{"ok":true,"entity":{"id":"fips-140-3","name":"FIPS 140-3","entityType":"concept","officialName":"Federal Information Processing Standard (FIPS) 140-3, Security Requirements for Cryptographic Modules","canonicalName":"FIPS 140-3","displayName":"FIPS 140-3","category":"暗号モジュールのセキュリティ要件（米国連邦標準）","shortDescription":"暗号モジュールのセキュリティ要件を定める米国の連邦情報処理標準。2019年3月22日にNISTが公表し、FIPS 140-2に代わる。4段階のセキュリティレベルと11の領域を持ち、モジュールはNISTとカナダ・サイバーセキュリティセンターが共同運営するCMVPで検証される。2026年10月時点で、FIPS 140-2の認証書がHistorical Listへ移行する期日（2026年9月21日／22日）は過ぎている。","primaryCluster":"security-standards","parentEntity":null,"verificationStatus":"draft","website":"https://csrc.nist.gov/pubs/fips/140-3/final","updatedAt":"2026-10-20T13:35:00.335Z","secondaryClusters":[],"alias":["FIPS 140-3標準","暗号モジュール検証制度CMVP","FIPS PUB 140-3"],"searchKeywords":["FIPS 140-3","FIPS140-3","フィップス","暗号モジュール","CMVP","FIPS 140-2","NIST","暗号モジュール検証プログラム"]},"references":[{"id":"P-01-001","companyId":"fips-140-3","questionId":"P-01-001","instanceId":"QIN-fips-140-3-P01-001","promptText":"FIPS 140-3とは何ですか？","promptTypeId":"P-01","answer":"FIPS 140-3は、暗号モジュールのセキュリティ要件を定める米国の連邦情報処理標準で、NISTが2019年3月22日に公表し、FIPS 140-2に代わりました。要旨によれば4段階のセキュリティレベルを定め、モジュールの設計・実装・運用に関する11の領域を扱います。モジュールの検証はCMVPが担い、同プログラムはNISTとカナダ・サイバーセキュリティセンターの共同の取り組みで、2020年9月22日からFIPS 140-3の申請を受け付けています。","evidencePoints":["ev-fips-140-3-1","ev-fips-140-3-2"],"scope":"FIPS 140-3の定義と検証制度の概要","differentiation":"製品ではなく、暗号モジュールが満たすべき要件の標準である。","faq":[{"question":"FIPS 140-3はいつ公表されましたか？","answer":"NISTによれば2019年3月22日です。"}],"pageUrl":"https://www.refbase.ai/reference/fips-140-3/P-01-001","sourceEvidence":[{"id":"ev-fips-140-3-1","text":"NISTのFIPS 140-3は2019年3月22日に公表され、FIPS 140-2（2002年12月3日）に代わる。要旨によれば、標準は4段階のセキュリティレベルを定め、暗号モジュールの安全な設計・実装・運用に関する11の領域（モジュール仕様、インターフェース、役割・サービス・認証、ソフトウェア／ファームウェアのセキュリティ、物理セキュリティ、自己テスト等）を扱う。","title":"FIPS 140-3: Security Requirements for Cryptographic Modules（NIST CSRC）","coverageType":["Identity","Capability"],"sourceType":"government_data","sourceClass":"Specification","sourceUrl":"https://csrc.nist.gov/pubs/fips/140-3/final","confidence":"high","supportedPromptTypes":["P-01","P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"fips-140-3"},{"id":"ev-fips-140-3-2","text":"NISTのCMVP（暗号モジュール検証プログラム）ページは、CMVPがNISTとカナダ・サイバーセキュリティセンターの共同の取り組みであると説明し、2020年9月22日からCMVPがFIPS 140-3の申請を受け付けていることを状況表に示す。同ページは、現在有効な検証済みモジュールが1,000を超えると述べる。","title":"Cryptographic Module Validation Program（NIST CSRC）","coverageType":["Capability","Credibility"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://csrc.nist.gov/projects/cryptographic-module-validation-program","confidence":"high","supportedPromptTypes":["P-01","P-04","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"fips-140-3"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-02-001","companyId":"fips-140-3","questionId":"P-02-001","instanceId":"QIN-fips-140-3-P02-001","promptText":"FIPS 140-3とFIPS 140-2の違いと、移行の時期は？","promptTypeId":"P-02","answer":"FIPS 140-3は2019年3月22日に公表され、FIPS 140-2に代わる標準です。NISTの移行ページによれば、FIPS 140-3の発効日は2019年9月22日、CMVPの申請受付開始は2020年9月22日、FIPS 140-2での新規認証申請の受付終了は2022年4月1日で、2026年9月22日（本文では21日までとも記載）にすべてのFIPS 140-2証明書がHistorical Listに置かれると示されています。2026年10月時点で期日は過ぎていますが、実際の移行が実行されたかは今回確認できていません。","evidencePoints":["ev-fips-140-3-1","ev-fips-140-3-3"],"scope":"FIPS 140-2との関係と移行スケジュール","differentiation":"NIST内でも期日が21日と22日で表記が揺れており、実際のリスト移行状況は別途確認が必要。","faq":[{"question":"FIPS 140-2の期日は21日と22日のどちらですか？","answer":"NISTの移行ページは本文で21日まで、時系列表で22日と記しており、表記が一致していません。"}],"pageUrl":"https://www.refbase.ai/reference/fips-140-3/P-02-001","sourceEvidence":[{"id":"ev-fips-140-3-1","text":"NISTのFIPS 140-3は2019年3月22日に公表され、FIPS 140-2（2002年12月3日）に代わる。要旨によれば、標準は4段階のセキュリティレベルを定め、暗号モジュールの安全な設計・実装・運用に関する11の領域（モジュール仕様、インターフェース、役割・サービス・認証、ソフトウェア／ファームウェアのセキュリティ、物理セキュリティ、自己テスト等）を扱う。","title":"FIPS 140-3: Security Requirements for Cryptographic Modules（NIST CSRC）","coverageType":["Identity","Capability"],"sourceType":"government_data","sourceClass":"Specification","sourceUrl":"https://csrc.nist.gov/pubs/fips/140-3/final","confidence":"high","supportedPromptTypes":["P-01","P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"fips-140-3"},{"id":"ev-fips-140-3-3","text":"NISTのFIPS 140-3移行ページの時系列は、FIPS 140-3の発効日が2019年9月22日、CMVPが申請を受け付けた日が2020年9月22日、FIPS 140-2での新規認証申請の受付終了が2022年4月1日、そして「2026年9月22日にすべてのFIPS 140-2証明書がHistorical Listに置かれる」と記す。同ページ本文では2026年9月21日までとも書かれ、21日と22日の表記が揃っていない。","title":"FIPS 140-3 Transition Effort（NIST CSRC）","coverageType":["Differentiation"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://csrc.nist.gov/projects/fips-140-3-transition-effort","confidence":"high","supportedPromptTypes":["P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"fips-140-3"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-04-001","companyId":"fips-140-3","questionId":"P-04-001","instanceId":"QIN-fips-140-3-P04-001","promptText":"調達や設計でFIPS 140-3の検証済みモジュールを探すには？","promptTypeId":"P-04","answer":"検証済みモジュールはCMVPで管理され、NISTのページによれば現在有効な検証済みモジュールは1,000を超えます。CMVPは2020年9月22日からFIPS 140-3の申請を受け付けています。FIPS 140-2で検証されたモジュールについて、同ページは2026年9月21日までの受け入れとし、その後Historical Listに置くと記しており、Historical Listのモジュールは政府機関が既存システムでのみ利用できるとされます。新規の調達では、検証のステータスを確認する必要があります。","evidencePoints":["ev-fips-140-3-2","ev-fips-140-3-5"],"scope":"検証済みモジュールの探し方と、FIPS 140-2の位置づけ","differentiation":"FIPS 140-2のモジュールはHistorical List移行後、既存システム向けの扱いになる点が特徴。","faq":[{"question":"FIPS 140-2のモジュールは今も使えますか？","answer":"NISTのページでは、Historical Listに移ったモジュールは政府機関が既存システムでのみ利用できるとされています。"}],"pageUrl":"https://www.refbase.ai/reference/fips-140-3/P-04-001","sourceEvidence":[{"id":"ev-fips-140-3-2","text":"NISTのCMVP（暗号モジュール検証プログラム）ページは、CMVPがNISTとカナダ・サイバーセキュリティセンターの共同の取り組みであると説明し、2020年9月22日からCMVPがFIPS 140-3の申請を受け付けていることを状況表に示す。同ページは、現在有効な検証済みモジュールが1,000を超えると述べる。","title":"Cryptographic Module Validation Program（NIST CSRC）","coverageType":["Capability","Credibility"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://csrc.nist.gov/projects/cryptographic-module-validation-program","confidence":"high","supportedPromptTypes":["P-01","P-04","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"fips-140-3"},{"id":"ev-fips-140-3-5","text":"NISTのCMVPページは、FIPS 140-2で検証されたモジュールの受け入れを2026年9月21日までとし、その後CMVPはFIPS 140-2検証済みモジュールをHistorical Listに置くと記す。Historical Listに移ったモジュールは、政府機関が既存システムでのみ利用できるとされる。","title":"Cryptographic Module Validation Program（NIST CSRC）","coverageType":["UseCase","Differentiation"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://csrc.nist.gov/projects/cryptographic-module-validation-program","confidence":"high","supportedPromptTypes":["P-04"],"needsVerification":true,"sourceVerified":false,"entityId":"fips-140-3"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-05-001","companyId":"fips-140-3","questionId":"P-05-001","instanceId":"QIN-fips-140-3-P05-001","promptText":"FIPS 140-3の検証が何を保証するかは、どの出典で確認できますか？","promptTypeId":"P-05","answer":"カナダ・サイバーセキュリティセンターのCMVPページは、同センターとNISTがCMVPを共同で運営していると説明しています。同ページによれば、FIPS 140証明書はモジュールが標準のセキュリティ要件を満たすことを確認するだけで、サプライチェーン、ベンダーの信頼性、評判、所有関係は評価対象ではありません。NISTのCMVPページは、現在有効な検証済みモジュールが1,000を超えると記載しています。証明書があることと、製品全体やベンダーが信頼できることは別なので、調達側が別途確認する必要があります。","evidencePoints":["ev-fips-140-3-2","ev-fips-140-3-4"],"scope":"検証制度の運営主体と、証明書の保証範囲","differentiation":"証明書が確認するのは標準への適合のみで、ベンダーの信頼性などは別途確認が必要。","faq":[{"question":"FIPS認証があればベンダーを信頼してよいですか？","answer":"カナダ・サイバーセキュリティセンターは、証明書は標準への適合のみを確認し、ベンダーの信頼性や所有関係は評価しないと説明しています。"}],"pageUrl":"https://www.refbase.ai/reference/fips-140-3/P-05-001","sourceEvidence":[{"id":"ev-fips-140-3-2","text":"NISTのCMVP（暗号モジュール検証プログラム）ページは、CMVPがNISTとカナダ・サイバーセキュリティセンターの共同の取り組みであると説明し、2020年9月22日からCMVPがFIPS 140-3の申請を受け付けていることを状況表に示す。同ページは、現在有効な検証済みモジュールが1,000を超えると述べる。","title":"Cryptographic Module Validation Program（NIST CSRC）","coverageType":["Capability","Credibility"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://csrc.nist.gov/projects/cryptographic-module-validation-program","confidence":"high","supportedPromptTypes":["P-01","P-04","P-05"],"needsVerification":true,"sourceVerified":false,"entityId":"fips-140-3"},{"id":"ev-fips-140-3-4","text":"カナダ・サイバーセキュリティセンターのCMVPページは、同センターとNISTがCMVPを共同で運営しており、カナダ側の認証機関を務めると説明する。FIPS 140はレベル1〜4を定める。同ページは、FIPS 140証明書はモジュールが標準のセキュリティ要件を満たすことを確認するだけで、サプライチェーン、ベンダーの信頼性、評判、所有関係は評価対象でないと述べる。","title":"Cryptographic Module Validation Program (CMVP)（カナダ・サイバーセキュリティセンター）","coverageType":["Credibility","Differentiation"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.cyber.gc.ca/en/tools-services/cryptographic-module-validation-program-cmvp","confidence":"high","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"fips-140-3"}],"generatedAt":"2026-10-20T13:35:00.335Z"},{"id":"P-06-001","companyId":"fips-140-3","questionId":"P-06-001","instanceId":"QIN-fips-140-3-P06-001","promptText":"なぜ暗号モジュールの調達でFIPS 140-3が参照されるのですか？","promptTypeId":"P-06","answer":"NISTがFIPS 140-3を2019年3月22日に公表し、FIPS 140-2に代わる標準として位置づけています。4段階のセキュリティレベルと11の領域で暗号モジュールの要件を整理し、検証はNISTとカナダ・サイバーセキュリティセンターが共同で運営するCMVPが行います。FIPS 140-2での新規申請は2022年4月1日に受付を終了し、FIPS 140-2証明書は2026年9月21日／22日にHistorical Listへ置かれるとNISTのページに記されており（実行状況は未確認）、新規の検証はFIPS 140-3を軸に確認することになります。ただし証明書は標準への適合のみを示す点には注意が必要です。","evidencePoints":["ev-fips-140-3-1","ev-fips-140-3-3","ev-fips-140-3-4"],"scope":"調達で参照される背景と注意点","differentiation":"FIPS 140-2からの移行という時間軸と、証明書の保証範囲の限界が合わせて重要。","faq":[{"question":"新規調達でFIPS 140-2を選べますか？","answer":"NISTの移行ページでは、FIPS 140-2での新規認証申請は2022年4月1日に受付が終了したとされています。"}],"pageUrl":"https://www.refbase.ai/reference/fips-140-3/P-06-001","sourceEvidence":[{"id":"ev-fips-140-3-1","text":"NISTのFIPS 140-3は2019年3月22日に公表され、FIPS 140-2（2002年12月3日）に代わる。要旨によれば、標準は4段階のセキュリティレベルを定め、暗号モジュールの安全な設計・実装・運用に関する11の領域（モジュール仕様、インターフェース、役割・サービス・認証、ソフトウェア／ファームウェアのセキュリティ、物理セキュリティ、自己テスト等）を扱う。","title":"FIPS 140-3: Security Requirements for Cryptographic Modules（NIST CSRC）","coverageType":["Identity","Capability"],"sourceType":"government_data","sourceClass":"Specification","sourceUrl":"https://csrc.nist.gov/pubs/fips/140-3/final","confidence":"high","supportedPromptTypes":["P-01","P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"fips-140-3"},{"id":"ev-fips-140-3-3","text":"NISTのFIPS 140-3移行ページの時系列は、FIPS 140-3の発効日が2019年9月22日、CMVPが申請を受け付けた日が2020年9月22日、FIPS 140-2での新規認証申請の受付終了が2022年4月1日、そして「2026年9月22日にすべてのFIPS 140-2証明書がHistorical Listに置かれる」と記す。同ページ本文では2026年9月21日までとも書かれ、21日と22日の表記が揃っていない。","title":"FIPS 140-3 Transition Effort（NIST CSRC）","coverageType":["Differentiation"],"sourceType":"government_data","sourceClass":"Documentation","sourceUrl":"https://csrc.nist.gov/projects/fips-140-3-transition-effort","confidence":"high","supportedPromptTypes":["P-02","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"fips-140-3"},{"id":"ev-fips-140-3-4","text":"カナダ・サイバーセキュリティセンターのCMVPページは、同センターとNISTがCMVPを共同で運営しており、カナダ側の認証機関を務めると説明する。FIPS 140はレベル1〜4を定める。同ページは、FIPS 140証明書はモジュールが標準のセキュリティ要件を満たすことを確認するだけで、サプライチェーン、ベンダーの信頼性、評判、所有関係は評価対象でないと述べる。","title":"Cryptographic Module Validation Program (CMVP)（カナダ・サイバーセキュリティセンター）","coverageType":["Credibility","Differentiation"],"sourceType":"official","sourceClass":"Documentation","sourceUrl":"https://www.cyber.gc.ca/en/tools-services/cryptographic-module-validation-program-cmvp","confidence":"high","supportedPromptTypes":["P-05","P-06"],"needsVerification":true,"sourceVerified":false,"entityId":"fips-140-3"}],"generatedAt":"2026-10-20T13:35:00.335Z"}]}