在上周旧金山的 RSA 资讯安全研讨会上，网络社会（Internet Society ）的网络科技长（CITO）Olaf Kolkman 和 IBM Resilient 的科技长（CTO）Bruce Schneier（也是知名多本密码学专书的作者）这两位以前不同阵营的科技人（方便第一或安全第一）发现，关于物联网资安议题，自己身处于不可置信的联盟。
基本上，Kolkman 鼓吹要求业界必须从基本建立起物联网的防御机能；而 Schneier 这位反国家强制规范的自由主义者，也同意是时候该为这些连网的小工具制定游戏规则了。
“多年以来，大部分的我们一直是自由主义者，不想要被重重的法规拘束，但是当互联网在现实世界崩溃，导致有人真的可能被杀死时，绝对的自由就不是一个选项了。”Schneier 接着说：“现在不是讨论有监管与没有监管的时候了，因为船已经开出去了。现在的课题是设计聪明的规范，还是愚蠢的规范！”
该产业已经预想到了这个问题，因为对公司利益而言，不会在意任何物联网设备的安全性；普通人目前也不会关心这议题，所以任何可能增加产品成本与售价的东西都会被制造商抵制。
Schneier 认为这情况就类似 1950 年代的汽车。当时，安全带还不是汽车的标准配备，只有少量汽车有配，当然更没有安全气囊，也不会有客户要求汽车制造商安装。是因为美国政府发现道路死亡人数攀升，所以开始制定行车安全相关法规，且强制推行，现代的汽车里，安全带、安全气囊等才变成标准配备。
他又表示，我们现在正处于类似的情境。应该不会很久，我们有生之年就会看到第一起使用物联网设备而意外死亡的案例，可能导致一大片互联网当机，或是使用智慧汽车和智慧建筑个人设备时被入侵或者发生其他意外。
政府应监管物联网设备
Kolkmany 则表示，他赞成政府对物联网设备的监管。这些设备至少必须具备更新与修补的机能。实务上，一旦主流市场走向这样的路线，其余的将会跟随。
他指出欧盟有资料隐私法，如果一个公司违反规定，将会被处以高达全球收入 4% 的钜额罚金。如果有了类似的物联网法规，制造商就也得依循欧盟法规制造产品，产品才能在欧洲销售，而世界其他地区也将受益。
议程主持人暨网络信赖联盟（Online Trust Alliance）的主席 Craig Spiezle 表示，他对当前美国的共和党联邦政府是否提出新法规不表乐观，但是个别州可以当领头羊。
“我听说加州正在进行物联网设备监管的立法，这是令人鼓舞的事情，”他接着说：“加州曾是第一个制定反垃圾邮件和儿童保护法的州，看来加州也将在物联网安规方面保持领先。”
但是仍然有一些听众不想要任何强制性政策。高通公司的产品安全工程副总裁 Alex Gantman 就说，在他的职涯中，他从来没看到过使 IT 设备更安全的法律，在某些情况下，繁文缛节的法规反而会产生反效果。
笔者认为，中国物联网相关产品的业者也要开始留意这个趋势，及早做好因应的准备。
- You know IoT security is bad when libertarians call for strict regulation
（首图来源：shutterstock）
