בתמונה: ההכרזה על התקן החדש בכנס SEMICON שהתקיים בטאיוואן
ארגון SEMI, המאגד חברות מתעשיית הסמיקונדקטור העולמית, פרסם תקן ראשון מסוגו בתעשייה המפרט את דרישות אבטחת המידע עבור ציוד במפעלי שבבים, וזאת על רקע שורה של תקיפות סייבר שאירעו במפעלי שבבים בשנים האחרונות וחשפו את פרצות האבטחה שהן תוצר לוואי של השילוב הגובר בטכנולוגיות מקושרות בתוך הליבה התפעולית (OT).
המטרה של התקן היא להגדיר סטנדרט אחיד שיגביר את רמת האבטחה של המפעלים, ושל שרשרת האספקה, מפני פריצות סייבר, וירוסים וגניבת קניין רוחני. התקן, E187, כולל שורה של הנחיות הנוגעות להיבטים כמו איתור פרצות וחולשות במערכות הפעלה, פרוטוקולים להעברה בטוחה של מידע ברשתות תקשורת ושיתוף מידע, הגנה על ציוד קצה, וניטור רציף.
התקן גובש על ידי ועדת אבטחת הסייבר של SEMI בטאיוואן, על בסיס עבודת מטה של כוח משימה שהוקם ב-2018 בשיתוף SEMI וקבלנית הייצור הטאיוואנית TSMC, שבעצמה היתה נתונה למתקפות סייבר בשנים האחרונות. בראש הוועדה המיוחדת של SEMI עומד ראש אבטחת המידע ב-TSMC ג'יימס טו. תפקידה של הוועדה כעת יהיה לקדם את אימוץ התקן בתעשייה, בין היתר באמצעות רגולציות והסמכות, מתוך מטרה כי מפרט הדרישות של E187 יהפוך להיות חלק אינטגרלי מפיתוח ציוד עבור תעשיית השבבים וכמסמך ייחוס בתהליכי רכש של ציוד עבור פאבים.
האיום הסיני העיר את התעשייה בטאיוואן
לא בכדי מי שמובילה את המאמץ להדק את רמת האבטחה בתעשייה היא TSMC, קבלנית הייצור הגדולה בעולם. סוגיית הסייבר ניצבת בראש סדר העדיפויות בקרב המגזר התעשייתי בטאיוואן, ובפרט בתעשיית השבבים המקומית, וזאת על רקע האיום הגובר למתקפות סייבר מצד שכנתה סין, שלוטשת עיניים לתעשיית השבבים הטאיוואנית. ב-2020 פרסמה חברת הסייבר הטאיוואנית CyCraft מסמך שבו נטען כי סין מנהלת קמפיין שיטתי ומתמשך, בחסות מדינתית, כנגד תעשיית השבבים המקומית, במטרה לגנוב קניין רוחני יקר ערך שיסייע במאמצים של סין לבנות תעשיית שבבים עצמאית.
מומחי הסייבר כינו את המתקפה Skeleton Key, על שם טכניקת הפריצה שבה נעשה שימוש לטענתם. "המטרה המרכזית של המתקפות הללו היתה השגת מודיעין, בעיקר מסמכים על שבבים, ערכות פיתוח (SDK), תכנון שבבים וקוד מקור. מתקפות כאלה, אם יצליחו, יסבו נזק אדיר," נכתב במסמך. ב-CyCraft הזהירו כי השימוש ברשתות פרטיות (VPN), כחלק מהמעבר לעבודה-מרחוק בעקבות הסגרים שהוטלו בראשית המגפה, רק העצים את נקודות התורפה של התעשייה.
אחד הטריגרים למעורבות של TSMC בכוח המשימה של SEMI היה מתקפת סייבר כנגד קווי הייצור שלה, שהתרחשה באוגוסט 2018. בעקבות הפריצה, שלא יוחסה רשמית לסין, נאלצה TSMC להשבית שלושה מפעלים למשך שלושה ימים. הנזק הכספי היה ניכר ונאמד, לפי החברה, בכ-180 מיליון דולר – כ-2% מהכנסות החברה באותו רבעון.
תעשייה תחת מתקפה
ואולם, איום הסייבר אינו בעיה הנוגעת רק לחברות השבבים הטאיוואניות, והוא מטריד את כל התעשייה העולמית. כך למשל, בחודש יולי 2020 נאלצה קבלנית הייצור הבלגית X-Fab להשבית את מערכות המידע ואת קווי הייצור בכל ששת מפעליה בבלגיה, גרמניה, מלזיה וארצות הברית, לאחר שנפלה קורבן למתקפת סייבר מסוג כופרה.
איומי הסייבר הגוברים הפכו למציאות ממשית בעולם התעשייתי כולו, והם נובעים מהממשק הגובר בין המערכות התפעוליות (OT) לבין מערכות המידע והרשת החיצונית (IT), כחלק מהטרנספורמציה הדיגיטלית של תחום ה-Industry 4.0. הטכנולוגיות הללו מאפשרות שימוש במערכות חכמות יותר של אוטומציה, ניהול-מרחוק ואנליטיקה, אך גם חושפות את הרשת הפנימית בפני מתקפות מבחוץ. חלק מהחולשות נובעות משימוש במערכות הפעלה מיושנות ובתוכנות בעלות רמת אבטחה לקויה.
