AWS è il primo cloud provider approvato dalla NATO per i carichi RESTRICTED in tutti i 32 Paesi alleati

L’approvazione ottenuta da AWS vale a livello dell’intera Alleanza per capacità cloud destinate a trattare informazioni di livello NATO RESTRICTED. AWS è il primo fornitore cloud a ricevere questo via libera per tutti i 32 Paesi membri della NATO.

In termini pratici, organismi NATO, governi alleati e partner dell’industria della difesa possono usare i servizi AWS approvati per carichi di lavoro NATO RESTRICTED idonei, nelle Regioni AWS situate in Paesi membri della NATO. 1721

Il punto decisivo, però, è ciò che l’approvazione non comporta: non è un’autorizzazione generale per qualunque applicazione, servizio, cliente o distribuzione nazionale. Le autorità dei singoli Paesi possono continuare a richiedere approvazioni proprie e ulteriori verifiche di sicurezza; inoltre, ogni sistema deve impiegare servizi inclusi nell’ambito approvato e completare il processo di accreditamento applicabile. 25

Che cos’è il livello NATO RESTRICTED

NATO RESTRICTED è il livello più basso delle informazioni classificate dell’Alleanza. Riguarda dati che non possono essere divulgati pubblicamente perché la loro diffusione potrebbe danneggiare gli interessi o le operazioni della NATO. 24

Per un’organizzazione, il nuovo via libera significa poter considerare AWS per questa categoria di carichi senza dover ripartire da zero nella valutazione della sicurezza del provider. Non significa, invece, che ogni servizio AWS sia approvato o che i dati possano essere trasferiti in qualsiasi località AWS. L’ambito dichiarato riguarda i servizi approvati nelle Regioni collocate in Paesi NATO. 1721

Come AWS ha ottenuto l’approvazione

AWS ha dichiarato di aver documentato la conformità alla direttiva tecnica NATO D32, che definisce i requisiti di sicurezza per trattare informazioni NATO RESTRICTED in ambienti di cloud pubblico. Le capacità di AWS sono state valutate dal Centro Crittologico Nazionale spagnolo, noto con l’acronimo CCN; la NATO ha poi approvato e pubblicato il risultato per l’intera Alleanza. 21

Questo percorso sposta la valutazione dei controlli cloud a livello di provider in un quadro condiviso NATO. Per gli accreditamenti NATO RESTRICTED, l’Alleanza può delegare il processo a uno Stato membro oppure alla NATO Communications and Information Agency (NCIA), che agisce come Paese ospitante della NATO. 21

In altre parole, AWS non ha ottenuto un lasciapassare automatico per ogni sistema destinato a una missione. Ha definito una base di garanzie sul provider su cui possono fondarsi le successive decisioni di accreditamento.

Cosa cambia per gli Stati membri

AWS riferisce di operare 15 Regioni in Paesi NATO, incluse sette nell’Europa continentale. 2136

Una base comune, già valutata, può evitare a un governo di ripetere gran parte dell’analisi iniziale sui controlli del provider durante il proprio iter di accreditamento. Questo può ridurre duplicazioni, tempi e impegno di conformità, ma la decisione finale resta nelle mani dell’autorità nazionale competente. 2536

Per i team della difesa, la distinzione è concreta:

• Approvazione del provider: riguarda le capacità e i controlli AWS sottoposti a valutazione.
• Accreditamento nazionale: riguarda requisiti legali, di sicurezza, sovranità e operatività del singolo Paese.
• Autorizzazione del sistema: riguarda lo specifico carico di lavoro, l’architettura, i dati, gli utenti e i servizi scelti.

È questo modello a più livelli a rendere l’approvazione importante senza sottrarre potere decisionale agli Stati.

Perché è rilevante nel mercato del cloud per la difesa

L’approvazione offre ad AWS una posizione di rilievo nella modernizzazione digitale della NATO e della difesa europea. Dimostra che un provider commerciale di cloud pubblico può soddisfare una soglia comune dell’Alleanza per carichi di lavoro NATO protetti, mentre i governi europei continuano a valutare requisiti di residenza dei dati, autonomia operativa, appalti e sovranità.

Si tratta quindi di un vantaggio competitivo nelle opportunità del settore difesa, non della garanzia di aggiudicarsi contratti o di poter distribuire automaticamente un sistema. Microsoft, Google, fornitori regionali e opzioni di cloud privato possono continuare a competere se rispettano le condizioni tecniche, commerciali e di sicurezza nazionale richieste dal cliente. Il vantaggio principale della base NATO è la riduzione di un’importante fonte di attrito: la verifica del provider per l’uso NATO RESTRICTED.

Il cloud commerciale nella modernizzazione della NATO

La decisione segnala anche l’apertura della NATO verso tecnologie commerciali disponibili sul mercato, a condizione che soddisfino i requisiti di sicurezza dell’Alleanza. Secondo l’annuncio di AWS, l’esito amplia le opzioni per NATO, Paesi membri e partner dell’industria della difesa nella gestione di carichi di lavoro protetti idonei. 17

Il tema è rilevante per le organizzazioni che necessitano di capacità di calcolo scalabili, piattaforme dati, analisi o infrastrutture applicative moderne pur operando entro vincoli di sicurezza NATO. L’approccio fondato sulla D32 non considera il cloud pubblico incompatibile per definizione con l’ambiente della difesa: definisce invece i controlli necessari perché un provider possa essere preso in considerazione.

Il tassello nella strategia AWS per il cloud classificato

L’approvazione NATO RESTRICTED si affianca alle offerte AWS rivolte a carichi di lavoro governativi e della difesa statunitense con livelli di classificazione più elevati. AWS Secret Cloud for Industry consente a contractor della difesa USA autorizzati e ad altre organizzazioni del National Industrial Security Program di eseguire direttamente su AWS carichi classificati di loro proprietà, sostituendo infrastrutture on-premise ad alta intensità di capitale con un modello cloud a consumo. AWS afferma che l’ambiente supporta, tra l’altro, IA generativa, machine learning e calcolo ad alte prestazioni. 2

Nel complesso, queste offerte delineano una strategia rivolta sia ai governi sia alla base industriale della difesa: supportare carichi NATO protetti nelle Regioni AWS dei Paesi membri e offrire, separatamente, ambienti statunitensi per missioni classificate.

In sintesi

L’approvazione AWS per NATO RESTRICTED va letta come una base di sicurezza riutilizzabile a livello dell’Alleanza. Consente agli utenti idonei di progettare sistemi NATO RESTRICTED con servizi AWS approvati nelle Regioni situate in Paesi NATO e offre agli enti nazionali di accreditamento un punto di partenza condiviso. 1721

Non prevale sui requisiti di sovranità nazionali e non elimina l’autorizzazione specifica del sistema. Per governi e fornitori della difesa, il beneficio potenziale è una valutazione più rapida e coerente, non un’esenzione dal lavoro di sicurezza richiesto per ogni implementazione. 25