在上周舊金山的 RSA 資訊安全研討會上，互聯網社會（Internet Society ）的網路科技長（CITO）Olaf Kolkman 和 IBM Resilient 的科技長（CTO）Bruce Schneier（也是知名多本密碼學專書的作者）這兩位以前不同陣營的科技人（方便第一或安全第一）發現，關于物聯網資安議題，自己身處于不可置信的聯盟。

基本上，Kolkman 鼓吹要求業界必須從基本建立起物聯網的防御機能；而 Schneier 這位反國家強制規范的自由主義者，也同意是時候該為這些連網的小工具制定游戲規則了。

“多年以來，大部分的我們一直是自由主義者，不想要被重重的法規拘束，但是當網際網路在現實世界崩潰，導致有人真的可能被殺死時，絕對的自由就不是一個選項了。”Schneier 接著說：“現在不是討論有監管與沒有監管的時候了，因為船已經開出去了。現在的課題是設計聰明的規范，還是愚蠢的規范！”

該產業已經預想到了這個問題，因為對于公司的利益而言，不會在意任何物聯網設備的安全性；而普通人目前也還不會關心這議題，所以任何可能增加產品成本與售價的東西都會被制造商抵制。

Schneier 認為這情況就類似于 20 世紀 50 年代的汽車一樣。當時，安全帶還不是汽車的標準配備，只有少量的汽車有配，當然更沒有安全氣囊，也不會有客戶要求汽車制造商安裝它們。是因為美國政府發現道路上的死亡人數攀升，所以開始制定行車安全相關法規，且強制推行，現代的汽車里，安全帶、安全氣囊等才變成標準配備。

他又表示，我們現在正處于類似的情境。應該不會很久，我們有生之年就會看到第一起使用物聯網設備而意外死亡的案例，可能導致一大片網際網路當機，或者是使用智慧汽車和智慧建筑個人設備時被入侵或者發生其他意外。

政府應監管物聯網設備

Kolkmany 則表示，他贊成政府對物聯網設備的監管。這些設備至少必須具備更新與修補的機能。實務上，一旦主流市場走向這樣的路線，其余的將會跟隨。

他指出歐盟有資料隱私法，如果一個公司違反規定，將會被處以高達全球收入 4% 的鉅額罰金。如果有了類似的物聯網法規，制造商就也得依循歐盟法規制造產品，產品才能在歐洲銷售，而世界其他地區也將受益。

議程主持人暨網路信賴聯盟（Online Trust Alliance）的主席 Craig Spiezle 表示，他對當前美國的共和黨聯邦政府是否提出新法規不表樂觀，但是個別的州可以當領頭羊。

“我聽說加州正在進行物聯網設備監管的立法，這是令人鼓舞的事情，”他接著說：“加州曾是第一個制定反垃圾郵件和兒童保護法的州，看來加州也將在物聯網安規方面保持領先。”

但是仍然有一些聽眾不想要任何強制性政策。高通公司的產品安全工程副總裁 Alex Gantman 就說，在他的職涯中，他從來沒看到過使 IT 設備更安全的法律，在某些情況下，繁文縟節的法規反而會產生反效果。

筆者認為，國內物聯網相關產品的業者也要開始留意這個趨勢，及早做好因應的準備。

You know IoT security is bad when libertarians call for strict regulation