Fortreum lance une offre VDR/VER reposant sur Kovr avant l’échéance FedRAMP pour les vulnérabilités

Fortreum a lancé son offre VDR/VER reposant sur Kovr afin d’aider les fournisseurs de services cloud à mettre en œuvre les nouvelles règles FedRAMP sur les vulnérabilités avant la date limite de migration du 7 décembre 2026. L’offre associe des spécialistes de la sécurité, un accompagnement à la mise en œuvre et une évaluation assistée par l’IA, au lieu de réduire la conformité à un rapport d’analyse archivé une fois par mois.

Dans son explication technique, Fortreum décrit un processus qui relie les résultats des analyses aux actifs, produit des évaluations préliminaires des vulnérabilités et suit les activités de réponse ainsi que les éléments de preuve. Les équipes clientes examinent les conclusions et orientent la réponse.

Cette distinction est importante, car repérer une faille logicielle n’est qu’un début. Un fournisseur doit également déterminer où elle se trouve, si un attaquant peut l’atteindre, quelles seraient les conséquences de son exploitation et pourquoi la réponse choisie est appropriée.

Ce qu’exigent la VDR et la VER

FedRAMP est le programme du gouvernement américain chargé d’évaluer et de superviser la sécurité des services cloud utilisés par les agences fédérales. La mise à jour de ses règles sur les vulnérabilités répartit le travail en deux domaines étroitement liés.

La détection et la réponse aux vulnérabilités (VDR) couvrent leur identification et leur gestion au fil du temps. L’évaluation et le signalement des vulnérabilités (VER) consistent à évaluer leurs implications et à communiquer les informations pertinentes.

Un score de gravité ne suffit pas à répondre à toutes les questions opérationnelles. Une même faille peut se trouver sur une machine de test isolée ou sur un service accessible publiquement qui contient des informations sensibles. La faiblesse logicielle peut être identique, mais les voies d’accès dont pourrait disposer un attaquant et les conséquences d’une exploitation sont très différentes.

Les règles accordent donc une grande importance au contexte : la probabilité d’exploitation, l’accessibilité depuis Internet, les conséquences potentielles pour les agences et l’efficacité des mesures d’atténuation. Les fournisseurs doivent conserver les éléments de preuve à l’appui de ces évaluations, même lorsque les conditions évoluent.

Comment Kovr relie les résultats aux décisions

Fortreum indique que son approche de mise en œuvre commence par l’environnement du fournisseur et son processus de gestion des vulnérabilités existant, puis définit les responsabilités et les procédures de compte rendu. Kovr ingère les données d’analyse et d’inventaire, associe les résultats aux actifs et prépare des évaluations initiales de la possibilité d’exploitation, de l’accessibilité et des conséquences potentielles pour les agences.

Le résultat utile ne se limite pas à une nouvelle liste de vulnérabilités. Chaque constat doit avoir un responsable, une échéance de réponse, des éléments de preuve à l’appui et un historique des suites qui lui ont été données. Le fait de relier ces éléments facilite le travail des équipes d’ingénierie de la sécurité et de conformité à partir des mêmes informations.

Par exemple, un analyste peut déterminer qu’un composant vulnérable est présent, mais qu’il n’est pas exposé par l’interface externe du service. Cette conclusion doit s’appuyer sur des éléments de preuve concernant l’actif touché et sa configuration. Si un déploiement modifie ensuite son exposition, l’évaluation précédente risque de ne plus refléter le risque.

L’IA peut aider à organiser les dossiers et à préparer une évaluation, mais la décision reste liée à l’environnement du fournisseur. Fortreum précise que l’examen et l’orientation de la réponse relèvent du client, et ne présente pas les résultats automatisés comme un substitut aux obligations du fournisseur.

Les technologies plus générales derrière Kovr

Kovr est la plateforme d’automatisation de la conformité de Fortreum, conçue dès l’origine autour de l’IA pour les organisations réglementées. Ses fonctionnalités plus larges comprennent la collecte de preuves, la gestion documentaire, la mise en correspondance des contrôles, le suivi des mesures correctives et la prise en charge de la surveillance continue dans plusieurs cadres de conformité.

La plateforme utilise de grands modèles de langage et repose sur l’Open Security Controls Assessment Language (langage ouvert d’évaluation des contrôles de sécurité), ou OSCAL. OSCAL fournit des formats structurés permettant d’échanger entre systèmes des informations sur les contrôles de sécurité et les évaluations. Il ne s’agit pas simplement de stocker un dossier de fichiers PDF : les logiciels peuvent traiter, comparer et réutiliser des données structurées.

Kovr propose également Agent Artemis, un assistant spécialisé dans la conformité qui aide à parcourir les exigences, à trouver des documents et à comprendre les contrôles. Ces fonctionnalités illustrent la plateforme dans son ensemble ; la présentation de l’offre VDR/VER de Fortreum porte spécifiquement sur le processus d’évaluation des vulnérabilités et de réponse.

Unite.AI avait déjà couvert l’acquisition de Kovr.AI par Fortreum. La nouvelle offre applique cette combinaison d’expertise en évaluation et d’automatisation à une évolution opérationnelle concrète de la supervision fédérale des services cloud.

Le 7 décembre est une échéance de migration, assortie de conditions pour la période de grâce

Cette échéance doit être interprétée à la lumière des directives actuelles de FedRAMP. Dans son avis de migration du 10 novembre, FedRAMP confirme que la date de migration est fixée au 7 décembre 2026 et maintient une période de grâce jusqu’au 7 mars 2027 pour les services cloud certifiés.

Les services qui n’auront pas achevé leur migration au 7 décembre devront expliquer les mesures correctives prévues et indiquer les échéances visées pour chaque règle encore en suspens. Ceux qui prévoient de terminer après le 3 février seront considérés comme en cours de remédiation jusqu’à l’achèvement des travaux. FedRAMP prévoit également des prolongations au cas par cas au-delà du 7 mars, sous réserve de l’approbation d’un plan de mesures correctives et de l’accord sur une évaluation coordonnée par une équipe rouge.

Par conséquent, le 7 décembre ne constitue pas une date de révocation automatique de la certification pour tous les fournisseurs dont les travaux ne sont pas terminés. Il s’agit d’une étape qui exige une réponse opérationnelle et un état des lacunes restantes dûment étayé. L’avis demande également de rendre compte de l’avancement de la migration, notamment au moyen d’exemples de rapports sur les activités liées aux vulnérabilités, lisibles par machine et par un humain.

L’automatisation est utile lorsque les éléments de preuve restent liés

Le principal défi consiste à coordonner un processus continu. Une analyse peut révéler une faille, mais en réduire les risques peut nécessiter qu’un ingénieur applique un correctif, qu’une équipe chargée de l’infrastructure modifie les accès et qu’une équipe de conformité consigne les raisons pour lesquelles la réponse retenue satisfait aux exigences applicables.

La proposition de Fortreum consiste à relier ces activités au moyen d’un jeu de données partagé et d’un processus reproductible. La mesure concrète de la réussite sera de savoir si les équipes peuvent prendre des décisions en temps voulu, solidement étayées, et présenter les éléments qui les justifient, plutôt que de simplement produire davantage de documents de conformité.