AWS krijgt NAVO-brede goedkeuring voor RESTRICTED-cloudworkloads

AWS heeft als eerste cloudprovider een bondgenootschapbrede goedkeuring gekregen voor cloudcapaciteiten die informatie op het niveau NATO RESTRICTED verwerken. Daardoor kunnen NAVO-organisaties, lidstaten en partners uit de defensie-industrie goedgekeurde AWS-diensten inzetten voor daarvoor in aanmerking komende NATO RESTRICTED-workloads in AWS-Regions die zich in NAVO-landen bevinden. 1721

De nuance is cruciaal: dit is geen blanco toestemming voor elke applicatie, dienst, klant of inzetlocatie. Nationale autoriteiten kunnen aanvullende goedkeuringen en veiligheidscontroles verlangen. Ook moet elk afzonderlijk systeem binnen de goedgekeurde reikwijdte blijven en het toepasselijke accreditatietraject doorlopen. 25

Wat is NATO RESTRICTED?

NATO RESTRICTED is het laagste classificatieniveau voor gerubriceerde NAVO-informatie. Het betreft informatie die niet openbaar mag worden gemaakt, omdat openbaarmaking de belangen of operaties van de NAVO kan schaden. 24

De nieuwe goedkeuring betekent dus dat organisaties AWS kunnen meenemen in hun afweging voor dit type workload, zonder de beoordeling van de beveiliging van de cloudprovider volledig vanaf nul te hoeven uitvoeren. Het betekent nadrukkelijk niet dat alle AWS-diensten zijn goedgekeurd of dat gegevens in elke AWS-locatie mogen worden verwerkt. De aangegeven reikwijdte betreft goedgekeurde diensten in Regions in NAVO-lidstaten. 1721

Hoe AWS de goedkeuring kreeg

AWS documenteerde dat zijn capaciteiten voldoen aan NAVO-richtlijn D32. Die technische richtlijn beschrijft de beveiligingseisen voor het verwerken van NATO RESTRICTED-informatie in een publieke cloud. Het Spaanse Nationaal Cryptologisch Centrum, het CCN, beoordeelde de AWS-capaciteiten. Vervolgens keurde de NAVO de uitkomst goed en publiceerde die voor het hele bondgenootschap. 21

Dit proces verplaatst de beoordeling van cloudcontroles op providerniveau naar een gedeeld NAVO-kader. Voor accreditaties op NATO RESTRICTED-niveau kan de NAVO het proces delegeren aan een lidstaat of aan de NATO Communications and Information Agency (NCIA), die dan als NAVO-gastland optreedt. 21

AWS heeft daarmee geen automatische toestemming gekregen voor ieder missiekritisch systeem. De provider heeft een herbruikbare beveiligingsbasis gelegd waarop afzonderlijke accreditatiebesluiten kunnen voortbouwen.

Wat verandert er voor lidstaten?

AWS zegt 15 Regions in NAVO-landen te hebben, waaronder zeven in continentaal Europa. 2136

Dankzij een gezamenlijke, vooraf beoordeelde basis kunnen nationale overheden mogelijk een groot deel van de fundamentele beoordeling van cloudcontroles hergebruiken in plaats van die volledig over te doen. Dat kan dubbel werk, doorlooptijd en compliance-inspanning verminderen. De uiteindelijke nationale beslissing blijft echter bij de bevoegde autoriteit. 2536

Voor defensieteams zijn er drie afzonderlijke lagen:

• Goedkeuring van de provider: betreft de beoordeelde AWS-cloudcapaciteiten en -controles.
• Nationale accreditatie: betreft onder meer nationale wetgeving, beveiliging, soevereiniteit en operationele vereisten.
• Autorisatie van het systeem: betreft de concrete workload, architectuur, data, gebruikers en gekozen diensten.

Juist dat gelaagde model maakt de NAVO-goedkeuring relevant, zonder nationale zeggenschap weg te nemen.

Strategische betekenis voor de defensiecloud

De toestemming geeft AWS een duidelijke positie in de modernisering van NAVO- en Europese defensie-IT. Zij laat zien dat een commerciële publieke-cloudprovider aan een gedeelde NAVO-beveiligingsdrempel voor beschermde workloads kan voldoen. Tegelijk blijven Europese overheden zelf kijken naar eisen rond dataresidentie, operationele autonomie, inkoop en digitale soevereiniteit.

Dat is een concurrentievoordeel bij defensiecloudtrajecten, maar geen garantie op opdrachten of toestemming voor een uitrol. Microsoft, Google, regionale aanbieders en private-cloudopties kunnen blijven meedingen wanneer zij aan de technische, commerciële en nationale veiligheidsvoorwaarden van een klant voldoen. De NAVO-brede basis vermindert vooral één belangrijke drempel: de zekerheid over de beveiliging van de provider voor NATO RESTRICTED-gebruik.

Commerciële cloud in de NAVO-modernisering

De beslissing onderstreept ook dat de NAVO bereid is commercieel beschikbare technologie te gebruiken wanneer die aan de beveiligingseisen van het bondgenootschap voldoet. Volgens AWS vergroot de uitkomst de mogelijkheden voor de NAVO, lidstaten en defensiepartners om geschikte beschermde workloads te verwerken. 17

Dat is van belang voor organisaties die schaalbare rekenkracht, dataplatforms, analysefuncties of moderne applicatie-infrastructuur nodig hebben binnen NAVO-beveiligingskaders. De op D32 gebaseerde aanpak behandelt publieke cloud niet als per definitie ongeschikt voor de defensieomgeving, maar stelt vast aan welke controles een provider moet voldoen.

Onderdeel van AWS' strategie voor gerubriceerde cloud

De NATO RESTRICTED-goedkeuring staat naast AWS-diensten voor gevoeligere Amerikaanse overheids- en defensieworkloads. Met AWS Secret Cloud for Industry kunnen gescreende Amerikaanse defensieaannemers en andere organisaties binnen het National Industrial Security Program eigen gerubriceerde workloads direct op AWS draaien. Daarmee vervangt AWS kapitaalintensieve infrastructuur in eigen beheer door een pay-as-you-go-cloudmodel. AWS noemt onder meer generatieve AI, machine learning en high-performance computing als ondersteunde mogelijkheden. 2

Samen wijzen deze diensten op een strategie voor zowel overheden als de defensie-industrie: NATO RESTRICTED-workloads ondersteunen in AWS-Regions binnen lidstaten, naast aparte Amerikaanse omgevingen voor gerubriceerde missies.

De kern

De goedkeuring van AWS voor NATO RESTRICTED is vooral een herbruikbare beveiligingsbasis op het niveau van het bondgenootschap. Geschikte gebruikers kunnen NATO RESTRICTED-systemen bouwen met goedgekeurde AWS-diensten in Regions in NAVO-landen, terwijl nationale accreditatieautoriteiten een gezamenlijk uitgangspunt krijgen. 1721

De toestemming zet nationale soevereiniteitsvereisten niet opzij en vervangt ook geen systeemgebonden autorisatie. Voor overheden en defensieleveranciers ligt de winst vooral in een mogelijk snellere en consistenter uitgevoerde beoordeling, niet in een vrijstelling van de beveiligingsstappen die bij iedere implementatie horen. 25