【前編】半導体デバイス工場OTセキュリティガイドラインの深層：なぜ「今」、特別な対策が必要なのか

本コラム前編では、このガイドラインが策定された背景と、そこに込められた「半導体工場特有の課題」について、専門的な視点から詳しく解説します。

日本の製造業の屋台骨であり、経済安全保障の要でもある半導体産業。その心臓部である「工場（ファブ）」をサイバー脅威から守るため、経済産業省から「半導体デバイス工場におけるOTセキュリティガイドライン」が策定されました。

半導体工場を巡る脅威のパラダイムシフト

かつて工場の制御システム（OT）は、インターネットから切り離された「孤島」であり、物理的な接触がない限り安全だと信じられてきました。しかし、DX（デジタルトランスフォーメーション）の進展により、スマート工場化が進んだ現代では、ITとOTの境界線は消失しつつあります。

半導体工場は、以下のような固有の理由から、サイバー攻撃者にとって「極めて魅力的なターゲット」となっています。

極めて高い停止コスト： 半導体製造ラインは一度停止すると、再稼働までに数週間を要する場合があり、その損失は数百億円規模に達することもあります。この「止めるわけにいかない」を、ランサムウェア攻撃者は執拗に突いてきます。
サプライチェーンの急所： 特定の半導体供給が止まれば、自動車、家電、軍事機器に至るまで世界中の産業が麻痺します。国家レベルの関与が疑われる攻撃の標的になりやすいのが実情です。
知的財産の宝庫： ナノ単位の微細加工技術や歩留まり向上のノウハウは、まさに国家機密レベルの価値を持ちます。

本ガイドラインは、汎用的な「工場セキュリティガイドライン」をベースにしつつも、半導体製造の特性に踏み込んだ具体的な対策を求めています。その核となるのが以下の3要素です。

可用性の確保（供給責任）
半導体は、数か月にわたる数百の工程を経て完成します。途中の工程でシステムがダウンすれば、仕掛品がすべて廃棄（ロス）になるリスクがあります。ガイドラインでは、単に「ウイルスに感染しない」こと以上に、「感染しても製造ラインを止めない、あるいは最小限の影響で即座に復旧させる（レジリエンス）」ことを最重視しています。
機密性の保護（技術流出防止）
製造装置（ツール）の設定値や、プロセスレシピ、検査データなどは、その企業の競争力の源泉です。これらが外部に漏洩したり、あるいは攻撃者によって「ほんのわずかだけ」でも書き換えられたりすることを防がなければなりません。
完全性の維持（品質保証）
サイバー攻撃によって製造条件を意図的に改ざんされた場合、見た目ではわからない「サイレント・フェイラー（潜在的欠陥）」が発生する恐れがあります。これは製品の信頼性を根底から覆す、最も恐ろしいシナリオの一つです。

ガイドラインでは、対策を進める上での現実的な障壁についても触れています。

レガシーシステムの存在： 半導体製造装置は寿命が長く、20年以上稼働するものも珍しくありません。サポートが切れたOS（Windows XP/7等）で動作している装置が多く、一般的なアンチウイルスソフトがインストールできないケースが多々あります。
「触れない」ことへの不文律： 稼働中の装置にセキュリティパッチを適用したり、スキャンソフトを走らせたりすることは、プロセスの安定性を損なうリスクがあるため、現場（エンジニア）から強い拒否反応が出ることがあります。
複雑なサプライヤー環境： 工場内には、装置メーカーやメンテナンス業者など、多種多様な外部ベンダーが立ち入ります。彼らが持ち込むPCやUSBメモリが「感染源」となるリスクをどうコントロールするかが鍵となります。