Ollakseen FIPS-yhteensopiva, organisaation on noudatettava erilaisia tietoturva- ja tietokonejärjestelmistandardeja, jotka on määritelty liittovaltion tietojenkäsittelystandardeissa (FIPS).

Kansallisten standardien ja tekniikan instituutin (NIST: n) tietoturvaosaston luoma FIPS vahvisti tietoturva- ja tietojärjestelmästandardin, jota organisaatioiden on noudatettava vuoden 2002 liittovaltion tietoturvallisuuden hallintolain (FISMA) mukaisesti. FISMA vaatii Yhdysvaltojen liittovaltion valtionhallinnon virastoja vähentämään tietotekniikkariskin hyväksyttävälle tasolle kohtuullisin kustannuksin.

Vuonna 2014 FISMA korvattiin liittovaltion vuoden 2014 tietoturvan modernisointilaissa (FISMA2014), joka vaikutti joihinkin osiin alkuperäisestä FISMA: sta ja muutti sitä kyberturvallisuustarpeiden ja valvonnan muutosten vuoksi.

Jotta FIPS-yhteensopiva, Yhdysvaltain valtion viraston tai urakoitsijan tietokonejärjestelmien on täytettävä FIPS-julkaisuissa 140, 180, 186, 197, 198, 199, 200, 201 ja 202.

• FIPS 140 kattaa salausmoduulin ja testausvaatimukset sekä laitteistoissa että ohjelmistoissa.
• FIPS 180 määrittää, miten organisaatiot voivat olla FIPS-yhteensopivia käytettäessä suojattuja hajautusalgoritmeja tiivistetyn viestin laskemiseen.
• FIPS 186 on ryhmä algoritmeja digitaalisen allekirjoituksen luomiseksi.
• FIPS 197 on standardi, joka loi Advanced Encryption Standard -standardin, joka on yleisesti saatavilla oleva salaus, jonka National Security Agency (NSA) on hyväksynyt salaista tietoa varten.
• FIPS 198 on sanoman todennusmekanismi, joka käyttää salauksen hash-toimintoja.
• FIPS 199 standardoi, kuinka liittovaltion virastot luokittelevat ja suojaavat viraston keräämiä tai ylläpitämiä tietoja ja tietojärjestelmiä. .
• FIPS 200 on standardi, joka auttaa liittovaltion virastoja riskienhallinnassa riskitasoihin perustuvan tietoturvan avulla.
• FIPS 201 määrittelee liittovaltion työntekijöiden ja urakoitsijoiden yhteisen tunnistamisen standardin.
• FIPS 202 antaa Secure Hash Algorithm-3: n (SHA- 3) neljän salauksen hash-toiminnon ja kahden laajennettavan ulostulofunktion perhe.

FIPS 140: ”Secur salausmoduulien erityisvaatimukset ”

FIPS 140 -standardia käytetään salausmoduulien suunnittelussa, toteuttamisessa ja käytössä. Salausmoduuli on laitteisto-, ohjelmisto- ja / tai laiteohjelmisto, joka toteuttaa suojaustoimintoja, kuten algoritmeja ja avainten luomista. Standardi määrittelee myös menetelmät moduulien testaamiseksi ja validoimiseksi.

Suojausvaatimukset kattavat salausmoduulien rajapinnat; ohjelmistojen ja laiteohjelmistojen turvallisuus; toimintaympäristö, fyysinen turvallisuus; turvallisuusparametrien hallinta; itsetestit; hyökkäysten lieventäminen; ja roolit, palvelut ja todennus. Liittovaltion osastoilla ja virastoilla, jotka käyttävät salausmoduuleja tai joilla on sopimus moduulien käytöstä, on oltava moduulit, joita he käyttävät, läpäisevät testit näihin vaatimuksiin. Kun tasot kasvavat, ne eivät välttämättä rakenna edellisen tasoa. Korkeampi taso käy läpi lisätestauksen tason käyttötapauksessa. Taso 2 -moduuliin sovellettavaa ei välttämättä sovelleta tason 4 moduuliin. Moduulit validoidaan sen perusteella, kuinka hyvin ne vastaavat niiden skenaarioiden tarpeita, joissa niitä käytetään.

Taso 1 on alhaisin suojaustaso. Se kattaa salausmoduulin perusturvaominaisuudet. Tason 1 järjestelmät voivat käyttää integroituja piirikortteja; tyypillisen henkilökohtaisen tietokoneen ohjelmistotoiminnot ovat kuitenkin hyväksyttäviä.

Taso 2 parantaa salausmoduulien fyysisiä turvallisuusnäkökohtia. Esimerkkejä vaadituista fyysisistä turvatoimenpiteistä ovat peukaloinnissa näkyvät pinnoitteet, tiivisteet tai poimimiskestävät lukot. Roolipohjainen todennus sisältyy tähän suojaustasoon ja varmistaa, että operaattori, joka käyttää moduulia, on valtuutettu ja rajoittuu heidän määräämiinsä toimiin. Taso 2 mahdollistaa myös ohjelmistosalauksen useiden käyttäjien järjestelmäympäristössä. Tällöin useat käyttäjät käyttävät yhtä järjestelmää yhdellä käyttöjärjestelmällä.

Taso 3 vaatii parannettua fyysistä turvallisuutta, mahdollisesti yksityisellä sektorilla saatavien tuotteiden kanssa. Monisiruinen upotettu moduuli on oltava vahvassa kotelossa, joka tyhjentää kriittiset suojausparametrit, kun se poistetaan. Nollaaminen on koneen asetusten muuttaminen nolla-arvoksi, mikä muuttaa tai poistaa tietoja. Tämä suojaustaso käyttää myös identiteettiin perustuvaa todennusta.