英国、IoTデバイスのセキュリティ強化へ向けたPSTI法を施行

IoTデバイスが身の回りに広く普及する中で、セキュリティ上の脅威も増している。2016年には、推測しやすいデフォルトパスワードが設定されたIoTデバイスを不正に制御する「Mirai」マルウェアが出現し、大規模DDoS攻撃を引き起こす事件があった。

こうした事態を重く見た英国政府は、消費者保護の観点からIoTデバイスのセキュリティ強化に乗り出す。

PSTI法では、IoTデバイスメーカーに対し、最低限のセキュリティ基準を満たすことを義務付けている。「admin」や「12345」などの簡単すぎるデフォルトパスワードを禁止し、デバイスごとに一意のパスワード設定またはユーザー自身の設定を求める。

さらに、脆弱性の報告を受ける体制の整備や、セキュリティ更新サポート期間の明示も義務化された。法令違反の場合、最大1000万ポンド（約19億7千万）または年間全世界売上高の4%の高い方の罰金が課される。

英国政府は、この施策でユーザーをサイバー攻撃から守れると期待している。だが製品の設計面では大きな影響はない。ライフサイクル全体を通じたメーカーの体制構築が、本法の本質的な狙いなのかもしれない。

【関連リンク】

・IoTデバイスの「admin」や「12345」など推測が容易なデフォルトパスワードをイギリスが世界で初めて禁止(livedoor News)
https://news.livedoor.com/article/detail/26322228/