Los Estándares Federales de Procesamiento de Información (FIPS, por sus siglas en inglés) son estándares del gobierno estadounidense anunciados públicamente, desarrollados por el NIST, que especifican cómo deben diseñarse y probarse los módulos criptográficos; FIPS 140-3 es el estándar actual, que reemplaza a FIPS 140-2, cuya vigencia está prevista para el 21 de septiembre de 2026.
FIPS 140-3 es el estándar actual del NIST que rige los módulos criptográficos utilizados para cifrar datos en reposo y en tránsito, y reemplaza a FIPS 140-2, cuyas validaciones expiran el 21 de septiembre de 2026. Define cuatro niveles de seguridad, desde los requisitos básicos de nivel de producción del Nivel 1 hasta las protecciones contra manipulaciones del Nivel 4, y es obligatorio para las agencias federales y sus proveedores.
Puntos Clave
- FIPS 140-3 es el estándar actual para módulos criptográficos; las validaciones de FIPS 140-2 caducarán el 21 de septiembre de 2026, por lo que las nuevas implementaciones deberían tener como objetivo módulos validados según FIPS 140-3.
- La norma FIPS 140-3 define cuatro niveles de seguridad, donde el Nivel 1 requiere equipos básicos de grado de producción y el Nivel 4 requiere protecciones antimanipulación y autoborrables.
- Las agencias federales, sus contratistas y cualquier proveedor que venda módulos criptográficos para uso federal deben contar con la validación FIPS vigente.
- El modo FIPS de Windows restringe el sistema operativo para que solo utilice algoritmos criptográficos y longitudes de clave validadas por FIPS.
- Un código FIPS es un sistema de numeración independiente que identifica áreas geográficas de EE. UU., no un estándar criptográfico.
¿Cuál es la diferencia entre FIPS 140-2 y FIPS 140-3?
FIPS 140-3 reemplaza a FIPS 140-2 como estándar del NIST para la validación de módulos criptográficos. El NIST ha fijado el 21 de septiembre de 2026 como la fecha en que los certificados de validación FIPS 140-2 pasarán a tener un estado histórico, lo que significa que las organizaciones que aún dependen de módulos validados según FIPS 140-2 deben planificar la migración a hardware y software validados según FIPS 140-3 antes de esa fecha.
¿Cuáles son los cuatro niveles de seguridad FIPS 140-3?
| Nivel | Requisito básico |
|---|---|
| Nivel 1 | Equipos de nivel de producción y al menos un algoritmo de cifrado validado. |
| Nivel 2 | Requisitos de nivel 1 más autenticación basada en roles y dispositivos físicos a prueba de manipulaciones. |
| Nivel 3 | Requisitos de nivel 2 más dispositivos resistentes a manipulaciones, autenticación basada en identidad y separación de interfaces que transportan parámetros de seguridad críticos. |
| Nivel 4 | Requisitos de nivel 3 más protección contra manipulaciones, incluido el borrado del contenido del dispositivo si se detecta un ataque ambiental. |
¿Quién necesita cumplir con FIPS?
Las agencias federales que recopilan, almacenan, comparten, transfieren o difunden datos confidenciales, junto con sus contratistas y cualquier proveedor de módulos criptográficos que venda en el mercado federal, deben contar con la certificación FIPS vigente. Muchas organizaciones ajenas al ámbito federal buscan la certificación FIPS de forma voluntaria, ya que se reconoce internacionalmente como un estándar básico para módulos criptográficos seguros, y algunos sectores regulados, como el de la salud y los servicios financieros, la exigen a sus proveedores.
¿Qué es el modo FIPS de Windows?
El modo FIPS de Windows es una configuración que restringe el sistema operativo a algoritmos criptográficos y longitudes de clave validadas por FIPS para sus operaciones de cifrado y descifrado. Habilitarlo no garantiza automáticamente la compatibilidad con FIPS de todo el sistema; los módulos criptográficos subyacentes aún necesitan su propia validación FIPS vigente.
Cómo ayuda la consultoría de cifrado
El servicio HSM-as-a-Service de Encryption Consulting se ejecuta en hardware con certificación FIPS 140-3, y nuestros servicios de asesoramiento en cifrado ayudan a las organizaciones a planificar la migración desde módulos con certificación FIPS 140-2 antes de la fecha límite de septiembre de 2026. Todo ello respaldado por las prácticas certificadas ISO/IEC 27001:2022 y SOC 2.
Preguntas frecuentes
¿Sigue vigente la norma FIPS 140-2?
Los certificados de validación FIPS 140-2 pasarán a tener un estado histórico el 21 de septiembre de 2026. Las organizaciones que aún implementen módulos validados con FIPS 140-2 deberían planificar una migración a hardware y software validados con FIPS 140-3 antes de esa fecha.
¿Cuáles son los cuatro niveles de seguridad FIPS 140-3?
Los cuatro niveles son: Nivel 1 (equipo básico de producción y un algoritmo validado), Nivel 2 (añade autenticación basada en roles y dispositivos a prueba de manipulaciones), Nivel 3 (añade dispositivos resistentes a manipulaciones y autenticación basada en la identidad) y Nivel 4 (añade protección activa contra manipulaciones y autoborrado).
¿Qué es un código FIPS?
Un código FIPS es un sistema de numeración independiente que identifica de forma única las áreas geográficas de EE. UU., como estados y condados. No guarda relación con los estándares de módulos criptográficos definidos en FIPS 140-3.
¿Necesito cumplir con la normativa FIPS si no trabajo para el gobierno federal?
Si bien no es un requisito legal fuera del ámbito federal, muchas organizaciones buscan la validación FIPS 140-3 de forma voluntaria porque está reconocida internacionalmente como un estándar básico para módulos criptográficos seguros, y algunas industrias reguladas la exigen a sus proveedores independientemente de si tienen un contrato federal o no.
Migrar a módulos validados según FIPS 140-3
Da el siguiente paso
Encryption Consulting le ayuda a evaluar las dependencias actuales de FIPS 140-2 y a migrar a HSM validados por FIPS 140-3 antes de la fecha límite de septiembre de 2026. Explore HSM como servicio para ver en acción el hardware validado según la norma FIPS 140-3.