AWSは、NATO RESTRICTEDレベルの情報を扱うクラウド機能について、NATOの全32加盟国で利用できる承認を得た初のクラウド事業者となった。これにより、NATO機関、加盟国政府、防衛産業のパートナーは、NATO加盟国内にあるAWSリージョンで、承認対象のAWSサービスを使い、適格なNATO RESTRICTEDワークロードを扱えるようになる。1721

ただし、この承認を「どの用途でも、どのAWSサービスでも、直ちに使える包括許可」と受け取るべきではない。各国の当局は、独自の承認や追加のセキュリティ確認を求めることができる。さらに個々のシステムでは、承認範囲内のサービスを選び、該当する認定・認可手続きを完了する必要がある。25

NATO RESTRICTEDとは何か

NATO RESTRICTEDは、NATOの機密情報区分のうち最も低いレベルだ。公開されればNATOの利益や作戦に損害を及ぼし得るため、公表できない情報を対象とする。24

今回の承認は、組織がこの区分のワークロードにAWSを検討する際、クラウド事業者そのものに対するセキュリティ評価をゼロから始めずに済む可能性を意味する。一方で、承認されたのは全AWSサービスではなく、利用先も任意の場所ではない。対象は、NATO加盟国に所在するAWSリージョン内の承認済みサービスである。1721

AWSはどのように承認を得たのか

AWSは、パブリッククラウドでNATO RESTRICTED情報を扱うためのセキュリティ要件を定めるNATO技術指令D32への適合を文書化した。AWSの機能はスペインの国家暗号センター（CCN）によって評価され、その結果をNATOが同盟全体で承認・公表した。21

この仕組みの重要性は、クラウド事業者レベルの統制評価を、NATOで共有できる枠組みに置く点にある。NATO RESTRICTEDの認定では、NATOは加盟国、またはNATOのホスト国として機能するNATO通信情報機関（NCIA）に手続きを委任できる。21

つまりAWSが得たのは、あらゆる任務システムへの自動的な運用許可ではない。個別の認定判断で再利用できる、事業者レベルのセキュリティ基盤を整えたということだ。

加盟国の認定手続きはどう変わるか

AWSによると、同社はNATO加盟国に15のリージョンを展開しており、うち7リージョンは欧州大陸にある。2136

共通で事前評価された基盤があれば、加盟国政府は自国の認定で、クラウド事業者に関する基礎的な統制レビューの多くを重複して行わずに済む可能性がある。結果として、作業の重複、所要時間、コンプライアンス対応の負担を抑えられる見込みがある。ただし、最終判断は各国の所管当局に残る。2536

実務上は、次の3層を分けて考える必要がある。

• クラウド事業者の承認：評価対象となったAWSのクラウド機能と統制
• 各国の認定：法令、安全保障、データ主権、運用上の要件
• システム単位の認可：具体的なワークロード、設計、データ、利用者、採用サービス

この多層構造が、今回の承認が大きな意味を持ちながらも、各国の統制権限をなくさない理由である。

防衛クラウド市場での意味

今回の決定は、NATOおよび欧州の防衛分野におけるクラウド近代化で、AWSに目立つ立場を与える。商用パブリッククラウド事業者が、保護対象となるNATOワークロード向けの共通セキュリティ基準を満たせることを示したからだ。

もっとも、欧州各国はデータ保存場所、運用上の自律性、調達、その他の主権要件を引き続き個別に評価する。したがって、これは防衛クラウド案件における競争上の優位性ではあっても、契約受注や導入承認を保証するものではない。Microsoft、Google、地域事業者、プライベートクラウドも、顧客の技術・商用・国家安全保障上の条件を満たせば競争できる。

今回の共通基盤が主に減らすのは、NATO RESTRICTED利用における「クラウド事業者としての保証」を確認する手間である。

NATOの近代化で商用クラウドが担う役割

この承認は、NATOがセキュリティ要件を満たす市販技術の活用を進める姿勢も示している。AWSは、この結果によってNATO、加盟国、防衛産業パートナーが、適格な保護対象ワークロードを処理するために選べる選択肢が広がるとしている。17

拡張性のあるコンピューティング、データ基盤、分析、現代的なアプリケーション基盤を必要としながら、NATOのセキュリティ制約にも対応しなければならない組織にとって、その意味は大きい。D32に基づくアプローチは、パブリッククラウドを防衛領域の外に置くのではなく、利用可能と見なされるために必要な統制を定義するものだ。

AWSの機密クラウド戦略との位置付け

NATO RESTRICTEDの承認は、より機微な米国政府・防衛用途向けAWSサービスと並ぶ取り組みでもある。AWS Secret Cloud for Industryでは、クリアランスを持つ米国の防衛請負企業や、米国のNational Industrial Security Programの対象組織が、自社の機密ワークロードをAWS上で直接運用できる。従来の自社所有オンプレミス基盤に伴う大規模な設備投資を、従量課金型クラウドへ置き換えるモデルであり、AWSは生成AI、機械学習、ハイパフォーマンスコンピューティングなどをサポートするとしている。2

この二つを合わせてみると、AWSは、NATO加盟国内のリージョンでNATO関連の保護ワークロードを支援する一方、米国の機密任務向けには別の環境を用意する戦略を進めているといえる。

要点

AWSのNATO RESTRICTED承認は、同盟全体で再利用できるセキュリティ上の土台と捉えるのが適切だ。適格な利用者は、NATO加盟国のAWSリージョンで承認済みサービスを使い、NATO RESTRICTED対応システムを構築できる。各国の認定当局にとっても、共通の出発点となる。1721

一方で、各国の主権要件や、システムごとの認可を覆すものではない。政府機関や防衛サプライヤーにとっての価値は、審査の迅速化と一貫性の向上であり、個々の導入に伴うセキュリティ作業が免除されることではない。25

AWSは、NATO RESTRICTEDレベルの情報を扱うクラウド機能について、NATOの全32加盟国で利用できる承認を得た初のクラウド事業者となった。これにより、NATO機関、加盟国政府、防衛産業のパートナーは、NATO加盟国内にあるAWSリージョンで、承認対象のAWSサービスを使い、適格なNATO RESTRICTEDワークロードを扱えるようになる。1721

ただし、この承認を「どの用途でも、どのAWSサービスでも、直ちに使える包括許可」と受け取るべきではない。各国の当局は、独自の承認や追加のセキュリティ確認を求めることができる。さらに個々のシステムでは、承認範囲内のサービスを選び、該当する認定・認可手続きを完了する必要がある。25

NATO RESTRICTEDとは何か

NATO RESTRICTEDは、NATOの機密情報区分のうち最も低いレベルだ。公開されればNATOの利益や作戦に損害を及ぼし得るため、公表できない情報を対象とする。24

今回の承認は、組織がこの区分のワークロードにAWSを検討する際、クラウド事業者そのものに対するセキュリティ評価をゼロから始めずに済む可能性を意味する。一方で、承認されたのは全AWSサービスではなく、利用先も任意の場所ではない。対象は、NATO加盟国に所在するAWSリージョン内の承認済みサービスである。1721

AWSはどのように承認を得たのか

AWSは、パブリッククラウドでNATO RESTRICTED情報を扱うためのセキュリティ要件を定めるNATO技術指令D32への適合を文書化した。AWSの機能はスペインの国家暗号センター（CCN）によって評価され、その結果をNATOが同盟全体で承認・公表した。21

この仕組みの重要性は、クラウド事業者レベルの統制評価を、NATOで共有できる枠組みに置く点にある。NATO RESTRICTEDの認定では、NATOは加盟国、またはNATOのホスト国として機能するNATO通信情報機関（NCIA）に手続きを委任できる。21

つまりAWSが得たのは、あらゆる任務システムへの自動的な運用許可ではない。個別の認定判断で再利用できる、事業者レベルのセキュリティ基盤を整えたということだ。

加盟国の認定手続きはどう変わるか

AWSによると、同社はNATO加盟国に15のリージョンを展開しており、うち7リージョンは欧州大陸にある。2136

共通で事前評価された基盤があれば、加盟国政府は自国の認定で、クラウド事業者に関する基礎的な統制レビューの多くを重複して行わずに済む可能性がある。結果として、作業の重複、所要時間、コンプライアンス対応の負担を抑えられる見込みがある。ただし、最終判断は各国の所管当局に残る。2536

実務上は、次の3層を分けて考える必要がある。

• クラウド事業者の承認：評価対象となったAWSのクラウド機能と統制
• 各国の認定：法令、安全保障、データ主権、運用上の要件
• システム単位の認可：具体的なワークロード、設計、データ、利用者、採用サービス

この多層構造が、今回の承認が大きな意味を持ちながらも、各国の統制権限をなくさない理由である。

防衛クラウド市場での意味

今回の決定は、NATOおよび欧州の防衛分野におけるクラウド近代化で、AWSに目立つ立場を与える。商用パブリッククラウド事業者が、保護対象となるNATOワークロード向けの共通セキュリティ基準を満たせることを示したからだ。

もっとも、欧州各国はデータ保存場所、運用上の自律性、調達、その他の主権要件を引き続き個別に評価する。したがって、これは防衛クラウド案件における競争上の優位性ではあっても、契約受注や導入承認を保証するものではない。Microsoft、Google、地域事業者、プライベートクラウドも、顧客の技術・商用・国家安全保障上の条件を満たせば競争できる。

今回の共通基盤が主に減らすのは、NATO RESTRICTED利用における「クラウド事業者としての保証」を確認する手間である。

NATOの近代化で商用クラウドが担う役割

この承認は、NATOがセキュリティ要件を満たす市販技術の活用を進める姿勢も示している。AWSは、この結果によってNATO、加盟国、防衛産業パートナーが、適格な保護対象ワークロードを処理するために選べる選択肢が広がるとしている。17

拡張性のあるコンピューティング、データ基盤、分析、現代的なアプリケーション基盤を必要としながら、NATOのセキュリティ制約にも対応しなければならない組織にとって、その意味は大きい。D32に基づくアプローチは、パブリッククラウドを防衛領域の外に置くのではなく、利用可能と見なされるために必要な統制を定義するものだ。

AWSの機密クラウド戦略との位置付け

NATO RESTRICTEDの承認は、より機微な米国政府・防衛用途向けAWSサービスと並ぶ取り組みでもある。AWS Secret Cloud for Industryでは、クリアランスを持つ米国の防衛請負企業や、米国のNational Industrial Security Programの対象組織が、自社の機密ワークロードをAWS上で直接運用できる。従来の自社所有オンプレミス基盤に伴う大規模な設備投資を、従量課金型クラウドへ置き換えるモデルであり、AWSは生成AI、機械学習、ハイパフォーマンスコンピューティングなどをサポートするとしている。2

この二つを合わせてみると、AWSは、NATO加盟国内のリージョンでNATO関連の保護ワークロードを支援する一方、米国の機密任務向けには別の環境を用意する戦略を進めているといえる。

要点

AWSのNATO RESTRICTED承認は、同盟全体で再利用できるセキュリティ上の土台と捉えるのが適切だ。適格な利用者は、NATO加盟国のAWSリージョンで承認済みサービスを使い、NATO RESTRICTED対応システムを構築できる。各国の認定当局にとっても、共通の出発点となる。1721

一方で、各国の主権要件や、システムごとの認可を覆すものではない。政府機関や防衛サプライヤーにとっての価値は、審査の迅速化と一貫性の向上であり、個々の導入に伴うセキュリティ作業が免除されることではない。25