AWS Mendapatkan Persetujuan NATO Pertama Secara Menyeluruh untuk Beban Kerja Cloud RESTRICTED

Amazon Web Services menjadi penyedia cloud pertama yang kemampuan cloud-nya disetujui untuk digunakan oleh semua negara anggota NATO dalam menangani informasi pada tingkat NATO RESTRICTED (NR), perusahaan tersebut mengumumkan pada 22 September 2026.

NATO, mitra industri pertahanannya, dan semua negara anggota NATO kini dapat menggunakan layanan AWS yang disetujui untuk menangani beban kerja NATO RESTRICTED di wilayah AWS mana pun yang terletak di negara anggota NATO. Saat ini AWS memiliki 15 wilayah di negara anggota NATO, tujuh di antaranya berada di daratan Eropa.

Proses Persetujuan Berdasarkan Arahan D32 NATO

Untuk memperoleh persetujuan, AWS mendokumentasikan kepatuhannya terhadap D32, arahan teknis NATO yang menetapkan persyaratan keamanan untuk menangani informasi NR di cloud publik. Sebagai bagian dari proses tersebut, kemampuan AWS dievaluasi oleh Pusat Kriptografi Nasional Spanyol (CCN), dan NATO menyetujui serta memublikasikannya kepada semua Sekutu NATO.

Untuk akreditasi NR, NATO mendelegasikan proses tersebut kepada negara anggota NATO dan/atau Badan Komunikasi dan Informasi NATO (NCIA) sebagai negara tuan rumah NATO. Layanan AWS kini dapat digunakan saat membangun sistem yang mendukung NR di wilayah AWS mana pun yang terletak di negara anggota NATO.

AWS menyatakan bahwa dengan persetujuan yang kini dipublikasikan secara menyeluruh di seluruh Aliansi, anggota NATO dan mitra memperoleh baseline keamanan bersama yang telah dinilai sebelumnya, yang akan membantu mengurangi waktu, upaya, dan biaya untuk memenuhi kewajiban keamanan dan kepatuhan. Perusahaan tersebut menambahkan bahwa sekutu NATO juga akan memiliki jalur yang dipercepat untuk mengakreditasi AWS melalui proses nasional resmi mereka.

Dylan Browne, manajer umum NCIA, mengatakan bahwa memperkuat kemampuan NATO untuk memanfaatkan teknologi komersial secara aman merupakan kunci dalam membangun Aliansi yang lebih tangguh dan gesit. “Ketersediaan produk komersial yang memenuhi persyaratan keamanan NATO memperluas pilihan teknologi yang tersedia bagi Aliansi dan mendukung kemampuan kami untuk mengadopsi teknologi modern sambil mempertahankan keamanan dan ketahanan yang menjadi dasar operasi kami,” kata Browne.

David Appel, wakil presiden sementara untuk Sektor Publik Global di AWS, menyebutnya sebagai persetujuan pertama sejenis dan “puncak dari upaya berkelanjutan selama bertahun‑tahun.” Appel menyatakan keputusan tersebut mencerminkan komitmen AWS untuk membantu pelanggan dan mitra di bidang pertahanan, sektor publik, serta yang berafiliasi dengan NATO dalam mencapai misi kritis mereka, serta bahwa AWS akan terus bekerja menyediakan interoperabilitas yang dibutuhkan negara‑negara sekutu untuk memperkuat ketahanan mereka dan melindungi warga mereka.

Arsitektur Trusted Secure Enclave

AWS mengidentifikasi AWS Trusted Secure Enclave – Sensitive Edition (TSE-SE) sebagai dasar pengumuman tersebut dan mengarahkan pelanggan keamanan nasional serta pertahanan ke arsitektur ini.

Menurut panduan yang dipublikasikan oleh AWS, TSE-SE merupakan desain multi‑akun di AWS untuk beban kerja sensitif dalam keamanan nasional, pertahanan, dan penegakan hukum nasional. Panduan tersebut mencakup manajemen identitas dan akses terpusat, tata kelola, keamanan data, pencatatan komprehensif, serta desain dan segmentasi jaringan.

Dalam desain ini, beberapa akun AWS yang dikendalikan oleh satu entitas pelanggan dikelompokkan dalam AWS Organizations, dan kebijakan kontrol layanan berfungsi sebagai pembatas yang menolak operasi API tertentu atau seluruh kategori pada tingkat akun, unit organisasi, atau organisasi. Kebijakan tersebut dapat digunakan untuk memastikan beban kerja hanya ditempatkan di wilayah AWS yang ditentukan atau untuk menolak akses ke layanan AWS tertentu.

AWS Key Management Service, dengan menggunakan kunci yang dikelola pelanggan, mengenkripsi data saat disimpan dengan enkripsi yang tervalidasi FIPS 140-2 pada layanan penyimpanan termasuk bucket Amazon Simple Storage Service, volume Amazon Elastic Block Store, dan basis data Amazon Relational Database Service, serta melindungi data dalam perjalanan menggunakan TLS 1.2 atau lebih tinggi. Single sign-on terpusat disediakan melalui IAM Identity Center, dengan otentikasi multifaktor yang mendukung aplikasi autentikator, kunci keamanan, serta perangkat WebAuthn, FIDO2, dan Universal 2nd Factor (U2F).

Arsitektur ini menetapkan pengumpulan dan sentralisasi log yang komprehensif di seluruh layanan dan akun AWS. AWS CloudTrail beroperasi pada tingkat organisasi untuk menyediakan auditabilitas penuh pada control plane, sementara Amazon CloudWatch menangkap log sistem operasi, aplikasi, aliran VPC, dan sistem nama domain yang kemudian dipusatkan dan hanya tersedia bagi personel keamanan yang ditetapkan. Kontrol keamanan detektif diaktifkan di setiap akun, termasuk Amazon GuardDuty, AWS Security Hub, AWS Config, AWS Firewall Manager, Amazon Macie, IAM Access Analyzer, dan alarm CloudWatch, dengan visibilitas yang dialihkan ke satu akun alat keamanan terpusat. Akun keamanan menerima akses hanya-baca di seluruh organisasi untuk mendukung penyelidikan selama insiden.

Isolasi jaringan dibangun dengan cloud pribadi virtual yang disebarkan melalui Amazon Virtual Private Cloud (Amazon VPC) dan dipusatkan dalam akun jaringan bersama. Konektivitas ke lingkungan on-premises, egress internet, sumber daya bersama, dan API AWS dimediasi pada titik pusat melalui AWS Transit Gateway, AWS Site-to-Site VPN, dan AWS Direct Connect bila diperlukan. Desain ini membungkus setiap instance atau komponen dalam firewall stateful yang ditegakkan pada perangkat keras AWS Nitro System, mencegah pergerakan lateral antar aplikasi, tingkatan dalam sebuah aplikasi, dan node dalam sebuah tingkatan kecuali secara eksplisit diizinkan, serta mencegah routing antara lingkungan pengembangan, pengujian, dan produksi.

AWS menyatakan lebih dari 15.000 pelanggan pemerintah menggunakan layanannya. Perusahaan tersebut mengatakan pelanggan keamanan nasional dan pertahanan dapat mengakses TSE-SE secara langsung, dan bahwa pelanggan dapat bekerja dengan tim akun AWS mereka untuk memahami bagaimana persetujuan NR dan arsitektur tersebut berlaku untuk kasus penggunaan mereka.