Last Updated on 2024-07-08 07:15 by 門倉 朋宏
イギリスでは、2024年4月29日からスマートデバイスにデフォルトパスワードを設定することを禁止する新法が施行される。この法律は、Product Security and Telecommunications Infrastructure act（PSTI法）として知られ、消費者がサイバー攻撃から保護されたスマートデバイスを選択できるようにすることを目的としている。製造業者は、推測可能なデフォルトパスワードを使用しないこと、セキュリティ問題を報告するための連絡先を提供すること、およびデバイスが重要なセキュリティ更新を受け取る予定の期間を明示することが求められる。ただし、法律の下ではユニークなデフォルトパスワードの使用が許可される。
この法律は、スマートスピーカー、スマートTV、ストリーミングデバイス、スマートドアベル、ベビーモニター、セキュリティカメラ、携帯電話タブレット、スマートフォン、ゲームコンソール、ウェアラブルフィットネストラッカー（スマートウォッチを含む）、スマート家庭用電化製品（電球、プラグ、ケトル、サーモスタット、オーブン、冷蔵庫、掃除機、洗濯機など）など、インターネットに接続できる製品に適用される。違反した企業は、製品のリコールや最大1000万ポンド（約12.5百万ドル）または全世界の年間収益の4％のいずれか高い方の罰金を科される可能性がある。
この法律により、イギリスはIoTデバイスからデフォルトのユーザー名とパスワードを禁止する世界初の国となった。Cloudflareの2024年第1四半期のDDoS脅威レポートによると、2016年にオリジナルのボットネットが取り下げられたにもかかわらず、Miraiベースの攻撃は依然として一般的である。また、この法律は、米国連邦通信委員会（FCC）がAT&T、Sprint、T-Mobile、Verizonに対し、顧客のリアルタイム位置データを顧客の同意なしに第三者に販売したとして合計1億9600万ドルの罰金を科した事件に続くものである。
【ニュース解説】
イギリスでは、2024年4月29日からスマートデバイスにデフォルトパスワードを設定することを禁止する新しい法律が施行されます。この法律は、Product Security and Telecommunications Infrastructure act（PSTI法）と呼ばれ、消費者がサイバー攻撃から守られたスマートデバイスを選ぶことができるようにすることを目的としています。製造業者は、推測可能なデフォルトパスワードを使用せず、セキュリティ問題を報告するための連絡先を提供し、デバイスが重要なセキュリティ更新を受け取る予定の期間を明示することが求められます。ただし、ユニークなデフォルトパスワードの使用は許可されます。
この法律は、スマートスピーカー、スマートTV、ストリーミングデバイス、スマートドアベル、ベビーモニター、セキュリティカメラ、携帯電話タブレット、スマートフォン、ゲームコンソール、ウェアラブルフィットネストラッカー（スマートウォッチを含む）、スマート家庭用電化製品など、インターネットに接続できる製品に適用されます。違反した企業は、製品のリコールや最大1000万ポンド（約12.5百万ドル）または全世界の年間収益の4％のいずれか高い方の罰金を科される可能性があります。
この法律の施行により、サイバーセキュリティの基準が向上し、消費者はより安全なスマートデバイスを利用できるようになります。デフォルトパスワードは、サイバー攻撃者にとって簡単なターゲットとなり得るため、その禁止は重要な一歩です。特に、Miraiのようなボットネットによる攻撃が依然として一般的である現状では、このような法律はサイバー攻撃のリスクを減少させる効果が期待されます。
しかし、この法律には実装の課題も伴います。例えば、製造業者は新しいセキュリティ基準に適応するために、製品の設計や開発プロセスを見直す必要があります。また、セキュリティ更新の提供期間を明示することは、長期的なサポートを保証することを意味し、製造業者にとっては追加の負担となる可能性があります。
この法律は、サイバーセキュリティの向上というポジティブな側面を持ちながらも、製造業者に新たな責任とコストを課すことになります。長期的には、より安全なデジタル環境の構築に貢献することが期待されますが、短期的には製造業者や消費者にとっての調整期間が必要となるでしょう。また、この法律は他国における同様の規制の導入に影響を与える可能性があり、グローバルなサイバーセキュリティ基準の向上に寄与することが期待されます。
from New U.K. Law Bans Default Passwords on Smart Devices Starting April 2024.
