台湾带头推动半导体资安标准，解决高科技产业资安防护难题

去年8月，晶圆代工龙头台积电爆发机台中毒事件，让生产线的资安议题浮上台面，大家开始注意到IT与OT环境的先天差异，台湾半导体产业如今也积极半导体资安标准，例如，在5月中由经济部工业局委托工研院执行的国际资安新创交流活动上，工研院资通所副组长卓传育揭露了相关现况，以及关于这项标准制订的目标与挑战。

对于资安的议题，国内半导体产业已经不像过去如此被动，准备在资安标准方面发力。相较于目前市面上的资安标准包括ISO 27001，以及工控系统标准IEC 62443等，在半导体产业中的相关标准，则是在国际半导体产业设备与材料协会SEMI的平台下形成，像是关于化学、材料、制造过程与环境安全的标准制订，而在台湾产业带领之下，也希望能够建立资安方面的标准，让半导体产业供应商能够遵循。

由SEMI台湾技术委员会带头，制订晶圆厂设备资安标准

台湾本身在半导体产业扮演了举足轻重的角色，不仅身为设备买家，也有完整的产业生态链，因此，台湾产业要在协会中制订标准，其实也是相当有影响力。

关于半导体资安标准的制订，卓传育指出，是从去年10月开始准备，在今年1月正式由SEMI台湾的技术委员会发起，成立晶圆厂及设备资讯安全任务小组（Fab & Equipment Information Security Task Force），目前这个任务小组的提案，也已经通过国际SEMI会员投票同意，进而取得案号并正式撰写草案，预计第一版草案将在今年10月1日出炉。

其实，过去SEMI也有成员希望推动资安，但当时只是想做资安指引，而现在是要订出标准，让想要卖设备到半导体厂商的业者都要遵循。当然，这个推动过程会遇到很大的阻力，他说，任务小组一开始谈的面向比较广泛，但在实际进行过程中，以及国际产业间的讨论，因此，最后限缩在晶圆厂与设备的范畴。

目前，这个任务小组的成员包含台积电、日月光、联电、力晶等许多台湾电子业者，工研院也身在其中，还有微软、趋势科技等业者共同参与，任务小组每个月开一次会，讨论那些项目适合放到标准，他们也欢迎其他国内业者，一起致力于这个产业资安标准的推动。

在他们开始制订这个标准后，美、日、韩也有类似的活动，由于台湾产业成员已经先在SEMI提出，因此有望能带领推动相关资安标准的建立，以解决晶圆生产所面对的资安问题。

目前，他们这个任务小组的主要目标有3个，第一是要解决电脑操作系统EOS的问题，第二是晶圆厂设备难以更新修补的问题，第三则是要能够做到持续性的监控与稽核。

同时，卓传育也指出，从这次半导体资安标准制订的涵盖面向而言，可画分为四大部分，首先是电脑操作系统安全，或许将来系统商能提供更长生命周期的版本，或是提供维护更新的工具；其次为网络安全，需要限制一些高风险的连接埠，像是TCP 445等；第三是端点安全，包括防毒与应用程序白名单等；最后则是要能做到资安监控。

解决半导体业资安难题，包括系统生命周期与更新问题

对于半导体资安标准的制订，将要解决那些问题呢？卓传育进一步解释了半导体产业现在所面临的挑战。

以半导体产业而言，一直是以产能、良率为优先，重视机器稳定运行，不能使产线停止运作。更关键的是，卓传育指出，半导体设备非常昂贵，动辄数十亿元，可能要使用30年来摊提设备设备成本。

但是，若以操作系统的技术支援服务来看，例如过去Windows版本的产品大约是10年，因此，半导体设备明显面临系统终止支援（End of Support，EOS）的威胁。而且，这类设备可能在出货时，原厂就是搭配旧的系统，使得用户也不容易与设备业者谈条件，甚至买来就是系统已经处于中止销售的状态，原厂还不允许更新，为的是避免对产能效率带来影响。

因此，第一个要解决的问题，将是在怎么解决操作系统的EOS，卓传育认为，这在一般智慧制造也都会发生，但问题不像半导体业机台那样严重，因为他们需要花30年来摊提成本，导致设备使用效期相当长。

其次，是系统难以更新修补的状况。在产能优先考量之下，系统如何能在很短时间内完成更新修补？以及检视更新是否对效能带来影响？卓传育表示，由于产线设备老旧效能慢，更新速度并不像一般办公环境IT那样快，而更新后的设备效能理论上是没问题，但很难验证，若要复制第二套设备来进行验证，成本又太昂贵。

第三，实体隔离落实不易。过往这类半导体设备的运行，理论上是要在一个真正实体隔离环境去运作，只是在智慧制造的浪潮之下，实体隔离也就慢慢不存在。事实上，半导体产业的自动化比例，更是非常高，人为介入少，而要做到自动化，不仅是各个机台之间要连动，还有机台内部的不同程式沟通也是如此，这也意谓著设备相互都连在一起，若是系统也不修补，又是采用EOS的系统，一旦病毒不小心跑进去，就可能带来极大威胁。

除此之外，卓传育也提到半导体在资安更是面临新挑战。例如，OT世界的威胁大多是已知的弱点、从预设信任走向零信任的世界，以及工控协议缺乏加密。特别的是，他还指出一个目前资安方案尚未涵盖的议题，那就是关于营业秘密制程配方的保护──在无法避免连网的情况下，骇客是否可能搜集到完整的制程参数资讯。

因此，半导体产业的资安防护该如何进行？其实，美国ICS-CERT在2015年已经提出7大防护策略能够适用，其中白名单的重要性是最被强调的部分。对此，卓传育也说明了现阶段的因应情况，例如，如果机台有机会导入白名单，他们建议用户就应该要执行，只不过这种作法还是有些限制，像是可能面临原厂或系统不支援，甚至设备原厂也没有相关知识来协助建立白名单的状况，因为原厂只知道程式是他们写的，但不知道用了那个开源模组，以及它们会跟那些程式有连动。

因此，所谓预防胜于治疗，要解决这样的问题，卓传育认为，其实半导体产业要面对的是供应链安全的议题。例如，对于生产制造机台的业者，要求在设备出厂时就内建白名单，以及各种安全设定功能，会比较容易；而且，过往先进制程的半导体设备，由于只有独门厂商能够生产设备，用户很难要求对方配合。而为凝聚产业之力，共同正视资安风险，诉诸标准就是必要手段。

在半导体产业所面临的资安挑战中，操作系统的终止支援（EOS）是首要面对的风险，比起一般制造业都要严重，因为设备昂贵，可能要花上30年来摊提设备成本。此外，还有面对系统难以更新修补的状况，实体隔离渐渐不存在等风险，以及种种新的资安挑战。