AWS’nin NATO RESTRICTED onayı neyi mümkün kılıyor, neyi mümkün kılmıyor?

AWS, NATO RESTRICTED seviyesindeki bilgilerin işlenmesinde kullanılacak bulut yetenekleri 32 NATO üyesinin tamamında onaylanan ilk bulut sağlayıcısı olduğunu duyurdu. Bunun pratik karşılığı şu: NATO kurumları, müttefik ülkelerin kamu kuruluşları ve savunma sanayii ortakları; uygun NATO RESTRICTED iş yüklerini, NATO üyesi ülkelerde bulunan AWS Bölgelerindeki onaylı AWS hizmetlerinde çalıştırabilecek. 1721

Ancak bu karar, her uygulama veya her ülke için otomatik kullanım izni anlamına gelmiyor. Her ülkenin yetkili makamı ek güvenlik kontrolleri ve kendi onayını isteyebilir. Ayrıca her sistemin, onay kapsamındaki hizmetleri kullanması ve ilgili akreditasyon sürecini tamamlaması gerekiyor. 25

NATO RESTRICTED seviyesi nedir?

NATO RESTRICTED, İttifakın en düşük gizlilik derecesi. Açıklanması hâlinde NATO’nun çıkarlarına ya da operasyonlarına zarar verebilecek, bu nedenle kamuya açık olmaması gereken bilgileri kapsıyor. 24

Bu onay, kurumların söz konusu iş yükleri için AWS’yi değerlendirmeye alırken bulut sağlayıcısının güvenlik incelemesine sıfırdan başlamak zorunda kalmayabileceği anlamına geliyor. Fakat tüm AWS hizmetleri onaylanmış değil ve veriler herhangi bir AWS konumuna taşınamıyor. Açıklanan kapsam, NATO üyesi ülkelerde yer alan AWS Bölgelerindeki onaylı hizmetlerle sınırlı. 1721

AWS onayı nasıl aldı?

AWS, NATO RESTRICTED bilgilerin genel bulut ortamlarında işlenmesine ilişkin güvenlik gereksinimlerini belirleyen NATO teknik direktifi D32 ile uyumunu belgelendirdi. İspanya’nın Ulusal Kriptoloji Merkezi (CCN) AWS’nin yeteneklerini değerlendirdi; NATO da sonucu tüm İttifak için onaylayıp yayımladı. 21

Bu süreçte sağlayıcı düzeyindeki bulut kontrollerinin değerlendirmesi ortak bir NATO çerçevesine taşınmış oluyor. NATO RESTRICTED akreditasyonlarında NATO, süreci bir üye ülkeye veya NATO ev sahibi ülke rolüyle hareket eden NATO İletişim ve Bilgi Ajansı’na (NCIA) devredebiliyor. 21

Dolayısıyla AWS’nin aldığı karar, her görev sistemi için verilmiş genel bir yetki değil. Daha sonraki sistem ve ülke bazlı akreditasyon kararlarının üzerine kurulabileceği bir sağlayıcı güvenlik tabanı oluşturuyor.

Ülkeler açısından ne değişiyor?

AWS, NATO ülkelerinde 15 Bölge işlettiğini; bunların yedinin Avrupa ana karasında bulunduğunu belirtiyor. 2136

Ortak ve önceden değerlendirilmiş bu güvenlik tabanı, bir üye ülkenin kendi akreditasyonunda temel bulut kontrollerini baştan inceleme ihtiyacını azaltabilir. Bu da süreyi, tekrarlanan çalışmayı ve uyum yükünü düşürebilir. Yine de nihai ulusal akreditasyon kararı ilgili makamda kalıyor. 2536

Savunma ekipleri için ayrım üç katmanda özetlenebilir:

• Sağlayıcı onayı: Değerlendirilen AWS bulut yetenekleri ve kontrolleriyle ilgilidir.
• Ulusal akreditasyon: Bir ülkenin hukuk, güvenlik, egemenlik ve operasyon gereksinimlerini ele alır.
• Sistem yetkilendirmesi: Belirli iş yükünü, mimariyi, veriyi, kullanıcıları ve seçilen hizmetleri kapsar.

Bu katmanlı yapı, kararın neden önemli olduğunu ama ulusal denetimi neden ortadan kaldırmadığını açıklıyor.

Savunma bulutu pazarındaki stratejik anlamı

Onay, AWS’ye NATO ve Avrupa’daki savunma modernizasyonu çalışmalarında dikkat çekici bir konum kazandırıyor. Karar, ticari bir genel bulut sağlayıcısının korunan NATO iş yükleri için İttifak çapında ortak bir güvenlik eşiğini karşılayabildiğini gösteriyor.

Bununla birlikte Avrupa’daki kamu kurumları veri yerleşimi, operasyonel özerklik, satın alma koşulları ve dijital egemenlik gibi başlıkları değerlendirmeyi sürdürüyor. Bu nedenle onay, savunma bulutu fırsatlarında AWS için rekabet avantajı yaratabilir; fakat sözleşme kazanımını ya da belirli bir dağıtımın onaylanmasını garanti etmez. Microsoft, Google, bölgesel sağlayıcılar ve özel bulut seçenekleri, müşterinin teknik, ticari ve ulusal güvenlik koşullarını karşılamaları hâlinde rekabette yer almayı sürdürebilir.

NATO’nun bulut modernizasyonunda ticari hizmetlerin yeri

Karar aynı zamanda NATO’nun, güvenlik koşullarını karşılayan ticari teknolojileri kullanmaya açık olduğuna işaret ediyor. AWS’nin açıklamasına göre bu sonuç, NATO, üye ülkeler ve savunma sanayii ortakları için uygun korumalı iş yüklerini yürütmede seçenekleri genişletiyor. 17

Bu, NATO güvenlik kısıtları altında ölçeklenebilir işlem gücü, veri platformları, analitik veya modern uygulama altyapısına ihtiyaç duyan kurumlar açısından önemli. D32 tabanlı yaklaşım, genel bulutu savunma ortamı için peşinen uygunsuz görmek yerine, bir sağlayıcının değerlendirilebilmesi için gereken kontrolleri tanımlıyor.

AWS’nin sınıflandırılmış bulut stratejisindeki yeri

NATO RESTRICTED onayı, AWS’nin ABD’de daha hassas kamu ve savunma iş yüklerine yönelik ayrı çözümlerinin yanında konumlanıyor. AWS Secret Cloud for Industry, güvenlik izni bulunan ABD savunma yüklenicileri ile Ulusal Endüstriyel Güvenlik Programı kapsamındaki diğer kuruluşların, kendi sınıflandırılmış iş yüklerini doğrudan AWS üzerinde çalıştırmasına imkân veriyor. AWS’ye göre bu yaklaşım, sermaye yoğun kurum içi altyapının yerine kullandıkça öde bulut modelini koyuyor; üretken yapay zekâ, makine öğrenmesi ve yüksek başarımlı hesaplama gibi yetenekleri de destekliyor. 2

Bu iki alan birlikte değerlendirildiğinde AWS’nin yaklaşımı netleşiyor: NATO üyesi ülkelerdeki Bölgelerde korunmuş NATO bağlantılı iş yüklerini desteklemek ve ABD’deki sınıflandırılmış görevler için ayrı ortamlar sağlamak.

Sonuç

AWS’nin NATO RESTRICTED onayı, yeniden kullanılabilir, İttifak düzeyinde bir güvenlik temeli olarak okunmalı. Uygun kullanıcıların, NATO üyesi ülkelerdeki Bölgelerde onaylı AWS hizmetleriyle NATO RESTRICTED sistemleri kurabilmesini sağlıyor ve ulusal akreditasyon makamlarına ortak bir başlangıç noktası sunuyor. 1721

Ancak karar, ulusal egemenlik gereksinimlerini geçersiz kılmıyor veya sistem özelindeki yetkilendirmeleri kaldırmıyor. Kamu kurumları ve savunma tedarikçileri için temel kazanım güvenlik süreçlerinden muafiyet değil; her dağıtıma eşlik eden incelemelerin daha hızlı ve daha tutarlı yürütülmesi potansiyeli. 25