晶片資安實驗室認證發展及成果
半導體為我國重要產業，攸關全球產業競爭所需半導體晶片供應之需求。近年來，隨著物聯網(IoT)應用技術的快速發展，在晶片使用功能及安全需兼顧的挑戰下，使得晶片安全議題更加不可忽視。本文茲摘要說明，國內晶片資安實驗室認證之現況及成果。
依據國際標準ISO/IEC 15408(Information security, cybersecurity and privacy protection — Evaluation criteria for IT security)，提供資訊技術安全評估共同準則（Common Criteria, CC）實驗室認證服務。
目前國際上針對晶片安全，主流是採用資訊技術安全評估共同準則（Common Criteria for Information Technology Security Evaluation），簡稱共同準則（Common Criteria, CC），對應的國際標準為ISO/IEC 15408，是由美國、英國、德國、法國及加拿大等國家共同制訂的資訊安全產品評估及驗證標準，並於1999年8月正式成為ISO國際標準。因目前多數國家之政府和企業機構採購皆將共同準則列為採購條件之一，所以取得共同準則驗證的產品有機會可在其他國家獲得一定程度的認可，順利進入各國市場及對應政府採購體系取得競爭優勢。
共同準則之評估過程，係透過下列兩個部份對產品進行安全特性評估，本會目前已認可2家實驗室，可提供相關國際標準之測試服務。
1、安全保障需求 (Security Assurance Requirement, SAR)：針對產品開發及評估過程中，對下列評估類別 (Class)進行符合安全性功能的確認。
|
Class APE |
Protection Profile Evaluation 保護剖繪評估 |
|
Class ASE |
Security Target Evaluation 安全標的評估 |
|
Class ADV |
Development 開發技術評估 |
|
Class AGD |
Guidance Documents 指引文件評估 |
|
Class ALC |
Life-Cycle Support 生命週期支持評估 |
|
Class ATE |
Tests 測試 |
|
Class AVA |
Vulnerability Assessment 弱點掃描評估 |
|
Class ACO |
Composition 組合評估 |
表一 安全保障需求評估類別
2、評估保障等級 (Evaluation Assurance Level, EAL)：一共有7個EAL等級，等級越高表示評估深度及嚴謹性也越高，需要提供的產品佐證資料也最多。
|
EAL1：Functionally Tested |
|
EAL2：Structurally Tested |
|
EAL3：Methodically Tested and Checked |
|
EAL4：Methodically Designed, Tested and Reviewed |
|
EAL5：Semi-formally Designed and Tested |
|
EAL6：Semi-formally Verified Design and Tested |
|
EAL7：Formally Verified Design and Tested |
表二 評估保障等級
因應數位發展部「資通訊供應鏈晶片產品資安驗證制度」，提供測試實驗室與驗證機構之認證服務。
我國數位發展部於114年8月正式公告「資通訊供應鏈晶片產品資安驗證制度」，指定本會(TAF)為該驗證制度之認證機構，提供國內相關測試實驗室及驗證機構之認證服務。依據制度要求，測試實驗室及驗證機構之資格分別如下：
|
測試實驗室資格要求 |
驗證機構資格要求 |
|
(1).通過 TAF ISO/IEC 17025；CNS 17025 認證。 (2).經認可驗證機構評核，並配合每年接受監督評鑑。 (3).報告簽署人之要求：大學以上，曾受過晶片資安領域相關課程達20 小時。 |
(1).通過 TAF ISO/IEC 17065；CNS 17065認證，至少 1 案晶片資安評估或測試經驗。 (2).通過 ISO/IEC 27001；CNS 27001 資訊安全管理系統。 (3).對測試報告執行評估之專業人員應大學以上，曾受過晶片資安領域相關課程達 20 小時以上，且具晶片資安領域相關工作1 年以上經驗。 (4).對評估報告執行審查之專業人員應大學以上，曾受過晶片資安領域相關課程達 40 小時以上，且具晶片資安領域相關工作3 年以上經驗。 (5).認可驗證機構應每年依驗證方案之規範文件及規範性參考文件，向機構人員進行至少 6 小時培訓，並制定培訓結果的評估流程。 |
本會配合主管機關之期望時程，依據國際標準ISO/IEC 17025、ISO/IEC 17065及資通訊供應鏈晶片產品資安驗證制度，建置「智慧連網服務系統資安檢測實驗室認證服務計畫」及「資通訊供應鏈產品晶片資安驗證制度認證方案」，已於114年12月正式提供「資通訊供應鏈產品晶片資安測試實驗室」及「資通訊供應鏈產品晶片資安驗證制度認證方案」認證服務。
依據數位發展部指定國內晶片資安之試驗方法「台灣區電機電子工業同業公會資通訊產品供應鏈資安標準第一部：晶片安全」與「台灣區電機電子工業同業公會資通訊產品供應鏈資安測試規範第一部：晶片安全」。試驗方法中針對晶片安全、物理界面安全、硬體元件安全、密碼安全及韌體安全等面向規畫安全等級為3個等級，共計有47項測試項目。本會將於現場評鑑時審查前述資格要求，並確認受評單位之符合性。目前已有1家測試實驗室通過認證，可提升我國晶片產業之研發能量與國際競爭力，亦可強化我國晶片安全檢測能量。
展望未來
本會認證發展將持續與國際資安標準接軌及支持國家資安政策，並強化國內權責主管機關、產業界及消費者對本會認證結果的接受及信賴，秉承一貫的公正、獨立與透明原則提供認證服務，拓展與資安相關新領域認證方案，與國內符合性評鑑機構，共同創造具公信力的認驗證環境，為國內資訊安全環境，以及協助國內業者輸銷國際做出更大貢獻。
