De Reikwijdte van Recente IoT Beveiligingsregulaties Beoordelen

Regeringen wereldwijd hebben regulatoire actie versneld om IoT beveiliging te versterken, wat een rijpende markt signaleert. Toch is het regeren van het IoT landschap complex. Elk stuk wetgeving varieert, en zijn effectiviteit zal toekomstig beleid leiden. Zoals Ken Munro, partner bij Pen Test Partners, uitlegt, ligt de echte meetwaarde in hoe goed deze regels worden geadopteerd, waar ze slagen en waar ze tekortschieten.

1. De IoT Cybersecurity Improvement Act van 2017 (VS)
   Ontworpen om apparaten gebruikt door Amerikaanse federale agentschappen te beveiligen, vereist de Act dat apparaten geen bekende kwetsbaarheden bevatten gelist in de NIST database, over-de-lucht updates ondersteunen, vaste of hardcoded credentials gebruiken voor remote administratie, en kwetsbaarheden prompt onthullen en remedieren. Echter, de focus op NIST entries kan gemeenschappelijke fouten missen zoals SQL injectie in klantgerichte apps. Het rekening ook niet met RF protocollen die zonder credentials opereren, wat die apparaten dwingt herontworpen te worden. De Act is nog niet in werking getreden; andere wetsvoorstellen – Smart IoT Act, DIGIT Act, Security IoT Act, Cyber Shield Act, IoT Consumer TIPS Act – zijn in overweging.
2. Cybersecurity Act (EU)
   Effectief vanaf mei 2018, deze wetgeving wijst ENISA aan als de EU's cybersecurity autoriteit en stelt een vrijwillig certificeringsraamwerk in voor connected cars en slimme producten over alle lidstaten. De Act geldt alleen voor Kritieke Nationale Infrastructuur. Fabrikanten kunnen classificatie zoeken als 'basic', 'substantial' of 'high'. Apparaten in de 'basic' tier mogen hun eigen conformiteitstests uitvoeren, terwijl ENISA waarschuwingen kan uitgeven om beveiliging te verbeteren. Handhavingsmechanismen zijn niet gespecificeerd, en de vereiste voor updates of verplichte kwetsbaarheidsopenbaaring blijft optioneel. De Act maakt whistle-blowing en verantwoorde openbaaring over de unie mogelijk.
3. SB-327 (Californië, VS)
   Geaccepteerd in augustus 2018, werd Californië de eerste VS staat die slimme technologie reguleert. De wet stelt basisbeveiligingsstandaarden voor consumentenapparaten, effectief januari 2020. Toch is de taal – "passende beveiliging ontworpen om te beschermen" – vaag, wat fabrikanten toelaat intentie te claimen zonder substantiële waarborgen. Het vereist unieke wachtwoorden maar adressteert geen entropiebronnen. Detailhandelaren zijn vrijgesteld, wat een markt vol non-compliant apparaten riskeert voordat de wet in werking treedt. Geen update ondersteuningsvereiste is opgenomen.
4. Code of Practice for Consumer IoT Security (UK)
   Uitgegeven door Digital, Culture, Media and Sport (DCMS) en GDPR inkorporerend, geeft deze vrijwillige code richtlijnen voor fabrikanten, app ontwikkelaars, dienstverleners en detailhandelaren. Het verbiedt standaardwachtwoorden, vereist veilige opslag van credentials en gevoelige data, en moedigt softwareupdates aan. Hoewel het een kwetsbaarheidsopenbaarheidsbeleid aanbeveelt, dwingt het leveranciers niet om fixes uit te geven. Toch markeert het een significante positieve stap naar consument IoT beveiliging.

De heersende benadering leunt naar zachte regulering, wat de vraag oproept naar vrijwillige naleving. IoT leveranciers staard intense marktdruk; vrijwillige nakoming zou duidelijke voordelen of gevolgen nodig hebben. Marktdruk kan uitgeoefend worden door consumenten het recht te geven kwetsbare slimme goederen te retourneren voor credit onder handelsstandaarden, detailhandelaren aan te moedigen alleen compliant apparaten te voorraden, en fabrikanten te motiveren om deel te nemen aan classificatieschema's en hun producten te testen.

Het blijft te vroeg om de impact van zelfregulering te beoordelen. Wetgeving laten zakken en de industrie laten aanpassen zal verduidelijken of additionele straffe maatregelen nodig zijn.

Ken Munro, partner, Pen Test Partners, brieft regelmatig UK en VS overheidsdepartementen en zit in diverse EU consumentenraden voor IoT regulering.