Crypto officer
De rol die een cryptografische module mag configureren en de gebruikers ervan beheren, maar bij voorkeur zelf de sleutels niet gebruikt.
FIPS 140 eist dat een cryptografische module minstens twee rollen onderscheidt. De crypto officer installeert, initialiseert en configureert de module, maakt accounts aan en stelt beleid in. De gebruiker voert de eigenlijke cryptografische bewerkingen uit. Wisselen van rol vereist een nieuwe aanmelding, en de module moet kunnen aantonen welke rol wat deed.
De scheiding is een toepassing van dual control: wie gebruikers kan aanmaken, hoort niet ook klantgegevens te kunnen ontsleutelen. AWS CloudHSM noemt de rollen CO en CU; Thales Luna spreekt van Security Officer. In de praktijk bewaart dezelfde persoon soms beide wachtwoorden op hetzelfde geeltje, iets wat geen enkele norm tot nu toe heeft weten te wegcertificeren.