Conformité FIPS

Les Normes fédérales de traitement de l'information (FIPS) sont publiées par l'Institut national des normes et de la technologie (NIST) et utilisées par les agences fédérales ainsi que par les organismes qui traitent des informations fédérales. Ces normes portent notamment sur les modules cryptographiques conçus pour protéger les données sensibles non classifiées. L'utilisation des FIPS établit des critères communs d'évaluation des technologies grâce à des tests indépendants et des procédures de validation reconnues.

La conformité aux normes FIPS signifie qu'un module cryptographique a fait l'objet d'une évaluation indépendante par rapport aux publications FIPS spécifiques, notamment celles de la série FIPS 140. La validation confirme que le chiffrement, la gestion des clés, l'authentification et les fonctions de sécurité associées sont correctement mis en œuvre et atteignent les niveaux d'assurance requis. Bien que les normes FIPS couvrent plusieurs sujets, la validation FIPS 140 est la marque de conformité la plus fréquemment citée pour les produits de sécurité de l'information. 

Les modules cryptographiques validés garantissent la confidentialité, l'intégrité et la disponibilité des renseignements dans les environnements à haut risque. Le déploiement de solutions ayant réussi les tests FIPS minimise les risques d'introduction de failles de sécurité, assurant un chiffrement robuste, une gestion fiable des clés et une protection performante des données au repos et en transit.

Pertinence des politiques et des achats

Pour les agences fédérales américaines et leurs sous-traitants, la conformité aux normes FIPS n'est pas seulement une obligation légale ; elle constitue également un critère essentiel dans les procédures d'acquisition. Le déploiement de modules validés FIPS est requis pour le traitement de données sensibles mais non classifiées, influençant ainsi les décisions relatives à l'acquisition et à l'autorisation globale du système.

Le non-respect de ces exigences peut entraîner des risques contractuels, des retards ou des refus d'autorisation de systèmes, ainsi que des vulnérabilités techniques susceptibles de compromettre les objectifs de sécurité. En dehors du gouvernement fédéral, la validation FIPS est adoptée par de nombreuses organisations comme une bonne pratique de gestion des risques et pour répondre aux exigences réglementaires et de satisfaction des clients.

Relations avec FedRAMP et les cadres plus larges

La conformité aux normes FIPS est étroitement liée à d'autres cadres réglementaires du gouvernement américain. Par exemple, les autorisations de services infonuagiques via FedRAMP exigent un chiffrement validé FIPS, conforme aux référentiels de contrôle NIST SP 800-53. De même, les cadres de conformité dans les domaines de l'application de la loi, de la santé, de la sécurité publique et des exigences étatiques font fréquemment référence aux normes FIPS et à ses normes cryptographiques associées, ou s'y alignent.

L'utilisation de modules cryptographiques validés FIPS est obligatoire pour les organisations qui stockent, traitent ou transmettent des informations fédérales. Cela inclut :

• Les organismes fédéraux et leurs entrepreneurs directs.

• Sous-traitants et fournisseurs des chaînes d'approvisionnement fédérales.

• Entreprises technologiques ayant des clients fédéraux.

• Fournisseurs de services infonuagiques sollicitant une autorisation gouvernementale.

Outre le gouvernement fédéral, les secteurs soumis à des exigences de sécurité strictes, notamment la défense, la sécurité publique, les services publics, la santé et les finances, exigent souvent la conformité aux normes FIPS pour répondre aux exigences de gestion des risques ou aux exigences contractuelles.

L'obtention de la validation FIPS repose sur un processus méthodique, alliant évaluation technique et contrôle opérationnel rigoureux. Une feuille de route typique débute par une évaluation complète et se poursuit par un suivi continu et une gestion du cycle de vie.

Mesures essentielles à la conformité

• Répertorier tous les modules cryptographiques utilisés, en documentant les numéros de version et l'état de validation existant.

• Évaluer les exigences à l'aide de la norme FIPS 140-3 , en veillant à ce que l'architecture de référence comprenne des algorithmes approuvés, une gestion sécurisée du cycle de vie des clés et des dépendances documentées.

• Remplacez ou mettez à niveau les modules non validés au besoin, en vous assurant que les configurations sont limitées aux modes approuvés.

• Mettre à jour les politiques internes afin d'exiger l'acquisition et l'utilisation d'un système de cryptographie validé pour les informations sensibles.

• Offrir de la formation au personnel technique sur la bonne utilisation des algorithmes approuvés, la mise en œuvre sécurisée et les meilleures pratiques opérationnelles.

• Mettre en place des systèmes de surveillance des versions des modules, de l'état des certificats de validation et des bulletins NIST ou CMVP pertinents.

Le processus de validation

• La validation FIPS est gérée par le CMVP, une collaboration entre le NIST et le Centre canadien pour la cybersécurité (CCCS). Les fournisseurs soumettent des modules pour des tests en laboratoire, et des certificats sont émis par le NIST/CCCS après une évaluation concluante. Il incombe aux organisations déployant la solution de s'assurer que la configuration validée correspond à celle utilisée en production.

• La validation implique de satisfaire aux exigences appropriées pour le niveau de sécurité et le type de module en question (logiciel, micrologiciel ou matériel). Cela comprend généralement le respect des rôles et des contrôles de service, les routines d'autotest, la protection renforcée des clés et les recommandations d'utilisation. Un effort continu est nécessaire pour maintenir la conformité ; il peut s'agir notamment de surveiller les avis des fournisseurs, de suivre l'expiration des certificats et de planifier les mises à jour technologiques.

Conseils pratiques pour maintenir la conformité

• Configurer les systèmes pour qu'ils utilisent uniquement les algorithmes et les modes approuvés , afin d'éviter toute déviation au fil du temps.

• Consolider les services cryptographiques lorsque c'est possible afin de réduire la complexité et l'exposition.

• Conservez des registres détaillés des documents de validation et des preuves de déploiement.

• Intégrez les contrôles de conformité FIPS dans les processus de développement et de déploiement de logiciels.

• Tester les modifications apportées au système dans des environnements contrôlés afin d'assurer une conformité continue après les mises à niveau ou les correctifs.

Les fournisseurs de technologies et les plateformes peuvent jouer un rôle essentiel dans la simplification de la conformité aux normes FIPS pour leurs clients, généralement en :

• Intégrer des modules validés FIPS dans leurs solutions de protection des données.

• Fournir une documentation claire et des certificats de validation pour faciliter les audits.

• Mise en place de contrôles permettant d'exiger l'utilisation d'une cryptographie approuvée et de configurations validées.

• Fournir une visibilité sur l'état des modules pour une supervision efficace.

• Nous proposons des recommandations sur les meilleures pratiques en matière de déploiement et de gestion opérationnelle.

Le choix des partenaires technologiques et des plateformes doit être guidé par des références CMVP avérées, la prise en charge des publications FIPS actuelles et un engagement envers une conformité continue grâce aux mises à jour et à la gestion du cycle de vie.

Les organisations qui souhaitent se conformer à la norme FIPS ont besoin de partenaires technologiques et de plateformes offrant des modules cryptographiques validés, une documentation adéquate et une flexibilité de déploiement adaptée aux environnements gouvernementaux et aux infrastructures critiques. Les cinq plateformes suivantes sont reconnues pour leur solide prise en charge de la sécurité conforme à la norme FIPS :

Microsoft Azure Government

Offre des services infonuagiques dédiés aux agences gouvernementales américaines avec des modules cryptographiques validés FIPS 140-2 couvrant le calcul, le stockage et la mise en réseau, permettant des charges de travail conformes à grande échelle.

Amazon Web Services (AWS) GovCloud

Fournit un environnement certifié FedRAMP avec des points de terminaison validés FIPS 140-2 pour les principaux services de sécurité tels que le stockage, les bases de données et le chiffrement, simplifiant ainsi la conformité pour les charges de travail fédérales.

Charges de travail garanties de Google Cloud Platform (GCP)

Fournit une infrastructure infonuagique sécurisée, comprenant un chiffrement validé FIPS et des contrôles de conformité, adaptée aux clients du secteur public et aux clients réglementés.

Solutions de pare-feu et de VPN sécurisés Cisco 

Intégrez des modules cryptographiques validés FIPS 140-2 et FIPS 140-3 pour des environnements réseau sécurisés sur place et hybrides, soutenant la conformité des agences et des fournisseurs d'infrastructure.

Communications sécurisées BlackBerry 

Permet des communications sécurisées de niveau gouvernemental et contrôlées par un gouvernement souverain, avec une cryptographie validée pour la gestion des appareils mobiles, la voix sécurisée, les textos et les interventions d'urgence sur tous les terminaux.

Commencez par un inventaire complet de tous les modules et configurations cryptographiques utilisés au sein de votre organisation. Vérifiez la validité des certificats, leurs versions et leurs modes de fonctionnement par rapport à la liste CMVP. Priorisez la correction ou le remplacement des modules non validés et intégrez des contrôles de conformité dans les processus d'approvisionnement, d'ingénierie et de déploiement. Un suivi continu doit être mis en place pour assurer une validation continue face aux évolutions technologiques, aux mises à jour logicielles et à l'évolution des exigences.

Une approche systématique de la conformité aux normes FIPS peut contribuer à réduire les risques, à faciliter l'assurance réglementaire et client, et à établir une capacité reproductible de protection des informations sensibles dans les environnements critiques.