Cuando se trata de protección de datos y encriptado, el estándar global de facto es impulsado por el Instituto Nacional de Estándares y Medidas (NIST o National Institute of Standards and Measures). NIST es la agencia estadounidense que definió el Estándar de encriptación avanzado (AES), donde la encriptación AES de 256 bits en modo XTS es la mejor encriptación comercial disponible para la protección de datos. El NIST publica estándares para el gobierno y el ejército de los Estados Unidos llamados FIPS (Federal Information Processing Standard) para definir y aprobar estándares criptográficos, y la serie FIPS 140 se utiliza para definir la seguridad del encriptado por hardware y software.
¿Por qué uno debe optar por soluciones validadas por FIPS? Como explica el NIST, “el NIST considera que la criptografía no validada no ofrece protección a la información o los datos, ya que éstos se considerarían texto sin formato no protegido.”
FIPS 140-2 se aprobó en mayo de 2001 y ha estado en vigor durante más de 20 años, mientras que el poder de la computación ha aumentado exponencialmente en ese período de tiempo. Si bien FIPS 140-2 todavía se considera una fuerte seguridad de grado militar, el NIST publicó el estándar FIPS 140-3 y lo aprobó en septiembre de 2019. Para garantizar el cumplimiento, el NIST estableció laboratorios certificados que realizan revisiones y pruebas rigurosas de software y unidades físicas para la industria, y los resultados son revisados por científicos del NIST antes de la concesión oficial de un certificado de la serie FIPS 140.
Las unidades de almacenamiento que cumplen con FIPS 140-3 se han lanzado desde 2023, por lo que los gobiernos y las empresas deben comenzar a cambiar a las unidades FIPS 140-3. Estas unidades vienen con niveles de protección mejorados, de los cuales el nivel 3 es el estándar de oro con resistencia a la manipulación para detectar intentos de intrusión física utilizando epoxi especial en los circuitos físicos.
