Qu'est-ce que la norme FIPS 140-2 ?

FIPS signifie "Federal Information Processing Standard" (norme fédérale de traitement de l'information). La version actuelle, FIPS 140-2, comporte quatre niveaux de sécurité. Le National Institute of Standards and Technology (NIST) a élaboré la norme FIPS afin de protéger les informations gouvernementales sensibles contre les pirates informatiques. La norme FIPS 140-2 couvre l'ensemble du matériel, des logiciels et des microprogrammes cryptographiques qui traitent les données et les communications.

Diagramme montrant les cas d'utilisation des produits Digi

Si vous souhaitez vous assurer que vous êtes toujours en conformité avec les changements de la norme FIPS 140, sachez que l'ensemble de la suite cellulaire de Digi est validée FIPS 140-2 par une simple mise à jour du micrologiciel à l'aide d'un logiciel de gestion. Digi Remote Manager®. Digi ayant simplifié la mise en œuvre de la norme FIPS 140-2, nous nous assurons non seulement que votre version de la norme FIPS 140 reste à jour, mais notre processus de cryptage toujours actualisé facilite sa mise en œuvre. Il vous suffit de mettre à jour votre micrologiciel pour que vos appareils Digi soient instantanément conformes à la norme FIPS 140-2 niveau 1. C'est tout. Évitez de vous retrouver avec des solutions coûteuses, onéreuses et compliquées. Et si vous avez besoin d'aide à n'importe quel moment de votre parcours FIPS, Services professionnels de Digi peut vous aider.

Digi a obtenu la validation FIPS pour tous les appareils Digi basés sur le système d'exploitation Digi Accelerated Linux (DAL OS), y compris :

Pourquoi la norme FIPS 140-2 est-elle nécessaire ?

Si vous travaillez avec les gouvernements américain ou canadien et manipulez des informations sensibles ou protégées, vos modules cryptographiques doivent être validés selon la norme FIPS 140-2. La loi fédérale sur la gestion de la sécurité de l'information (Federal Information Security Management Act - FISMA) exige que les agences gouvernementales américaines, les sous-traitants du gouvernement américain et les tiers travaillant pour les agences fédérales adhèrent à la norme FIPS 140-2 afin de protéger les données sensibles. En fait, toute entreprise de défense traitant des informations non classifiées contrôlées doit répondre aux exigences de validation de la norme FIPS et utiliser des "mécanismes cryptographiques" pour protéger la confidentialité. Les organisations du secteur privé qui se conforment à des réglementations telles que le Health Insurance Portability and Accountability Act (HIPAA) doivent également passer la validation FIPS 140-2.

La norme FIPS 140-2 sert de référence pour l'efficacité du matériel cryptographique. La validation FIPS 140-2 signifie qu'un produit répond aux exigences rigoureuses des gouvernements américain et canadien. Mais les gouvernements ne sont pas les seuls concernés. Les secteurs gouvernementaux et non gouvernementaux du monde entier peuvent exiger que leurs dispositifs de communication soient conformes à la norme FIPS 140-2 en tant que référence des meilleures pratiques en matière de cybersécurité. Cette norme unifiée assure une protection extraordinaire des données contre des cyberattaques de plus en plus sophistiquées et constitue un moyen mesurable de renforcer les dispositifs et les systèmes contre les menaces.

Le non-respect des normes FIPS peut entraîner d'importants préjudices financiers et de réputation. Pour les secteurs réglementés tels que les agences gouvernementales et les institutions financières, tout manquement important à la conformité peut entraîner une perte d'activité, ainsi que des sanctions civiles ou pénales, des amendes et des audits gouvernementaux.

Cas d'utilisation FIPS 140-2

La conformité à la norme FIPS 140-2 garantit la sécurité des données pour les applications qui transmettent et utilisent des données sensibles mais non classifiées (SBU). Bien que cette norme ait été initialement développée et adoptée par des entités gouvernementales américaines et canadiennes, elle a été adoptée dans d'autres secteurs où la cybersécurité et la confidentialité des données sont essentielles.

Agences gouvernementales

La validation FIPS 140-2 est requise pour toutes les entités gouvernementales, y compris le FBI, le ministère de la défense, la patrouille frontalière américaine et d'autres agences qui traitent des informations non classifiées contrôlées (CUI) sur n'importe quel appareil. Par exemple, l'addendum à l'International Traffic in Arms Regulation (ITAR) met en évidence les normes FIPS 140-2 requises pour la transmission ou le stockage de données techniques en dehors des États-Unis.

Entrepreneurs publics

Outre les agences gouvernementales américaines, les entrepreneurs publics doivent utiliser des dispositifs validés FIPS 140-2 pour chiffrer et protéger les données sensibles contre des cyberattaques de plus en plus sophistiquées. Les entreprises de défense, par exemple, sont tenues d'utiliser une cryptographie validée par la FIPS pour protéger la confidentialité des informations non classifiées contrôlées sur tous les ordinateurs de bureau et les appareils mobiles.

Sécurité publique/application de la loi

Les organismes de sécurité publique qui envoient des données sensibles constituent un cas d'utilisation clé pour les dispositifs validés par la norme FIPS 140-2. En particulier, les organismes chargés de l'application de la loi doivent utiliser la norme FIPS 140-2 pour le traitement de toutes les données transférées par voie hertzienne. Les agents et le personnel des forces de l'ordre accèdent au système fédéral d'information sur la justice pénale (Criminal Justice Information System - CJIS), ce qui implique l'utilisation d'informations non classifiées contrôlées.

Institutions financières

La norme FIPS 140-2 s'applique aux secteurs réglementés qui collectent, stockent et transfèrent des données sensibles. Il s'agit notamment des opérations financières gouvernementales telles que l'IRS et la Réserve fédérale, ainsi que de nombreuses banques et services financiers du secteur privé. Ces organisations utilisent les exigences de la norme FIPS 140-2 pour s'assurer que leurs données et leurs communications sont conformes aux normes de sécurité réglementées.

Soins de santé/médical

Les professionnels de la santé manipulant des données sensibles sur les patients, la validation FIPS 140-2 est de plus en plus souvent exigée pour les appareils et les logiciels utilisés dans les systèmes médicaux et de soins de santé. Le respect de ces normes permet de protéger les dossiers médicaux électroniques, les dispositifs médicaux et les systèmes de communication contre les cybermenaces, garantissant ainsi la confidentialité des patients et l'intégrité des informations essentielles sur les soins de santé.

Autres industries

La conformité à la norme FIPS 140-2 est un objectif pour toute une série de secteurs où les données doivent être cryptées. La norme FIPS 140-2 constitue un point de référence pour garantir la conformité à des exigences spécifiques. Bien que la norme ne soit pas obligatoire en dehors des applications gouvernementales, médicales et financières, elle peut être utilisée pour le cryptage des données dans les secteurs de la fabrication, du transport, des services publics, du contrôle des aéroports et dans d'autres cas d'utilisation.

La norme FIPS 140-2 comporte 4 niveaux de sécurité croissants

Le NIST a mis au point quatre niveaux de sécurité qualitatifs, résumés ci-dessous, destinés à couvrir un large éventail d'applications et d'environnements potentiels

Niveau de sécurité 1

Le module cryptographique doit fournir des fonctions de sécurité essentielles. Les modules de niveau 1 sont généralement mis en œuvre dans un logiciel et ne nécessitent pas de protections matérielles particulières.

Niveau de sécurité 2

Le niveau 2 ajoute l'exigence de revêtements ou de sceaux inviolables pour détecter les altérations physiques ou l'accès non autorisé au module. Le niveau 2 exige également une authentification basée sur les rôles.

Niveau de sécurité 3

Outre les revêtements ou les sceaux d'inviolabilité, le niveau 3 exige des mécanismes de réaction active aux tentatives d'altération physique. Les modules de niveau 3 nécessitent également un boîtier physiquement robuste.

Niveau de sécurité 4

Au niveau 4, le module cryptographique doit détecter les tentatives de falsification et y répondre en temps réel, ce qui peut rendre le module inopérant si une falsification est détectée. Le niveau 4 exige une sécurité physique rigoureuse, y compris une protection contre les attaques environnementales.

FIPS 140-3

L'évolution du FIPS comprend désormais le FIPS 140-3. Il y a peu de changements techniques majeurs, le plus important étant la migration des normes de sécurité développées en interne vers un ensemble de normes développées et maintenues par l'organisme international ISO. Digi s'est engagé à passer à la norme FIPS 140-3 dans le cadre d'une version de micrologiciel avant l'expiration prévue de la norme FIPS 140-2 en septembre 2026.

Par industrie

Par application

Services gérés

DAL OS

Digi SureLink

Digi TrustFence

Digi ConnectCore Contrôle vocal

Technologies en vedette

Systèmes embarqués

Cellulaire et réseaux

Services professionnels

Bibliothèque de ressources

Ressources de support

À propos de Digi

Partenaires

FIPS 140-2

Les normes de cybersécurité évoluent pour garantir la sécurité des appareils et des données. La norme FIPS 140-2 est conçue pour protéger les données sensibles dans une série d'applications.