今年在 ACM WiSec 安全活動中，討論普通人如何評估物聯網中的風險以及人們采取了哪些措施來保護自己。筆者思考物聯網在聯合和高度分布式計算的世界中帶來的挑戰，以及監管機構可能需要在哪里介入，以下是其中的7個想法：

[[418125]]

1. 消費者權利損害來源于偽裝成硬件的軟件

互聯產品生活在硬件和軟件之間的灰色地帶。當公司拔掉基于云的服務的插頭時，這會給消費者帶來很多沖突和不確定性，從而使物理設備變得無用。或者當公司改變他們的軟件條款和條件時，改變設備的運行方式。最近的一個例子是 Peloton 改變了其跑步機產品上的軟件，以防止消費者在沒有付費訂閱的情況下使用它。

這種與封裝在硬件外殼中的軟件相關的權利缺乏明確性是“維修權”規定出現的原因，也是當公司提取數字內容時消費者提起訴訟的原因。這種混淆主要傷害了消費者，因此隨著購買非聯網產品變得更加困難，國家需要制定基本的所有權規則以保護消費者。

2. 重新思考數字時代的第四修正案

在美國，第四修正案保護公民的“人身、房屋、文件和財產安全，免受無理搜查和扣押”的權利。新技術和工具意味著人們需要圍繞執法部門如何從公共和私人設備訪問數據以及何時需要逮捕令制定明確的規則。

行業還應該為發現自己被卷入調查的公民提供更多幫助。在某些情況下，他們可能會收到的唯一通知是：手機位置數據或其他一些有關自身的數據已在搜查令或傳票中被清除，這是來自放棄該信息的技術提供商的電子郵件。從那時起，這個人就有責任弄清楚為什么他們的信息成為目標以及他們應該做什么。

[[418126]]

3. 懲罰泄露數據的私人實體/要求快速披露

這與公民自由關系不大，而更多地與數據泄露可能給消費者帶來的巨大傷害有關。 公司應該因不安全的做法而受到處罰，例如在測試中使用生產數據、將未加密的個人數據留在未鎖定的云實例中等等。 當數據泄露是由糟糕的安全實踐造成的時，公司是疏忽大意的，應該為此付出代價。 在披露方面，人們越早知道他們的數據或密碼已被泄露，他們就能越早修復它。 目前，政府正在討論一項規則，強制公司在 24 小時內告訴公眾他們已被違反。

4. 在現有政府機構中建立審計權以測試結果

這一原則是為了解決人工智能中存在偏見或缺乏透明度的說法。如今在人們生活的許多方面使用人工智能作為工具，從決定誰獲得保釋到使用面部識別進行逮捕。筆者認為每個政府機構都需要制定審計協議，以展示人工智能如何做出決策，并為毫無疑問會出現的偏見提供理由。沒有無偏算法之類的東西。所有算法都旨在使某些數據優先于其他數據以實現結果。審計委員會需要能夠評估這些結果，看看它們是否符合當前的政策目標。

5. 提供 GDPR 風格的規則來幫助消費者控制數據

目前仍然沒有很好的法律來幫助消費者控制數據的使用方式。加利福尼亞州有《加利福尼亞州消費者隱私法》，這是一個開始，但人們需要一項法律來幫助消費者選擇共享他們的數據，有機會評估提供商擁有的關于他們的數據，并迫使提供商更正或根據需要刪除該數據。還應該制定法律，規定可以使用哪些數據以及公司如何根據數據歧視消費者。

[[418127]]

6. 確保數據可以被更正/刪除兒童數據

想想所有被錯誤列入政府禁飛名單的窮人。隨著使用人工智能和數據，計算機可以對人做出決策，公司共享不正確數據的風險會擴大。還認為孩子們應該有機會在他們 18 歲時消除他們的數據，然而，這說起來難做，因為那個討厭的數字所有權問題。如果孩子想從網上刪除她的所有照片，她就必須讓筆者轉儲在谷歌云中的她的照片，或者尋找在 Facebook 上分享她照片的朋友。在這種情況下，誰的權利最重要?

筆者認為谷歌關于兒童的最新政策決定，從谷歌圖片搜索中刪除了 18 歲以下兒童的圖片，這是一個好的開始。具有諷刺意味的是，這是一家私營公司，因為其他國家/地區制定了新法規，因此對互聯網上的兒童問題采取了行動。讓孩子們有機會成為孩子，而不會讓它困擾他們的余生，這一點很重要，尤其是考慮到他們的照片越來越多地在私人和公共場合被相機捕捉到。

7. 重新思考當前的身份形式并創建身份層次

這是一個艱難的問題。 人們正在向私人公司授予訪問自己的臉、指紋甚至掌紋的權限，以作為向計算機驗證自己的一種方式。但是這些形式的 ID 可能會被盜，并可能被濫用。 例如，也沒有明確指示消費者何時使用好的密碼以及何時使用指紋。考慮到誤用的可能性和對潛在傷害的混淆，政府應該教育并可能實施一些規則來解決何時密碼足夠以及何時應該要求進行虹膜掃描。 它還應該制定關于公司如何存儲這些標識符中最敏感的規則，以迫使收集這些信息的人將其視為重要的。