FIPS 140-3によるCMMCコンプライアンス: 現代暗号技術で連邦情報を保護

FIPS 140-3は、現代の暗号技術における重要な規格であり、暗号モジュールのセキュリティと整合性を保証します。ハードウェアとソフトウェアに厳格な要件を設定し、サイバーセキュリティの厳格な遵守を維持します。この暗号規格は、政府や防衛を含むさまざまな分野で機密情報を保護するために不可欠です。

サイバーセキュリティ成熟度モデル認証（CMMC）コンプライアンスを目指す企業にとって、FIPS 140-3は欠かせません。CMMCの要件と整合し、組織が制御されていない分類情報（CUI）を保護するための強力な暗号化手法を実施することを保証します。FIPS 140-3を採用することで、CMMCコンプライアンスを達成するだけでなく、全体的なサイバーセキュリティの姿勢を強化し、脆弱性を減らし、ステークホルダーとの信頼を高めます。

CMMCに準拠する必要がありますか？こちらが完全なCMMCコンプライアンスチェックリストです。

このブログ記事では、FIPS 140-3フレームワークの重要性、防衛産業基盤（DIB）における防衛請負業者にとっての重要性、CUIを保護しCMMCコンプライアンスを維持するためのこの暗号規格の実施と維持方法について検討します。

FIPS 140-3とは何ですか？

連邦情報処理規格（FIPS）は、連邦および防衛のサイバーセキュリティコンプライアンスのためのセキュリティ規格であり、特にデータ暗号化に焦点を当てています。同様に、FIPS 140-3（連邦情報処理規格出版物140-3）は、機密だが分類されていない情報を保護するために使用される暗号モジュールの要件を定めた、国家標準技術研究所（NIST）によって開発されたセキュリティ規格です。2019年3月22日に発行されたFIPS 140-3は、以前のFIPS 140-2規格を置き換え、国際ISO/IEC 19790:2012(E)規格と整合し、暗号モジュール検証プログラム（CMVP）によって許可された修正を伴います。

その前身であるFIPS 140-2とは異なり、FIPS 140-3は暗号モジュールの要件を直接含むのではなく、ISO/IEC 19790:2012およびISO/IEC 24759:2017規格を参照しています。これは、国際規格との整合を図りつつ、米国政府のセキュリティニーズを満たすために特定の修正を行う権限を維持するという、管理アプローチの大きな変化を表しています。

FIPS 140-3は、1996年の情報技術管理改革法および2002年の連邦情報セキュリティ管理法で定義されているように、コンピュータおよび通信システムで機密情報を保護するために暗号技術ベースのセキュリティシステムを使用するすべての米国連邦機関に適用されます。すべての連邦省庁および機関は、運用するか、契約の下で運用される暗号モジュールを設計および実装する際にこの規格を使用しなければなりません。この規格は、特に連邦システムと相互作用するか、規制された業界で運用する民間および商業組織にも拡張されます。

FIPS 140セキュリティレベル

FIPS 140セキュリティレベルは、データ保護を確保するために暗号モジュールが満たすべき一連の基準を定義しています。これらのレベルは1から4まであり、複雑さとセキュリティ基準が増加します。各レベルは異なるセキュリティの度合いを提供し、政府および商業セクターのさまざまな暗号ニーズとアプリケーションに対応します。

CMMCコンプライアンスと整合するためには、FIPS 140-3の微妙な点を理解することが重要です。これは、組織が強力な暗号化対策を実施するための包括的なフレームワークを提供します。レベル1は基本的なアプリケーションに十分かもしれませんが、より機密性の高い操作には、レベル3または4に見られる高度な保護が必要なことが多いです。暗号モジュールがこれらの基準を満たすことを保証することは、データの整合性をサポートするだけでなく、今日の進化するサイバーセキュリティの状況において重要なCMMCコンプライアンスの厳格な要件と整合します。

FIPS 140-3が重要な理由

FIPS 140-3は、暗号実装のセキュリティを評価するための標準化されたフレームワークを作成し、機密情報を保護するための最低限のセキュリティ要件を確立します。これは、ベンダーが構築できる共通のベンチマークを提供し、政府機関が要求できるものであり、異なる製品やシステム間での一貫性を保証します。米国の基準を国際的なセキュリティ仕様と整合させることで、FIPS 140-3は、異なる管轄区域での要件を満たすためにグローバルに運用する組織を支援します。

NISTおよびカナダサイバーセキュリティセンターによれば、非検証の暗号は情報に対して保護を提供しないと見なされ、平文と同等とされます。この厳しい評価は、機密情報を扱うシステムにおいて検証済みの暗号モジュールを使用することがなぜ重要であるかを強調しています。情報が暗号化によって保護されなければならないと指定された場合、FIPS 140-2またはFIPS 140-3の検証が、暗号実装が確立されたセキュリティ基準を満たしていることを保証するために必要です。

FIPS 140-3の主な特徴と構成要素

FIPS 140-3は、さまざまなアプリケーションと環境に対応する4つの増加する定性的なセキュリティレベル（レベル1からレベル4）を定義しています。レベル1は暗号モジュールの基本的なセキュリティ要件を提供し、レベル4は強化された物理的保護と環境攻撃耐性を備えた最高レベルのセキュリティを提供します。これらの段階的なレベルにより、組織は特定のリスクプロファイルと保護する情報の機密性に基づいて適切なセキュリティレベルを選択できます。

この規格は、暗号モジュールの仕様、暗号モジュールのインターフェース、役割、サービス、認証、ソフトウェア/ファームウェアのセキュリティ、運用環境、物理的セキュリティ、非侵入型セキュリティ、機密セキュリティパラメータ管理、自己テスト、ライフサイクル保証、その他の攻撃の緩和という11の主要なセキュリティ領域に対応しています。FIPS 140-3では、FIPS 140-2と比較して、非侵入型の物理的セキュリティ要件の導入が注目されており、電力消費や電磁放射のような物理的特性を分析して機密情報を抽出しようとするサイドチャネル攻撃などの脅威に対処しています。

FIPS 140-3フレームワークは、完全な要件セットを定義するために連携するいくつかの主要な文書で構成されています。FIPS 140-3自体は、ISO/IEC規格を参照するトップレベルの規格です。ISO/IEC 19790:2012は暗号モジュールのセキュリティ要件を指定し、ISO/IEC 24759:2017はテスト要件を提供します。NISTは、米国政府のニーズを満たすためにISO/IEC要件を修正または追加するSP 800-140シリーズの特別出版物も発行しています。追加の文書には、解釈と明確化を提供する実施ガイダンス、およびプログラム手順を説明するCMVP管理マニュアルが含まれます。

暗号モジュール検証プログラム（CMVP）とは何ですか？

CMVPは、NISTとカナダサイバーセキュリティセンターの共同努力であり、FIPS 140-3要件に対して暗号モジュールを検証します。この検証プロセスは、モジュールが承認されたセキュリティ機能を正しく実装し、すべてのセキュリティ要件を満たしていることを保証します。検証プロセスを成功裏に完了したモジュールは証明書を受け取り、CMVPウェブサイトにリストされます。

CMVPは、2020年9月22日からFIPS 140-3に対する暗号モジュールの検証を開始しました。FIPS 140-2検証済みモジュールは、2026年9月21日まで受け入れられる移行期間があります。その後、FIPS 140-2検証済みモジュールは履歴リストに移動され、既存のシステムでのみ使用される可能性があります。

検証プロセスには、適切な国家自主試験所認定プログラム（NVLAP）資格を持つ認定試験所によるテストが含まれます。これらの試験所は、要件に対するテストを実施し、CMVPがレビューする提出パッケージを作成します。この独立したテストと検証は、モジュールが必要なセキュリティ基準を満たしていることを保証する信頼性と保証を提供します。

CMMCはFIPSを必要としますか？

サイバーセキュリティ成熟度モデル認証（CMMC）フレームワークは、防衛産業基盤内の機密情報を保護することを強調しています。よくある質問の一つに、CMMCは連邦情報処理規格（FIPS）を必要とするかどうかがあります。CMMCは強力なセキュリティプロトコルを優先し、適用される場合にはFIPSと整合し、分類されていない連邦情報を効果的に保護するための連邦ガイドラインに準拠します。

暗号セキュリティに焦点を当てたCMMCコンプライアンスを達成するために、組織はFIPS 140-3規格の採用を検討する必要があります。この規格は、暗号モジュールが厳格なテストを受け、特定のセキュリティ要件を満たしていることを証明する上で重要な役割を果たします。FIPS 140-3をサイバーセキュリティ戦略に統合することで、企業はデータ保護メカニズムの整合性を強化できます。これは、連邦の期待に整合するだけでなく、CMMCコンプライアンスに不可欠な全体的なサイバーセキュリティの姿勢を強化します。FIPS 140-3との整合は、最高レベルのセキュリティプロトコルを遵守することへのコミットメントを示しています。

CMMC 2.0整合のためのFIPS 140認定暗号化

CMMC 2.0コンプライアンスを達成するには、組織がFIPS 140認定の暗号化手法を利用してデータ保護とサイバーセキュリティのレジリエンスを確保する必要があります。これらの暗号規格は、潜在的な脅威から機密情報を保護する強力なセキュリティ対策を促進します。これらの基準に整合することは、コンプライアンス義務を果たすだけでなく、全体的なデータセキュリティの姿勢を強化します。

CMMCコンプライアンスのためにFIPS 140-3を採用することは重要であり、すべての暗号コンポーネントが厳格なセキュリティ基準を満たしていることを保証する暗号化手法の検証済み基盤を提供します。この整合は、国防総省と協力する請負業者や組織にとって不可欠であり、セキュリティ対策が効果的で最新であることを保証します。FIPS 140-3認定ソリューションを統合することで、組織はコンプライアンス要件を遵守するだけでなく、強化されたサイバーセキュリティ防御を通じて競争上の優位性を得ることができます。

CMMC 2.0とFIPS 140-3: 重要なつながり

サイバーセキュリティ成熟度モデル認証（CMMC）は、国防総省が機密データを扱う防衛請負業者に対してサイバーセキュリティ基準を強制するために設計されたフレームワークです。このフレームワーク内で、FIPS 140-3の検証は特にCMMCコンプライアンスを達成する必要がある組織にとって重要な役割を果たします。

CMMC 2.0は、以前のモデルを3つの異なる認証レベルに簡素化しました：

1. レベル1（基礎）： CMMCレベル1は、連邦契約情報（FCI）のための15の基本的な保護手法を要求し、年間の自己評価を許可します。
2. レベル2（高度）： CMMCレベル2は、制御されていない分類情報（CUI）を保護するためにNIST SP 800-171 Rev. 2からの110のセキュリティ要件すべてを義務付けます。このレベルでは、認定第三者評価機関（C3PAO）による3年ごとの第三者評価と年間の自己証明が必要です。
3. レベル3（エキスパート）： CMMCレベル3は、優先度の高いプログラムの強化された保護のためにNIST SP 800-172からの24の追加要件を組み込み、政府主導の評価を含みます。

FIPS 140-3の検証は、CUIを扱う組織に必要なCMMCレベル2コンプライアンスの重要な要素です。国防総省のガイドラインによれば、組織は2028年までにレベル2コンプライアンスを達成しなければならず、2025年から段階的に施行が始まります。

CMMCにFIPS 140-3を統合することは、スコアリング方法論において明らかです。国防総省の評価方法論に示されているように、CMMCレベル2はNIST SP 800-171 Rev. 2からの110のセキュリティ要件に基づくスコアリングシステムを使用します。各要件は1、3、または5ポイントで評価され、最大スコアは110、最低合格スコアは88です。

CMMC 1.0と2.0の違いを学びましょう。

特に暗号化要件について、スコアリングガイドラインは次のように述べています：

• 暗号化が使用されていない場合、5ポイントが減点されます
• 暗号化が使用されているがFIPS検証されていない場合、3ポイントが減点されます

このスコアリングアプローチは、CMMCフレームワーク内でのFIPS検証の重要性を強調していますが、実装の課題を認識し、非検証の暗号化を暫定的なステップとして実施した組織に対して部分的なクレジットを許可しています。

以前の連邦要件が主に政府機関とその直接の請負業者に影響を与えていたのとは異なり、CMMCはFIPS 140の要件を約250,000の防衛産業基盤（DIB）企業に拡大しています。この大規模な範囲の拡大は、防衛サプライチェーンの組織にとって課題と機会の両方を生み出します。

限られたサイバーセキュリティリソースを持つ多くの小規模な防衛請負業者にとって、FIPS 140-3検証済みの暗号化を実装することは大きなハードルとなります。従来のFIPS 140認証は最大2年かかることがあり、認定試験所やNISTとの協力が必要であり、小規模な組織にとってはリソースを圧迫する可能性があります。

FIPS 140-3がセキュリティとコンプライアンスを強化する方法

FIPS 140-3は、強力で検証済みの暗号アルゴリズムの使用を保証し、異なる製品やベンダー間でセキュリティコントロールを標準化することで、組織のセキュリティを向上させます。暗号鍵やその他の機密セキュリティパラメータの適切な管理を強制し、自己テストを通じた整合性の検証を義務付け、選択されたセキュリティレベルに基づく物理的保護の要件を提供します。

コンプライアンスの観点から、FIPS 140-3は、機密データの保護を要求するさまざまな規制を満たすために組織をサポートします。これは、連邦情報セキュリティ管理法（FISMA）の下で連邦機関に直接要求されます。医療、金融、政府などの規制されたセクターで機密情報を扱うか、連邦システムと相互作用する組織は、規制義務を満たすためにFIPS基準に準拠する必要があることがよくあります。

FIPS 140-3検証済みモジュールの使用は、適切なセキュリティコントロールを実装する上でのデューデリジェンスの証拠を提供し、組織がより広範なセキュリティ要件やデータ保護規制に準拠していることを示すのに役立ちます。この検証は、適切な暗号実装の証拠として監査人や規制当局に受け入れられる認識されたベンチマークを提供します。

FIPS 140-3検証済み暗号化を使用しないリスク

FIPS 140-3検証済み暗号化を使用しない組織は、いくつかの重大なリスクに直面します。規制の観点から、連邦機関とその請負業者は検証済みの暗号化を使用することが求められています。非準拠は、監査の失敗、潜在的な罰金、政府機関とのビジネスの喪失につながる可能性があります。

セキュリティリスクも同様に重要です。非検証の暗号化には、データ侵害や機密情報の侵害につながる可能性のある実装の欠陥や脆弱性が含まれている可能性があります。NISTが明示的に述べているように、非検証の暗号化は保護を提供しないと見なされ、平文と同等とされます。これは、非検証の暗号化に依存する組織がデータを保護していると信じているかもしれませんが、コンプライアンスの観点からはそうではないことを意味します。

財務リスクには、データ侵害、規制罰金、暗号の弱点によるセキュリティインシデントが発生した場合の修復努力に関連するコストが含まれます。また、セキュリティの失敗が公衆の信頼と顧客の信頼を損なう可能性があるため、評判リスクもあります。政府のクライアントや規制された業界で働く組織にとって、非準拠によるビジネス機会の喪失は、重大な財務的影響をもたらす可能性があります。

法的リスクは、必要なセキュリティ基準を実施しない場合に増加します。データ侵害が発生した場合、検証済みの暗号化を使用しないことは、合理的なセキュリティ対策を実施しなかったと見なされ、法的手続きにおける責任を増加させる可能性があります。これは、組織がデータを保護していると主張しているが、非検証の暗号実装を使用している場合に特に問題となります。

FIPS 140-3の実装と維持のためのベストプラクティス

FIPS 140-3は、政府および規制された業界における暗号セキュリティの重要なベンチマークです。これらの基準を適切に実施することで、機密情報の保護を確保し、特にCMMCフレームワークの下で制御されていない分類情報（CUI）を扱う組織にとって、連邦要件を遵守し続けることができます。

以下のベストプラクティスは、システム全体でFIPS 140-3検証済み暗号モジュールを実装、検証、維持する複雑なプロセスを組織がナビゲートし、厳格な規制要件を満たしながら機密データを保護するのに役立ちます。

1. 暗号モジュールのインベントリを取る

FIPS 140-3を実装する際、組織はまず、システム全体で使用されている暗号モジュールの徹底的なインベントリを実施し、保護するデータに基づいてFIPS 140-3の検証が必要なものを特定する必要があります。この評価には、暗号機能を実装するハードウェアとソフトウェアの両方のコンポーネントが含まれるべきです。特にCMMCコンプライアンスのために、組織は次のことを行うべきです：

• CUI境界分析を実施する：CUIを含むデータフローを特定し、非CUIシステムから分離して、FIPS 140検証済み暗号化の実装を適切にスコープします。
• ギャップ評価を実施する：現在の暗号化慣行をNIST SP 800-171の要件と比較し、特に交換が必要な古い暗号化プロトコルに焦点を当てて欠陥を特定します。
• FIPS 140検証済み暗号化を実施する：非準拠の暗号化ツールをFIPS 140-3認定ソリューションに置き換えます。これには、検証済み製品の購入や、ベンダーと協力してソリューションがFIPS要件を満たすことを確認することが含まれる場合があります。
• 評価の準備をする：暗号化要件がどのように満たされているかを明確に文書化したシステムセキュリティ計画（SSP）を作成し、準備状況をテストするための模擬監査を実施し、C3PAO評価中に適切な実装を示す準備を整えます。
• 下請業者を管理する：CUIを扱うすべての第三者ベンダーが同等のFIPS基準を満たしていることを確認します。プライムコントラクターは、サプライチェーン全体でのコンプライアンスを確保する最終的な責任を負います。

2. 暗号製品の検証ステータスを確認する

組織は、ベンダーの主張にのみ依存するのではなく、CMVPの検証リストを直接確認して暗号製品の検証ステータスを確認する必要があります。CMVPは、証明書番号と検証の詳細を含む検証済みモジュールの最新リストを維持しています。実際の証明書番号を探し、NISTはFIPSコンプライアンスに関する誤解を招くマーケティング主張に対して警告しています。

3. 適切なセキュリティレベルを選択する

適切なセキュリティレベルは、リスク評価と保護する情報の機密性に基づいています。すべてのシステムが最高のセキュリティレベルを必要とするわけではなく、高レベルの実装にはパフォーマンスやコストの影響があるかもしれません。セキュリティニーズと運用要件のバランスを適切に取るレベルを選択します。

4. 検証済みモジュールの適切な構成を維持する

検証済みモジュールがFIPS承認モードで動作することを確認します。多くの暗号モジュールには、FIPS承認モードと非承認モードの両方があり、非承認モードで使用すると検証の利点が無効になります。これには、承認されたアルゴリズムと鍵の長さのみを使用することが含まれます。

5. FIPS要件とNISTガイドラインに整合する暗号鍵管理慣行を開発および実施する

暗号システムのセキュリティを維持するためには、暗号鍵のライフサイクル全体を通じて適切に管理することが不可欠です。これには、鍵の安全な生成、保存、配布、使用、および破棄が含まれます。

6. FIPS 140-2からFIPS 140-3への移行を計画する

FIPS 140-2検証済みモジュールが2026年9月21日までしか受け入れられないため、組織はすべてのシステムがその期限までにFIPS 140-3検証済みモジュールを使用するように移行計画を策定する必要があります。

KiteworksとFIPS 140-3コンプライアンス

Kiteworksは、OpenSSL 3のKeyPair FIPSプロバイダーの実装を通じてFIPS 140-3コンプライアンスを達成しており、ほとんどのセキュリティセクションでFIPS 140-3レベル1で検証され、ライフサイクル保証（証明書番号4724）で注目すべきレベル3コンプライアンスを達成しています。この検証済み暗号モジュールは、ファイルレベルとディスクレベルで別々の暗号鍵を使用してファイルを暗号化する二重暗号化を含むKiteworksの多層保護フレームワークを強化します。

Kiteworksは、デフォルトでAES-256暗号化（オプションでAES-128）を使用してデータを保存時に暗号化し、転送時の暗号化にはTLS 1.3プロトコルを利用します。

プラットフォームのメール保護ゲートウェイ（EPG）は、S/MIMEおよびOpenPGP暗号化を使用してメールメッセージと添付ファイルを保護します。KeyPair暗号モジュールは承認モードでのみ動作し、AES（CBC、GCM、CCM、KW）、SHA（1、2、3）、HMAC、RSA、DSA、ECDSA、EDDSA、およびさまざまな鍵導出関数を含む包括的なアルゴリズムスイートをサポートし、すべてCAVP認定されています。

このFIPS 140-3検証は、Kiteworksの暗号実装が米国連邦機関で機密情報を保護するために必要な連邦基準を満たしていることを保証し、カナダで指定された情報に適しており、医療、金融、政府などの規制されたセクターで機密情報を扱うか、連邦システムと相互作用する組織に適しています。

KiteworksはCMMC 2.0コンプライアンスをサポート

Kiteworksのプライベートコンテンツネットワークは、FIPS 140-2レベル検証済みのセキュアなファイル共有およびファイル転送プラットフォームであり、メール、ファイル共有、ウェブフォーム、SFTP、マネージドファイル転送、および次世代デジタル著作権管理ソリューションを統合し、組織がすべてのファイルを組織に出入りする際に制御、保護、および追跡します。

Kiteworksは、CMMC 2.0レベル2コンプライアンスコントロールの約90%を即座にサポートします。その結果、国防総省の請負業者および下請業者は、適切な機密コンテンツ通信プラットフォームを確保することで、CMMC 2.0レベル2の認定プロセスを加速できます。

Kiteworksは、次のような主要な機能と特徴を備えて、迅速なCMMC 2.0コンプライアンスを実現します：

• SSAE-16/SOC 2、NIST SP 800-171、およびNIST SP 800-172を含む、主要な米国政府のコンプライアンス基準と要件に基づく認証
• FIPS 140-2レベル1の検証
• 中程度の影響レベルCUIに対してFedRAMP認定
• 保存時のデータに対するAES 256ビット暗号化、転送時のデータに対するTLS 1.2、および唯一の暗号鍵所有権

Kiteworksについて詳しく知りたい方は、カスタムデモをスケジュールしてください。

追加リソース

• ブログ記事 小規模企業のためのCMMCコンプライアンス：課題と解決策
• ブログ記事 CMMC 2.0に準拠する必要がある場合、こちらが完全なCMMCコンプライアンスチェックリストです
• ブログ記事 CMMC監査要件：CMMC準備状況を評価する際に評価者が見るべきもの
• ガイド 機密コンテンツ通信のためのCMMC 2.0コンプライアンスマッピング
• ブログ記事 CMMC 2.0コンプライアンスの準備において防衛産業基盤サプライヤーが知っておくべき12のこと