Fortreum запускает предложение VDR/VER на базе Kovr перед крайним сроком устранения уязвимостей FedRAMP

Fortreum представила предложение VDR/VER на базе Kovr, которое поможет поставщикам облачных услуг внедрить новые правила FedRAMP в отношении уязвимостей до истечения срока перехода — 7 декабря 2026 года. Предложение объединяет работу специалистов по безопасности, помощь во внедрении и оценку с применением ИИ, а не сводит соблюдение требований к отчету сканера, который раз в месяц отправляют в архив.

В техническом описании Fortreum рассказывает о рабочем процессе, который связывает результаты сканирования с активами, подготавливает предварительную оценку уязвимостей и отслеживает меры реагирования и подтверждающие материалы. Клиенты проверяют выводы и определяют дальнейшие действия.

Это различие важно, поскольку обнаружение дефекта программного обеспечения — лишь начало работы. Поставщику также необходимо установить, где он встречается, может ли злоумышленник получить к нему доступ, на что повлияет его эксплуатация и почему выбранные меры реагирования соответствуют ситуации.

Что требуют VDR и VER

FedRAMP — это программа правительства США по оценке безопасности облачных сервисов, которыми пользуются федеральные ведомства, и надзору за ней. Обновленные правила в отношении уязвимостей разделяют эту работу на две тесно связанные области.

Обнаружение уязвимостей и реагирование на них (VDR) охватывает выявление уязвимостей и управление ими на постоянной основе. Оценка уязвимостей и отчетность по ним (VER) предполагает оценку их последствий и предоставление соответствующей информации.

Одной лишь оценки уровня серьезности недостаточно, чтобы ответить на все практические вопросы. Один и тот же дефект может присутствовать как на изолированной тестовой машине, так и в общедоступном сервисе, где хранится конфиденциальная информация. Уязвимость программного обеспечения может быть одинаковой, но способы, которыми злоумышленник способен воспользоваться ею, и последствия эксплуатации могут сильно различаться.

Поэтому правила придают особое значение контексту: вероятности эксплуатации, доступности из интернета, потенциальному воздействию на ведомства и эффективности мер по снижению риска. Поставщикам необходимо сохранять подтверждающие материалы, на которых основаны такие выводы, по мере изменения условий.

Как Kovr связывает результаты проверок с решениями

По словам Fortreum, внедрение начинается с изучения среды поставщика и действующего процесса работы с уязвимостями, после чего устанавливаются зоны ответственности и порядок подготовки отчетности. Kovr загружает данные сканирования и инвентаризации, связывает результаты проверок с активами и подготавливает первоначальную оценку вероятности эксплуатации, доступности и потенциального воздействия на ведомства.

Практическая польза заключается не просто в получении еще одного списка уязвимостей. Для каждой обнаруженной проблемы необходимо определить ответственного, срок реагирования, подтверждающие материалы и зафиксировать дальнейшие действия. Если эти элементы связаны между собой, инженерным командам по безопасности и специалистам по соблюдению требований проще опираться на одни и те же факты.

Например, аналитик может установить, что уязвимый компонент присутствует, но недоступен через внешний интерфейс сервиса. Для такого вывода нужны подтверждающие данные о затронутом активе и его конфигурации. Если после этого развертывание изменит степень доступности компонента, прежний вывод может уже не отражать уровень риска.

ИИ может помочь упорядочить записи и подготовить оценку, однако решение по-прежнему зависит от среды поставщика. Fortreum особо подчеркивает, что проверку выводов и определение мер реагирования оставляет за клиентом, а не представляет автоматизированные результаты как замену обязанностям поставщика.

Более широкие технологические возможности Kovr

Kovr — платформа автоматизации соблюдения требований для регулируемых организаций, изначально созданная на базе ИИ. К ее более широким возможностям относятся сбор подтверждающих материалов, управление документацией, сопоставление с требованиями контролей, отслеживание устранения проблем и поддержка непрерывного мониторинга в рамках нескольких стандартов.

Платформа использует большие языковые модели и построена на базе языка оценки мер безопасности с открытой спецификацией (Open Security Controls Assessment Language, OSCAL). OSCAL предоставляет структурированные форматы для обмена между системами сведениями о мерах безопасности и результатах их оценки. Это не то же самое, что просто хранить папку с PDF-файлами: структурированные записи можно обрабатывать, сравнивать и повторно использовать с помощью программного обеспечения.

В Kovr также входит Agent Artemis — помощник, ориентированный на соблюдение требований и предназначенный для поиска нужной информации в требованиях и документации, а также для изучения мер контроля. Эти возможности показывают, что предлагает платформа в целом; описание VDR/VER от Fortreum посвящено именно процессу оценки уязвимостей и реагирования на них.

Ранее Unite.AI рассказывал о приобретении Fortreum компании Kovr.AI. Новое предложение применяет сочетание экспертных знаний в области оценки и средств автоматизации к конкретному изменению в работе федерального надзора за облачными сервисами.

7 декабря — срок перехода; для льготного периода предусмотрены условия

Срок необходимо рассматривать с учетом действующих рекомендаций FedRAMP. В уведомлении о переходе от 10 ноября FedRAMP подтверждает, что датой перехода является 7 декабря 2026 года, и сохраняет льготный период для сертифицированных облачных сервисов до 7 марта 2027 года.

Сервисы, миграция которых не будет полностью завершена к 7 декабря, должны описать корректирующие меры и целевые сроки устранения каждого невыполненного требования. Те, кто планирует завершить миграцию после 3 февраля, до её окончания будут числиться в статусе устранения замечаний. FedRAMP также предусматривает возможность продления сроков после 7 марта в индивидуальном порядке: для этого необходимы утверждённый план корректирующих мер и согласие на проведение скоординированной проверки red team.

Таким образом, 7 декабря — не дата автоматического отзыва сертификации у каждого поставщика, не завершившего работу. Это контрольный срок, к которому требуется принять меры на практике и представить обоснованный отчёт об оставшихся пробелах. В уведомлении также предусмотрена отчётность о ходе миграции, в том числе примеры отчётов об активности в сфере уязвимостей в машиночитаемом формате и формате, удобном для чтения человеком.

Автоматизация помогает, если данные остаются связанными

Главная сложность — скоординировать непрерывный процесс. Сканирование может выявить уязвимость, но для снижения связанного с ней риска может потребоваться, чтобы инженер установил исправление, команда инфраструктуры изменила настройки доступа, а команда по соблюдению нормативных требований зафиксировала, почему выбранный способ реагирования соответствует применимым требованиям.

Fortreum предлагает объединить эту работу с помощью общего набора данных и воспроизводимого рабочего процесса. Практическим критерием успеха станет способность команд своевременно принимать решения, подкреплённые необходимыми данными, и демонстрировать доказательства, на которых они основаны, а не просто создавать больше документов о соблюдении требований.