ ECU.
• Compliance Center: Báo cáo đa khung quy định và tuyên bố hợp chuẩn.

Hãng xe máy hoặc xe điện Việt Nam có thể thực hiện phân tích mối đe dọa và đánh giá rủi ro (TARA) và xây dựng hệ thống quản lý an ninh mạng theo UN R155 trên EVSec. Nhà cung cấp linh kiện có thể quản lý SBOM và lỗ hổng cho ECU giao cho hãng xe nước ngoài. Doanh nghiệp xuất khẩu thiết bị y tế có thể tạo hồ sơ tuân thủ FDA và CRA từ cùng một mô hình sản phẩm.

Đội ngũ quản lý phân tích mối đe dọa, lỗ hổng và bằng chứng tuân thủ trong một mô hình duy nhất thay vì bảng tính và nhiều công cụ rời rạc. Công ty cho biết giảm tới 70% công sức trong vòng đời sản phẩm và giảm 98-99% cảnh báo nhiễu về lỗ hổng. Các quy trình tuân thủ dựng sẵn bao phủ nhiều khung quy định cùng lúc, và Triumph Motorcycles đã chọn nền tảng sau giai đoạn thử nghiệm để đáp ứng UN R155.

UN R155 nay áp dụng cả cho xe máy, với hạn chót cho kiểu loại mới từ tháng 12/2027, còn EU CRA bổ sung nghĩa vụ báo cáo cho sản phẩm kết nối từ năm 2026. Các nhà sản xuất ô tô, xe máy và điện tử tại Việt Nam và Đông Nam Á xuất khẩu hoặc tham gia chuỗi cung ứng toàn cầu cần hệ thống quản lý an ninh mạng và chuỗi bằng chứng được kiểm toán viên chấp nhận.

Thành lập năm 2016 bởi Michael Dick; trụ sở tại Jerusalem, Israel. Đối tác gồm Deloitte (có liên minh với Deloitte Đài Loan), NVIDIA, Siemens và NTT DATA. Logo khách hàng và đánh giá gồm BMW, Stellantis, Aptiv, Marelli, Forvia Hella, Valeo, Harman, Elekta và Triumph Motorcycles. Website hiển thị huy hiệu TISAX, ISMS và GDPR.