カナダ・サイバーセキュリティセンターのCMVPページは、同センターとNISTがCMVPを共同で運営していると説明しています。同ページによれば、FIPS 140証明書はモジュールが標準のセキュリティ要件を満たすことを確認するだけで、サプライチェーン、ベンダーの信頼性、評判、所有関係は評価対象ではありません。NISTのCMVPページは、現在有効な検証済みモジュールが1,000を超えると記載しています。証明書があることと、製品全体やベンダーが信頼できることは別なので、調達側が別途確認する必要があります。
検証制度の運営主体と、証明書の保証範囲
証明書が確認するのは標準への適合のみで、ベンダーの信頼性などは別途確認が必要。