Por Canuto  

AWS se convirtió en el primer proveedor de nube autorizado para manejar información NATO Restricted en todos los países de la OTAN, tras una evaluación española que también habilitó su región de Aragón para datos clasificados como Difusión Limitada.
***

  • AWS documentó el cumplimiento de los requisitos de seguridad de la directiva D32 de la OTAN y el Centro Criptológico Nacional de España evaluó sus servicios.
  • La aprobación cubre 15 regiones de AWS ubicadas en países miembros de la alianza, siete de ellas en Europa continental.
  • Los gobiernos y organizaciones autorizadas todavía deben acreditar sus propios sistemas antes de ejecutar cargas de trabajo restringidas.

AWS obtiene autorización de la OTAN para manejar información restringida en toda la alianza

Una aprobación con alcance multinacional

Amazon Web Services se convirtió en el primer proveedor de servicios en la nube autorizado para trabajar con información clasificada como NATO Restricted en todos los estados miembros de la OTAN. La aprobación establece una base común de seguridad para gobiernos y entidades de defensa que busquen utilizar infraestructura comercial, aunque no reemplaza los procesos nacionales que cada país debe completar antes de operar sus propios sistemas.

El camino hacia este reconocimiento no comenzó en las oficinas centrales de la alianza, sino en España. AWS documentó el cumplimiento de los requisitos establecidos en la D32, una directiva técnica de la OTAN que define las condiciones de seguridad para gestionar información NATO Restricted en nubes públicas, y el Centro Criptológico Nacional español evaluó los servicios conforme a ese marco.

Después de esa evaluación, la compañía informó que los resultados fueron aprobados para su uso por los aliados de la OTAN. AWS sostiene que sus servicios autorizados pueden utilizarse para construir sistemas capaces de manejar información NATO Restricted en cualquiera de sus regiones ubicadas en países miembros de la alianza.

La compañía cuenta con 15 regiones de ese tipo, de las cuales siete se encuentran en Europa continental. En términos prácticos, el reconocimiento ofrece a las organizaciones interesadas una referencia de seguridad previamente revisada, pero deja en manos de cada gobierno la decisión final sobre la acreditación de sus cargas de trabajo y sistemas.

El papel de España en la certificación

La evaluación española produjo además una autorización específica para la región AWS Europe, ubicada en Aragón. Tanto el Centro Criptológico Nacional como la Oficina Nacional de Seguridad, organismo integrado en el Centro Nacional de Inteligencia de España, aprobaron que esa infraestructura gestione información clasificada como Difusión Limitada, equivalente español de NATO Restricted.

El proceso se apoyó en varias etapas de certificación que AWS ya había avanzado en España. La empresa contaba con la certificación del Esquema Nacional de Seguridad en su nivel más alto, denominado Alto, y 28 servicios y funciones de seguridad, incluidos los servicios de computación EC2 y almacenamiento S3, figuraban en el catálogo del Centro Criptológico Nacional de productos de seguridad aprobados.

Además, AWS tuvo que cumplir los requisitos específicos aplicables a la información Difusión Limitada, definidos en la política CCN-STIC-004 y por la Oficina Nacional de Seguridad. Esa parte del proceso incluyó una evaluación de los centros de datos, con el objetivo de verificar que la infraestructura y sus controles respondieran a las exigencias españolas para información sensible.

La autorización permite ahora que organizaciones acreditadas del sector público y de defensa en España ejecuten cargas de trabajo Difusión Limitada y NATO Restricted en la región de Aragón. Sin embargo, el permiso no acredita automáticamente a los clientes ni a las aplicaciones que estos desplieguen, una distinción clave para evitar que la validación del proveedor se interprete como una autorización general para cualquier sistema.

Qué deben hacer los clientes y los gobiernos

AWS aclaró que la aprobación corresponde únicamente a la parte del acuerdo relacionada con sus servicios e infraestructura. Las organizaciones que utilicen la nube todavía deberán operar sistemas acreditados de acuerdo con la política CCN-STIC-004 y con los requisitos de la Oficina Nacional de Seguridad, por lo que la responsabilidad regulatoria no desaparece al contratar al proveedor.

El modelo también refleja la forma en que la OTAN distribuye sus competencias de seguridad. La acreditación NATO Restricted corresponde tanto a los países miembros como a la Agencia de Comunicaciones e Información de la OTAN, de modo que cada gobierno mantiene su propio procedimiento nacional para autorizar el uso de la infraestructura en operaciones concretas.

La ventaja que AWS atribuye a la autorización es la existencia de una línea base común que ya fue evaluada por las autoridades competentes. Esa referencia podría reducir el tiempo y el costo del cumplimiento para las entidades que deban demostrar que su arquitectura opera sobre una plataforma apta para información restringida, aunque cada caso seguirá necesitando documentación y revisiones propias.

Dylan Browne, director general de la Agencia de Comunicaciones e Información de la OTAN, afirmó que fortalecer la capacidad de la alianza para aprovechar de forma segura la tecnología comercial resulta esencial para construir una organización más resiliente y ágil. Según el funcionario, disponer de productos comerciales que cumplan los requisitos de seguridad amplía las opciones tecnológicas de la OTAN y facilita la adopción de herramientas modernas sin sacrificar la protección y la resiliencia de sus operaciones.

La nube comercial entra en una zona de alta sensibilidad

El reconocimiento representa un avance relevante para el uso de servicios comerciales en entornos de defensa, donde la seguridad de los datos debe convivir con la necesidad de modernizar sistemas. En lugar de exigir que cada país comience desde cero la revisión de toda la infraestructura, la autorización ofrece un punto de partida común basado en controles técnicos y evaluaciones ya realizadas.

Ese enfoque no elimina los riesgos asociados con la concentración de información sensible en grandes plataformas de nube. Las entidades públicas deberán seguir definiendo sus controles de acceso, configuraciones, aplicaciones y procedimientos operativos, porque una infraestructura aprobada no garantiza por sí misma que una implementación concreta cumpla todos los requisitos de seguridad.

La decisión también muestra el peso creciente de los proveedores tecnológicos comerciales en la infraestructura digital de gobiernos y alianzas militares. AWS presenta la aprobación como una forma de acelerar el acceso a capacidades modernas, mientras que la OTAN la vincula con una mayor flexibilidad tecnológica, siempre dentro de límites de seguridad previamente evaluados.

La autorización tiene aplicación en toda la alianza, pero la documentación necesaria para cada gobierno que quiera utilizarla seguirá siendo responsabilidad de ese gobierno. Por ahora, el resultado más inmediato es que AWS cuenta con una referencia multinacional para sus servicios, mientras sus clientes deberán demostrar que sus propios sistemas están preparados para manejar información restringida bajo las reglas nacionales correspondientes.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados