Fortreum lancia un’offerta VDR/VER basata su Kovr in vista della scadenza FedRAMP per le vulnerabilità

Fortreum ha presentato la propria offerta VDR/VER basata su Kovr per aiutare i fornitori di servizi cloud a mettere in pratica le nuove regole FedRAMP sulle vulnerabilità prima della scadenza per la migrazione del 7 dicembre 2026. L’offerta combina specialisti della sicurezza, supporto all’implementazione e valutazioni assistite dall’IA, anziché trattare la conformità come un rapporto di scansione da archiviare una volta al mese.

Nella sua spiegazione tecnica, Fortreum descrive un flusso di lavoro che collega i risultati delle scansioni alle risorse, produce valutazioni preliminari delle vulnerabilità e tiene traccia delle attività di risposta e delle prove. I team dei clienti esaminano le valutazioni e dirigono la risposta.

La distinzione è importante perché identificare una vulnerabilità software è solo il primo passo. Un fornitore deve anche stabilire dove si trova, se un aggressore può raggiungerla, quali sarebbero gli effetti di un suo sfruttamento e perché la risposta adottata è adeguata.

Requisiti di VDR e VER

FedRAMP è il programma del governo degli Stati Uniti che valuta e supervisiona la sicurezza dei servizi cloud utilizzati dalle agenzie federali. Le sue norme aggiornate sulle vulnerabilità suddividono il lavoro in due ambiti strettamente correlati.

Rilevamento e risposta alle vulnerabilità (VDR) riguarda l’identificazione e la gestione delle vulnerabilità nel tempo. Valutazione e segnalazione delle vulnerabilità (VER) riguarda la valutazione delle loro implicazioni e la comunicazione delle informazioni pertinenti.

Un punteggio di gravità, da solo, non può rispondere a tutte le domande operative. La stessa vulnerabilità potrebbe trovarsi sia su una macchina di test isolata sia su un servizio esposto al pubblico che contiene informazioni sensibili. La debolezza del software può essere identica, mentre i percorsi che un aggressore potrebbe seguire e le conseguenze di uno sfruttamento possono essere molto diversi.

Per questo le norme attribuiscono importanza al contesto: alla probabilità di sfruttamento, alla raggiungibilità da Internet, al potenziale impatto sulle agenzie e all’efficacia delle misure di mitigazione. I fornitori devono conservare le prove a sostegno di queste valutazioni anche quando le condizioni cambiano.

Come Kovr collega i risultati delle scansioni alle decisioni

Fortreum afferma che il proprio approccio all’implementazione parte dall’ambiente del fornitore e dal processo di gestione delle vulnerabilità già in uso, per poi definire responsabilità e flussi di lavoro per la rendicontazione. Kovr acquisisce i dati delle scansioni e degli inventari, associa i risultati alle risorse e prepara valutazioni iniziali della possibilità di sfruttamento, della raggiungibilità e del potenziale impatto sulle agenzie.

Il risultato utile è più di un altro elenco di vulnerabilità. Ogni vulnerabilità individuata deve avere un responsabile, una scadenza per la risposta, prove a sostegno e una registrazione di ciò che è accaduto in seguito. Mantenere collegati questi elementi facilita il lavoro di team di ingegneria della sicurezza e conformità sulla base delle stesse informazioni.

Per esempio, un analista potrebbe stabilire che un componente vulnerabile è presente, ma non è esposto tramite l’interfaccia esterna del servizio. Questa conclusione deve essere supportata da prove relative alla risorsa interessata e alla sua configurazione. Se in seguito una modifica della distribuzione ne cambia l’esposizione, la valutazione precedente potrebbe non descrivere più il rischio.

L’IA può aiutare a organizzare le registrazioni e a preparare una valutazione, ma la decisione resta legata all’ambiente del fornitore. Fortreum affida esplicitamente al cliente la revisione e la direzione della risposta, anziché presentare i risultati automatizzati come sostitutivi degli obblighi del fornitore.

La tecnologia più ampia alla base di Kovr

Kovr è la piattaforma di automazione della conformità nativa per l’IA di Fortreum, pensata per le organizzazioni soggette a regolamentazione. Tra le sue funzionalità più ampie figurano la raccolta di prove, la gestione della documentazione, la mappatura dei controlli, il monitoraggio delle azioni correttive e il supporto al monitoraggio continuo in più quadri normativi.

La piattaforma utilizza modelli linguistici di grandi dimensioni ed è basata sul Linguaggio aperto per la valutazione dei controlli di sicurezza (OSCAL). OSCAL fornisce formati strutturati per scambiare tra sistemi informazioni sui controlli di sicurezza e sulle valutazioni. È diverso dal limitarsi a conservare una cartella di PDF: i record strutturati possono essere elaborati, confrontati e riutilizzati dai software.

Kovr offre anche Agent Artemis, un assistente incentrato sulla conformità che aiuta a consultare i requisiti, individuare la documentazione e comprendere i controlli. Queste funzionalità illustrano la piattaforma nel suo complesso; la descrizione dell’offerta VDR/VER di Fortreum si concentra specificamente sul flusso di lavoro per la valutazione delle vulnerabilità e la risposta.

Unite.AI aveva già parlato dell’acquisizione di Kovr.AI da parte di Fortreum. La nuova offerta applica questa combinazione di competenze in materia di valutazione e automazione a un cambiamento operativo concreto nella supervisione federale dei servizi cloud.

Il 7 dicembre è la scadenza per la migrazione, con condizioni per il periodo di proroga

La scadenza va considerata alla luce delle indicazioni attuali di FedRAMP. Nel suo avviso sulla migrazione del 10 novembre, FedRAMP conferma il 7 dicembre 2026 come data di migrazione e mantiene un periodo di proroga fino al 7 marzo 2027 per i servizi cloud certificati.

I servizi che non saranno completamente migrati entro il 7 dicembre dovranno illustrare le azioni correttive e le tempistiche previste per ciascuna regola ancora in sospeso. Quelli che prevedono di terminare dopo il 3 febbraio saranno indicati come in fase di correzione fino al completamento. FedRAMP descrive inoltre proroghe valutate caso per caso oltre il 7 marzo, che richiedono un piano d’azione correttivo approvato e l’accettazione di una valutazione coordinata da un red team.

Di conseguenza, il 7 dicembre non è una data di revoca automatica della certificazione per tutti i fornitori con attività ancora da completare. È una scadenza intermedia che richiede una risposta operativa e un resoconto giustificabile delle lacune rimanenti. La comunicazione richiede inoltre di riferire sui progressi della migrazione, includendo esempi di rapporti sulle attività relative alle vulnerabilità, sia leggibili da sistemi automatici sia da persone.

L’automazione è utile quando le evidenze restano collegate

La sfida principale consiste nel coordinare un processo continuo. Una scansione può rilevare una vulnerabilità, ma ridurne il rischio può richiedere l’intervento di un ingegnere che applichi una patch, di un team infrastrutturale che modifichi gli accessi e di un team di conformità che documenti perché la risposta scelta soddisfa i requisiti applicabili.

Fortreum propone di collegare queste attività attraverso un set di dati condiviso e un flusso di lavoro ripetibile. Il successo si misurerà concretamente verificando se i team sono in grado di prendere decisioni tempestive e adeguatamente motivate e di mostrare le evidenze a loro sostegno, anziché limitarsi a produrre altri documenti sulla conformità.