ไม่จำเป็นครับ ตามข้อความ

Provision 4.7-2 If an unauthorized change is detected to the software, the device should alert the consumer and/or administrator to an issue and should not connect to wider networks than those necessary to perform the alerting function.

The ability to remotely recover from these situations can rely on a known good state, such as locally storing a known good version to enable safe recovery and updating of the device. This will avoid denial of service and costly recalls or
maintenance visits, whilst managing the risk of potential takeover of the device by an attacker subverting update or other network communications mechanisms.

If an IoT device detects something unusual has happened with its software, it will be able to inform the right person. In some cases, devices can have the ability to be in administration mode - for example, there can be a user mode for a thermostat in a room that prevents other settings being changed. In these cases, an alert to the administrator is appropriate as that person has the ability to act on the alert.

บอกแค่ว่าต้อง "แจ้งเตือน" เท่านั้น และให้ผู้ใช้ตัดสินใจต่อ

ถ้าเทียบคงเทียบได้กับ Chromebook ที่เวลาเข้า Developer Mode แล้วจะเตือนทุกครั้งที่บูต หากต้องการใช้งานในโหมด Developer จริงๆ ก็ลำบากขึ้นพอสมควร แต่ใช้งานได้

ซึ่งก็ลดความเสี่ยงการ brute force จากอินเทอร์เน็ตไปได้มหาศาลแล้วนะครับ

บางรุ่นผมเห็นใช้ 6 ตัวสุดท้ายของ mac แค่นั้นก็ 24 บิตแล้ว (16 ล้านกรณี) การยิงทุกเครืองสร้าง botnet นี่ทำได้ยากขึ้นมากแน่ๆ ยิงตัวเดียวอาจจะใช้เวลาหลายวันแล้ว พร้อมกับ traffic แปลกประหลาดต่อเนื่องเป็นเวลานาน ถ้า ISP มีระบบ monitor ดีๆ ก็แทบไม่จะ brute force ไม่ได้เลย