Il Cryptographic Module Validation Program (CMVP) è un programma del governo degli Stati Uniti gestito dal NIST e dal Communications Security Establishment del Canada. Valuta i moduli crittografici rispetto agli standard FIPS applicabili, incluso FIPS 140-3. Un modulo è un componente hardware, software o firmware definito che esegue funzioni crittografiche.
La convalida CMVP si applica a una versione specifica del modulo e alle condizioni operative documentate, non automaticamente a tutti i prodotti dello stesso fornitore. In pratica, nella valutazione di un HSM o di un altro componente crittografico, i team di sicurezza dovrebbero verificare il certificato del modulo, il suo stato, la policy di sicurezza e la modalità operativa approvata. La roadmap di un fornitore o una dichiarazione generica di conformità FIPS non sostituisce una registrazione di convalida corrispondente. Questo è importante negli acquisti e negli audit, perché lo stato e l’ambito di un certificato possono incidere sull’idoneità di un modulo per un sistema o una policy specifici.