国际半导体展首度谈资安，工作小组揭露推动资安标准现况

关于操作科技（OT）环境的资讯安全议题，自去年开始造成话题，而带动整个产业的重视。例如，今年于南港展览馆举行的国际半导体展（SEMICON）里，对于我国所主导的半导体设备资安标准推动现况，由工作小组的成员进行座谈，希望能有更多有志之士投身相关的工作。

国际半导体产业协会（SEMI）资深执行顾问张德安指出，自于1973年成立以来，目前已经发布了超过一千项标准。而这些标准的推出，来自于业界超过5,000名专家义务投入而成。由于去年我国出现生产线上的重大资安事件，促使-与国内的相关业者，想要借由制订标准，来强化进场设备的资讯安全。自工研院与台积电于去年9月着手成立资安标准工作小组后，其中最为重要的里程碑，就是在今年4月时，取得新标准提案表单（Standards New Activity Report Form，SNARF）的正式案号6506，现在小组成员积极讨论与撰写草案，预计在年底能送交给全球的SEMI会员投票，进而领先美国和日本，成为全球业界推动资安标准的领头羊。

在与会座谈的工作小组成员中，包含了半导体业者、资安业者，以及工研院的代表。半导体业者，有台积电部经理张启煌，以及力晶科技技术经理彭金郎；资安业者，则是精品科技资深顾问陈育徽；而-代表则是，工业技术研究院副组长卓传育，站在工作小组计划主持人的身份，加入讨论。

生产设备使用老旧操作系统情况仍相当普遍

参与标准的制订，固然有助于提升我国于国际的能见度，然而促使-与半导体业者联手，推动资安标准，追根究柢还是起因于严峻的态势中，攻击事件已经严重打击台湾的半导体产业，使得他们必须正视长期以来，并未随着外界趋势变化而加强防护措施的生产环境。

张启煌说，半导体的生产设备，二、三十年以来，诉求生产效率为最大前提，所存在已久的两大资安问题，那就是多数设备执行的操作系统相当老旧，原厂已经终止支援，再者，则是防毒软件和白名单等防护机制，与机台设备之间的相容性，使得半导体业者部署这些产品之后，可能面临严重影响厂房运作的现象。

生产设备采用旧版操作系统的情况到底有多严重？陈育徽说，单是此次活动展出的设备而言，他们发现有很多设备执行的环境，是今年终止支援的Windows XP，以及已于2010年就停止支援的Windows 2000操作系统。而这样的情况，使得半导体业者难以强化这些设备的防护措施，尤其是被视为基本措施的防毒软件，许多厂牌早就不再支援上述操作系统。

彭金郎也相当认同张启煌的看法，他们两人都指出，若是倚靠单一买家的采购，无法要求设备供应商改善前述的情况。彭金郎表示，他遇过供应商特别向他们表明，没有办法保证安装防毒软件之后，设备能够如预期运作，结果彭金郎实际测试，机台执行效能大幅降低，因为他们没有办法接受安装防毒软件后，导致生产时间大幅增加，最后只能妥协，让这些设备在缺乏相关保护机制下继续运作。

因此，透过建立相关的标准，来让设备厂商能有遵循的规范，提供半导体厂房具备足够安全的产品，从设备开发就将资安纳入考量之中，成为整个产业想要迫切改善的问题。卓传育说，工作小组试图建立设备拥有的基本要求，像是操作系统和应用程序的长期支援，以及具备有关网络配置等，才能在企业导入之后，能依照标准相关的规范，真正落实资讯安全。

拟定设备标准的挑战仍需逐一克服

张德安指出，这次我国能够争取到拟定半导体设备的资安标准，可说是相当难得。由于台湾过往都是以代工为主，加上不是国际电工委员会（IEC）的会员，对于相关的标准都是采取遵循业主要求因应，没有参与订立这些标准的工作。然而，随着半导体产线的资讯安全受到重视，我国争取于国际半导体产业协会制订有关标准，除了因应业者的需求，背后也伴随着带动国内资安产业的商机，为此，张德安说，他们在过程之中，美国和日本也相当积极想要加入讨论，希望能影响这项标准制订的方向。

另一方面，资安标准工作小组在取得正式的案号之后，即将于年底提出草案。张德安说，因为参与的成员都是志工，而且需要在上班时间开会，相当倚赖公司背后支持。而卓传育则说，虽然比起许多国家，要召集成员讨论可说是相当容易，但在标准文件的编写上，也需要精通英文相关术语的专家协助整理，因此工研院会试图找寻相关的资源，来加速这些工作的执行。