[[436957]]

英國推出了產品安全和電信基礎設施 (PSTI) 法案，以保護物聯網設備。

在安全性方面，許多“智能”設備名不副實。隨著制造商急于推出物聯網設備，安全性往往成了事后的想法。

媒體、數據和數字基礎設施部長 Julia Lopez 說：

“每天都有黑客試圖入侵人們的智能設備。我們大多數人都認為，如果一個產品要出售，那么它一定是安全可靠的。然而，許多設備并非如此，這讓我們中太多的人面臨欺詐和盜竊的風險。我們的法案將為從手機和恒溫器到洗碗機、嬰兒監視器和門鈴等的日常技術設置防火墻，并對違反新安全標準的組織處以巨額罰款。”

在常見的任何不明智的安全實踐中，通常使用默認密碼。

您不必是經驗豐富的黑客，即可訪問某人設備的登錄頁面，并使用默認密碼訪問該頁面，以達到竊取公司機密、勒索、侵犯隱私、收集敏感數據等目的。

經驗豐富的黑客可以掃描易受攻擊的設備，并使用默認密碼將其添加到臭名昭著的Mirai等僵尸網絡中。

此類僵尸網絡利用物聯網設備為 DDoS 服務提供前所未有的廣泛分布的流量并造成巨大破壞。2016 年 10 月對 DNS 提供商 Dyn 的一次引人注目的攻擊導致多個知名網站宕機，包括 GitHub、Twitter、Reddit、Netflix、Airbnb 等。

PSTI法案禁止使用默認密碼。所有設備必須具有唯一的密碼，并且不能重置為任何通用的出廠設置。

制造商還將被要求在銷售網點提醒客戶，并讓他們了解產品將在多長時間內收到重要的安全更新和補丁。

另一個關鍵規則是必須提供一個聯系方式，以便安全研究人員和其他人在發現產品有缺陷和錯誤時更容易進行報告。

執法將由一個尚未確定的監管機構進行，該機構將有權對違規公司處以高達1000萬英鎊或其全球營業額4%的罰款。他們還將能夠對持續的違規行為處以最高 20,000 英鎊/天的罰款。

任何“可連網”的產品都將受到新規則的約束。唯一的主要豁免是臺式機和筆記本電腦，因為它們由成熟的防病毒軟件市場提供服務。

國家網絡安全中心技術總監 Ian Levy 博士評論說：

“我對這項法案的出臺感到高興，該法案將確保連網消費設備的安全，并讓設備制造商承擔維護基本網絡安全的責任。該法案提出的要求是由DCMS和NCSC在行業咨詢的基礎上共同制定的，標志著確保市場上的連網設備符合公認的安全標準之旅的開始。"

然而，該法案并非沒有批評者。

畢馬威英國網絡主管 Martin Tyley 表示：

“由于公司目前面臨過多的網絡風險，PSTI法案只是給CISO不斷增加的待辦事項清單中增加了另一項任務。”

“制造商已經在努力避開惡意行為者，并遵守現有立法——在組合中增加另一項監管只會進一步給他們制造壓力。因此，我認為，所有網絡安全法規和立法都必須附帶指導方針，并為期望遵守這些指導方針的行業提供支持。”

“監管機構和英國政府對這些組織所面臨的網絡威脅的看法遠遠超出了業內任何一家公司的預期。因此，有責任解釋為什么它會生效，以及如何考慮它的影響。”

“我們最終可能會看到CISO別無選擇，只能遵守這些新的物聯網安全規則，而不是更全面地考慮其安全態勢。如果他們沒有為未來做好充分準備，這可能最終威脅到他們的客戶關系、利潤潛力和市場地位。”

“這對于那些沒有能力在網絡安全功能上投入更多資金的小型組織來說將是最具破壞性的。”

該法案獲得批準后，相關行業參與者將至少有12個月的時間來遵守新規則。