NIST FIPS 140-3 日本語訳

FIPS PUB 140-3

FEDERAL INFORMATION PROCESSING STANDARDS PUBLICATION

連邦情報処理標準出版物

(Supersedes FIPS PUB 140-2)

（FIPS PUB 140-2を置き換える）

SECURITY REQUIREMENTS FOR CRYPTOGRAPHIC MODULES

暗号モジュールのセキュリティ要件

CATEGORY: INFORMATION SECURITY

分類：情報セキュリティ

SUBCATEGORY: CRYPTOGRAPHY

小分類：暗号

Information Technology Laboratory National Institute of Standards and Technology Gaithersburg, MD 20899-8900

情報技術研究所米国国立標準技術研究所 Gaithersburg, MD 20899-8900

This publication is available free of charge from: https://doi.org/10.6028/NIST.FIPS.140-3

本出版物は次から無償で入手できる：https://doi.org/10.6028/NIST.FIPS.140-3

March 22, 2019

2019年3月22日

図表

[U.S. Department of Commerce seal — not reproduced on this unofficial site]

［米国商務省の紋章。公的な標章のため、この非公式サイトには掲載していません。原本 PDF を参照してください。］

U.S. Department of Commerce Wilbur L. Ross, Jr., Secretary

商務省 Wilbur L. Ross, Jr., 長官

National Institute of Standards and Technology Walter Copan, NIST Director and Under Secretary for Standards and Technology

米国国立標準技術研究所 Walter Copan, NIST所長兼標準技術担当商務次官

FOREWORD

序文

The Federal Information Processing Standards Publication Series of the National Institute of Standards and Technology (NIST) is the official series of publications relating to Standards and Guidelines adopted and promulgated under the provisions of the Federal Information Security Management Act (FISMA) of 2002.

米国国立標準技術研究所（NIST）の連邦情報処理標準出版物シリーズは、2002年連邦情報セキュリティマネジメント法（FISMA）の規定に基づいて採択・公布される標準およびガイドラインに関する公式の出版物シリーズです。

Comments concerning FIPS publications are welcomed and should be addressed to the Director, Information Technology Laboratory, National Institute of Standards and Technology, 100 Bureau Drive, Stop 8900, Gaithersburg, MD 20899-8900.

FIPS出版物に関する意見を歓迎します。意見は、Director, Information Technology Laboratory, National Institute of Standards and Technology, 100 Bureau Drive, Stop 8900, Gaithersburg, MD 20899-8900 宛てに送付することが望まれます。

Charles H. Romine, Director Information Technology Laboratory

Charles H. Romine, 情報技術研究所所長

Abstract

概要

The selective application of technological and related procedural safeguards is an important responsibility of every federal organization in providing adequate security in its computer and telecommunication systems. This standard is applicable to all federal agencies that use cryptographic-based security systems to provide adequate information security for all agency operations and assets as defined in 15 U.S.C. § 278g-3.

技術的な保護措置とそれに関連する手続き上の保護措置を選択的に適用することは、コンピュータシステムおよび電気通信システムにおいて適切なセキュリティを確保するうえで、すべての連邦組織が負う重要な責任です。本標準は、15 U.S.C. § 278g-3に定義されるすべての政府機関の業務および資産に対して適切な情報セキュリティを提供するために、暗号に基づくセキュリティシステムを使用するすべての連邦政府機関に適用されます。

This standard shall be used in designing and implementing cryptographic modules that federal departments and agencies operate or are operated for them under contract. The standard provides four increasing, qualitative levels of security intended to cover a wide range of potential applications and environments. The security requirements cover areas related to the secure design, implementation and operation of a cryptographic module. These areas include cryptographic module specification; cryptographic module interfaces; roles, services, and authentication; software/firmware security; operating environment; physical security; non-invasive security; sensitive security parameter management; self-tests; life-cycle assurance; and mitigation of other attacks.

本標準は、連邦政府の省庁および機関が運用する暗号モジュール、または契約に基づき省庁および機関のために運用される暗号モジュールの設計および実装において使用しなければなりません。本標準は、広範な潜在的アプリケーションおよび環境を対象とすることを意図した、段階的に高くなる4つの定性的なセキュリティレベルを規定します。セキュリティ要件は、暗号モジュールのセキュアな設計、実装および運用に関連する領域を対象とします。これらの領域には、暗号モジュール仕様、暗号モジュールインタフェース、役割・サービス・認証、ソフトウェア／ファームウェアセキュリティ、運用環境、物理セキュリティ、非侵襲セキュリティ、機微なセキュリティパラメータの管理、自己テスト、ライフサイクル保証、およびその他の攻撃の緩和が含まれます。

Key words: computer security; telecommunication security; physical security; software security; cryptography; cryptographic modules; Federal Information Processing Standard (FIPS); ISO/IEC 19790; ISO/IEC 24759.

キーワード：コンピュータセキュリティ、電気通信セキュリティ、物理セキュリティ、ソフトウェアセキュリティ、暗号、暗号モジュール、連邦情報処理標準（FIPS）、ISO/IEC 19790、ISO/IEC 24759

Federal Information Processing Standards Publication 140-3

連邦情報処理標準出版物 140-3

March 22, 2019

2019年3月22日

Announcing the Standard for

次の標準の公表

SECURITY REQUIREMENTS FOR CRYPTOGRAPHIC MODULES

暗号モジュールのセキュリティ要件

Federal Information Processing Standards Publications (FIPS PUBS) are issued by the National Institute of Standards and Technology (NIST) after approval by the Secretary of Commerce pursuant 15 USC 278g-3.

連邦情報処理標準出版物（FIPS PUBS）は、15 USC 278g-3に従い商務長官の承認を得た後、米国国立標準技術研究所（NIST）が発行します。

1.Name of Standard. Security Requirements for Cryptographic Modules (FIPS PUB 140-3).

1.標準の名称。暗号モジュールのセキュリティ要件（FIPS PUB 140-3）。

2.Category of Standard. Computer Security Standard, Cryptography.

2.標準の分類。コンピュータセキュリティ標準、暗号。

3.Explanation. This standard specifies the security requirements that will be satisfied by a cryptographic module utilized within a security system protecting sensitive but unclassified information (hereafter referred to as sensitive information). The standard provides four increasing, qualitative levels of security: Level 1, Level 2, Level 3, and Level 4. These levels are intended to cover the wide range of potential applications and environments in which cryptographic modules may be employed. The security requirements cover areas related to the secure design and implementation of a cryptographic module. These areas include cryptographic module specification; cryptographic module interfaces; roles, services, and authentication; software/firmware security; operating environment; physical security; non-invasive security; sensitive security parameter management; self-tests; life-cycle assurance; and mitigation of other attacks. This standard supersedes FIPS 140-2, Security Requirements for Cryptographic Modules, in its entirety.

3.説明。本標準は、機密扱いではないが機微な情報（以下、機微な情報という）を保護するセキュリティシステム内で利用される暗号モジュールが満たすべきセキュリティ要件を規定します。本標準は、段階的に高くなる4つの定性的なセキュリティレベル、すなわちレベル1、レベル2、レベル3およびレベル4を規定します。これらのレベルは、暗号モジュールが利用されうる広範な潜在的アプリケーションおよび環境を対象とすることを意図しています。セキュリティ要件は、暗号モジュールのセキュアな設計および実装に関連する領域を対象とします。これらの領域には、暗号モジュール仕様、暗号モジュールインタフェース、役割・サービス・認証、ソフトウェア／ファームウェアセキュリティ、運用環境、物理セキュリティ、非侵襲セキュリティ、機微なセキュリティパラメータの管理、自己テスト、ライフサイクル保証、およびその他の攻撃の緩和が含まれます。本標準は、FIPS 140-2, Security Requirements for Cryptographic Modulesを全面的に置き換えます。

The Cryptographic Module Validation Program (CMVP) validates cryptographic modules to Federal Information Processing Standard (FIPS) 140-3 and other cryptography-based standards. The CMVP is a joint effort between the National Institute of Standards and Technology and the Canadian Centre for Cyber Security. Modules validated as conforming to FIPS 140-3 are accepted by the Federal agencies of both countries for the protection of sensitive information (United States) or Designated Information (Canada). The goal of the CMVP is to promote the use of validated cryptographic modules and provide Federal agencies with a security metric to use in procuring equipment containing validated cryptographic modules.

暗号モジュール検証プログラム（CMVP）は、連邦情報処理標準（FIPS）140-3およびその他の暗号に基づく標準に照らして暗号モジュールを検証します。CMVPは、米国国立標準技術研究所とCanadian Centre for Cyber Securityの共同の取り組みです。FIPS 140-3に適合するとして検証されたモジュールは、機微な情報（米国）またはDesignated Information（カナダ）の保護のために、両国の連邦政府機関に受け入れられます。CMVPの目的は、検証済み暗号モジュールの使用を促進し、検証済み暗号モジュールを含む機器を調達する際に使用するセキュリティ指標を連邦政府機関に提供することです。

In the CMVP, vendors of cryptographic modules use independent, accredited Cryptographic and Security Testing (CST) laboratories to have their modules tested. National Voluntary Laboratory Accreditation Program (NVLAP) accredited laboratories perform cryptographic module compliance/conformance testing.

CMVPでは、暗号モジュールのベンダーは、独立した認定を受けた暗号・セキュリティ試験（CST）機関を利用して自らのモジュールを試験させます。National Voluntary Laboratory Accreditation Program（NVLAP）の認定を受けた試験機関が、暗号モジュールの準拠性／適合性試験を実施します。

Approving Authority.

承認機関。

Secretary of Commerce.

商務長官。

5.Maintenance Agency. Department of Commerce, National Institute of Standards and Technology, Information Technology Laboratory (ITL).

5.維持管理機関。商務省、米国国立標準技術研究所、情報技術研究所（ITL）。

6.Applicability. This standard is applicable to all Federal agencies that use cryptography-based security systems to protect sensitive information in computer and telecommunication systems (including voice systems) as defined in Section 5131 of the Information Technology Management Reform Act of 1996, Public Law 104-106. This standard shall be used in designing and implementing cryptographic modules that Federal departments and agencies operate or are operated for them under contract. Cryptographic modules that have been approved for classified use may be used in lieu of modules that have been validated against this standard. The adoption and use of this standard is available to private and commercial organizations.

6.適用範囲。本標準は、1996年情報技術管理改革法（Public Law 104-106）第5131条に定義されるコンピュータシステムおよび電気通信システム（音声システムを含む）において、機微な情報を保護するために暗号に基づくセキュリティシステムを使用するすべての連邦政府機関に適用されます。本標準は、連邦政府の省庁および機関が運用する暗号モジュール、または契約に基づき省庁および機関のために運用される暗号モジュールの設計および実装において使用しなければなりません。機密用途での使用が承認された暗号モジュールは、本標準に照らして検証されたモジュールの代わりに使用してもよいです。民間組織および商業組織も本標準を採用し使用することができます。

7.Applications. Cryptography-based security systems may be utilized in various computer and telecommunication applications (e.g., data storage, access control and personal identification, network communications, radio, facsimile, and video) and in various environments (e.g., centralized computer facilities, office environments, and hostile environments). The cryptographic services (e.g., encryption, authentication, digital signature, and key management) provided by a cryptographic module are based on many factors that are specific to the application and environment. The security level to which a cryptographic module is validated must be chosen to provide a level of security appropriate for the security requirements of the application and environment in which the module will be utilized and the security services that the module will provide. The security requirements for a particular security level include both the security requirements specific to that level and the security requirements that apply to all modules regardless of the level.

7.用途。暗号に基づくセキュリティシステムは、さまざまなコンピュータアプリケーションおよび電気通信アプリケーション（例：データストレージ、アクセス制御と個人識別、ネットワーク通信、無線、ファクシミリ、ビデオ）において、またさまざまな環境（例：集中型コンピュータ施設、オフィス環境、敵対的環境）において利用してもよいです。暗号モジュールが提供する暗号サービス（例：暗号化、認証、デジタル署名、鍵管理）は、アプリケーションおよび環境に固有の多くの要因に基づきます。暗号モジュールを検証するセキュリティレベルは、当該モジュールを利用するアプリケーションおよび環境のセキュリティ要件と、当該モジュールが提供するセキュリティサービスとに適したセキュリティレベルを提供するよう選択されなければなりません。特定のセキュリティレベルに対するセキュリティ要件には、そのレベルに固有のセキュリティ要件と、レベルにかかわらずすべてのモジュールに適用されるセキュリティ要件の両方が含まれます。

8.Specifications. Federal Information Processing Standard (FIPS) 140-3, Security Requirements for Cryptographic Modules (affixed).

8.仕様。連邦情報処理標準（FIPS）140-3, Security Requirements for Cryptographic Modules（添付）。

Implementations.

実装。

This standard covers implementations of cryptographic modules including, but not limited to, hardware components or modules, software/firmware programs or modules or any combination thereof. Cryptographic modules that are validated under the CMVP will be considered as conforming to this standard. Information about the CMVP can be obtained from the

本標準は、ハードウェアコンポーネントもしくはハードウェアモジュール、ソフトウェア／ファームウェアのプログラムもしくはモジュール、またはそれらの任意の組み合わせを含むがこれらに限定されない、暗号モジュールの実装を対象とします。CMVPの下で検証された暗号モジュールは、本標準に適合しているとみなされます。CMVPに関する情報は、次から入手できます。

a. National Institute of Standards and Technology, Information Technology Laboratory, 100 Bureau Drive, Stop 8900, Gaithersburg, MD 20899-8900. b. Canadian Centre for Cyber Security, P.O. Box 9703, Terminal, Ottawa, Ontario K1G 3Z4 c. CMVP URL https://www.nist.gov/cmvp.

a. National Institute of Standards and Technology, Information Technology Laboratory, 100 Bureau Drive, Stop 8900, Gaithersburg, MD 20899-8900 b. Canadian Centre for Cyber Security, P.O. Box 9703, Terminal, Ottawa, Ontario K1G 3Z4 c. CMVPのURL https://www.nist.gov/cmvp

Approved Security Functions.

承認済みセキュリティ機能。

Cryptographic modules that conform to this standard shall employ Approved security functions such as cryptographic algorithms, cryptographic key management techniques, and authentication techniques that have been approved for protecting Federal government sensitive information. Approved security functions include those that are either:

本標準に適合する暗号モジュールは、暗号アルゴリズム、暗号鍵管理技法、認証技法など、連邦政府の機微な情報を保護するために承認された承認済みセキュリティ機能を使用しなければなりません。承認済みセキュリティ機能には、次のいずれかに該当するものが含まれます。

a. specified in a Federal Information Processing Standard (FIPS), b. adopted in a FIPS and specified either in an appendix to the FIPS or in a document referenced by the FIPS, c. specified in NIST SP 800-140C as an Approved security function, or d. specified in NIST SP 800-140D as an Approved sensitive security parameter establishment method.

a. 連邦情報処理標準（FIPS）で規定されたもの、b. FIPSで採用され、そのFIPSの付録またはそのFIPSが参照する文書のいずれかで規定されたもの、c. NIST SP 800-140Cにおいて承認済みセキュリティ機能として規定されたもの、d. NIST SP 800-140Dにおいて承認済みの機微なセキュリティパラメータ確立方法として規定されたもの。

11.Interpretation. Questions concerning the content and specifications of this standard should be addressed to: Director, Information Technology Laboratory, ATTN: FIPS 140-3 Interpretation, National Institute of Standards and Technology, 100 Bureau Drive, Stop 8900, Gaithersburg, MD 20899-8900. Resolution of questions regarding this standard will be provided by the validation authorities at the National Institute of Standards and Technology and the Canadian Centre for Cyber Security.

11.解釈。本標準の内容および仕様に関する質問は、Director, Information Technology Laboratory, ATTN: FIPS 140-3 Interpretation, National Institute of Standards and Technology, 100 Bureau Drive, Stop 8900, Gaithersburg, MD 20899-8900 宛てに送付することが望まれます。本標準に関する質問への回答は、米国国立標準技術研究所およびCanadian Centre for Cyber Securityの検証機関が提供します。

12.Implementation Schedule. This standard becomes effective six months after approval by the Secretary of Commerce. A minimum transition period of 6 months after approval is provided for testing labs to develop and implement FIPS 140-3 testing. A test report for modules demonstrating compliance will be submitted to the CMVP for review and validation. The review process schedule varies, as it is dependent on coordination between the vendor, testing lab, and CMVP. Agencies should develop plans for the acquisition of products that are compliant with FIPS 140-3; however, agencies may purchase any of the products on the CMVP validated modules list. (Note: the CMVP Historical list should not be used for procurement decisions. This list is provided for reference purposes only.) Figure 1 summarizes the CMVP implementation schedule when FIPS 140-3 testing may begin.

12.実施スケジュール。本標準は、商務長官による承認の6か月後に発効します。試験機関がFIPS 140-3の試験を開発・実施できるよう、承認後最低6か月の移行期間を設けます。準拠性を実証するモジュールの試験報告書は、審査および検証のためにCMVPに提出されます。審査プロセスのスケジュールは、ベンダー、試験機関およびCMVPの間の調整に依存するため、一定ではありません。政府機関は、FIPS 140-3に準拠した製品の調達計画を策定することが望まれます。ただし、政府機関はCMVPの検証済みモジュールリストに掲載された製品であればどれを購入してもよい（注：CMVPの履歴リストは調達の判断に使用しないことが望まれます。このリストは参考目的でのみ提供されます）。図1は、FIPS 140-3の試験を開始してよい時期について、CMVPの実施スケジュールをまとめたものです。

FIPS 140-2 FIPS 140-3

FIPS 140-2 FIPS 140-3

APPROVAL DATE OF FIPS 140-3

FIPS 140-3の承認日

EFFECTIVE DATE OF FIPS 140-3 (6 months after approval date)

FIPS 140-3の発効日（承認日の6か月後）

FIPS 140-3 TESTING BEGINS (18 months after approval date)

FIPS 140-3の試験開始（承認日の18か月後）

FIPS 140-2 TESTING ENDS

FIPS 140-2の試験終了

FUTURE

将来

Figure 1. FIPS 140-3 Implementation Schedule

図1. FIPS 140-3の実施スケジュール

13.Qualifications. The security requirements specified in this standard are based upon information provided by many sources within the Federal government and private industry. The requirements are designed to aid in protecting against adversaries mounting attacks on sensitive government or commercial data (e.g., hackers, political activists, and economic competitors). The primary goal in designing an effective security system is to make the cost of any attack greater than the possible payoff.

13.留意事項。本標準で規定するセキュリティ要件は、連邦政府および民間企業内の多くの情報源から提供された情報に基づいています。これらの要件は、政府または商業の機微なデータに攻撃を仕掛ける敵対者（例：ハッカー、政治活動家、経済的競合相手）からの保護に役立つよう設計されています。効果的なセキュリティシステムを設計するうえでの主要な目標は、あらゆる攻撃のコストを、攻撃によって得られうる利益よりも大きくすることです。

While the security requirements specified in this standard are intended to maintain the security provided by a cryptographic module, conformance to this standard is not sufficient to ensure that a particular module is secure. The operator of a cryptographic module is responsible for ensuring that the security provided by a module is sufficient and acceptable to the owner of the information that is being protected and that any residual risk is acknowledged and accepted. The responsible authority in each agency shall ensure that the security of the system is sufficient and acceptable.

原本 PDF p.7

本標準で規定するセキュリティ要件は暗号モジュールが提供するセキュリティを維持することを意図していますが、本標準への適合は、特定のモジュールがセキュアであることを保証するには十分ではありません。暗号モジュールの運用者は、モジュールが提供するセキュリティが、保護対象の情報の所有者にとって十分かつ受け入れ可能であること、および残存リスクが認識され受容されていることを確実にする責任を負います。各政府機関の責任ある当局は、システムのセキュリティが十分かつ受け入れ可能であることを確実にしなければなりません。

A standard of this nature must be flexible enough to adapt to advancements and innovations in science and technology. New or revised requirements may be needed to meet technological and economic changes. This standard will be reviewed at least every five years in order to consider necessary updates or replacement.

原本 PDF p.7

この種の標準は、科学技術の進歩と革新に適応できるだけの柔軟性を備えていなければなりません。技術的および経済的な変化に対応するために、新たな要件または改訂された要件が必要になることがあります。本標準は、必要な更新または置き換えを検討するために、少なくとも5年ごとに見直されます。

14.Where to obtain copies of this Standard. This publication is available electronically at https://csrc.nist.gov/publications. Other computer security publications issued by NIST are available at the same web site.

原本 PDF p.7

14.本標準の入手先。本出版物は https://csrc.nist.gov/publications で電子的に入手できます。NISTが発行するその他のコンピュータセキュリティ出版物も同じウェブサイトで入手できます。

原本 PDF p.8

This standard specifies the security requirements for a cryptographic module utilized within a security system protecting sensitive information in computer and telecommunication systems (including voice systems) as defined in Section 5131 of the Information Technology Management Reform Act of 1996, (Public Law 104-106) and the Federal Information Security Management Act of 2002 (Public Law 107-347).

本標準は、1996年情報技術管理改革法（Public Law 104-106）第5131条および2002年連邦情報セキュリティマネジメント法（Public Law 107-347）に定義されるコンピュータシステムおよび電気通信システム（音声システムを含む）において、機微な情報を保護するセキュリティシステム内で利用される暗号モジュールのセキュリティ要件を規定します。

FIPS 140-1, first published in 1994, was developed by a government and industry working group. The working group identified requirements for four security levels for cryptographic modules to provide for a wide spectrum of data sensitivity (e.g., low value administrative data, million dollar funds transfers, and life protecting data) and a diversity of application environments (e.g., a guarded facility, an office, and a completely unprotected location). Four security levels were specified for each of eleven requirement areas. Each security level offered an increase in security over the preceding level. These four increasing levels of security allowed cost-effective solutions that were appropriate for different degrees of data sensitivity and different application environments.

1994年に初めて公表されたFIPS 140-1は、政府と産業界の作業部会によって策定されました。作業部会は、広範なデータの機微度（例：低価値の管理データ、数百万ドル規模の資金移動、生命を守るデータ）と多様なアプリケーション環境（例：警備された施設、オフィス、まったく保護されていない場所）に対応するため、暗号モジュールの4つのセキュリティレベルに関する要件を特定しました。11の要件領域のそれぞれについて、4つのセキュリティレベルが規定されました。各セキュリティレベルは、その前のレベルよりも高いセキュリティを提供しました。段階的に高くなるこれら4つのセキュリティレベルにより、データの機微度やアプリケーション環境の違いに応じた費用対効果の高いソリューションが可能となりました。

In 2001, FIPS 140-2 superseded FIPS 140-1. FIPS 140-2 incorporated changes in applicable standards and technology since the development of FIPS 140-1 as well as changes that were based on comments received from the vendor, laboratory, and user communities. Though the standard was reviewed after 5 years, consensus to move forward was not achieved until publication of the 2012 revision of International Organization for Standardization/International Electrotechnical Commission (ISO/IEC) 19790.

2001年、FIPS 140-2がFIPS 140-1を置き換えました。FIPS 140-2は、FIPS 140-1の策定以降に生じた適用標準および技術の変化と、ベンダー、試験機関およびユーザのコミュニティから寄せられた意見に基づく変更とを取り入れました。この標準は5年後に見直されましたが、International Organization for Standardization/International Electrotechnical Commission（ISO/IEC）19790の2012年改訂版が公表されるまで、前進するための合意は得られなかった。

FIPS 140-3 supersedes FIPS140-2. FIPS 140-3 aligns with ISO/IEC 19790:2012(E) and includes modifications of the Annexes that are allowed to CMVP (as a validation authority). The testing for these requirements will be in accordance with ISO/IEC 24759:2017(E), with the modifications, additions or deletions of vendor evidence and testing allowed as a validation authority under paragraph 5.2. Major changes in FIPS 140-3 are limited to the introduction of non-invasive physical requirements.

FIPS 140-3はFIPS140-2を置き換えます。FIPS 140-3はISO/IEC 19790:2012(E)と整合しており、（検証機関としての）CMVPに認められている附属書の修正を含みます。これらの要件に対する試験は、ISO/IEC 24759:2017(E)に従って行われ、その際、5.2項に基づき検証機関として認められているベンダー証拠および試験の修正、追加または削除が適用されます。FIPS 140-3における主要な変更は、非侵襲の物理要件の導入に限られます。

2. DOCUMENT BASIS

2. 文書の基礎

ISO/IEC 19790:2012(E), Information technology — Security techniques — Security requirements for cryptographic modules, is an international standard based on updates of the earlier versions of FIPS 140, Security Requirements for Cryptographic Modules. ISO/IEC 24759:2017(E), Information technology — Security techniques — Test requirements for cryptographic modules is an international standard based on the Derived Test Requirements for FIPS 140-2, Security Requirements for Cryptographic Modules. It is currently in the best interest to use these standards, superseding those sections where national standards are permitted. Therefore, FIPS 140-3 is based on ISO/IEC 19790:2012/Cor.1:2015(E) and ISO/IEC 24759:2017(E). The following documents identify those elements that are superseded or modified.