Het Agentschap Telecom heeft acht eisen voor veilige Internet of Things-apparaten gepubliceerd, waaronder het automatisch installeren van updates en een verbod op standaard wachtwoorden. De toezichthouder had eerder al vastgesteld dat de beveiliging van IoT-apparatuur te wensen overlaat.

Om IoT-gebruikers beter te beschermen liet de toezichthouder onderzoek uitvoeren, waarbij meer dan vierhonderd beveiligingsmaatregelen werden geëvalueerd. De beste maatregelen werden samengevat als minimum vereisten voor veilige IoT-apparatuur. Deze vereisten zijn makkelijk te implementeren, makkelijk te testen, duidelijk en zorgen voor een aanzienlijke verbetering van de digitale veiligheid van de apparaten.

Zo moeten wachtwoorden, wanneer gebruikt, voldoen aan de SP800-63b Digital Identity Guidelines van het Amerikaanse National Institute of Standards and Technology (NIST). Deze richtlijn stelt dat wachtwoorden minimaal uit acht karakters moeten bestaan. Ook verbiedt het bepaalde wachtwoorden, zoals een leeg wachtwoord of de gebruikersnaam als wachtwoord. Tevens moet de gebruiker wachtwoorden kunnen wijzigen.

Daarnaast mogen standaard wachtwoorden niet meer worden gebruikt. Na het configureren van het apparaat moet de gebruiker een eigen wachtwoord opgeven. IoT-apparaten mogen ook alleen na authenticatie toegankelijk zijn. Een andere eis is dat ongebruikte poorten en interfaces moeten zijn uitgeschakeld. Alleen poorten en interfaces die noodzakelijk zijn voor het functioneren van het apparaat mogen zijn ingeschakeld.

Wanneer het IoT-apparaat data uitwisselt moet dit via een versleutelde verbinding plaatsvinden, waarbij er alleen van gangbare protocollen gebruik wordt gemaakt, zoals TLS. Het Agentschap Telecom vindt ook dat IoT-apparaten updates automatisch moeten installeren en dat de integriteit van de update voor de installatie moet worden gecontroleerd. Dit moet installatie van kwaadaardige updates voorkomen. Verder moeten fabrikanten gebruikers uitleggen hoe ze het apparaat op een veilige manier moeten instellen en gebruiken.

"De acht eisen zijn niet uitputtend maar zorgen samen voor het grootste veiligheidseffect om als basisniveau te verplichten in de EU", aldus het Agentschap Telecom. Volgens Angeline van Dijk, directeur-hoofdinspecteur van de toezichthouder, is het een onaanvaardbaar risico dat er nog steeds geen veiligheidseisen zijn waar slimme apparaten aan moeten voldoen. "Met dit onderzoek nemen we als Nederland het voortouw om regels verankerd te krijgen binnen Europa", zo laat ze weten. Ook de onderzoekers adviseren om de acht eisen via regelgeving op te leggen.