Cumplimiento del FIPS 140

El Instituto Nacional de Normas y Tecnología (NIST) emite la serie 140 de la publicación Federal Information Processing Standard (FIPS) para coordinar los requisitos y estándares de los módulos criptográficos, que incluyen componentes de hardware y software para que los usen los departamentos y agencias de los gobiernos de Estados Unidos y Canadá para proteger la información sensible.

Requisitos del FIPS 140

Los proveedores de servicios en la nube (CSPs) deben implementar el control de seguridad de FIPS para cumplir los requisitos de cloud computing de los gobiernos de Canadá y Estados Unidos, así como de sus contratistas y proveedores. La publicación FIPS 140 establece que, si se utiliza el cifrado como mecanismo para cumplir un requisito de seguridad, debe estar validado por FIPS en el marco del programa de validación de módulos criptográficos (CMVP).

La publicación FIPS serie 140 más reciente del 2020 es la tercera revisión, comúnmente denominada FIPS 140-3. El NIST está inmerso en un plan de transición para migrar del estándar FIPS 140-2 al 140-3, y Google se ha comprometido a llevar a cabo esta transición. Desde septiembre del 2022, todas las solicitudes de Google de conformidad con el FIPS 140 para módulos nuevos se han realizado de acuerdo con el estándar 140-3. BoringCrypto, el módulo de software principal de Google, ha recibido el certificado FIPS 140-3 (n.º 4735). Las certificaciones emitidas según el estándar FIPS 140-2 siguen siendo válidas y aceptadas por los programas de cumplimiento federales hasta su fecha de vencimiento.

Cumplimiento de Google Cloud con el estándar FIPS 140

Los datos en reposo de Google Cloud se protegen con módulos validados por FIPS 140. Google encripta automáticamente el tráfico entre las máquinas virtuales que se transfieren entre centros de datos de Google mediante el cifrado validado por el estándar FIPS.

Los datos en tránsito en Google Cloud están protegidos por módulos validados por FIPS 140, como las conexiones de SSH, el tráfico de centros de datos, las conexiones entre servicios y las interfaces externas (que usan TLS 1.2 o una versión posterior). Para garantizar una conexión validada por FIPS 140, los clientes deben asegurarse de que las máquinas que se conecten a Google Cloud estén configuradas para usar módulos de cifrado certificados. Los clientes deben usar TLS 1.2 o una versión posterior para que la conexión esté validada por FIPS 140.

De acuerdo con la política de FedRAMP para la selección y el uso de módulos criptográficos, Google utiliza el flujo de actualizaciones que contiene los parches y las actualizaciones más recientes para aplicarlos al software, independientemente del estado de validación de FIPS del software actualizado.

Nota: Es posible que las aplicaciones de los clientes que se desarrollen y utilicen en Google Cloud incluyan sus propias implementaciones criptográficas. Para que los datos que procesen estén protegidos por un módulo criptográfico con validación FIPS, los clientes deben integrar esa implementación.