Оценка охвата недавних регуляций по безопасности IoT

Правительства по всему миру ускоряют регуляторные действия для усиления безопасности IoT, сигнализируя о зрелости рынка. Однако управление IoT-ландшафтом — задача сложная. Каждый закон отличается, и их эффективность определит будущую политику. Как объясняет Кен Манро, партнер Pen Test Partners, истинная мера кроется в том, насколько хорошо эти правила принимаются, где они работают, а где — нет.

1. Закон об улучшении кибербезопасности IoT 2017 года (США)
   Разработан для защиты устройств, используемых федеральными агентствами США. Закон требует: отсутствие известных уязвимостей из базы NIST, поддержку OTA-обновлений, использование фиксированных или жестко заданных учетных данных для удаленного администрирования, оперативное раскрытие и устранение уязвимостей. Однако фокус на записях NIST может упускать распространенные дефекты вроде SQL-инъекций в клиентских приложениях. Также не учитываются RF-протоколы, работающие без учетных данных, что заставляет перерабатывать такие устройства. Закон еще не вступил в силу; рассматриваются другие биллы — Smart IoT Act, DIGIT Act, Security IoT Act, Cyber Shield Act, IoT Consumer TIPS Act.
2. Кибербезопасность (ЕС)
   Вступил в силу в мае 2018 года. Закон назначает ENISA органом ЕС по кибербезопасности и устанавливает добровольную схему сертификации для коннектед автомобилей и умных продуктов во всех странах-членах. Применяется только к критически важной инфраструктуре. Производители могут запрашивать классификацию «базовая», «существенная» или «высокая». Устройства базового уровня могут проводить собственные тесты соответствия, ENISA может выдавать предупреждения. Механизмы принуждения не определены, требования обновлений или обязательного раскрытия уязвимостей остаются добровольными. Закон обеспечивает защиту инсайдеров и ответственное раскрытие по всему союзу.
3. SB-327 (Калифорния, США)
   Принят в августе 2018 года. Калифорния стала первым штатом, регулирующим умные технологии. Закон устанавливает базовые стандарты безопасности для потребительских устройств, вступает в силу январь 2020. Но формулировка — «адекватная безопасность, предназначенная для защиты» — размыта, позволяя производителям заявлять о намерениях без реальных мер. Требуются уникальные пароли, но не адресуются источники энтропии. Ритейлеры освобождены, рискуя завалить рынок несоответствующими устройствами до вступления закона в силу. Требование поддержки обновлений отсутствует.
4. Кодекс практики по безопасности потребительского IoT (Великобритания)
   Издан DCMS (Департамент по цифре, культуре, медиа и спорту) с учетом GDPR. Добровольный код дает рекомендации производителям, разработчикам приложений, провайдерам сервисов и ритейлерам. Запрещает пароли по умолчанию, требует безопасное хранение учетных данных и конфиденциальных данных, поощряет обновления ПО. Рекомендует политику раскрытия уязвимостей, но не обязывает вендоров выпускать исправления. Тем не менее — значительный позитивный шаг к безопасности потребительского IoT.

Преобладающий подход склоняется к мягкому регулированию, поднимая вопрос добровольного соблюдения. Вендоры IoT испытывают огромное рыночное давление; добровольное следование требовало бы явных преимуществ или последствий. Рыночное давление может быть создано через предоставление потребителям права возврата уязвимых умных товаров за кредит по торговым стандартам, стимулируя ритейлеры закупать только соответсвующие устройства, и мотивируя производителей присоединяться к схемам классификации и подвергать продукты тестированию.

Еще рано судить об эффекте саморегулирования. Необходимо дать законодательству оселить и отрасли адаптироваться — тогда станет ясно, нужны ли дополнительные карательные меры.

Кен Манро, партнер Pen Test Partners, регулярно брифит министерства Великобритании и США и входит в различные консультативные советы ЕС по регулированию IoT.