SEMI Standards

2022年1月、SEMIはSEMI E187 - Specification for Cybersecurity of Fab Equipmentを出版しました。この仕様は、SEMIスタンダード 台湾地区Information Control 技術委員会、Fab Equipment Information Security TFにて3年にわたって開発され、 3回の電子投票を経て出版されたものです。さて、SEMI E187は最終的にどのようなサイバーセキュリティに関連する企業や顧客が直面している問題や課題に対応するのでしょうか。 レガシーソフトウェアは、世界の半導体業界全体においてセキュリティ上の脆弱性となっています。ハードウェアに問題がなくても、ソフトウェアが最新パッチのサポートを受けないまま製品ライフサイクルの終了を迎え、ソフトウェア業界でよく見られるEoL（End of Life）やEoS（End of Service）と呼ばれる状態に陥ります。しかし、一度だけ購入する旧来のソフトウェア販売モデルでは、EoLの時点でもファブ装置のソフトウェアは機能的に動作しており、トップマネジメントは「装置に問題はない、したがってアップグレードやリプレースの必要はない」と考えがちです。 半導体装置のライフサイクルは最長で40年に及ぶ 半導体装置のライフサイクルは最大40年に達するため、サイバーセキュリティの減価償却問題は軽視できません。通常、半導体工場には少なくとも20のバージョンのOSがインストールされており、平均して毎年1つか2つのOSがEoLの問題に直面することになります。例えば、2001年に発売されたWindows XPは、2014年にパッチアップデートを終了しましたが、新しい半導体装置には、このオペレーティングシステム（OS）がインストールされ続けています。他のOSはさらにライフサイクルが短く、平均して4～6年でパッチ更新サービスが終了しています。このように、半導体装置は、ハードウェアの減価償却が進んでいない段階で、OSの減価償却というサイバーセキュリティの問題にかなり早くから直面していることが多いです。 このような装置のサイバーセキュリティ問題は、一企業だけでは解決できず、OSプロバイダだけでなく、半導体装置のサプライチェーンにあるアプリケーションプロバイダーも巻き込んで、部門間や企業全体で取り組むことが必要です。SEMI E187は、エンドポイント保護、OS、ネットワークセキュリティ、セキュリティ記録と監視をカバーしており、これらは半導体装置システムおよびアプリケーションにおいて長年見過ごされてきたサイバーセキュリティの問題です。SEMI E187は、装置プロバイダが新しい製造装置の研究開発中にセキュリティーバイデザイン(Security by Design)を取り入れることを可能にする方法として、製造装置調達のサイバーセキュリティの要件を定義することにより、新しい装置のサイバーセキュリティを強化することを支援します。 また、ライフサイクル内のファブ装置にあるレガシーソフトウェアはどうでしょうか。このようなサイバーセキュリティ保護が不十分な装置に対しては、特定の装置を許可リスト(allow list)化して別の装置と接続することが解決策となる場合があります。簡単に言えば、許可リストとは、ある装置が事前に承認されたネットワークにのみ接続できるパスを発行するようなもので、ハッカーがネットワークにアクセスすることをより困難にします。しかし、許可リストに登録された装置を別の装置にインストールすると、ソフトウェアのアップデートによって設定がデフォルトに戻され、装置の設定が消去されてしまうことがあります。ファイアウォールを導入している場合は、ファイアウォールホワイトリストを設定することで、装置へのアクセスを制御することができます。SEMI E187に準拠した新しい装置が徐々に稼働し、ライフサイクルが終了したファイアウォールは徐々に置き換えることが可能です。 SEMIジャパンでは、2022年6月8日に本テーマのウェビナーを実施し、およそ400名の方にご聴講いただきました。詳細概要は上の画像をクリックしてください。 SEMI E187の普及は、調達部門だけの責任ではありません。SEMI E187を導入しようとする企業は、装置管理、IT、サイバーセキュリティ、調達、生産ラインのエンジニアなど、さまざまな部門の意見や懸念を考慮する必要があります。 装置管理者は、装置のサイバーセキュリティは自分の役割や重要業績評価指標（KPI）の一部ではないと考えていることが多く、ITやサイバーセキュリティを担当する作業者も、ファブ装置のサイバーセキュリティが自分の責任だとは考えていません。一方、調達担当者は、IT部門やサイバーセキュリティ部門に装置のサイバーセキュリティ仕様書を提出するよう求めています。このため、装置やサプライチェーンのサイバーセキュリティの問題に関するサイバーセキュリティ全体の監視と緩和の状況にギャップが生じ、社内に責任者不在の状況を簡単に作ることになります。したがって、装置のサイバーセキュリティ調達の観点から、SEMI E187は装置のサプライチェーン全体におけるグローバルなサイバーセキュリティ・コンプライアンスの基盤を確立します。 導入時に装置がウイルスに感染していないことを証明することが、最初のステップです。一部のプロバイダは、当初からSEMI Taiwanサイバーセキュリティ委員会との議論に加わっています。業界主導の議論は、コラボレーションと実行可能なソリューションを確保するための鍵です。意見を収集し、委員会の会議に参加することで、プロバイダが最前線で問題を理解し、解決に貢献することを目指します。 2018年以降、装置メーカーの顧客は、新しい装置を納入する際に、ウイルスフリーの証明書を提供することを求めるようになってきています。装置がウイルスフリーであることを証明するためにSEMI E187を用いて簡素化することは、装置プロバイダとその顧客が前進するための最初の一歩を踏み出すのに役立つと思われます。 注：この記事の中国語版は、2022年2月にBloomberg Businessweekに掲載されたものです。上記の見解はMing-Chang (Bright) Wu氏個人のものであり、必ずしも雇用主の見解を反映するものではありません。 参考文献 Wu, M.C., Legacy Systems Pose Broad Security Risk for Chipmakers, EE Times (2022). https://www.eetimes.com/legacy-systems-pose-broad-security-risk-for-chipmakers/ Wu, M.C., Key Implementation Challenges on International Cybersecurity Standards and their Supportive Management Resources, ISSA Journal.(November 2021). https://www.issa.org/ Wu, M.C., “Emerging Standard Helps Address Cybersecurity,” Standards Watch (March 2021), SEMI, www.semi.org/en/standards-watch-2021March/tw-cybersecurity. 著者について Ming-Chang (Bright) Wuは、SEMI Taiwanのサイバーセキュリティ委員会の創設メンバーであり、2018年からSEMI187の開発を行うタスクフォースに参加しています。台湾コーポレートガバナンス協会の講演者でもあります。また、彼のレジリエンスな本は、台湾の国家公務員院によって推薦された2020年の「今月の本」に選ばれました。 現在、SEMI E187、NIST CSF、ISA/IEC 62443の台湾でのローカライズを支援しています。Bright WuのLinkedInはこちら。 本件に関する日本国内でのお問合せ SEMIジャパン スタンダード＆EHS部 中島敬吾（[email protected]） 初出：2022年月6月、Standards Watch, Volume 17, Issue 2 ※本稿は、Standards Watchに掲載されました記事を日本語訳したものです。 　元の記事 https://www.semi.org/en/blogs/semi-news/legacy-software-is-not-an-it-issue-but-an-issue-of-cybersecurity-depreciation

EntegrisのグローバルEHS担当副社長であるトッド・パターソン氏にビデオ会議でインタビューをし、同社が世界的なパンデミックにどのように対応してきたかお聞きしました。 パターソン氏は、SEMIのCOVID-19 EHSタスクフォースのメンバーとして、業界の対応やベストプラクティスの共有について毎週の議論に参加いただいています。 SEMI：貴社はCOVID-19への備えができていましたか？ またどのように対応をされたのでしょう？ パターソン氏：当社には、強力なリスク管理の体制があり、四半期に一度は、シニアリーダーで構成されるリスク評価チームで打ち合わせをしています。こうした取り組みを通じて、組織の安定を損なったり、業務を脅かしたりする可能性のある事象を早期に把握しています。リスク管理の体制が整っていれば、問題が生じたときに速やかに行動に移るための必要な情報を確実に揃えることができます。しかし、今回のような規模のパンデミックに対する当社の事業継続計画は、地震やハリケーンのような通常想定される大災害とは違い、まったく不十分でした。COVID-19の危機は明らかに前例のないものであり、対応するシステムや手順に十分な奥行きや詳細さが備わっていませんでした。 当社は強力なガバナンス構造のおかげで、パンデミックが世界中で不確実性と混乱を拡大する中でも、安定した経営を維持することができました。例えば、多くの業界で大規模なサプライチェーンの供給停止が発生していますが、現在までのところ、当社のサプライチェーンと製造業務がCOVID-19から受けた影響は軽微な程度に過ぎません。当社のサプライチェーンチームは、どこにリスクがあるか日々評価し、重要な供給ラインが滞ることのないよう、適切な対応と予防処置を講じています。 営業チームは、お客様と定期的にコミュニケーションをとり、当社の事業継続計画とリスクを軽減するための対応について最新情報を提供しました。また、サプライチェーンの供給状況についても最新情報を社内イントラネットに掲載し、世界各地の営業チームがお客様と接する際に情報がとれるようにしました。その他にも、上級管理職からのビデオメッセージを毎週社員に直接メール送信する積極的なコミュニケーション計画をすぐに実行しました。これは、多くの社員が在宅勤務にある状況で、全世界のチームとコミュニケーションをとり、社員に会社の業務状況を知らせ、共通の目的意識を維持する上で効果的な方法となりました。また、毎週のメッセージでは、製造現場や研究所の従業員をウイルスから守るための安全対策にもフォーカスするようにしました。 ウイルスがさまざまな地域に拡大した直後に、当社が実施した安全対策には、施設の遮蔽、在宅勤務、ソーシャルディスタンス、自己隔離の要件、接触者の確認、消毒の徹底、および移動制限に関するものがありました。世界中に約5,300人の社員を擁する当社の各地域のチームは、これらの包括的な安全対策を実施する準備が整っていました。当社は、在宅勤務ポリシーと出張制限を導入した最初の企業の一つであると考えています。 Entegurisの韓国チャンアン区（左）、マレーシア クリム（右）の施設の検温ステーション 以上に加えて、当社CEOが中心となって、経営幹部と業務、人事、通信の管理職で構成される「COVID-19対策運営委員会」を設置しました。3月から4月にかけては、週に数回のペースで会合を開き、ウイルスが新たな地域へと拡大していく中で浮かび上がった課題を評価し、対応策を練りました。この委員会の働きにより、経営幹部と部門リーダーの間に強いパートナーシップが生まれ、また委員会が最初に作成したガイドラインは、世界各地の拠点へのウイルス拡散防止策の骨格となりました。 最近では、委員会の焦点は、在宅勤務社員をオフィスに復帰させるためのフレームワーク作りといった、より戦略的な問題に移っています。一方で、世界各地の拠点のリーダーチームには、完全に文書化された当社の安全対策に沿って問題に対処する権限が与えられました。 将来を見据え、COVID-19への対応で培った経験を活かし、より包括的なパンデミック対応計画を策定しているところです。私たちは、5つ改善に取り組むプロジェクトチームを設置しています： 当社サイトへ入る社員の検温 職場でのソーシャルディスタンスの確保 人と人との接触を減らすための共用エリアの再設計 あらゆる場所の完全かつ定期的な消毒 パンデミック緊急時の物資管理 SEMI：SEMIが実施したEHSグループメンバーの調査では、全メンバーが事業継続計画を用意していることがわかりました。計画は、リソースの有効活用、迅速な対応、危機の抑制にどのような効果があったのでしょうか？それができた、あるいはできなかった理由は何ですか？ パターソン氏：当社は中国で事業を展開しているため、ウイルスの影響はすぐにありました。直ちに中国の2か所の主要施設のために 2 つのタスクフォースチームを結成しまし、社員に重要な情報を提供するための通信手段を開発すると共に、社員を保護し、操業再開時に現地の要件を満たすための予防計画に着手しました。各チームは問題に正面から取り組み、迅速な解決策を見つけ出しました。その一例として、各拠点の社員への効果的な通信手段として、ソーシャルメディアのグループチャットを活用しました。その結果、事業再開に向けた地方自治体からの承認を得ることができました。こうした計画は、世界中の他の拠点での対応計画策定にも生かされています。 グローバルなサプライチェーンを効果的に管理することもまた、事業継続計画の成功にとって極めて重要になります。当社のサプライチェーンは非常に複雑なもので、約6,500社のサプライヤーから年間8億5,000万ドルの調達をしており、当社の仕掛品や完成品は、世界90か所以上の拠点から出荷されます。 先に述べたように、ウイルスが多くの業界のサプライチェーンを麻痺させたにもかかわらず、当社はサプライチェーンの混乱をほとんど経験しませんでした。サプライチェーンチームは、世界の貨物輸送能力が90%減少したにもかかわらず、これを達成することができました。工場への商品の流れを維持できた大きな要因は、チームが以前から集中的に取り組んでいた、トップサプライヤーの徹底的な理解と調達リスクの低減です。チームは代替の供給源を確立し、供給源の地理的バランスを取り、サプライチェーン全体に在庫を配置してリスクを緩衝したのです。 また、統計的なモデリングをレポートツールに統合したことで、状況の変化に応じて安全在庫や物流リードタイムを迅速にリセットすることが可能になりました。また、サプライチェーンのデジタル化により、情報を一元化され統合されたダッシュボード形式で表示し、迅速な対応と、サプライヤーとリアルタイムのコミュニケーションを可能にしました。当社には事実上の作戦指令室があるといえます。ここでウイルスの蔓延による日々の影響を監視し、ボトルネックとなる問題等に即座に対処することができました。 SEMI：これまで、どんなことを学ばれましたか？今後の貴社の経営にどんな変化があると思われますか？ パターソン氏：学んだことの制度化はすでに始まっています。 パンデミック中に実施された対策が一時的なものなのか、恒久的なものになるのかは、まだ決定されていません。 いずれにしても、学んだことは文書化され、次のパンデミックが発生したときには防止策として利用できるようにする必要があります。 当社で検討を開始した、より包括的なパンデミック対応計画には5つの準備レベルがあります。レベル0では、年次訓練とパンデミック用品の緊急在庫の管理を行います。レベル1は流行の早期認識であり、レベル2～4では、具体的な対応策の実施が規定されます。 包括的計画の作成のために、先に述べたプロジェクトチームを指揮する多くの分野を代表するリーダーで構成される「ニューノーマル」タスクフォースも結成しています。プロジェクトチームの1つは、当社サイトに入る社員の体温測定を行うスクリーニングプロセスの改善に取り組んでいます。このチームが検討しているのは、体温をスキャンするための最良の技術です。この技術がCOVID-19の流行中だけ採用されるのか、それとも恒久的なビジネス慣行とするかについては、まだ議論をしているところです。 SEMI：EHSは、個人を守るための技術的なサポートだけではなく、ソーシャルディスタンスをとるための組織の変革にも関わっています。この2つの面と取り組む中での成功と課題を教えてください。 パターソン氏：パンデミックの非常に早い時期に、当社はエッセンシャルワーカー以外の社員を対象とした在宅勤務方針を決めました。これにより、各拠点での作業者数を削減し、感染者との接触の可能性は大幅に減少しました。施設の大幅な変更も必要でした。検温スクリーニングブースの設置や、食堂、会議室、祈祷室、喫煙所などの共有エリアのデザイン変更といったものです。 物理的なマーキングを使用して2メートルのソーシャルディスタンスを指定し、食堂や会議室の座席を減らしたりずらしたりして、ウイルスにさらされるリスクを最小限に抑えました。エンテグリスには、スペース的に2メートルのソーシャルディスタンスがとれないオフィスやワークステーションの設計変更ソリューションを考えるプロジェクトチームもあります。これらの変更が、いくつかの拠点では、地方自治体の命令を守るために必要不可欠であることが判明しました。中国の杭州とマレーシアのクリムでは、政府当局に予防措置の有効性を証明した後、部分的な操業再開が許可されました。 私たちが特に困難に感じているのは、新しいガイドラインの重要性を理解していない社員など、社員の個人差や意識レベルの幅の広さです。私たちは、ソーシャルディスタンスをとること等、すべての安全対策に従う必要があることを社員に理解してもらうように、監督スタッフと連携して助言しています。この予防策を、私たちの新しい行動様式に取り入れるのはたやすいことではありません。不自然で人間の本性と矛盾していますが、ウイルスのさらなる拡散を防ぐためには非常に重要なのです。 SEMI：「通常」業務を復活させるための対策の段階的縮小をどのように想定しているのでしょうか。 パターソン氏：当社が以前の「通常」に戻ることがあるかどうかは分かりません。前述したように我々は「ニューノーマル」に取り組んでいます。今は在宅勤務社員を、ウイルスにさらされるリスクを増加することなく職場に戻すことに集中しています。現在も選択肢を検討中ですが、段階的に進めることで、実施している予防策を適切に評価し、調整が必要な安全対策がどれか判断できるだろう考えています。 在宅勤務を減らすタイミングや手順を評価するためのさまざまな新しいフレームワークが見られるようになりました。当社では、ウイルスにさらされる可能性について一貫した基準を使用して、事業所ごと、またはサイトごとに評価していきます。これは、フィールドサービス従業員にも適用されます。しかし、社員を職場に復帰させるための推奨フレームワークを提供する政府からのガイダンスはありません。これは、SEMI EHSグループとスタンダード委員会が、業界のためにフレームワークを確立するチャンスだと思っています。 SEMI：その他に今回の危機で気づかれたことで、何か共有できることはありますか？ パター ソン氏：パンデミック用物資の調達で経験した困難に直面した課題については触れませんでしたが、武漢でのパンデミック発生直後から、物資の入手が困難になってきました。武漢でパンデミックが発生した直後から、物資の入手が困難になった。サプライヤーから確認が取れ、納期が確定したとしても、その大半が延期されたり、キャンセルされたりした。 最も効果的とわかったのは、現地の購買チームに少量を現地調達させ、同時に企業の担当者が大量の注文を管理することです。将来のパンデミックに備えて、当社ではマスク、除菌剤、体温計、消毒剤の緊急在庫を保管しています。