隨著半導體產業對設備資安要求持續提升，SEMI E187 已從「是否導入」進入「如何落實與驗證」的階段。對設備供應商而言，真正的挑戰在於如何一步步走到可被信任、可被驗證的合規狀態。本篇將帶你快速掌握 SEMI E187 合規推進的「金字塔模型」，協助釐清每一階段的核心任務與價值轉變。 在 SEMI E187 的實際推動過程中，許多設備供應商都會遇到一個共通問題——明明已經開始做資安，卻不知道這樣到底算不算「合規」。有些企業做了弱掃、有些補了文件、有些甚至導入了工具，但一到驗證階段，還是卡關。 關鍵原因在於：SEMI E187 並不是單一動作，而是一段從「自我說明」走向「外部驗證」的過程。 如果沒有掌握正確的推進順序，很容易做了很多，卻無法被認可。因此，我們用一個「合規金字塔」來理解這件事。 SEMI E187 合規四大層級 Level 1｜自評與技術證據 為目前多數設備商所在的階段。不少企業其實已經開始做資安，例如進行弱點掃描、建立部分文件或導入單點工具， 但這些作法往往是零散的，缺乏對應標準的完整架構。在這個階段，「是否合規」通常來自內部認定，

結論：不是。SEMI E187 在「端點防護（Endpoint Protection）」這一塊，重點放在你出貨時能交付可驗證的「無毒證據」，以及你交付的設備/機台能與主流商用防毒（Anti-Malware）相容；並沒有規定你一定要把某套防毒軟體「安裝在機台裡面」一起出貨。 (1) 標準真正要你做到的是：「出貨前完成惡意程式掃描，並交付掃描報告」 SEMI E187 對惡意程式掃描的要求，核心是：你必須在出貨前完成 Malware Scan，並提供掃描報告作為證據。報告內容要能清楚說明： 使用的掃描工具（名稱與版本） 掃描涵蓋範圍（Scanning scope of coverage） 掃描設定（Scanning configuration） 掃描日期（Scanning date） 掃描結果與處置結論（最終報告不得有惡意程式） 實務上，稽核/客戶最在意的是：證據是否可追溯、可重現、且時間有效。驗證清單也明確把「報告需在合理有效期內（常見做法是以一個月內的資料庫/掃描有效性）完成」寫成檢核原則，用意就是避免拿很久以前的掃描結果當作出貨證據。 重點：E

摘要 ‧SEMI E187 的本質是「交付能力」標準：沒證據＝沒做，證據不一致＝退件。 ‧晶圓廠採購在意的是：你的設備能否提供可驗證、可重現、可追溯的安全基線。 ‧想加速合規，不是堆文件，而是先把設備做成可驗證狀態，再輸出一致的 Evidence Pack（證據包）。 為什麼 E187 變成供應鏈門票 在半導體製造現場，設備不是單機，它是產線系統的一部分。設備一旦進廠、進線，任何資安事件的代價都會被放大： 停機＝產能損失（而且通常是按分鐘計價） 製程參數、配方、工程資料外洩＝長期競爭力風險 橫向移動＝從「一台機台」擴散成「一條線」甚至「一個廠」的事件半徑 所以晶圓廠要求 E187，並不是「想管你公司怎麼做管理」。他們要的是更直接的東西： 你的設備出貨時，能不能交付一套可驗證的安全基線，讓他們能快速判斷風險、快速導入、快速維運。 這就是為什麼很多供應商「技術其實不差」卻反覆卡關：因為你缺的不是能力，而是可交付的證據格式與一致性治理。 退件的真正原因：不是沒做，是證據不可用 最常見的退件原因，濃縮成三句判斷： 文件與現場不一致 → 直接失分文件寫「已

在前兩篇文章中，我們已經說明了兩個關鍵事實：第一，當設備無法更新時，Virtual Patch 是必要的風險控制手段；第二，沒有 AI 自動化的 Virtual Patch，難以長期維持。那麼，這樣的策略在真實產業現場，究竟是如何落地的？以下，我們從三個最具代表性的產業場域，來看 Virtual Patch的實際應用。 一、半導體製造：一台設備出事，整條產線都可能停擺 現場現實 在半導體製程中，一條產線往往串接數十種不同用途的設備，例如： 製程設備（Process Tool） 檢測與量測設備（Metrology / Inspection） 搬運與自動化系統（AMHS） MES / EDA / Recipe Server 這些設備形成一個高度互聯的大型內部網路。 問題在於：其中許多設備使用年限長、OS 老舊，無法即時更新，也不適合安裝任何 agent。 真正的風險 一旦駭客透過： 漏洞 後門 社交工程 成功入侵其中一台設備，就可能沿著設備間的通訊路徑，在內網中進行橫向移動（Lateral Movement），影響其他關鍵設備，最終導致產線停擺。 V

在上一篇文章中，我們談到：當設備無法更新時，微網段是最務實的 Virtual Patch。但在實務現場，另一個更關鍵的問題往往隨之而來：Virtual Patch 做得出來，但真的能長期維持嗎？答案，往往卡在同一個瓶頸上——人力維護成本。 傳統 Virtual Patch 的三個現實困境 在多數企業或設備環境中，Virtual Patch 的實作並不是做不到，而是做了之後很快失效。 一、規則高度仰賴人工建立 傳統 Virtual Patch 需要： 人工分析設備通訊行為 手動建立防火牆或隔離規則 持續追蹤哪些連線「該開、該關」 在實驗室環境也許可行，但在真實產線中，這樣的方式難以規模化。 二、白名單極易失效 設備並非靜態存在： 定期維修 軟體版本更新 製程調整 新系統或新設備加入 任何一個變動，都可能讓原本正確的白名單瞬間失效，導致不是誤阻正常生產，就是被迫放寬規則、形同虛設。 三、 維運成本隨時間指數型上升 在實務經驗中： 一台設備可能有 20–200 條正常通訊行為 一條產線可能有 數十到數百台設備 每次調整都需要專業人力重新確認 結果就是：

在理想的世界裡，所有資安漏洞都能即時修補。但在真實的產業環境中，「不能更新」往往才是常態，而不是例外。半導體設備、醫療儀器、工控系統、關鍵基礎設施中，充斥著大量 EOS / EOL（End of Support / End of Life）設備。這些設備仍在產線或臨床環境中扮演關鍵角色，但卻已無法再獲得原廠安全更新。 當漏洞無法被「真正修補」時，企業該怎麼辦？ 答案就是：Virtual Patch（虛擬修補）。 什麼是 Virtual Patch？ Virtual Patch 並不是去修補程式碼或更新作業系統， 而是在漏洞被真正修好之前，先切斷攻擊路徑，阻止漏洞被利用。 簡單來說： 漏洞還在，但攻擊進不來。 Virtual Patch 常見於以下情境： 老舊設備無法更新 更新需停機、影響產線或醫療作業 裝置已通過認證，不宜更動系統 原廠尚未提供正式修補 在這些場景中，Virtual Patch 不是權宜之計，而是唯一可行的風險控制手段。 為什麼傳統 Virtual Patch 常常不夠？ 過去的 Virtual Patch 多半依賴： 邊界防火牆