咱们最近研讨了一些来自家庭中智能或连网设备的安全威胁，以及咱们能够选用的处理方案。这些威胁之所以呈现，是由于当咱们购买这些设备时，它们通常是不安全的。处理方案似乎是清楚明了的——保证设备在抵达咱们手里之前是安全的。
因而，需求立法。
咱们将物联网设备分为三大类：商业物联网（物联网，作为商业IT的一部分运用）、工业物联网（IIOT，作为工业运营的一部分运用）、消费类物联网(咱们在家里运用的智能设备)。
好消息是，世界上许多规范安排都在致力于拟定物联网规范。坏消息是，只要两个立法机构在仔细企图维护顾客的物联网安全，他们是加利福尼亚州和英国。
时任加州州长杰里·布朗于2018年9月签署了一项网络安全法案，即连网设备安全法案（严格来说，是SB327)，它将于2020年1月收效。可是，虽然该法案对暗码的要求受到了赞扬，但该法案的其他部分被以为是薄弱的。
法案要求每个生产的设备都有仅有的暗码，而且要求用户在初次获得设备拜访权限之前生成新的身份验证办法。此外，对“合理”和“适当”安全特性的要求被以为实际上毫无意义，由于制造商或许不知道这两个词的真正意义。
计划中的英国立法
这仅仅计划中的英国立法。假如可行，它将进步英国及其他地区智能设备的安全性。此外，假如可行的话，它还能够为其他国家的相似立法供给一个蓝图，就像欧盟的一般数据维护法令（GDPR）正在为新的隐私立法供给全球蓝图一样。
在本文中，咱们将研讨拟议中的立法，并考虑其是否有效。
立法
英国有传统的商业立法办法。它首先要求自愿恪守可接受的行为原则，通常会清晰正告说，假如不自愿采纳举动，立法将使其成为强制性的。
2018年10月，数字、文化、媒体和体育部（DCMS）发布了《消费类物联网设备行为安全原则》。它包括13条独立的主张，以保证智能设备的安全性，从没有默许暗码到缝隙发表战略，以及方便顾客删除个人数据等。
这些主张的意图是针对结果的，而不是规定性的——它们描述了应该完结什么，但没有描述应该怎么完结。可是，它们比加利福尼亚州立法的要求更为清晰。
制造商在很大程度上忽视了英国的自愿行为原则。在商业上，假如不需求，他们就不会做。今年5月，英国政府开端从自愿向强制过渡。DCMS就政府关于顾客物联网安全的监管主张发布了一份咨询意见。
政府仍在缓慢推进，但毫无疑问要规范向家庭出售智能设备的意图。提议恪守行为守则，早年3项开端，分阶段引进一切13项要求。这些是：
1、一切物联网设备都应该有仅有的暗码，而且不能重置为任何通用出厂默许值。
2、制造商应供给公共联络方式，作为缝隙发表政策的一部分，以便安全研讨人员和其他人能够报告问题。
3、制造商将清晰阐明产品接纳安全更新的最短时间。
商量，不是是否应该履行这项法令，而是应该怎么履行。
在这里，英国面临着一切提议监管技术的相同问题——怎么在不阻碍产品立异和商业运营效率的情况下做到这一点？
英国政府说：“咱们意识到抑制立异并对各种类型制造商带来沉重负担的危险，这便是为什么咱们一直致力于依据《行为原则》的前3大原则，来界说基本安全的原因所在”。事实上，监管与立异是一种不可调和的矛盾。
但还有一个问题需求处理：怎么对海外制造商施行国家监管？最直接的答案是，不能这样做。因而，政府正在对英国经销商施行监管而不是对外国制造商。
施行
现在争议的焦点是应选用三种施行方案中的哪一种。它们都是从制造商的产品安全标签开端，由于立法禁止在英国出售没有制造商安全标签的产品。
三种施行方案是：
选项一：强制经销商只出售带有物联网安全标签的消费类物联网产品，制造商能够自行声明并在其消费类物联网产品上张贴安全标签。
选项二：要求经销商仅出售契合前3项要求的消费类物联网产品，制造商有职责自行声明其消费类物联网产品契合《消费类物联网设备行为安全原则》前3项要求和ETSI TS 103 645规范。
选项三：要求经销商仅出售带有标签的消费类物联网产品，该标签需证明契合《消费类物联网设备行为安全原则》的一切13项要求，制造商应自行申报，并保证标签呈现在包装上。
这便是问题所在，一切这三个选项都要求制造商自行声明安全性。换句话说，政府正在推行强制性的自愿立法。在其拟议的格式中，这项立法依托商场力气来履行。它不能强迫外国制造商制造安全设备，但它能够惩罚出售这些设备的英国经销商。它让经销商有义务迫使制造商恪守法规。
假如咱们从立法前史中学到了什么，那便是制造商和经销商都将遵从阻力最小的要求。
政府的下一步举动将决定这项立法的意图是成功还是失利。例如，DMCS声明，“咱们打算在议会时间允许的情况下拟定首要立法，让DCMS业务大臣能够为强制性标签计划设定要求和/或为在英国出售的设备设定安全要求，这些要求将在二级立法中确立”。
英国的二级立法不需求议会投票——只需求相关官员的赞同即可。DCMS还指出，政府的意图是强制履行《消费类物联网设备行为安全原则》的一切13项内容。一旦这3项开始要求成为法令，从理论上讲，政府有或许在接下来的10个月内，每月要求一项（剩余的10项原则）成为法令，或者说，任何其他被以为相关的要求。
英国立法会让顾客物联网更加安全吗？
有用吗？或许有用，也或许没用，至少没有期望的那么有用。
有两个底子困难。榜首是制造商的自我安全声明。有好主意的、新的、小的制造商将继续抢在竞争对手之前把他们的产品推向商场，而匆忙推向商场意味着产品功能的安全性开发不足。
不安全的产品仍然会进入商场——假如10台智能设备中有9台不让黑客进入，而第10台让黑客进入，那么对顾客来说，意义安在？
第二个问题是：由谁来认证产品是否契合要求？处理此类问题的规范办法是引进强制性第三方认证，而这能够通过二级立法轻松完结。可是，由谁来支付必要的产品测试费用？
假如由制造商来付费，那么他们或许会放弃向英国出售——英国仅仅巨大全球商场中的一个而已。
假如由经销商来付费，则有或许会将物联网设备赶出商场，从而让智能家居设备在英国商场上短缺。而用户或许会通过国外网站购买不安全、未经测试的外国产品。
政府显然意识到了这些问题，并期望在分阶段施行的一起繁荣商场，而不是一口气要求太多。不过，也只要时间才干证明它是否成功。
但现实是，这项立法自身并不能处理这些问题。成功的最大期望将是，假如有足够多的其他国家政府以为这一做法有价值，并公布了要求采纳相同办法的立法。只要这样，才干迫使一切制造商构建安全的消费类物联网设备。
与此一起，咱们一切人都有职责采纳咱们所能采纳的预防办法，而不是假定咱们购买的设备是安全的。正如Avast和斯坦福大学的最新研讨表明，咱们发现物联网世界中仍有许多当地没有受到维护。
