FIPSの力

Jay Kelleyプロダクトマーケティング担当シニアマネージャー | F5

世界各国の政府機関に勤務している方、または医療、金融サービス、法務サービスをはじめ、機密性は高いものの機密指定されていない（SBU）データの収集や送信を扱う事業に携わっている方であれば、連邦情報処理標準（FIPS）についてすでにご存じでしょう。

ご存じでない方のために、簡単にご説明します。

FIPSは、さまざまなセキュリティ分野に関する米国政府の標準規格です。米国およびカナダの政府機関、具体的には米国国立標準技術研究所（NIST）とカナダ通信安全保障局（CSE）が管理しています。

セキュリティのさまざまな要素を対象とするFIPS要件が数多くあります。たとえば、Advanced Encryption Standard（AES）を規定するFIPS 197や、連邦政府職員および請負業者のPersonal Identity Verification（PIV）を規定するFIPS 201があります。FIPS 201は、多くの政府機関で本人確認に使用されるPIVカードの基礎となっています。

ネットワークおよびクラウドセキュリティの分野に特に関連性の高いFIPS要件の1つが、FIPS 140-2です。これは暗号モジュールのセキュリティ認定に関する規格であり、暗号機能を実行するハードウェア、ソフトウェア、ファームウェアの組み合わせについて、そのセキュリティを検証・認証するものです。セキュリティを重視する企業に加え、米国連邦政府およびカナダ政府の多くの機関では、ネットワーク機器とセキュリティ機器がFIPS 140-2に準拠することを求めています。

FIPS 140-2には、4つの追加セキュリティレベルがあります。承認済みの暗号方式、システム内で定義されたセキュリティ境界、暗号コンポーネントの初期化検証を要件とするレベル1から、他の3つのレベルの要件に加え、物理攻撃を検知した場合に鍵をゼロ化する、セキュリティが強化された物理筐体に対する環境条件などの物理的保護を追加したレベル4まであります。

最も一般的に適用される規格は、暗号鍵またはセキュリティパラメーターへの物理的なアクセスを示す改ざん検知手段を必須とするFIPS 140-2 Level 2と、Level 2の改ざん検知手段に加えて、改ざん耐性と追加の検知手段、および物理的なアクセスの試みや暗号モジュールの使用または改ざんへの対応を必須とするFIPS 140-2 Level 3です。つまり、これらのFIPSセキュリティレベルは、悪意のある第三者が暗号鍵にアクセスしたか、またはアクセスを試みたかをネットワーク担当者が把握するのに役立ちます。

政府機関や、金融機関、法律事務所、医療機関などセキュリティを重視する組織にとって、FIPSの重要性は、暗号鍵とセキュリティパラメーターを保護し、本質的な脅威防御を提供する点にあります。FIPSに準拠することで、連邦政府機関やセキュリティを重視する組織は、Payment Card Industry Data Security Standard（PCI DSS）、Health Information Portability and Accountability Act（HIPAA）、International Traffic in Arms Regulations（ITAR）など、政府および業界の規制への準拠を維持できます。また、多層的な物理セキュリティと論理セキュリティを提供し、レイヤー3およびレイヤー4（ネットワーク攻撃やDNS攻撃を含む）とレイヤー7（SSL攻撃やHTTP攻撃）における盗難や攻撃からデータを保護します。

そこで登場するのが、F5のBIG-IP 10350v-Fプラットフォームです。これは、最新世代のハードウェアセキュリティモジュール（HSM）を実装し、FIPS 140-2 Level 3をサポートする、F5初のプラットフォームです。BIG-IP 10350v-Fプラットフォームは、改ざんの痕跡を検知できるHSMなどの物理的なセキュリティ機能を活用して、鍵の保管を保護します。BIG-IP 10350v-FはHSMにより、増大し続ける今日のSSLパフォーマンス要件に対応しながら、政府機関、金融サービス機関、その他のセキュリティ意識の高い企業がセキュアに拡張できるよう支援します。業界をリードするSSLバルク暗号処理性能と、優れたコストパフォーマンスを提供します。10350v-Fは、証明書管理を簡素化し、コンプライアンスコストを削減します。

では、なぜHSMがそれほど重要なのでしょうか。ソフトウェア暗号ライブラリでは不十分なのでしょうか。導入環境ごとに、保護対象となる情報を評価する必要があります。FIPS 140-2 Level 1およびLevel 2では、使用する暗号化について一定水準の保証と実装レビューが行われているという信頼性が得られます。一方、多くの政府機関や、個人を特定できる情報（PII）および保護対象保健情報（PHI）を扱う機密性の高いプログラムでは、より高度な保護が求められ、その要件を満たすにはFIPS 140-2 Level 3 HSMが必要です。さらにHSMは、暗号処理の安全性を確保し、重要な暗号鍵を保護するとともに、管理ドメインとセキュリティドメインを分離し、鍵の使用に関するポリシーを適用します。

F5 BIG-IP 10350v-Fプラットフォームは、セキュリティと鍵の保護を強化し、比類のない拡張性と優れたコスト効率を実現します。このプラットフォームが対応するユースケースには、SSLオフロード、可視化、アクセラレーションのほか、エアギャップ機能を使用するか、F5のSecure Web Gateway (SWG) Servicesと連携するフォワードプロキシがあります。

機密性の高い非機密データの収集、保存、配布を扱う政府機関や企業にとって、FIPS 140-2準拠のネットワークおよびセキュリティ製品は重要です。また、機密データのセキュリティを確保したい機関や企業は、暗号鍵を安全に保つ必要があります。そのような組織にはFIPS 140-2 Level 3が必要です。

そのため、こうしたすべての政府機関や企業には、HSMを搭載したApplication Delivery Controller（ADC）の中でFIPS TPS当たりのコストが最も低いF5 BIG-IP 10350v-Fプラットフォームが必要です。

著者について

Jay Kelleyプロダクトマーケティング担当シニアマネージャー | F5

Jay Kelleyのその他のブログ記事