AWS z ogólnosojuszniczą zgodą NATO na chmurę dla danych NATO RESTRICTED

AWS uzyskał zgodę obowiązującą w całym Sojuszu na korzystanie z jego możliwości chmurowych przy przetwarzaniu informacji o klauzuli NATO RESTRICTED. Firma twierdzi, że jako pierwsza otrzymała takie zatwierdzenie dla wszystkich 32 państw członkowskich NATO. W praktyce oznacza to, że struktury NATO, rządy państw sojuszniczych oraz partnerzy przemysłu obronnego mogą korzystać z zatwierdzonych usług AWS dla kwalifikujących się obciążeń NATO RESTRICTED w Regionach AWS zlokalizowanych w państwach NATO. 1721

Najważniejsze zastrzeżenie: nie jest to blankietowa zgoda na przeniesienie do chmury dowolnego systemu, danych czy usługi. Władze krajowe nadal mogą wymagać własnych zgód i dodatkowych kontroli bezpieczeństwa. Każdy system musi też korzystać wyłącznie z usług objętych zakresem zatwierdzenia oraz przejść właściwy proces akredytacji. 25

Czym jest NATO RESTRICTED

NATO RESTRICTED to najniższy poziom informacji niejawnych w systemie NATO. Obejmuje materiały, których nie można podać do wiadomości publicznej, ponieważ ich ujawnienie mogłoby zaszkodzić interesom lub operacjom Sojuszu. 24

Nowa decyzja nie oznacza, że zatwierdzona jest każda usługa AWS ani że dane można umieszczać w dowolnej lokalizacji firmy. Zakres obejmuje zatwierdzone usługi działające w Regionach położonych na terytorium państw członkowskich NATO. 1721

Jak AWS uzyskał zatwierdzenie

AWS udokumentował zgodność z techniczną dyrektywą NATO D32, która określa wymagania bezpieczeństwa dla przetwarzania informacji NATO RESTRICTED w chmurze publicznej. Możliwości AWS oceniło hiszpańskie Narodowe Centrum Kryptologiczne — CCN (Centro Criptológico Nacional). Następnie NATO zatwierdziło wynik i opublikowało go dla całego Sojuszu. 21

Ma to znaczenie, ponieważ ocena zabezpieczeń po stronie dostawcy chmury została przeniesiona do wspólnych ram NATO. W przypadku akredytacji na poziomie NATO RESTRICTED NATO może powierzyć prowadzenie procesu państwu członkowskiemu albo NATO Communications and Information Agency (NCIA), czyli agencji NATO odpowiedzialnej za systemy łączności i informacji, działającej jako państwo-gospodarz NATO. 21

Innymi słowy, AWS stworzył bazę ocenioną na poziomie dostawcy. Nie dostał automatycznej zgody na każdy system realizujący zadania obronne.

Co wspólna baza zmienia dla państw NATO

AWS informuje, że prowadzi 15 Regionów w państwach NATO, z czego siedem znajduje się w kontynentalnej Europie. 2136

Wspólna, wcześniej oceniona baza zabezpieczeń może pozwolić administracji danego państwa uniknąć powtarzania znacznej części podstawowej oceny mechanizmów chmurowych przy własnej akredytacji. To potencjalnie ogranicza dublowanie pracy, czas procedur i wysiłek związany ze zgodnością. Ostateczna decyzja pozostaje jednak po stronie właściwego organu krajowego. 2536

Warto rozróżnić trzy poziomy decyzji:

• zatwierdzenie dostawcy dotyczy ocenionych możliwości i zabezpieczeń chmury AWS;
• akredytacja krajowa dotyczy wymogów prawnych, bezpieczeństwa, suwerenności i eksploatacji w konkretnym państwie;
• autoryzacja systemu dotyczy wybranego obciążenia, architektury, danych, użytkowników i konkretnych usług.

Właśnie dlatego decyzja jest istotna, ale nie odbiera państwom kontroli nad własnymi wymogami bezpieczeństwa.

Znaczenie dla rynku chmury obronnej

Dla AWS jest to mocna pozycja wyjściowa w projektach modernizacji cyfrowej NATO i europejskich sił zbrojnych. Decyzja pokazuje, że komercyjny dostawca chmury publicznej może spełnić wspólny próg bezpieczeństwa NATO dla chronionych obciążeń. Jednocześnie rządy europejskie nadal będą odrębnie oceniać kwestie lokalizacji danych, autonomii operacyjnej, zamówień publicznych i wymogów suwerennościowych.

To przewaga konkurencyjna w przetargach obronnych, a nie gwarancja kontraktów czy zgody na wdrożenie. Microsoft, Google, dostawcy regionalni i rozwiązania chmury prywatnej nadal mogą konkurować, jeśli spełnią warunki techniczne, handlowe i związane z bezpieczeństwem narodowym danego klienta. Wspólna baza NATO zmniejsza przede wszystkim jedną barierę: konieczność odrębnego wykazywania wiarygodności dostawcy dla użycia na poziomie NATO RESTRICTED.

Komercyjna chmura w modernizacji NATO

Decyzja sygnalizuje również gotowość NATO do stosowania dostępnych komercyjnie technologii, gdy spełniają one wymagania bezpieczeństwa Sojuszu. Według komunikatu AWS rezultat poszerza wybór narzędzi dla NATO, państw członkowskich i partnerów przemysłu obronnego, którzy przetwarzają kwalifikujące się chronione obciążenia. 17

Jest to szczególnie istotne dla organizacji potrzebujących skalowalnej mocy obliczeniowej, platform danych, analityki albo nowoczesnej infrastruktury aplikacyjnej, ale działających w ograniczeniach bezpieczeństwa NATO. Podejście oparte na D32 nie traktuje chmury publicznej jako rozwiązania z definicji wykluczonego z obszaru obronności — określa natomiast warunki, które dostawca musi spełnić.

Element szerszej strategii AWS dla środowisk niejawnych

Zgoda dotycząca NATO RESTRICTED uzupełnia ofertę AWS przeznaczoną dla bardziej wrażliwych, amerykańskich obciążeń rządowych i obronnych. Usługa AWS Secret Cloud for Industry pozwala amerykańskim wykonawcom obronnym z odpowiednimi poświadczeniami oraz innym organizacjom amerykańskiego National Industrial Security Program uruchamiać własne obciążenia niejawne bezpośrednio w AWS. Ma to zastępować kosztowną, należącą do wykonawców infrastrukturę lokalną modelem rozliczanym według użycia. AWS wskazuje, że środowisko obsługuje m.in. generatywną AI, uczenie maszynowe i obliczenia wysokiej wydajności. 2

Oba rozwiązania wpisują się w strategię skierowaną zarówno do instytucji państwowych, jak i do przemysłowej bazy obronnej: AWS chce obsługiwać chronione obciążenia związane z NATO w Regionach na terytorium państw Sojuszu, a równolegle oferować odrębne środowiska dla amerykańskich misji niejawnych.

Wniosek

Zatwierdzenie AWS dla NATO RESTRICTED należy rozumieć jako możliwą do ponownego wykorzystania, ogólnosojuszniczą podstawę bezpieczeństwa. Uprawnieni użytkownicy mogą budować systemy dla tego poziomu klasyfikacji z użyciem zatwierdzonych usług AWS w Regionach państw NATO, a krajowe organy akredytacyjne otrzymują wspólny punkt startowy. 1721

Decyzja nie uchyla krajowych wymogów suwerennościowych i nie eliminuje autoryzacji specyficznej dla danego systemu. Dla rządów i dostawców sektora obronnego oznacza przede wszystkim szansę na szybszą oraz bardziej spójną ocenę, a nie zwolnienie z procedur bezpieczeństwa wymaganych przy każdym wdrożeniu. 25