業界対応（1）: SEMI規格による半導体製造装置の「出荷前」セキュリティ戦略

1. なぜ半導体装置でSEMI規格が必要かIEC 62443とSBOMの共通言語化

最先端技術が集結する半導体ファブは、24時間365日の稼働を維持するため、レガシーシステムが混在し、装置の寿命が20年以上に及ぶこともあり、Windows XP等のサポート終了OSが現役で動いているケースが珍しくありません。よって、セキュリティパッチが原因で装置の歩留まり（スループット）に影響が出ることを極端に嫌います。つまり、安易なパッチ適用が許されない特殊な環境です。汎用的な国際規格「IEC 62443」は包括的ですが、装置設計者がどの機能をどのコンポーネントに実装すべきか判断に迷う場面があります。

SEMI規格は、国際規格やNISTのフレームワークを半導体業界の実務に落とし込んだ技術的指針です。CIRCIA対応を念頭に置くと、ログ機能の欠如は「飛行記録のないブラックボックス」を納品するに等しい行為といえます。有事の際に米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）へ説明責任を果たせなければ、ベンダーとしての信頼維持は困難になります。

2. SEMI E187設計段階で組み込む基本要件

SEMI E187は、CIRCIAの求める事後解析や報告を支えるため、設計段階から組み込むべき機能を定めています。NIST CSFの「防御（Protect）」と「検知（Detect）」を装置レベルで具現化した、以下の4つの柱で構成されます。

• オペレーティングシステム（OS）:
  サポート切れOSを排除し、不要なサービスやポートを閉じて攻撃の足場を減らします。
• ネットワークセキュリティ:
  外部との通信制限やセグメンテーションを可能にし、万が一の侵害時に工場全体への被害拡大を防ぎます。
• エンドポイント保護:
  可用性を損なわない範囲で、ホワイトリスト方式などのマルウェア対策を導入します。
• セキュリティ監視とログ管理:
  ログイン履歴、特権操作、設定変更などのイベントを記録します。

ログ管理は、IEC 62443-4-2の「正確なタイムスタンプ（CR 2.11）」や「時刻同期（CR 2.11 RE 1）」に基づき、時刻がずれたログは攻撃のタイムライン構築時に証拠能力を疑われるため、正確な時刻同期の実装が要求されます。

3. SEMI E188出荷から稼働開始までのマルウェア排除

強固な設計も、サプライチェーン上でマルウェアが混入すれば崩れてしまいます。SEMI E188は、搬入・立上げプロセスにおけるインシデントを防ぎ、クリーンな状態を担保する仕様です。

• 出荷前スキャン:
  工場出荷直前に装置がマルウェアに汚染されていないことを確認し、証跡を残します。
• フィールドサービスの管理:
  立ち上げや保守でサービスエンジニアが使うPCやUSBメモリ等を介した二次感染を防ぐ運用ルールを設けます。

これは、米国大統領令EO 14028が掲げるサプライチェーンの透明性と強靭化を、物理的な業務フローに落とし込んだ要件といえます。

4. SEMI E191導入後の接続デバイスの可視化

ファブ内のネットワークにつながる膨大なデバイスのセキュリティ状態を、共通の枠組みで管理します。CIRCIAの報告項目には「影響を受けたシステムの識別」が含まれます。E191を通じて装置内デバイスの状態をシステムで把握できれば、攻撃対象を即座に特定でき、72時間の報告猶予のなかで初動を早められます。

5. SEMI規格単独では足りない理由組織プロセスの証明と継続管理

SEMI規格は半導体業界の指針として機能しますが、世界の規制網すべてを網羅するわけではありません。

• 組織プロセスの証明:
  SEMI規格が製品機能に焦点を当てるのに対し、CMMCやIEC 62443-4-1はセキュアな開発体制そのものの成熟度を問います。

SEMI規格を実装の入り口としつつ、背後にあるIEC 62443のプロセスを構築する「二段構え」の対応が必要となります。

半導体装置メーカーのチェックリスト今すぐ始めるべき5つのアクション

SBOMに関する直接の記述はありませんが、

• 9.2（Vulnerability Mitigation）:
  脆弱性を軽減するためには、ソフトウェアの構成要素（ライブラリ等）を把握する必要がある
• 10.2（Log Requirement）:
  ログを適切に管理・分析する際、どのソフトウェアがログを出力しているかの特定に繋がる

など、SBOMが管理ツールとして実務的に紐付けられます。

半導体製造装置は、一度インシデントが発生すればその影響がサプライチェーン全体に波及するため、「ログがある」だけでは不十分であり、「多層防御と連動し、改ざん耐性のあるログ設計」が不可欠です。フォレンジック調査（原因究明）の精度を上げ、CIRCIAなどの法的報告義務を果たすために、なぜ多層防御とログの「質」が重要なのか、3つの観点で整理しました。

6. 攻撃の全体像を捉える「多層的な証跡」

単一のログだけでは、攻撃者が「どこから入り、何をしたか」を断定できません。多層防御の各レイヤーでログを出すことで、初めて点と線がつながります。

• 境界防御レイヤー:
  不正なIPアドレスからのアクセス試行（SEMI E187 ネットワーク要件）。
• 認証レイヤー:
  特権IDによる異常な時間帯のログイン（SEMI E187 OS要件 / IEC 62443-4-2 CR 2.1）。
• アプリケーション・実行レイヤー:
  ホワイトリスト外のプログラム実行や、設定ファイルの不審な書き換え。

これらが揃って初めて、CISAに提出できるレベルの「攻撃のタイムライン」が構築可能になります。

7. 攻撃者による「ログ消去」への対抗策

高度な攻撃者は、侵入後に自身の足跡を消すためにログファイルを削除・改ざんします。フォレンジック調査を成立させるには、ログそのものの「完全性（Integrity）」を守る設計がセットでなければなりません。

• ログの外部転送:
  装置内だけでなく、改ざんが困難な外部の専用ログサーバー（SIEMなど）へ即時転送する仕組み。
• 読取専用属性:
  ログを追記専用（Append-only）とし、管理者権限であっても過去のログを消去できない設定。
• タイムスタンプの保護:
  IEC 62443-4-2 CR 2.11に基づき、信頼できる時刻源（NTPサーバー等）から同期され、かつ改ざんできない時刻情報。

8. 「可用性」と「解析の詳しさ」の両立

半導体装置特有の課題として、ログを詳細に取りすぎるとCPU負荷が上がり、製造プロセス（スループット）に悪影響を及ぼすリスクがあります。

• 仕様設計の勘所:
  平時は軽量なログに留めつつ、異常検知時には詳細なデバッグログを出力する、あるいは重要なセキュリティイベント（認証失敗、ポリシー変更）に絞って確実に記録する「強弱をつけたログ設計」が、装置メーカーの技術力の見せ所となります。

まとめログは「防御の結果」を映す鏡

多層防御がしっかり機能していれば、攻撃者が各防御層に接触するたびにアラートが残ります。逆に防御が一段しかない場合、そこを突破された後の挙動は一切記録されず、フォレンジックは「原因不明」で終わってしまいます。

「防御を多層化することは、ログの接点を増やすことと同義である」

この視点を持つことで、SEMI E187の実装は単なる「チェックリスト埋め」から、「有事の際に自社と顧客を守るための盾と記録」へと昇華されます。

装置メーカーとしては、出荷時に「当社の装置はこれだけの多層防御を備え、その証跡をこのように保全しているため、貴社のCIRCIA対応を強力に支援できます」と言えることが、最大の競合優位性になるはずです。

次回の第7回は「業界対応（2）: UR（海事／船級）」を取り上げます。一般商船から防衛関連までをカバーするIACSの統一規則（UR E26 / E27）が装置設計に課す制約、SEMI規格との共通点、海事特有の「艤装（ぎそう）」段階でのセキュリティ実務について解説します。

ICS研究所からのご案内

本稿で解説したSEMI E187 / E188対応やCIRCIA / CRA統合戦略の構築は、経営戦略の領域に属します。ICS研究所では、IEC 62443を核とした業界特化型コンサルティングと、設計者向けeラーニング（eICS）を提供しています。グローバル市場への対応にあたり、ぜひご活用ください。

なお、ICS研究所は、SEMIの正会員企業です。半導体装置設計・製造特有の制御についても知見を持っており、特にSEMI E187 / 188 / 191およびIEC 62443-4-1 / -4-2 / -3-3 / -3-2に精通しております。制御システムセキュリティやサイバーレジリエンスにおけるSTRIDE分析に基づくリスクアセスメントから、多層防御、深層多層防御に関するコンサルティングに対応しております。