セキュリティ

TSMCは2023年に、E187を装置の調達条件にした。工場のセキュリティが「買う条件」になるまで

工場のセキュリティは、長らくIT部門の管轄外でした。装置はベンダーのもので、ネットワークは閉じている建前で、OSのパッチは「装置が動かなくなるから当てない」。その前提が崩れたのが2018年で、いま起きているのはセキュリティが装置を買う条件になるという変化です。この記事では標準の現在地と、実際に起きた攻撃を並べて見ていきます。

2018年、TSMCで何が起きたか

この分野で最も参照される事例です。TSMCが台湾証券取引所での記者会見で説明した内容に基づきます。

• 発生／2018年8月3日。新規装置のソフトウェアインストール時にウイルスがネットワークに侵入
• 根本原因／装置を隔離してウイルスチェックをせずに社内ネットワークに接続した
• マルウェア／WannaCryの亜種。感染した装置がクラッシュ／再起動を繰り返した
• 影響範囲／fab装置と自動搬送システム（AMHS）、および装置自動化インターフェース用にパッチ未適用のWindows 7を実行していた関連コンピュータシステム
• 影響しなかったもの／生産情報・顧客データを含む主要システム
• 財務影響／2018年Q3売上への影響は「2%以下」、Q3粗利益率への影響は約1ポイント

注目すべきは原因です。高度な攻撃ではなく、装置の受け入れ手順の不備でした。そして感染したのはパッチ未適用のWindows 7。当時すでに珍しくない構成です。

金額ベースの被害額として流通している数字がありますが、TSMC自身はパーセンテージ（売上2%以下、粗利1ポイント）でしか公表していません。

その後に起きたこと

• Tower Semiconductor（2020年9月）／サイバーイベントを9月6日に報告。一部操業停止、一部システムをロックダウン。ランサムウェア攻撃と報じられた。9月14日時点で全ウェハfabが再稼働
• MKS Instruments（2023年2月）／装置サプライヤへのランサムウェア攻撃が操業を妨害。波及効果としてApplied Materialsに四半期で約2.5億ドルの影響という推定が複数の報道で引用されている（同社の開示文書では未確認）
• Microchip Technology（2024年8月）／8月17日にITシステムで不審な活動を検知、19日に一部サーバーと業務の中断を確認、20日付で規制当局に届出。一部製造施設が通常水準を下回る稼働に
• Nexperia（2024年3〜4月）／3月に第三者が一部サーバーに不正アクセス。ランサムウェアグループが4月10日に窃取を公表し、主張されたデータ量は1TB。品質管理データ、約900社のクライアントフォルダ等を含むとした
• Advantest（2026年2月）／2月15日にIT環境で異常な活動を検知し、19日に公表。第三者が社内ネットワークの一部にアクセスした可能性。施設の操業に大きな混乱はなし

並べると傾向が見えます。狙われているのは工場だけでなく、装置メーカーとサプライヤ。MKS Instrumentsの例が示すように、サプライヤ1社の停止が顧客側に数百億円規模の影響を及ぼします。

業界統計としては、CloudSEKのレポートがチップメーカーへの攻撃件数が2022年以降6倍に増加、ランサムウェアによる損失が2018年以降で10億米ドル超としています。米国でチップ製造に関連するインターネット接続の産業用デバイス約200万台が露出しており、多くが脆弱またはデフォルト設定だ、とも。

SEMI E187：何を要求しているか

この状況に対する業界側の答えがSEMI E187です。

• 正式名／Specification for Cybersecurity of Fab Equipment（2022年1月）
• 適用範囲／Microsoft WindowsまたはLinux OSがインストールされたfab装置のコンピューティングデバイス
• 対象外／PLC、SCADA、センサ／アクチュエータネットワーク接続デバイス（これらはIEC 62443の領域）
• 要求領域／①OSサポート ②ネットワークセキュリティ ③エンドポイント保護 ④セキュリティ監視

併せてSEMI E188（Specification for Malware Free Equipment Integration、2022年2月）があります。こちらは新規・既存装置の両方と、コンピュータ／コントローラ／PLCなどを対象に、納入・設置・保守の過程でマルウェアを持ち込まないプロセスを規定。E187にない「認定済みスキャンツール・スキャン手順・標準化されたスキャンレポート」を追加するのが差分です。2018年のTSMCの事例に正面から対応した内容と読めます。

そして決定的だったのが調達です。2022年にTSMCがSEMIと協力してE187の導入ガイドを作成し、2023年、TSMCはE187をウェハfabの調達契約の要件にしました。セキュリティ要件を満たさない装置は売れない、という形に変わったということです。

進行中の大改訂：3段階のセキュリティレベル

E187は現在、IEC 62443シリーズとの整合を目的とした大改訂が進んでいます（SNARF 7317、Taiwan TC Chapter配下のタスクフォース）。導入されるのは累積型の3段階セキュリティレベルです。

• SL1（Baseline）／E187準拠装置およびAMHSの必須最低要件。ベンダーサポート対象OS、出荷前の脆弱性・マルウェアスキャン、暗号化されたネットワーク通信、基本的なアクセス制御
• SL2（Enhanced）／可用性・完全性要求が高い装置向け。特に公衆網経由のリモートベンダーサポートなど外部露出が大きいシステム
• SL3（Comprehensive）／高リスク／セーフティクリティカル環境向け。長期アップグレード計画、強いトレーサビリティ、完全な技術文書

技術要求領域としては、EOLやパッチ供給停止コンポーネントへの対応を含むOS・ソフトウェア脆弱性管理、セキュア構成と不要機能の無効化、出荷前マルウェアスキャン、認証・認可ベースのアクセス制御が挙げられています。2026年中にballoting段階へ進める方針です。

関連する動きとして、報告項目を定めるSEMI E191も拡張が進んでいます。「インストール済みアップデート」「インストール済みOSコンポーネント」の追加は公開済み。さらにオープン／確立済みポート、実行中プロセス、ローカルユーザーアカウント、ファイアウォール状態、ドライバーバージョン、BIOS情報を追加する提案が開発中です。

E188については、エンドユーザーが支持を撤回したためタスクフォースが今後の扱いを検討中とされています。E187が拡充される一方でE188の先行きが不透明という、標準間で明暗が分かれる状況です。

認証制度が動き出した

2026年9月4日、台湾デジタル発展部とSEMIがSEMICON Taiwan 2026のセキュリティフォーラムでSEMI E187認証マークを公開しました。

• 試験ラボ／2026年8月に公開
• 検証機関／台北市電脳公会（TCA）が台湾認証基金会（TAF）の認定を受け、2026年10月にも初の検証機関になる見込み
• 検査中の企業／Jisung Industrial、Mengli Automation、Delta Electronicsの装置
• 認証取得企業／現時点でゼロ

標準の外側では、SMCC（Semiconductor Manufacturing Cybersecurity Consortium）がSSCA（Standardized Semiconductor Cyber Assessment）を公開しています。cyber resilience／intellectual property protection／product security（セキュアSDLCの設問を含む）をカバーし、TISAXをベースにNIST CSF 2.0に整合、CMMIベースの成熟度モデルを使用。英語版・韓国語版が提供済みで、中国語版・日本語版が予定されています。

なぜ工場は、パッチを当てられないのか

TSMCの事例で感染したのは、「装置自動化インターフェース用にパッチ未適用のWindows 7を実行していた関連コンピュータシステム」でした。なぜそんな状態が許容されていたのか——ここを理解しないと、対策が的外れになります。

1. 装置の寿命がOSの寿命より長い。製造装置は10年、20年と使う。その間にOSは何度もサポートを終える
2. パッチが動作を変える。装置の制御ソフトは、OSの挙動に依存した作りになっていることがある。パッチで止まれば、ウェハが1ロット失われる
3. 検証の責任がベンダー側にある。工場が勝手にパッチを当てると、保証の対象外になりうる
4. 止められない。fabは24時間連続稼働が前提で、再起動のための停止枠を取ること自体が難しい

4つとも、ITの常識が通用しない理由です。だからこそE187は「パッチを当てろ」ではなく「ベンダーサポート対象OSであること」を要求し、責任をベンダー側に置いています。

そしてE188が「納入・設置・保守の過程でマルウェアを持ち込まないプロセス」を規定したのは、TSMCの事例の原因——装置を隔離してウイルスチェックをせずに社内ネットワークに接続した——に正面から対応したものです。

要するに、工場のセキュリティは「守りを固める」より「持ち込ませない」と「調達の時点で要求する」に軸足を置いています。後から当てられない前提で設計されている、ということです。

エンジニアの側で効いてくること

装置ソフトを書く側、工場システムを作る側、それぞれに影響があります。

1. 装置ソフト側：出荷前の脆弱性・マルウェアスキャンと、暗号化されたネットワーク通信がSL1の必須要件に入る。SECS-IもHSMSも暗号化されていないため、HSMSにTLSを被せる標準化（Ballot 7428／7428A）の行方が直接効く
2. EOL対応を設計に入れる。ベンダーサポート対象OSであることがSL1の要件。装置の寿命はOSの寿命より長いという前提を、どう扱うかの設計が要る
3. リモートサポートの経路：公衆網経由のリモートベンダーサポートはSL2で名指しされている。便利さと引き換えに要求水準が上がる
4. 工場システム側：E191の拡張で、ポート・プロセス・ユーザーアカウント・ファイアウォール状態といった情報を装置から収集する経路が標準化される方向。収集と保管の設計が必要になる

半導体では、セキュリティはすでに「投資として比較されるもの」ではなく「満たさないと売れないもの」になっています。この転換が他の業界に広がるかどうかは、それぞれの業界で誰が調達の要件を書くかにかかっています。

出典

• EE Times Asia／TSMC Elaborates on Virus Incident／2018年8月3日の侵入、WannaCry亜種、Windows 7、財務影響
• eeNews Europe（2020年9月14日）／Tower restarts production after cyberattack
• GovInfoSecurity／Ransomware Attack Disrupts Operations at MKS Instruments
• SecurityWeek（2024年8月21日）／Cyberattack Disrupts Microchip Technology Manufacturing Facilities
• SecurityWeek／Ransomware Group Claims Theft of Data From Chipmaker Nexperia
• Help Net Security（2026年2月23日）／Japanese chip-testing toolmaker Advantest suffers ransomware attack
• CRN Asia（2025年8月19日）／CloudSEKレポート "Silicon Under Siege" を引用した報道
• SEMI／Semiconductor Cybersecurity — Standards（E187／E188／E191）
• SEMI Standards Watch／How SEMI E187 and E188 Standards Elevate Cybersecurity（2024年3月7日）、E187 Major Revision: Tiered Security Levels（2026年8月20日）、New Standardized Semiconductor Cyber Assessment Released（2025年8月22日）
• PDF Solutions／North America Information & Control Committee Winter/Spring 2026 Update／Ballot 7428・7428A・7426、E188の扱い
• DigitalToday／Taiwan-led semiconductor security standard SEMI E187 launches／認証マークの公開と検査状況

本記事は2026年10月27日時点で公開されている情報に基づいています。Applied Materialsへの影響額は報道が引用する推定であり、同社の開示文書では確認できていません。E187改訂版のバージョン番号・公開予定日は公表されていません。Advantestの事案の攻撃グループは特定されていません。