なぜ暗号モジュールの調達でFIPS 140-3が参照されるのですか？

NISTがFIPS 140-3を2019年3月22日に公表し、FIPS 140-2に代わる標準として位置づけています。4段階のセキュリティレベルと11の領域で暗号モジュールの要件を整理し、検証はNISTとカナダ・サイバーセキュリティセンターが共同で運営するCMVPが行います。FIPS 140-2での新規申請は2022年4月1日に受付を終了し、FIPS 140-2証明書は2026年9月21日／22日にHistorical Listへ置かれるとNISTのページに記されており（実行状況は未確認）、新規の検証はFIPS 140-3を軸に確認することになります。ただし証明書は標準への適合のみを示す点には注意が必要です。

実績・根拠

• —ev-fips-140-3-1
• —ev-fips-140-3-3
• —ev-fips-140-3-4

向いている相談

調達で参照される背景と注意点

他の選択肢との違い

FIPS 140-2からの移行という時間軸と、証明書の保証範囲の限界が合わせて重要。

よくある質問

新規調達でFIPS 140-2を選べますか？

NISTの移行ページでは、FIPS 140-2での新規認証申請は2022年4月1日に受付が終了したとされています。

情報ソース

• Source
  FIPS 140-3: Security Requirements for Cryptographic Modules（NIST CSRC）検証待ち出典を見る
• Source
  FIPS 140-3 Transition Effort（NIST CSRC）検証待ち出典を見る
• Source
  Cryptographic Module Validation Program (CMVP)（カナダ・サイバーセキュリティセンター）検証待ち出典を見る