Fortreum tuo markkinoille Kovr-pohjaisen VDR/VER-palvelun ennen FedRAMPin haavoittuvuuksia koskevaa määräaikaa

Fortreum on tuonut markkinoille Kovr-pohjaisen VDR/VER-palvelunsa auttaakseen pilvipalveluntarjoajia ottamaan FedRAMPin uudet haavoittuvuussäännöt käyttöön ennen 7. joulukuuta 2026 olevaa siirtymäaikaa. Palvelussa yhdistyvät tietoturva-asiantuntijat, käyttöönoton tuki ja tekoälyavusteinen arviointi sen sijaan, että vaatimustenmukaisuus nähtäisiin kerran kuukaudessa arkistoitavana skanneriraporttina.

Fortreum kuvaa teknisessä selvityksessään työnkulkua, jossa skannaushavainnot yhdistetään resursseihin, haavoittuvuuksista laaditaan alustavat arviot ja vastaustoimia sekä niihin liittyvää näyttöä seurataan. Asiakkaan tiimit tarkistavat arviot ja ohjaavat niihin liittyviä toimia.

Ero on tärkeä, sillä ohjelmistovirheen tunnistaminen on vasta alku. Palveluntarjoajan on myös selvitettävä, missä virhe esiintyy, voiko hyökkääjä päästä siihen käsiksi, mihin sen hyväksikäyttö vaikuttaisi ja miksi valittu toimintatapa on asianmukainen.

VDR:n ja VER:n vaatimukset

FedRAMP on Yhdysvaltain hallituksen ohjelma, joka arvioi ja valvoo liittovaltion virastojen käyttämien pilvipalvelujen tietoturvaa. Päivitetyissä haavoittuvuussäännöissä työ jaetaan kahteen läheisesti toisiinsa liittyvään osa-alueeseen.

Haavoittuvuuksien havaitseminen ja niihin vastaaminen (VDR) kattaa haavoittuvuuksien tunnistamisen ja hallinnan ajan mittaan. Haavoittuvuuksien arviointi ja raportointi (VER) puolestaan koskee niiden vaikutusten arviointia ja asiaankuuluvien tietojen raportointia.

Pelkkä vakavuusarvio ei vastaa kaikkiin käytännön kysymyksiin. Sama haavoittuvuus voi esiintyä eristetyllä testikoneella ja julkisesti saatavilla olevassa palvelussa, jossa käsitellään arkaluonteisia tietoja. Ohjelmiston heikkous voi olla sama, mutta hyökkääjän käytettävissä olevat reitit ja hyväksikäytön seuraukset voivat erota huomattavasti.

Siksi säännöissä painotetaan asiayhteyden merkitystä: haavoittuvuuden todennäköistä hyväksikäytettävyyttä, saavutettavuutta internetistä, mahdollisia vaikutuksia virastoon ja lieventävien toimien tehokkuutta. Palveluntarjoajien on säilytettävä näiden arvioiden perustana oleva näyttö olosuhteiden muuttuessa.

Näin Kovr yhdistää havainnot päätöksentekoon

Fortreumin mukaan sen käyttöönottotapa alkaa palveluntarjoajan ympäristöön ja nykyiseen haavoittuvuuksien hallintaprosessiin tutustumisesta, minkä jälkeen määritellään vastuut ja raportointikäytännöt. Kovr käsittelee skannaus- ja inventaariotietoja, yhdistää havainnot resursseihin ja laatii alustavat arviot haavoittuvuuksien hyväksikäytettävyydestä, saavutettavuudesta ja mahdollisista vaikutuksista virastoon.

Hyödyllinen tulos on paljon muutakin kuin uusi haavoittuvuusluettelo. Jokaiselle havainnolle tarvitaan vastuuhenkilö, määräaika siihen vastaamiselle, sitä tukeva näyttö ja kirjaukset siitä, mitä seuraavaksi tapahtui. Kun nämä tiedot liittyvät toisiinsa, tietoturvan kehitys- ja vaatimustenmukaisuustiimien on helpompi toimia samojen tosiasioiden pohjalta.

Analyytikko voi esimerkiksi päätellä, että haavoittuva komponentti on käytössä mutta ei ole saavutettavissa palvelun ulkoisen rajapinnan kautta. Päätelmän tueksi tarvitaan näyttöä kyseisestä resurssista ja sen kokoonpanosta. Jos käyttöönoton yhteydessä altistuminen myöhemmin muuttuu, aiempi arvio ei välttämättä enää kuvaa riskiä.

Tekoäly voi auttaa tietojen järjestämisessä ja arvion laatimisessa, mutta päätös perustuu edelleen palveluntarjoajan ympäristöön. Fortreum korostaa, että arvioinnin ja toimien ohjauksen vastuu kuuluu asiakkaalle: automaattisesti tuotettu tulos ei korvaa palveluntarjoajan velvollisuuksia.

Kovrin taustalla oleva laajempi teknologia

Kovr on Fortreumin tekoälylähtöinen vaatimustenmukaisuuden automatisointialusta säännellyillä aloilla toimiville organisaatioille. Sen laajempiin ominaisuuksiin kuuluvat näytön kerääminen, dokumentaation hallinta, kontrollien kartoitus, korjaavien toimien seuranta sekä jatkuvan valvonnan tuki useissa viitekehyksissä.

Alusta hyödyntää suuria kielimalleja, ja se perustuu avoimeen tietoturvakontrollien arviointikieleen (Open Security Controls Assessment Language, OSCAL). OSCAL tarjoaa jäsennellyt tiedostomuodot, joiden avulla järjestelmät voivat vaihtaa tietoturvakontrolleja ja arviointeja koskevia tietoja keskenään. Tämä eroaa pelkästä PDF-tiedostojen tallentamisesta kansioon: ohjelmistot voivat käsitellä, vertailla ja käyttää jäsenneltyjä tietueita uudelleen.

Kovriin kuuluu myös Agent Artemis, vaatimustenmukaisuuteen keskittyvä avustaja, joka auttaa vaatimusten tarkastelussa, dokumentaation löytämisessä ja kontrollien ymmärtämisessä. Nämä ominaisuudet havainnollistavat laajempaa alustaa; Fortreumin VDR/VER-kuvaus keskittyy nimenomaan haavoittuvuuksien arviointi- ja vastaustyönkulkuun.

Unite.AI käsitteli aiemmin Fortreumin tekemää Kovr.AI:n yritysostoa. Uudessa palvelussa arviointiosaaminen ja automaatio yhdistyvät liittovaltion pilvipalvelujen valvonnassa tapahtuvaan konkreettiseen muutokseen.

Joulukuun 7. päivä on siirtymäaika, johon liittyy armonajan ehtoja

Määräaikaa on tarkasteltava yhdessä FedRAMPin ajantasaisen ohjeistuksen kanssa. FedRAMP vahvistaa 10. marraskuuta julkaistussa siirtymäilmoituksessaan siirtymäpäiväksi 7. joulukuuta 2026 ja pitää sertifioiduille pilvipalveluille voimassa armonajan 7. maaliskuuta 2027 asti.

Palveluiden, joiden siirto ei ole valmis 7. joulukuuta, on kerrottava korjaavista toimista ja kunkin vielä täyttämättä olevan vaatimuksen tavoiteaikataulusta. Ne, jotka aikovat saada siirron valmiiksi 3. helmikuuta jälkeen, merkitään korjaustoimien kohteena oleviksi, kunnes työ on valmis. FedRAMP kuvaa myös tapauskohtaisia, 7. maaliskuuta pidemmälle ulottuvia määräajan pidennyksiä. Niiden edellytyksenä ovat hyväksytty korjaussuunnitelma ja sitoutuminen koordinoituun red team -arviointiin.

Näin ollen 7. joulukuuta ei ole automaattinen sertifioinnin peruutuspäivä kaikille palveluntarjoajille, joiden työ on kesken. Se on määräetappi, joka edellyttää operatiivisia toimia ja perusteltua selvitystä jäljellä olevista puutteista. Tiedotteessa edellytetään myös siirron edistymisestä raportointia, ja siinä annetaan esimerkkejä sekä koneellisesti luettavista että ihmisten luettaviksi tarkoitetuista haavoittuvuustoimien raporteista.

Automaatio auttaa, kun näyttö pysyy koottuna

Keskeinen haaste on jatkuvan prosessin koordinointi. Tarkistus voi paljastaa haavoittuvuuden, mutta sen riskin pienentäminen voi edellyttää, että insinööri asentaa korjauspäivityksen, infrastruktuuritiimi muuttaa käyttöoikeuksia ja vaatimustenmukaisuudesta vastaava tiimi kirjaa, miksi valittu toimintatapa täyttää sovellettavat vaatimukset.

Fortreumin ehdotuksena on yhdistää tämä työ yhteisen tietoaineiston ja toistettavan työnkulun avulla. Menestystä mitataan käytännössä sillä, pystyvätkö tiimit tekemään päätöksiä ajoissa ja riittävän näytön perusteella sekä osoittamaan päätösten taustalla olevan näytön sen sijaan, että ne vain tuottaisivat lisää vaatimustenmukaisuusasiakirjoja.