AWS sai Nato-laajuisen hyväksynnän RESTRICTED-pilvityökuormille

AWS on saanut Nato-laajuisen hyväksynnän pilviominaisuuksilleen Nato RESTRICTED -tasolla käsiteltävää tietoa varten. Se on ensimmäinen pilvipalveluntarjoaja, jonka ominaisuudet on hyväksytty tähän käyttöön kaikissa Naton 32 jäsenmaassa. Käytännössä Naton organisaatiot, jäsenmaiden viranomaiset ja puolustusteollisuuden kumppanit voivat käyttää hyväksyttyjä AWS-palveluja kelpoisiin Nato RESTRICTED -työkuormiin Nato-maissa sijaitsevilla AWS-pilvialueilla. 1721

Hyväksyntää ei kuitenkaan pidä tulkita yleiseksi käyttöluvaksi. Se ei tarkoita, että mikä tahansa sovellus, AWS-palvelu, asiakas tai toteutus olisi automaattisesti hyväksytty. Kansalliset viranomaiset voivat edelleen edellyttää omia lupiaan ja lisäturvatarkastuksiaan, ja jokaisen järjestelmän on käytettävä hyväksynnän piiriin kuuluvia palveluja sekä läpäistävä soveltuva akkreditointiprosessi. 25

Mitä Nato RESTRICTED tarkoittaa?

Nato RESTRICTED on liittokunnan matalin turvallisuusluokiteltu tietotaso. Sillä tarkoitetaan tietoa, jota ei voi julkaista, koska sen paljastuminen voisi vahingoittaa Naton etuja tai operaatioita. 24

Uusi hyväksyntä merkitsee organisaatioille sitä, että AWS voidaan ottaa harkintaan tämän tietotason työkuormille ilman, että pilvipalveluntarjoajan turvallisuusarviointi aloitetaan täysin alusta. Se ei silti tarkoita kaikkien AWS-palvelujen hyväksyntää eikä oikeuta sijoittamaan tietoa mille tahansa AWS-pilvialueelle. Ilmoitettu rajaus koskee hyväksyttyjä palveluja Nato-jäsenmaissa sijaitsevilla AWS-pilvialueilla. 1721

Näin AWS sai hyväksynnän

AWS ilmoitti dokumentoineensa Nato D32 -teknisen direktiivin vaatimustenmukaisuuden. D32 määrittää vaatimukset Nato RESTRICTED -tiedon käsittelylle julkisessa pilviympäristössä. Espanjan kansallinen kryptologinen keskus, CCN, arvioi AWS:n ominaisuudet. Nato hyväksyi tuloksen ja julkaisi sen koko liittokunnan käyttöön. 21

Menettely on merkittävä siksi, että pilvipalveluntarjoajan tasoiset kontrollit arvioidaan yhteisessä Nato-kehyksessä. Nato RESTRICTED -akkreditoinneissa Nato voi delegoida prosessin jäsenmaalle tai Naton viestintä- ja tietovirastolle NCIA:lle, joka toimii tällöin Naton isäntämaana. 21

AWS ei siis saanut automaattista hyväksyntää kaikille operatiivisille järjestelmille. Se on luonut palveluntarjoajatasoisen lähtötason, johon myöhemmät akkreditointipäätökset voivat nojata.

Mitä yhteinen lähtötaso muuttaa jäsenmaille?

AWS:n mukaan sillä on 15 pilvialuetta Nato-maissa, joista seitsemän sijaitsee Manner-Euroopassa. 2136

Yhteinen, ennalta arvioitu palveluntarjoajan turvallisuusperusta voi vähentää tarvetta käydä läpi samoja perustason pilvikontrolleja jokaisessa kansallisessa akkreditoinnissa. Se voi pienentää päällekkäistä työtä, lyhentää käsittelyaikaa ja keventää vaatimustenmukaisuuteen liittyvää työtä. Lopullinen kansallinen päätösvalta jää silti toimivaltaiselle viranomaiselle. 2536

Puolustushallinnon ja -teollisuuden toimijoille ero voidaan tiivistää näin:

• Palveluntarjoajan hyväksyntä koskee arvioituja AWS:n pilviominaisuuksia ja turvakontrolleja.
• Kansallinen akkreditointi koskee maan omia oikeudellisia, turvallisuuteen, suvereniteettiin ja toimintaan liittyviä vaatimuksia.
• Järjestelmäkohtainen hyväksyntä koskee kyseistä työkuormaa, arkkitehtuuria, tietoja, käyttäjiä ja valittuja palveluja.

Tämä kerroksellinen malli tekee hyväksynnästä hyödyllisen ilman, että se kaventaisi jäsenmaiden päätösvaltaa.

Miksi päätös on tärkeä puolustuspilven markkinoilla?

Hyväksyntä vahvistaa AWS:n asemaa Naton ja Euroopan puolustuksen digitalisaatiossa. Se osoittaa, että kaupallinen julkinen pilvipalvelu voi täyttää yhteisen liittokuntatason turvarajan suojatuille Nato-työkuormille.

Se on AWS:lle kilpailuetu puolustuspilven hankinnoissa, mutta ei takaa sopimuksia eikä käyttöönoton hyväksyntää. Microsoft, Google, alueelliset toimijat ja yksityiset pilviratkaisut voivat edelleen kilpailla, kun ne täyttävät asiakkaan tekniset, kaupalliset ja kansalliseen turvallisuuteen liittyvät ehdot. Nato-laajuinen lähtötaso vähentää ensisijaisesti yhtä merkittävää kitkatekijää: palveluntarjoajan turvallisuusvarmistuksen tarvetta Nato RESTRICTED -käytössä.

Kaupallinen pilvi osana Naton modernisointia

Ratkaisu viestii myös Naton valmiudesta hyödyntää kaupallisesti saatavilla olevaa teknologiaa, kun se täyttää liittokunnan turvallisuusvaatimukset. AWS:n mukaan hyväksyntä laajentaa Naton, jäsenmaiden ja puolustusteollisuuden kumppaneiden vaihtoehtoja kelpoisten suojattujen työkuormien käsittelyyn. 17

Tämä on olennaista organisaatioille, jotka tarvitsevat skaalautuvaa laskentaa, data-alustoja, analytiikkaa tai modernia sovellusinfrastruktuuria Nato-turvallisuusvaatimusten puitteissa. D32-pohjainen menettely ei käsittele julkista pilveä puolustusympäristön ulkopuolisena ratkaisuna, vaan määrittelee kontrollit, joilla palveluntarjoajaa voidaan arvioida.

Miten tämä liittyy AWS:n luokiteltujen pilvien strategiaan?

Nato RESTRICTED -hyväksyntä täydentää AWS:n Yhdysvaltain hallinnon ja puolustuksen vaativampiin tarpeisiin suunnattuja palveluja. AWS Secret Cloud for Industry antaa turvaluvitettujen yhdysvaltalaisten puolustusalan urakoitsijoiden ja muiden National Industrial Security Program -ohjelman organisaatioiden ajaa omia luokiteltuja työkuormiaan suoraan AWS:ssä. Malli korvaa pääomavaltaista, urakoitsijan itse omistamaa paikallisinfrastruktuuria käytön mukaan laskutettavalla pilvellä. AWS:n mukaan ympäristö tukee muun muassa generatiivista tekoälyä, koneoppimista ja suurteholaskentaa. 2

Yhdessä palvelut kuvaavat AWS:n strategiaa, jossa se pyrkii palvelemaan sekä hallintoja että puolustusteollista perustaa: Nato-maiden AWS-pilvialueilla voidaan tukea suojattuja Nato-työkuormia, kun taas Yhdysvalloissa käytössä ovat erilliset ympäristöt luokiteltuja tehtäviä varten.

Ydinviesti

AWS:n Nato RESTRICTED -hyväksyntä on ennen kaikkea uudelleenkäytettävä, liittokuntatason turvallisuusperusta. Se mahdollistaa kelpoisten Nato RESTRICTED -järjestelmien rakentamisen hyväksytyillä AWS-palveluilla Nato-maissa sijaitsevilla pilvialueilla ja antaa kansallisille akkreditoijille yhteisen lähtökohdan. 1721

Se ei syrjäytä kansallisia suvereniteettivaatimuksia eikä poista järjestelmäkohtaista hyväksyntää. Viranomaisille ja puolustusalan toimittajille arvo on nopeammassa ja yhdenmukaisemmassa arvioinnissa – ei vapautuksessa niistä turvallisuustoimista, joita jokainen käyttöönotto edelleen edellyttää. 25