Level2のSoftware Moduleは無駄以外の何でもない

FIPS 140-2では、Security Levelが1から4まで定義されていて、4がもっとも高いです。このうち、ソフトウェアだけで構成されている暗号モジュールはレベル2までしか取得できません。そうすると、Level 1よりLevel 2の方が良いよねー、と思ってしまいがちですが、これは嘘っぱちです。Security Level 2のソフトウェアモジュールは買うべきではないですし、企業もマーケティング目的でしか売っていません。
ソフトウェアだけで構成されている暗号モジュールにおいては、動作環境（Operational Environment）がくせ者です。Level 1ではGPC：General Pupose Computerで良いのですが、Level 2ではCC：Common Criteriaで評価を受けたOSが必須になります。世の中には、多くのCCを受けたOSはあります。Windowsを初めとして、Red Hat、SolarisもいくつかのバージョンではCCを取得しています。
ただし、CCを受けたバージョンのOSは評価をされた環境に限定されます。ですので、パッチ1つ当ててしまうと対象外になりますし、HWもCCを取得したものと同等でなければ対象外です。Level 2を謳うソフトウェアモジュールはその限定された環境を使用した場合のみ、Level 2としての価値があります。もし、まったく同じ構成でLevel 1も取得しているのであれば、環境を更新した場合にLevel 2ではなく、Level 1としての認証の効力を持ちますが、そうするとLevel 2の価値って何なの？となります。セキュリティパッチを適用できない、ということはOS自体に深刻な脆弱性があったとしても変更することはできません。HWを更新できない、ということは機能拡張のためにメモリを増やしたり、CPUを変えたり、ということもできません。
ですので、ソフトウェアモジュールが必要ならばLevel 1のモジュールで十分ですし、マーケティング目的のためにベンダーが用意するLevel 2のモジュールは相手にしてはいけません。