FIPS 140-3: Wat organisaties moeten weten vóór september 2026

Op 21 september 2026 krijgt elk FIPS 140-2-certificaat de status 'Historisch' in de NIST CMVP-database. Deze wijziging van datum betekent niet dat systemen worden uitgeschakeld, maar wel dat de nalevingsstatus vervalt waarop federale aanbestedingen, de HIPAA-safe harbor-regeling, FedRAMP-autorisatie en defensiecontracten zijn gebaseerd. FIPS 140-3 is de enige actieve standaard voor nieuwe validaties. Als uw cryptografische modules geen actieve FIPS 140-3-certificaten hebben, moet uw transitieprogramma vandaag nog van start gaan.

Kort antwoord: Wat is FIPS 140-3 en waarom is september 2026 belangrijk?

FIPS 140-3 is de huidige NIST-standaard voor de beveiliging van cryptografische modules, gebaseerd op ISO/IEC 19790:2012. De standaard omvat elf beveiligingsgebieden, voegt een nieuw beveiligingsgebied voor niet-invasieve (side-channel) aanvallen toe en verbiedt Triple-DES, SHA-1 voor handtekeningen, RSA-1024 en MD5. Alle FIPS 140-2-certificaten zijn op 21 september 2026 als 'Historisch' gemarkeerd. Organisaties waarvan de naleving afhankelijk is van gevalideerde cryptografie, moeten beschikken over actieve FIPS 140-3-certificaten voor elke module die onder de standaard valt. De eerste stap is het controleren van de exacte certificaatstatus van elke module in de CMVP-database op csrc.nist.gov.

Key Takeaways

• FIPS 140-2 Certificaten krijgen op 21 september 2026 de status 'Historisch'. Niets blijft op die dag functioneren, maar de nalevingsstatus die op die certificaten is gebaseerd, vervalt.
• FIPS 140-3 is geen kleine update. Het introduceert substantiële vereisten in acht gewijzigde domeinen, waaronder een volledig nieuw beveiligingsgebied voor niet-invasieve (side-channel) aanvallen.
• De grootste uitdaging voor de meeste organisaties is niet het certificaat zelf. Het verschil zit hem in de identificatiecode (FIPS Validated), de identificatiecode (FIPS Compliant) en de identificatiecode (FIPS Capable). De meeste productieomgevingen bevinden zich op het derde niveau.
• FIPS 140-3 omvat elf beveiligingsgebieden. De meeste beoordelingen controleren er twee: algoritmen en certificaatstatusDe andere negen zijn plekken waar ongecontroleerde blootstelling plaatsvindt.
• Dit heeft gevolgen voor de gezondheidszorg, FedRAMP-cloudproviders, defensieaannemers en financiële instellingen: elke organisatie waarvan de juridische, contractuele of verzekeringsstatus afhangt van onafhankelijk gevalideerde cryptografie.
• De deadline van 21 september 2026 is inmiddels verstreken. Organisaties die nog steeds gebruikmaken van de FIPS 140-2 historische modules hebben een actief herstelprogramma nodig, en niet slechts een plan om er een te starten.

Wat is FIPS en waarom is het altijd belangrijk geweest?

FIPS-validatie is de onafhankelijke verificatie door een derde partij dat een cryptografische module doet wat deze belooft. Wanneer een organisatie een federale instantie, een toezichthouder of een cyberverzekeraar vertelt dat haar encryptie veilig is, is FIPS het bewijs dat deze bewering ondersteunt. Zonder FIPS vraagt ​​de organisatie belanghebbenden om haar op haar woord te geloven, en toezichthouders, auditors en verzekeraars zullen dat steeds vaker niet doen.

De Federal Information Processing Standards (FIPS) zijn ontwikkeld door NIST in het kader van de Federal Information Security Management Act (FISMA). Ze zijn verplicht voor elk federaal agentschap in de VS en voor elke organisatie die federale informatie verwerkt. In de praktijk omvat dit zorginstellingen die onder Medicare en Medicaid vallen, defensieaannemers, cloudplatforms met FedRAMP-autorisatie en financiële instellingen die onder federaal toezicht staan.

De FIPS 140-serie is specifiek van toepassing op cryptografische modules: de hardware, software en firmware die encryptie, sleutelgeneratie, hashing en digitale handtekeningen uitvoeren . Elke keer dat patiëntgegevens worden versleuteld, een VPN-tunnel wordt opgezet, een HSM een privésleutel beschermt of een certificaat wordt ondertekend, voert een cryptografische module die taak uit. FIPS-validatie is het bewijs dat dit correct gebeurt.

FIPS 140-2, uitgegeven in 2001, werd de wereldwijde standaard. Meer dan twee decennia lang was het het antwoord waar elke auditor uiteindelijk om vroeg. Op 21 september 2026 kregen alle resterende FIPS 140-2-certificaten de status 'Historisch'. Dat antwoord is niet langer geldig.

Wat gebeurde er op 21 september 2026?

Elk certificaat dat is uitgegeven onder FIPS 140-2 heeft de status 'Historisch' gekregen in de NIST Cryptographic Module Validation Program (CMVP)-database. 'Historisch' betekent niet ingetrokken of verwijderd. Het betekent dat het certificaat niet langer geldig is voor nieuwe federale aanbestedingen, niet langer voldoet aan de technische beveiligingsvereisten van HIPAA op basis van de huidige NIST-normen, en niet langer FedRAMP-autorisatie of de safe harbor voor melding van datalekken ondersteunt.

De lichten blijven aan. Maar de naleving van de regelgeving verandert wel, op manieren die pas aan het licht komen wanneer een toezichthouder, auditor of verzekeraar een vraag stelt die de organisatie niet kan beantwoorden. De belangrijkste data in context:

• September 22, 2019: FIPS 140-3 is goedgekeurd en gepubliceerd door NIST.
• September 22, 2021: NIST accepteert geen nieuwe inzendingen meer voor FIPS 140-2-modules bij CMVP. Alle nieuwe inzendingen vanaf deze datum zijn gericht op FIPS 140-3.
• September 21, 2026: Alle resterende FIPS 140-2-certificaten hebben de status 'Historisch' gekregen. Deze datum is inmiddels verstreken.
• Nu: Organisaties die beschikken over FIPS 140-2 historische modules hebben actieve FIPS 140-3 certificaten nodig voor elke module die onder de scope valt. Dit is geen punt voor de toekomst, maar een actuele tekortkoming in de naleving van de regelgeving.

Wat is er nu precies veranderd in FIPS 140-3?

FIPS 140-3 is geen kleine update met een paar nieuwe selectievakjes. De norm, die in 2019 is gepubliceerd en voor het eerst is afgestemd op internationale standaarden, introduceert inhoudelijke eisen op acht gebieden waar FIPS 140-2 niets over zei of tekortschoot. Organisaties die ervan uitgingen dat de overgang slechts administratief van aard was, hebben steevast ontdekt dat deze operationeel van aard is.

Wat veranderde	Wat FIPS 140-3 nu vereist	Operationele implicatie
Niet-invasieve beveiliging	Een compleet nieuw beveiligingsgebied. Formele tests ter beperking van side-channel-aanvallen, inclusief vermogensanalyse, elektromagnetische analyse en timinganalyse op niveau 3 en hoger. FIPS 140-2 behandelde deze aanvalsklasse nooit.	HSM-leveranciers moeten aantonen dat hun producten bestand zijn tegen fysieke aanvallen waarvoor veel oudere producten nooit ontworpen waren. Bestaande hardware moet mogelijk vervangen worden.
Integriteit van software en firmware	Versterkt. Vanaf niveau 2 moeten modules de integriteit van hun eigen code verifiëren met behulp van een goedgekeurde digitale handtekening of een HMAC-gebaseerde test. FIPS 140-2 accepteerde zwakkere foutdetectiecontroles.	Een kwaadwillige firmware-update kan het gedrag van een cryptografische module ongemerkt in gevaar brengen zonder de externe interface te wijzigen. FIPS 140-3 vereist dat modules zichzelf verifiëren op basis van dit scenario. Niet-geverifieerde firmware-updates vormen een directe schending van de compliance-eisen.
Algoritme-standaarden	Triple-DES, SHA-1 (voor digitale handtekeningen), RSA-1024 en MD5 zijn niet toegestaan. Niet beperkt; verboden. TLS 1.0 en 1.1 zijn incompatibel met de nieuwe vereisten.	Het gebruik van verouderde algoritmen in applicaties, TLS-eindpunten en certificaatketens moet worden geïdentificeerd en verholpen voordat FIPS 140-3-modules in de FIPS-goedgekeurde modus kunnen werken.
Sleutelbeheer	Op niveau 3 mogen sleutels alleen in versleutelde vorm de module in en uit gaan, via een vertrouwd kanaal of via procedures met gedeelde kennis. Informele werkwijzen die de FIPS 140-2-beoordeling hebben doorstaan, zullen de FIPS 140-3-beoordeling niet doorstaan.	De belangrijkste import- en exportprocedures moeten formeel worden gedocumenteerd en operationeel worden gehandhaafd. De belangrijkste beheerprocessen die onder FIPS 140-2 informeel verliepen, moeten opnieuw worden ontworpen.
authenticatie	Authenticatie op basis van identiteit met meerdere factoren is verplicht op niveau 4. Dit is een operationele wijziging, geen administratieve aanpassing.	Implementaties op niveau 4 vereisen MFA voor toegang tot modules. Organisaties die hardware op niveau 4 hebben geïmplementeerd onder FIPS 140-2 zonder MFA, moeten hun toegangsprocedures bijwerken.
Levenscyclusgarantie	Geautomatiseerd configuratiebeheer op niveau 3 en 4, gedetailleerde ontwerpdocumentatie, testen op laag niveau en authenticatie van de operator voor levering.	De leveringsprocedures van de leverancier en de automatisering van het configuratiebeheer moeten worden geverifieerd als onderdeel van de FIPS 140-3-beoordeling. Dit vereist actieve samenwerking met de moduleleverancier, en niet alleen een certificaatcontrole.
Normenafstemming	Voor het eerst afgestemd op ISO/IEC 19790:2012, waardoor wereldwijde interoperabiliteit mogelijk is. FIPS 140-2 was een Amerikaanse en Canadese overheidsstandaard zonder internationale afstemming.	Organisaties die internationaal actief zijn, kunnen nu verwijzen naar één gevalideerde standaard die voldoet aan zowel de NIST- als de internationale eisen. Dit vereenvoudigt de documentatie voor naleving in meerdere rechtsgebieden.
Testmethodologie	Systematisch en objectief, in lijn met ISO/IEC 24759. De resultaten zijn consistenter en reproduceerbaarder dan bij het handmatige proces waarop FIPS 140-2 was gebaseerd.	De validatieresultaten van FIPS 140-3 zijn betrouwbaarder en worden internationaal erkend. Testlaboratoria kunnen resultaten leveren die voldoen aan zowel de Amerikaanse als de internationale regelgeving.

FIPS-gevalideerd, FIPS-conform en FIPS-geschikt: welke biedt u daadwerkelijk de beste bescherming?

Er is een cruciaal taalprobleem dat verantwoordelijk is voor het meeste valse zelfvertrouwen waarmee organisaties hun eerste FIPS-gap-analyse uitvoeren. Deze drie termen worden in de marketing van leveranciers door elkaar gebruikt, maar ze beschrijven fundamenteel verschillende situaties:

Termijn	Wat het eigenlijk betekent	Wat accountants en toezichthouders accepteren	Waar dit in de praktijk tot uiting komt
FIPS gevalideerd	Een door NIST geaccrediteerd laboratorium heeft de specifieke moduleversie onafhankelijk getest. NIST heeft een actief certificaat afgegeven dat te verifiëren is op csrc.nist.gov. Het certificaatnummer is echt en openbaar verifieerbaar.	Ja. Dit is wat de federale aanbestedingswetgeving, HIPAA, FedRAMP en CMMC vereisen.	HSM's met actieve FIPS 140-3 CMVP-certificaten; gevalideerde cryptografische bibliotheken met een bevestigde actieve status voor de exact geïmplementeerde versie.
FIPS-compatibel	Een zelfverklaring van de leverancier dat het product voldoet aan de FIPS-normen. Geen laboratoriumonderzoek, geen certificaat, geen externe controle. De juistheid is niet gegarandeerd en kan niet onafhankelijk worden geverifieerd.	Nee. Auditors kunnen een zelfverklaring niet verifiëren zoals ze een CMVP-certificaatnummer kunnen verifiëren.	Productpagina's en verkoopmateriaal van leveranciers; softwarebibliotheken die beweren te voldoen aan de FIPS-normen zonder CMVP-certificaten; interne beveiligingsdocumentatie die verwijst naar beweringen van leveranciers.
FIPS-compatibel	Het product bevat een FIPS-gevalideerde module die in FIPS-modus kan werken, maar momenteel in een niet-FIPS-standaardconfiguratie draait. Zelftests zijn uitgeschakeld. Algoritmebeperkingen worden niet afgedwongen. Het certificaat is echt; de naleving niet.	Nee. De module moet functioneren in de door FIPS goedgekeurde bedrijfsmodus, niet alleen in de modus waarin deze actief is.	De meest voorkomende tekortkoming in productieomgevingen. Een product wordt standaard geleverd met de FIPS-modus uitgeschakeld. Het team schakelt het product in zonder de FIPS-modus te activeren. Standaard beveiligingsaudits ontdekken dit zelden, omdat ze de aanwezigheid van certificaten controleren, niet de configuratiestatus.

De praktische regel: vraag altijd het CMVP-certificaatnummer op en controleer dit op csrc.nist.gov. Controleer of de status 'Actief' is (niet 'Historisch'), of de exacte moduleversie die is geïmplementeerd overeenkomt met de versie op het certificaat, en of het beveiligingsniveau geschikt is voor het gebruiksscenario. Controleer vervolgens of de module in de daadwerkelijke productieomgeving in de FIPS-goedgekeurde modus draait. Vijf minuten per module. Dit is de meest effectieve manier om eventuele tekortkomingen te verhelpen vóór een beoordeling.

Wat zijn de vier FIPS 140-3-beveiligingsniveaus en welke heb je nodig?

FIPS 140-3 definieert vier beveiligingsniveaus. Het is belangrijk om voor elk gebruiksscenario het juiste niveau te kiezen: een module op niveau 2 die gegevens beschermt waarvoor niveau 3-beveiliging vereist is, is een risicobeheerslacune en geen afgevinkte compliance-eis. Het certificaat is technisch gezien actief, maar wat onafhankelijk is getest, komt niet overeen met de eisen van de implementatie.

Niveau	Fysieke beveiligingsvereisten	Verificatievereisten	Waar het hoort te horen	Typisch use cases
Niveau 1	Geen. Cryptografie uitsluitend op basis van software is acceptabel.	Voor elke operatorrol is ten minste één authenticatiemechanisme vereist.	Toepassingen met een lager risico in omgevingen waar fysieke toegang op andere manieren wordt gecontroleerd.	Software-encryptiebibliotheken, cryptografie op applicatieniveau, ontwikkelaarstools.
Niveau 2	Fraudebestendige coatings of zegels; inbraakbestendige sloten op deuren van behuizingen.	Op rollen of identiteit gebaseerde authenticatie van de operator.	De praktische basis voor de meeste commerciële HSM's en beveiligingsproducten voor bedrijven. Voldoende voor de meeste toepassingen bij overheidsinstanties en FedRAMP-omgevingen.	Enterprise HSM's, netwerkgekoppelde cryptografische apparaten, algemene sleutelbeheersystemen.
Niveau 3	Fraudebestendige hardware met detectie en respons: sleutels worden gereset wanneer inbraak wordt gedetecteerd. Testen op omgevingsinvloeden.	Authenticatie op basis van identiteit. Sleutels worden alleen in versleutelde vorm ingevoerd en uitgevoerd, via een vertrouwd kanaal of via procedures waarbij de kennis van de ontvanger wordt gedeeld.	Omgevingen voor waardevol sleutelmateriaal en betalingsverwerking. Vereist wanneer de module privé-sleutels van certificeringsinstanties (CA's) of langdurige hoofdsleutels voor encryptie beschermt.	Root CA- en uitgevende CA HSM's, betalingsverwerkings-HSM's, systemen voor sleutelbewaring op lange termijn.
Niveau 4	Een volledig fraudebestendige behuizing die bescherming biedt tegen indringing vanuit elke richting; bescherming tegen omgevingsinvloeden zoals spannings- en temperatuuraanvallen; en bescherming tegen foutinjectieaanvallen.	Authenticatie op basis van identiteit met meerdere factoren.	Het meest gevoelige sleutelmateriaal in de meest risicovolle omgevingen. Uitsluitend voor toepassingen buiten de inlichtingendiensten en gespecialiseerde defensietoepassingen.	Sleutelbeheer dat grenst aan geheimhouding, robuuste HSM's voor vijandige fysieke omgevingen, uiterst geheime cryptografische systemen.

De meeste organisaties hebben nooit formeel streefbeveiligingsniveaus toegewezen aan hun cryptografische modulecategorieën. Dat is geen gebrek aan documentatie. Het betekent dat er geen vastgestelde basis is om te bepalen of de geïmplementeerde modules het juiste niveau van zekerheid bieden voor de gegevens die ze beschermen. Het toekennen van een beveiligingsniveau aan elke modulecategorie is een vereiste uitkomst van elke volledige FIPS 140-3-gap-analyse.

Wat zijn de elf FIPS 140-3-beveiligingsgebieden en waarom worden er negen in de meeste beoordelingen over het hoofd gezien?

FIPS 140-3 organiseert alle vereisten in elf verschillende beveiligingsgebieden. De meeste compliance-assessments hebben betrekking op de naleving van algoritmes en de certificaatstatus. Dat zijn er twee van de elf. Een assessment dat daarbij stopt, is geen FIPS 140-3 gap-analyse; het is een algoritme-audit met een extra certificaatcontrole, waardoor negen potentiële kwetsbaarheden ononderzocht blijven.

Beveiligingsgebied	Belangrijkste vereisten	Nieuw of gewijzigd in FIPS 140-3	Meest voorkomende opening
1. Specificatie van de cryptografische module	Definitie van modulegrenzen, goedgekeurde algoritmen, documentatie van het beveiligingsbeleid	Strengere documentatie-eisen in lijn met ISO/IEC 19790	Beveiligingsbeleidsdocumenten worden niet bijgewerkt na firmwarewijzigingen of algoritme-updates.
2. Module-interfaces	Gedefinieerde data-invoer/uitvoer, besturingsinvoer/uitvoer en voedingspoorten	Strengere interfacespecificaties in lijn met internationale standaarden	Niet-gedocumenteerde interfaces in softwaremodules; verwarring over virtuele modulegrenzen bij cloudimplementaties.
3. Rollen, services en authenticatie	Operatorrollen gedefinieerd, authenticatiemechanismen per rol, identiteitsgebaseerde authenticatie op niveau 3+.	Multifactorauthenticatie verplicht op niveau 4; strengere identiteitsvereisten op niveau 3.	Gedeelde beheerdersrechten; geen formele rolomschrijving; geen MFA bij implementaties op niveau 4.
4. Beveiliging van software en firmware	Integriteitsverificatie met behulp van een goedgekeurde digitale handtekening of HMAC vanaf niveau 2 en hoger.	Aanzienlijk verbeterd ten opzichte van de zwakkere foutdetectiecontroles van FIPS 140-2.	Firmware-updates toegepast zonder verificatie van cryptografische integriteit; geen door de leverancier geleverde procedure voor verificatie van de firmware-handtekening.
5. Operationele omgeving	Besturingssysteemvereisten voor softwaremodules; bescherming van gevoelige beveiligingsparameters	Bijgewerkt voor moderne besturingssystemen.	Gevalideerde softwaremodules die draaien op niet-goedgekeurde besturingssysteemconfiguraties.
6. Fysieke beveiliging	Manipulatiebewijs op niveau 2; manipulatiebestendigheid met nulstelling op niveau 3; complete envelop op niveau 4	Gemoderniseerde fysieke beveiligingsmechanismen; verbeterde reactievereisten	Verzegelingen die manipulatie tegengaan worden niet periodiek gecontroleerd; er is geen gedocumenteerde procedure voor de controle van de verzegelingen.
7. Niet-invasieve beveiliging	Testen ter voorkoming van side-channel-aanvallen: vermogensanalyse (SPA/DPA), elektromagnetische analyse, timinganalyse op niveau 3 en hoger.	Volledig nieuw in FIPS 140-3. FIPS 140-2 behandelde deze aanvalscategorie nooit.	HSM's op niveau 3 zijn geïmplementeerd zonder dat de leverancier heeft bevestigd dat het niet-invasieve beveiligingsgebied gecertificeerd is. Veel oudere HSM's zijn nooit op dit gebied getest.
8. Beheer van gevoelige beveiligingsparameters	Sleutelgeneratie, -aanleg, -distributie, -opslag, -invoer/uitvoer, nulstelling volgens NIST SP 800-57	Strengere vereisten voor sleuteltoegang/-uitgang op niveau 3: alleen versleutelde vorm, vertrouwd kanaal of gedeelde kennis.	Informele procedures voor het importeren van sleutels; invoer van sleutels in platte tekst zonder vertrouwd kanaal bij implementaties op niveau 3.
9. Zelftests	Zelftests bij het inschakelen, voorwaardelijke zelftests en periodieke zelftests voor kritieke functies	Uitgebreidere zelftestvereisten, afgestemd op ISO/IEC 24759.	Zelftests zijn uitgeschakeld in FIPS-compatibele implementaties; er vindt geen monitoring plaats van mislukte zelftests.
10. Levenscyclusborging	Configuratiebeheer, ontwerpdocumentatie, testen op laag niveau, leveringsprocedures, handleidingen	Geautomatiseerd configuratiebeheer vereist op niveau 3 en 4; gedocumenteerde leverings- en installatieprocedures.	Geen geautomatiseerd configuratiebeheer; leveringsprocedures van de leverancier niet gedocumenteerd of geverifieerd.
11. Beperking van andere aanvallen	Documentatie van de overwogen aanvallen en de geïmplementeerde of expliciet uitgesloten maatregelen.	Formele documentatievereiste; in overeenstemming met internationale normen.	Geen documentatie over beslissingen ter beperking van aanvallen; leveranciers kunnen deze documentatie niet verstrekken voor oudere producten.

Beveiligingsgebied 7 (niet-invasieve beveiliging) verdient bijzondere aandacht. Voor organisaties met HSM's die op niveau 3 en hoger opereren, vereist dit gebied alleen al directe betrokkenheid van de leverancier om te bevestigen dat de geïmplementeerde hardware is getest en gecertificeerd voor het tegengaan van niet-invasieve aanvallen. Veel HSM's die FIPS 140-2 niveau 3 gecertificeerd waren, zijn simpelweg nooit op dit gebied getest, omdat dit niet als vereiste bestond. Deze apparaten moeten worden beoordeeld aan de hand van de FIPS 140-3-vereisten voor niet-invasieve beveiliging voordat ze kunnen worden gebruikt voor naleving van niveau 3.

FIPS 140-3-vereisten: beheersmaatregelen, eigenaren, bewijsstukken en implementatiestappen

De volgende tabel koppelt de belangrijkste FIPS 140-3-nalevingsvereisten aan de beheersmaatregelen, bewijsstukken, verantwoordelijken en implementatiestappen die beveiligings- en compliance-teams moeten leveren. Dit is de operationele vertaling van de standaard voor organisaties die hun FIPS 140-3-nalevingsprogramma opzetten of auditeren:

eis	Controleer:	bewijsmateriaal artefact	Eigenaar	Implementatiestap
Actief FIPS 140-3-certificaat voor alle modules die onder de reikwijdte vallen.	Cryptografische module-inventarisatie met CMVP-certificaatverificatie	Resultaten van een CMVP-databasequery met de status 'Actief' voor elke moduleversie; een spreadsheet met module-inventaris, certificaatnummers en verificatiedatums.	Beveiligingstechniek / Compliance	1. Maak een lijst van alle cryptografische modules die onder de scope vallen. 2. Zoek elke module op in CMVP op csrc.nist.gov. 3. Noteer het certificaatnummer, de status (Actief/Historisch) en de exacte versie waarop de module betrekking heeft. 4. Markeer historische of ontbrekende certificaten voor vervanging.
FIPS-goedgekeurde modus ingeschakeld op alle gevalideerde modules.	Configuratiedocumentatie waaruit blijkt dat de FIPS-modus actief is in de productieomgeving.	Logboeken voor verificatie van de FIPS-modus tijdens runtime; configuratiebeheerrecords; opstartconfiguratiebestanden die de FIPS-vlag ingeschakeld weergeven.	Beveiligingstechniek	1. Voor elke gevalideerde module dient u de door de leverancier goedgekeurde procedure voor het inschakelen van de FIPS-modus te verkrijgen uit het document met het beveiligingsbeleid. 2. Schakel de FIPS-modus in de productieconfiguratie in. 3. Leg tijdens de uitvoering logboeken vast waaruit blijkt dat de FIPS-modus actief is. 4. Neem dit op in de jaarlijkse configuratiebeoordeling.
Er worden geen verboden algoritmen gebruikt (Triple-DES, SHA-1 voor handtekeningen, RSA-1024, MD5, TLS 1.0/1.1).	Cryptografische algoritmescan over alle relevante applicaties en TLS-eindpunten.	Uit de scanresultaten van het algoritme blijkt dat er geen verboden algoritmes zijn gebruikt; de scanresultaten van voor en na bevestigen de oplossing.	Beveiligingsengineering / Applicatieteams	1. Voer een cryptografische detectietool uit op alle applicaties, TLS-eindpunten en sleutelbeheersystemen. 2. Identificeer eventueel gebruik van verboden algoritmen. 3. Los dit op door configuraties bij te werken, bibliotheken te vervangen of sleutels opnieuw te genereren met goedgekeurde algoritmen. 4. Voer een nieuwe scan uit om te bevestigen dat er geen verboden algoritmen meer aanwezig zijn.
Integriteitscontrole van software en firmware (niveau 2+)	Procedure voor het controleren van de integriteit van de firmware-update vóór toepassing	Procedure voor verificatie van de firmwarehandtekening van de leverancier; logboekregistratie van integriteitscontroles die vóór elke firmware-update worden uitgevoerd.	Beveiligingstechniek / HSM-beheer	1. Vraag elke HSM/module-leverancier naar hun procedure voor het verifiëren van de cryptografische firmware-handtekening. 2. Documenteer de procedure in het wijzigingsbeheerproces van de organisatie. 3. Vereis een verificatie van de cryptografische integriteit vóór elke firmware-update. 4. Registreer elke verificatie met tijdstempel en resultaat.
Sleutelbeheer conform NIST SP 800-57 (generatie, distributie, opslag, rotatie, vernietiging)	Formeel sleutelbeheerbeleid; sleutellevenscyclusregistraties	Beleidsdocument voor sleutelbeheer; HSM-auditlogboeken met gegevens over sleutelgeneratie binnen de gevalideerde module; schema en uitvoeringsgegevens van sleutelrotatie; gegevens over sleutelvernietiging.	Sleutelbeheer / Beveiligingstechniek	1. Documenteer het sleutelbeheerbeleid dat alle levenscyclusfasen omvat. 2. Controleer of sleutels worden gegenereerd met behulp van SP 800-90-compatibele DRBG binnen een gevalideerde module. 3. Controleer voor implementaties op niveau 3 of het importeren/exporteren van sleutels uitsluitend in versleutelde vorm of via een vertrouwd kanaal plaatsvindt. 4. Implementeer rolscheiding voor sleutelbeheerfuncties. 5. Leg bewijsmateriaal vast in auditlogboeken voor elke gebeurtenis in de levenscyclus.
Toewijzing van het beveiligingsniveau voor elke modulecategorie	Gedocumenteerde beslissing over het beveiligingsniveau voor elk gebruiksscenario van de cryptografische module.	Document met toewijzing van beveiligingsniveaus en onderbouwing; koppeling van gebruiksscenario aan niveauvereisten	Beveiligingsarchitectuur / naleving	1. Documenteer voor elke categorie cryptografische modules die binnen het toepassingsgebied vallen de gegevensgevoeligheid en het dreigingsmodel. 2. Koppel deze aan het juiste FIPS 140-3-beveiligingsniveau. 3. Controleer of de geïmplementeerde modules gecertificeerd zijn op of boven het toegewezen niveau. 4. Documenteer eventuele verschillen tussen het vereiste niveau en het huidige moduleniveau als verbeterpunten.
Fysieke beveiliging passend bij het beveiligingsniveau (Niveau 2: fraudebestendig; Niveau 3: fraudebestendig met resetmogelijkheid)	Registratie van fysieke veiligheidsinspecties en procedures voor zegelverificatie	Fysieke inspectieverslagen met datums; foto's van verzegelingen die manipulatie tegengaan; gedocumenteerd inspectieschema voor verzegelingen; documentatie van de nulstellingstest niveau 3	Faciliteiten / Beveiligingstechniek	1. Stel een periodiek inspectieschema op voor alle hardwaremodules. 2. Documenteer de inspectieprocedure voor de zegels. 3. Fotografeer en registreer de status van de zegels bij elke inspectie. 4. Controleer voor hardware van niveau 3 of de nulstellingsrespons functioneel is volgens de procedure van de leverancier. 5. Bewaar de inspectieverslagen als bewijsmateriaal voor audits.
Niet-invasieve beveiligingscertificering van de leverancier voor HSM's van niveau 3 en hoger.	Schriftelijke bevestiging van de HSM-leverancier dat het niet-invasieve beveiligingsgebied (Beveiligingsgebied 7) onder het FIPS 140-3-certificaat valt.	Schriftelijke bevestiging van de leverancier; CMVP-certificaat of beveiligingsbeleidsdocument dat de niet-invasieve beveiligingszone bevestigt.	Beveiligingstechniek / Inkoop	1. Neem voor elke HSM van niveau 3 of hoger contact op met de leverancier en vraag om bevestiging dat beveiligingsgebied 7 (niet-invasieve beveiliging) is opgenomen in het FIPS 140-3 CMVP-certificaat. 2. Controleer het CMVP-beveiligingsbeleid van de module om te bevestigen dat er niet-invasieve beveiligingstests zijn uitgevoerd. 3. Indien dit niet het geval is, meld dit dan als een kritieke tekortkoming die vervanging van de hardware vereist.
Complete documentatieset voor FedRAMP/CMMC/HIPAA-audit	Systeembeveiligingsplan (SSP) met sectie over cryptografische module; jaarlijkse evaluatieverslagen	SSP-sectie met vermelding van alle modules, certificaatnummers, beveiligingsniveaus en goedgekeurde modi; jaarlijkse nalevingscontroleverslagen; CBOM-export	Compliance-/beveiligingsarchitectuur	1. Maak of update de sectie met cryptografische modules van SSP met alle vereiste velden. 2. Voer een jaarlijkse controle uit van de CMVP-certificaatstatus voor alle modules. 3. Werk SSP bij wanneer nieuwe modules worden toegevoegd of bestaande modules worden bijgewerkt. 4. Houd CBOM als een dynamisch document dat elk kwartaal wordt bijgewerkt.

FIPS 140-3 Auditklare checklist

Gebruik deze checklist om uw naleving van FIPS 140-3 te controleren vóór een FedRAMP-beoordeling, CMMC-evaluatie, HIPAA-audit of interne beoordeling. Elk item komt overeen met de vereisten in de bovenstaande tabel:

Controle gebied	eis	bewijsmateriaal artefact	Eigenaar	Status
Module-inventaris	Alle relevante cryptografische modules zijn geïnventariseerd met CMVP-certificaatnummers.	Module-inventaris met certificaatnummers en verificatiedata	Beveiligingstechniek	Naar actie
Certificaatstatus	Alle modules zijn geverifieerd als actief FIPS 140-3 in de CMVP-database; er wordt geen gebruik gemaakt van historische of ingetrokken certificaten.	CMVP-databasequeryresultaten per module	Compliance / Beveiligingstechniek	Naar actie
Versie-uitlijning	De geïmplementeerde moduleversie komt overeen met de versie die onder het CMVP-certificaat valt.	Moduleversiedocumentatie; beoordeling van het beveiligingsbeleid	Beveiligingstechniek	Naar actie
FIPS-goedgekeurde modus	Alle gevalideerde modules zijn in productieconfiguratie operationeel bevonden volgens de FIPS-goedgekeurde richtlijnen.	Runtime FIPS-moduslogboeken; configuratiedocumentatie	Beveiligingstechniek	Naar actie
Naleving van het algoritme	Geen verboden algoritmen in gebruik: geen Triple-DES, SHA-1 voor handtekeningen, RSA-1024, MD5, TLS 1.0, TLS 1.1	Resultaten van de cryptografische algoritmescan; uitvoer van de TLS-eindpuntscan.	Beveiligingstechniek	Naar actie
Toewijzing van beveiligingsniveau	Het beoogde beveiligingsniveau is voor elke modulecategorie gedocumenteerd, inclusief de onderbouwing.	Document voor toewijzing van beveiligingsniveaus	Beveiligingsarchitectuur	Naar actie
Firmware-integriteit	Procedure voor cryptografische verificatie van firmware-updates vóór toepassing	Firmwareverificatieprocedure; logboekregistraties van uitgevoerde verificaties	HSM-activiteiten	Naar actie
Niet-invasieve beveiliging (niveau 3+)	Bevestiging van de leverancier dat het niet-invasieve beveiligingsgebied is gedekt door het FIPS 140-3-certificaat voor alle HSM's van niveau 3 en hoger.	Schriftelijke bevestiging van de leverancier; CMVP-beveiligingsbeleidsdocument	Beveiligingstechniek	Naar actie
Sleutelgeneratie	Sleutels gegenereerd met behulp van SP 800-90-compatibele DRBG binnen een gevalideerde module	HSM-configuratie; auditlogboeken voor sleutelgeneratie	Sleutelbeheer	Naar actie
Sleutel importeren/exporteren (niveau 3)	Sleutels worden alleen in versleutelde vorm, via een vertrouwd kanaal of via split-knowledge-procedures in en uit Level 3-modules verzonden.	Documentatie van belangrijke beheersprocedures; bewijsmateriaal uit het auditlogboek.	Sleutelbeheer	Naar actie
Rolscheiding	De belangrijkste beheertaken zijn gescheiden: productie, distributie en vernietiging zijn toegewezen aan afzonderlijke functies.	RACI-matrix; configuratie van toegangscontrole	Beveiligingsarchitectuur	Naar actie
Fysieke bewaking	Op niveau 2 zijn verzegelingen aanwezig die aantonen dat er niet mee geknoeid is en deze worden periodiek gecontroleerd; op niveau 3 zijn er fraudebestendige mechanismen aanwezig.	Fysieke inspectieverslagen; foto's van zegels; inspectieschema	Faciliteiten / Beveiligingstechniek	Naar actie
Zelfcontrole	FIPS-zelftests ingeschakeld; gebeurtenissen die leiden tot een fout bij de zelftest worden bewaakt en er wordt een melding gegenereerd.	Monitoringconfiguratie; bewijs uit zelftestlogboeken	Beveiligingsoperaties	Naar actie
SSP-documentatie	Het systeembeveiligingsplan beschrijft alle modules, certificaatnummers, beveiligingsniveaus en goedgekeurde werkingsmodi.	SSP of gelijkwaardige beveiligingsdocumentatie	Compliant	Naar actie
Jaaroverzicht	Jaarlijkse hercontrole van de CMVP-certificaatstatus; configuratiecontrole; inventarisupdate voor eventuele nieuwe modules.	Jaarverslag met datum; bijgewerkte inventaris	Compliant	Naar actie
PQC-migratiebereidheid	Cryptografische inventarisatie brengt al het RSA- en ECC-gebruik in kaart; HSM-leverancier bevestigt ondersteuning voor PQC-firmware-updates; er bestaat een migratieplan.	CBOM of cryptografische inventaris; PQC-roadmap van de leverancier; migratieplan	Beveiligingsarchitectuur	Naar actie

Op welke organisaties is FIPS 140-3 van toepassing?

De verleiding is groot om dit te beschouwen als een probleem van een federale instantie of een probleem in de gezondheidszorg. Het is echter geen van beide. Het raakt elke organisatie waarvan de wettelijke status, contractuele verplichtingen of verzekeringsdekking afhankelijk zijn van onafhankelijk gevalideerde cryptografische modules.

Organisatie type	FIPS 140-3 verplichting	Gevolgen van het gebruik van historische FIPS 140-2 modules
Amerikaanse federale agentschappen	Verplicht onder FISMA en OMB-circulaire A-130	Niet-conforme federale informatiesystemen; mogelijke auditbevinding; onvermogen om nieuwe modules aan te schaffen op basis van historische certificaten.
Zorgverzekerde entiteiten en zakelijke partners	De veilige haven voor melding van datalekken volgens HIPAA gaat uit van encryptie volgens de NIST-standaard; FIPS 140-2 Historische modules voldoen niet langer aan die aanname.	Verlies van de veilige haven voor melding van datalekken; volledige blootstelling aan de kosten van een datalek. De gemiddelde kosten van een datalek in de gezondheidszorg bedragen ongeveer 10 miljoen dollar.
FedRAMP-geautoriseerde cloudproviders	Actieve, FIPS-gevalideerde modules vereist voor een exploitatievergunning (Authorization to Operate, ATO).	De status van de ATO komt direct in gevaar; herautorisatie van FedRAMP kan nodig zijn.
Defensieaannemers (CMMC niveau 2 en hoger)	FIPS-gevalideerde cryptografie is vereist voor CUI-bescherming volgens NIST SP 800-171 Rev. 2 SC.L2-3.13.11; nieuwe aanbestedingscycli vereisen actieve FIPS 140-3-certificaten.	Bevinding van de CMMC-beoordeling: niet kunnen voldoen aan de contractuele cryptografie-eisen; verlies van concurrentiepositie bij het verkrijgen van nieuwe contracten.
Financiële instellingen	Federale toezichthouders verwijzen steeds vaker naar de huidige cryptografische standaarden van NIST; PCI DSS v4.0 vereist sterke cryptografie die consistent is met de richtlijnen van NIST.	Bevinding van het onderzoek; hiaat in de PCI DSS-naleving; verscherpte controle bij volgende onderzoeken.
Cyberverzekeringspolishouders	Veel polissen vereisen NIST-standaardversleuteling als voorwaarde voor dekking of voor claims in verband met datalekken.	Dekking geweigerd of lagere uitbetaling indien er ten tijde van de inbreuk gebruik is gemaakt van historische modules.

Waar moet u beginnen met uw FIPS 140-3-transitie?

De deadline van 21 september 2026 is verstreken. Organisaties die nog steeds FIPS 140-2 historische modules hebben, moeten van planning overgaan naar uitvoering. De onderstaande stappen laten zien wat organisaties die hun tekortkomingen efficiënt verhelpen consistent onderscheidt van organisaties die deze tijdens een audit ontdekken:

1. Begin met je HSM's: Stel uw HSM-leverancier één specifieke vraag: beschikt de firmwareversie die momenteel in productie is over een actief FIPS 140-3 CMVP-certificaat? Als het antwoord nee is of als u hierover twijfelt, moet u dit gesprek onmiddellijk voeren. Vervanging van de HSM-hardware duurt, indien nodig, minimaal drie tot zes maanden en is afhankelijk van de beschikbaarheid bij de leverancier.
2. Stel een complete inventaris van cryptografische modules samen: Identificeer alle cryptografische modules in uw omgeving: HSM's, TLS-bibliotheken, cryptografische providers op besturingssysteemniveau, VPN-clients, schijfversleuteling, cloud-KMS-services en cryptografie op applicatieniveau. Noteer voor elk de leverancier, productnaam, exacte versie en CMVP-certificaatnummer. CBOM Secure Engagement automatiseert deze ontdekking in zowel cloud- als on-premises omgevingen en genereert een cryptografische materiaallijst die auditors direct kunnen inzien.
3. Controleer of de modus FIPS-goedgekeurd is, niet alleen of het certificaat bestaat: Controleer voor elke gevalideerde module binnen het toepassingsgebied of de FIPS-modus actief is ingeschakeld in de productieconfiguratie, en niet alleen of het product een certificaat heeft. Dit is waar de meeste risico's op het gebied van compliance in de productieomgeving zich voordoen, en het is de lacune die standaard beveiligingsaudits het vaakst over het hoofd zien.
4. Voer een algoritmescan uit op alle applicaties en TLS-eindpunten: Identificeer elk gebruik van verboden algoritmen (Triple-DES, SHA-1 voor handtekeningen, RSA-1024, MD5, TLS 1.0/1.1) voordat uw FIPS 140-3-modules in de FIPS-goedgekeurde modus kunnen werken. Het gebruik van verouderde algoritmen in applicaties zal voorkomen dat de FIPS-goedgekeurde modus correct functioneert, zelfs op volledig gevalideerde hardware.
5. Schakel leveranciers in voor niet-invasieve beveiligingsoplossingen voor HSM's van niveau 3 en hoger: Vraag voor elke HSM die op niveau 3 of hoger opereert, om een ​​schriftelijke bevestiging van de leverancier dat beveiligingsgebied 7 (niet-invasieve beveiliging) is opgenomen in het FIPS 140-3 CMVP-certificaat. Dit is het gebied dat het vaakst over het hoofd wordt gezien bij implementaties op niveau 3 en het gebied dat het meest waarschijnlijk tot een kritieke bevinding leidt tijdens een formele beoordeling.
6. Maak CMVP-verificatie een standaard onderdeel van het onboardingproces voor leveranciers en de jaarlijkse evaluatie: Vereis CMVP-certificaatnummers van elke leverancier met modules die onder de scope vallen en verifieer elk nummer op csrc.nist.gov. Neem dit op in de onboardingchecklists voor leveranciers en de jaarlijkse beoordelingsprocessen, zodat versieverschillen geen nalevingskloof creëren tussen beoordelingen.

Hoe encryptieconsultancy kan helpen bij de overgang naar FIPS 140-3

Encryption Consulting is een ISO/IEC 27001:2022 en SOC 2 gecertificeerd bedrijf voor toegepaste cryptografie met diepgaande, gerichte expertise in FIPS 140-3, PKI, HSM-implementatie, sleutelbeheer en gegevensbescherming in de gezondheidszorg, overheidsinstellingen, de financiële sector en het bedrijfsleven. Onze adviesdiensten op het gebied van FIPS 140-3-compliance zijn erop gericht om lacunes te dichten voordat ze tot auditbevindingen leiden.

• FIPS 140-3 nalevingsbeoordeling: Uitgebreide cryptografische detectie in uw volledige omgeving, inclusief HSM's, TLS-eindpunten en cloud-KMS-configuraties. PKI-infrastructuur, SaaS-platformen en maatwerkapplicaties. We produceren een Cryptografische stuklijst (CBOM) waarbij elke beveiligingslacune is geclassificeerd op risiconiveau en de status van elke leveranciersmodule rechtstreeks is geverifieerd op csrc.nist.gov. Dekking van alle elf beveiligingsgebieden, niet alleen algoritmen en certificaatstatus.
• Gap-analyse over alle elf veiligheidsgebieden: Software-integriteit, niet-invasieve beveiliging, beheer van gevoelige beveiligingsparameters, levenscyclusborging en FIPS-modusconfiguratie: dit zijn de negen gebieden die de meeste beoordelingen overslaan. Hier worden de bewijspakketten samengesteld die FedRAMP 3PAO's, CMMC C3PAO's en HIPAA-auditors nodig hebben.
• FIPS 140-3 Overgangsstrategie: Een geprioriteerd en stapsgewijs herstelplan met realistische tijdlijnen, rekening houdend met HSM-doorlooptijden, CMVP-wachtrijen, leveranciersafhankelijkheden en cloudherconfiguratiecycli. Afgestemd op uw specifieke wettelijke verplichtingen, geen generiek raamwerk.
• HSM als een service: Voor organisaties die FIPS 140-3 Level 3 gevalideerde sleutelbewaring nodig hebben zonder de kapitaaluitgaven en de lange aanlooptijd voor hardware op locatie, HSM-as-a-Service Biedt dedicated, conformiteitsgecertificeerde HSM-capaciteit met volledige CMVP-certificaatdocumentatie en configuratiebewijs beschikbaar voor auditcontrole.
• PQC-gereedheid: De overgang naar FIPS 140-3 en de migratie naar het post-kwantumtijdperk komen steeds dichter bij elkaar. NIST heeft FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) en FIPS 205 (SLH-DSA) in augustus 2024 afgerond. NIST IR 8547 beoogt de uitfasering van RSA en ECC rond 2030. Onze PQC-gereedheidsdienst en PQC Centrum van Uitmuntendheid Beoordeel welke HSM's PQC-firmware-updates ondersteunen en welke vervangen moeten worden, zodat organisaties de FIPS 140-3-kloof niet dichten met hardware die direct vervangen moet worden voor PQC.

Conclusie

De overgang naar FIPS 140-3 is geen toekomstige deadline meer. 21 september 2026 is verstreken en alle FIPS 140-2-certificaten zijn nu 'Historic'. De nalevingsstatus die op basis van die certificaten was opgebouwd, is komen te vervallen. De overgang introduceert nieuwe vereisten op elf beveiligingsgebieden, verbiedt algoritmen die veelvuldig worden gebruikt in legacy-omgevingen en vereist dat de naleving op module-niveau wordt aangetoond op een manier die niet langer volstaat met alleen een certificaat.

De migratie van SHA-1 naar SHA-256 zou naar schatting vijf jaar duren; het duurde uiteindelijk meer dan tien jaar. De overgang naar FIPS 140-3 heeft een vaste datum die nu is aangebroken. Organisaties die nu met hun beoordelingsprogramma's beginnen, worden geconfronteerd met krappe deadlines voor inkoop, het betrekken van leveranciers en het beheer van de CMVP-wachtrij. Deel 2 van deze serie behandelt de acht uitdagingen die FIPS 140-3-overgangsprogramma's steevast laten mislukken. Deel 3 is het stappenplan voor organisaties die nu met hun overgang beginnen.

Veelgestelde Vragen / FAQ

Wanneer zijn FIPS 140-2-certificaten verlopen?

Alle FIPS 140-2-certificaten hebben op 21 september 2026 de status 'Historisch' gekregen. Ze zijn niet langer geldig voor nieuwe federale aanbestedings- of compliancekaders die verwijzen naar actieve CMVP-validatie. Deze datum is inmiddels verstreken. Organisaties die nog steeds gebruikmaken van de historische FIPS 140-2-modules hebben momenteel een compliancekloof, geen naderende deadline.

Wat houdt de historische status volgens FIPS 140-2 nu precies in?

Het certificaat blijft in de CMVP-database staan, maar is niet langer geldig voor nieuwe aanbestedingen of de huidige naleving van regelgeving. Bestaande implementaties blijven functioneren; alleen de onafhankelijke garantie die eraan ten grondslag ligt, telt niet meer mee. Toezichthouders, auditors en verzekeraars die het certificaat controleren, zullen een historisch record aantreffen, en dat onderscheid heeft directe gevolgen voor de HIPAA safe harbor-regeling, FedRAMP ATO en de naleving van defensiecontracten.

Wat is het verschil tussen FIPS 140-2 en FIPS 140-3?

FIPS 140-3 is gebaseerd op ISO/IEC 19790:2012 en ISO/IEC 24759, waarbij FIPS 140-2 een op zichzelf staande Amerikaanse/Canadese standaard was. FIPS 140-3 voegt een volledig nieuw beveiligingsgebied toe voor niet-invasieve aanvallen, maakt verificatie van de integriteit van software en firmware verplicht vanaf niveau 2, verscherpt de eisen voor sleutelbeheer en authenticatie op niveau 3 en 4, en verbiedt verouderde algoritmen zoals Triple-DES, SHA-1 voor digitale handtekeningen, RSA -1024 en MD5. Zie onze uitgebreide handleiding voor FIPS-conformiteit voor een volledige vergelijking.

Wat is het verschil tussen FIPS-gevalideerd, FIPS-conform en FIPS-geschikt?

FIPS Validated betekent dat het product onafhankelijk is getest door een door NIST geaccrediteerd laboratorium met een actief CMVP-certificaat dat kan worden geverifieerd op csrc.nist.gov. FIPS Compliant is een niet-verifieerbare zelfverklaring van de leverancier zonder laboratoriumtest en zonder certificaat. FIPS Capable betekent dat het product een gevalideerde module heeft die in FIPS-modus kan werken, maar momenteel in een niet-FIPS-standaardconfiguratie draait. Alleen FIPS Validated voldoet aan de eisen van de federale overheid voor aanbestedingen, de HIPAA-richtlijnen en FedRAMP. FIPS Capable is de meest voorkomende tekortkoming in de productie en het moeilijkst te detecteren zonder een specifieke configuratiecontrole.

Is FIPS 140-3 verplicht voor particuliere bedrijven?

FIPS 140-3 is een directe verplichting voor Amerikaanse federale instanties. In de praktijk is het bindend voor elke organisatie die federale informatie verwerkt of gebruikmaakt van raamwerken die ernaar verwijzen: HIPAA safe harbor, FedRAMP, defensiecontracten, CMMC niveau 2 en hoger, en in toenemende mate ook voor normen voor financiële controles. Organisaties in de private sector zonder federale verplichtingen zijn wettelijk niet verplicht om te voldoen, maar FIPS 140-3-validatie is de maatstaf voor onafhankelijke cryptografische zekerheid die verzekeraars, zakelijke klanten en geavanceerde auditors steeds vaker verwachten.

Voldoet een organisatie aan de FIPS 140-3-norm als ze gebruikmaakt van een grote cloudprovider?

Niet automatisch. Cloudproviders bieden FIPS 140-3 gevalideerde cryptografie aan als configuratieoptie, niet als standaardinstelling. Om FIPS-conformiteit in cloudomgevingen te bereiken, is het nodig om specifiek FIPS-endpoints, HSM-ondersteunde sleutelopslaglagen en Cloud HSM-sleutelringen te selecteren. Organisaties moeten ook controleren welke exacte moduleversie de FIPS-service van de cloudprovider gebruikt, het actieve CMVP-certificaat van die versie bevestigen en documenteren dat workloads de FIPS-service gebruiken in plaats van een niet-FIPS-standaard. De verantwoordelijkheid voor de correcte configuratie ligt bij de cloudklant.

Hoe lang duurt de validatie van FIPS 140-3?

De validatie volgens FIPS 140-3 duurt doorgaans 6 tot 24 maanden, van indiening tot certificering. De tests worden uitgevoerd door een door NIST geaccrediteerd Cryptographic Security Testing Laboratory (CSTL), gevolgd door een CMVP-beoordeling. Voor organisaties waarvan de modules nog geen actieve FIPS 140-3-certificaten hebben, betekent deze tijdlijn dat er direct actie nodig is om langdurige compliance-lacunes te voorkomen in afwachting van de afronding van de validatieprogramma's van de leverancier.

Wat zijn de elf FIPS 140-3-beveiligingsgebieden?

FIPS 140-3 omvat elf beveiligingsgebieden: (1) specificatie van cryptografische modules, (2) module-interfaces, (3) rollen, services en authenticatie, (4) software- en firmwarebeveiliging, (5) operationele omgeving, (6) fysieke beveiliging, (7) niet-invasieve beveiliging (nieuw in FIPS 140-3), (8) beheer van gevoelige beveiligingsparameters, (9) zelftests, (10) levenscyclusborging en (11) mitigatie van andere aanvallen. De meeste gap-analyses behandelen alleen gebied 1 en de certificaatstatus, waardoor negen potentiële kwetsbaarheden ononderzocht blijven.