# FIPS 140-3 คืออะไร? มาตรฐาน Cryptographic Module Validation สำหรับผู้ส่งออกไทย 2026
ในยุคที่รัฐบาลและองค์กรขนาดใหญ่ทั่วโลกยกระดับ Cybersecurity ของ Supply Chain อย่างเข้มข้น FIPS 140-3 กลายเป็นด่านสำคัญที่ผู้ส่งออกไทยในกลุ่มซอฟต์แวร์, ฮาร์ดแวร์เครือข่าย, IoT และ Cryptographic Device ต้องผ่าน หากต้องการเข้าสู่ตลาด US Federal Government, Canada, หรือประเทศในเครือ NATO การไม่มีใบรับรอง CMVP อาจหมายถึงการถูกตัดสิทธิ์จากการประมูลมูลค่าหลายร้อยล้านบาท
FIPS 140-3 (Federal Information Processing Standard 140-3) เป็นมาตรฐาน "Security Requirements for Cryptographic Modules" ที่ออกโดย NIST ของสหรัฐอเมริกา มีผลบังคับใช้เต็มรูปแบบตั้งแต่ 22 กันยายน 2026 (ใบรับรอง FIPS 140-2 เก่าจะหมดอายุในปี 2026) มาตรฐานนี้สอดคล้องกับ ISO/IEC 19790:2012 ทำให้เป็นที่ยอมรับในระดับสากล
บทความนี้จะอธิบายโครงสร้างของ FIPS 140-3, ระดับการรับรอง, กระบวนการ CMVP, ค่าใช้จ่ายและระยะเวลา และแนวทางเตรียมความพร้อมสำหรับ SME ไทยที่ต้องการส่งออกผลิตภัณฑ์ Cybersecurity สู่ตลาดโลก
โครงสร้าง FIPS 140-3: 11 Security Requirement Areas
FIPS 140-3 แบ่งการประเมินออกเป็น 11 พื้นที่หลัก ซึ่งต้องผ่านทุกหัวข้อตามระดับที่ต้องการ
| หัวข้อ (Security Area) | คำอธิบาย |
|----------------------|----------|
| Cryptographic Module Specification | ระบุขอบเขต Module และ Algorithm |
| Module Interfaces | อธิบาย Input/Output/Control |
| Roles, Services, Authentication | Role-Based หรือ Identity-Based |
| Software/Firmware Security | ตรวจสอบ Integrity ของ Code |
| Operational Environment | ระบบปฏิบัติการที่รองรับ |
| Physical Security | ป้องกันการงัดแงะทางกายภาพ |
| Non-Invasive Security | ป้องกัน Side-Channel Attack |
| Sensitive Security Parameter (SSP) | Key Management |
| Self-Tests | Power-on และ Conditional Tests |
| Life-Cycle Assurance | Design, Development, Delivery |
| Mitigation of Other Attacks | Timing, Power Analysis |
4 Security Levels: เลือกระดับที่เหมาะกับสินค้า
FIPS 140-3 แบ่งระดับความเข้มงวด 4 ระดับ ยิ่งสูง ยิ่งต้องใช้ Tamper-Evident และ Tamper-Resistant
CMVP: ขั้นตอนการขอใบรับรอง FIPS 140-3
Cryptographic Module Validation Program (CMVP) เป็นโปรแกรมร่วมระหว่าง NIST (USA) และ CCCS (Canada) กระบวนการขอใบรับรองมี 5 ขั้นตอนหลัก
เปรียบเทียบ FIPS 140-2 vs FIPS 140-3
| หัวข้อ | FIPS 140-2 | FIPS 140-3 |
|--------|-----------|-----------|
| อ้างอิงมาตรฐาน | NIST เฉพาะ | ISO/IEC 19790:2012 + 24759:2017 |
| สถานะ | Sunset 2026 | Current Standard |
| Non-Invasive | ไม่บังคับ | บังคับ (Side-Channel) |
| Authentication | Password เบื้องต้น | Multi-factor Level 3+ |
| Testing Lab | CMTL | CMTL (อัปเดต) |
| ระยะเวลาใบรับรอง | 5 ปี | 5 ปี |
ค่าใช้จ่ายและระยะเวลา: สิ่งที่ SME ต้องวางแผน
การขอใบรับรอง FIPS 140-3 ต้องเตรียมงบประมาณและเวลาอย่างรอบคอบ
สรุปและขั้นตอนถัดไป
FIPS 140-3 คือประตูสำคัญที่ผู้ส่งออกไทยต้องผ่านเพื่อเข้าสู่ตลาด Enterprise และ Government ระดับโลก การเริ่มวางแผนตั้งแต่ขั้น R&D จะช่วยประหยัดค่าใช้จ่ายและเวลาได้มากกว่ามาก่อน Launch แล้วค่อย Retrofit
Key Takeaways:
หากบริษัทของคุณกำลังพัฒนาผลิตภัณฑ์ Cybersecurity, IoT Security, หรือ Cryptographic Module และต้องการที่ปรึกษาเรื่อง FIPS 140-3, Common Criteria, ISO 27001 สำหรับการส่งออก ADS FIT พร้อมให้คำปรึกษาการเตรียม Compliance สำหรับตลาด US, EU, APAC [ติดต่อเรา](/contact) หรืออ่านบทความเพิ่มเติมเกี่ยวกับ [ISO 27001](/blog) และ [Cybersecurity Compliance](/blog)