半導體設備究竟該如何證明自己足夠安全，才能進入晶圓廠？這個過去長期由製造商各自提出要求、設備商逐案因應的問題，現在開始有了共同答案。
財團法人資訊工業策進會（簡稱資策會）日前宣布，正式啟用全球首座具備SEMI E187半導體設備資安檢測能力的實驗室。
這項成果的重要性，不只在於多了一座可執行檢測的實驗室，而是意味著由SEMI Taiwan旗下Fab and Equipment Information Security Task Force自2019年開始推動、並於2022年正式發布的半導體設備資安標準，終於從書面的共同規範，進一步走向可由第三方實際執行的驗證制度。
從標準制定、測試方法建立，到第三方實驗室取得認可，臺灣完成半導體設備資安治理的重要一環。數位發展部部長林宜敬表示，對設備製造商而言，未來通過SEMI E187，可能成為爭取進入高階半導體供應鏈的重要條件；對晶圓廠而言，則能在設備正式進廠之前，先確認其資安能力是否符合共同要求；而對臺灣資安產業來說，這套制度所衍生的，也不只是一次性的檢測需求，而是從合規輔導、檢測工具到驗證服務的完整產業機會。
更重要的是，這也反映臺灣在全球半導體資安治理的角色正在改變。資策會董事長黃仲銘指出，過去，臺灣企業往往是國際標準的採用者與遵循者，如今，隨著SEMI E187的建立與全球首座相關檢測實驗室落地，臺灣開始同時參與規則建構、驗證制度與後續服務體系的發展，嘗試把半導體製造的優勢進一步延伸到資安治理與國際標準的影響力。
供應鏈成為攻擊入口，設備資安不能再只靠各自把關
SEMI E187的出現，源自半導體產業對供應鏈攻擊風險的高度警覺。隨著智慧製造、工業物聯網與設備連網程度持續提高，晶圓廠內的每一臺設備，都不再只是獨立運作的生產工具，而是整個數位化製造環境的一部分。
林宜敬指出，直接攻擊大型晶圓製造商的難度極高，因此，攻擊者可能轉而尋找供應鏈中防護相對薄弱的環節，作為突破口。一旦設備本身存在資安漏洞，或在供應鏈過程中遭到植入惡意程式，風險就可能隨著合法採購與出貨流程直接進入生產環境。
他以2018年臺灣半導體業曾發生知名資安事件為例，該起事件也讓產業更清楚看見這類「跳板式攻擊」的威脅：攻擊者並不一定需要正面突破目標企業，而可能先入侵設備供應商，再利用設備交付與進廠流程，讓病毒、木馬或後門程式隨著合法產品進入目標環境，如同現代版的「木馬屠城」。
這也是SEMI E187所要處理的核心問題。與企業遭入侵後的事件應變不同，這套標準關注的是設備本身在進入晶圓廠之前，是否已經具備足夠的資安防護能力。換言之，它試圖把資安治理的關卡往供應鏈前端推移，在設備出廠與進廠之間建立更明確的共同檢視機制。
SEMI Taiwan旗下的Fab and Equipment Information Security Task Force為此，自2019年起著手研擬相關標準。這項工作歷經約三年的討論與各區域投票審查，最終在2022年1月正式發布SEMI E187。
國際標準的形成並不只是單一企業或單一市場的決定，而必須經過不同區域與產業參與者的討論與共識，因此，從產業需求浮現、標準內容建立，到後續試行與認證制度發展，整體歷程花費多年。
SEMI全球行銷長暨臺灣區總裁曹世綸表示，制定產業共通標準本來就是SEMI長期以來的重要任務。半導體產業牽涉設備、材料與製造商等龐大且複雜的供應鏈，若缺乏共同標準，每一家設備商都可能必須針對不同客戶建立不同的符合方式，造成大量重複成本，也增加採購端的審查負擔。因此，SEMI標準之所以具有影響力，正在於它提供全球供應鏈一個可共同依循的基礎門檻。
從「有標準」到「能檢測」，資策會補上制度落地的關鍵拼圖
然而，標準發布並不代表制度已經真正落地。對半導體設備商而言，下一個問題是：如何證明自己確實符合標準？對晶圓廠而言，又該由誰來進行客觀、公正的判定？這正是第三方檢測實驗室的重要性。
SEMI與數位發展部、臺積電等產業力量進一步合作，推動標準落地，而資策會憑藉過去在晶片、5G、數位電視及其他領域累積的檢測實驗室經驗，承擔起建立SEMI E187檢測能量的工作。
如今，由資策會打造的、全球首座具備相關資安檢測能力的實驗室正式啟用，也讓這項標準從「產業共同規範」進一步成為可以實際測試、查核與驗證的制度。
資策會董事長黃仲銘形容，這是臺灣從制度遵循者走向制度建構者的重要一步。隨著智慧製造與工業物聯網深入產線，單一設備的資安問題不再只是設備商本身的內部管理問題，而是整條供應鏈信任關係的一部分。任何一臺設備一旦存在漏洞，都可能透過連網環境讓風險擴散，因此設備進廠之前的把關，也逐漸成為供應鏈資安治理的必要環節。
對設備商而言，通過SEMI E187不只是完成一次測試，更可能成為向市場證明自身資安能力的方式。黃仲銘以「通行證」形容這項制度的價值：當設備商能夠取得第三方驗證，便可降低客戶對設備資安能力的不確定性，也有助於提升產品與品牌競爭力；對晶圓製造商而言，統一的標準與第三方驗證，則有機會減少自行重複審查不同供應商的成本。
資策會資安所主任暨計畫協同主持人吳東杰進一步說明，SEMI E187實驗室建立的核心，在於把共同標準、第三方驗證與持續性的監督機制串連起來。
他表示，過去，不同半導體業者可能各自訂定設備資安要求，設備商若同時服務多個客戶，就必須面對多套規範與重複調整。但是，SEMI E187希望透過共同要求，降低這種碎片化現象；而第三方驗證則讓「是否符合標準」，不再完全由買方或賣方單方面判定。
目前實驗室依循SEMI E187-0122規範，以及相關半導體設備資安查核要求，執行測試，檢視範圍涵蓋作業系統支援、網路傳輸安全與設定管理、弱點緩解、反惡意軟體保護、存取控制及日誌要求等面向。
同時，該實驗室也符合ISO/IEC 17025相關要求並取得TAF（財團法人全國認證基金會）認可，使檢測結果具備第三方獨立性與一致性。
半導體設備搬不進實驗室，「遊測服務」成為產品驗證制度的特色
SEMI E187實驗室的運作方式，也與一般人想像的傳統實驗室有所不同。
由於半導體設備往往體積龐大、價格昂貴，而且搬運本身就可能伴隨風險，並不適合要求設備商把完整設備送到實驗室接受檢測。吳東杰表示，因此，資策會採取「遊測服務」模式，由專業檢測人員直接前往設備商所在地，針對實際設備與生產環境進行現場查核。
查核流程則從申請受理開始，依序進行文件審查、設備查核與結果分析，最後提出檢測報告。採用這種方式的意義，在於驗證不只是檢視一份文件，而是結合實際設備與現場條件，確認資安要求是否真正被落實。
資策會也在示範案例與產業合作上累積經驗，包括志聖工業與盟立集團等業者曾協助提供案例。目前，資策會已受理志聖與台達等設備製造商送測，希望透過實際案例持續累積測試方法、查核經驗與制度改善方向。
吳東杰認為，這些案例的價值不只在於完成單一企業的測試，而是讓實務經驗能夠持續回饋制度。標準建立之後，真正的挑戰是如何在不同設備、不同製造流程與不同企業條件下執行；隨著實測案例增加，測試與驗證流程也能持續趨於成熟，進一步形成更完整的半導體設備資安檢驗體系。
不只一座實驗室，臺灣要建立完整的檢驗測產業鏈
資策會的下一步，也不是由單一機構獨自承擔所有檢測工作，而是希望把SEMI E187的測試方法與經驗擴散出去。
吳東杰表示，在示範案例部分，志聖工業與盟立集團已完成SEMI E187查核，成為首批試行典範；資策會後續也已受理志聖與台達兩家設備製造商送測，並攜手一安智能、峻盟科技、開啟資安等資安業者，提供SEMI E187導入與改善輔導。
另外，協助三甲科技與SGS等機構，導入相關測試方法與認可要求，希望逐步擴大臺灣半導體設備資安檢測量能；TeamT5、TXOne及奧義智慧則提供相關資安檢測工具，協助設備業者加速盤點資安要求、找出防護缺口並完成改善；同時由臺灣電子製造設備工業同業公會（TEEIA）與臺灣資安大聯盟（TWDDC），協助串聯半導體設備業者與相關產業資源。
同時，吳東杰也說，整個生態系需要不同角色共同參與：顧問業者可以協助設備商導入標準與改善缺口，工具業者提供檢測與防護能力，實驗室負責第三方測試與驗證，工協會則協助串聯設備業者與產業資源。
在這樣的架構下，SEMI E187不再只是單純的「認證制度」，而是一條由標準導入、資安改善、工具應用到測試驗證所構成的服務鏈。資策會規畫，先以全球首座具備 SEMI E187 資安檢測能力的實驗室作為示範，再逐步協助其他實驗室建立能力，並透過更多實機測試案例帶動設備業者加入。
這也正是林宜敬所強調的產業邏輯。對他而言，認證本身是一門生意，協助企業通過認證是一門生意，提供資安軟硬體讓設備商符合要求，同樣是一門生意。他強調，政府的角色未必是補貼每一項資安投入，而是建立制度與生態系，讓市場需求逐步形成。
林宜敬估計，SEMI E187認驗證制度預期可望創造或維繫約50億元的相關商機，並支撐臺灣規模達千億元的半導體設備產業，讓臺灣設備商以資安實力搶攻全球市場。
從這個角度來看，SEMI E187的意義不只是增加企業成本，而是可能催生新的服務市場，讓臺灣資安與軟體業者有機會進一步切入半導體供應鏈。下一階段將朝首家驗證機構成立及首批驗證標章邁進，持續完善半導體設備資安認驗證體系，期許臺灣以資安優勢拓展國際市場。
非強制標準，市場要求反而可能成為更大的推力
不過，SEMI E187目前並非強制性規範，這也讓外界提出最直接的問題：如果政府沒有要求，設備商為什麼要主動投入額外成本？
資策會副執行長林玉凡認為，若臺灣希望建立一條「被信賴」的供應鏈，就必須為信任付出相應代價。她坦言，業者所說的「羊毛出在羊身上」並非沒有道理，但關鍵在於：資安投入是否能轉化為產品價值與市場信任。
她以報價可能因為增加資安要求而提高為例指出，如果企業因為投入資安與品質，能讓產品獲得更高的市場價值，這並不代表成本失控，反而說明市場願意為可信任的產品買單。她直言，對半導體產業而言，真正的風險未必只是成本增加，而是因為缺乏信任而失去客戶與訂單。
林宜敬認為，供應鏈的商業要求往往比政府法規更具實際影響力。當大型製造商開始把設備資安能力納入採購條件，供應商自然會因市場需求而調整。對希望進入特定供應鏈的設備商而言，是否具備相應認證或驗證能力，未來可能逐漸成為競爭門檻。
因此，SEMI E187目前是否屬於政府強制規範，未必是決定制度影響力的唯一因素。更關鍵的是，當共同標準、第三方驗證與市場採購需求逐漸連結，制度本身就可能產生擴散效果。他表示，政府建立規則，產業決定如何競爭，而市場則決定哪些能力會成為必要條件。
從「臺灣製造」延伸到「信任臺灣」，爭取全球規則與服務話語權
從SEMI的角度來看，這次合作的成果也不只侷限於臺灣市場。曹世綸將整體效益形容為多方受益：晶圓製造商可以在設備進廠前增加一道把關機制；設備供應商可以透過共同標準建立市場競爭力；認證機構則有機會將檢測服務發展成國際化業務。
若未來臺灣設備製造商持續前往美國亞利桑那、日本、歐洲等市場設廠或拓展業務，相關的驗證與檢測服務也可能隨著供應鏈向外延伸。對臺灣軟體與資安業者而言，這代表未來不只服務本地市場，也可能藉由全球共通標準進入更多國際半導體製造商與設備供應商的服務體系。
這也是此次全球首座SEMI E187資安檢測實驗室啟用，最值得關注的地方。它所完成的，不只是一項實驗室的資格認可，而是把臺灣在半導體產業的既有優勢，進一步延伸到標準、檢測與資安服務。
過去，臺灣廠商在面對國際標準時，往往需要尋求海外機構、顧問或驗證單位協助；如今，隨著臺灣參與SEMI E187標準的建立，並進一步建立全球首座具備相關檢測能力的實驗室，角色開始出現翻轉。
黃仲銘所說的「從遵循者到建構者」，正反映這種轉變：臺灣不再只是依照他人制定的規則調整產品，也開始建立能夠讓其他市場與企業採用的制度與服務。
當然，從首座實驗室走向成熟的全球認驗證體系，仍需要更多設備商實際導入、更多案例累積，以及更多檢測與服務機構加入。但是，SEMI E187已經為臺灣半導體設備資安建立新的發展路徑。
半導體產業的競爭，過去主要聚焦製程、良率、設備性能與供應能力；在供應鏈高度連結與資安風險日益升高的環境下，「可信任」也開始成為新的競爭條件。誰能證明自己的設備不只是功能符合需求，也具備足夠的資安能力，誰就可能在未來的供應鏈競爭取得更有利的位置。
隨著全球首座SEMI E187資安檢測實驗室在臺灣啟用，臺灣完成從標準討論、制度建立到第三方檢測的重要拼圖。接下來的挑戰，不只是讓更多設備商取得驗證，而是如何把這套制度發展成完整的產業生態系，並隨著臺灣半導體供應鏈走向世界。
對資策會、數位發展部與SEMI而言，這項計畫最終指向的共同目標相當清楚：資安不應只被視為被動防禦或額外成本，而應成為產品價值、供應鏈信任與國際市場競爭力的一部分。
當半導體設備進入全球供應鏈時，除了「Made in Taiwan」，未來或許還需要另一個更具產業意義的標籤──「Trusted by Taiwan」。從這個角度來看，SEMI E187實驗室的啟用不是終點，而是臺灣試圖將半導體優勢、資安能力與國際標準影響力串連起來的新起點。
Comments (0)