Prontidão de conformidade com FIPS para clientes federais

Os clientes que operam em setores regulamentados, como governo, defesa e contratação federal, podem exigir componentes criptográficos que estejam em conformidade com os padrões FIPS 140-2 ou FIPS 140-3. Este documento descreve o alinhamento atual da Aryaka com os requisitos FIPS e o uso de protocolos criptográficos seguros.

O FIPS 140 é um padrão do governo dos EUA que define como os módulos criptográficos devem ser projetados, implementados e testados para uso federal.

• O FIPS 140-2 é amplamente adotado e ainda reconhecido pela conformidade.
• O FIPS 140-3 é a versão atualizada e substitui gradualmente o 140-2, acrescentando uma validação mais rigorosa.

Uso do módulo criptográfico

Os serviços de segurança da Aryaka aplicam práticas de criptografia fortes alinhadas às diretrizes FIPS, restringindo os conjuntos de cifras e algoritmos àqueles aprovados pelos padrões FIPS. Essa abordagem garante controles criptográficos robustos quando a conformidade regulamentar é necessária.

Uso da cifra TLS por função:

• Inspeção SSL:

• Otimização de SSL:

Observação: as cifras não aprovadas pelo FIPS podem ser restringidas para manter o alinhamento com os requisitos do FIPS.

TLS e padrões de criptografia

• Versões de TLS compatíveis: TLS 1.2 e TLS 1.3
• Algoritmos de criptografia: AES-256 GCM, família SHA-2 (por exemplo, SHA-256)
• Proteção de dados: AES-256 para dados em repouso e em trânsito
• Padrões de segurança: SOC 2, ISO 27001, GDPR e outros padrões globais

Recomendações de implementação alinhadas ao FIPS

Os clientes de setores regulamentados podem habilitar uma configuração alinhada ao FIPS:

• Usar o TLS 1.2 ou superior com suítes de cifras aprovadas pelo FIPS
• Integração com sistemas de registro de auditoria e SIEM para visibilidade da conformidade

Status da certificação

Atualmente, a Aryaka não possui certificação FIPS 140-2 ou 140-3 em toda a pilha de produtos. No entanto:

• Utilizamos módulos criptográficos validados pela FIPS
• Operamos em uma postura alinhada ao FIPS, restringindo os algoritmos e o uso de cifras para atender aos padrões FIPS
• A certificação formal está sendo avaliada, impulsionada pelo aumento da demanda dos setores federal e de defesa

O Aryaka tem certificação FIPS 140-2?

No momento, não. Embora não sejamos certificados como um produto completo, utilizamos módulos de criptografia validados pelo FIPS e seguimos práticas alinhadas ao FIPS em nosso pipeline de criptografia.

Posso implementar a solução dos senhores em conformidade com o FIPS?

Sim, o senhor pode implantar nossa solução em um modo alinhado ao FIPS que aplica a criptografia aprovada pelo FIPS. Entre em contato com nossa equipe de suporte para obter orientação sobre as configurações adequadas.

O FIPS 140-3 é compatível?

O FIPS 140-3 é o sucessor do 140-2. Embora nosso roteiro inclua o alinhamento com esse padrão mais recente, nosso foco atual permanece nas necessidades dos clientes quanto à compatibilidade com o 140-2.