【導入事例】SEMIジャパンさま ～半導体業界の挑戦、サプライチェーンを守る～（Panorays)
SEMI ジャパン 代表取締役 浜島 雅彦氏
サプライチェーンセキュリティリスク管理サービス『Panorays』の導入事例として、SEMIジャパンさまにお話をうかがいました。
サプライチェーンセキュリティは、いまや経営の最重要課題 ―近年のサイバー攻撃の激化に伴い、このように認識する経営層が飛躍的に増加しています。その危機感は、食料品大手で発生したランサムウェア攻撃による市場への影響（グループ拠点内のVPN認証の突破に起因）や、通販・物流大手で続いた混乱（委託先に付与していた管理アカウントの認証情報が漏洩し、悪用されたことに起因）によって、さらに高まっています。サプライチェーン全体でのセキュリティ対策という課題に業界全体で、包括的に向き合い、セキュリティ態勢の把握と改善に取り組んでいるのが、現代社会に不可欠な半導体業界です。今回は、そのスコアリングツールを使った取り組みを日本で推進する立場にあるSEMIジャパンの代表取締役 浜島 雅彦氏とカスタマーサービス部でシニアマネージャーを務める金子 直樹氏に取材をさせていただきました。
＊取材は2026年5月に実施されました。
委託先や協業先など、サプライチェーンのセキュリティリスク管理の参考に、是非、ご一読ください。ここでは、取材中におうかがいしたPanoraysの採用に至った背景や経緯などの一部を抜粋してご紹介します。
＜＜＜今後の展開・展望を含む完全版はこちら＞＞＞
SEMIジャパンさまのご紹介
グローバルな業界団体であるSEMIの日本支部にあたり、非営利団体として、半導体業界全体の健全かつ安定的な成長を支えるための活動を行っています。
SEMIは世界40ヶ国・地域の半導体製造装置・材料メーカー約4000社が参加する国際工業会で、SEMIジャパンには500社以上の会員企業が存在します。毎年12月にSEMICON Japanという展示会を東京ビッグサイトで開催し、今では10万人を超える来場者があります。サイバーセキュリティの重要性に関する啓蒙活動と共に、サポート体制を整えるのもSEMI ジャパンの重要な役割の一つです。
半導体業界におけるサイバーセキュリティ対策
日本の中小企業は、専門性の高い技術を有しながらも、新規事業に参入するためのマーケティング人材やITの専門人材の確保が難しいのが実情です。サイバーセキュリティに関しても、その重要性は理解してはいるものの、予算などの関係で専門人材を採用できない企業が多く見受けられます。サイバーセキュリティの重要性に関する啓蒙活動と共に、サポート体制を整えるのもSEMI ジャパンの重要な役割の一つであり、今回の取り組みもそうした活動の一つです。
半導体業界は、サプライチェーン上の責務や特定重要物質という観点から、ランサムウェアグループの主要ターゲットになり得ると考えられています。IPA情報セキュリティ白書2025のランサムウェアによる被害の業種別構成比では、半導体産業を含む製造業が第1位となっています。
皆さんの記憶にも新しいと思いますが、2018年8月、半導体受託生産の大手である台湾企業において、工場内のネットワーク機器がマルウェアに感染し、生産が一時停止する事態に追い込まれました。これは、以降のSEMIのさまざまなサイバーセキュリティに関する活動の引き金となっています。
SEMIは、半導体工場におけるサイバーセキュリティ規格として、SEMI E187/E188を作成、提供しており、一部の半導体メーカーでは、E187を調達要件にしています。また、サイバーセキュリティにおける包括的な仕組みを確立・普及するためのコンソーシアムであるSMCC（Semiconductor Manufacturing Cybersecurity Consortium）が2023年に設立されています。
スコアリングツール採用の背景
ⅰ. ここ10年ほどで半導体業界を取り巻く環境の変化は？
前出の台湾でのインシデントでは、攻撃を受けた工場もクローズド環境ではあったのですが、納品された装置がマルウェアに感染していたことが原因とされています。それまでの「半導体工場は外部環境から切り離されたクローズド環境だから大丈夫」という考えが通用しないということが判明しました。以来、世界的に見ても、非常に重要な産業であり、犯罪者組織の標的になり得る半導体業界として、対策を講じてきました。
ⅱ. 前出の環境変化により生じている課題は？
バックオフィスではセキュリティ対策は行われていましたが、工場は、製造装置の寿命が10～20年と長く、OSのサポートが終了しても引き続き使わざるを得ないことが多く、SEMICON Japanでも、サイバーセキュリティ対策に関するセミナーなど、積極的な啓蒙の場が設けられるようになりました。
日本には世界トップレベルの半導体製造装置メーカーが多数存在します。半導体製造装置は、数万点の部品から構成され、高い性能を求められます。そのため、その分野ですぐれた技術を持つ企業から部品を購入する場合が多く、部品の内製率は高くありません。コロナ禍で、部品が1個欠けているために納品できない装置が出たことからもわかるかと思います。
よって、半導体装置に関わるより多くの企業に、サイバーセキュリティ対策の必要性を広く理解していただくことも含め、サプライチェーン全体のサイバーセキュリティ強靱化が業界における大きな課題です。SEMIとしては、現状を把握し、具体的な対策や管理をどう進めるかを見定め、サポートを提供するという新しい役割も加わりました。
スコアリングツール採用の経緯
ⅰ. スコアリングツールの検討に至る経緯は？
サプライチェーン全体のサイバーセキュリティ強靱化が業界における大きな課題であるという共通認識はありましたので、それに対するSEMIジャパンとしての役割や解決策を模索していたという経緯があります。繰り返しになる部分もありますが、大手の半導体製造装置・材料メーカーにおいては、自社のサイバーセキュリティに対して十分な対策が取られていますが、そのサプライヤーに関しては、企業数が多く、各社IT環境も異なるため、各サプライヤーの評価には、かなり大きな予算と工数を要します。また、管轄の問題もあります。サイバーセキュリティを担当する部署は、多くの場合、情報システム部ですが、サプライヤーを担当するのは調達部であったりしますので、その構造も対策がなかなか進まない要因の一つでした。そこで、外部のツールを利用して、SEMIジャパンがサービスを提供することにより、両部署間の連携を容易にして迅速な展開が可能になるのではないか、と考えました。
ⅱ. Panoraysを知ったきっかけや採用の決め手は？
SEMIはグローバル組織です。SEMI台湾が既に提供を開始しているSEMICONDUCTOR CYBERSECURITY RISK SERVICEというものがあります。採用の決め手となった1点目は、最先端の技術を持って、世界をリードする立場にある台湾で採用されていたのがPanoraysだった点で、この実績が採用理由の一つです。このサービスには67項目から成る質問票が存在します。それを日本語化してサイバーセキュリティ対策で先進的な取り組みをしている台湾と同じ内容のサービスが提供できるようになることを目指しています。この質問票は、先ほどの2018年のインシデント後に、攻撃を受けた企業とSEMI台湾が共同で作成しています。
2点目は、外部評価と内部評価を一つのプラットフォームで評価できる点です。インターネット上に公開されているサーバーなどのリソースを外部評価のみならず、質問票を用いた内部評価も同じプラットフォーム上で行えることも導入の決め手となりました。
3点目は、Panoraysは管理画面が日本語であること、評価レポートも日本語で提供されること、ＳＯＭＰＯリスクマネジメントが日本総代理店として、日本語によるヘルプデスクも提供していることなど、日本での利用を広めていく上で、ハードルが低く、使っていただきやすいサービスであると考えた点です。
ⅲ. スコアリングツールを使った取り組みとは？
日本国内の半導体製造サプライチェーン全体のサイバーセキュリティの強靭化実現のためには、「サプライヤー各社のサイバーセキュリティ上の問題点を明確化」すること、および「工業会によるサプライチェーン全体の課題とセキュリティレベルの把握」が必要であると考え、スコアリングサービスの提供を開始しました。目的の達成のために、より多くの企業にスコアリングサービスに参加していただくことを目指しています。
具体的には、前出のSEMI台湾の67項目ある質問票を日本語化して取り入れ、参加企業には、プラットフォーム上で回答していただきます。この質問票のやり取りに使われるプラットフォームがPanoraysです。Panoraysはサイバーセキュリティの専門担当者がいない企業でも利用しやすいツールであると思っていますし、グローバル企業による利用実績もあります。グローバル市場で要求される水準に達しているか否か、要件を満たすためには何が必要なのか、その指標を示せるツールだと思っています。
より多くの企業に参加していただくために、以下の３点を考慮したサービスを提供していく予定です。
- サイバーセキュリティの専門人材がいない企業でも利用しやすいサービス
- グローバル企業から要求されるセキュリティ水準を満たすことに繋がる低価格のサービス
- 日本語によるレポート、ヘルプデスク、ユーザーインターフェースを備えたサービス
ⅳ. 取り組みに参加する企業にとってのメリットは？
大きく分けて、3つのメリットがあると考えています。
1点目は、参加企業の工数削減です。リスク管理サービスを共通化することにより、装置・材料メーカーのサプライヤーは、顧客ごとの対応が不要になりますので、参加企業の工数削減に繋がります。例えばサプライヤーAは、大手企業B社、C社、D社と取引がある場合、BCD各社がA社に対し、この質問票に回答してください、と異なる基準、異なるフォーマットの質問票を送ってきて、それに個々に対応しているのが現状です。この取り組みでは、質問票の回答は参加企業間で共有されますので、個々の顧客への回答は不要となります。SEMIは、設立当初から50年以上にわたり、非競争分野の標準化に努めてきた歴史があります。
2点目は、その逆で、多くのサプライヤーを抱える製造装置メーカーの運用負荷の軽減にも繋がると考えています。もし、製造装置メーカーがサプライヤーのリスク管理を自社で行うとなると、サプライヤーが増えれば、運用負荷も増加してしまいます。我々としては共通化されたスコアリングサービスを導入することで、彼らの運用負荷も減らしたいと考えています。
3点目は、業界全体に対するメリットになりますが、目安となるレベルの可視化です。スコアリングの結果は、業種・企業規模により、点数の分布に偏りが出ると推測されます。半導体製造サプライヤーが多数参加することにより、業界内のベンチマークが明確になり、「半導体製造の中でこの規模の企業であれば、これが標準です」とか、「これくらいのスコアを目指しましょう」という目安が明確になると考えています。
今後の展開・展望
＊今後の展開・展望を含めた詳細はPDF版からご覧いただけます。
Panoraysについてご紹介
サードパーティのセキュリティ態勢に関する可視性とコントロールは、自組織のセキュリティ態勢を維持する上で重要です。
SOMPO CYBER SECURITYがサプライチェーンセキュリティリスク管理サービスとして提供する「Panorays」は、内部評価（自動化されたセキュリティに関する質問票）と外部評価（アタックサーフェスの評価）をビジネス上の関係性を考慮に入れて、総合的にサードパーティを評価し、リスクを迅速かつ正確に把握できるようにします。
継続的にサードパーティを監視および評価し、日々変化を続けるサイバー空間の脅威や侵害に関するアラートを提供することで、グループ会社やサプライチェーンといったサードパーティの侵害に対し、迅速かつ包括的に対応し、修復し、復旧する為に役立ちます。
