「お使いのMFAソリューションはFIPS準拠ですか、それともFIPS認証を取得していますか？」
これは非常によく受ける質問であり、それには理由があります。セキュリティとコンプライアンスが決定的に重要な業界、とりわけ政府調達においては、FIPS認証取得（certified）とFIPS準拠（compliant）の違いを理解することは、単なる言葉の問題ではありません。要件を満たせるか満たせないかを分ける違いになり得ます。
FIPS認証を取得したデバイスは、必要なセキュリティ要件を満たしていることを第三者機関が独立して検証しています。一方、準拠を称するデバイスは検証を受けていません。米国政府の職員および連邦政府と取引のある請負業者は、FIPS認証を取得したデバイスの使用が義務づけられています。順を追って見ていきましょう。
FIPSとは
FIPSはFederal Information Processing Standards（連邦情報処理標準）の略です。米国国立標準技術研究所（NIST）が、米国連邦政府機関とその請負業者による利用を前提として公表している標準であり、連邦情報セキュリティ近代化法（FISMA）により法的に義務づけられています。FIPS 140は暗号モジュールのセキュリティを対象とする標準です。現行の標準はFIPS 140-3ですが、FIPS 140-2で検証を受けた製品も2026年9月までは現行として扱われます。連邦システムでは必須である一方、多くの民間企業や各国の政府機関もFIPS標準および検証済み製品を採用しています。
NISTとは
米国国立標準技術研究所（NIST）は、米国商務省に属する非規制機関です。NISTは、組織がサイバーセキュリティとリスクを管理するための標準・ガイドライン・ベストプラクティスを策定しています。FIPSについては、標準の公表、認証プロセスの監督、そしてカナダのCanadian Centre for Cyber Securityと共同で運営する暗号モジュール検証プログラム（CMVP）の維持を担っています。CMVPのサイトでは、FIPS検証済みの製品と、承認手続き中の製品が公開されています。
FIPS 140のレベルと、認証取得のプロセス
FIPS 140には4つのレベルがあり、大まかには次のように整理できます。
- レベル1：暗号モジュールに対する基本的なセキュリティ要件が定められています。少なくとも1つの承認済みアルゴリズムまたは承認済みセキュリティ機能を使用する必要がありますが、物理的なセキュリティ機構は特に求められません。
- レベル2：モジュール内部の重要セキュリティパラメータ（CSP）へ物理的にアクセスしようとした痕跡が残る機能が求められます。認証情報の追加や変更はロールに基づいて制限され、認証情報の利用と管理の役割が分離されます。
- レベル3：暗号モジュールへの物理的なアクセス、使用、改変の試みを高い確率で検知し、対応する物理的セキュリティ機構が求められます。デバイスごとに個々の利用者のIDと結びついたロールが必要です。
- レベル4：暗号モジュール全体を覆う完全な保護を物理的セキュリティ機構が提供し、改ざんを検知した際には鍵やCSPなどのデータを自動的に破棄します。
以上からも分かるとおり、製品のFIPS認証取得は、NISTの認定を受けた試験機関による試験を必要とする、厳格で正式なプロセスです。
FIPS認証が重要な理由と、「FIPS準拠」という表現の危うさ
連邦政府機関、またはその請負業者であれば、FIPS認証を取得した暗号モジュールを使用しなければなりません。認証取得は次のことをもたらします。
- 保証：第三者によって独立に試験・検証された技術を使用しているという裏づけが得られます。
- コンプライアンス：多くの政府調達契約における必須要件を満たします。
- 信頼：ベンダーが準拠を主張しただけでなく、厳格な検証のもとでそれを実証したことが証明されます。
混乱が生じるのはここからです。製品が「FIPS準拠」と称している場合、通常はFIPS標準が承認する暗号アルゴリズムを使用しているという意味にとどまります。製品そのものは、正式な認証プロセスを経ていません。
これは本質的に、第三者による検証を伴わない自己申告であり、NISTのCMVP公式データベースにも掲載されません。
たとえるなら、こうです。FIPS準拠だと言うのは、自分の車は検査に通るはずだと言うようなもの。認証取得済みとは、実際に検査を受け、それを証明する書類を持っている状態です。
NISTの公式見解と、組織にとっての意味
幸いなことに、FIPS準拠についてNISTの立場は明確です。暗号モジュールがFIPS 140の要件を満たすには、CMVPのもとで認証を取得していなければなりません。すなわち、自己申告ではなく、NISTの認定を受けた試験機関による試験と検証が必要です。
NISTのComputer Security Resource Center（CSRC）は次のように述べています。「FIPS検証を受けていない暗号モジュールの使用は、検証済み暗号の使用を求めるFISMA要件への違反にあたる。」
規制業種の組織、CMMC監査を控える政府請負業者、そして政府機関そのものにとって、FIPS準拠とFIPS認証取得の違いを理解することは、コンプライアンスとセキュリティの両面で不可欠です。マーケティング上の表現は誤解を招くことがあります。ベンダーには必ず具体的なFIPS 140の証明書番号を求め、NISTのCMVP検証データベースでその有効性を独自に確認してください。この確認作業が、組織をコンプライアンス上の抜け穴から守り、連邦のセキュリティ基準を満たす、本当に検証された暗号ソリューションの導入につながります。
認証取得済みとは、試験され、検証され、信頼できるということ。準拠とは……おそらくそうであろう、ということにすぎません。
FIPSコンプライアンスと、YubiKeyが組織のコンプライアンス達成にどう役立つかについては、Yubicoの関連ページをご覧ください。
※ 連邦情報セキュリティマネジメント法（FISMA）は、連邦政府機関とその請負業者に対し、データ・業務・資産を保護するための情報セキュリティプログラムの策定・文書化・実施を求める米国の法律です。
原文（英語）: 「FIPS certified vs. FIPS compliant: What's the real difference?」 https://www.yubico.com/blog/fips-certified-vs-fips-compliant-whats-the-real-difference/
