2018 年 8 月 3 日晚間，台積電爆發電腦病毒感染，波及在台灣的部分電腦系統與機台。公司事後說明，起因是一台新機台在安裝軟體時操作失誤，機台接上公司網路後病毒隨即擴散，預估影響當季營收約 3%[1]；台積電隨後證實，這隻惡意程式是 WannaCry 勒索軟體的變種[2]。這起事件讓半導體業正視一件事：新買進的設備本身就可能是入侵管道。SEMI 在 2022 年發布 E187 與 E188 兩份設備資安標準，其中 E187 由台積電與工研院代表共同主持的工作小組制定[3]。

這篇寫給三種讀者：被晶圓廠客戶要求符合 SEMI E187 的半導體設備商、被問到「產品有沒有符合 IEC 62443」的自動化設備商與系統整合商，以及負責產線資安的工廠 IT／OT 主管。兩套標準的關係可以這樣理解：IEC 62443 是涵蓋整個工控環境、跨產業的標準系列，SEMI E187 則是半導體業針對機台電腦訂出的進廠門檻。

OT 資安為什麼不能照搬 IT 做法

OT（營運技術）是直接控制實體製程的系統，例如機台電腦、PLC、SCADA 與 DCS。美國 NIST 的 OT 資安指引 SP 800-82 Rev. 3 整理了 OT 與 IT 的幾項關鍵差異[4]：

  • 優先順序不同：IT 資安計畫通常依序重視機密性、完整性、可用性；OT 則以安全（safety）為第一優先，其次才是可用性、完整性與機密性[4]。
  • 不能隨便停機或重開機：許多製程連續運轉，非預期停機無法接受，停機往往要提前數天甚至數週排定；IT 常見的重開機處置，在 OT 通常不可行[4]。
  • 修補要排隊：OT 的軟體更新必須由原廠與使用者雙方充分測試、排進停機時段，有時還要重新驗證；許多 OT 仍在使用原廠已不再提供修補的舊版作業系統[4]。
  • 設備壽命長：IT 元件的壽命約 3 到 5 年，OT 常見 10 到 15 年甚至更久，整個 OT 系統的使用年限可能超過 20 年[4]。
  • 受原廠綁定：有些 OT 的授權或維護合約不允許安裝第三方資安軟體，未經原廠同意安裝，可能失去原廠支援[4]。

IEC 也指出，62443 系列之所以要另外制定，正是因為 IT 資安措施不一定適用於工業自動化與控制系統（IACS）：兩者的效能與可用性需求、設備壽命都不同，遭到攻擊的後果也不只是金錢損失，還可能危害環境甚至人命[5]。因此 OT 資安經常仰賴補償控制：PLC、DCS 可能無法安裝防毒軟體，就改用具深度封包檢測能力的防火牆；跑在已停止支援作業系統上的元件無法修補，就以入侵防禦系統或串接在設備前端的防護裝置，阻擋針對已知漏洞的攻擊[4]。

IEC 62443：一套標準、四種角色

IEC 62443（也寫作 ISA/IEC 62443）是工業自動化與控制系統資安的國際標準系列，由 ISA99 委員會與 IEC TC65/WG10 共同制定，不論向 ISA 或 IEC 購買，技術內容都相同[6]；IEC 將它定位為跨產業適用的「水平標準」[5]。ISA 全球資安聯盟（ISAGCA）的入門指南把系列文件分為四類：Part 1 是術語、概念與模型；Part 2 是政策與程序，例如 2-1 資產擁有者的資安計畫、2-3 修補管理、2-4 服務供應商的資安要求；Part 3 是系統層級，包括 3-2 系統設計的風險評估與 3-3 系統資安要求與安全等級；Part 4 是元件層級，包括 4-1 產品安全開發生命週期（SDL）與 4-2 元件技術資安要求[6]。

誰該看哪幾份

62443 定義了四種主要角色，各自對應不同文件[6]：

  • 資產擁有者（工廠）：對 IACS 負最終責任。依 2-1 建立資安計畫、依 3-2 劃分區域與管道並做風險評估、把要求寫進資安需求規格，再據此採購符合要求的產品與服務。
  • 整合服務供應商（系統整合商）：依客戶的資安需求設計並建置自動化方案，並在整合階段套用修補，主要適用 2-4、3-2、3-3。
  • 維護服務供應商：提供符合資產擁有者資安政策的維護服務，主要適用 2-4 與 2-3。
  • 產品供應商（設備、控制器與軟體廠商）：依 4-1 建立並維持 SDL，提供具備 3-3（系統）或 4-2（元件）安全等級能力的產品，並在產品生命週期內持續支援；4-2 所稱的元件包括嵌入式裝置、主機裝置、網路裝置與軟體應用程式。

指南特別提醒，資產擁有者雖然負最終責任，實際上離不開產品與服務供應商的配合，因此必須把資安要求延伸到整條供應鏈；工廠的 IACS 資安計畫也要和公司整體的資訊安全管理系統（ISMS）協調[6]。已導入 ISO 27001 的企業，可以在既有架構上補上 OT 的特殊要求。

區域與管道

62443 網路架構的核心是「區域（zone）」與「管道（conduit）」。區域是依風險、資產重要性、功能、實體或邏輯位置、存取需求或負責單位等條件，把資產歸為同一組；管道則是連接兩個以上區域、具有共同資安要求的通訊通道集合[6]。3-2 要求或建議把以下資產分開劃分：企業與控制系統資產、安全相關資產、臨時連接的裝置、無線裝置，以及經由外部網路連接的裝置[6]。劃分之後，每個區域可以設定各自的安全要求，也能把攻擊成功後的影響範圍限縮在單一區域[6]。

安全等級 SL 1–4

62443-3-3 依攻擊者的手段、資源、技能與動機區分四個安全等級[6]：

  • SL 1：防範無意或偶發的違規。
  • SL 2：防範手段簡單、資源少、只具一般技能、動機低的蓄意攻擊。
  • SL 3：防範手段進階、資源中等、具 IACS 專業技能、動機中等的蓄意攻擊。
  • SL 4：防範手段進階、資源充足、具 IACS 專業技能、動機強烈的蓄意攻擊。

實務上要分清楚三種等級：風險評估後替每個區域與管道訂出的目標等級（SL-T）、產品正確整合與設定後能提供的能力等級（SL-C），以及系統上線後實際量測到的達成等級（SL-A）[6]。產品的 SL-C 是採購時比對 SL-T 的依據，但工廠最後的 SL-A 還取決於整合品質與日常維運。

4-1：供應商的安全開發流程

4-2 依安全等級列出元件應具備的技術能力；4-1 則要求供應商有一套安全開發流程，包含八項實務：安全管理、資安需求規格、安全設計、安全實作、安全驗證與確認測試、資安問題管理、安全更新管理，以及安全指引[7]。其中幾項和工廠的期待直接相關：對外部提供元件的資安要求（SM-9）、接收、評估、處理與揭露資安問題（DM-1 至 DM-5）、相依元件或作業系統安全更新的說明文件（SUM-3）、及時提供安全修補（SUM-5），以及安全強化指引（SG-3）[7]。

驗證：ISASecure 與 IECEE

62443 本身是標準，要向客戶證明符合，可以申請第三方驗證。目前常見的有兩套：

  • ISASecure：依 4-1 驗證開發流程的 SDLA、依 4-2 驗證元件的 CSA（另有針對 IIoT 元件的 ICSA）、依 3-3 驗證控制系統的 SSA，以及以 2-1、2-4、3-2、3-3 為依據的 ACSSA；執行評估的驗證機構須取得 ISO/IEC 17065 認證[8]。
  • IECEE：IEC 的符合性評鑑體系，評估分兩種：申請者是否具備提供符合 62443 之資安能力的條件，以及這些能力是否已實際套用在特定產品、自動化方案或 IACS 上；通過者取得「工業網路安全能力」符合性證書[5]。

要注意的是，證書只代表產品或流程具備某個安全等級的能力；工廠整體安不安全，仍取決於區域劃分、設定與日常維運。

SEMI E187 與 E188：半導體設備的進廠門檻

SEMI E187（Specification for Cybersecurity of Fab Equipment）訂出半導體廠設備的資安基準，預期由提供設備或服務給晶圓廠的單位採用，例如設備供應商與系統整合商，範圍涵蓋半導體生產設備與自動物料搬運系統（AMHS）的設計、運作與維護[9]。它在四個面向提出基本要求：作業系統支援、網路安全、端點防護，以及資安監控[9]。適用範圍要看清楚：E187 只涵蓋安裝 Windows 或 Linux 的機台電腦，不適用於 PLC、SCADA 以及透過感測器／致動器網路連接的裝置[9]；PLC 這類嵌入式裝置，屬於 IEC 62443-4-2 涵蓋的元件類型[6]。目前的正式版本是 2022 年 1 月首次發布的 E187-0122[9][10]。

和 E187 同時發布的 SEMI E188（Specification for Malware Free Equipment Integration）聚焦設備初次整合、現場維修、修補與維護時的惡意程式防護，規範供應商帶進工廠網路運作的設備與電腦裝置[3]。它要求供應商在出貨前，對設備以及維護支援用的裝置做惡意程式掃描；參考 NIST 的 SCAP 與 NVD 的 CVSS 等外部來源，進行系統強化與弱點識別、回報；並提供設定文件，避免設備把不安全的網路設定帶進工廠[3]。CVSS 分數怎麼看，見看懂漏洞編號與分數。

改版進行中：三個安全等級

SEMI 台灣的工作小組正在大幅改版 E187，目標之一是與 IEC 62443 接軌，並導入三個累進的安全等級：SL1 是所有符合設備的基本門檻，包括使用原廠仍支援的作業系統、出貨前弱點與惡意程式掃描、加密的網路通訊與基本存取控制；SL2 針對可用性或完整性要求較高的設備，特別是透過公眾網路接受原廠遠端支援的情境；SL3 適用於高風險或安全關鍵環境，強調長期升級規劃、可追溯性與完整的技術文件[10]。SEMI 在 2026 年 8 月表示，工作小組希望年內把改版送進投票階段[10]，也就是改版尚未定案，目前的驗證與採購仍應以現行版本為準。

台灣的 E187 驗證制度

數位發展部數位產業署與 SEMI 共同訂定「SEMI E187 半導體設備資安標準驗證制度」，2026 年 3 月 23 日公布 1.0 版。制度由全國認證基金會（TAF）擔任認證機構，測試實驗室須取得 ISO/IEC 17025 認證、驗證機構須取得 ISO/IEC 17065 認證；符合性證書效期三年，期間至少接受一次後市場監督，設備變更若涉及資安功能，驗證機構會評估影響，必要時要求補測[11]。2026 年 9 月，數發部與 SEMI 發布 E187 驗證標章；當時資策會與工研院已取得 TAF 認證，成為首批檢測實驗室，驗證機構仍在取證程序中，預計年底前核發首批標章[12]。

實務路徑：設備商與工廠各自從哪裡開始

設備商

  • 作業系統支援計畫與元件清單：列出每個機型的作業系統版本、原廠支援終止日期與升級路線，並為每個出貨版本維護軟體物料清單（SBOM），客戶問到某個漏洞時才能快速回答是否受影響。SBOM 的做法見供應鏈攻擊。
  • 強化基準與設定文件：關閉不需要的服務與連接埠、移除預設帳號密碼，並把網路設定、需開放的通訊埠與建議防護措施寫成文件交給客戶，這同時對應 E188 的設定文件要求與 4-1 的安全強化指引[3][7]。
  • 出貨前掃描：出貨前對設備與維修用裝置做惡意程式掃描[3]，並保留紀錄供客戶查核。
  • 漏洞處理與更新流程：設立漏洞通報窗口，評估影響後在測試完成時提供修補與說明文件，對應 4-1 的資安問題管理與安全更新管理[7]。修補排序可參考漏洞修補優先順序。
  • 遠端支援設計：需要遠端維護時，預設關閉、由客戶端控制開通，並支援多因素驗證與完整操作紀錄。

工廠

  • 資產盤點：列出所有機台電腦（作業系統版本、是否仍受支援）、PLC、工業交換器與所有遠端連線管道。沒有清單，就無從劃分區域。
  • 依區域與管道切分網路：至少把辦公網路與生產網路分開，再依機台類型與重要性劃分區域，臨時連接的裝置、無線裝置與對外連線各自獨立[6]，區域之間只開放必要的通訊。2018 年的事件正是新機台接上公司網路後病毒隨即擴散[1]；勒索軟體如何在內網橫向移動，見勒索軟體攻擊鏈。
  • 管控遠端維護：NIST 建議遠端存取要有申請與開通程序、只在必要時開放且限縮範圍、考慮使用多因素驗證、不再需要時立即移除權限，並監控遠端操作[4]。VPN 與遠端存取設備本身的強化，見邊界設備強化清單。
  • 管控 USB 與外來筆電：外來筆電、USB 隨身碟等可攜式裝置連上 OT 設備或網路前，先做惡意程式掃描；未經授權的可移除式媒體不得接上 OT 節點[4]。
  • 把要求寫進採購：新機台的採購規格寫明 E187 符合性或驗證、出貨前掃描紀錄、作業系統支援年限與漏洞通知義務；控制系統與元件則依所在區域的目標安全等級，要求對應的 62443 能力[6]。
  • 舊機台用補償控制：無法修補或無法安裝防毒的舊機台，以網段隔離、入侵防禦或前端防護裝置補強，列冊並定期檢討[4]。

行動清單

  • 設備商：盤點每個機型的作業系統版本與支援終止日期，寫成支援與升級計畫，並為出貨版本建立 SBOM。
  • 設備商：訂出強化基準與網路設定文件，建立出貨前與進廠維修前的惡意程式掃描流程。
  • 設備商：設立漏洞通報窗口與修補發布流程，再評估申請 E187 驗證或 62443-4-1／4-2 相關驗證。
  • 工廠：完成 OT 資產清單，畫出區域與管道圖，先把辦公網路與生產網路分開。
  • 工廠：為原廠遠端維護建立申請、限時開通、多因素驗證與操作紀錄的流程。
  • 工廠：落實 USB 與外來筆電的掃描與授權管控。
  • 工廠：在新機台與控制系統的採購規格中，寫入 E187、62443 目標安全等級與漏洞通知要求。
  • 需要外部協助做差距分析時，可參考資安健檢；平時追蹤資安通報中的設備與工控案例。