物联网网络安全改进法案为物联网设备安全设定了较低的标准

销售给喂养的最低机关网络安全要求

物联网网络安全改进行为广泛应用于“互联网连接的设备”，这种设备是“能够连接到Internet的正常连接的物理对象”以及拥有“可以的计算机处理能力”收集，发送和接收数据。“

如果要销往联邦政府，则立法对此类设备施加了三项最低要求。

制造商倾向于以尽可能低的成本生产设备，这意味着他们不必花费额外的时间和资源来确保设备的安全。

对于初学者，IOT设备无法再有默认的密码，任何人都可以简单地在互联网上搜索和查找。这是显着的，因为默认密码起作用在创建Mirai僵尸网络时，注意到菲尔Neray是Cyber​​ X的工业网络安全副总裁，是一家专门保护工业物联网的创业公司。

其次，该账单指出了国家漏洞数据库，并指定了物联网产品供应商不再销售与联邦政府有关的已知漏洞的任何产品，除非他们获得特殊的例外或豁免。“在嵌入式IOT设备中有既有良好的测试软件的程序，可以进行漏洞，许多技术都可以这样做，”Neray说。

众所周知的脆弱性“可能是非常阴险的，难以封印 - 即使在补丁可以使用时，”奥布莱恩说。“消费者和公司并不总是应用补丁，所以看到一个试图让供应商停止在其代码中包括已知漏洞的账单是令人耳目一新的。”

第三，该法案需要一种机制修补物联网设备它的工作方式应该类似于手机制造商向客户推送更新和补丁的方式。

如果有任何关于补丁的阻力，很可能是由于制造商的成本上升。O'Brien解释说:“所有设备都可以打补丁的要求意味着制造商有一个完整的系统，这样他们的基础设施就可以打补丁。”“你需要多长时间继续给设备打补丁?”对于企业来说，销售一款未来还需要继续支持的设备还有意义吗?”

除了这些问题，还有一些关于什么的问题是和不是总的来说，物联网网络安全法案的要求“都是有意义的，有助于建立最佳实践，”Neray说。“很明显，我们咨询了安全研究人员和专家。”

这是显而易见的，因为从事“诚信研究”的安全研究人员在《计算机欺诈和滥用法案》(Computer Fraud and Abuse Act)和《数字千年版权法》(Digital Millennium Copyright Act)下免于承担责任。

这两个行为为一个不确定的环境制造进行独立的安全研究o'brien表示，“任何研究人员在公司产品中探索的任何研究人员都需要担心一点点，也许司法部就会对他们的工作来看不见，或者一家认为它不利的公司将诉诸司令停止他们的研究或阻止他们发布它。所以，这里有一点剑和盾牌。“

为什么要从这些最低要求开始呢?

O'Brien表示，建立面向联邦政府销售的最低物联网网络安全标准是“一个很好的起点，因为如果将其应用于面向消费者的行业销售，将会引发更大的争议。”

该公司没有使用法规强制物联网制造商在其设备中建立更多的安全性比尔利用联邦政府的购买力来激励制造商。“在过去，问题是，制造商没有动力在他们的产品中建立更多的安全性，因为无论如何都是消费者购买它们，”Neray说。“制造商倾向于以最低的成本构建设备，这意味着它们不一定能够为确保其设备安全地投入额外的时间和资源。”

正如你所料，并不是所有人都对联邦政府制定物联网网络安全法规感到高兴。他说:“立法在对付新兴技术时是一种钝器，它往往最终可能弊大于利。阿莫勒璧他是云安全公司Netskope Inc.产品管理副总裁。“解决物联网安全问题的诀窍是，在对新进入市场的初创企业施加不切实际的期望和社会总体安全需求之间找到正确的平衡。”

Kabe警告说，决定哪些技术会蓬勃发展“是最好留给市场的决定”，但他补充说，促进采用行业最佳实践的立法，使企业和物联网供应商都遵守这些标准，“将是对组织的破坏性最小的”。

谁会感受到账单的影响最多？

STEMS STARTUPS和法规世界新的初创公司和公司的公司表示，他们的技术和他们的业务可能会受到一些重要的过程。丹妮尔杰克逊Secureauth的首席信息安全官员提供自适应访问控制技术。“除了包含安全性和监管要求的内部实践之外，可能需要对产品技术进行相同的关注。”

大型和成熟的物联网公司可能不会感觉到物联网网络安全改进法案的影响和小的一样多。但Jackson补充说，初创公司“如果从一开始就建立和整合这些需求，也可能处于优势”。“我还认为，物联网公司在满足这些需求的同时，也面临着降低成本的挑战。这些物联网公司愿意承担额外的成本吗?他们是在给美国政府打折，让消费者支付差价吗?”

依赖于或从向美国政府销售中获得很大一部分收入的物联网公司可能会发现自己需要做出必要的调整以遵守规定。“可能还有其他驱动因素，但大多数都是基于收入的。也许一些物联网公司将修改产品或分割产品供应，提供满足美国政府要求或法规的产品，其他产品将可供大众使用，”Jackson说。

这只是物联网安全法规的开始

在政府的不同部门和私营部门建立的努力已经很好地进行物联网安全最佳实践“但公平地说，我们仍处于非常早期的阶段，”奥布莱恩说。

分析人士预测，在短短10到15年内，将有500亿台设备被连接起来，因此“它将影响网络上的大量节点——远远超过现在，主要是计算机连接，”他接着说。“如果这是真的，这绝对只是一个开始，我们将在很长一段时间内进行这个对话。”

联邦政府是它最大的买家之一，所以现在它已经建立了一些基本的IOT的安全标准奥布莱恩说:“从理论上讲，如果你想把产品卖给政府，你最好让你所有的产品——包括你卖给消费者和企业的产品——都遵循同样的标准。”“所以，它可能会让物联网设备变得更安全。但这是一个大问题:它真的会提高对消费者和企业的标准吗?”