对美国而言，网络安全的核心在于韧性。正因如此，美国国家标准与技术研究院（NIST）制定并维护相关标准和指南，特别是针对政府及政府承包商使用的联网系统。该机构负责维护《联邦信息处理标准》（FIPS）。当前版本是
FIPS 140-3该战略旨在加强关键基础设施、全球网络空间以及美国情报部门抵御网络攻击的能力。
在人工智能和量子计算等新技术既带来机遇又带来威胁的当下，FIPS 140-3 在加强网络安全方面发挥着重要作用。
虽然这一网络安全标准由美国和加拿大政府采用，但任何人都可以采用。本文介绍了该标准的目的、重要用例，并推荐了可满足您需求的 FIPS 验证产品。
跳转至：
美国国家标准与技术研究院（NIST）制定了FIPS 140标准，旨在帮助保护敏感的政府信息免受黑客攻击。该机构提供了FIPS 140-3实施指南，以确保原始设备制造商（OEM）及其他生产和使用处理敏感数据的联网系统的各方，能够充分理解相关要求以及如何确保合规。FIPS 140-3涵盖了所有实现经批准安全功能的加密硬件、软件和固件。
换句话说，要符合标准，加密模块必须集成标准中列出的功能。因此，如果您的密码模块不符合验证要求，您就不能向政府出售您的解决方案。如果您想知道这些要求是什么样子的，这里有一个简单的概述。
FIPS 140-3 设有 4 个递增的安全等级，您可以在我们的《FIPS 140-3 技术简报》中了解相关内容。
确保处理通信和数据的加密模块（硬件和软件）符合 FIPS 140-3 标准，有助于政府机构和政府承包商共同遵循一套标准框架，以保护数据、运营和资产免受网络威胁。除了必需的政府应用外，其他应用场景还包括关键基础设施、制造业、交通运输等领域。在下一节中，我们将深入探讨政府及其他领域的若干应用案例。
需要通过 FIPS 140-3 验证的应用场景
- 政府机构与承包商：美国政府是最大的数字数据消费者和生产者之一。数据安全至关重要。因此，所有处理受控非机密信息（CUI）的实体均须通过 FIPS 140-3 认证，其中包括数百个政府机构（如联邦调查局、国防部和美国边境巡逻队），以及所有国防承包商和与政府签订合同的其他服务提供商。
- 执法部门：执法机构使用刑事司法信息系统（CJIS），这意味着他们会接触高度敏感的信息。 因此，警方必须使用通过 FIPS 140-3 认证的设备。此外，作为车载技术装备的一部分，他们还使用自动车牌识别系统（ALPR）等设备来传输和共享数据。符合 FIPS 140-3 标准可确保车牌数据在存储和传输过程中的安全性。
- 金融服务：金融业是全球监管最为严格的行业之一。隶属于联邦政府的金融机构（包括美国国税局和美联储）必须使用通过 FIPS 140-3 认证的设备，以保护金融数据免受网络威胁。越来越多的其他金融服务机构也正在采用该标准，将其作为网络安全领域的基准。
- 医疗机构：与金融机构类似，受政府监管的医疗机构必须使用通过 FIPS 140-3 认证的设备。此外，必须遵守《健康保险流通与责任法案》（HIPAA）的机构也必须遵循该标准，而大多数医疗机构为保护患者数据也必须符合该标准。相关风险极高。 例如，Quest Diagnostics 曾遭遇网络盗窃，攻击者通过入侵供应商的支付网页，窃取了超过 1200 万份敏感的患者记录。遵守 FIPS 140-3 标准可帮助医疗设备制造商和医疗软件供应商确保其加密方法能够保护敏感的患者数据，并保障患者生命所依赖的医疗设备的安全。
其他适合采用 FIPS 140-3 合规标准的应用场景
FIPS 140-3 合规性的重要性不容小觑，因为面对日益狡猾的黑客，当今每一家组织都必须加强其网络安全。对于那些处理从消费者数据到金融交易等各类事务的组织而言，FIPS 140-3 能显著降低其遭受攻击的风险
- Plasma Ruggedized Solutions 公司专门生产符合 FIPS 标准的保形涂层、灌封和封装服务。换言之，其产品通过在敏感电子设备表面形成保护层，防止他人访问经处理的印刷电路板组件上存储的数据。事实上，该公司甚至提供特殊措施，确保产品在检测到进一步篡改（如未经授权的访问、修改或逆向工程）时自动销毁。
- 能源与公用事业公司：能源基础设施（包括燃气、供水和电力公用事业）是我们一切活动的核心。它们对我们的经济和生活方式至关重要。此外，这些基础设施还与数千个终端设备紧密相连，其中包括发电设施、能源供应商，甚至智能电表。正因如此，必须加强防护，抵御日益复杂的网络攻击。 除了负面舆论和声誉受损外，黑客还可能造成财务损失并窃取宝贵的知识产权。例如，近期能源行业发生的网络攻击导致风电场的远程控制系统瘫痪，并引发了敏感客户信息泄露事件。防范网络威胁意味着必须为所有终端节点和数据提供最高级别的保护。希望增强抵御网络攻击能力的公用事业公司，可确保其所有加密模块均通过 FIPS 140-3 认证。
- 云数据中心：Google Cloud、IBM、AWS、戴尔和微软等云服务提供商均采用经过 FIPS 140-3 认证的加密技术。这意味着无论是传输中的数据还是存储中的数据，都会使用经过 FIPS 认证的加密技术进行加密。
- 无人驾驶车辆：无人驾驶车辆的范围涵盖无人机等无人飞行器、水下无人驾驶车辆，甚至自动驾驶汽车。由于计算机系统几乎控制着所有无人驾驶车辆的运行，因此保障传输数据和信息的安全仍是重中之重。 无人机与机器人公司大疆（DJI）为其部分无人机申请了FIPS 140-3认证。据大疆介绍，所有搭载DJI Core加密引擎的无人机都能确保客户“享受到值得信赖、权威且全球公认的安全标准”。鉴于许多大疆客户代表联邦政府或从事政府合同项目，大疆为其产品寻求FIPS认证便显得合情合理。
- 自动驾驶汽车：随着自动驾驶技术的进步，由软件驱动的人工智能汽车对未来出行将变得愈发重要。这些车辆在安全运行方面高度依赖数据和通信，因此网络安全仍然是一个巨大的风险。 美国交通部2022年发布的预最终报告《机动车安全网络安全最佳实践》中指出，FIPS 140-3标准可确保“加密技术应符合当前需求，且在预期应用场景中不会过时”。
尽管在联邦政府内部工作或作为其供应商意味着必须遵守 FIPS 140-3 标准的要求，但任何需要强有力网络安全保护的组织都可以采用该标准。这正是 Digi 能为您提供帮助的地方。自 1985 年以来，Digi 一直致力于无线通信领域的创新。 如今，Digi 提供从基于传感器的解决方案和先进的远程监控平台，到提供全方位服务的专业设计、实施和认证团队等全方位服务。在网络安全方面，我们为您提供全面保障。
Digi 解决方案在基于 Digi Accelerated Linux 操作系统 (DAL OS) 的全系列设备上支持 FIPS 140–2 标准：
加密功能易于实现。Digi Remote Manager 是 Digi 推出的基于云端的设备监控与管理解决方案，它提供了一个简便的流程，可确保设备始终保持最新状态。您只需升级固件并启用 FIPS 即可。仅此而已。无需受限于昂贵且复杂的解决方案。Digi 的方案意味着您的系统能够轻松获得定期更新，且无需额外费用。
FIPS 140-3 为何重要？
FIPS 140-3 至关重要，因为它增强了政府系统和关键基础设施的网络安全韧性。它有助于组织保护敏感信息免受网络攻击，并确保加密安全采用标准化方法。
哪些主体必须遵守 FIPS 140-3 标准？
以下情况必须符合 FIPS 140-3 标准：
- 美国政府机构
- 处理受控非机密信息（CUI）的政府承包商
- 使用CJIS系统的执法机构
- 联邦金融机构和医疗机构
未能通过FIPS认证的组织不得向美国政府销售加密解决方案。
私营企业可以使用 FIPS 140-3 吗？
是的。虽然该标准是政府机构的强制性要求，但任何组织都可以采用 FIPS 140-3 作为网络安全基准，以加强数据保护并降低风险敞口。
FIPS 140-3 涵盖哪些内容？
FIPS 140-3 涵盖所有加密模块，包括：
- 硬件安全模块（HSM）
- 加密软件
- 基于固件的安全系统
它确保这些组件符合保护静态数据和传输中数据的严格安全要求。
FIPS 140-3 中的安全等级有哪些？
FIPS 140-3 定义了四个递增的安全级别：
- 第1级——基本加密要求
- 第 2 级——防篡改与基于角色的身份验证
- 第3级——防篡改性和更严格的身份控制
- 第4级——物理安全与环境保护的最高级别
级别越高，对物理和网络威胁的防护能力就越强。
哪些行业能从符合 FIPS 140-3 标准中获益？
除了政府部门外，许多行业也从采用 FIPS 140-3 中受益，包括：
- 金融服务
- 医疗保健和医疗器械
- 制造业
- 能源和公用事业
- 云服务提供商
- 自动驾驶和无人驾驶车辆
这些行业依赖于安全可靠的数据传输和存储，以防止数据泄露并维护信任。
FIPS 140-3 如何提升网络安全？
FIPS 140-3 通过强制执行标准化的加密实践来降低系统漏洞。它最大限度地缩小了处理敏感数据的组织的攻击面，并确保在各个系统和设备上提供一致的保护。
云服务是否必须符合 FIPS 140-3 标准？
许多领先的云服务提供商（如 AWS、Google Cloud 和 Microsoft）采用经过 FIPS 140-3 认证的加密技术来保护客户数据。虽然这并非强制要求，但作为云安全领域的最佳实践，该技术已被广泛采用。
组织如何实现 FIPS 140-3 合规？
组织可以通过以下方式实现合规：
- 使用经过 FIPS 认证的加密模块
- 遵循NIST实施指南
- 与值得信赖的解决方案提供商合作
与Digi这样的经验丰富的供应商合作，可以简化认证流程及后续的合规管理。
FIPS 140-2 与 FIPS 140-3 之间有什么区别？
FIPS 140-3 是该标准的最新版本，其中包含与现代网络安全威胁及国际标准相适应的更新要求。该标准取代了 FIPS 140-2，引入了更严格的验证流程和改进的安全控制措施。
组织为何现在就应采用 FIPS 140-3？
随着包括人工智能驱动的攻击和不断演变的网络风险在内的先进威胁日益增多，采用 FIPS 140-3 标准有助于组织确保其安全态势具备前瞻性，并符合全球公认的标准。
下一步工作