Fortreum、Kovr.AIを買収してAI駆動のサイバーセキュリティ・コンプライアンスを再定義

Fortreumは、Kovr.AIを買収し、実務家主導の監査で知られるサイバーセキュリティ・アセスメント・ファームと、規制環境でのAI駆動のコンプライアンス・ワークフロー専用に構築されたプラットフォームを統合しました。この取引は、特に重複するフレームワークと増加する規制の監視により、従来のプロセスをスケールアップすることが困難になるため、組織がコンプライアンスにアプローチする方法のより広範な変化を反映しています。

FedRAMP、CMMC 2.0、NISTフレームワークなどの規格に従う組織は、重複した労力、断片化されたツール、長いタイムラインに直面することがよくあります。結果として、エビデンス管理を統一し、文書化を自動化し、独立した監査に耐えられる出力を生成することができるシステムへの関心が高まっています。

統一されたコンプライアンス・ライフサイクル

統合されたオファリングは、通常別々に処理されるコンプライアンス・プロセスの各段階を接続するように設計されています。準備、評価、継続的な監視は、通常別々のワークフローとして扱われますが、これにより、準備されたものと最終的に検証されるもの之间に不一致が生じる可能性があります。

Kovrのプラットフォームは、再利用可能なエビデンスとコントロール・マッピングを中心にコンプライアンス・ワークを構造化することで、この問題に対処します。コントロールが定義されると、複数のフレームワークにわたって整列でき、各規格に対して類似の文書化を再作成する必要が減ります。これにより、組織はコンプライアンス要件を順番にではなく並行して進めることができます。

Fortreumの役割は、依然として独立した検証に中心しています。認定アセッサーとして、会社は準備中に生成された出力を評価し、それが適用されるフレームワークの要件を満たしているかどうかを判断します。

Kovr.AIのテクノロジーの内部

Kovr.AIは、レガシーのガバナンス・ツールの拡張ではなく、コンプライアンス専用のAIネイティブ・プラットフォームとして開発されました。システムはクラウド環境とセキュリティ・インフラストラクチャーと統合して、コンプライアンス・データを継続的に収集および整理します。

プラットフォームは、従来手動で行われていた以下の分野の自動化に重点を置いています：

• 複数の規制フレームワーク間のコントロール・マッピング
• コンプライアンス文書の生成（システム・セキュリティ・プランなど）
• クラウド・サービスとセキュリティ・ツールからのエビデンスの集約
• コンプライアンス・ポストゥアの継続的な監視

これらのプロセスを継続的でデータ駆動型のシステムに移行することで、プラットフォームは静的なテンプレートと周期的な手動更新への依存を減らします。

エージェント・アルテミスとコンプライアンス・インターフェイスの進化

プラットフォームの中心には、エージェント・アルテミスと呼ばれるエージェント型AIシステムがあり、コンプライアンス・データと対話するための単一のインターフェイスを提供します。文書化、インフラストラクチャー、エビデンス・トラッキング用の別々のツールをナビゲートする代わりに、ユーザーはコンプライアンス環境の統合されたビューにアクセスできます。

このアプローチは、事前に定義されたレポートに頼るのではなく、コンプライアンス・データを動的に照会および分析できる、よりインタラクティブなシステムへの移行を反映しています。プラットフォームは、データの保持を含む連邦セキュリティ要件を満たすように設計された制御された環境内で動作します。

AI生成の出力に関する懸念に対処するために、システムには、人間の検証が完了するまで、どの結果も最終化されないようにするためのガバナンス・メカニズムが含まれています。

Fortreumの実務家主導モデル

Fortreumのアセスメント・モデルは、依然として人間の専門知識に基づいています。結果は、コンプライアンスの最終的な判断を担当する実務家によってレビューおよび検証されます。

規制された業界では、アセスメントの信頼性は、データのみに基づいてではなく、そこに伴う判断によっても左右されるため、この区別は重要です。自動化は準備を効率化できますが、独立した検証は依然としてコンプライアンスの結果が評価される方法において重要な役割を果たします。

高セキュリティ環境での導入

Kovr.AIは、連邦機関や国防関連の組織を含む、厳格なセキュリティ要件を持つ環境で既に導入されています。FedRAMP Moderate Authorizationは、プラットフォームが政府システムで使用されるために必要なベースラインのセキュリティおよびコンプライアンス標準を満たしていることを示しています。

これらのセクターで活動する組織にとって、連邦の要件とすでに整合しているプラットフォームにアクセスすることは、コンプライアンスの準備に必要な時間を短縮できます。

この買収は、サイバーセキュリティ・コンプライアンスの継続的な移行を反映しています。静的なチェックリストベースのプロセスは、継続的な監視、統合されたデータ、自動化を重視するシステムに徐々に置き換えられつつあります。

同時に、独立した検証の必要性は変わりません。したがって、AI駆動の準備と実務家主導のアセスメントの組み合わせは、複雑な規制上の義務を管理する組織にとって、より一般的なモデルになりつつあります。