FTC 建议制造商加强保护物联网设备的工作

考虑到物联网连接设备的数量急剧攀升，FTC 上个月 发布了一份文件 ，内容是消费品安全委员会 (CPSC) 关于物联网和消费品风险的公开听证会通知和书面意见征询 (RFC)。

在强调物联网对从照明和智能电视到可穿戴健身追踪器、医疗设备和互联汽车的收益的同时，FTC 还表示，物联网设备的数据完整性可能被破坏，给消费者带来危险。

为了解决这个问题，它建议制造和销售物联网设备的公司必须采取合理的措施，以确保它们免受未经授权的访问。安全性差的物联网设备为攻击者创造了控制设备的机会，带来了可能包括安全隐患的风险。文件引用的例子包括黑客使用的 Mirai 僵尸网络，由感染了恶意软件的物联网设备（如 IP 摄像机和路由器）组成，对芬兰未受保护的住宅建筑管理系统进行分布式拒绝服务 (DDoS) 攻击。通过阻止互联网接入，黑客使这些互联管理系统进入无休止的重启循环，导致公寓居民在冬季失去了中央供暖。

文件还补充说，公司应制定计划来消除其物联网设备的安全风险，应采取措施确保该设备免受黑客攻击，以解决隐私和安全问题。它对 CPSC 的建议集中在三个详细要求上，具体包括：

1. 确保预测和减轻安全隐患的最佳实践
2. 制定程序，鼓励消费者注册安全警报和召回信息，包括漏洞披露
3. 了解政府在物联网安全方面不断发展的作用
   
   

在关于预测和减轻安全隐患的最佳实践指南中，FTC 表示，公司必须将其安全计划加入公司的整体风险评估，包括设备层面和与云的接口。不仅如此，公司也有责任在推出产品前测试其安全措施是否有效。这些都建立在公司对安全的理解，以及聘请第三方专家的意愿上。

对于许多组织来说，这是一个“存在未知”的案例，他们根本不知道自己缺少了什么，因此，可能会因为对将面临的威胁的无知而遭受重大挫折。然而，对法律的无知并不能构成法庭上的辩护理由，各组织必须迅速认识到他们应对我们这个超级互联世界担负的责任。

文件补充说，虽然安全保护通常是制造商的责任，但物联网设备往往是由各种服务提供商的组件和软件组成的产品。因此，在向消费者出售其产品之前，物联网设备制造商应采取合理措施，评估这些产品的整体安全性，包括其服务提供商可能带来的任何风险。公司应通过在选择服务提供商时进行尽职调查，将安全标准纳入合同，并采取合理措施，持续核实服务提供商对这些不断发展的安全标准的遵守情况，从而进行监督和引导。如前所述，问题在于组织如何验证它们是否遵循了最佳实践指南。

此外，FTC 还建议，随着威胁、安全隐患、技术和商业模式的发展，公司必须实施持续的流程以跟上安全实践的发展步伐。这包括公司在推出产品后，采取合理措施解决对隐私、安全和保障的威胁，包括发布更新和补丁。在 FTC 进行的一项关于移动安全更新的研究中，它发现移动设备制造商之间的安全更新过程差异很大，尽管他们已经做出了改进，但瓶颈仍然存在。因此，研究强调生态系统中的所有参与者都要确保设备在符合消费者合理期望的时间段内获得安全更新。

这些建议强调了从新产品开发之初就采取全面的安全方法和建立可信供应链的重要性。决不能以事后补救的态度对待安全问题，安全（或缺乏安全）现在已升级为对每个公司的生存威胁，应将其提升到高层会议的层面。所有的首席执行官都必须了解安全的影响，包括威胁和即将到来的机会，以及对他们公司的影响。在开发产品时，必须将唯一的身份和保密性纳入其 DNA。企业必须有一种方法来支持产品的整个生命周期，向集成商和用户提供安全的更新，并告知他们远远超过传统使用寿命终结点的漏洞。此外，在这个新要求的漩涡中，如果要保护品牌价值和体现在知识产权中的昂贵的研究费用，就需要一个强大而可信的供应链。

随着 FTC 认识到需要保护消费者免受物联网连接设备的风险和潜在危害，各方确实需要从开发和制造以及产品的整个生命周期来考虑安全问题。现在的问题是，行业如何应对。

IAR Systems 的首席战略官 Haydn Povey 正在与一个芯片供应商的生态系统合作，开发必要的工具以应对这些新的安全需求挑战，并为可信供应链提供可信的框架。另外，Haydn 也是物联网安全基金会的执行指导委员会成员。