Anwendungsbereich

Die FIPS-Zertifizierung wird vor allem in der US-amerikanischen Regierung und in Bereichen, die mit ihr zusammenarbeiten, angewendet. Dazu gehören Bundesbehörden, militärische Einrichtungen sowie Unternehmen, die mit vertraulichen Regierungsdaten umgehen, etwa in der Finanz- oder Gesundheitsbranche. Auch internationale Organisationen, die mit US-amerikanischen Behörden zusammenarbeiten, setzen oft auf FIPS-zertifizierte Produkte. FIPS-Zertifizierung ist besonders relevant in sicherheitskritischen Bereichen, in denen Datenintegrität und Datenschutz eine hohe Priorität haben. Unternehmen, die in diesen Bereichen tätig sind, müssen oft sicherstellen, dass ihre Systeme den FIPS-Standards entsprechen, um Verträge mit der US-Regierung oder anderen Organisationen einzugehen. Auch wenn die Zertifizierung selbst nicht immer gesetzlich vorgeschrieben ist, kann sie für viele Organisationen eine Voraussetzung für die Teilnahme an bestimmten Projekten oder Ausschreibungen darstellen. Die FIPS-Zertifizierung ist in erster Linie in den USA relevant, aber auch international anerkannt, insbesondere in Ländern, die mit den USA in sicherheitskritischen Bereichen zusammenarbeiten. Die Zertifizierung selbst ist freiwillig, kann jedoch in vielen Fällen als notwendige Maßnahme angesehen werden, um den Zugang zu öffentlichen Aufträgen oder partnerschaftlichen Projekten sicherzustellen.

Prüfspezifika und Gültigkeit

Bevor eine Zertifizierung stattfinden kann, sind vorbereitende Maßnahmen erforderlich:

• Identifikation der relevanten Sicherheitsstufe
Zunächst wird die erforderliche Sicherheitsstufe für das Produkt bestimmt, basierend auf den spezifischen Anforderungen und dem Risiko, das es abdeckt. Das Spektrum reicht von Level 1 bis 4.
• Bereitstellung der technischen Dokumentation
Alle relevanten technischen Dokumente, wie etwa Systemarchitekturen und Sicherheitskonfigurationen, müssen dem Prüflabor zur Verfügung gestellt werden, um die Zertifizierung zu unterstützen.
• Durchführung interner Sicherheitsbewertungen
Bevor die offizielle Prüfung stattfindet, führt das Unternehmen interne Bewertungen durch, um potenzielle Schwachstellen im Produkt zu identifizieren und zu beheben.

Erfolgt die Evaluierung wird nach folgendem Schema die Prüfung vollzogen:

1. Definition der Sicherheitsanforderungen
Die Sicherheitsanforderungen werden klar nach der relevanten Sicherheitsstufe festgelegt, um sicherzustellen, dass das Produkt alle relevanten Anforderungen hinsichtlich Kryptographie und Systemintegrität erfüllt.
2. Sicherheitsprüfung durch ein akkreditiertes Testlabor
Ein akkreditiertes Testlabor führt dann eine umfassende Sicherheitsprüfung des Produkts durch, um zu überprüfen, ob es den festgelegten FIPS-Standards entspricht.
3. Bewertung durch das CMVP
Das CMVP bewertet die Prüfungsergebnisse und stellt sicher, dass die Implementierung der Kryptographie den FIPS-Vorgaben entspricht.
4. Erstellung des Prüfberichts und Ausstellung des Zertifikats
Nach Abschluss der Prüfung wird ein Prüfbericht erstellt, der die Ergebnisse dokumentiert, und bei erfolgreicher Validierung wird das Zertifikat ausgestellt. Die Gültigkeit eines FIPS-Zertifikats ist auf fünf Jahre begrenzt und unterliegt regelmäßigen Audits und Überprüfungen. Während der Gültigkeit müssen Unternehmen nachweisen, dass das Produkt weiterhin den Anforderungen der NIST entspricht, insbesondere bei Updates oder Änderungen an der Systemarchitektur. Produkte, die keine fortlaufende Unterstützung für neue Sicherheitsprotokolle bieten, müssen möglicherweise rezertifiziert werden, wenn sich die Anforderungen oder Standards ändern. Die Aufrechterhaltung des Zertifikats erfordert eine kontinuierliche Überwachung der Sicherheitsstandards. Um die Gültigkeit zu bewahren, müssen Unternehmen nach jeder Änderung des Systems sicherstellen, dass die Produkte weiterhin den FIPS-Anforderungen entsprechen. Regelmäßige Sicherheitsüberprüfungen und -tests sind erforderlich, um das Zertifikat aufrechtzuerhalten. Im Fall von wichtigen Änderungen oder Aktualisierungen der Technologie kann eine Rezertifizierung notwendig werden, um sicherzustellen, dass alle Standards und Sicherheitsmaßnahmen auf dem neuesten Stand sind.