CRACI：搶先佈局 EU《Cyber Resilience Act》合規工具嘅芬蘭初創

歐洲科技企業正踏入一個全新監管時代。隨住 **EU《Cyber Resilience Act》（CRA）**逐步落實，所有含有數碼元素嘅產品——由軟件到硬件——都要符合更嚴格嘅網絡安全標準。面對呢個轉變，一批新創公司開始出現，專門幫企業處理合規問題，其中之一就係來自芬蘭嘅 CRACI。

CRACI 係做咩？

CRACI 係一間芬蘭網絡安全初創，開發一個平台，目標係將 安全監控、漏洞追蹤同修復流程直接整合到軟件開發流程之中。

佢嘅系統可以接入常見 CI/CD 工具，例如 GitHub、GitLab 同 Jenkins。當開發團隊提交新程式碼或者更新依賴庫時，平台可以自動：

• 發現軟件依賴入面嘅漏洞
• 建立修復任務並分配俾開發人員
• 追蹤漏洞修復進度
• 留下可追溯嘅安全紀錄

換句話講，CRACI 想將「安全合規」由傳統嘅審計式流程，變成 開發流程入面持續進行嘅工程工作。

已融資幾多？

CRACI 已完成 €1.4 million（約 140 萬歐元）pre‑seed 融資，用嚟開發同擴展佢嘅合規與軟件供應鏈安全平台。

公開資料確認咗融資金額，但關於投資者名單或者資金具體用途，目前並未有太多詳細披露。

核心問題：軟件供應鏈安全

現代軟件幾乎都依賴大量 開源套件、第三方組件同自動化 build pipeline。呢種架構形成所謂嘅「軟件供應鏈」。

問題係：漏洞未必只存在於自己寫嘅程式碼，亦可能來自：

• 開源依賴套件
• build 工具
• 第三方 integration

企業要管理呢啲風險，往往要同時做幾件事：

• 追蹤依賴套件嘅安全漏洞
• 記錄安全流程與文檔
• 快速推出安全補丁
• 在整個產品生命周期維持安全更新

CRACI 嘅做法係將 漏洞發現、追蹤同修復流程直接嵌入開發 pipeline，令安全問題可以像普通 bug 一樣被處理，而唔需要另開一套合規流程。

點解 CRA 令需求急升

EU《Cyber Resilience Act》係歐盟針對數碼產品安全推出嘅重要監管框架，涵蓋所有 含有數碼元素嘅產品，包括軟件、操作系統、設備固件以及連網裝置。