IoTセキュリティ法は標準を要求します

多くのIoT開発チームにとって、セキュリティは、消費者向け製品への実装に必要なコストと労力の価値がないと見なされているウィッシュリストアイテムのままです。消費者は、強化されたサイバーセキュリティ機能に追加料金を支払ったり、そのような機能を備えていない製品を避けたりすることをいとわないようです。ただし、立法活動により、セキュリティが消費者向けIoT設計の法的要件になり始めています。

IoT WorldTodayのIoTSecurity Summitで、米国国立標準技術研究所（NIST）のKaterina Megasのプログラムマネージャーは、IoTデバイスにセキュリティを組み込むことを要求する法律がすでに一部の州で検討されており、連邦法も同様です。 2020年1月、Megasは、カリフォルニア州とオレゴン州の両方で、州内の接続されたデバイスメーカーに、デバイスに「合理的なセキュリティ機能」を装備することを義務付ける法律を制定したと述べました。さらに、イリノイ州、マサチューセッツ州、ニューヨーク州、バージニア州など、いくつかの追加の州では、同様の法律が保留中または検討中です。

Megasはまた、米国政府がIoTセキュリティを義務付ける法律を作成し始めていることにも言及しました。たとえば、米国下院は3月にH.R. 1668 – 2020年のモノのインターネットサイバーセキュリティ改善法を導入しました。この法律は、「最小限の情報セキュリティを含む、政府機関が所有または管理し、政府機関が所有または管理する情報システムに接続されたモノのインターネットデバイスの政府機関による適切な使用と管理に関する連邦政府の基準とガイドラインの作成を求めています。そのようなデバイスに関連するサイバーセキュリティリスクを管理するための要件。」それは下院と上院の両方を通過し、12月4日に法に署名されました。標準とガイドラインは90日以内に公開する必要があります。

セキュリティ機能をIoTデバイスに実装することを義務付ける法律が制定され始めています。

H.R。1668は、米国政府が使用するIoTシステムにのみ適用されますが、最終的には米国全体で産業用および消費者向けシステムにも適用されるサイバーセキュリティの義務の始まりを示しています。 2019年、議会はサイバースペースソラリウム委員会を設立し、米国がサイバースペースで自らを守るための戦略的アプローチを開発しました。その委員会の最初の報告には、委員会の階層化された防衛戦略の実施を支援するための50以上の立法案を含む、80以上の勧告が含まれていました。これらの提案の多くは、政府のシステムに影響を与えるだけでなく、産業システムや消費者システムにも適用されます。

3つの具体的な提案は、IoT開発チームからの鋭い注目に値します。米国は、NISTIR 8259 —IoTデバイスメーカー向けの基本的なサイバーセキュリティ活動などのNISTの推奨事項に沿って「合理的なセキュリティ対策」を義務付けるIoTセキュリティ法を可決するよう求めています。別の提案では、IoTデバイスが要件に準拠していることを確認するNational Cyber​​security Certification and LabelingAuthorityの設立が求められています。さらに、この提案では、その権限が連邦および産業用IoTシステムを超えて、個人用および家庭用電化製品を網羅するようにその範囲を拡大することを求めています。

注目に値する3番目の提案は、残っている可能性のある設計にIoTセキュリティを実装することに対する経済的な反対を無効にする可能性があります。この提案は、最終財の組み立て業者に対する責任の確立を求めています。実装された場合、販売用のIoTデバイスのメーカーは、デバイスが既知の脆弱性から保護できなかった場合の損害賠償責任を負います。言い換えれば、IoTセキュリティは、消費者がより多くの支出をするように誘惑するかどうかにかかわらず、「必須」の機能になります。セキュリティを実装しないリスクは単純に高すぎます。

このすべての法律が要求する「合理的なセキュリティ機能」は、まだ漠然としか定義されていません。 Megasによると、カリフォルニア州とオレゴン州の法律では、「合理的」の定義は、デバイスの機能とデバイスが処理する情報に適切な手段を要求し、不正なアクセス、開示、使用、変更、または破壊を防止することを目的としています。その情報。具体的な対策は定められていません。

また、そうなる可能性もありません。 Megasがプレゼンテーションで指摘したように、サイバーセキュリティ対策を推奨する際のNISTの指針となる哲学は、1つのサイズですべてに対応できるわけではないということです。したがって、特定の措置はこれらの法律に組み込まれていません。代わりに、努力は結果ベースのアプローチを取っています。サイバーセキュリティを実装するためにIoT設計を要求する法案は、これがどのように行われるかを指定していません。その決定はまだ開発チームにあります。しかし、IoTセキュリティの必要性とその実装の機能は、良識から法的要件へと進化する方向に進んでいます。

>>この記事はもともと姉妹サイトのEDN。