Tillverkningsbitar: 1 februari

Fab utrustning cybersäkerhet
Som ett stort steg för att hjälpa till att tillhandahålla säkerhet i halvledartillverkningsförsörjningskedjan har SEMI publicerat den första cybersäkerhetsspecifikationer och standarder för fab utrustning.

Under en tid har halvledarindustrin utvecklats nya cybersäkerhetsstandarder för fab utrustning i ett försök att skydda system från potentiella cyberattacker, virus och IP-stöld. Branschen har arbetat med två specifikationer för cybersäkerhetsutrustning. Branschen har arbetat i SEMI:s regi.

Den första standarden, kallad SEMI E187, är en specifikation utformad för att skydda halvledartillverkningsdata. SEMI E187 ger de grundläggande riktlinjerna att följa för att utveckla cybersäkerhetsskydd i halvledarutrustning. Specifikationen, som kom från SEMI Taiwan Cybersecurity Committee och Fab and Equipment Information Security Task Force, täcker fyra nyckelområden – datoroperativsystem, nätverk, slutpunktsskydd och övervakning.

SEMI har under tiden också godkänt 6566, en specifikation för integrering av skadlig programvara, enligt handelsgruppen. Denna standard definierar protokoll för skanningar av utrustning före leverans. Den adresserar också stöd för filöverföringar, underhållskorrigeringar och komponentbyte.

Chiptillverkare kan använda både specifikationer som kraven på cybersäkerhet i utrustningsupphandlingskontrakt. Standarden har funnits under en tid. Intel och TSMC har varit ledande här.

Det behöver inte sägas att det är viktigt att ha säkerhetsåtgärder i IT-organisationer såväl som fab. I en fab kan chiptillverkare ha en mängd IC-produktionsutrustning, som alla är anslutna i ett nätverk. Men eftersom mycket av utrustningen inte är helt ny, kan en stor andel av verktygen innehålla datorer med föråldrade operativsystem och äldre portar.

För chiptillverkare är det en stor anledning till oro. Fab utrustning med äldre datoroperativsystem och nätverksportar är potentiellt sårbara för attacker, enligt SEMI. Potentiellt kan skadlig programvara eller skadlig programvara använda säkerhetsexploater för att attackera utrustning, vilket får systemen att krascha.

Det skulle också kunna användas för att attackera den enormt värdefulla och konkurrenskraftiga IP hos gjuterier och förpackningshus, såväl som deras kunder. Nästan alla chiptillverkare använder tredjeparts gjuteri- och förpackningstjänster, och mycket av det involverar mycket proprietära data. Dessutom är själva gjuteriprocesserna oerhört värdefulla.

Samtidigt fortsätter chiptillverkarna att stärka sina egna interna cybersäkerhetsinsatser. Till exempel fortsätter TSMC att förbättra sina egna strategi för försörjningskedjans säkerhet. "Detta inkluderar att utforma leverantörsinformationssäkerhetsbedömning och utvärderingsstandarder med hänvisning till internationella standarder som täcker 12 kategorier och 135 inspektionsartiklar och att hjälpa leverantörer att effektivt utvärdera informationssäkerhetens mognad och förbättringsmål", enligt TSMC.

"Globala företag står inför allvarliga utmaningar inom informationssäkerhet. TSMC har förbundit sig att lösa problemet med informationssäkerhetsskydd i halvledarindustrin och har utökat sin marknadsföring till leveranskedjan, genom att arbeta med industripartners för att implementera företagens hållbarhet, säger JK Lin, senior vice president för informationsteknologi och materialhantering & riskhantering på TSMC.

Förebyggande av cyberattacker
CyCraft, en leverantör av hanterad upptäckt och svar, har meddelade planer på samarbete med Semiconductor Supply Chain Cybersecurity Alliance i Taiwan.

Semiconductor Supply Chain Security Alliance bildades nyligen av SEMI:s enhet i Taiwan. Gruppen har arbetat med taiwanesiska företag och fabriker för att formulera effektiva cybersäkerhetsstandarder för halvledare.

Som rapporterats har den taiwanesiska supraledarens leveranskedja sett en växande antal cyberattacker.

I en blogg har CyCraft identifierat fyra "smärtpunkter" för cybersäkerhet i halvledarförsörjningskedjan och hur man löser dem.

"Dessa utmaningar är närvarande på grund av industribegränsningar - inte bara tekniska begränsningar", säger Chad Duffy, CyCrafts globala produktchef. "Ett av de största säkerhetsproblemen inom tillverkning är att integrera moderna AI-drivna lösningar, som vår, i äldre hårdvara och mjukvara. Detta innebär unika utmaningar. Mångfald av hårdvara och hög tillgänglighet är några av de viktigaste problemen med ICS. PLC:er erbjuder inte samma datormiljöer som kompletta operativsystem, vilket leder till andra metoder för säkerhet än vi ser i kontors-IT-miljöer; Att uppgradera varje OS-patch kan kosta företag miljontals dollar i stillestånd – vilket inte är ett alternativ med tanke på branschens konkurrensutsatta miljö. Detta leder till att äldre lösningar, även de långt efter deras slutdatum, fortfarande används; hackare, som fortsätter att hitta buggar och utveckla nya tekniker, kan frodas i den här terrängen, så det är ytterst viktigt att vi arbetar med organisationer som SEMI för att hitta den bästa mellanvägen för att bättre uppnå säkerhetsmål för branschen."

Cyberutbildning
The Critical Infrastructure Resilience Institute (CIRI) är utveckla en läroplan för cybersäkerhet för olika amerikanska universitet för att hjälpa till att lösa en växande talangklyfta på arenan.

Som sagt, cyberattacker, stöld av immateriella rättigheter och identitetsstölder blir alltför vanliga. Men det finns för få cybersäkerhetsproffs för att fylla de tillgängliga positionerna på marknaden. Det finns över en halv miljon tjänster tillgängliga bara i USA, enligt CIRI.

Det är där CIRI passar in. CIRI, som bedriver forskning och ger utbildning i cybersäkerhet, finansieras av ett femårigt anslag på 20 miljoner dollar från USA:s Department of Homeland Security. Det leds av University of Illinois i Urbana-Champaign (UIUC) med medarbetare från andra amerikanska universitet och nationella laboratorier.

Med stöd från ett ytterligare anslag på 2 miljoner USD från Cybersecurity and Infrastructure Security Agency (CISA), utvecklar CIRI en kursplan för cybersäkerhet som kommer att vara tillgänglig för högskolor som antingen inte har program för närvarande eller som vill utöka befintliga program. CISA, en amerikansk statlig myndighet, leder det nationella arbetet med att förstå, hantera och minska risker inom cyber- och fysisk infrastruktur.

Med hjälp från Auburn University, Purdue University och University of Tulsa har CIRI skapat ett nationellt nätverk av institut som har hjälpt till att skapa en kursplan för cybersäkerhet och yrkesvägar.

"Vi har ett innovativt förhållningssätt till läroplanens innehåll, och kopplar teknisk kunskap med sociala och organisatoriska förståelser och tillvägagångssätt. I utformningen av säkra system och organisatoriska processer vill vi fokusera på design som förutser möjliga störningar innan krishantering blir nödvändig. Ramverket för att integrera tekniskt och organisatoriskt lärande kallar vi - cybersociala system, säger William Cope, professor vid UIUC.

Randall Sandone, verkställande direktör för CIRI, tillade: "För länge har cybersäkerhetsgemenskapen varit fokuserad på cybersäkerhetsprodukter och -teknologier och inte tillräckligt på det mänskliga elementet. Detta nationella program kommer att börja åtgärda den obalansen med sitt fokus på att utveckla de kunskaper, färdigheter och kompetenser som behövs för att möta de växande utmaningarna i en allt mer cyberberoende värld.”

Källa: https://semiengineering.com/manufacturing-bits-feb-1/