Se você trabalha para algum dos diversos governos ao redor do mundo ou atua nas áreas de saúde, serviços financeiros, serviços jurídicos ou em qualquer outro setor que lide com a coleta e a transmissão de dados sensíveis, porém não classificados (SBU), provavelmente já conhece os Padrões Federais de Processamento de Informações (FIPS).
Caso contrário, aqui vai uma breve introdução:
FIPS é um padrão do governo dos EUA para diversas formas de segurança. Ele é administrado por órgãos dos governos dos EUA e do Canadá, especificamente pelo Instituto Nacional de Padrões e Tecnologia (NIST) e pelo Centro de Segurança das Comunicações (CSE), no Canadá.
Há muitos requisitos FIPS diferentes que tratam de diversos elementos de segurança. Por exemplo, há o FIPS 197, que corresponde ao Padrão de Criptografia Avançada (AES), e o FIPS 201, referente à Verificação de Identidade Pessoal (PIV) de funcionários e prestadores de serviços federais — a base dos cartões PIV usados para identificação em muitos órgãos governamentais.
Um dos requisitos FIPS mais relevantes para nós no mundo da segurança de redes e da nuvem é o FIPS 140-2, que se aplica à acreditação de segurança de módulos criptográficos, ou seja, à validação e certificação da segurança da combinação de hardware, software e firmware que executa funções criptográficas. Muitos órgãos do governo federal dos EUA e do governo canadense — além de empresas preocupadas com a segurança — exigem que seus equipamentos de rede e segurança atendam aos requisitos da FIPS 140-2 e estejam em conformidade com ela.
No FIPS 140-2, há quatro níveis adicionais de segurança, que vão desde o Nível 1, que exige algoritmos de criptografia aprovados, limites de segurança definidos no sistema e validação da inicialização dos componentes criptográficos, até o Nível 4, que, além de incluir os requisitos dos outros três níveis, acrescenta proteções atmosféricas e outras proteções físicas a um invólucro físico reforçado contra violações, no qual as chaves são zeradas caso um ataque físico seja detectado.
Os padrões mais comumente aplicados são o FIPS 140-2 Nível 2, que exige mecanismos de evidência de violação para indicar o acesso físico a chaves criptográficas ou a um parâmetro de segurança; e o FIPS 140-2 Nível 3, que acrescenta resistência a violações, um recurso adicional de detecção aos mecanismos de evidência de violação do Nível 2, bem como uma resposta a tentativas de acesso físico ou ao uso ou à adulteração do módulo criptográfico. Basicamente, esses níveis de segurança FIPS ajudam os profissionais de redes a saber se algum agente mal-intencionado teve (ou tentou obter) acesso às suas chaves criptográficas.
Para órgãos governamentais e empresas preocupadas com a segurança, como instituições de serviços financeiros, escritórios de advocacia e organizações de saúde, a importância do FIPS está na proteção de chaves criptográficas e parâmetros de segurança, bem como em sua defesa integrada contra ameaças. A conformidade com o FIPS garante que órgãos federais e empresas que lidam com dados confidenciais cumpram as regulamentações governamentais e setoriais, como o Padrão de Segurança de Dados do Setor de Cartões de Pagamento (PCI DSS), Lei de Portabilidade e Responsabilidade de Seguros de Saúde (HIPAA), os Regulamentos sobre o Tráfego Internacional de Armas (ITAR), entre outros. Ele oferece segurança física e lógica em várias camadas e protege os dados contra roubo e ataques nas camadas 3 e 4 (incluindo ataques à rede e ao DNS) e na camada 7 (ataques a SSL e HTTP).
Conheça a plataforma F5 BIG-IP 10350v-F, uma implementação compatível com o FIPS 140-2 Nível 3 do módulo de segurança de hardware (HSM) de última geração e a primeira plataforma da F5 compatível com o FIPS 140-2 Nível 3. A plataforma BIG-IP 10350v-F protege o armazenamento de chaves utilizando um HSM inviolável e outros recursos de segurança física. Por meio de seu HSM, a BIG-IP 10350v-F oferece escalabilidade segura a órgãos governamentais, instituições de serviços financeiros e outras empresas preocupadas com a segurança, ao mesmo tempo que atende às demandas atuais cada vez maiores de desempenho SSL. Ela oferece desempenho líder em criptografia SSL em massa e uma relação custo-desempenho superior. A 10350v-F simplifica o gerenciamento de certificados e reduz os custos de conformidade.
Mas por que um HSM é tão importante? Você pode estar se perguntando: não seria possível simplesmente usar bibliotecas de criptografia de software? Cada implantação deve avaliar o material a ser protegido. Embora os níveis 1 e 2 do FIPS 140-2 ofereçam certo grau de confiança de que a criptografia utilizada passou por verificações de garantia e implementação, muitas entidades governamentais e outros programas sensíveis exigem níveis mais elevados de proteção. Nesses casos, os requisitos relativos a informações de identificação pessoal (PII) e informações de saúde protegidas (PHI) só podem ser atendidos com um HSM de nível 3 do FIPS 140-2. Além disso, os HSMs protegem as operações criptográficas e as chaves criptográficas essenciais, separam os domínios administrativos e de segurança e aplicam políticas de uso das chaves.
A plataforma F5 BIG-IP 10350v-F oferece escalabilidade incomparável, com segurança e proteção de chaves aprimoradas, proporcionando excelente eficiência de custos. Entre os casos de uso atendidos por essa plataforma estão o descarregamento, a visibilidade e a aceleração de SSL, bem como o proxy de encaminhamento, seja por meio da funcionalidade air gap ou em conjunto com os Serviços de Secure Web Gateway (SWG).
Qualquer órgão governamental ou empresa que lide com a coleta, o armazenamento e a distribuição de dados confidenciais não classificados deve considerar o uso de produtos de rede e segurança em conformidade com a FIPS 140-2. Além disso, qualquer órgão ou empresa que queira garantir a segurança de seus dados confidenciais deve assegurar que suas chaves criptográficas permaneçam protegidas; essas organizações precisam da certificação FIPS 140-2 Nível 3.
É por isso que todas essas agências e empresas precisam da plataforma F5 BIG-IP 10350v-F, que oferece o menor custo por TPS FIPS entre todos os controladores de entrega de aplicações (ADCs) com HSM.
Sobre o autor
Publicações relacionadas no blog
Entrega e proteção de agentes de IA em fábricas de IA: F5 para a arquitetura de referência NVIDIA OpenShell para agentes de IA seguros
As soluções da F5 ampliam a Arquitetura de Referência NVIDIA OpenShell para agentes de IA seguros.
Como medir – e minimizar – o custo total de propriedade do seu Kubernetes
O Kubernetes pode ser baixado e executado gratuitamente, mas sua manutenção está longe de não ter custos. Assim como outras grandes plataformas de código aberto que são “gratuitas” apenas em um sentido simplista, o Kubernetes quase certamente exigirá investimentos para ser implantado e operado.
As-Code: a pilha de TI contínua
Infraestrutura, configuração, pipeline, operações. De repente, tudo é “como código”. Lori MacVittie busca esclarecer a terminologia e identificar os diferentes componentes de uma stack contínua de TI.
O estado da entrega de aplicações em 2017: automação, APIs e DevOps
Explore o relatório State of Application Delivery de 2017. Leia o blog retrospectivo da F5 sobre o início da ascensão das redes declarativas e dos pipelines de DevOps.
DevOps Summit: onde a rede foi convidada para a festa
No DevOps Summit NY, falou-se muito não apenas sobre DevOps, mas também sobre contêineres, IoT e microsserviços. As sessões se concentraram não só na mudança cultural necessária para crescer em escala com uma abordagem DevOps, mas também fizeram questão de incluir...
F5 e Nutanix convergem em infraestrutura no .NEXT
Aplicações empresariais como Microsoft SharePoint e Exchange, juntamente com a VDI, continuam sendo a espinha dorsal da sua empresa. A produtividade, embora não seja tão atraente quanto o lucro, é um fator essencial para o sucesso das operações empresariais atuais. Deixar de...