למכשירים המחוברים דרוש מחוקק

This post is also available in: English (אנגלית)

תעשיות מתחילות לאמץ טכנולוגיות של האינטרנט של הדברים (IoT) בהיקפים חסרי תקדים. אולם חששות בטיחות ממשיכים לאיים על התקדמות התחום. מחקר על ידי חברת האבטחה Gemalto, למשל, מצא כי ל-90 אחוז מהצרכנים אין ביטחון באבטחה של מכשירים שמחוברים לאינטרנט. כשני שליש מאנשי מקצוע של תמיכה טכנית שנסקרו על ידי ספקית האבטחה Pwnie Express העידו כי היו להם יותר חששות מהנושא ב-2018 מבשנה לפני כן.
נראה בלתי נמנע שהשנה הבטיחות באינטרנט של הדברים תשיג יותר ויותר את תשומת הלב של ממשלות. חברת המחקר הטכנולוגי הבינלאומית Gartner מעריכה כי מספר המכשירים המחוברים יגיע ל-20.4 מיליארד עד סוף העשור, במה שיהווה את המבחר ההולך וגדל של מטרות לתקיפה. אולם הציבור ברובו לא מודע לזה שמכשירים מחוברים יכולים לשמש כדי לתקוף מכשירים אחרים, והתעשייה לא עשתה מספיק כדי ליצור אבטחה אמיתית. השילוב הזה מעלה את הסבירות שמחוקקים ברחבי העולם ירגישו צורך להתערב.
לפי דיווח של cmswire.com, ב-Gartner מסבירים "מגמות מטרידות" באינטרנט של הדברים, כולל "ספקי שירות ומוצרים שממעטים להקדיש תשומת לב לדרישות ספציפיות באבטחת IoT" ו"תקנים טכניים ומסגרות אבטחה ל-IoT שכמעט ולא קיימים או בשלבים ראשוניים".
אולם עד היום חברות נאלצו להתמודד עם מחויבות משפטית מועטה לבנייה של אבטחה חזקה יותר למכשירים שמתחברים לאינטרנט. עדיין נפוץ שמכשירים מגיעים עם סיסמאות מתוכנתות מראש או סיסמאות שפורצים יכולים לגלות בקלות ולנצל. רוב הצרכנים אפילו לא מודעים לפגיעות הזאת.
לאחרונה עברו כמה חוקים חדשים בנושא, כמו החוק בקליפורניה, שדורש מיצרנים של כל מכשיר שמתחבר לאינטרנט להכיל גם תכונות אבטחה "סבירות", כולל סיסמאות שהמשתמש קובע לכל מכשיר. אולם חלק ממומחי האבטחה הביעו ביקורת על החוק והסבירו שהוא חלש מדי. יועץ האבטחה רוברט גרהם כתב, "החוק מבוסס על התפיסה המוטעית של הוספת רכיבי אבטחה. זה כמו דיאטה, המפתח הוא לא רק לא לאכול יותר אלא לאכול פחות. זה נכון גם לאבטחת סייבר, כשהנקודה היא לא להוסיף 'מרכיבי אבטחה' אלא להסיר 'תכונות לא בטוחות'". יהיה מעניין לראות באיזו אגרסיביות ממשלות פועלות, חקיקה יותר חזקה? או גישות עדינות יותר כמו זו של ממשלת בריטניה שמספקת קוד לתרגול?
ייתכן שתידרש תגובה חזקה כדי להשיג את תשומת הלב של התעשייה. תקרית בטיחות חמורה כמובן, תוסיף לבהילות של המצב, אולם עד היום לא הייתה כזו שמשכה את תשומת הלב הבינלאומית באותה צורה שמתקפות על קמעונאים, אתרי רשתות חברתיות או סוכנויות ממשלתיות הצליחו בשנים האחרונות. במה שנחשב לפעם הראשונה באינטרנט, תוקפי סייבר בספטמבר 2016 אילצו את פרשן האבטחה בריאן קרבס להסיר את אתרו לאחר שהשתלטו על מאות אלפי מצלמות ומכשירים אחרים שמחוברים לאינטרנט כדי להכביד על עומס האתר. ההתקפה יצרה כותרות בינלאומיות אולם התרחשה לפני יותר משנתיים, היא היתה יכולה להיות נקודת התחלה משמעותית לחקיקה חדשה, אבל זה לא קרה.