「password」などの推測しやすい初期パスワードの使用を禁止する法案が提出～英国
世の中に存在するデジタルデバイスの数が増加するなか、それらへのサイバー攻撃の数も増加しています。
イギリスでは、セキュリティ性の向上を目的に、推測しやすい初期パスワードの使用禁止や、セキュリティパッチやアップデートの提供予定をユーザーに伝えることを義務づける法案が議会に提出されました。
「password」や「admin」といった推測しやすい初期パスワードを使用禁止
イギリスの議会に提出されたのは「Product Security and Telecommunications Infrastructure (PSTI) Bill」と呼ばれる法案です。
イギリスでは、現在各家庭に平均して9台のインターネット接続機器があり、2030年には世界中でインターネットに接続される機器が500億台に達すると予測しています。
しかしながら、デジタルデバイスに対して適切なセキュリティ対策を施しているメーカーは、5社に1社しかないとして危機感を募らせているとのことです。
そこでこの法案では、まず、「password」や「admin」といった、推測しやすいパスワードを初期パスワードとしてデジタルデバイスに設定することを禁止しています。
初期パスワードは、個々の機器ごとにユニークなものでなくてはならず、かつ工場出荷時の設定にリセットできなくてはならないとのことです。
これまで販売されてきた機器は、初期パスワードをすべての機器で共通にし、後からユーザーに変更してもらうものが多数を占めていましたが、この方法が使えなくなります。
パスワードについては、メーカーだけでなくユーザーも推測しやすいパスワードを多用しているという調査結果があります。
セキュリティパッチやアップデートの予定をユーザーに伝える義務も発生
また、PSTI法案では、デジタルデバイスのセキュリティパッチやアップデートの提供予定をユーザーに伝える義務をメーカーに課しています。
さらに、アップデートを提供する予定がない場合はそのことをユーザーに伝えなくてはならず、セキュリティ研究者が脆弱性や不具合を見つけた場合にそれをメーカーに報告するための連絡先を公開しなくてはいけないともしています。
違反した場合は巨額の罰金が科せられる
この法案に違反した場合、最大1,000万ポンド（約15億2,610万円）あるいは世界市場での売上げの4％が罰金として科せられます。
さらに、違反が続いた場合には、最大で1日あたり2万ポンド（約305万円）の罰金が科せられます。
この法案が適用されるのはメーカーだけでなく、イギリス向けに販売する小売店やオンラインショップも含まれるとのことです。
また、対象製品にはいわゆるデジタルデバイスだけでなく、ゲーム機やインターネット接続に対応したおもちゃなども含まれます。
Source: イギリス政府 via Engadget
(ハウザー)
