台積電供應鏈資安升級：從規範到實作，全面強化遠端連線與帳號管理
Posted On 2024 年 10 月 11 日
文:Anson Lo
全球半導體產業的供應鏈規模日益擴大，資安威脅也隨之增加。作為全球領先的半導體製造公司，台積電積極推動供應鏈資安升級，以保護企業與供應商的資料安全，並確保整體供應鏈的穩定運作。近年來，台積電強化了供應商的資安管理，尤其是在SEMI E187標準下，要求供應商採取全面的資安管控措施。這些措施涵蓋從資安規範建立、風險管理，到遠端連線管理及帳號密碼管理等多個面向，提升供應鏈的整體防護能力。
為進一步提升台積電供應商的資安管控實務能力，更於2024年的6月份以「供應鏈資訊安全強化管理實務」為主題首次舉辦資安研討會，針對關鍵10項管控措施分享台積公司實作經驗。台積電針對供應商提出的關鍵10項管控措施，並提出了台積電供應鏈資安願景和四大面向的資安管理新作為:
1.建立規範
定義並推動供應商資安關鍵10項管控措施。
2.評核機制與合作
新進供應商須符合資安關鍵10項管控措施，且取得第三方資安評鑑分數 > 80 分。
3.多元推廣
舉行供應商資安研討會。
與 SEMI 合作推動「層震博士班—半導體資安系列課程」
4.風險管理
與國際組織／標準及政府單位（例如 SEMI、TSIA、國家資通安全研究院）合作資安情資蒐集交流。
這四大面向明確的闡述了台積電對於其供應商所需達成的資安項目及期許，為了提升整體半導體供應鏈的資訊安全，並且取得高標的資安評鑑分數以鞏固台積電合規供應商的腳色，不同產業的供應商夥伴可依循台積電提出的關鍵10項管控措施來針對其網路架構或是基礎設施等項目來進行強化，此關鍵10項管控措施可分為以下三大類:
1. 設備及使用權限管理
電腦設備安全管控：限制只能使用公司電腦，並建立認證設備控制機制。
可攜式儲存媒體管控：管制電腦輸出入介面，例如 USB 儲存裝置、可寫入光碟。
帳號密碼管理：執行強化管理或更嚴格的管制措施，例如生物辨識技術（指紋、臉部辨識等無密碼驗證方式）。
高權限帳號管理：高權限及高風險帳號強制執行多因子認證。
2. 網路及遠端連線防護
惡意程式防護：公司電腦及伺服器佈署惡意程式防護方案，並定期掃描。
對外網路防護：公司對外網路與服務須具備安全防護措施，如防火牆、入侵防禦系統。
安全性更新與管理：制定並執行安全更新政策，優先處理公司對外網路服務與伺服器。
遠端連線管理：員工遠端連線至公司內須合規，使用多因子認證與虛擬私人網絡等措施。
3. 資料及網際網路防護
電子郵件防護：電子郵件須經過濾、掃毒及垃圾/惡意郵件檢測，並實施防偽協定。
網際網路存取管控：上傳、下載檔案的控管，惡意網站與黑名單管理，使用安全更新的瀏覽器。
關鍵資安管控措施：遠端連線管理與帳號密碼管理
由以上的內容可知，台積電在供應鏈管理中，對於遠端連線與帳號密碼管理的重視。這些措施是防止外部攻擊入侵的核心。以下是這兩個關鍵領域的管控要求：
1.遠端連線管理
供應商在遠端連線過程中需採取嚴格的資安措施，以避免未授權的訪問與攻擊。
多因子驗證（MFA）加強：針對VPN（虛擬私人網絡）與VDI（虛擬桌面基礎架構），台積電強烈建議供應商在遠端連線時必須加入多因子驗證。這能有效防範帳號被盜用或遭到未經授權的遠端訪問，提供更高層級的安全防護。
加密通訊：所有遠端連線需經過加密通道進行，避免數據在傳輸過程中被攔截或破解。
2.帳號密碼管理
為了強化供應鏈的安全性，供應商必須妥善管理帳號與密碼，並採用生物辨識技術來提升驗證的可靠性。
生物辨識驗證：除了傳統的帳號密碼，供應商需引入指紋、臉部辨識等生物驗證技術，作為進一步的身份驗證方式。這種技術有效降低了帳號被盜用的風險，確保僅有經授權的用戶能夠訪問關鍵系統。
密碼強度與變更政策：供應商需強制使用強密碼策略，並定期要求用戶更新密碼，防止簡單密碼帶來的潛在風險。
台積電透過SEMI E187標準，針對供應鏈內部的每一環節設立了嚴格的資安要求，從建立規範、評核機制、多元推廣到風險管理，全面提升了供應鏈的資安水平。特別是在遠端連線管理與帳號密碼管理上，強化了多因子驗證與生物辨識技術的應用，這些措施對防範潛在的資安風險至關重要。
SEMI E187 解決方案
針對上述提到的資安挑戰，偉康科技的OETH One 提供一套符合SEMI E187標準的資安解決方案，特別強調遠端連線與帳號管理的安全性。
多因子驗證（MFA）整合：OETH One內建多因子驗證功能，適用於VPN與VDI等遠端連線系統，確保在連線過程中進行多重身份驗證，防止未授權存取。
生物辨識技術支持：OETH One支持指紋、臉部辨識等生物驗證技術，有效降低帳號被盜用的風險，提供供應商高度安全的身份驗證方案。
透過OETH One，供應商不僅能達成SEMI E187標準的資安要求，還能有效提升其整體資安管理的效率與可靠性，進一步保障台積電供應鏈的資安防護。
使用 FIDO 技術
具公開金鑰加密、生物辨識 以使用者裝置進行認證
多因子認證整合
擁有多因子認證不用改變使用者體驗
VPN / VDI 連線登入
建議優先選擇原本允許透過VPN存取之資通系統
VPN/VDI為常見的被攻擊標的，透過FIDO無密碼認證，避免釣魚、拖庫/撞庫等威脅
SEMI E187標準資安防護認證機制
有效提升其整體資安管理的效率與可靠性，進一步保障台積電供應鏈的資安防護
訂閱偉康科技洞察室部落格，掌握最新科技趨勢！
專人協助
由偉康業務人員為您詳細說明偉康的解決方案，以及相關產業經驗。
About The Author
