I dispositivi connessi per la casa – dagli smart speaker alle smart Tv ai termostati intelligenti – sono una potenziale porta d’accesso per malware e hacker e mettono a rischio i dati dei consumatori: per questo il governo britannico, primo in Europa, ha proposto una legge che obbligherà i produttori di device IoT di rispettare tre requisiti fondamentali per la cybersecurity.
Primo, tutti i device della Internet of things dovranno avere una password unica e non essere resettabili su un’impostazione universale decisa dal produttore. Secondo, i produttori dovranno offrire un punto di contatto pubblico dove informare facilmente e velocemente di tutte le eventuali vulnerabilità. Infine, i produttori dovranno indicare il periodo di tempo minimo durante il quale il device riceverà aggiornamenti di sicurezza, che sia in negozio che online. I dispositivi che non rispetteranno i tre requisiti saranno vietati alla vendita in Uk.
La consultazione con l’industria
Il Regno Unito vuole porsi come avanguardia della sicurezza cibernetica. Il Code of practice del governo britannico ha formato la base per il primo standard industriale dell’Ue sulla sicurezza della IoT pubblicato l’anno scorso. Con la nuova legge in fase di definizione Londra vuole restare alla guida delle iniziative per la sicurezza delle tecnologie smart.
I parametri proposti dal governo e su cui sta legiferando il Parlamento britannico sono stati sviluppati dopo una consultazione con i player dell’industria e con il National cyber security centre. Londra ha cercato di trovare un equilibrio tra le esigenze della cybersecurity e quelle di continuare a incoraggiare l’innovazione e l’allargamento del mercato IoT.
“Vogliamo rendere il Regno Unito il posto più sicuro per essere online ma anche con regole che favoriscono l’innovazione e alimentano la fiducia nella moderna tecnologia”, ha affermato il ministro al Digitale Matt Warman. “La nostra nuova legge renderà le aziende che producono e vendono dispositivi che si connettono a Internet responsabili di bloccare gli hacker che minacciano la privacy e la sicurezza delle persone”.
La sicurezza dovrebbe essere “by design”
Il mercato commerciale per i dispositivi connessi è enorme: secondo le stime di McKinsey ci saranno 75 miliardi di device connessi nelle case entro il 2025.
“Negli scorsi anni è stata espressa grande preoccupazione sull’attaccabilità dei consumatori e sull’inadeguatezza della protezione dagli attacchi informatici”, ha commentato John Moor, managing director della IoT Security Foundation. “La IoT Security Foundation accoglie con favore gli esiti della consultazione perché non solo danno chiarezza all’industria ma sono una buona notizia per i consumatori e una pessima notizia per gli hacker“.
Non tutti però condividono l’entusiasmo di Moor: alcuni sostengono che la responsabilità del produttore dovrebbe essere maggiore e che la legge dovrebbe imporre di fabbricare i device della IoT secondo i principi della sicurezza by design. Dovrebbero cioè essere progettati a prova di hacker prima di arrivare alla vendita, e prima che gravi sugli utenti il peso di scegliere le password o denunciare le vulnerabilità. I device della smart home sono “personali” e, dicono i critici, il governo dovrebbe esigere che i produttori certifichino che i loro device e i loro software sono sicuri quando escono dalla fabbrica e imporre lunghi periodi in cui sono garantiti gli aggiornamenti di sicurezza.
