SEMI E187 に関する3つのよくある誤解

Janus
11月7日
読了時間: 3分

誤解を解き、サプライヤーがより早くコンプライアンスを達成するために

近年、TSMC（台積電）を中心とする半導体大手がサプライチェーンに SEMI E187 サイバーセキュリティ規格の導入を求め始め、多くの装置メーカーが「E187 認証」「監査準備」「コンプライアンスプロセス」に取り組んでいます。しかし、Janus がサポートする中で、多くの誤解が市場に広がっていることが分かりました。ここでは、特に多い 3 つの誤解と、その正しい理解を解説します。

誤解 1｜SEMI E187 は工場（Fab）のための規格である

多くの人は E187 が半導体工場のための規格だと考えていますが、実際には E187 は「半導体製造装置」に対するサイバーセキュリティ規格 です。装置（ウェーハ搬送機、エッチング装置、露光装置など）を納品する前に、装置メーカーがセキュリティ強化と自己評価報告を完了する必要があります。

つまり：

実施主体は装置メーカー（工場ではありません）
目的は、装置が工場に搬入される前に最低限のセキュリティ基準を満たし、侵入経路とならないようにすること

SEMI E187 は「サプライチェーンセキュリティ基準」と呼ばれるのはそのためです。

誤解 2｜SEMI E187 は政府が定めた法規である

この誤解も非常に多く見られます。E187 は政府が制定した法令ではありません。これは、産業界が共同で推進する「サプライチェーン自律型セキュリティ標準」です。主導組織は TSMC（台積電）、ITRI（工業技術研究院）、および ASE（日月光）、PSMC（力晶）、Delta（デルタ電子） などの主要企業であり、これらのメンバーが連携して、工場導入前に装置が必要なサイバーセキュリティを備えるよう標準化を進めています。

要点：E187 は業界主導のサプライチェーンセキュリティ規格であり、法的義務ではないものの、準拠しない場合は受入検査や納品に影響する可能性があり、事実上の市場参入条件となっています。

誤解 3｜アンチウイルスやファイアウォールを入れれば十分

最も誤解されやすい点です。E187 は単なるアンチウイルスやファイアウォールの導入ではありません。装置レベルでのセキュリティ設計・監査・記録の仕組み全体が求められます。

OS・ソフトウェアの更新管理
ネットワーク構成・アクセス制御
ログ記録と追跡性
マルウェア防御・脆弱性スキャン
ネットワーク分離とゼロトラスト構築

つまり E187 が求めるのは「製品」ではなく「体制」です。

Janus の視点｜AI マイクロセグメンテーションで E187 コンプライアンスを実現

複数の装置メーカーを支援してきた Janus の経験では、最大の課題は「技術不足」ではなく、「セキュリティ維持の継続性」 です。特に老朽化（EOS/EOL）装置を含む環境では、ファイアウォールや手動設定では管理が追いつきません。重要なのは、ネットワーク分離と監査可能な可視性 を確保することです。