El Centro Criptológico Nacional (CCN) y la Oficina Nacional de Seguridad (ONS), ambos organismos del Centro Nacional de Inteligencia (CNI), han culminado la acreditación de las primeras infraestructuras de nube pública en España para el tratamiento de información clasificada de grado NATO RESTRICTED (NR) y DIFUSIÓN LIMITADA (DL).
El proceso, desarrollado durante varios años junto a los proveedores de servicios cloud Amazon Web Services (AWS) y Microsoft Azure, permite disponer de infraestructuras acreditadas en España y de servicios de seguridad aprobados e incluidos en el Catálogo de Productos y Servicios de Seguridad de las Tecnologías de la Información y la Comunicación (CPSTIC).
La acreditación facilita a organismos públicos y de defensa el despliegue de sistemas que procesen información clasificada con mayores garantías. Además, establece una base común de seguridad que puede servir de referencia para procesos equivalentes en otros países de la OTAN.
Evaluación de seguridad para nube pública
Para completar la acreditación, el CCN y la ONS han comprobado el cumplimiento de los requisitos nacionales y aliados aplicables al tratamiento de información clasificada. Esta revisión ha incluido auditorías de seguridad, evaluaciones técnicas y tareas de coordinación con los proveedores de servicios cloud implicados.
El equipo del CPSTIC ha evaluado los servicios de seguridad asociados a estas infraestructuras, mientras que equipos de inspección combinados del CCN y la ONS han revisado los centros de datos ubicados en España. Estas actuaciones han formado parte del proceso necesario para autorizar el uso de dichas infraestructuras en entornos con información NR y DL.
El procedimiento se ha apoyado también en la certificación previa de los proveedores conforme al Esquema Nacional de Seguridad (ENS) en categoría ALTA. Sobre esa base, se han analizado numerosos servicios de seguridad mediante la metodología CICLON para su posterior incorporación al CPSTIC del CCN.