AWS blir först med Nato-godkännande för RESTRICTED-arbetslaster i alla 32 medlemsländer

AWS har fått ett alliansomfattande godkännande för molnkapacitet som kan användas för information på nivån NATO RESTRICTED. Därmed är bolaget den första molnleverantören med ett sådant godkännande för samtliga Natos 32 medlemsländer. I praktiken innebär det att Nato-organ, medlemsländernas myndigheter och försvarsindustrins partner kan använda godkända AWS-tjänster för berättigade NATO RESTRICTED-arbetslaster i AWS-regioner som ligger i Natoländer. 1721

Men det är viktigt att inte övertolka beskedet: godkännandet är inte ett generellt klartecken för alla tjänster, system, kunder eller installationer. Nationella myndigheter kan fortfarande kräva egna godkännanden och ytterligare säkerhetskontroller. Varje system måste dessutom använda tjänster inom den godkända omfattningen och genomgå den ackreditering som krävs. 25

Vad innebär NATO RESTRICTED?

NATO RESTRICTED är alliansens lägsta nivå för skyddsklassificerad information. Den omfattar uppgifter som inte kan offentliggöras eftersom ett röjande kan skada Natos intressen eller operationer. 24

För en myndighet eller försvarsleverantör betyder AWS-beslutet att man kan utgå från leverantörens redan granskade molnkapacitet i stället för att börja helt från början med bedömningen av själva molnplattformen. Det betyder däremot inte att alla AWS-tjänster är godkända, eller att data får placeras i vilken AWS-region som helst. Omfattningen gäller godkända tjänster i regioner belägna i Natoländer. 1721

Så fick AWS godkännandet

AWS uppger att bolaget dokumenterade sin överensstämmelse med Natos tekniska direktiv D32, som anger säkerhetskraven för hantering av NATO RESTRICTED-information i publika molnmiljöer. AWS kapacitet granskades av Spaniens nationella kryptologicentrum, CCN. Nato godkände därefter och publicerade resultatet för hela alliansen. 21

För ackrediteringar på NATO RESTRICTED-nivå kan Nato delegera processen till en medlemsstat eller till Natos kommunikations- och informationsbyrå, NCIA, i rollen som Nato-värdland. 21

Det centrala är alltså att AWS har etablerat en gemensam grundnivå för leverantörens säkerhetskontroller. Det är inte samma sak som att varje försvars- eller missionssystem automatiskt har blivit godkänt.

15 AWS-regioner i Natoländer

AWS uppger att företaget har 15 regioner i Natoländer, inklusive sju på Europas fastland. 2136

Den gemensamma, förhandsgranskade baslinjen kan göra att en nationell myndighet slipper upprepa stora delar av den grundläggande kontrollen av molnleverantören i sin egen ackrediteringsprocess. Det kan minska dubbelarbete, ledtider och kostnader för regelefterlevnad – men det slutliga beslutet ligger fortsatt hos respektive nationell myndighet. 2536

Skillnaden mellan nivåerna är praktiskt viktig:

• Leverantörsgodkännandet gäller AWS granskade molnkapacitet och säkerhetskontroller.
• Nationell ackreditering gäller landets egna juridiska, säkerhetsmässiga, suveränitetsrelaterade och operativa krav.
• Systemgodkännandet gäller den konkreta arbetslasten: arkitektur, data, användare och valda tjänster.

Det är denna modell i flera lager som gör godkännandet betydelsefullt utan att minska medlemsländernas kontroll.

Ett viktigt steg på försvarsmolnmarknaden

Beslutet stärker AWS position i Natos och Europas modernisering av försvars-IT. Det visar att en kommersiell leverantör av publika molntjänster kan uppfylla en gemensam säkerhetströskel för skyddade Nato-arbetslaster.

Samtidigt fortsätter europeiska regeringar att väga in krav på dataresidens, operativ självständighet, upphandling och digital suveränitet. Godkännandet är därför en konkurrensfördel i försvarsmolnprojekt, inte en garanti för kontrakt eller driftsättning. Microsoft, Google, regionala leverantörer och privata moln kan fortfarande konkurrera där de uppfyller kundens tekniska, kommersiella och nationella säkerhetskrav.

Det AWS nu har fått är framför allt en minskad tröskel i en avgörande del av processen: en gemensam försäkran om leverantörens säkerhetsnivå för NATO RESTRICTED-användning.

Kommersiellt moln får större roll i Nato

Godkännandet signalerar också att Nato är berett att använda kommersiellt tillgänglig teknik när den uppfyller alliansens säkerhetskrav. Enligt AWS utökar beslutet alternativen för Nato, medlemsländerna och försvarsindustrins partner att hantera berättigade skyddade arbetslaster. 17

Det kan vara relevant för organisationer som behöver skalbar datorkraft, dataplattformar, analys eller modern applikationsinfrastruktur inom ramen för Natos säkerhetskrav. D32-modellen utgår inte från att publika moln i sig är olämpliga för försvarsverksamhet, utan anger vilka kontroller en leverantör måste uppfylla.

Del av AWS bredare satsning på klassificerade miljöer

NATO RESTRICTED-godkännandet kompletterar AWS erbjudanden för känsligare amerikanska myndighets- och försvarsarbetslaster. Med AWS Secret Cloud for Industry kan säkerhetsprövade amerikanska försvarsentreprenörer och andra organisationer inom National Industrial Security Program köra egna klassificerade arbetslaster direkt på AWS. Enligt AWS ersätter det kapitalintensiv, egenägd lokal infrastruktur med en molnmodell där kunden betalar efter användning. Miljön stöder bland annat generativ AI, maskininlärning och högpresterande beräkningar. 2

Tillsammans visar erbjudandena en strategi som riktar sig både till myndigheter och till försvarsindustrin: stöd för skyddade Nato-relaterade arbetslaster i AWS-regioner i medlemsländerna, och separata amerikanska miljöer för klassificerade uppdrag.

Slutsats

AWS godkännande för NATO RESTRICTED bör ses som en återanvändbar säkerhetsgrund på alliansnivå. Det ger kvalificerade användare möjlighet att bygga NATO RESTRICTED-system med godkända AWS-tjänster i regioner i Natoländer och ger nationella ackrediterare en gemensam utgångspunkt. 1721

Det upphäver däremot inte krav på nationell suveränitet och eliminerar inte prövningen av varje enskilt system. För regeringar och försvarsleverantörer handlar möjligheten om snabbare och mer enhetlig utvärdering – inte om ett undantag från det säkerhetsarbete som varje driftsättning fortfarande kräver. 25