Avaliando o Alcance das Recentes Regulamentações de Segurança para IoT

Governo em todo o mundo aceleraram ações regulatórias para fortalecer a segurança da IoT, sinalizando um mercado em maturação. No entanto, governar o cenário da IoT é complexo. Cada legislação varia, e sua eficácia guiará políticas futuras. Como explica Ken Munro, sócio da Pen Test Partners, a verdadeira medida está em quão bem essas regras são adotadas, onde têm sucesso e onde falham.

1. Lei de Melhoria de Cibersegurança da IoT de 2017 (EUA)
   Projetada para proteger dispositivos usados por agências federais dos EUA, a Lei exige que dispositivos não contenham vulnerabilidades conhecidas listadas no banco de dados do NIST, suportem atualizações over-the-air, usem credenciais fixas ou hard-coded para administração remota, e divulguem e corrijam vulnerabilidades prontamente. No entanto, o foco em entradas do NIST pode ignorar falhas comuns como injeção SQL em apps voltados ao cliente. Também não considera protocolos RF que operam sem credenciais, forçando redesign desses dispositivos. A Lei ainda não foi promulgada; outros projetos — Smart IoT Act, DIGIT Act, Security IoT Act, Cyber Shield Act, IoT Consumer TIPS Act — estão em consideração.
2. Lei de Cibersegurança (UE)
   Em vigor desde maio de 2018, esta legislação designa a ENISA como autoridade de cibersegurança da UE e estabelece um quadro de certificação voluntário para carros conectados e produtos inteligentes em todos os estados-membros. A Lei se aplica apenas a Infraestrutura Nacional Crítica. Fabricantes podem buscar classificação como 'básico', 'substancial' ou 'alto'. Dispositivos no nível 'básico' podem realizar seus próprios testes de conformidade, enquanto a ENISA pode emitir alertas para melhorar a segurança. Mecanismos de fiscalização não são especificados, e a exigência de atualizações ou divulgação obrigatória de vulnerabilidades permanece opcional. A Lei permite denúncias e divulgação responsável em toda a união.
3. SB-327 (Califórnia, EUA)
   Aprovada em agosto de 2018, a Califórnia tornou-se o primeiro estado dos EUA a regular tecnologia inteligente. A lei impõe padrões básicos de segurança para dispositivos de consumo, entrando em vigor em janeiro de 2020. No entanto, a linguagem — "segurança apropriada projetada para proteger" — é vaga, permitindo que fabricantes aleguem intenção sem salvaguardas substantivas. Exige senhas únicas, mas não aborda fontes de entropia. Varejistas são isentados, arriscando um mercado inundado com dispositivos não conformes antes da lei entrar em vigor. Não há exigência de suporte a atualizações.
4. Código de Prática para Segurança de IoT de Consumo (Reino Unido)
   Emitido pelo Departamento de Digital, Cultura, Mídia e Esporte (DCMS) e incorporando o GDPR, este código voluntário dá diretrizes para fabricantes, desenvolvedores de apps, provedores de serviços e varejistas. Proíbe senhas padrão, exige armazenamento seguro de credenciais e dados sensíveis, e incentiva atualizações de software. Embora recomende política de divulgação de vulnerabilidades, não obriga fornecedores a emitir correções. Ainda assim, marca um passo positivo significativo rumo à segurança da IoT de consumo.

A abordagem predominante inclina-se para regulação branda, levantando a questão da conformidade voluntária. Fornecedores de IoT enfrentam intensa pressão de mercado; adesão voluntária precisaria de vantagens claras ou repercussões. Pressão de mercado poderia ser exercida concedendo aos consumidores o direito de devolver bens inteligentes vulneráveis para crédito sob normas comerciais, incentivando varejistas a estocar apenas dispositivos conformes, e motivando fabricantes a aderir a esquemas de classificação e submeter produtos a testes.

Ainda é cedo para medir o impacto da autorregulação. Permitir que a legislação assente e a indústria se adapte esclarecerá se medidas punitivas adicionais são necessárias.

Ken Munro, sócio da Pen Test Partners, assessora regularmente departamentos do governo do Reino Unido e EUA e atua em vários conselhos de consumidores da UE sobre regulação de IoT.