SEMI E187 Specification

原文請點此觀看 作者：SEMI全球行銷長暨台灣區總裁 曹世綸 面對後疫情時代之數位經濟與轉型浪潮，物聯網、AI、5G技術快速發展，強韌安全的數位應用已成為現今顯學。近年以來，許多駭客組織的攻擊目標鎖定在高科技及製造產業，其中半導體製造業更不乏受害案例。為提高生產效率及良率，半導體製造業已在過去十年積極轉型，然設備及產線智慧化的提升，隨之而來的，卻是更大的網路惡意攻擊風險，及資安問題帶來的營運危機。資訊安全是全球相關業者在企業永續經營上必須正視的重要課題。 台灣位居全球半導體供應鏈關鍵地位，面對層出不窮的資安風險，我們更需盡速針對半導體產業供應鏈，推動符合國際規範所需之資安技術與機制，包含國際供應鏈產品資安政策、資安國際標準與相關安全要求。為此，SEMI於去年特別成立半導體資安委員會，攜手台積電、日月光、鴻海科技集團與供應鏈夥伴，致力於串連半導體製造上下游供應鏈、結合資安專家，凝聚產業資安共識，領頭制訂、並推動合規台灣產業設備運作系統的風險控管，與資安防護國際標準規範。 透過台灣半導體業者的共同投入，首款由台灣主導的半導體產線設備資安標準規範SEMI E187–Specification for Cybersecurity of Fab Equipment於今年1月正式上架，這一項全面性的半導體設備資安標準，涵蓋了作業系統規範、網路安全、端點防護安全，與資安持續性監控等四大半導體設備重要要素。該標準發表後，受益於台灣在全球半導體產業的關鍵地位，故迅速通行於全球。而今年初甫發表之SEMI E188惡意軟體攻擊防護標準，則是由Intel主導偕同SEMI美國資安標準技術委員會，依據E187標準內容深化後所延伸產出，兩項資安標準相輔相成，共同守護半導體設備資訊安全。 資安威脅日新月異，標準的制定完成，僅是強化半導體產業資安的第一步。主因半導體供應鏈是由眾多企業所共同組成之龐大生態圈，容易因單點問題，導致整體供應鏈暴露於風險之中。為精進防護工作，整體供應鏈導入資安標準成為刻不容緩的任務，一方面有助相關設備與軟體供應商依循標準指引設計資安防護；另一方面，則可供使用設備的企業，以此標準確認資安防護層級。我們期待供應鏈上下游廠商共同參與響應，持續將此標準推廣至更多高科技產業應用，共築半導體產業基礎防禦工事。 除了標準的制定及導入之外，SEMI資安委員會本著與供應鏈「共好」的宗旨，正在規劃提供企業資安評鑑服務，包含企業資安即時風險評估，以及資安委員會廠商協力推出的企業資安自評問卷。SEMI及資安委員會期盼能藉此服務，提供廣大的半導體供應鏈廠商客觀公正的資安評級，積極推動產業的資安意識。 唯有整體產業界的攜手合作，才能打造出更安全無虞的供應鏈生態圈，這也將是SEMI和資安委員會中的眾多廠商，未來要持續努力的目標，冀望能共同協助台灣半導體及高科技製造業供應鏈提升資安認知，化危機為商機，持續建立領先全球的關鍵競爭力。（作者是SEMI全球行銷長暨台灣區總裁）

隨著智慧製造發展趨勢，在半導體產業鏈中，包含晶圓製造與封裝測試在內的半導體製造，皆已開始推動產線智慧化、聯網化以提高競爭力。但伴隨著設備聯網而來的OT資安問題，也一直令許多業者困擾不已，2021國內上市櫃公司也發布多起重大資安攻擊事件訊息，造成或大或小的損失。 國際半導體產業協會(SEMI)全球行銷長暨台灣區總裁曹世綸指出，由於半導體產線的資訊安全，一直是半導體製造業者最關心的大事。因此，在SEMI於2018年發起號召，希望制訂出符合半導體產業需求的資安標準後，很快就獲得台灣多家產官學研單位的認同跟積極投入，最終在日前產出了全球第一個半導體晶圓設備資安標準 SEMI E187 - Specification for Cybersecurity of Fab Equipment（以下簡稱SEMI E187)。接下來，讓產業鏈普遍導入這個標準，提高整個半導體產業的資安防禦能力，將是最關鍵的工作。 SEMI深耕產業標準50年 半導體設備資安標準全球首發 為促進半導體產業發展，SEMI於1970年代就開始推動各項產業標準的制定。英特爾、IBM、超微、德州儀器、三星、台積電等半導體大廠，不僅都是SEMI系列標準的制定者，同時也是採用者。例如在半導體產線的環安衛方面，SEMI標準就廣獲業界採納。台積電創辦人張忠謀更曾表示，台積電所採購的設備，在環安衛方面，一定要符合SEMI標準規範，才能被列入採購清單。展望未來，在半導體設備資安方面，SEMI E187也將成為具有同等地位的標準。 近期由經濟部工業局及SEMI共同舉辦的SEMI E187設備資安標準導入與實務研討會，來自產官學研等重要代表包含經濟部工業局電子資訊組副組長顏鳳旗、台積電企業資訊安全處長暨SEMI台灣半導體資安委員會主席屠震、工研院資通所組長卓傳育均有參加，期望能讓藉由此研討會助SEMI E187標準成為半導體設備與OT資安的基石。 台積電企業資訊安全處長暨SEMI台灣半導體資安委員會主席屠震指出，SEMI E187標準是半導體設備資安進展的重要里程碑，更難能可貴的是，這是一個由台灣廠商與政府、學研機構共同主導，同時也是半導體業界第一個跟設備資安有關的標準。有好的標準只是一個開始，接下來更重要的工作是要讓這個標準在產業內擴散，獲得普遍採用，才能提高整個產業的資訊安全。 經濟部工業局電子資訊組副組長顏鳳旗則表示，半導體是台灣的重要產業，沒有資安就沒有產業的安全。有了SEMI E187標準，半導體的生產將變得更加安全，同時也能為台灣半導體設備跟資安相關業者，帶來更多發展契機。接下來，經濟部工業局以及SEMI，將會共同建立SEMI E187的導入範例，期望於接下來4年內，使台灣半導體產業全面導入SEMI E187標準。 供應/採購兩端著手 同步加速標準導入 SEMI Standards FAB及設備資訊安全工作組組長暨台積電企業資訊安全處部經理張啟煌說明，SEMI E187半導體設備資安標準是一個基本的資安需求。該標準涵蓋了作業系統、網路、端點防護與安全監控/資安稽核等四個面向的資安關鍵要素。在此標準的指引下，相關設備與軟體的供應商，以及使用這些設備的半導體製造商，都可以掌握半導體設備資安強化的重點，明白現有產線設備在資安上還有哪些不足之處，進而建構出更安全的OT環境。 接下來，身為SEMI E187標準的主要倡導者之一，台積電將會與設備供應商宣導，在條件許可的情況下，未來將SEMI E187標準列為設備採購的基本要求規範。 掌握標準具體要求至為關鍵 提升供應鏈資安要靠全方位協作 睿控網安首席解決方案架構師劉大川則指出，要導入SEMI E187標準，最重要的是掌握標準所涵蓋的四大要素--作業系統、網路、端點防護跟監控/稽核，各自有哪些要求。 例如在作業系統(OS)方面，SEMI E187標準明確規定，設備供應商所提供的產品上，不應該搭載OS供應商停止支援的OS。至於設備交付後，如果遇到OS停止支援，在實務上可以搭配其他資安方案來予以補強。 在網路傳輸方面、端點防護、監控/稽核方面，SEMI E187標準也都提出了十分明確而具體的規定。想進一步了解相關規定細節的業界廠商，可以到SEMI官網訂閱這份標準文件，進行深入研究。 工研院資通所組長卓傳育則再次強調建立導入範例的重要性。他指出，要提升半導體產業的整體資安防護水準，除了要有明確可執行的標準，還需要產業鏈中各個環節的成員共同採納跟配合。而提高產業導入意願跟加快導入速度，最好的做法就是建立實際的指引與範例，讓業界有明確的參考基準。若沒有可供參考的實作範例，由於每家業者對標準的詮釋跟理解不一，會在實務上形成不小的障礙。 展望未來，為打造出更安全可靠的半導體環境，SEMI台灣半導體資安委員會除了攜手半導體上下游產業鏈積極推廣標準外，SEMI也將於今年9月登場的SEMICON Taiwan 2022國際半導體展中設立資安專區，並舉辦資安趨勢高峰論壇，面對資安威脅攻擊變化百態，情勢也更加難以預測，特別邀請產業專家分享半導體資安指南、供應鏈數位韌性，更以實例助企業提升供應鏈生態圈的資安防護等議題。 若企業有需要多了解設備資安標準及惡意軟件相關的標準或導入服務需求，歡迎與SEMI Taiwan洽詢或上網選購SEMI全套標準。 SEMI Standards Staff https://www.semi.org/en/products-services/standards/staff-contact