AWS obtiene la primera aprobación a nivel de la OTAN para cargas de trabajo en la nube RESTRICTED

Amazon Web Services es el primer proveedor de nube cuyas capacidades en la nube fueron aprobadas para su uso por todas las naciones miembros de la OTAN al manejar información en el nivel NATO RESTRICTED (NR), la compañía anunció el 22 de septiembre de 2026.

La OTAN, sus socios de la industria de defensa y todas las naciones miembros de la OTAN ahora pueden utilizar los servicios aprobados de AWS para manejar cargas de trabajo NATO RESTRICTED en cualquier Región de AWS ubicada en una nación miembro de la OTAN. Actualmente, AWS cuenta con 15 regiones en naciones miembros de la OTAN, siete de las cuales se encuentran en la Europa continental.

Proceso de aprobación bajo la directiva D32 de la OTAN

Para obtener la aprobación, AWS documentó su cumplimiento con la D32, la directiva técnica de la OTAN que establece los requisitos de seguridad para el manejo de información NR en la nube pública. Como parte del proceso, las capacidades de AWS fueron evaluadas por el Centro Nacional de Criptología de España (CCN), y la OTAN las aprobó y publicó para todos los aliados de la OTAN.

Para la acreditación NR, la OTAN delega el proceso a una nación miembro de la OTAN y/o a la Agencia de Comunicaciones e Información de la OTAN (NCIA) como nación anfitriona de la OTAN. Los servicios de AWS ahora pueden usarse al construir sistemas compatibles con NR en cualquier Región de AWS ubicada en una nación miembro de la OTAN.

AWS declaró que, con la aprobación ahora publicada en toda la Alianza, los miembros y socios de la OTAN heredan una base de seguridad común y preevaluada que ayudará a reducir el tiempo, el esfuerzo y el costo de cumplir con las obligaciones de seguridad y cumplimiento. La compañía señaló que los aliados de la OTAN también contarán con una vía acelerada para acreditar a AWS mediante su proceso nacional oficial.

Dylan Browne, director general de la NCIA, dijo que fortalecer la capacidad de la OTAN para aprovechar de forma segura la tecnología comercial es clave para construir una Alianza más resiliente y ágil. “La disponibilidad de productos comerciales que cumplen con los requisitos de seguridad de la OTAN amplía las opciones tecnológicas disponibles para la Alianza y respalda nuestra capacidad de adoptar tecnologías modernas mientras mantenemos la seguridad y la resiliencia de las que dependen nuestras operaciones”, afirmó Browne.

David Appel, vicepresidente interino del sector público mundial en AWS, lo calificó como una aprobación sin precedentes y “la culminación de un esfuerzo sostenido de varios años”. Appel afirmó que la decisión refleja el compromiso de AWS de ayudar a los clientes y socios de defensa, sector público y afiliados a la OTAN a cumplir sus misiones críticas, y que AWS continuará trabajando para proporcionar la interoperabilidad que las naciones aliadas necesitan para reforzar su resiliencia y proteger a sus ciudadanos.

Arquitectura Trusted Secure Enclave

AWS identificó el AWS Trusted Secure Enclave – Sensitive Edition (TSE-SE) como la base del anuncio y dirigió a los clientes de seguridad nacional y defensa a la arquitectura.

Según la guía publicada por AWS, TSE-SE es un diseño multi‑cuenta en AWS para cargas de trabajo sensibles en seguridad nacional, defensa y aplicación de la ley a nivel nacional. La guía aborda la gestión central de identidad y acceso, la gobernanza, la seguridad de datos, el registro integral y el diseño y segmentación de la red.

Según el diseño, múltiples cuentas de AWS controladas por una única entidad cliente se agrupan dentro de AWS Organizations, y las políticas de control de servicio actúan como barreras que deniegan operaciones de API específicas o categorías completas a nivel de cuenta, unidad organizativa u organización. Estas políticas pueden usarse para garantizar que las cargas de trabajo se implementen solo en las regiones de AWS prescritas o para negar el acceso a servicios específicos de AWS.

AWS Key Management Service, usando claves gestionadas por el cliente, cifra los datos en reposo con cifrado validado por FIPS 140‑2 en los servicios de almacenamiento, incluidos los buckets de Amazon Simple Storage Service, los volúmenes de Amazon Elastic Block Store y las bases de datos de Amazon Relational Database Service, y protege los datos en tránsito mediante TLS 1.2 o superior. El inicio de sesión único centralizado se proporciona a través de IAM Identity Center, con autenticación multifactor que admite aplicaciones autenticadoras, llaves de seguridad y dispositivos WebAuthn, FIDO2 y Universal 2nd Factor (U2F).

La arquitectura prescribe la recopilación y centralización integral de registros en todos los servicios y cuentas de AWS. AWS CloudTrail funciona a nivel organizacional para proporcionar una auditoría completa del plano de control, mientras que Amazon CloudWatch captura registros del sistema operativo, aplicaciones, flujo de VPC y del Sistema de nombres de dominio (DNS) que se centralizan y ponen a disposición solo del personal de seguridad definido. Los controles de seguridad detectivesca se activan en cada cuenta, incluidos Amazon GuardDuty, AWS Security Hub, AWS Config, AWS Firewall Manager, Amazon Macie, IAM Access Analyzer y alarmas de CloudWatch, con la visibilidad delegada a una única cuenta central de herramientas de seguridad. La cuenta de seguridad recibe acceso de solo lectura en toda la organización para apoyar la investigación durante un incidente.

El aislamiento de red se construye con nubes privadas virtuales implementadas mediante Amazon Virtual Private Cloud (Amazon VPC) y centralizadas en una cuenta de red compartida. La conectividad con entornos locales, la salida a Internet, los recursos compartidos y las API de AWS se medían en un punto central a través de AWS Transit Gateway, AWS Site-to-Site VPN y AWS Direct Connect, según corresponda. El diseño envuelve cada instancia o componente en un firewall con estado aplicado en el hardware del sistema AWS Nitro, impidiendo el movimiento lateral entre aplicaciones, entre capas dentro de una aplicación y entre nodos dentro de una capa, salvo que se permita explícitamente, y se evita el enrutamiento entre los entornos de desarrollo, prueba y producción.

AWS informó que más de 15 000 clientes gubernamentales utilizan sus servicios. La compañía indicó que los clientes de seguridad nacional y defensa pueden acceder directamente a TSE‑SE, y que los clientes pueden trabajar con sus equipos de cuentas de AWS para comprender cómo la aprobación NR y la arquitectura se aplican a sus casos de uso.