半導体サプライチェーンセキュリティの新評価フレームワーク―SSCA評価シート（SMCC v6.2）が示す、業界横断型サイバーセキュリティ評価―

半導体産業のサプライチェーンでは、地政学リスクの顕在化、国家レベルのサイバー攻撃の増加、各国における経済安全保障・製品セキュリティ規制の強化を背景に、「コスト」「品質」「納期」だけでなく、サプライチェーン全体を通じたセキュリティ、信頼性、レジリエンスの確保が、事業継続や競争力に大きく関わる段階に入りつつあります。

こうした環境下で、半導体産業の国際的な業界団体であるSEMI（Semiconductor Equipment and Materials International）傘下で半導体サプライチェーンにおけるサイバーセキュリティの強化と標準化を推進するSMCC（Semiconductor Manufacturing Cybersecurity Consortium：半導体製造サイバーセキュリティコンソーシアム）は、業界横断で利用可能なサイバーセキュリティの標準評価シートとしてSSCA（Standardized Semiconductor Cyber Assessment）を公開しています。

SSCAは、単なる自己申告型チェックリストではなく、実務での活用を想定した評価フレームワークとして位置付けられます。具体的には、次のような特徴があります。

• サプライチェーン全体のサイバーリスクを可視化
• IT・OT・製品セキュリティを対象として包含的に評価
• NIST CSF 2.0を軸に複数の国際標準および業界標準を橋渡し
• 成熟度モデルに基づいた評価による継続的な改善の促進

本稿では、SSCA評価シート「Ses（SMCC v6.2）」の構造と設計思想を読み解きながら¹、半導体サプライチェーンセキュリティの論点と、日本企業が取るべきアクションを整理します。

1.なぜ今、半導体サプライチェーンセキュリティが重要なのか

1.1 業界固有のリスク構造と経営インパクト

半導体サプライチェーンは、以下のように多層かつグローバルな構造を持っています。

• 多層的な製造工程
  • 設計、前工程、後工程、検査、製造装置、材料、EDAソフトウェア（電子設計自動化ツール）、物流など、多数の企業・工程によって成り立つ
• 代替が難しい工程・企業の存在
  • 製造装置、特殊材料、先端プロセス、特定のファウンドリー（半導体受託製造会社）などは、短期間で代替することが困難
• グローバルでの相互依存
  • 設計、製造、装置、材料など各工程の国際分業が進み、地政学リスク、輸出規制、自然災害、感染症、サイバー攻撃などの影響が国境を越えて波及しやすい
• 他産業への波及影響
  • 半導体は、自動車、通信、医療機器、産業機械、防衛、エネルギー、家電、AI・データセンターなど、多くの産業の基盤部品

このように多様な工程・組織・業界・国が複雑に絡み合った構造では、1企業・1工程におけるセキュリティ上の脆弱性が、サプライチェーン全体の供給安定性や顧客への納品に影響を及ぼす可能性があります。さらに、その影響は周辺産業へ連鎖的に波及することも考えられます。この意味で、半導体産業は、サイバーリスクがサプライチェーン全体に加え、周辺産業の事業継続リスクにまで波及しやすい産業であるといえます。

SSCAの特徴的な点は、サプライチェーンサイバーセキュリティを個別対策として評価するのではなく、その管理・運用・改善が組織全体でどの程度できているかを成熟度として評価する点にあります。これにより、企業はサイバーリスクを個別部門や個別システムの課題にとどめず、企業全体でリスクを可視化・管理し、継続的な改善につなげることが可能となります。

この成熟度評価の観点を踏まえると、実務上は次のようなサプライチェーンリスク管理の高度化が求められます。

1.ガバナンス・戦略の高度化

サプライチェーンサイバーリスク管理の目的、方針、責任範囲を明確化し、全社リスク管理や事業継続計画に組み込みます。

これにより、経営層がサプライチェーンサイバーリスクを把握し、投資判断や優先順位付けに関与します。

2.組織・プロセス観点の高度化

サイバーセキュリティ、IT、OT、調達、法務、品質保証、製造部門が連携する組織横断的な管理体制を構築し、社内の各部門および外部組織の役割・責任を明確化します。

3.サプライヤー管理の高度化

重要度に応じてサプライヤーを分類し、製品・サービスに対するセキュリティ要求事項、取引終了時のアクセス権管理、データ返却・削除、機密情報管理、教育・訓練を統制します。

これらは、日本企業にとって重要な示唆を持ちます。半導体サプライチェーンに関わる企業には、自社単独でのセキュリティ対策にとどまらず、取引先や外部委託先を含めたエコシステム全体の信頼性をどのように確保するかが問われているということです。

1.2 「製品セキュリティ」を含むライフサイクル全体を評価

半導体サプライチェーンセキュリティを考える上では、企業のITシステムや工場のOT環境だけでなく、製品・装置・ソフトウェアそのものに内在するセキュリティリスクも考慮することが重要です。

半導体製造装置やコンポーネントには、制御ソフトウェアやファームウェアが組み込まれています。これらは製品や装置の機能を支える基幹的な要素であり、セキュリティの問題が生じた場合には、単体の製品・装置の問題にとどまらず、工場ネットワーク、製造ライン、品質データ、さらには顧客環境全体に影響を及ぼす可能性があります。

SSCAでは、製品セキュリティの観点が評価シートに含まれています。企業ネットワークや工場システムの保護に限定せず、製品・装置・ソフトウェアを含むライフサイクル全体を対象として捉えており、半導体サプライチェーン特有のリスク構造を反映していると考えられます。

こうした設計は、SSCAが製品の設計・開発から運用・廃棄に至るライフサイクル全体でのセキュリティ確保を重視していることを示しており、国際標準規格のIEC 62443-4-1に代表される製品開発ライフサイクル型のセキュリティアプローチとの親和性が高いと考えられます。

なお、SSCAは製品そのものの脆弱性診断などのセキュリティ対策を代替するものではなく、製品開発・運用・保守に関わるセキュリティ管理プロセスを成熟度の観点から評価する枠組みである点に留意が必要です。

2.SSCAにおける質問票の構造と評価フレームワーク

2.1 CMMIに基づく6段階成熟度モデル

SSCAは、組織の製品開発や業務プロセスを改善するための国際的な評価指標¹であるCMMI（Capability Maturity Model Integration）をベースとした6段階の成熟度モデルを採用しています。

この設計により、企業は単に「対策を実施しているか否か」を確認するだけでなく、実装・定着・改善の度合いを可視化できます。そのため、経営層との対話、取引先との協議、監査・第三者評価、改善ロードマップの策定において、より実効性の高い議論につなげやすくなります。

2.2 NIST CSF 2.0との整合と評価の可視化

SSCAでは、評価シート全体がNIST CSF 2.0の6機能（Govern／Identify／Protect／Detect／Respond／Recover）に紐付けられており、次の対応が容易になる実務上の利点があります。

• 米国市場・グローバル市場向けの説明
• 親会社・取引先への第三者説明
• 他フレームワーク（ISO、CAFなど）との横断的な整理

3.主要なサプライチェーンセキュリティ制度およびフレームワークとの比較

SSCAは、特定の単一標準への準拠を目的とするものではなく、半導体サプライチェーンに関連する複数のサイバーセキュリティフレームワークや業界標準を参照し、企業のセキュリティ態勢を統合的に評価するための枠組みです。

SEMIの説明によれば、SSCAは、自動車業界で広く活用されているTISAX（Trusted Information Security Assessment Exchange）を参考にしつつ、半導体業界特有のニーズに対応するよう修正したものとされています。TISAXは、自動車OEM（Original Equipment Manufacturer：完成車メーカー）とサプライヤー間で情報セキュリティ水準を確認・共有する業界共通の評価スキームであり、欧州を中心に取引やサプライチェーン参画の前提条件の一つとなっています。

半導体業界でも、顧客、地域、製品、事業領域、規制当局ごとに参照される基準は多様化しています。複数の国際標準・業界標準への対応が求められる場面もあり、以下はその一例です。

• NIST CSF
• NIST SP 800-161
• ISO/IEC 27001
• IEC 62443
• NCSC CAF
• SEMI E187/E188

こうした基準を個別に管理すると、対応の重複や抜け漏れ、部門ごとの解釈のばらつきが生じやすくなります。SSCAは、これらを半導体サプライチェーンの実務に即して整理し、サプライチェーンサイバーリスク管理、製品セキュリティ、OTセキュリティ、脆弱性管理などの横断的な評価領域として可視化することで、企業間の共通評価指標として機能することを目指すものです。

さらに、自動車業界のTISAXと同様、半導体業界におけるSSCAも、将来的に調達判断、継続取引、事業継続性の確認において参照される可能性があります。この意味で、SSCAは単なる評価シートにとどまらず、半導体サプライチェーン全体の信頼性を支える共通指標へと発展していくことが期待されます。

4.日本企業が今取るべきアクション

日本企業においては、SSCAを自社およびサプライチェーン全体のセキュリティ成熟度の把握とリスク可視化のための仕組みとして活用し、その結果を戦略的な意思決定に反映することが重要です

具体的には、次のような取り組みが考えられます。

• サプライチェーンサイバーリスクの棚卸と可視化
• 調達戦略やパートナー選定・管理への評価結果の活用
• 事業継続計画（BCP）や製品セキュリティ強化に向けた施策検討への活用

半導体サプライチェーンにおけるサイバーセキュリティは、もはや「コスト」にとどまらず、事業継続・競争力・信頼性を左右し得る経営アジェンダです。

SSCAが提供する評価基準は、サプライチェーンにおけるサイバーセキュリティの現状と改善余地を可視化する基盤として機能します。一方で、重要なのは評価を実施すること自体ではなく、その結果を読み解き、調達、製品開発、リスク管理、事業継続といった自社の戦略・オペレーションに反映し、継続的な改善につなげることです。

PwCの支援サービス

PwCコンサルティングは、半導体産業におけるIT・OT・製品セキュリティ、サプライチェーンリスク管理、国内外の法規制・業界標準に関する包括的な知見を踏まえ、SSCAなどを活用した現状評価、ギャップ分析、改善ロードマップ策定、サプライヤー管理体制の整備・高度化を支援します。

¹ SEMI, “Standardized Semiconductor Cyber Assessment (SSCA)”,
https://www.semi.org/jp/industry-groups/semiconductor-cybersecurity/ssca