Fortreum uruchamia ofertę VDR/VER opartą na Kovr przed terminem FedRAMP dotyczącym podatności

Fortreum wprowadziło ofertę VDR/VER opartą na Kovr, aby pomóc dostawcom usług chmurowych wdrożyć nowe zasady FedRAMP dotyczące podatności przed upływem terminu migracji, przypadającym na 7 grudnia 2026 r. Oferta łączy wiedzę specjalistów ds. bezpieczeństwa, wsparcie we wdrożeniu i ocenę wspomaganą przez AI, zamiast traktować zgodność z wymaganiami jako raport ze skanowania, który raz w miesiącu trafia do archiwum.

W swoim wyjaśnieniu technicznym Fortreum opisuje przepływ pracy, który łączy wyniki skanowania z zasobami, przygotowuje wstępne oceny podatności oraz śledzi działania związane z reagowaniem i dowody. Zespoły klienta weryfikują ustalenia i kierują działaniami.

To rozróżnienie ma znaczenie, ponieważ wykrycie błędu w oprogramowaniu to dopiero początek. Dostawca musi także ustalić, gdzie ten błąd występuje, czy atakujący może uzyskać do niego dostęp, na co wpłynęłoby jego wykorzystanie oraz dlaczego podjęte działania są właściwe.

Wymagania dotyczące VDR i VER

FedRAMP to program rządu USA służący ocenie bezpieczeństwa usług chmurowych wykorzystywanych przez agencje federalne i nadzorowaniu go. Zaktualizowane zasady dotyczące podatności dzielą te działania na dwa ściśle powiązane obszary.

Wykrywanie podatności i reagowanie na nie (VDR) obejmuje identyfikowanie podatności i zarządzanie nimi w czasie. Ocena podatności i raportowanie (VER) dotyczy oceny ich skutków oraz przekazywania odpowiednich informacji.

Sam poziom ważności nie wystarczy, by odpowiedzieć na wszystkie pytania operacyjne. Ta sama luka może występować zarówno na odizolowanej maszynie testowej, jak i w publicznie dostępnej usłudze zawierającej poufne informacje. Słabość oprogramowania może być identyczna, ale ścieżki, którymi może podążyć atakujący, oraz skutki wykorzystania luki mogą się znacznie różnić.

Dlatego w tych zasadach istotny jest kontekst: prawdopodobieństwo wykorzystania podatności, dostępność z internetu, potencjalny wpływ na agencję oraz skuteczność środków zaradczych. Dostawcy muszą zachowywać dowody uzasadniające te oceny, gdy zmieniają się okoliczności.

Jak Kovr łączy ustalenia z decyzjami

Fortreum informuje, że jego podejście do wdrożenia rozpoczyna się od poznania środowiska dostawcy i stosowanego już procesu zarządzania podatnościami, a następnie określenia zakresu odpowiedzialności i przepływów pracy związanych z raportowaniem. Kovr pobiera informacje ze skanowania i ewidencji zasobów, przypisuje ustalenia do zasobów oraz przygotowuje wstępne oceny możliwości wykorzystania podatności, dostępności z sieci i potencjalnego wpływu na agencję.

Przydatny wynik to coś więcej niż kolejna lista podatności. Każde ustalenie wymaga przypisanej osoby odpowiedzialnej, terminu reakcji, dowodów na jego poparcie oraz zapisu dalszych działań. Powiązanie tych elementów ułatwia zespołom ds. inżynierii bezpieczeństwa i zgodności z wymaganiami korzystanie z tych samych informacji.

Analityk może na przykład ustalić, że podatny komponent jest obecny, ale nie jest dostępny przez zewnętrzny interfejs usługi. Taki wniosek wymaga dowodów dotyczących zasobu, którego dotyczy problem, oraz jego konfiguracji. Jeśli późniejsza zmiana wdrożenia wpłynie na dostępność komponentu, wcześniejsza ocena może już nie odzwierciedlać ryzyka.

AI może pomóc uporządkować dokumentację i przygotować ocenę, ale decyzja nadal zależy od środowiska dostawcy. Fortreum wyraźnie podkreśla, że to klient dokonuje przeglądu i kieruje działaniami, a zautomatyzowane wyniki nie zastępują obowiązków dostawcy.

Szersze zaplecze technologiczne Kovr

Kovr to natywna dla AI platforma Fortreum do automatyzacji zgodności z wymaganiami, przeznaczona dla organizacji działających w sektorach regulowanych. Jej szersze możliwości obejmują gromadzenie dowodów, zarządzanie dokumentacją, mapowanie zabezpieczeń, śledzenie działań naprawczych oraz wsparcie ciągłego monitorowania w ramach wielu zestawów wymagań.

Platforma korzysta z dużych modeli językowych i opiera się na otwartym języku opisu oceny zabezpieczeń (Open Security Controls Assessment Language, OSCAL). OSCAL zapewnia ustrukturyzowane formaty wymiany między systemami informacji o zabezpieczeniach i ich ocenie. Różni się to od zwykłego przechowywania folderu z plikami PDF: oprogramowanie może przetwarzać, porównywać i ponownie wykorzystywać ustrukturyzowane rekordy.

Kovr udostępnia również Agent Artemis, asystenta skoncentrowanego na zgodności z wymaganiami, który pomaga poruszać się po wymaganiach, lokalizować dokumentację i rozumieć zabezpieczenia. Możliwości te pokazują szerszy zakres platformy; opis oferty VDR/VER Fortreum koncentruje się konkretnie na przepływie pracy związanym z oceną podatności i reagowaniem na nie.

Unite.AI opisywało wcześniej przejęcie Kovr.AI przez Fortreum. Nowa oferta wykorzystuje połączenie wiedzy w zakresie ocen i automatyzacji do wprowadzenia konkretnej zmiany operacyjnej w federalnym nadzorze nad usługami chmurowymi.

7 grudnia to termin migracji, a okres karencji obowiązuje pod określonymi warunkami

Termin należy rozpatrywać w kontekście aktualnych wytycznych FedRAMP. W komunikacie dotyczącym migracji z 10 listopada FedRAMP potwierdza, że migracja ma nastąpić 7 grudnia 2026 r., a dla certyfikowanych usług chmurowych utrzymuje okres karencji do 7 marca 2027 r.

Usługi, które do 7 grudnia nie zostaną w pełni zmigrowane, muszą opisać działania naprawcze i docelowe terminy realizacji każdego niespełnionego wymogu. Podmioty planujące zakończyć migrację po 3 lutego będą do jej ukończenia wymieniane jako będące w trakcie działań naprawczych. FedRAMP dopuszcza również, w indywidualnych przypadkach, przedłużenie terminu poza 7 marca, pod warunkiem zatwierdzenia planu działań naprawczych i wyrażenia zgody na skoordynowaną ocenę typu red team.

W związku z tym 7 grudnia nie jest datą automatycznego cofnięcia certyfikacji wszystkim dostawcom, którzy nie ukończyli prac. To termin, który wymaga podjęcia działań operacyjnych i rzetelnego przedstawienia pozostałych luk. W zawiadomieniu zażądano również raportowania postępów migracji, w tym przykładowych raportów o aktywności związanej z podatnościami, zarówno w formacie czytelnym maszynowo, jak i dla człowieka.

Automatyzacja pomaga, gdy dowody pozostają powiązane

Głównym wyzwaniem jest koordynacja procesu, który trwa nieprzerwanie. Skanowanie może ujawnić lukę, ale ograniczenie związanego z nią ryzyka może wymagać zastosowania poprawki przez inżyniera, zmiany uprawnień dostępu przez zespół infrastruktury oraz odnotowania przez zespół ds. zgodności, dlaczego wybrane działanie spełnia obowiązujące wymagania.

Fortreum proponuje koordynację tych prac za pomocą wspólnego zbioru danych i powtarzalnego przepływu pracy. Praktycznym miernikiem sukcesu będzie to, czy zespoły potrafią podejmować terminowe, dobrze uzasadnione decyzje i wykazać, na jakich dowodach je opierają, zamiast jedynie tworzyć więcej dokumentów dotyczących zgodności.