最近のIoTセキュリティ規制の効果を評価する

世界各国政府がIoTセキュリティ強化に向けた規制行動を加速させており、市場の成熟がうかがえます。しかし、IoT環境を統治することは複雑です。法規制はそれぞれ異なり、その有効性が今後の政策を導くことになります。Pen Test Partnersのパートナー、ケン・マンロー氏が説明するように、真の尺度はこれらのルールがどれだけ採用され、どこで成功し、どこで失敗するかにあります。

1. 2017年IoTサイバーセキュリティ改善法（米国）
   米連邦機関で使用されるデバイスの保護を目的とし、既知の脆弱性（NISTデータベース掲載分）を含まないこと、OTAアップデート対応、リモート管理用の固定/ハードコード認証情報の不使用、脆弱性の迅速な開示と修正を要求しています。しかし、NIST登録脆弱性に焦点を絞るため、顧客向けアプリのSQLインジェクションなど一般的な欠陥を見逃す可能性があります。また、認証情報なしで動作するRFプロトコルを考慮しておらず、該当デバイスの再設計を強制しています。本法は未成立であり、スマートIoT法、DIGIT法、セキュリティIoT法、サイバーシールド法、IoT消費者TIPS法など他の法案が審議中です。
2. サイバーセキュリティ法（EU）
   2018年5月施行。ENISAをEUのサイバーセキュリティ機関に指定し、コネクテッドカーとスマート製品の任意認証フレームワークを全加盟国で確立しました。重要インフラのみ適用対象です。メーカーは「ベーシック」「サブスタンシャル」「ハイ」の分類申請が可能。「ベーシック」なら自己適合試験で済み、ENISAは警告発出でセキュリティ改善を促せます。執行メカニズムは未規定、アップデート義務や脆弱性開示義務も任意です。一方、EU全域での内部通報と責任ある開示は可能になりました。
3. SB-327（カリフォルニア州、米国）
   2018年8月成立、2020年1月施行。カリフォルニアが全米初のスマート技術規制州となりました。消費者デバイスのベースラインセキュリティ基準を定めますが、「保護するよう設計された適切なセキュリティ」という文言が曖昧で、実質的な保護なしに意図のみを主張できてしまいます。ユニークパスワードを義務付けますが、エントロピー源には言及していません。小売業者は免除され、施行前に非準拠デバイスが市場に溢れるリスクがあります。アップデートサポート義務は含まれていません。
4. 消費者IoTセキュリティ実践コード（英国）
   DCMS（デジタル・文化・メディア・スポーツ省）が発行、GDPRを包含。メーカー、アプリ開発者、サービスプロバイダー、小売業者向けの任意ガイドラインです。デフォルトパスワード禁止、認証情報と機密データの安全な保存、ソフトウェアアップデートの推奨を定めます。脆弱性開示ポリシーを推奨しますが、ベンダーに修正提供を強制はしません。それでも消費者IoTセキュリティに向けた重要な前進です。

現在のアプローチはソフトな規制に傾いており、自主遵守がどこまで機能するかが問われます。IoTベンダーは激しい市場圧力にさらされており、自主遵守には明確なメリットやペナルティが必要です。消費者に脆弱なスマート製品を返品・クレジット受領できる権利を与え、小売業者に準拠製品のみを扱わせ、メーカーに分類スキーム参加と製品テストを促すなど、市場主導の圧力をかける手段が考えられます。

自主規制の効果を判断するにはまだ早すぎます。法整備が落ち着き、業界が適応するのを待って、追加の懲罰的措置が必要かどうかを見極めるべきです。

ケン・マンロー、Pen Test Partnersパートナー。英米政府機関への定期ブリーフィング、EU消費者評議会でのIoT規制担当を務める。