• 晶片資安第一站

《晶片安全管理指引》三大面向落實晶片供應鏈管理

指引著作/臺灣資安卓越深耕-半導體及資通訊供應鏈資安關鍵技術發展計畫

現代晶片通常由複雜且散布在全球的供應鏈接力完成設計、製造、測試和組裝等一系列工作,例如:單個電腦晶片的生產通常需要 1,000 多個步驟,並經過 70 次或更多次的國際邊境跨越才能到達最終客戶手裡,而一家半導體公司可能在全球擁有超過 16,000 家供應商。

半導體供應鏈的複雜性程度,雖然透過全球市場分工大幅降低成本,但同時也提供攻擊者許多機會,如以偽冒的電子產品零件流入市場、在電路中置入木馬、竊取知識產權和逆向工程等。由於網路入侵、惡意的內部人員和經濟間諜活動無孔不入,勢必將威脅各種以晶片安全運作為核心的應用,帶來難以 預測的危害,因此,對晶片安全相關內外部構面進行管理。更形重要。

本指引在參考各種供應鏈安全相關的活動後,從3個面向、 11大類別及 35項控制措施,提出晶片業者應考量的晶片安全管理的內外部構面。

面對來自各方面的資安議題,以晶片安全性為主軸的供應鏈風險管理 (Supply Chain Risk Management SCRM) ,成為半導體產業供應鏈全球化過程中必然要關注的議題。為此,美國及產學研界所發佈了各種 SCRM 相關的重要研究資料:

● 美國國家反情報與安全中心 (National Counterintelligence and Security Center) 供應鏈管理局 (Supply Chain 所提出的供應鏈風險管理 (Supply Chain Risk Management SCRM) 最佳實踐(best practice)。

● CWE 弱點和漏洞分類系統,特別是與硬體設計相關弱點,包括製造和生命週期管理所引發的問題。

● 美國電子設計自動化公司 Synopsys 的構建安全成熟度模型(Building Security In Ma turity Model BSIMM) 第 11 版 。Synopsys 的 BSIMM 團隊自 2008 年以來,已對 211 家公司進行了約 500 次的軟體安全開發成熟度評估,參與的著名業者包括Qualcomm 、西門子、 Sony 、 Nvidia 、 Intel 及華為等國際大廠。

2020 年 9 月, Synopsys 在完成全球 130 家業者的安全開發流程評估後,發表了 BSIMM 第 11 版,共歸納出 121 項企業組織在面臨各項內外部威脅時,目前所採取的各種內外部管控措施。

● 國家標準暨技術研究院 NIST 所發佈的 SP 800 161 「聯邦資訊系統和組織的供應鏈風險管理實踐」 (Supply Chain Risk Management Practices for Federal Information Systems and Organizations)。

● 美國國防部 (Department of Defense DoD) 所發布的「 網路安全成熟度模型認證 」(CMMC ),旨在保護 DoD 智慧財產權和敏感資訊免受網路安全事件的影響,並專注於 DoD 外部供應鏈的安全性和彈性 。

● 「 資訊技術安全評估共同準則 」 (Common Criteria for Information Technology Security Evaluation ),簡稱共同準則 ( Common Criteria)或CC ,是針對電腦安全認證的國際標準 ISO/IEC 15408 )。 CC 在其保證類別 ALC (life cycle support) 定義了開發安全( ALC_ DVS),用以移除或減少存在於開發現場的威脅 。故依據待測物 (Target of Evaluation, TOE) 的安全級別  Evaluation Assurance Level EAL 要求(EAL3~EAL7),評估人員應到產品開發現場進行安全性評估 site visit )),以取得開發安全評估的證據。

援引管理指引之方法論

基於美國供應鏈管理局所提出的SCRM最佳實踐,本晶片安全管理指引的方法論如下:

● 首先歸納整理 CWE 所歸納的硬體設計相關弱點,如製造和生命週期管理所引發的問題,從中鑑別事件發生的根因;

● 其次是研究 BSIMM 第 11 版中所描述之安全活動,評估與供應鏈安全相關的資安管理方法,分析這些業者基本或進階的管控措施是否符合美國供應鏈管理局所提出的 SCRM 最佳實踐,並解決CWE 所歸納的硬體設計相關弱點;

● 研究 CMM C 中與供應鏈安全性相關的要求 評估與供應鏈安全相關的資安管理方法 ,並將其納入本指引。

● 研究  CC 的配套文件 「 資訊技術安全評估共同方法 」 (Common Methodology for Information Technology Security Evaluation CEM)中,關於 Site Visits 的方法。

● 研究 SP 800-161的 ICT 供應鏈風險管理標準,將相關標準納入本晶片安全管理指引。

晶片安全管理三大面向

綜整三大晶片安全管理面向如下:

一、治理與管理:從治理與管理層面,透過高階主管參與整個晶片安全供應鏈風險管理的實踐過程,將有助於 SCRM 的成功。

1建立內部政策與流程
2確定供應鏈風險管理者
3強化保障供應鏈安全的契約條款

二、教育、培訓和意識行動:員工的內外部訓練、資訊共享與專業培訓,有助於員工從獲得最新的威脅報告、最佳實踐以及從特定企
業組織的經驗過程中,吸取新知及他人教訓,從而使 SCRM 能獲得員工支持。

1訓練:例如確保企業組織內的每位員工接受有關 SCRM 意識和實踐的培訓;確保為 SCRM 執行委員會及晶片安全管組小組提供晶片供應鏈安全相關培訓,像是內部作業流程 及供應商對晶片安全的影響等。

2.認證:例如鼓勵員工追求個人的專業認證 並繼續保持職業教育 (通過多個領域的知識,有助於確保企業組織了解供應鏈安全涉及的面向,並可以專業角度處理晶片安全相關議題,例如降低或避免發生晶片安全漏洞。

3資訊共享:例如參與晶片安全相關的專家會議、研討會、培訓活動及 SCRM論壇,有助於企業組織了解最新的晶片安全威脅報告、安全管理最佳範例,並從特定企業組織發生的供應鏈資安事件吸取他人的經驗和教訓。

三、緩解措施:全面了解潛在資安威脅、漏洞和風險對企業組織關鍵資產和服務的影響,有助於企業組織在供應商所帶來的潛在風險、績效和成本效益之間取得平衡,並透過評估與採取相關控制措施,來降低對企業組織和客戶的損害。

1確定關鍵資產和服務:組織應以攻擊者的思維,確定對組織最重要的資產和服務,並建立攻擊模型,評估攻擊者的目的與他們如何達成目的。一般上,風險評估主要是將「風險分析」的結果分等級,再依據「風險接受準則」,以決定需要管控的資產和服務,找出所
有資訊資產的最大與最小風險值,以計算最大及最小風險值之區間,將之分為適當等級,例如:高、中、低三個等級。企業組織一旦決定「可接受風險等級」後,那些比「可接受風險等級」值高的所有資訊資產即是需要進一步處理的清單,此清單為「風險處理階段」的對象。

2進行 SCRM 評估:稽核 SCRM 流程,並且通常由最高管理層負責,對 SCRM實施過程進行全面監控,以實現 SCRM 過程的長遠效率。負責稽核的人員應符合客觀性和獨立性等稽核原則,且具備一定的稽核經驗,尤其是相關的方法論和技術知識。這些嚴格的先決條件通常會導致稽核團隊的形成,以完全涵蓋所有必要項目的能力。

3對供應商進行盡職調查 (Due Diligence):例如在與供應商開展業務之前 對其進行研究和盡職調查;定期評估供應商,特別是關鍵供應商,並定期與其交換資訊,有助於在早期識別可能的資安風險;了解供應商的安全實踐成果,以識別其弱點等。

4執行損害控制並加強防禦:當發生供應鏈資安事件並造成的損害時,損害控制應包含以下項目:
‒ 確定損害的廣度和深度;
‒ 將損害遏制在一個可接受的範圍;
‒ 評估資安事件造成的損害;
‒ 與組織內的其他 SCRM 利害關係人分享經驗教訓;
‒ 使用學到的經驗來幫助推進 SCMM。

本指引整理出晶片業者在設計、製造、封裝及組裝過程中需考量的晶片安全管理項目,並說明各別控制措施應有的作為。

想了解更詳細的指引內容,請與我們聯絡索取

Share:
This site is registered on wpml.org as a development site.