Amazon Web Services (AWS) ha obtenido la acreditación NATO RESTRICTED (NR) para su Región Cloud de España y las aprobaciones nacionales necesarias para tratar información clasificada como Difusión Limitada (DL). Según la información facilitada, esta doble autorización permite utilizar infraestructura cloud comercial situada en España para cargas de trabajo sujetas a ambos niveles de clasificación, siempre dentro de los procesos de acreditación que correspondan a cada organización.
Las claves de AWS y la acreditación NATO RESTRICTED en 20 segundos
- La Región AWS Europa (España) cuenta con acreditación NATO RESTRICTED y autorización nacional para Difusión Limitada.
- El proceso ha contado con la participación del Centro Criptológico Nacional y la Oficina Nacional de Seguridad.
- La infraestructura está orientada a organismos públicos, defensa y organizaciones vinculadas a la OTAN.
- Los clientes deberán acreditar sus propios sistemas y aplicaciones antes de trabajar con información clasificada.
- AWS suma estas autorizaciones a certificaciones y evaluaciones de seguridad ya obtenidas en España.
El reconocimiento se produce tras varios años de trabajo entre AWS, el Centro Criptológico Nacional (CCN) y la Oficina Nacional de Seguridad (ONS), organismos dependientes del Centro Nacional de Inteligencia. El objetivo es disponer en territorio español de infraestructura cloud comercial preparada para alojar y procesar determinados datos clasificados bajo requisitos nacionales y de la OTAN.
La acreditación tiene especial interés para organizaciones que necesitan combinar infraestructura cloud con requisitos específicos de seguridad y residencia de los datos. En lugar de construir y mantener una infraestructura dedicada para cada proyecto, las entidades autorizadas podrán partir de una plataforma que ya ha pasado por procesos de evaluación relacionados con estos niveles de información.
Qué permite la acreditación de AWS en España
La autorización para NATO RESTRICTED permite que organismos públicos, fuerzas armadas, empresas del sector defensa y entidades relacionadas con la Alianza desplieguen sistemas clasificados sobre la infraestructura de AWS en España. La acreditación de la región no implica, sin embargo, una autorización automática para cualquier aplicación o carga de trabajo.
Cada organización debe completar los procedimientos de acreditación correspondientes a sus sistemas y aplicaciones. La infraestructura proporciona una base de seguridad previamente evaluada, pero el tratamiento de información clasificada sigue sujeto a los requisitos aplicables al entorno concreto.
Entre los posibles usos se encuentran cargas relacionadas con servicios gubernamentales, defensa, análisis de datos, automatización e inteligencia artificial. La disponibilidad de estos recursos dentro del territorio español también permite reducir la dependencia de infraestructuras construidas específicamente para cada proyecto, según el planteamiento de AWS.
La compañía sitúa además la interoperabilidad como uno de los beneficios de esta autorización. Las organizaciones nacionales y aliadas pueden trabajar sobre una infraestructura común cuando sus respectivos procesos de seguridad y acreditación lo permitan.
Un proceso apoyado en certificaciones previas
La nueva acreditación se suma a un conjunto de evaluaciones y certificaciones de seguridad que AWS ya había obtenido en España. Entre ellas figura la certificación del Esquema Nacional de Seguridad (ENS) en categoría Alta.
AWS también cuenta, según la información facilitada, con 28 servicios y capacidades aprobados dentro del Catálogo de Productos y Servicios de Seguridad de las Tecnologías de la Información y la Comunicación (CPSTIC) del CCN. A esto se añaden evaluaciones específicas relacionadas con la seguridad de los centros de datos y las infraestructuras físicas.
Otro elemento citado en el proceso es el cumplimiento de los requisitos establecidos por la política CCN-STIC-004, relacionada con el tratamiento de información clasificada como Difusión Limitada.
La combinación de estas evaluaciones con la acreditación NATO RESTRICTED permite a AWS ofrecer en España una infraestructura comercial que puede utilizarse para determinados entornos sujetos simultáneamente a requisitos nacionales y de la OTAN. La autorización se refiere a la plataforma y a los servicios incluidos en su alcance, por lo que no equivale a una certificación general de todas las cargas de trabajo que puedan desplegar los clientes.
La dimensión internacional de NATO RESTRICTED
El alcance de la acreditación también va más allá de los organismos españoles. La infraestructura situada en España puede servir como base para cargas de trabajo NATO RESTRICTED de organizaciones de países miembros y socios de la Alianza, siempre de acuerdo con sus procedimientos nacionales y las condiciones aplicables a cada sistema.
Para las organizaciones que trabajan con varios países aliados, disponer de una región cloud acreditada puede simplificar parte del trabajo de cumplimiento. La existencia de una línea base de seguridad ya evaluada permite concentrar los esfuerzos posteriores en los requisitos específicos de cada aplicación y entorno.
Esta posibilidad cobra especial importancia en proyectos de defensa que necesitan compartir información y servicios entre distintas organizaciones. La infraestructura cloud puede proporcionar recursos comunes para aplicaciones que requieren capacidad de cómputo, almacenamiento, análisis de datos o herramientas de inteligencia artificial, siempre que los requisitos de clasificación y acreditación estén cubiertos.
Cloud comercial para cargas de trabajo sensibles
La acreditación de AWS refleja la expansión de los servicios cloud comerciales hacia entornos que tradicionalmente han utilizado infraestructuras dedicadas. En el caso de la Región AWS España, la ubicación física de los centros de datos y las evaluaciones realizadas por las autoridades españolas forman parte del marco sobre el que se apoya la autorización.
Para las administraciones y organizaciones de defensa, el interés está en poder utilizar capacidades cloud sin renunciar a los controles exigidos para información clasificada. Para AWS, el reconocimiento amplía el ámbito de aplicación de su región española hacia cargas de trabajo que requieren requisitos de seguridad más elevados.
El proceso también refuerza el papel de España dentro de la estrategia cloud de organizaciones públicas y de defensa. La disponibilidad de una región comercial acreditada dentro del país ofrece una alternativa para proyectos que necesitan infraestructura local y cumplimiento de requisitos asociados tanto a la normativa española como a los marcos de la OTAN.
La autorización, en cualquier caso, no elimina la necesidad de evaluar cada proyecto. Las organizaciones que pretendan utilizar información NATO RESTRICTED o Difusión Limitada tendrán que cumplir sus propios procedimientos de acreditación y las condiciones establecidas para el sistema concreto.
Preguntas frecuentes
¿Qué acreditación ha obtenido AWS en España?
La Región AWS Europa (España) ha obtenido la acreditación NATO RESTRICTED (NR) y las aprobaciones nacionales necesarias para tratar información clasificada como Difusión Limitada (DL), según la información facilitada.
¿Quién ha participado en el proceso de acreditación?
El proceso se ha desarrollado durante varios años con la participación de AWS, el Centro Criptológico Nacional y la Oficina Nacional de Seguridad, organismos dependientes del Centro Nacional de Inteligencia.
¿Pueden las empresas utilizar automáticamente esta infraestructura para información clasificada?
No. La acreditación de la región proporciona una infraestructura autorizada, pero cada organización debe completar los procesos de acreditación específicos de sus sistemas y aplicaciones.
¿Qué otros requisitos de seguridad tenía AWS en España?
La información facilitada cita la certificación ENS en categoría Alta, 28 servicios y capacidades incluidos en el CPSTIC del CCN y evaluaciones específicas sobre centros de datos e infraestructura física, además del cumplimiento de requisitos de la política CCN-STIC-004.
