AWS får NATO-godkjenning for RESTRICTED-data i alle medlemsland

AWS har fått en allianseomfattende godkjenning for skyfunksjoner som kan brukes til å håndtere informasjon på nivået NATO RESTRICTED. Selskapet er dermed den første skyleverandøren som er godkjent for dette på tvers av alle NATOs 32 medlemsland. I praksis kan NATO-organer, medlemsland og kvalifiserte partnere i forsvarsindustrien bruke godkjente AWS-tjenester til egnede NATO RESTRICTED-arbeidslaster i AWS-regioner som ligger i NATO-land. 1721

Men det finnes en viktig begrensning: Dette er ikke en blankofullmakt for enhver applikasjon, tjeneste eller utrulling. Nasjonale myndigheter kan fortsatt kreve egne godkjenninger og ekstra sikkerhetskontroller. Det enkelte systemet må dessuten bruke tjenester som er innenfor den godkjente rammen og gå gjennom aktuell akkreditering. 25

Hva betyr NATO RESTRICTED?

NATO RESTRICTED er alliansens laveste nivå for gradert informasjon. Det omfatter informasjon som ikke kan offentliggjøres fordi en lekkasje kan skade NATOs interesser eller operasjoner. 24

Godkjenningen betyr derfor ikke at alle AWS-tjenester kan brukes, eller at data kan flyttes til en hvilken som helst AWS-lokasjon. Det oppgitte virkeområdet er godkjente tjenester i AWS-regioner som befinner seg i NATO-medlemsland. 1721

For en virksomhet innebærer dette at AWS kan vurderes for denne typen arbeidslaster uten at man starter leverandørens sikkerhetsvurdering helt fra bunnen av. Selve løsningen må likevel godkjennes.

Slik fikk AWS godkjenningen

AWS opplyser at selskapet dokumenterte samsvar med NATOs tekniske direktiv D32, som angir sikkerhetskrav for behandling av NATO RESTRICTED-informasjon i offentlig sky. Spanias nasjonale kryptologiske senter, CCN, vurderte AWS-funksjonene. NATO godkjente deretter og publiserte resultatet for hele alliansen. 21

For akkreditering av NATO RESTRICTED kan NATO delegere prosessen til en medlemsstat eller til NATO Communications and Information Agency (NCIA), som opptrer som NATOs vertsland. 21

Det sentrale poenget er at AWS har etablert et sikkerhetsgrunnlag på leverandørnivå. Godkjenningen autoriserer ikke automatisk hvert enkelt oppdragskritiske system.

Hva det felles grunnlaget kan bety for medlemslandene

AWS oppgir at selskapet har 15 regioner i NATO-land, inkludert sju på det europeiske fastlandet. 2136

Et felles, forhåndsvurdert sikkerhetsgrunnlag kan redusere behovet for at hvert land gjentar store deler av kontrollen av selve skyleverandøren i sin egen akkrediteringsprosess. Det kan spare tid, redusere dobbeltarbeid og lette etterlevelsesarbeidet. Den endelige nasjonale avgjørelsen forblir imidlertid hos relevant myndighet. 2536

I praksis er det tre ulike nivåer:

• Leverandørgodkjenning gjelder de vurderte AWS-funksjonene og sikkerhetskontrollene.
• Nasjonal akkreditering gjelder hvert lands juridiske, sikkerhetsmessige, suverenitetsmessige og operative krav.
• Systemgodkjenning gjelder den konkrete arbeidslasten, arkitekturen, dataene, brukerne og AWS-tjenestene som velges.

Denne lagdelingen gjør godkjenningen viktig, uten at den svekker den nasjonale kontrollen.

Strategisk betydning i forsvarsmarkedet for sky

Godkjenningen gir AWS en tydelig posisjon i NATOs og Europas modernisering av forsvars-IT. Den viser at en kommersiell leverandør av offentlig sky kan oppfylle en felles NATO-terskel for beskyttede arbeidslaster.

Samtidig vil europeiske myndigheter fortsatt vurdere blant annet dataresidens, operativ selvstendighet, anskaffelsesregler og andre suverenitetskrav. Godkjenningen er dermed en konkurransefordel i forsvarsrelaterte skyanskaffelser, men ingen garanti for kontrakt eller utrullingsgodkjenning. Microsoft, Google, regionale aktører og private skyplattformer kan fortsatt konkurrere når de oppfyller kundens tekniske, kommersielle og sikkerhetsmessige vilkår.

Det AWS i første rekke får, er lavere friksjon rundt leverandørens sikkerhetsdokumentasjon for NATO RESTRICTED-bruk.

Et signal om kommersiell sky i NATO

Avgjørelsen viser også at NATO er villig til å ta i bruk kommersielt tilgjengelig teknologi når den oppfyller alliansens sikkerhetskrav. AWS har sagt at resultatet utvider valgmulighetene for NATO, medlemslandene og forsvarsindustriens partnere som skal håndtere kvalifiserte, beskyttede arbeidslaster. 17

Dette er relevant for organisasjoner som trenger skalerbar datakraft, dataplattformer, analyse eller moderne applikasjonsinfrastruktur, men samtidig arbeider under NATOs sikkerhetsbegrensninger. D32-tilnærmingen behandler ikke offentlig sky som uforenlig med forsvarsbruk; den definerer kontrollene en leverandør må oppfylle for å kunne vurderes.

Del av AWS' strategi for klassifisert sky

NATO RESTRICTED-godkjenningen kommer i tillegg til AWS-tilbud rettet mot mer sensitive amerikanske myndighets- og forsvarsarbeidslaster. Med AWS Secret Cloud for Industry kan sikkerhetsklarerte amerikanske forsvarsleverandører og andre organisasjoner i National Industrial Security Program kjøre egne klassifiserte arbeidslaster direkte på AWS. Ifølge AWS erstatter dette kapitaltung, kundeeid lokal infrastruktur med en forbruksbasert skymodell. Miljøet støtter blant annet generativ KI, maskinlæring og høyytelsesberegning. 2

Samlet peker dette mot en strategi som retter seg både mot myndigheter og forsvarsindustrien: støtte NATO-relaterte, beskyttede arbeidslaster i regioner i medlemslandene, samtidig som AWS tilbyr separate amerikanske miljøer for klassifiserte oppdrag.

Kort oppsummert

AWS' NATO RESTRICTED-godkjenning bør forstås som et gjenbrukbart sikkerhetsfundament på alliansenivå. Den gjør det mulig å bygge kvalifiserte NATO RESTRICTED-systemer med godkjente AWS-tjenester i regioner i NATO-land, og gir nasjonale akkrediteringsmyndigheter et felles utgangspunkt. 1721

Den overstyrer ikke nasjonale suverenitetskrav og fjerner ikke behovet for systemspesifikk godkjenning. For myndigheter og forsvarsleverandører ligger gevinsten i en potensielt raskere og mer ensartet vurdering – ikke i fritak fra sikkerhetsarbeidet hver enkelt utrulling fortsatt krever. 25