Crypto Officer
暗号モジュールの設定とユーザー管理を許されるが、理想的には鍵自体は使わないロール。
FIPS 140は、暗号モジュールが少なくとも二つのロールを区別することを求める。Crypto Officerはモジュールの導入、初期化、設定を行い、アカウントを作成してポリシーを定める。ユーザーは実際の暗号処理を行う。ロールの切り替えには新たなログインが必要で、モジュールはどのロールが何をしたかを示せなければならない。
この分離は二重管理の応用であり、ユーザーを作れる者が顧客データも復号できてはならない。AWS CloudHSMはこれらをCOとCU、Thales LunaはSecurity Officerと呼ぶ。現実には、同じ人が両方のパスワードを同じ付箋に書いていることもあり、その点は今のところ、どの規格も認証で解消できていない。