SEMI E187 は半導体業界の装置サイバーセキュリティに関する重要な標準で、正式名称は「Specification for Cybersecurity of Fab Equipment」です。TSMC、Samsung などのファウンドリが SEMI E187 準拠をサプライヤー資格要件として掲げるにつれ、台湾の半導体製造装置・材料ベンダーは前例のないコンプライアンスプレッシャーに直面しています。本記事は、アセスメントから導入までの体系的なガイドを提供し、製造企業がコンプライアンスロードマップを効果的に計画できるよう支援します。
SEMI E187 とは？
SEMI E187 はグローバル業界団体 SEMI が開発し、2022 年に正式公開された、半導体製造装置のサイバーセキュリティ要件を専門的に扱う標準です。一般的な IT セキュリティ標準とは異なり、SEMI E187 は OT 環境の特殊性を十分に考慮しています：装置は 24 時間稼働が必要で、容易にオフラインにできず、ファームウェアの更新にも厳格な制約があります。
SEMI E187 は 4 つのコアドメインをカバーしており、それぞれに具体的な技術要件があります — すべて必須です：
- ドメイン 1：OS セキュリティ — 装置ソフトウェアの堅牢化と脆弱性管理
- ドメイン 2：ネットワークセキュリティ — 装置通信の暗号化とネットワーク分離
- ドメイン 3：エンドポイント保護 — マルウェア保護とアプリケーション制御
- ドメイン 4：セキュリティ監視 — ログ管理と異常イベントアラート
ドメイン 1：OS セキュリティ
これは SEMI E187 の中で最も基本的でありながら導入が最も困難なドメインです。多くの半導体製造装置は Windows 7 またはそれ以前の OS で動作しており、ベンダーがセキュリティアップデートの提供を終了しているためです。具体的な要件：
- 不要な OS 機能およびサービスの無効化（例：Telnet、FTP、SMBv1）
- 強力なパスワードポリシーの適用（最低 12 文字、定期的なローテーション）
- 最小権限の原則の実装（各アカウントは機能を実行するために必要な最小限の権限のみを保有）
- すべてのログインアクティビティを記録するアカウント監査メカニズムの確立
- 定期的な脆弱性評価の実施、および高深刻度脆弱性の修復タイムラインの設定
OS アップグレードが実現不可能な装置には、アプリケーションホワイトリストツールを補完的制御として導入し、不正なプログラム実行をブロックすることで「仮想パッチ」効果を実現できます。
ドメイン 2：ネットワークセキュリティ
SEMI E187 は、装置が分離されたネットワークセグメントで動作できること、および外部通信に対する厳格な制御を要求します：
- 装置はネットワーク分離された展開をサポートすること（企業 IT ネットワークと直接通信してはならない）
- リモートメンテナンス接続は暗号化プロトコルを使用すること（Telnet は禁止、SSH または HTTPS が必要）
- 装置はローカルファイアウォールを設定して不要なネットワーク接続を制限すること
- すべてのリモートアクセスは多要素認証または強力な認証メカニズムを実装すること
- リモートアクセス権限を持つすべてのアカウントを定期的に監査すること
ドメイン 3：エンドポイント保護
従来のウイルス対策ソフトウェアをインストールできない装置では、SEMI E187 は以下の代替手段を受け入れています：アプリケーションホワイトリストメカニズム（不正なプログラム実行のブロック）、USB ストレージメディアへの厳格なアクセス制御（制限または完全無効化）、オフラインモードで実行するマルウェアスキャン（生産に影響を与えない）。
E187 を導入する前に、すべての装置の包括的なマルウェアスキャンを実施し、ホワイトリストを確立する前に環境がクリーンであることを確認することを推奨します。
ドメイン 4：セキュリティ監視
すべての装置はセキュリティログを生成し、集中型ログ収集および分析をサポートできる必要があります：
- システムのログイン/ログアウト記録（失敗した試みを含む）
- 重大な設定変更の記録
- セキュリティイベントアラート（異常なログイン、サービス中断など）
- リモートアクセス記録（アクセス者の識別情報とタイムスタンプを含む）
ログの保持期間は最低 90 日間、高リスクイベントの記録は 1 年間保持する必要があります。監査中の完全なトレーサビリティを提供するため、ログは集中型 SIEM または Syslog サーバーにエクスポートできる必要があります。
台湾製造企業における一般的なコンプライアンスギャップ
Hexion Networks が台湾の半導体製造装置メーカーと実施したコンプライアンスアセスメントに基づき、最も一般的に観察されるギャップ項目は以下の通りです：
| コンプライアンスドメイン | 一般的なギャップ | 深刻度 |
|---|---|---|
| OS セキュリティ | 補完的制御なしでサポート終了の Windows 7/XP を実行 | 高 |
| OS セキュリティ | デフォルトアカウントが無効化されておらず、パスワードがベンダーの工場出荷時デフォルトのまま | 高 |
| ネットワークセキュリティ | 有効なネットワーク分離なしで IT ネットワークに直接接続された装置 | 高 |
| ネットワークセキュリティ | 平文プロトコル（Telnet、FTP）を使用したリモートメンテナンス | 高 |
| エンドポイント保護 | 装置の USB ポートが未管理で、不正なストレージデバイスの接続が可能 | 中 |
| セキュリティ監視 | 集中型ログ収集なし、ローカルログストレージが不十分で記録が失われる | 中 |
| セキュリティ監視 | リアルタイムアラートメカニズムなし、セキュリティインシデント発見に大幅な遅延 | 低 |
体系的な導入ロードマップ（12 ヶ月）
フェーズ 1（1–2 ヶ月目）：アセスメントと棚卸し
- 包括的な OT 資産インベントリを実施し、完全な装置リストを作成する（OS バージョン、ファームウェアバージョン、ネットワーク接続方法を含む）
- SEMI E187 の 4 ドメインに対する詳細なギャップ分析を実施し、各要件項目の現状をスコアリングする
- 深刻度と修復難易度に基づいてギャップの優先順位を付ける
- 予算要件を評価して経営層の支援を確保し、プロジェクトタイムラインを確立する
フェーズ 2（3–6 ヶ月目）：高リスクギャップの修復
- 産業用ファイアウォール（例：産業グレード NGFW）を導入して IT/OT ネットワーク分離を実装する
- すべての装置で Telnet/FTP サービスを無効化し、リモートメンテナンスに SSH を強制する
- すべてのデフォルトパスワードを変更し、パスワード複雑性ポリシーを確立する
- OS アップグレードが実現不可能な装置にアプリケーションホワイトリストを導入する
- USB アクセス制御を実装するか、未使用の USB ポートを無効化する
フェーズ 3（7–9 ヶ月目）：監視フレームワークの確立
- 集中型ログ管理システム（Syslog サーバーまたは軽量 SIEM）を導入する
- 重要なセキュリティイベント（ログイン失敗、設定変更、サービス中断）のリアルタイムアラートを設定する
- 単一画面ビューを提供する装置セキュリティステータスダッシュボードを確立する
- 改善の進捗を確認するために最初の内部コンプライアンス監査を実施する
フェーズ 4（10–12 ヶ月目）：監査準備とデリバリー
- 完全なコンプライアンス文書パッケージを編集する（ポリシー文書、手順書、監査記録、是正・予防処置報告書）
- 事前監査ドリルを実施して残存ギャップを特定し、修復を行う
- 顧客監査のためのデモンストレーション環境と技術文書を準備する
- 監査の質問に対応するための関連スタッフへのトレーニングを実施する
「SEMI E187 コンプライアンスは一回限りの認定ではなく、継続的なセキュリティ管理プロセスです。監査を通過することは出発点に過ぎず、その後も継続的にコンプライアンス状態を維持し、新しい脅威と標準の更新に対応する必要があります。E187 v2 はすでに計画中であり、コンプライアンス要件はさらに厳しくなる一方です。」
Hexion Networks は完全な SEMI E187 コンプライアンスアセスメントおよび導入サービスを提供しており、オンサイトアセスメント、ギャップ分析レポート、技術ソリューション推奨、完全な監査準備支援を含みます。お客様の装置環境に合わせたカスタマイズされたコンプライアンスソリューションについては、OT セキュリティコンサルタントにお問い合わせください。