編集者注： 本ブログは、YubiHSM 2 FIPS 140-3 認定の反映に伴い、2026年6月4日時点の内容に更新されました。
生成AIおよびエージェント型AI（Agentic AI）による脅威の増大に伴い、フィッシングをはじめとする高度な攻撃はこれまで以上に迅速かつ標的型になっています。このような状況において、政府機関や規制対象業界は、データ侵害のリスクを低減するために全ユーザーを保護する必要があります。Yubicoは、組織がアイデンティティ保証レベルを引き上げ、サイバーレジリエンスを備えた環境を確保できるよう支援することに取り組んでいます。このたび、次世代の「YubiKey 5 FIPS シリーズ」および「YubiHSM 2 FIPS」を発表できることを大変嬉しく思います。両製品とも、それぞれ証明書番号 #5291 および #5302 として正式に FIPS 140-3 認定を取得しました。
Yubicoの最高経営責任者（CEO）である Jerrod Chong は、この認定の重要性について次のように強調しています。「アイデンティティを保護するだけでは十分ではないという認識が、組織の間で高まっています。システムを支える暗号鍵やインフラストラクチャも同様に保護しなければなりません。当社の FIPS モデルは、Yubicoのハードウェアベースの信頼モデルをユーザー認証の枠を超えて拡張し、組織が日常的に依存している暗号基盤の保護を支援します。」
Yubicoには、ますます高度化するフィッシング攻撃やサイバー脅威から組織を保護し、政府や業界の最新規制を遵守するために、YubiKey 5 FIPS シリーズおよび YubiHSM 2 FIPS キーを信頼し利用されている多くのお客様がいます。今回の更新により、組織は NIST SP800-63B ガイドラインで規定されている最高レベルの認証保証レベル 3（AAL3）の要件を含む、厳しいコンプライアンス要件を満たすことが可能になります。
このマイルストーンの背景や、それが公共部門にとってどのような意味を持つのかを詳しく探るため、Yubicoのフェデラル部門ソリューションエンジニアリング担当シニアディレクターである Jeff Frederick にインタビューを行い、組織が知っておくべき重要な情報を含め、新規格に関する主要な質問について解説してもらいました。
新しいキーの詳細については、プレスリリース（こちら および こちら）をご覧ください。貴社・貴機関での YubiKey 5 FIPS シリーズおよび YubiHSM 2 FIPS キーのご利用・導入に関するご質問は、担当の Yubico 営業担当者または Yubico 営業チームまでお問い合わせください。
主な質疑応答（Q&A）
Q1. YubiKey 5 FIPS シリーズと YubiHSM 2 FIPS が FIPS 140-3 認定を取得したことの意義は何ですか？
Yubicoは、現在市場で初となる FIPS 140-3 完全認定を取得した認証デバイスを提供しています。政府機関は FIPS 140-3 への移行を進めており、NIST（米国国立標準技術研究所）は、新しい政府システムにおける FIPS 140-3 認定暗号モジュールの使用期限を 2026年9月21日 に設定しています。当社のお客様からの要求は明確でした。期限ぎりぎりではなく、今すぐテストと導入を開始できるソリューションが必要だということです。
そのため、Yubicoは早期に開発と認定手続きに着手しました。YubiKey 5 FIPS シリーズおよび YubiHSM 2 FIPS が FIPS 140-3 認定を取得したことで、お客様は認証の高度化、鍵の保護、コンプライアンスプログラムの刷新を確信を持って進めることができます。
この認定は、フィッシング耐性を備えた認証におけるYubicoのリーダーシップを浮き彫りにすると同時に、政府機関や規制対象のお客様に対して、次世代の連邦暗号要件に向けた信頼できる道筋を提供するものです。
Q2. 「FIPS validated（FIPS 認定取得）」と「FIPS compliant（FIPS 準拠/適合）」の違いは何ですか？
FIPS validated（FIPS 認定取得） デバイスとは、厳しいセキュリティ管理基準を満たしていることを確認するために、NIST認定の独立試験機関によって検査・評価（認定）されたデバイスのことです。製品が認定を取得すると、NISTの暗号モジュール認定プログラム（CMVP）データベースに正式に掲載されます。政府機関には、FIPS 認定取得済みデバイスの使用が義務付けられています。
ベンダーが製品について「FIPS compliant（FIPS 準拠）」と主張する場合、それは基本的に自己宣言にすぎません。これは通常、製品が FIPS 承認の暗号アルゴリズムを使用しているものの、認定に必要な厳格かつ公式な第三者テストを受けていないことを意味します。米国政府はこの問題について非常に明確です。連邦情報セキュリティ近代化法（FISMA）に基づき、政府機関およびその請負業者（コントラクター）は、単に「準拠」しているだけでなく、「FIPS 認定取得済み」の暗号モジュールを使用することが厳格に義務付けられています。お使いの認証機が完全に認定されていることを確認することで、組織を危険なコンプライアンス上のギャップから保護することができます。
Q3. FIPS 140-3 は政府機関にどのような影響を与えますか？
米国の連邦政府機関、防衛組織、および政府請負業者にとって、FIPS 140-3 認定デバイスへの移行は、今後のコンプライアンスとセキュリティ保証を維持するための根幹となる要件です。
コンプライアンスにとどまらず、FIPS 140-3 は統一されたグローバルセキュリティの促進力として機能します。この新しいフレームワークは、国際的な暗号規格である ISO/IEC 19790:2012 と緊密に整合しています。これにより、機関はグローバル展開全体において一貫した最新のセキュリティベースラインを確立できます。ゼロトラストアーキテクチャを満たすためにフィッシング耐性のある多要素認証（MFA）を義務付ける連邦政府の指令と組み合わせることで、FIPS 140-3 認定キーは、機関が NIST の設定する最高水準の AAL3 要件を確実に満たすことを可能にします。
Q4. YubiHSM 2 FIPS 認定により、タクティカルエッジにおける複雑さを抱える組織をどのように支援できるようになりますか？
従来の HSM 導入には、多くの場合、高額なインフラコストと膨大な運用上の複雑さが伴いました。YubiHSM 2 FIPS は、超小型でポータブルなフォームファクタでエンタープライズレベルの暗号保護を提供することで、そのモデルを根本から覆します。この独自の設計により、組織は従来のオーバーヘッドを発生させることなく、クラウド、ハイブリッド、オンプレミス環境全体で完全な展開の柔軟性を得ることができます。
高セキュリティ環境向けに特別に構築され、最新の FIPS 140-3 フレームワーク（Overall Level 3）に認定されている本製品は、高度な物理的およびデジタル的セキュリティを提供し、組織の以下の取り組みを支援します。
- コアインフラの保護： コード署名、PKI（公開鍵暗号基盤）、および認証局（CA）インフラをロックダウンし、不正な改ざんを防ぎます。
- マシンアイデンティティの保護： 現代の自動化システムが依拠する重要な資格情報、シークレット、暗号鍵を保護します。
- ソフトウェアサプライチェーンの防衛： 暗号処理が安全なハードウェア内で行われるようにすることで、開発パイプラインを強化します。
- 運用技術（OT）の防御： 機密性の高い製造環境、産業システム、重要インフラにまで堅牢なセキュリティを拡張します。
- グローバルコンプライアンスの推進： 政府機関、金融サービス、ヘルスケア、エネルギー部門などが直面する厳しい規制要件のスムーズな遵守をサポートします。
Q5. FIPS 140-3 がリリースされた後、FIPS 140-2 デバイスはどうなりますか？
一夜にして消えるわけではありません。FIPS 140-3 への移行は2019年に開始されており、有効な証明書を保持している 140-2 デバイスは現在もコンプライアンスを満たしています。すでに導入・認定されているハードウェアの運用については、何も変更ありません。
Q6. FIPS 140-2 と FIPS 140-3 の違いは何ですか？
FIPS 140-3 は、前身の規格と比較して、大幅に強化された暗号保護とハードウェアによる強制コンプライアンスを導入しています。新規格では、より大きい公開鍵アルゴリズム（RSA-3072、RSA-4096、Ed25519など）のサポート、より厳格なPIN複雑性の適用、Secure Channel Protocol（SCP11）のサポート、およびFIDO2などの最新の認証規格とのより深い統合が要求されます。また、FIPS 140-3 では、輸送中のデバイス改ざんを防ぐための改ざん防止対策として、輸送中のNFC使用制限など、新しい物理セキュリティの要件も導入されています。
特に、YubiKey は FIPS 140-3 において唯一のデュアル認定トークンであり、米国国防総省（DoD）の PKI 資格情報と FIDO2 パスキーの両方を保持することが認められている唯一の DoD 承認済認証装置です。このユニークなデュアル機能は公共部門にとって非常に重要な要素であり、機関は単一のハードウェアデバイス上で、従来のレガシー環境（CAC/PIV スマートカードシステムなど）と、最新のフィッシング耐性を備えた FIDO2 パスワードレスアーキテクチャの橋渡しを行うことができます。
Q7. 更新された YubiKey 5 FIPS シリーズのラインナップが提供開始されるにあたり、最後にメッセージはありますか？
過去数年間に発行されたさまざまな DoD（米国国防総省）のメモ（覚書）を見れば、Yubico とその FIPS ラインナップが業界で唯一無二のポジションを築いていることは明白です。2025年の DoD CIO MFA メモでは、FIDO2 パスキー用途として YubiKey が明確に承認されました。これに加えて、YubiKey 上での Purebred PKI 資格情報ストレージに関する2019年の DoD 承認実績と合わさることで、Yubico は最新のパスキーと既存の PKI ワークフローの両方において明確な市場リーダーシップを確立しています。
さらに、YubiKey 5 FIPS シリーズは、連邦シビル機関（連邦民事機関）で使用される Derived PIV（派生 PIV）資格情報を格納するための要件を満たしています。最新の環境でアイデンティティの保護を強化し続ける組織に対し、YubiKey は将来にわたって有効なソリューションを提供し、高度な保証が求められる環境を包括的に保護します。
