あなたの会社が「スマート」デバイスを製造している場合は、Tapplock と FTC との和解について読んでみるとよいでしょう。これは、モノのインターネット (IoT) 分野の企業がコネクテッド製品を設計する際にプライバシーとセキュリティについて考慮する必要がある理由を示すもう 1 つの例です。
Tapplock, Inc. は、スマート ロックと呼ばれる、インターネットに接続された指紋認証対応の南京錠を販売する IoT 企業です。スマート ロックは、ユーザーが Bluetooth の範囲内にいるときにスマート ロックをロックおよびロック解除できるようにするアプリと対話します。 Tapplock は、自社のスマート ロックを「壊れないデザイン」で「大胆」であると宣伝しました。頑丈。安全な。”タップロックはまた、個人情報を保護するために「合理的な予防策」を講じ、「業界のベストプラクティス」に従ったと述べた。
しかし、FTCの訴状によると、Tapplockのスマートロックは安全ではなかった。実際、研究者は背面パネルのネジを外すだけで数秒以内にドアを開けることができました。研究者らはまた、Tapplock が簡単で低コストの手順で回避できた可能性があるいくつかのセキュリティ脆弱性も発見しました。例えば：
- Tapplock の API の脆弱性により、研究者はアカウント認証をバイパスし、すべての Tapplock ユーザーのアカウントに完全にアクセスできるようになりました。これには、ユーザー名、電子メール アドレス、プロフィール写真、位置履歴、スマート ロックの正確な地理位置情報が含まれます。
- 別の脆弱性により、研究者は近くにある Tapplock スマート ロックをロックおよびロック解除できます。なぜ？ Tapplock は、ロックとアプリ間のデータ フローを暗号化しませんでした。そのため、研究者はロック解除に必要なキーを簡単に特定して生成できました。
- 3 番目の脆弱性により、ユーザーは他のユーザーにアクセスを許可した後、スマート ロックへのアクセスを効果的に取り消すことができなくなりました。
FTC の 2 件の訴状では、Tapplock が、(1) 自社のスマート ロックは安全である、(2) 合理的な予防措置を講じ、業界最高水準に従っていると虚偽の表明を行い、FTC 法第 5 条に違反する欺瞞的行為または慣行に関与したと主張しています。消費者の個人情報を保護するための実践。
FTCの和解により、Tapplockはデバイスのセキュリティや個人情報のプライバシーに関して虚偽の発言をすることが禁止された。また、Tapplock には従業員のトレーニングを含む包括的なセキュリティ プログラムの導入も義務付けられています。最後に、企業は隔年で第三者評価を受け、毎年コンプライアンスを認証する必要があります。
IoT ビジネスが同様の間違いを避けたい場合は、次のことに留意してください。
- 「セキュリティ・バイ・デザイン」を実装します。 最初から製品にセキュリティを組み込んでください。製品をリリースする前に脆弱性テストと侵入テストを実施します。
- セキュリティの文化を奨励する。書面によるセキュリティ基準を作成し、製品のセキュリティを担当する上級幹部を任命します。スタッフが脆弱性を認識し、声を上げたら報酬を与えるようにトレーニングします。
- 認証を念頭に置いて製品を設計する。モノのインターネットでは認証が必須です。接続されたデバイスでは、認証に失敗すると、デバイスだけでなく、デバイスが接続されているネットワークへのアクセスも許可されてしまいます。
- 専門家がセキュリティについてすでに学んだことを活用してください。 たとえば、デバイスが送信および保存するデータには、標準の暗号化技術が利用できます。アプリがユーザー名、パスワード、API キー、またはその他の重要なデータを送信するときは常に、転送暗号化を使用します。
- 製品と他のデバイスまたはサービス間のインターフェイスを保護します。サービスがデバイスと通信する時点でのセキュリティの脆弱性は、詐欺師がネットワークに侵入する足がかりを与える可能性があります。そのため、これらの各インターフェイスをセキュリティで保護する必要があります。
詳細なガイダンスについては、「Careful Connections: Building Security in the Internet of Things」および「App Developers: Start with Security」を参照してください。
