半導体製造へのセキュリティ要求と求められる対応

はじめに

近年、半導体産業の経済的な重要度が継続的に高まっています。半導体は需要の増加に加えて、経済安全保障の観点でも注目を集めており、日本でも2022年に経済安全保障推進法における特定重要物資に指定されました。

製品の安定的な供給に必要なセキュリティへの要求も高まっています。近年の動向として、半導体産業の国際団体である「SEMI」は、2022年にサイバーセキュリティ規格E187およびE188を発行しました。また、経済産業省は2024年4月の「産業サイバーセキュリティ研究会」において、半導体産業を対象にセキュリティ向上施策の検討を開始する方針を示しています。半導体製造に関わる企業は、これらの要求を理解し、対応することが求められます。

本稿では、SEMIの規格および経産省の工場向けセキュリティガイドラインについて紹介します。また、それらの内容を踏まえて、半導体製造のサプライチェーンを構成する各企業がどう対応すべきかを述べます。これにより、半導体製造へのセキュリティ要求と、要求への対応に必要な取り組みを理解することができます。

各企業に求められる対応

半導体の製造においては、業界の内外でセキュリティ向上の動きが起こっています。この背景には、ランサムウェア攻撃をはじめとするサイバー攻撃に対して、半導体製造のサプライチェーン全体のセキュリティを確保し、セキュリティインシデントによる供給停止リスクを低減することへの社会的要求の高まりがあります。

こういった状況において、デバイスメーカー、装置メーカー、部素材メーカーにはそれぞれどのような対応が必要になるでしょうか。

デバイスメーカー

半導体製造工場でのインシデントは半導体の供給停止に直結するため、製造環境全体のセキュリティ確保が求められます。工場セキュリティガイドラインや他のOTセキュリティに関するドキュメント（IEC 62443、NIST SP800-82など）を基に、セキュリティ対策方針を策定することが必要です。

また、製造環境のセキュリティを確保するには、半導体の製造ラインを構成する製造装置もセキュアであることが必要です。そのために、製造装置のセキュリティ要件を定めることが重要となります。製造装置に求めるセキュリティ要件を定めるにあたって、E187、E188は以下2点の理由から大いに参考にできると考えられます。

• 半導体製造環境を前提としており、汎用的な規格やガイドラインよりも適用しやすい
• 業界団体が作成・リリースしたものであることから、業界内での認知度や説明性が高い

最終的に、セキュアな製造環境を構築するには、半導体製造装置メーカーや製造環境の構築に関わるインテグレーターに適切なセキュリティ要件を伝え、対応してもらうことになります。そのために、対象の工場や設備に応じたセキュリティ要件の具体化、要件を満たしているか否かの判定・評価、要件を満たせない場合の対応の検討などのアクションが必要になります。

半導体製造装置メーカー

業界団体発行の規格であるE187、E188は、製造装置に対するセキュリティ要求として今後広く活用されていく可能性があると考えられます。実際に、業界に影響力を持つ大手デバイスメーカーがE187を要件に採用した事例もあります。

E187、E188の内容を理解した上で、自社の製造装置の設計・開発・製造・メンテナンスのライフサイクルにどのようにセキュリティ要件を組み込んでいくか、必要な体制やセキュリティ対策、ツール、運用は何かを把握し、デバイスメーカーからの要求に応えられる装置やサービスを提供できるようにする必要があります。

また、欧州市場では、2024年の発効が見込まれる欧州サイバーレジリエンス法（EU Cyber Resilience Act）への対応も必要になってきます。同法は、SBOM（Software Bill Of Materials：ソフトウェア部品表）の導入や脆弱性の当局報告義務を含む、製品ライフサイクルを通じた組織としてのセキュリティ対応能力に加えて、要求仕様を満足するセキュリティ機能の導入を求めています。日本においては、産業用制御機器を含むIoT製品のセキュリティ適合性評価制度が2024年度中に始まる予定です。これらとSEMI規格の要求事項と比較すると、セキュリティ機能の実装、システムハードニング、セキュリティパッチの適用・脆弱性管理など共通する分野もあります。効率的に対応を進めるために、自社が対応すべき要求・要件を整理した上で取り組みを行うことが必要です。

製造装置を製造する工場環境のセキュリティも同様に必要になってきます。これについてはデバイスメーカー同様、工場セキュリティガイドラインやIEC 62443、NIST SP800-82などが参考になります。

部素材メーカー

デバイスメーカー、半導体製造装置メーカーと異なりE187、E188のスコープからは外れますが、製造環境のインシデントによりデバイスメーカーへの部品・素材の供給が停止し、半導体の供給停止につながるリスクは存在するため、製造環境のセキュリティを確保する必要があります。

半導体製造装置メーカーと同様に、工場セキュリティガイドラインやIEC 62443、NIST SP800-82などを参考に、計画的にセキュリティ向上を図っていくことが必要です。

PwCコンサルティング合同会社では、製造環境のセキュリティ対策の検討・実装、セキュアな製品開発のライフサイクル構築、各種法規制やガイドラインへの準拠、インシデント対応体制構築など、幅広い支援を提供しています。ご興味がある方はお気軽にお問い合わせください。