Regulamentação de Segurança IoT no Reino Unido Permite que Consumidores Exijam Dispositivos Conectados Mais Seguros

O governo do Reino Unido está avançando com uma estrutura regulatória abrangente para dispositivos de Internet das Coisas (IoT), alinhando-se a um impulso mundial para proteger o ecossistema IoT em rápida expansão, segundo Mike Nelson, Vice-Presidente de Segurança IoT da DigiCert.

Por anos, produtos IoT chegaram ao mercado com vulnerabilidades críticas, permitindo novos vetores de ameaça — desde carros hackeáveis até bonecas que funcionam como ferramentas de vigilância remota — além de incidentes em larga escala como a botnet Mirai, que colocou em risco a infraestrutura central da internet. Esses riscos motivaram a resposta regulatória do Reino Unido.

As novas regulamentações baseiam-se no Código de Prática de 2018, "Secure by Design", que já oferecia a fabricantes e consumidores um conjunto de diretrizes de melhores práticas. Estas incluem armazenamento seguro de credenciais, minimização de superfícies de ataque, integridade contínua de software e atualizações, e comunicação criptografada.

Embora o Código de 2018 fosse voluntário, o governo agora tornou disposições-chave obrigatórias. Reguladores aplicarão pelo menos três requisitos fundamentais.

Três Diretrizes

Primeiro, senhas de IoT devem ser únicas e não podem ser redefinidas para um padrão de fábrica, eliminando o risco de atacantes explorarem credenciais padrão.

Segundo, fabricantes são obrigados a publicar um contato público para divulgação de vulnerabilidades, permitindo relato e correção rápidos de falhas de segurança.

Terceiro, fabricantes de dispositivos devem divulgar a duração mínima para a qual atualizações de segurança serão fornecidas, dando aos consumidores um horizonte claro para descontinuação ou medidas adicionais de segurança.

Dispositivos que atendem a esses critérios podem exibir um selo de segurança aprovado pelo governo, sinalizando confiança aos consumidores.

Segurança IoT Transferida aos Consumidores

Historicamente, fabricantes — e às vezes equipes de segurança corporativa — assumiam a responsabilidade pela segurança do dispositivo. A certificação "Secure by Design" transfere essa tomada de decisão ao usuário final, permitindo que compradores avaliem o risco antes de integrar um dispositivo a uma rede protegida.

Quando consumidores consideram segurança nas decisões de compra, fabricantes são compelidos a inovar em vez de cortar cantos. Historicamente, insegurança era mais barata; agora, segurança pode se tornar um diferencial de mercado.

O cálculo foi feito tarde demais por muito tempo. Até agora, incentivos — tanto cenoura quanto chicote — faltavam para fabricantes. Embora a nova regulamentação não elimine todas as vulnerabilidades, ela fornece uma estrutura construtiva que recompensa o design proativo de segurança.

O autor é Mike Nelson, VP de Segurança IoT, DigiCert

Sobre o Autor

Mike Nelson é VP de Segurança IoT na DigiCert, provedora global de segurança digital. Neste papel, Mike supervisiona o desenvolvimento estratégico de mercado para indústrias de infraestrutura crítica, protegendo redes e dispositivos IoT altamente sensíveis em saúde, transporte, operações industriais, smart grid e implementações de cidades inteligentes. Mike consulta frequentemente organizações, contribui para relatórios de mídia, participa de corpos de padrões da indústria e fala em conferências sobre como a tecnologia pode melhorar a cibersegurança para sistemas críticos e as pessoas que neles confiam.

Mike passou sua carreira em TI de saúde, incluindo passagens no Departamento de Saúde e Serviços Humanos dos EUA, GE Healthcare e Leavitt Partners — uma boutique de consultoria em saúde. Sua paixão pela indústria vem de sua experiência pessoal como diabético tipo 1 e seu uso de tecnologia conectada em seu tratamento.