第61期

半導體產業屬於高度自動化且全球化的供應鏈體系，其製造設備具有高度連網能力、高價值，並涉及機密性極高之製程資料。一旦相關設備遭受資安攻擊，可能導致半導體的製程中斷、良率下降，甚至造成智慧財產外洩，嚴重時，更可能使整體生產線停擺或癱瘓。因此，全球半導體產業已將其設備乃至整體供應鏈之資安防護，視為首要關鍵議題。

在半導體設備資安需求方面，其核心目標在於確保產線運作具備「高可用性」與「高生產效率」，並有效阻絕供應鏈遭受資安攻擊之風險。隨著威脅環境日益複雜，半導體產業資安防護模式已由傳統被動防禦，逐步轉型為以主動驗證與風險管理為核心之治理模式。

目前，全球半導體產業已透過導入國際標準來強化資安管理。其中，由國際半導體產業協會（SEMI）所制定的 SEMI E187 標準，逐漸成為半導體設備資安之重要國際規範。資安要求亦由過往仰賴設備廠商自主管理，轉變為需依循標準並接受驗證之制度化機制要求。透過此類國際標準所導入的「驗證機制」，可有效確保設備符合既定資安要求與國際規範，並逐步成為國際指標大廠於供應鏈評選過程中必要條件，亦為設備製造商進入國際市場之重要門檻。

另一方面，歐盟所推動的《網路韌性法案》（Cyber Resilience Act, CRA）預計將於 2027 年 12 月正式生效。該法案主要針對是否屬於「具數位元件的產品」且將於歐盟市場上市進行規範。凡符合此範圍之產品，均須遵循法案所訂定之資安要求。CRA 的適用範圍涵蓋所有具數位元件之產品，並要求製造商於產品規劃、設計、開發及維護等全生命週期中納入資安要求，並履行漏洞管理與資安更新之責任。實務上，半導體製程設備通常包含控制軟體、韌體、通訊介面及遠端維運功能，因此，將被納入該法案適用範圍。

綜合上述，半導體設備資安已不僅為製造商的競爭優勢或加分項目，而是進入全球半導體產業供應鏈之基本門檻與必要條件。

為提升我國半導體產業資安防護能力並與國際標準接軌，數位發展部數位產業署（數產署）積極推動我國半導體設備資安驗證機制，結合產業需求與國際規範（如 SEMI E187），採分階段策略建構完整之驗證體系，透過與 SEMI 等國際組織及國內半導體廠商合作，推廣 SEMI E187 標準應用，協助企業銜接國際規範，並導入認驗證制度，以強化在地符合性評鑑能力，包括資安檢測技術量能、評估指標及技術規範。最終目標為於2026年促成我國產業與國際供應鏈要求接軌，建立完善第三方檢測與驗證機制，並協助我國晶圓大廠將資安驗證納入設備採購與供應鏈管理之必要條件，使資安驗證成為產業標準配置。

財團法人全國認證基金會(TAF)作為我國代表參與國際符合性評鑑相互認證協議MRA之認證組織，在協助政府建置半導體設備資安認驗證體系並與國際接軌方面，扮演關鍵角色。因應數產署公告「SEMI E187 半導體設備資安標準驗證制度」(下稱半導體設備資安驗證制度)指派TAF擔任我國SEMI E187 半導體設備資安標準驗證制度之認證組織，已著手針對此驗證制度項下相關要求，包括「SEMI E187 半導體設備資安查核規範」、「SEMI E187半導體設備資安標準驗證作業管理規範」、「SEMI E187半導體設備資安標準證書與標章管理辦法」，以及「SEMI E187–Specification for Cybersecurity of Fab Equipment」等內容，規劃並建置符合制度需求之認證服務。同時，TAF依據「智慧連網服務系統資安檢測實驗室認證服務計畫(文件編號：TAF-CNLA-A24)」及「SEMI E187 半導體設備資安標準驗證制度認證服務計畫(文件編號：TAF-PC-M13)」，作為對應檢測實驗室與產品驗證機構之認證要求。於此制度下，半導體設備產品的資安驗證將由符合ISO/IEC 17065或CNS 17065之TAF認證產品驗證機構執行，並依據符合ISO/IEC 17025:2017；CNS  17025:2018之TAF認證的半導體設備資安測試實驗室，其依據「SEMI E187–Specification for Cybersecurity of Fab Equipment」與「SEMI E187 半導體設備資安查核規範」檢測並提供對應測試報告，經由據「SEMI E187半導體設備資安標準驗證作業管理規範」與「SEMI E187半導體設備資安標準證書與標章管理辦法」驗證活動，以確認半導體設備資安驗證符合數產署公告「SEMI E187 半導體設備資安標準驗證制度」之要求。

目前，TAF針對「SEMI E187半導體設備資安標準驗證制度之半導體設備資安測試實驗室」認證服務，已於今年4月正式公告受理半導體設備資安實驗室認證之申請，並預計於第三季公告並受理「SEMI E187 半導體設備資安驗證方案」之產品驗證機構認證申請。相關資訊參見於TAF官網「智慧連網服務系統資安檢測實驗室認證服務計畫(文件編號：TAF-CNLA-A24)」及「SEMI E187 半導體設備資安標準驗證制度認證服務計畫(文件編號：TAF-PC-M13)」。

誠如賴總統於2024年5月20日就職演說所宣示，半導體產業為我國核心「五大信賴產業」之關鍵戰略領域，而強化「半導體供應鏈韌性」更是我國布局全球半導體設備供應鏈的重要政策方向。透過建構符合國際標準之認驗證體系，並經由TAF認證之機構執行驗證活動，將有助於我國半導體產業全面符合國際供應鏈要求。

此外，藉由建立完善之第三方檢測與驗證機制，可協助國內晶圓大廠於設備採購與供應鏈管理中納入資安驗證要求，促使資安驗證成為產業標準配置，不僅可提升半導體設備於資訊與通訊安全之防護能力，降低供應鏈遭受攻擊之風險，亦可強化產品整體安全性，提升我國產業之國際信任度。

進一步而言，健全之認驗證體系亦能促進資安要求自產品源頭落實，協助產業符合國際標準及主要經濟體（如歐盟）之法規要求，進而提升產品市場競爭力與法規符合性。