FIPS 140-3: Entendendo a nova norma de segurança

A FIPS 140-3 é uma norma de segurança utilizada pelos governos dos Estados Unidos e do Canadá para garantir que a criptografia em produtos de TI seja devidamente testada e aprovada. Quando um produto é aprovado na validação, ele recebe um certificado que indica o nome do produto, a versão e o nível de garantia de segurança, que varia do nível 1 ao 4.

A certificação FIPS 140-3 costuma ser exigida para órgãos federais dos EUA e empresas contratadas que lidam com dados governamentais. Ela também é amplamente adotada em outros setores onde a proteção de dados é fundamental, como saúde, finanças e defesa, para atender às exigências regulatórias ou às expectativas de segurança dos clientes.

Manter a conformidade com produtos certificados pela norma FIPS 140-3

Para organizações que adquirem tecnologia que deve atender aos requisitos da norma FIPS 140-3, o certificado FIPS é a prova de que a criptografia do produto foi testada e aprovada. Sempre solicite esse certificado ao fornecedor para que você possa confirmar que o produto foi oficialmente validado.

Para os operadores de TI, a conformidade depende da utilização das versões e configurações exatas que foram testadas. Mesmo uma pequena alteração, como a atualização para uma versão de software não validada, pode levar à não conformidade.

Pontos-chave a serem lembrados

Quem geralmente precisa cumprir essas normas: órgãos governamentais, prestadores de serviços, prestadores de serviços de saúde, instituições financeiras e fornecedores do setor de defesa.
Como confirmar: Solicite o número do certificado FIPS e verifique-o na lista de validação do CMVP do NIST.
Principal atualização da norma FIPS 140-2: A nova versão está em conformidade com as normas internacionais ISO/IEC 19790 e com métodos de teste aprimorados.
O que fazer agora: Acompanhe as versões validadas do software, utilize configurações aprovadas e planeje as atualizações com cuidado para manter a conformidade.

Por que a norma FIPS 140-3 é importante

A norma FIPS 140-3 promove a confiança entre fornecedores e clientes ao confirmar que a criptografia de um produto atende aos padrões de segurança do governo, ajudando os vendedores a comprovar sua confiabilidade e os compradores a reduzir os riscos de não conformidade.

Ela define quem está qualificado para vender e comprar em mercados regulamentados

Licitações do setor público, trabalhos na cadeia de suprimentos da defesa e muitas aquisições nas áreas da saúde ou financeira frequentemente exigem a certificação FIPS para qualquer produto que lide com dados confidenciais. Se você é um comprador, a certificação FIPS filtra sua lista de fornecedores e protege você durante as auditorias. Se você é um vendedor, a certificação FIPS é um requisito para concorrer a esses contratos.

Isso reduz os atritos relacionados à auditoria e à renovação

Muitas equipes de segurança e conformidade não avaliam a criptografia partindo do zero. Elas verificam o número do certificado FIPS, o nome do módulo, a versão e o nível de garantia. Quando esses detalhes correspondem à versão e às configurações implantadas, as revisões ocorrem mais rapidamente e o número de problemas diminui.

Isso esclarece o que significa ser “bom”

A norma FIPS 140-3 é um resultado claro, baseado em testes. Ela não afirma que “este produto é, de modo geral, seguro”. Ela afirma que “este módulo criptográfico, nesta versão, foi aprovado nesses testes”. Essa precisão ajuda os compradores a verificar as alegações e auxilia os operadores a manter os sistemas dentro do escopo.

Isso garante a disciplina de versões

A validação é específica para cada versão. Se o seu ambiente se desviar da versão validada ou se você alterar configurações que ultrapassem os limites da validação, você enfraquece sua evidência. Manter-se alinhado evita descobertas indesejadas e reversões de emergência.

Isso facilita uma tomada de decisão mais rápida

Quando o departamento de compras vê — validado pela FIPS 140-3, Certificado nº XXXX, Módulo Y, Versão Z —, as análises são mais rápidas. Quando veem “compatível com a FIPS” sem nenhum certificado, as equipes de compras muitas vezes precisam buscar comprovantes.

O que a norma FIPS 140-3 realmente significa

A certificação FIPS 140-3 atesta que as funções criptográficas de um produto — como criptografia e gerenciamento de chaves — foram testadas de forma independente em um laboratório credenciado. O objetivo é garantir que dados confidenciais, como informações governamentais ou de clientes, permaneçam seguros durante a transmissão e o armazenamento.

Um certificado FIPS é específico para um produto e uma versão. Cada certificado indica o nome do módulo, o número da versão e o nível de garantia, que varia de 1 (básico) a 4 (mais alto). A validação se aplica apenas à configuração testada. Alterar configurações ou atualizar componentes pode fazer com que o produto fique fora do escopo validado.

“Validado” significa que o produto passou por um processo oficial aprovado pelo governo. “Em conformidade” ou “compatível com FIPS” significa que o fornecedor afirma seguir a norma, mas o produto ainda não passou pelo processo de validação. Em ambientes regulamentados, o que importa é a validação.

FIPS 140-3 x 140-2

A mudança para a norma 140-3 é importante porque padroniza as práticas globais de testes. Isso facilita a verificação e a comparação dos resultados de certificação, ajudando os compradores e as equipes de conformidade a avaliar a segurança dos fornecedores com mais rapidez.

Tema	FIPS 140-2	FIPS 140-3	O que você deve fazer
Reconhecimento	Norma mais antiga dos EUA e do Canadá	Versão atual em conformidade com a norma ISO/IEC 19790	De preferência, utilize certificados 140-3 quando necessário
Evidências	Varia de acordo com o laboratório e o produto	Detalhes mais claros sobre o certificado (nome, versão, nível)	Anote o número do certificado, o nome do produto e a versão
Operações	Menos restritivo em relação à configuração	Mais detalhes sobre a documentação e o comportamento operacional	Alinhar as configurações e atualizações às configurações certificadas

Como verificar uma declaração de conformidade com a norma FIPS 140-3

Verificar uma declaração de conformidade com a norma FIPS 140-3 é simples quando se sabe o que procurar e onde encontrá-la.

Peça comprovantes: solicite o número do certificado FIPS, o nome do produto/módulo, a versão, o nível de garantia e a plataforma compatível.
Verifique o banco de dados: verifique a lista de validação do NIST CMVP e confirme se os detalhes correspondem exatamente.
Confirmar o ambiente: Certifique-se de que sua implantação esteja executando a mesma versão e configuração que constam no certificado.
Use uma linguagem clara: em questionários, utilize expressões como “Validado pela FIPS 140-3 (Cert. nº XXXX), operando na versão [X.X], conforme listado no CMVP.”

Isso protege tanto os compradores quanto os fornecedores contra constatações de auditoria decorrentes de versões incompatíveis ou alegações não verificáveis.

Operando em conformidade com as normas FIPS

Para manter a conformidade após a validação:

Manter um inventário de todo o software e hardware abrangidos, indicando suas versões certificadas.
Padronize as configurações para que correspondam à configuração validada e evite alterações não aprovadas.
Aplique as atualizações com cuidado e verifique se elas afetam o módulo validado; em seguida, refaça a certificação, se necessário.
Guarde os PDFs dos certificados FIPS junto com seus relatórios de conformidade para que você possa responder rapidamente a auditorias e solicitações de propostas.

A consistência entre o que está certificado e o que está em operação é fundamental para manter a conformidade.

Onde o RMM se encaixa

As plataformas de monitoramento e gerenciamento remoto (RMM) são essenciais para a manutenção de ambientes em conformidade com a norma FIPS, pois proporcionam às equipes de TI visibilidade, controle e comprovação documentada da conformidade em sistemas distribuídos. O Kaseya VSA 10 e o Datto RMM automatizam grande parte do trabalho manual envolvido no rastreamento de softwares validados, na aplicação de configurações seguras e no registro de evidências para auditorias.

Inventário de ativos e versões

Identifique as versões de software e firmware em execução no seu ambiente e registre quais delas correspondem aos módulos validados.

Referências das políticas

Aplique as configurações de segurança aprovadas em todos os dispositivos e evite alterações não autorizadas que possam afetar a validação.

Controle de patches e alterações

Aplique e documente as atualizações para evitar que o alinhamento com as configurações certificadas seja comprometido.

Evidências e relatórios

Gere relatórios prontos para o cliente que mostrem os dispositivos abrangidos, as versões e o status de conformidade, juntamente com quaisquer exceções registradas.

Observação: A partir de novembro de 2025, a versão SaaS do VSA 10 incorporará criptografia validada pela norma FIPS 140-3, o mais alto padrão governamental para garantia de criptografia nos EUA e no Canadá. A versão local do VSA 10 seguirá o mesmo caminho em janeiro de 2026, com o Datto RMM previsto para adotar a mesma estrutura certificada pela norma FIPS 140-3 ainda em 2026.

Estratégias que você pode colocar em prática hoje mesmo

O Kaseya VSA 10 e o Datto RMM podem ser utilizados para criar fluxos de trabalho repetíveis que ajudam as equipes a manter operações alinhadas com a norma FIPS no dia a dia. Esses manuais transformam requisitos complexos de conformidade em tarefas gerenciáveis e automatizadas que melhoram a visibilidade, a consistência e a preparação para auditorias.

Verificação de prontidão: execute varreduras de descoberta para identificar todos os terminais e aplicativos que lidam com dados regulamentados. Marque-os em seu RMM para acompanhar quais sistemas estão sujeitos aos requisitos da FIPS.
Correção de lacunas: Utilize o gerenciamento de políticas para padronizar configurações e garantir a aplicação de configurações de criptografia validadas. Defina alertas automáticos para versões ou configurações não aprovadas.
Operação: Monitore continuamente por meio de painéis e ferramentas de aplicação de patches. Teste as atualizações antes da implantação para garantir que os módulos validados não sejam afetados. As alterações registradas mantêm seu histórico de conformidade.
Renovar: Quando surgirem auditorias ou solicitações de propostas (RFPs), exporte relatórios de conformidade do seu RMM com listas de versões, históricos de patches e certificados FIPS para uma verificação rápida.

Erros comuns e soluções fáceis

Mesmo equipes de TI experientes podem deixar de estar em conformidade devido a pequenos descuidos. Estes são os erros mais comuns a serem observados e como corrigi-los rapidamente.

Partindo do princípio de que as alegações de marketing equivalem à certificação: verifique sempre os números dos certificados.
Ignorando detalhes específicos da versão: a validação FIPS está vinculada a versões e ambientes exatos.
Permitir desvios na configuração: alterar as configurações sem documentação rompe a cadeia de evidências.
Mistura de componentes aprovados e não aprovados: mantenha os módulos não FIPS separados ou documente claramente as exceções.

Perguntas frequentes

Essas são as perguntas que a maioria dos líderes de TI e prestadores de serviços fazem ao avaliar os requisitos da norma FIPS e ao alinhar suas operações à norma.

Precisamos da certificação FIPS 140-3 se não formos um órgão governamental?

Se seus clientes ou parceiros lidam com dados governamentais ou regulamentados, talvez você precise. Atualmente, muitos contratos estendem os requisitos da FIPS a toda a cadeia de suprimentos.

“Em conformidade com a FIPS” é o mesmo que “validado pela FIPS”?

Não. “Validado” significa que foi oficialmente testado e listado. “Em conformidade” é uma autodeclaração e não foi verificado.

Como posso confirmar rapidamente a reclamação de um fornecedor?

Verifique a lista de validação do CMVP e compare o nome do produto, a versão e o número do certificado.

O que mudou na versão 140-2 que afeta as compras e as operações?

A norma FIPS 140-3 está em conformidade com as normas internacionais, estabelece regras mais claras para a documentação e simplifica a verificação.

Em que meu RMM pode me ajudar?

As ferramentas de RMM ajudam a manter a visibilidade, aplicar configurações e documentar evidências, mas não substituem a certificação. Você ainda precisa de módulos criptográficos validados.

Incorporando a conformidade com a norma FIPS 140-3 às operações diárias

A norma FIPS 140-3 não é apenas uma especificação técnica — é um requisito comercial que define quem pode vender, prestar serviços ou estabelecer parcerias com clientes regulamentados. Saber como verificar e manter a conformidade ajuda a reduzir atritos em auditorias, fortalecer a confiança dos fornecedores e manter sua organização qualificada para contratos de alto valor.

Com a atualização da Kaseya de novembro de 2025, que traz criptografia certificada pela norma FIPS 140-3 para a versão SaaS do VSA 10, os clientes passam a contar com ferramentas que estão em conformidade com as normas governamentais mais recentes e tornam mais eficiente a operação segura em ambientes regulamentados. A certificação FIPS para a versão local do VSA 10 ocorrerá em janeiro de 2026, com o Datto RMM previsto para adotar a mesma estrutura certificada pela FIPS 140-3 ainda em 2026.