フォートリウム、Kovr.AIを買収してAI駆動のサイバーセキュリティコンプライアンスを再定義

フォートリウムは、Kovr.AIを買収し、サイバーセキュリティ評価会社として知られる実務者主導の監査と、規制環境でのAI駆動のコンプライアンスワークフロー専用のプラットフォームを組み合わせました。この取引は、コンプライアンスへのアプローチがどのように変化しているかを反映しており、特に重複するフレームワークと増加する規制の厳格さにより、従来のプロセスをスケールアップすることが難しくなっているためです。

FedRAMP、CMMC 2.0、NISTフレームワークなどの規格を超えて運営する組織は、重複した労力、断片化されたツール、および長いタイムラインに直面することがよくあります。結果として、エビデンス管理を統一し、文書化を自動化し、独立した監査に耐える出力を生成することができるシステムへの関心が高まっています。

統一されたコンプライアンスライフサイクル

組み合わせたオファリングは、通常別々に処理されるコンプライアンスプロセスの段階を接続するように設計されています。準備、評価、および継続的な監視は、準備されたものと最終的に検証されるものとの間で矛盾が生じる可能性のある別々のワークフローとして扱われることがよくあります。

Kovrのプラットフォームは、再利用可能なエビデンスとコントロールマッピングを中心にコンプライアンス作業を構造化することで、この問題に取り組んでいます。コントロールが定義されると、複数のフレームワークにわたって整列でき、各規格に対して同様の文書化を再作成する必要が減ります。これにより、組織は順番ではなく並行してさまざまなコンプライアンス要件を進めることができます。

フォートリウムの役割は、独立した検証を中心に据え続けています。認定評価者として、会社は準備プロセス中に生成された出力を評価し、適用可能なフレームワークの要件を満たしているかどうかを判断します。

Kovr.AIのテクノロジー

Kovr.AIは、従来のガバナンスツールの拡張ではなく、ネイティブのコンプライアンスプラットフォームとして開発されました。そのシステムは、クラウド環境とセキュリティインフラストラクチャーと統合して、コンプライアンスデータを継続的に収集および組織化します。

プラットフォームは、従来手動で行われる以下の領域を自動化することに重点を置いています：

• 複数の規制フレームワークを超えたコントロールマッピング
• システムセキュリティプランなどのコンプライアンス文書の生成
• クラウドサービスおよびセキュリティツールからのエビデンスの集約
• コンプライアンスポストの継続的な監視

これらのプロセスを継続的なデータ駆動型システムに移行することで、プラットフォームは静的なテンプレートと周期的な手動更新への依存を減らします。

エージェントアルテミスとコンプライアンスインターフェースの進化

プラットフォームの中心には、エージェントアルテミスがあります。これは、コンプライアンスデータと対話するための単一のインターフェースを提供するために設計されたエージェントAIシステムです。文書化、インフラストラクチャ、およびエビデンス追跡用の別々のツールをナビゲートするのではなく、ユーザーはコンプライアンス環境の統合されたビューにアクセスできます。

このアプローチは、よりインタラクティブなシステム、つまりコンプライアンスデータを動的にクエリおよび分析できるシステムへの移行を反映しています。プラットフォームは、データ保有に関する制約を含む連邦セキュリティ要件を満たすように設計された制御された環境内で動作します。

AI生成出力に関する懸念に対処するために、システムには、人間による検証が完了するまでに最終的な結果が出ないようにするためのガバナンスメカニズムが含まれています。

フォートリウムの実務者主導モデル

フォートリウムの評価モデルは、人間の専門知識に基づいています。結果は、最終的なコンプライアンス判断を担当する実務者によってレビューおよび検証されます。

規制業界では、評価の信頼性はデータのみに基づいてではなく、そこにある判断にも基づいています。自動化は準備を効率化できますが、独立した検証はコンプライアンス結果の評価において重要な役割を果たしたままです。

ハイセキュリティ環境での採用

Kovr.AIは、連邦機関や国防関連組織を含む、厳格なセキュリティ要件を持つ環境で既に展開されています。そのFedRAMP Moderate Authorizationは、政府システムで使用するために必要な基準セキュリティおよびコンプライアンス標準を満たしていることを示しています。

これらのセクターで運営する組織にとって、連邦要件にすでに合致しているプラットフォームへのアクセスは、コンプライアンス準備に必要な時間を短縮できます。

買収は、サイバーセキュリティコンプライアンスの移行を反映しています。静的チェックリストベースのプロセスは、継続的な監視、統合データ、および自動化を重視するシステムに徐々に置き換えられつつあります。

同時に、独立した検証の必要性は変わらず残ります。したがって、AI駆動の準備と実務者主導の評価の組み合わせが、複雑な規制上の義務を管理する組織にとってより一般的なモデルになっています。