La FCC approuve le programme volontaire d’étiquetage de cybersécurité de l’Internet des objets | Skadden, Arps, Slate, Meagher & Flom LLP

Points clés

Le programme de labellisation s’aligne sur les tendances en Europe et en Asie, qui ont établi ou prévoient des programmes IoT similaires. Dans un premier temps, le programme sera ouvert aux fabricants de produits IoT grand public sans fil, tels que les appareils connectés ou « intelligents » comme les réfrigérateurs, les micro-ondes, les téléviseurs, les systèmes de climatisation et les trackers de fitness, mais il pourrait s’étendre à l’avenir.

Bien que le programme soit volontaire, la FCC a rejeté les efforts de l’industrie visant à inclure une sphère de sécurité en matière de responsabilité. Les participants potentiels au programme devraient donc réfléchir à la manière dont l’étiquette pourrait être utilisée dans un litige en cas d’incident de sécurité IoT.

Même les fabricants d’IoT qui refusent de participer devraient envisager d’évaluer si leurs produits répondent aux exigences du programme d’étiquetage, car ces exigences peuvent être considérées comme une référence potentielle en matière de « sécurité raisonnable » dans les litiges et les enquêtes réglementaires.

Quel est l’objectif du programme d’étiquetage ?

Le programme de labellisation est né de la reconnaissance par la FCC du fait que les produits IoT sont essentiels à la vie quotidienne et sont sensibles à un large éventail de vulnérabilités courantes en matière de cybersécurité. La FCC a noté que, sur la base d’estimations tierces, environ 1,5 milliard de cyberattaques ont été lancées contre des appareils IoT au cours des six premiers mois de 2021. Le programme d’étiquetage IoT vise à fournir aux consommateurs une assurance concernant la cybersécurité de base d’un produit IoT sans fil, pour aider les consommateurs prennent des décisions éclairées et encouragent les fabricants à développer des produits IoT avec des principes de sécurité dès la conception.

Ce type de programme volontaire d’étiquetage de cybersécurité prend de l’ampleur à l’échelle mondiale. Singapour dispose déjà d’un système d’étiquetage de cybersécurité et le Japon a récemment annoncé son intention de travailler avec les États-Unis sur son propre programme d’étiquetage de l’IoT. Et en janvier de cette année, l’Union européenne a signé un plan de label de sécurité IoT en coordination avec les États-Unis.

Que peut-on étiqueter avec le Cyber Trust Mark ?

Ce programme volontaire englobera d’abord les produits IoT grand public sans fil, mais pourrait s’étendre à l’avenir.

Produit IdO est un appareil IoT et tout composant supplémentaire du produit (par exemplebackend, passerelle, application mobile) qui sont nécessaires pour utiliser l’appareil IoT au-delà des fonctionnalités opérationnelles de base.

Un Appareil IdOest un appareil connecté à Internet capable d’émettre intentionnellement de l’énergie de radiofréquence et doté d’au moins un transducteur (capteur ou actionneur) capable d’interagir avec le monde physique, couplé à au moins une interface réseau (par exempleWi-Fi, Bluetooth) pour s’interfacer avec le monde numérique.

En termes moins techniques, les produits IoT sont des appareils intelligents sans fil qui ont infiltré la vie quotidienne de nombreux consommateurs, notamment les caméras de sécurité domestiques, les appareils connectés à Internet, les babyphones, les ouvre-portes de garage, les trackers de fitness et les appareils à commande vocale.

Les appareils suivants ne sont pas éligibles au programme d’étiquetage :

Dispositifs médicaux réglementés par la Food and Drug Administration (FDA) des États-Unis.
Tout équipement de communication figurant sur la liste couverte maintenue par la FCC, conformément à l’article 2 de la loi sur les réseaux de communications sécurisés et fiables (STNCA), qui s’applique aux équipements de télécommunications et de surveillance fabriqués par des sociétés étrangères spécifiées.
Tout appareil IoT produit par une entité identifiée sur la liste couverte (c’est à diretoute entité désignée ou l’une de ses filiales ou sociétés affiliées) comme produisant des équipements « couverts ».
Tout appareil ou produit d’une entreprise nommée sur certaines autres listes tenues par d’autres agences fédérales qui représentent les conclusions d’un examen de sécurité nationale.

Qui administrera le programme d’étiquetage?

La FCC supervisera le programme d’étiquetage, mais l’examen de la demande et l’autorisation de Cyber Trust Mark seront effectués par les administrateurs de labels de cybersécurité (CLA). Un administrateur principal sera nommé parmi le pool de CLA pour agir comme facilitateur entre les CLA et la FCC. L’administrateur principal sera également responsable, entre autres, de la sensibilisation des parties prenantes, de la gestion des plaintes concernant le programme d’étiquetage et de l’approbation des laboratoires autorisés à effectuer des tests de conformité.

Comment les fabricants peuvent-ils postuler ?

Les fabricants disposent d’un processus en deux étapes pour obtenir l’autorisation d’utiliser le label FCC IoT, qui comprend l’obtention des deux :

Tests du produit par un laboratoire accrédité et reconnu par l’administrateur principal (par exempleCyberLAB, laboratoire CLA ou laboratoire interne).
Certification du label produit par un CLA.

Pour que les produits IoT grand public sans fil soient étiquetés avec la Cyber Trust Mark, le produit IoT doit répondre aux exigences techniques concernant : l’identification des actifs ; Configuration du produit; protection des données; contrôle d’accès aux interfaces ; mise à jour logicielle; et la sensibilisation de l’État à la cybersécurité. Les produits IoT doivent également répondre aux exigences suivantes pour les développeurs de produits IoT, notamment la documentation, la réception d’informations et de requêtes, la diffusion d’informations, ainsi que l’éducation et la sensibilisation aux produits.

À terme, un renouvellement sera nécessaire afin de conserver le label Cyber Trust Mark sur le produit IoT, ce qui dépendra probablement du type de produit IoT.

Y a-t-il des problèmes de responsabilité ?

La FCC a refusé d’inclure une sphère de sécurité ou de préempter la loi de l’État pour protéger de toute responsabilité les fabricants qui demandent volontairement à recevoir la Cyber Trust Mark. De l’avis de la FCC, les produits IoT portant la marque Cyber Trust portent un indice de caractère raisonnable même si ces produits sont compromis. Les fabricants d’IoT doivent toutefois garder à l’esprit que les matériaux soumis au programme d’étiquetage pourraient faire l’objet d’actions de protection des consommateurs dans le cas où un produit serait à l’origine d’un incident de sécurité ou d’une blessure.

Les fabricants d’IoT doivent également anticiper que les critères de cybersécurité de la FCC pourraient apparaître comme un En fait norme et référence, tout comme les cadres émis par le National Institute of Standards and Technology. Il peut donc être prudent pour les fabricants d’IoT d’envisager d’aligner leurs produits sur les critères du programme d’étiquetage même s’ils ne recherchent pas la Cyber Trust Mark.

Ce mémorandum est fourni par Skadden, Arps, Slate, Meagher & Flom LLP et ses sociétés affiliées à des fins éducatives et informatives uniquement et n’est pas destiné et ne doit pas être interprété comme un conseil juridique. Ce mémorandum est considéré comme de la publicité en vertu des lois nationales applicables.

www.actusduweb.com

Suivez Actusduweb sur Google News