TXOne偕同半导体护国群山 落实半导体供应链的网安韧性

由右至左为IDC台湾总经理江芳韵、SEMI网安委员会委员 暨 工研院资通讯研究所组长卓传育博士、趋势科技台湾暨香港区总经理洪伟淦、TXOne Networks（睿控网安）CEO刘荣太博士、SEMI网安委员会主席暨台积电信息安全处长屠震博士、勤业众信联合会计师事务所风险谘询服务执行副总经理简宏伟、均豪精密 总经理室兼信息处资深处长刘中平、TXOne Networks（睿控网安）大中华区业务副总裁李育全。TXOne

近年半导体等高科技制造业积极推动数码转型，大量借助IoT、AI/ML等数码科技，持续加速生产流程、创造高价值。但企业在投入转型与创新的同时，也导致网安防御边界渐趋模糊，给予黑客可乘之机。显见作为全球半导体供应链核心的台湾护国群山，正面临严峻网安挑战。

鉴于此，全球工控网安领导厂商TXOne（睿控网安）于日前举办「 TXOne半导体供应链网安论坛-网安致能 半导体供应链的韧性时代」研讨会，藉由网络、端点到物联网装置的网安营运与防护实务，剖析如何善用各项OT网安方案，守护半导体制造的每一个环节。

SEMI国际半导体网安委员会委员暨工研院信息与通讯研究所组长卓传育博士表示，从2019年开始，他与 SEMI同仁、台积电联手催生半导体设备网安标准 SEMI E187，并于2022年1月正式发布。他强调SEMI 187 只是起点，因半导体厂不能仅顾好自身产线安全，需放眼整体供应链网安；故SEMI Cybersecurity Committee积极探讨如何评估供应链网安成熟度、如何管理整个半导体生产的生命周期，且亟思将供应链安全概念扩散到其他产业。

优质OT网安方案，应避免影响机台与使用者

SEMI Taiwan在两年前成立Cybersecurity Committee，首要任务是推出网安风险评估服务，帮助上下游供应商轻易评估自身安全态势。其次更重要的，Cybersecurity Committee将 提 出E187 Assurance Validation，以验证厂商是否确实符合E187，另将发表半导体网安参考架构，举凡如何设定机台，如何整合机台、网络和应用程序，如何保护机台数据…等，种种指引都包含在内。

SEMI国际半导体网安委员会主席暨台积电企业信息安全处长屠震博士指出，SEMI 187为SEMI史上第一个由台湾发起的半导体网安标准，从标准草案、标准发布、建立合规工具与最佳实务，到促成全球第一个第三方验证成果，台湾可说是一直走在全球半导体供应链网安的领导位置。

其次，他认为好的网安方案须具备两大特质，要能兼顾的安全与生产，或可称为「Double Zeros」:「zero impact」及「zero feel」，其一不会对生产机台造成影响，其二要让使用者无感。基础网安观念若能落实，大部分的网安事件都能被事先预防。但没有一种万能的技术或解决方案可以保护组织，健全的网安实践和管理心态将是关键。

落实CPSDR机制，阻绝OT勒索攻击

TXOne Networks CEO刘荣太博士，以 CPSDR（Cyber-Physical System Detection and Response） 为主题进行演说，其中的「DR」便是大家熟知的Detection and Response，主要针对机台进行安全侦测与回应。

他表示环顾工控网安，像是半导体产业甚或整个高科技制造业，都是黑客团体的觊觎目标，因黑客根本不必研究SCADA或控制器，只需加密工作站电脑的Windows操作系统，就可迫使产线停摆、酿成巨大损失，以此要胁企业支付赎金。

因此CPSDR想要解决的便是勒索议题，利用机台的侦测与回应机制来阻绝与防御勒索攻击。他提醒大家，经调查高达94%企业的IT一旦遭遇勒索病毒袭击，OT也会跟着沦陷，即便在IT与OT中间架设防火墙，仍无法将勒索病毒挡在墙外，足见黑客找出缝隙钻进 OT的能力，超乎大家的想像。

刘荣太指出，SEMI Cybersecurity Committee 推出的安全参考架构，主要精神就是防护机台一生，从初期机台设计的 Secure by Design，到机台进厂、设定、数据存取…等全程皆受保护。CPSDR 呼应此概念，不仅从 Endpoint、网络实施多重保护，如 TXOne 还可替机台建立指纹，以利实时识别异常行为。

藉由专家精辟见解，勾勒工控网安最佳蓝图
本次论坛另邀请 IDC 亚太半导体研究负责人暨 IDC 台湾总经理江芳韵、勤业众信联合会计师事务所风险谘询服务执行副总经理简宏伟、均豪精密总经理室兼信息处资深处长刘中平、TXOne 全球商业赋能暨大中华区业务部副总裁李育全等多位专家，分享精辟见解。

江芳韵表示，尽管大环境景气疲弱，导致半导体产业短期发展受影响，但在车用电子、AI、智能工厂等应用带动下，今年下半年到明年上半年仍有望回温。以长期来看，除上述潜在关键应用外，亦可将技术角度、地缘政治促动的投资角度，一并列为半导体产业观察指标。

简宏伟强调，半导体业应跳脱技术、管理层面，从治理角度来看待网安议题， 并以SEMI E187、IEC 62443 为遵循标准。企业在导入OT安全时应留意四件事，分别是建立网安文化、建立安全防护、保护关键系统、制定业务持续计划；切记业务持续计划不是DR计划，企业应先盘点风险，再建立营运持续管理机制，更重要的必须执行演练，确认能否成功复原。

刘中平处长分享均豪精密推动E187的经验。他指出有关E187合规导入，具体做法就是落实操作系统安全、网络安全、端点安全及网安监控，共计12项要求；为此均豪在网安夥伴华电联网的协助下，逐一达成12点要求，并配合第三方稽核公司BUREAU VERITAS完成认证程序；同时间均豪善用TXOne的OT网安方案，有效满足机台产品的E187符规与认证。

担任压轴讲师的李育全表示，谈到半导体网安治理，内含几个重点，包含设备机台出货时须产制无毒证明，控管机台之间档案传输与数据更新、落实新旧机台的端点防护。针对以上诸多问题，采用TXOne Portable Inspector都能迎刃而解。

除了供应链的网安防护之外，在进入场域前可以针对机台设备采取更一步实质保护来确完整性，机台部署 TXOne Stellar的最大优点是能够以单一Agent安装并且能够在工控专用的防毒软件与白名单软件之间做无缝切换，做到机台全生命周期的端点防护。另外它内建工控软件数据库，可智能识别大量工控软件，并结合机器学习能力，真正达到低耗能、零干扰的端点防护，甚至进一步连动OT网络，顺势实现CPSDR。

此外TXOne Edge为一套深入底层的工控网络防护设备，有非常多样的Form Factor，从小于手机、到96埠的硕大规格兼有之。不论Stellar、Edge 或 Portable Inspector，TXOne都基于OT原生需求而设计，擅于在避免影响OT场域营运之下，达到真正的保护效果。