AWS får første NATO‑omfattende godkjenning for RESTRICTED‑skyarbeidsbelastninger

Amazon Web Services er den første skytilbyderen som har fått sine skyfunksjoner godkjent for bruk av alle NATO‑medlemsland når de håndterer informasjon på NATO RESTRICTED (NR)-nivå, selskapet kunngjorde 22. september 2026.

NATO, dets forsvarsindustri‑partnere og alle NATO‑medlemsland kan nå bruke godkjente AWS‑tjenester til å håndtere NATO RESTRICTED‑arbeidsbelastninger i enhver AWS‑region som ligger i et NATO‑medlemsland. AWS har for tiden 15 regioner i NATO‑medlemsland, hvorav syv ligger i det europeiske fastlandet.

Godkjenningsprosessen under NATOs D32‑direktiv

For å oppnå godkjenningen dokumenterte AWS sin overensstemmelse med D32, NATOs tekniske direktiv som fastsetter sikkerhetskravene for håndtering av NR‑informasjon i den offentlige skyen. Som en del av prosessen ble AWS‑kapasiteter evaluert av Spanias nasjonale kryptografiske senter (CCN), og NATO godkjente og publiserte dem til alle NATO‑allierte.

For NR‑akkreditering delegere NATO prosessen til en NATO‑medlemsnasjon og/eller NATO Communications and Information Agency (NCIA) som vertsnasjon. AWS‑tjenester kan nå brukes ved bygging av NR‑kompatible systemer i enhver AWS‑region som ligger i et NATO‑medlemsland.

AWS sa at med godkjenningen nå publisert for hele alliansen, får NATO‑medlemmer og partnere en felles, forhåndsvurdert sikkerhetsbasis som vil bidra til å redusere tid, innsats og kostnader for å oppfylle sikkerhets‑ og etterlevelsesforpliktelser. Selskapet uttalte at NATO‑allierte også vil få en akselerert vei til å akkreditere AWS gjennom sin offisielle nasjonale prosess.

Dylan Browne, administrerende direktør for NCIA, sa at styrking av NATOs evne til sikkert å utnytte kommersiell teknologi er nøkkelen til å bygge en mer robust og smidig allianse. «Tilgjengeligheten av kommersielle produkter som oppfyller NATOs sikkerhetskrav utvider teknologialternativene som er tilgjengelige for alliansen og støtter vår evne til å ta i bruk moderne teknologier samtidig som vi opprettholder sikkerheten og robustheten som våre operasjoner er avhengige av», sa Browne.

David Appel, fungerende visepresident for Worldwide Public Sector i AWS, kalte det en godkjenning av et helt nytt slag og «kulminasjonen av en vedvarende, flerårig innsats». Appel sa at beslutningen gjenspeiler AWSs forpliktelse til å hjelpe forsvars-, offentlig‑sektor‑ og NATO‑tilknyttede kunder og partnere med å oppnå sine kritiske oppdrag, og at AWS vil fortsette arbeidet med å levere den interoperabiliteten de allierte nasjonene trenger for å styrke sin robusthet og beskytte sine borgere.

Trusted Secure Enclave‑arkitektur

AWS identifiserte AWS Trusted Secure Enclave – Sensitive Edition (TSE-SE) som grunnlaget for kunngjøringen og henvendte nasjonale sikkerhets‑ og forsvarskunder til arkitekturen.

Ifølge AWSs publiserte veiledning er TSE-SE et flerkonto‑design på AWS for sensitive arbeidsbelastninger innen nasjonal sikkerhet, forsvar og nasjonalt politi. Veiledningen omfatter sentral identitets‑ og tilgangsstyring, styring, datasikkerhet, omfattende logging samt nettverksdesign og segmentering.

I dette designet grupperes flere AWS‑kontoer som kontrolleres av én kundeenhet innen AWS Organizations, og tjenestekontrollpolicyer fungerer som retningslinjer som nekter spesifikke eller hele kategorier av API‑operasjoner på konto‑, organisatorisk enhets‑ eller organisasjonsnivå. Policyene kan brukes til å sikre at arbeidsbelastninger kun distribueres i foreskrevne AWS‑regioner eller til å nekte tilgang til bestemte AWS‑tjenester.

AWS Key Management Service, som bruker kundestyrte nøkler, krypterer data i hvile med FIPS 140‑2‑validerte krypteringsalgoritmer på tvers av lagringstjenester inkludert Amazon Simple Storage Service‑bøtter, Amazon Elastic Block Store‑volumer og Amazon Relational Database Service‑databaser, og beskytter data i transitt ved bruk av TLS 1.2 eller høyere. Sentralisert enkel pålogging (SSO) leveres gjennom IAM Identity Center, med multifaktorautentisering som støtter autentiserings‑apper, sikkerhetsnøkler samt WebAuthn, FIDO2‑ og Universal 2nd Factor‑ (U2F) enheter.

Arkitekturen foreskriver omfattende innsamling og sentralisering av logger på tvers av AWS‑tjenester og -kontoer. AWS CloudTrail opererer organisasjonsomfattende for å gi full revisjon av kontrollplanet, mens Amazon CloudWatch fanger opp operativsystem‑, applikasjons‑, VPC‑flyt‑ og domenenavns‑logg som sentraliseres og kun gjøres tilgjengelige for definerte sikkerhetspersonell. Detektive sikkerhetskontroller aktiveres i hver konto, inkludert Amazon GuardDuty, AWS Security Hub, AWS Config, AWS Firewall Manager, Amazon Macie, IAM Access Analyzer og CloudWatch‑alarmer, med synlighet delegert til en enkelt sentral sikkerhetsverktøykonto. Sikkerhetskontoen får kun visningsrettigheter på tvers av organisasjonen for å støtte etterforskning under en hendelse.

Nettverksisolasjon bygges med virtuelle private skyer (Virtual Private Clouds) som distribueres via Amazon Virtual Private Cloud (Amazon VPC) og sentraliseres i en delt‑nettverkskonto. Tilkobling til lokale miljøer, internett‑utgang, delte ressurser og AWS‑API‑er håndteres på ett sentralt punkt gjennom AWS Transit Gateway, AWS Site‑to‑Site VPN og, der det er aktuelt, AWS Direct Connect. Designet omslutter hver instans eller komponent med en tilstandsbevisst brannmur som håndheves i maskinvaren til AWS Nitro‑systemet, og hindrer lateral bevegelse mellom applikasjoner, lag innen en applikasjon og noder innen et lag med mindre det er eksplisitt tillatt, samtidig som ruting mellom utviklings‑, test‑ og produksjonsmiljøer forhindres.

AWS oppgir at mer enn 15 000 offentlige kunder bruker tjenestene deres. Selskapet sier at nasjonale sikkerhets‑ og forsvarskunder kan få direkte tilgang til TSE‑SE, og at kundene kan samarbeide med sine AWS‑kontoteam for å forstå hvordan NR‑godkjenningen og arkitekturen gjelder for deres brukstilfeller.