Servicios web de Amazon se ha convertido en el primer proveedor de servicios en la nube en obtener la aprobación para manejar información restringida por la OTAN en todos los estados miembros de la alianza, y el camino hacia esta aprobación no pasó por las propias oficinas de la OTAN sino por Madrid.
AWS ha documentado su cumplimiento con D32, el directiva técnica de la OTAN que define los requisitos de seguridad para el manejo de información Restringida de la OTAN (NR) en la nube pública, y el Centro Criptológico Nacional (CCN) de España ha evaluado sus servicios según esa directiva.
Luego, la OTAN aprobó los hallazgos y los puso a disposición de todos sus aliados. AWS afirma que los servicios aprobados ahora se pueden utilizar para construir sistemas con capacidad NR en cualquiera de sus regiones ubicadas en países de la OTAN, y tiene 15 de esas regiones, siete de las cuales están en Europa continental.
Una segunda autorización se obtuvo como resultado de la fase española, ya que AWS informó que tanto el CCN como la Oficina de Seguridad Nacional (ONS), que forma parte del Centro Nacional de Inteligencia (CNI) de España, también habían dado su aprobación para que la región Europa (España) de AWS manejara información clasificada como “Difusión Limitada” (DL), el equivalente español de OTAN Restringida.
Los centros de datos de esa región están ubicados en Aragón.
Implicó varias etapas de certificación. AWS ya había obtenido la certificación del Esquema Nacional de Seguridad (ENS) de España al máximo nivel “Alto” y 28 de sus servicios y funcionalidades de seguridad, como los de computación EC2 y almacenamiento S3, habían sido aprobados en el catálogo de productos de seguridad homologados del CCN.
Además, la empresa cumplió con los requisitos específicos de información de DL especificados en la política CCN-STIC-004 y por el ONS, lo que requirió una evaluación de seguridad de sus centros de datos.
La aprobación se aplica únicamente a la parte del acuerdo de AWS, no a sus clientes; Las organizaciones del sector público y de defensa acreditadas en España ahora pueden ejecutar cargas de trabajo de DL y NR en la región española.
Sin embargo, aún deben tener sus propios sistemas operando en esa infraestructura, acreditados de acuerdo con la misma política CCN-STIC-004 y requisitos del ONS.
Dado que la OTAN asigna la acreditación NR a los países miembros, así como a su Agencia de Información y Comunicaciones (NCIA), cada gobierno continúa gestionando su propio proceso nacional.
La compañía dice que la aprobación de toda la alianza les proporciona una base de seguridad común previamente evaluada y un camino más rápido a través de ese proceso, reduciendo así el tiempo y el costo del cumplimiento.
“Fortalecer la capacidad de la OTAN para aprovechar de forma segura la tecnología comercial es clave para construir una Alianza más resiliente y ágil.
La disponibilidad de productos comerciales que cumplen con los requisitos de seguridad de la OTAN amplía las opciones tecnológicas disponibles para la Alianza y respalda nuestra capacidad de adoptar tecnologías modernas manteniendo al mismo tiempo la seguridad y la resiliencia de las que dependen nuestras operaciones”, dijo Dylan Browne, director general de la Agencia de Información y Comunicaciones de la OTAN (NCIA).
La autorización se aplica en toda la Alianza; el papeleo que necesita cada gobierno que desee utilizarlo sigue siendo propiedad de ese gobierno.