AWS bliver først med NATO-dækkende godkendelse til RESTRICTED-cloudarbejdsbelastninger

AWS har fået en NATO-dækkende godkendelse af cloudfunktioner til behandling af information på niveauet NATO RESTRICTED. Dermed er AWS ifølge selskabet den første cloududbyder, der er godkendt til denne anvendelse i alle NATO's 32 medlemslande.

I praksis kan NATO-enheder, medlemslandenes myndigheder og forsvarsindustriens partnere bruge godkendte AWS-tjenester til egnede NATO RESTRICTED-arbejdsbelastninger i AWS Regions, der ligger i NATO-lande. 1721

Den afgørende begrænsning er, at dette ikke er en generel fribillet til at flytte enhver applikation eller enhver type data i skyen. Nationale myndigheder kan fortsat kræve egne godkendelser og yderligere sikkerhedskontroller, og det enkelte system skal anvende tjenester inden for den godkendte ramme og gennemføre den relevante akkreditering. 25

Hvad dækker NATO RESTRICTED over?

NATO RESTRICTED er Alliancens laveste niveau for klassificeret information. Betegnelsen bruges om oplysninger, der ikke må offentliggøres, fordi en offentliggørelse kan skade NATO's interesser eller operationer. 24

Godkendelsen betyder derfor ikke, at alle AWS-tjenester er godkendt, eller at data kan placeres i en vilkårlig AWS-region. Den angivne ramme gælder godkendte tjenester i Regions, som er placeret i NATO-medlemslande. 1721

Sådan opnåede AWS godkendelsen

AWS oplyser, at selskabet dokumenterede overensstemmelse med NATO's tekniske direktiv D32. Direktivet fastsætter sikkerhedskravene til håndtering af NATO RESTRICTED-information i offentlige cloudmiljøer.

Spaniens nationale kryptologicenter, CCN, vurderede AWS's funktioner. Derefter godkendte NATO resultatet og offentliggjorde det for hele Alliancen. 21

Processen flytter dermed en del af vurderingen af cloududbyderens grundlæggende sikkerhedskontroller over i en fælles NATO-ramme. Ved akkrediteringer til NATO RESTRICTED kan NATO overlade processen til et medlemsland eller til NATO Communications and Information Agency (NCIA), der fungerer som NATO-værtsnation. 21

Kort sagt er AWS's cloudfunktioner vurderet som et fælles udgangspunkt. Det er ikke det samme som automatisk tilladelse til ethvert missionskritisk system.

Hvad ændrer det fælles sikkerhedsgrundlag?

AWS oplyser at drive 15 Regions i NATO-lande, herunder syv på det europæiske fastland. 2136

Når en udbyders grundlæggende cloudkontroller allerede er vurderet i en fælles NATO-ramme, kan en medlemsstat i princippet undgå at gentage store dele af den indledende leverandørvurdering i sin egen akkreditering. Det kan mindske dobbeltarbejde, tidsforbrug og complianceindsats, men den endelige nationale afgørelse ligger fortsat hos den relevante myndighed. 2536

For forsvarsorganisationer er skellet centralt:

• Udbydergodkendelsen vedrører de vurderede AWS-funktioner og sikkerhedskontroller.
• National akkreditering vedrører landets egne juridiske, sikkerhedsmæssige, suverænitets- og driftskrav.
• Systemgodkendelse vedrører den konkrete arbejdsbelastning, arkitektur, datatyper, brugere og valgte tjenester.

Det er netop denne lagdelte model, der gør godkendelsen væsentlig uden at fratage medlemslandene kontrollen.

Strategisk betydning på forsvars-cloudmarkedet

Godkendelsen styrker AWS's position i NATO's og Europas modernisering af forsvarsteknologi. Den viser, at en kommerciel public-cloududbyder kan opfylde et fælles NATO-sikkerhedsniveau for beskyttede arbejdsbelastninger.

Men den er ikke en kontraktgaranti. Europæiske regeringer vil fortsat vurdere blandt andet dataophold, driftsmæssig autonomi, indkøbsvilkår og øvrige suverænitetskrav. Microsoft, Google, regionale udbydere og private cloudløsninger kan stadig konkurrere, når de opfylder kundernes tekniske, kommercielle og nationale sikkerhedskrav.

AWS's fordel er især, at én væsentlig barriere er reduceret: den fælles dokumentation af udbyderens sikkerhedsniveau for NATO RESTRICTED.

Et signal om NATO's brug af kommerciel cloud

Afgørelsen peger også på, at NATO er parat til at bruge kommercielt tilgængelig teknologi, når den lever op til Alliancens sikkerhedskrav. AWS fremhæver, at resultatet udvider mulighederne for NATO, medlemslandene og forsvarsindustriens partnere, når de skal håndtere egnede beskyttede arbejdsbelastninger. 17

Det kan være relevant for organisationer, der har brug for skalerbar databehandling, dataplatforme, analyse eller moderne applikationsinfrastruktur under NATO's sikkerhedsrammer. D32-tilgangen behandler ikke public cloud som noget, der på forhånd er uforeneligt med forsvarsområdet, men fastlægger i stedet de kontroller, en udbyder skal leve op til.

Del af AWS's strategi for klassificerede miljøer

NATO RESTRICTED-godkendelsen supplerer AWS's tilbud til mere følsomme amerikanske regerings- og forsvarsarbejdsbelastninger. AWS Secret Cloud for Industry gør det muligt for sikkerhedsgodkendte amerikanske forsvarsleverandører og andre organisationer under National Industrial Security Program at køre egne klassificerede arbejdsbelastninger direkte på AWS.

Ifølge AWS kan det erstatte kapitaltung, lokalt ejet infrastruktur med en forbrugsafregnet cloudmodel. Miljøet understøtter blandt andet generativ AI, maskinlæring og højtydende databehandling. 2

Samlet peger det på en strategi, der både retter sig mod NATO-relaterede beskyttede arbejdsbelastninger i medlemslandenes AWS Regions og særskilte amerikanske miljøer til klassificerede missioner.

Bundlinjen

AWS's NATO RESTRICTED-godkendelse bør forstås som et genbrugeligt sikkerhedsgrundlag på allianceniveau. Den gør det muligt at bygge egnede NATO RESTRICTED-systemer med godkendte AWS-tjenester i Regions i NATO-lande og giver nationale akkrediteringsmyndigheder et fælles startpunkt. 1721

Godkendelsen tilsidesætter hverken nationale suverænitetskrav eller kravet om systemgodkendelse. For myndigheder og forsvarsleverandører er gevinsten potentialet for en hurtigere og mere ensartet vurdering – ikke en fritagelse fra det sikkerhedsarbejde, som stadig følger med hver enkelt implementering. 25