Amazon Web Services (AWS) a obtenu la certification NATO RESTRICTED (NR) pour sa région cloud en Espagne, ainsi que les approbations nationales nécessaires pour traiter des informations classifiées comme Diffusion Limitée (DL). Selon les informations fournies, cette double autorisation permet d’utiliser une infrastructure cloud commerciale située en Espagne pour des charges de travail soumises à ces deux niveaux de classification, dans le respect des processus d’accréditation propres à chaque organisation.

Les clés d’AWS et de la certification NATO RESTRICTED en 20 secondes

• La Région AWS Europe (Espagne) détient la certification NATO RESTRICTED et une approbation nationale pour la Diffusion Limitée.
• Le processus a impliqué le Centre National de la Cybersécurité (CCN) et l’Office National de la Sécurité (ONS).
• L’infrastructure est destinée aux organismes publics, à la défense et aux organisations liées à l’OTAN.
• Les clients doivent certifier leurs propres systèmes et applications avant de traiter des informations classifiées.
• AWS combine ces autorisations avec des certifications et évaluations de sécurité déjà obtenues en Espagne.

Ce reconnaissance intervient après plusieurs années de collaboration entre AWS, le Centre National de la Cybersécurité (CCN) et l’Office National de la Sécurité (ONS), organismes dépendants du Centre National de Intelligence. L’objectif est de disposer en territoire espagnol d’une infrastructure cloud commerciale prête à héberger et traiter certains données classifiées selon les exigences nationales et de l’OTAN.

Cette certification est particulièrement intéressante pour les organisations ayant besoin de combiner infrastructure cloud avec des exigences spécifiques de sécurité et de résidence des données. Plutôt que de construire et maintenir une infrastructure dédiée pour chaque projet, les entités autorisées peuvent utiliser une plateforme déjà évaluée selon ces standards.

Ce que permet la certification AWS en Espagne

L’autorisation NATO RESTRICTED autorise les organismes publics, forces armées, entreprises du secteur défense et entités liées à l’Alliance à déployer des systèmes classifiés sur l’infrastructure AWS en Espagne. Cependant, cette certification régionale ne confère pas automatiquement une autorisation pour toutes applications ou charges de travail.

Chaque organisation doit suivre ses propres processus d’accréditation pour ses systèmes et applications. L’infrastructure offre une base de sécurité préalablement évaluée, mais le traitement d’informations classifiées reste soumis aux exigences spécifiques de chaque contexte.

Les usages possibles incluent des charges liées aux services gouvernementaux, à la défense, à l’analyse de données, à l’automatisation et à l’intelligence artificielle. Disposer de ressources dans le territoire espagnol permet aussi de réduire la dépendance aux infrastructures dédiées pour chaque projet, selon la vision d’AWS.

L’interopérabilité est également mise en avant comme un avantage. Les organisations nationales et alliées peuvent œuvrer sur une infrastructure commune lorsque leurs processus de sécurité et d’accréditation le permettent.

Un processus basé sur des certifications antérieures

Cette nouvelle certification s’ajoute à une série d’évaluations et certifications de sécurité qu’AWS avait déjà obtenues en Espagne, notamment la certification du Cadre National de Sécurité (ENS) en catégorie Élevée.

D’après les informations, AWS dispose aussi de 28 services et capacités agréés dans le Catalogue des Produits et Services de Sécurité des Technologies de l’Information et de la Communication (CPSTIC) du CCN. S’y ajoutent des évaluations spécifiques concernant la sécurité des centres de données et des infrastructures physiques.

Une autre étape importante concerne la conformité aux exigences de la politique CCN-STIC-004, en lien avec le traitement d’informations classifiées comme Diffusion Limitée.

En combinant ces évaluations avec la certification NATO RESTRICTED, AWS peut proposer en Espagne une infrastructure commerciale utilisable pour des environnements soumis à la fois aux exigences nationales et celles de l’OTAN. Toutefois, cette autorisation concerne la plateforme et les services dans son périmètre, sans constituer une certification globale de toutes les charges de travail que peuvent déployer ses clients.

L’aspect international de NATO RESTRICTED

L’étendue de cette certification dépasse également le cadre espagnol. L’infrastructure déployée en Espagne peut servir de base pour des charges NATO RESTRICTED provenant d’organisations des pays membres et partenaires de l’Alliance, conformément à leurs procédures et conditions propres.

Pour les organisations œuvrant avec plusieurs pays alliés, disposer d’une région cloud certifiée peut faciliter la conformité. Une ligne de sécurité déjà évaluée permet de concentrer les efforts sur les exigences spécifiques à chaque application ou environnement.

Ce dispositif est particulièrement pertinent pour les projets de défense nécessitant le partage d’informations et de services entre différentes entités. L’infrastructure cloud peut assurer des ressources communes pour des applications demandant capacité de calcul, stockage, analyse de données ou outils d’intelligence artificielle, à condition que les exigences de classification et d’accréditation soient remplies.

Un cloud commercial pour des charges sensibles

La certification AWS illustre l’expansion des services cloud commerciaux vers des environnements qui, auparavant, utilisaient principalement des infrastructures dédiées. En Espagne, la localisation des centres de données et les évaluations menées par les autorités locales constituent la base sur laquelle repose cette approbation.

Pour les administrations et les organisations de défense, il s’agit de pouvoir utiliser des capacités cloud sans renoncer aux contrôles stricts liés aux informations classifiées. Pour AWS, cette reconnaissance étend le périmètre de sa région espagnole aux charges de travail nécessitant des exigences de sécurité renforcées.

Ce processus renforce aussi le rôle de l’Espagne dans la stratégie cloud des entités publiques et militaires. Disposer d’une région commerciale certifiée localement constitue une alternative pour les projets exigeant une infrastructure locale et la conformité aux réglementations nationales et de l’OTAN.

Il est toutefois important de noter que cette autorisation ne dispense pas chaque organisation d’évaluer ses propres projets. Toute organisation souhaitant manipuler des informations NATO RESTRICTED ou Diffusion Limitée devra respecter ses propres procédures d’accréditation et conditions spécifiques au système.

Questions fréquemment posées

Quelle certification AWS a été obtenue en Espagne ?

La Région AWS Europe (Espagne) a obtenu la certification NATO RESTRICTED (NR) ainsi que les approbations nationales nécessaires pour traiter des informations classifiées en Diffusion Limitée (DL), selon les informations communiquées.

Qui a participé au processus d’accréditation ?

Le processus a duré plusieurs années avec la participation d’AWS, du Centre National de la Cybersécurité (CCN) et de l’Office National de la Sécurité (ONS), organismes affiliés au Centre National de la Intelligence.

Les entreprises peuvent-elles utiliser automatiquement cette infrastructure pour des informations classifiées ?

Non. La certification régionale offre une infrastructure autorisée, mais chaque organisation doit suivre ses propres démarches d’accréditation pour ses systèmes et applications.

Quels autres exigences de sécurité AWS respectait-elle en Espagne ?

Les informations indiquent la certification ENS en catégorie Élevée, 28 services et capacités approuvés dans le CPSTIC du CCN, ainsi que des évaluations spécifiques concernant la sécurité des centres de données et infrastructures physiques, en plus du respect de la politique CCN-STIC-004.