Les acheteurs canadiens supposent parfois que FIPS 140-3 est une exigence américaine dont ils peuvent faire abstraction. Ce n’est pas le cas. Le Centre canadien pour la cybersécurité (CCCS), l’autorité nationale canadienne en matière de cybersécurité, qui fait partie du Centre de la sécurité des télécommunications, administre conjointement le Cryptographic Module Validation Program (CMVP) avec le National Institute of Standards and Technology (NIST) des États-Unis et en est l’autorité canadienne de certification. Le même certificat qui satisfait à une règle américaine est reconnu au Canada.
Un programme, deux pays
Dans le cadre du CMVP, les modules cryptographiques sont mis à l’essai par des laboratoires accrédités et validés selon la norme fédérale de traitement de l’information 140-3, qui est harmonisée avec la norme internationale ISO/IEC 19790. Comme le CCCS et le NIST administrent le programme ensemble, un module figurant sur la liste des modules validés du CMVP a du poids tant pour un ministère fédéral canadien que pour un organisme américain. Les validations FIPS 140-2 passent à la liste historique du NIST le 21 septembre 2026; les approvisionnements canadiens, comme les américains, devraient donc exiger FIPS 140-3.
Source primaire : la page du Cryptographic Module Validation Program du CCCS.
À qui cela s’applique au Canada
Si vos obligations renvoient à une cryptographie validée par le CMVP, FIPS 140-3 est la version à exiger. Cela touche plus de monde que la plupart des gens ne le pensent :
| Secteur | Pourquoi FIPS 140-3 entre en jeu |
|---|---|
| Gouvernement fédéral et fournisseurs | Les directives du CCCS renvoient les ministères et leurs entrepreneurs à des modules validés par le CMVP pour protéger les renseignements sensibles et protégés. |
| Application de la loi | Les services de police des villages, des villes, des comtés et des municipalités, ainsi que les fournisseurs qui les soutiennent, traitent des renseignements de justice pénale et s’alignent sur des contrôles de type CJIS pour les renseignements en transit. |
| Santé | Les dépositaires visés par les lois provinciales sur la protection des renseignements sur la santé, comme la PHIPA de l’Ontario et la HIA de l’Alberta, sont censés utiliser une cryptographie robuste et validée pour les renseignements personnels sur la santé. |
| Finance | Les institutions financières sous réglementation fédérale selon les attentes du BSIF, et les firmes soumises à la surveillance de l’organisme qui a succédé à l’OCRCVM, considèrent la cryptographie validée comme une base. |
| Chaîne d’approvisionnement de la défense | Le Programme canadien de certification en cybersécurité (CPCSC) et les travaux américains liés au CMMC pour les fournisseurs canadiens de la défense s’appuient tous deux sur une cryptographie validée FIPS. |
Ce que Lavawall® satisfait et que d’autres peuvent ne pas satisfaire
Plusieurs outils d’accès à distance et de RMM ont un discours FIPS, mais pour un acheteur canadien réglementé, c’est la combinaison qui compte, et elle est rare :
| Exigence | Lavawall® |
|---|---|
| Module FIPS 140-3 en vigueur pour les données en transit | La séance à distance passe par un module validé FIPS 140-3, le certificat no 5247 du CMVP du NIST, reconnu au Canada par l’entremise du programme CCCS-NIST. Une validation 140-3 en vigueur, et non une validation 140-2 en route vers la liste historique. |
| Clés de connexion validées FIPS 140-3 imposées | Les connexions peuvent être limitées aux clés de sécurité validées FIPS 140-3, vérifiées par rapport à la liste du CMVP à l’enregistrement et à chaque connexion. |
| Résidence des données au Canada | Vos données et leur traitement par l’IA s’exécutent au Canada par défaut, sur AWS à Montréal et à Calgary. Voir résidence des données au Canada. |
| Une seule plateforme, et non une édition distincte | La cryptographie en mode FIPS, l’application des correctifs, le soutien à distance et la GRC s’exécutent dans une seule console, de sorte que les preuves se retrouvent au même endroit. |
La YubiKey 5C NFC FIPS (140-3) coûte 88$ US sur Amazon, ou 88$ US directement chez Yubico. Prix vérifiés le 13 octobre 2026 (Amazon) et le 14 octobre 2026 (Yubico). Consultez le détaillant pour le prix actuel.
Questions fréquentes
- FIPS 140-3 est-elle une norme exclusivement américaine?
- Non. Le Centre canadien pour la cybersécurité (CCCS), l’autorité nationale canadienne en matière de cybersécurité, administre conjointement le Cryptographic Module Validation Program avec le National Institute of Standards and Technology des États-Unis, et il est l’autorité canadienne de certification. Le même certificat du CMVP qui satisfait à une exigence américaine est reconnu au Canada, et FIPS 140-3 est harmonisée avec la norme internationale ISO/IEC 19790.
- Quelles organisations canadiennes ont besoin d’une cryptographie validée FIPS 140-3?
- Les ministères fédéraux et leurs fournisseurs selon les directives du CCCS, les organismes d’application de la loi qui manipulent des renseignements de justice pénale, ainsi que les organisations des chaînes d’approvisionnement de la santé, de la finance et de la défense qui traitent des renseignements sensibles ou protégés. Si vos obligations renvoient à des modules validés par le CMVP, FIPS 140-3 est la version actuelle à exiger.
- Lavawall garde-t-il les données canadiennes au Canada?
- Oui, par défaut. Vos données et leur traitement par l’IA s’exécutent au Canada, sur AWS à Montréal et à Calgary, et ne peuvent être placés ailleurs que sur demande. La séance à distance que Lavawall achemine est protégée en transit par un module validé FIPS 140-3, le certificat no 5247 du CMVP du NIST.