Fortreum kjøper Kovr.AI for å omdefinere AI-drevet regelverksetterlevelse innen cybersikkerhet

Fortreum har kjøpt Kovr.AI og forener dermed et selskap for cybersikkerhetsvurderinger, kjent for revisjoner ledet av erfarne fagfolk, med en plattform utviklet spesielt for AI-drevne arbeidsprosesser for regelverksetterlevelse i regulerte miljøer. Oppkjøpet gjenspeiler en bredere endring i hvordan organisasjoner arbeider med etterlevelse, særlig når overlappende rammeverk og økende tilsyn fra myndighetene gjør tradisjonelle prosesser vanskeligere å skalere.

Organisasjoner som arbeider etter standarder som FedRAMP, CMMC 2.0 og NIST-rammeverk, møter ofte dobbeltarbeid, fragmenterte verktøy og lange tidsløp. Derfor har interessen økt for systemer som kan samle håndteringen av dokumentasjonsbevis, automatisere dokumentasjon og samtidig levere resultater som tåler uavhengig revisjon.

En samlet livssyklus for regelverksetterlevelse

Det kombinerte tilbudet skal knytte sammen trinn i etterlevelsesprosessen som vanligvis håndteres hver for seg. Forberedelser, vurdering og kontinuerlig overvåking behandles ofte som separate arbeidsprosesser. Det kan skape uoverensstemmelser mellom det som forberedes, og det som til slutt blir validert.

Kovrs plattform håndterer dette ved å organisere etterlevelsesarbeidet rundt gjenbrukbare dokumentasjonsbevis og koblinger mellom sikkerhetskontroller. Når kontrollene er definert, kan de knyttes til flere rammeverk, slik at man slipper å lage tilsvarende dokumentasjon på nytt for hver standard. Dermed kan organisasjoner arbeide med ulike etterlevelseskrav parallelt i stedet for etter tur.

Fortreums rolle er fortsatt konsentrert om uavhengig validering. Som akkreditert vurderingsorgan evaluerer selskapet resultatene fra forberedelsesarbeidet og avgjør om de oppfyller kravene i de aktuelle rammeverkene.

Teknologien i Kovr.AI

Kovr.AI ble utviklet som en etterlevelsesplattform bygget fra grunnen av rundt AI, fremfor som en utvidelse av eldre styringsverktøy. Systemet integreres med skymiljøer og sikkerhetsinfrastruktur for kontinuerlig å samle inn og organisere etterlevelsesdata.

Plattformen fokuserer på å automatisere flere områder som tradisjonelt håndteres manuelt:

• Kobling av sikkerhetskontroller på tvers av flere regelverksrammeverk
• Utarbeidelse av etterlevelsesdokumentasjon, som systemsikkerhetsplaner
• Innsamling av dokumentasjonsbevis fra skytjenester og sikkerhetsverktøy
• Løpende overvåking av etterlevelsesstatus

Ved å flytte disse prosessene inn i et kontinuerlig, datadrevet system reduserer plattformen avhengigheten av statiske maler og periodiske manuelle oppdateringer.

Agent Artemis og utviklingen av grensesnitt for etterlevelse

Sentralt i plattformen står Agent Artemis, et agentbasert AI-system som skal gi én felles inngang til etterlevelsesdata. I stedet for å navigere mellom separate verktøy for dokumentasjon, infrastruktur og sporing av dokumentasjonsbevis kan brukerne få en samlet oversikt over etterlevelsesmiljøet sitt.

Denne tilnærmingen gjenspeiler en bredere trend mot mer interaktive systemer, der brukerne dynamisk kan stille spørsmål til og analysere etterlevelsesdata fremfor å basere seg på forhåndsdefinerte rapporter. Plattformen opererer i et kontrollert miljø som er utformet for å oppfylle føderale sikkerhetskrav, blant annet begrensninger for lagring av data.

For å håndtere bekymringer knyttet til AI-genererte resultater har systemet styringsmekanismer som krever menneskelig validering før noen funn blir endelig fastslått.

Fortreums modell ledet av fagfolk

Fortreums vurderingsmodell bygger fortsatt på menneskelig ekspertise. Funn gjennomgås og valideres av fagfolk som har ansvaret for den endelige avgjørelsen om etterlevelse.

Dette skillet er viktig i regulerte bransjer, der vurderingens troverdighet avhenger både av dataene og av det faglige skjønnet bak. Automatisering kan effektivisere forberedelsene, men uavhengig validering spiller fortsatt en sentral rolle i vurderingen av etterlevelsesresultatene.

Bruk i miljøer med høye sikkerhetskrav

Kovr.AI er allerede tatt i bruk i miljøer med strenge sikkerhetskrav, blant annet i føderale etater og forsvarsrelaterte organisasjoner. Plattformens FedRAMP Moderate-autorisasjon viser at den oppfyller grunnleggende sikkerhets- og etterlevelsesstandarder som kreves for bruk i offentlige systemer.

For organisasjoner i disse sektorene kan tilgang til en plattform som allerede er tilpasset føderale krav, redusere tiden det tar å bli klar for en etterlevelsesvurdering.

Oppkjøpet gjenspeiler en pågående omstilling innen regelverksetterlevelse for cybersikkerhet. Statiske, sjekklistebaserte prosesser blir gradvis erstattet av systemer som legger vekt på kontinuerlig overvåking, integrerte data og automatisering.

Samtidig er behovet for uavhengig validering uendret. Kombinasjonen av AI-drevne forberedelser og vurderinger ledet av fagfolk blir derfor en stadig vanligere modell for organisasjoner som håndterer komplekse regelverkskrav.