分析議会がその職務を果たしているという極めて稀な兆候として、米国議員らは水曜日、モノのインターネットのセキュリティ向上を目的とした新しい法案を提出した。
この法案は上下両院の議員の支持を得て、既に提出されています。さらに、モノのインターネット（IoT）サイバーセキュリティ改善法案は、業界とセキュリティ専門家の支持を得ており、内容も充実しています。
本質的には、この法案はアメリカ国立標準技術研究所（NIST）にIoTデバイスのガイドラインを策定することを義務付け、連邦政府機関にはそのガイドラインを満たした企業からのみ製品を購入することを義務付けることになる。
これにより、実際にどのような標準が導入されるかという問題は専門家の手に委ねられ、連邦政府の調達権限が事実上の業界標準の確立に利用されることになります。企業は依然として安全でない製品を開発し、一般消費者に販売することは可能ですが、標準への準拠を宣伝できる既存製品との競合に直面することになります。
この法律では、進捗に関して現実的だが厳格な期限も定められており、NISTは2020年9月30日までに枠組みを提示し、2020年3月31日までに正式な勧告を提出する必要がある。規則は5年ごとに見直し、改訂する必要がある。
さらに、議員たちが実際に、自分たちの話が何なのかを知っている人々の意見に耳を傾けてきたことを示すさらなる兆候として、この法律では、NIST がカバーすべき最低限の検討事項として、安全な開発、アイデンティティ管理、パッチ適用、構成管理を挙げています。
また、この法律は、連邦政府機関の製品や通信機器を調達する連邦政府機関である一般調達局に対し、各機関にセキュリティの脆弱性の詳細とその解決方法を報告・公表し、他の機関と連携することを義務付けるガイドラインを作成することを義務付ける。
サポーター
名だたる著名人がこの新法を支持する立場をとったのも不思議ではないだろう。
Symantec、Mozilla、BSA The Software Alliance（Apple、Microsoft、IBMなどを含む）、Cloudflare、CTIAも公式サポートを表明しており、セキュリティ専門家のBruce Schneier氏もサポートを表明している。Schneier氏の最新著書『Click Here to Kill Everybody』では、IoTデバイスが引き起こすセキュリティ問題を取り上げている。
EPICの要求：ホームアラームハブにマイクが内蔵されていることを「忘れた」後、GoogleはNestを飛ばすべき時が来た
続きを読む
「NISTに権限を与えてこれらのデバイスの開発と管理の標準を定めることは、政府が保有する機密データと家庭内で共有される個人情報の安全確保に役立つだろう」とMozillaのグローバルポリシー、信頼、セキュリティ担当副社長アラン・デイビッドソン氏は述べた。
「政府が購入するコネクテッドデバイスに対して、徹底的かつ柔軟なセキュリティ要件を確立することで、市場を正しい方向に導いたワーナー上院議員と共同提案者を称賛します」とシュナイアー氏は述べた。
この法案は、上院ではマーク・ワーナー議員（バージニア州民主党）、コリー・ガードナー議員（コロラド州共和党）、マギー・ハッサン議員（ニューハンプシャー州民主党）、スティーブ・デインズ議員（モンタナ州共和党）によって提出されており、下院ではロビン・ケリー議員（イリノイ州民主党）、ウィル・ハード議員（テキサス州共和党）によって提出されている。
この法律は、カリフォルニア州で10月に可決された「接続デバイスのセキュリティ」と呼ばれる同様の法律に続くもので、同州内のインターネット接続デバイスの製造業者は2020年初頭からデバイスに固有のパスワードを設定することが義務付けられる。
この法律は、企業がセキュリティ上の影響を十分に検討せずに自社のデバイスにインターネット接続機能を搭載するという、ますます深刻化する問題に対処するための良い第一歩となる。
無駄になった機会
しかし、当時私たちが指摘したように、これは機会損失でもありました。固有のパスワードは大きな問題ですが、更新されずに消費者の手に委ねられたソフトウェアも同様に問題です。何百万人もの消費者にデバイスを最新の状態に保つよう促す最善の方法を見つけるために、さらに多くの研究を行う必要があります。そうでなければ、IoTデバイスがセキュリティ問題となるのは時間の問題です。
NIST の勧告により、米国が現在および将来にわたって、より強力で持続可能なデバイス セキュリティ モデルをどのように生み出せるかについて、さらに深く検討できるようになることを期待します。
この法案が可決される可能性については、今のところ分かりません。2年前にワーナー上院議員が同様の法案を提出しましたが、内容がやや規定的すぎたため、国防省、商務省、国土安全保障省など、複数の連邦機関が関与する内容でした。結局、上院を通過することはありませんでした。
この法案はより適切に設計されており、関係者の負担が少なく、NISTに判断を委ねる形になっています。また、産業界の支持も得ています。つまり、可決される可能性ははるかに高く、それは誰にとっても良いこととなるでしょう。®
