Важное примечание: Предоставленная поисковая выдача (информация из интернета) содержит данные преимущественно о стандартах США: NIST SP 800-171, программе CMMC (Cybersecurity Maturity Model Certification) и стандарте FIPS 140-2 / FIPS 140-3. Прямых упоминаний документа «Сб1 часть 42600» в предоставленных источниках не обнаружено. Ниже представлена статья, синтезирующая предоставленные международные данные, которые являются де-факто глобальным эталоном для требований к криптографическим модулям при защите конфиденциальной несекретной информации (CUI), и могут быть релевантны для понимания контекста подобных нормативных документов.

Защита конфиденциальной информации (в терминологии США, CUI — Controlled Unclassified Information) требует применения криптографических модулей, прошедших независимую валидацию. В международной практике «золотым стандартом» является сертификация по стандартам серии FIPS 140 (Federal Information Processing Standard). Требования к использованию именно FIPS-валидированной криптографии закреплены в ряде ключевых регулятивов, включая NIST SP 800-171 и программу CMMC для подрядчиков Министерства обороны США (DoD).

NIST SP 800-171 и требование 3.13.9: Основа соответствия

Согласно предоставленным данным, контроль 3.13.9 публикации NIST SP 800-171 прямо предписывает: «Использовать криптографию, валидированную по FIPS 140-2, для защиты CUI».

• Суть требования: Недостаточно просто использовать шифрование (например, AES-256). Используемый криптографический модуль (библиотека, аппаратный токен, HSM) должен иметь действующий сертификат CMVP (Cryptographic Module Validation Program).
• Почему это критично: Использование невалидированных реализаций (даже математически верных алгоритмов) считается нарушением контроля 3.13.9. Это одна из самых частых причин провала при аудите на соответствие NIST 800-171.
• Контекст 2023–2026 гг.: Эксперты (например, Totem Tech) подчеркивали, что подрядчики часто ошибочно считают наличие алгоритма AES в коде достаточным, игнорируя необходимость сертификации самого модуля.

CMMC Level 2: Обязательная валидация как условие допуска

Программа CMMC (Cybersecurity Maturity Model Certification) включает требования NIST SP 800-171 в свой второй уровень зрелости (Level 2). Информация из источников подтверждает:

1. FIPS-валидированное шифрование, жесткое требование для CMMC Level 2.
2. CMMC ссылается на NIST 800-171, который, в свою очередь, ссылается на FIPS 140 для стандартов шифрования.
3. Команды безопасности должны убедиться, что все требования CMMC Level 2, связанные с шифрованием (protecting CUI at rest and in transit), выполняются через модули с валидацией FIPS.

Практический вывод: Для компаний, претендующих на контракты с DoD, наличие сертифицированных модулей — это не просто «галочка», а условие получения аттестата CMMC и сохранения бизнеса.

Эволюция стандарта: Переход от FIPS 140-2 к FIPS 140-3

Ключевое событие, отраженное в предоставленных данных — историческое переключение стандартов:

Важно: Даже после 21 сентября 2026 года модули FIPS 140-2 не становятся «нелегальными» мгновенно для уже развернутых систем, но их использование в новых системах и при ресертификации CMMC станет проблематичным. Планирование перехода на FIPS 140-3 должно начинаться заранее.

Типичные ошибки и риски при внедрении (Lessons Learned)

На основе анализа блогов экспертов (Totem Tech и др.) за 2023–2026 гг., выделяются ключевые риски:

• Самописная криптография (Roll your own crypto): Попытки реализовать AES/GCM самостоятельно без валидации модуля — гарантированный провал аудита.
• Использование «FIPS-совместимых» режимов ОС без сертификата: Включение режима fips=1 в Linux (RHEL, Ubuntu) или настройка «FIPS compliance» в Windows не дает сертификата модулю приложения, если само приложение не использует сертифицированную библиотеку (например, OpenSSL с сертификатом #XXXX).
• Игнорирование цепочки поставки (Supply Chain): Если вы используете SaaS или облако, вы должны верифицировать, что их криптографические модули (TLS-терминация, шифрование дисков, KMS) имеют валидные сертификаты FIPS 140-2/3.
• Дорогие и сложные решения: Предупреждается о покупке избыточно дорогих HSM без анализа реальных потребностей. Часто достаточно использовать валидированные программные библиотеки (например, Microsoft CNG, AWS-LC, BoringCrypto в Go), если они покрывают угрозы.

Рекомендации по обеспечению соответствия (Best Practices)

Инвентаризация криптографических активов

Составить реестр всех мест, где обрабатывается CUI: хранилища (БД, файлы, бэкапы), каналы связи (VPN, TLS, SFTP), ключевое управление (HSM, KMS, локальные хранилища).

Проверка сертификатов (CMVP Search)

Использовать официальный поиск NIST CMVP (csrc.nist.gov) для верификации каждого модуля по полям:

• Vendor (Производитель)
• Module Name (Название модуля)
• Validation Number / Certificate Number
• Standard Version (FIPS 140-2 или 140-3)
• Status (Active / Historical)

Стратегия миграции на FIPS 140-3

1. Оценить текущие сертификаты: когда они перейдут в Historical.
2. Согласовать с вендорами дорожную карту (Roadmap) ресертификации их модулей на FIPS 140-3.
3. Включить требование «FIPS 140-3 Validated» в закупки нового ПО/железа.
4. Протестировать совместимость приложений с новыми версиями криптографических библиотек (API могут меняться).

Документирование для аудитора (CMMC / NIST 800-171)

Подготовить пакет доказательств (Artifacts) для контроля 3.13.9:

• Скриншоты/выписки из базы CMVP для каждого используемого модуля.
• Конфигурационные файлы, показывающие принудительное использование FIPS-режима (где применимо).
• Схемы управления ключами (Key Management) с указанием, где генерируются/хранятся ключи (в валидированном модуле).

Хотя предоставленная информация не раскрывает специфику документа «Сб1 часть 42600», международный опыт регулирования (NIST SP 800-171, CMMC, FIPS 140) демонстрирует единый вектор: требование независимой валидации криптографических модулей становится обязательным стандартом для защиты чувствительной информации.

Ключевые даты и факты для планирования:

• Контроль 3.13.9 NIST 800-171 требует FIPS-валидации.
• CMMC Level 2 делает это обязательным для контрактов DoD.
• 21 сентября 2026 г. — дедлайн перевода сертификатов FIPS 140-2 в исторический статус.
• Необходимо уже сейчас строить архитектуру на модулях, готовых к FIPS 140-3, или имеющих активный план миграции.

Грубая ошибка — полагаться на «алгоритмическую правильность» без сертификата модуля. Только сертификат CMVP (или аналогичный национальный сертификат, например, ФСТЭК/ФСБ в РФ) дает правовое и техническое основание заявлять о соответствии требованиям защиты информации.

Статья подготовлена на основе предоставленных интернет-источников за период 2023–2026 гг., охватывающих NIST SP 800-171, CMMC, FIPS 140-2/3.