Mantener la seguridad de los datos confidenciales, como la Información de Identificación Personal (PII), en cada etapa de su ciclo de vida es una tarea importante para cualquier organización. Para simplificar este proceso, se crearon estándares, regulaciones y mejores prácticas para proteger mejor los datos. El Estándar Federal de Protección de la Información (FIPS) es uno de estos estándares. Estos estándares fueron creados por Instituto Nacional de Ciencia y Tecnología (NIST) Para proteger los datos gubernamentales y garantizar que quienes trabajan con el gobierno cumplan con ciertas normas de seguridad antes de acceder a ellos. FIPS cuenta con varias normas publicadas, pero este artículo trata sobre FIPS 140-2.
¿Qué es FIPS 140-2?
FIPS 140-2 es un estándar que gestiona los módulos criptográficos y los que las organizaciones utilizan para cifrar datos en reposo y en movimiento. Para garantizar el cumplimiento de los estándares criptográficos, FIPS 140-2 especifica el uso de algoritmos compatibles con FIPS 140-2 para el cifrado de datos. FIPS 140-2 cuenta con cuatro niveles de seguridad: el nivel 1 es el menos seguro y el nivel 4 el más seguro.
- FIPS 140-2 Nivel 1 El nivel 1 tiene los requisitos más sencillos. Requiere equipo de producción y al menos un algoritmo de cifrado probado. Este debe ser un algoritmo de cifrado funcional y validado según la norma 140-2, lo que significa que ha sido rigurosamente probado y autorizado para su uso.
- FIPS 140-2 Nivel 2 El nivel 2 eleva ligeramente el estándar, ya que exige todos los requisitos del nivel 1, además de la autenticación basada en roles y el uso de dispositivos físicos con precinto de seguridad. Además, debe ejecutarse en un sistema operativo aprobado por Common Criteria en EAL2.
- FIPS 140-2 Nivel 3 El nivel 3 de FIPS 140-2 es el que cumplen la mayoría de las organizaciones, ya que es seguro, pero no dificulta su uso debido a dicha seguridad. Este nivel incorpora todos los requisitos del nivel 2 e incorpora dispositivos a prueba de manipulaciones, una separación de las interfaces lógicas y físicas que tienen "parámetros de seguridad críticos" al entrar o salir del sistema, y autenticación basada en la identidad. Las claves privadas que entran o salen del sistema también deben cifrarse mediante algoritmos compatibles con FIPS 140-2, como AES, 3DES, RSA, DSA, ECDSA, etc., antes de que puedan transferirse al sistema o desde él.
- FIPS 140-2 Nivel 4 El nivel más seguro de FIPS 140-2 utiliza los mismos requisitos que el nivel 3 y exige que el dispositivo compatible sea resistente a manipulaciones y que su contenido pueda borrarse si se detectan ciertos ataques del entorno. Otro objetivo del nivel 4 de FIPS 140-2 es que los sistemas operativos que utiliza el módulo criptográfico sean más seguros que los de los niveles anteriores. Si varios usuarios utilizan un sistema, el sistema operativo debe cumplir con un estándar aún más alto.
¿Por qué es importante cumplir con la norma FIPS 140-2?
Una de las muchas razones para cumplir con FIPS se debe al requisito gubernamental de que toda organización que trabaje con ellos cumpla con FIPS 140-2. Este requisito garantiza que los datos gubernamentales gestionados por organizaciones externas se almacenen y encripten de forma segura y con los niveles adecuados de confidencialidad, integridad y autenticidad. Las empresas que deseen crear módulos criptográficos, como nCipher o Thales, deben cumplir con FIPS si quieren que la gran mayoría de las empresas utilicen sus dispositivos, especialmente el gobierno. Muchas organizaciones han desarrollado la política de cumplir con FIPS 140-2, ya que esto hace que su organización y sus servicios parezcan más seguros y confiables.
Otra razón para cumplir con FIPS son las rigurosas pruebas realizadas para verificar la solidez de los requisitos de FIPS 140-2. Los requisitos para cada nivel de FIPS 140-2 se han seleccionado tras diversas pruebas de confidencialidad, integridad, no repudio y autenticidad. Dado que el gobierno maneja información muy sensible del país, los dispositivos, servicios y demás productos que utiliza deben contar con el máximo nivel de seguridad en todo momento. El uso de servicios o software sin estos métodos probados podría provocar una grave vulneración de la seguridad, lo que podría causar problemas a todos los ciudadanos del país.
¿Quién necesita cumplir con FIPS?
Las principales organizaciones que deben cumplir con la norma FIPS 140-2 son las organizaciones del gobierno federal que recopilan, almacenan, comparten, transfieren o difunden datos confidenciales, como información de identificación personal. Todas las agencias federales, sus contratistas y proveedores de servicios también deben cumplir con la norma FIPS. Además, cualquier sistema implementado en un entorno federal también debe cumplir con la norma FIPS 140-2. Esto incluye los sistemas de cifrado utilizados por Proveedores de servicios en la nube (CSP)Soluciones informáticas, software y otros sistemas relacionados. Esto significa que solo los servicios, dispositivos y software que cumplen con FIPS pueden ser considerados para su uso por el gobierno federal, lo cual es una de las razones por las que muchas empresas tecnológicas quieren asegurarse de cumplir con la norma FIPS 140-2.
El cumplimiento de FIPS también es reconocido mundialmente como una de las mejores maneras de garantizar la seguridad de los módulos criptográficos. Muchas organizaciones siguen FIPS para garantizar que su propia seguridad esté a la altura de la del gobierno. Muchas otras organizaciones se convierten en... FIPS 140-2 Cumplen con la normativa para distribuir sus productos y servicios no solo en Estados Unidos, sino también a nivel internacional. Dado que FIPS goza de reconocimiento mundial, cualquier organización que cumpla con la normativa será considerada un proveedor confiable de servicios, productos y software. Algunos sectores, como la manufactura, la atención médica y las finanzas, así como los gobiernos locales, también exigen el cumplimiento de FIPS 140-2.
Modo FIPS de Windows
El modo FIPS de Windows es una configuración de los sistemas operativos Windows que requiere el uso de métodos criptográficos verificados según FIPS 140-2. Al estar activado, garantiza que los procedimientos de cifrado y descifrado solo empleen métodos criptográficos y longitudes de clave autorizados.
¿Qué es el código FIPS?
Un código FIPS es un código numérico que identifica de forma única las áreas geográficas de Estados Unidos. La cantidad de dígitos de los códigos FIPS varía según el nivel geográfico. Los códigos FIPS estatales tienen dos dígitos, mientras que los de condado tienen cinco, de los cuales los dos primeros corresponden al código FIPS del estado al que pertenece el condado. Por ejemplo: el código FIPS 06071 representa a California (-06) y al condado de San Bernardino (-071).