FCC、敵対国などの高リスク国が関係しない、安全性の高いIoTワイヤレス製品にラベルの使用許可を付与する規則案

2024年03月25日、連邦通信委員会(FCC)は、消費者向けワイヤレス「モノのインターネット(IoT)」製品に対する、任意のサイバーセキュリティに関するラベリング・プログラム「モノのインターネットのためのサイバーセキュリティのラベル(Cybersecurity Labeling for Internet of Things)」の採用を発表しました。このプログラムにおいて、「FCCのIoTラベル」の使用が許可されるためには、申請者である製造業者がその製品に関連する一定の情報開示を行うことを要件とした規則案を発表しています。

今回は、2024年03月15日に発表された規則案の「規則案に関する追加通知(Further Notice of Proposed Rulemaking、FNPM)」として、質問集がまとめられています。通常の意見の提出期限は2024年04月24日、質問に対する回答意見提出期限は2024年05月24日となっています。

サイバートラストマークプログラム(U.S. Cyber Trust Mark)とは

2023年09月、連邦通信委員会(Federal Communications Commission、FCC)は、IoT製品のサイバーセキュリティに関するラベリング・プログラムとして「サイバートラストマークプログラム(U.S. Cyber Trust Mark)」案の概要を公表しました。このプログラムでは、まず①消費者向けワイヤレス「モノのインターネット(IoT)」製品の製造者が、任意で「当該ワイヤレスIoT製品がサイバーセキュリティ要件を満たしている」と報告書を作成します。

そして、②FCCが認定する認証機関であるサイバーセキュリティのラベル管理機関(Cybersecurity Label Administrator、CLA)に報告書と共に申請し承認されると、製品に認証マーク「サイバートラストマーク」が付けられる仕組みになっています。この仕組みは公表時より、ワイヤレスIoT製品に関わる複数の大手小売業者社から参加する意思表明があり、また米国連邦政府も支援しています。このため、ワイヤレスIoT製品の製造者などの関係事業者は、市場と政府の後押しを受けている同プログラムの動向を注視し、対応する必要があります。

規則案の内容において意見を受け付ける重要な箇所

FCCは以下の質問を行い、その回答内容によって規則案の要件、特に製品の情報開示の内容を決定する予定です。

1. FCCのIoTラベルが貼付された製品に、「敵対国などの高リスク国からのアクセスが可能な脆弱性が含まれていないこと」、「製品によって収集されたデータが高リスク国に存在しない、または高リスク国を経由しないこと」、および「製品が高リスク国に存在するサーバーによって遠隔操作されないこと」の宣言をラベルにおいて行うか？
2. 製品によって収集されたデータが高リスクの国々に保管されているか、もしくはそのような国々を経由しているかどうかについて、製造者が開示する必要があるのか？
3. 製造者が、高リスク国へのデータの流出に関する製品の詳細な情報開示を行わなければならないのか？製造者にどのような情報開示の負担を義務付けるのか？
4. ソフトウェアやデータが高リスク国に保存されていることが理由で、高リスク国の遠隔操作が可能として製品を不適格品とするか？
5. FCCが製造者に製品内容の詳細な報告書の提出や宣言をラベルにすることを義務付けた場合、これらのことは消費者に意味を持つだろうか？
6. 従業員25人未満の中小企業が、マークを付けるために負担する情報収集義務が大きくないのか？ただし、IoTラベリング・プログラムは任意参加で、IoTラベリング・プログラムに参加しなければ、中小企業が報告、記録、その他の遵守義務を新たに課されたり、変更されたりすることはない。

FCCは、以上のワイヤレスIoT製品の情報開示に関する要件の内容を重要視することで、消費者がよりサイバーセキュリティ対策を行っているIoT製品を選択して購入し、よって製造者がsecurity-by-design(セキュリティ・バイ・デザイン、デザインによる安全性)を重視したIoT製品を開発することを後押ししています。

ワイヤレスIoT製品の製造者やその関係事業主、またはこれらの製品を米国やその敵対国において商取引を行っている事業主は、引き続き「IoTのインターネットのためのサイバーセキュリティのラベル」プログラムや「サイバートラストマークプログラム」の動向に注意する必要があります。

参考情報

IoTワイヤレス製品のサイバーセキュリティに関するラベルの使用許可を申請する製造者に対し、その製品に関連する情報開示を求める規則案