FedRAMPの脆弱性対応期限を前に、FortreumがKovrを活用したVDR/VERサービスを開始

Fortreumは、クラウドプロバイダーが2026年12月7日の移行期限を前にFedRAMPの新たな脆弱性対応ルールを運用に移せるよう、Kovrを活用したVDR/VERサービスを開始しました。このサービスでは、セキュリティの専門家による支援、導入サポート、AIを活用した評価を組み合わせており、月に一度スキャナーのレポートを作成して提出するだけのコンプライアンス対応とは異なります。

技術解説でFortreumは、スキャンで検出した内容を資産に結び付け、脆弱性の初期評価を行い、対応状況と証拠を追跡するワークフローを説明しています。評価結果を確認し、対応を主導するのは顧客チームです。

この違いが重要なのは、ソフトウェアの欠陥を特定することは、対応の出発点にすぎないからです。プロバイダーは、欠陥がどこに存在するのか、攻撃者がそこにアクセスできるのか、悪用された場合に何が影響を受けるのか、そしてなぜその対応が妥当なのかも明らかにする必要があります。

VDRとVERで求められること

FedRAMPは、連邦政府機関が利用するクラウドサービスのセキュリティを評価・監督する米国政府のプログラムです。更新された脆弱性対応ルールでは、密接に関連する2つの領域に作業が分けられています。

脆弱性の検出と対応（VDR）は、脆弱性を継続的に特定し、管理することを対象とします。脆弱性の評価と報告（VER）は、脆弱性がもたらす影響を評価し、関連情報を報告することを指します。

深刻度スコアだけでは、運用上のあらゆる疑問に答えられるわけではありません。同じ欠陥が、隔離されたテスト用マシンと、機密情報を扱う外部公開サービスの両方に存在する可能性があります。ソフトウェアの脆弱性自体は同一でも、攻撃者が取り得る侵入経路や、悪用された場合の影響は大きく異なります。

そのため、ルールでは、悪用される可能性、インターネットからの到達可能性、政府機関への潜在的な影響、緩和策の有効性といった状況が重要になります。状況が変化しても、プロバイダーはこうした判断の根拠となる証拠を保持する必要があります。

Kovrが検出結果を意思決定につなげる仕組み

Fortreumによると、同社の導入支援は、プロバイダーの環境と既存の脆弱性対応プロセスを把握するところから始まり、その後、責任分担と報告ワークフローを整えます。Kovrはスキャン情報とインベントリー情報を取り込み、検出結果を資産に関連付けたうえで、悪用可能性、到達可能性、政府機関への潜在的な影響について初期評価を作成します。

有用な成果は、単なる脆弱性一覧にとどまりません。検出事項には担当者、対応期限、裏付けとなる証拠、そしてその後に何が起きたかを記録する記録が必要です。これらを関連付けて管理することで、セキュリティエンジニアリングチームとコンプライアンスチームが同じ事実に基づいて作業しやすくなります。

たとえば、脆弱なコンポーネントが存在するものの、サービスの外部インターフェースからはアクセスできないとアナリストが判断する場合があります。その結論には、影響を受ける資産とその構成に関する証拠が必要です。後にデプロイによって外部からのアクセス状況が変われば、それ以前の判断ではリスクを正確に表せなくなる可能性があります。

AIは記録の整理や評価の作成を支援できますが、判断はあくまでプロバイダーの環境に即したものであり続けます。Fortreumは、自動生成された結果をプロバイダーの義務の代わりとして提示するのではなく、評価の確認と対応方針の決定は顧客が担うと明確にしています。

Kovrを支える幅広いテクノロジー

Kovrは、規制対象組織向けの、AIを中核に据えたFortreumのコンプライアンス自動化プラットフォームです。幅広い機能には、複数のフレームワークにわたる証拠収集、文書管理、管理策のマッピング、是正措置の追跡、継続的なモニタリングの支援が含まれます。

このプラットフォームは大規模言語モデルを使用し、オープン・セキュリティ・コントロール評価言語（OSCAL）を基盤に構築されています。OSCALは、システム間でセキュリティ管理策や評価に関する情報をやり取りするための構造化形式を提供します。これは、単にPDFのフォルダーを保存するのとは異なります。構造化された記録は、ソフトウェアで処理、比較、再利用できます。

Kovrは、要件の確認、文書の検索、管理策の理解を支援する、コンプライアンスに特化したアシスタント「Agent Artemis」も提供しています。これらの機能はプラットフォーム全体の幅広さを示すものであり、Fortreumが説明するVDR/VERサービスは、脆弱性の評価と対応のワークフローに特化しています。

Unite.AIは以前、FortreumによるKovr.AIの買収を報じました。今回のサービスは、評価の専門知識と自動化を組み合わせ、連邦政府のクラウド監督における具体的な運用変更に対応するものです。

12月7日は移行期限、猶予期間には条件も

この期限は、FedRAMPの現行ガイダンスと併せて確認する必要があります。FedRAMPは、11月10日付の移行通知で、2026年12月7日を移行日と確認するとともに、認証済みクラウドサービスについては2027年3月7日までの猶予期間を設けています。

12月7日時点で移行が完了していないサービスは、未対応の各ルールについて、是正措置と目標完了時期を説明しなければなりません。2月3日以降に完了する予定のサービスは、完了するまで是正対応中として掲載されます。FedRAMPはまた、3月7日を過ぎてからの延長を個別に認める場合についても説明しており、その場合は承認済みの是正措置計画と、連携して実施するレッドチーム評価への合意が必要です。

したがって、12月7日は、作業が未完了のすべてのプロバイダーに対して認証が自動的に取り消される日ではありません。残る課題への運用上の対応と、その内容を根拠に基づいて説明することが求められる節目です。通知では、移行の進捗報告も求められており、機械可読形式と人が読める形式の脆弱性対応状況レポートの例も示されています。

証拠をつなげて管理できれば、自動化が役立つ

中心的な課題は、継続的なプロセスを連携させることです。スキャンによって脆弱性が見つかっても、そのリスクを低減するには、エンジニアがパッチを適用し、インフラチームがアクセス設定を変更し、コンプライアンスチームが選択した対応が適用要件を満たす理由を記録するといった作業が必要になる場合があります。

Fortreumが提案するのは、共有データセットと再現可能なワークフローを通じて、こうした作業をつなげることです。成功を測る実際の基準は、コンプライアンス文書を増やすことではなく、チームが適時に十分な根拠をもって判断を下し、その判断を裏付ける証拠を示せるかどうかです。