半導体業界におけるサイバーセキュリティの実態と展望

1. はじめに

半導体業界の重要性と高まるセキュリティ要求

半導体は、自動車、通信、医療、エネルギー、生成AIなど、多様な製品・サービスを支える基盤です。供給停止や設計情報の流出は、個社の損失にとどまらず、取引先の生産や社会インフラ、産業競争力、経済安全保障にも波及し得ます。

半導体製造では、製造装置を経由したランサムウェア感染による工場停止や、不正アクセスによる素材の生産・出荷停止など、サイバー事案が現実の操業影響として表れています。製造工程は多数の装置、部材、素材、委託先で構成されるため、一つの構成要素の停止が製造全体へ波及する可能性があります。

こうしたリスクを背景に、業界・政策側からの要求も具体化しています。国際業界団体SEMIは2022年、半導体製造装置とその導入・運用を対象とするSEMI E187／E188を発行しました。経済産業省も2025年10月、半導体デバイス工場に特化したOTセキュリティガイドラインを公表し、2026年3月にはサイバーインフラ事業者に期待される役割に関するガイドラインを公表しています。その要求は、「対策を実施しているか」から「供給責任を踏まえ、関係者とどのようにリスクを管理しているか」へ広がっています。

一方で、こうした要求が高まる中、半導体関連企業が実際にどの領域をリスクと認識し、どのような対策を講じているのか、また、対策の実行・運用において何が障壁となっているのかは、明確化されていないのが現状です。特に、設計・開発、前工程、後工程、流通・販売、半導体を利用する企業では、守るべき資産や事業への影響、外部との接点が異なります。

そこで私たちは、半導体関連事業に携わる実務者・管理者を対象に、リスク認識、インシデントによる業務影響、OT・サプライチェーン対策、ルールの運用状況、人材・体制面の課題などを調査しました。次章以降では、調査結果を基に、半導体業界における課題や対策の実効性を高める上でのアプローチを整理します。

2. 市場調査の概要と実施結果

調査概要

今回の調査結果は下記のとおりです。

セキュリティ対策への重要性の認識は高い一方で、実被害も広く発生している

セキュリティに対する意識調査では、サイバーセキュリティが競争力や顧客の信頼に「大きく影響する」との回答が43.6％、「一定程度影響する」が42％となり、合計85.6％に達しました（図表1）。

一方、過去3年間のインシデント発生回数を回答した173名のうち、145名が1回以上の発生を経験しています。セキュリティ事故による業務影響としては、顧客対応43.1％、製造設備停止38.8％、製造スケジュール遅延36.7％、設計・開発遅延31.9％が挙げられました（図表2、図表3）。

図表1：セキュリティの重要性に関する認識

Q. セキュリティは競争力・顧客信頼にどの程度影響するか

図表2：セキュリティインシデントの経験

Q. セキュリティインシデントによって業務影響（顧客対応・製造設備の停止など）が発生したことがあるか

Q. 実際に経験した業務影響は何か（複数回答可）

図表3：過去3年間のセキュリティインシデントの発生回数

Q. （何らかの業務影響を経験したと回答する人の内）過去3年間に発生したセキュリティインシデントの回数

この結果から、半導体業界ではセキュリティの重要性が広く認識されている一方、実被害を十分に抑え切れていない状況がうかがえます。その背景には、主に次の2つの構造的要因があると考えられます。

1. 知的財産、製造能力、供給責任など、攻撃者にとって価値の高い資産が集中していること
   半導体企業が保有する設計情報、製造ノウハウ、製造設備、供給能力は、企業の競争力だけでなく、取引先の生産や社会インフラにも影響するため、攻撃者にとって価値の高い標的となります。
2. 高度な分業構造の中で、企業・工程間の接点に管理上の空白が生じやすいこと
   半導体業界では、設計、製造、装置、材料、保守などを複数の企業が担っています。各社が自社の管理範囲で対策を講じていても、企業間の対話や役割分担が十分でなければ、設計データの受け渡し、製造委託、外部保守接続、ソフトウェア更新などの接点で、確認・検知・対応の主体が曖昧となり、対策の空白が生じる可能性があります。

サプライチェーン管理は契約時に偏り、契約後の継続管理に課題

分業を前提とする半導体業界では、取引開始時にセキュリティ要件を確認するだけでなく、取引期間中の環境・接続・委託関係の変化や、契約終了時の情報・権限の処理までを含めて管理する必要があります。

しかし、サプライチェーン管理に関する調査では、契約書面上でのセキュリティ要件の合意取得が51.1％、調達時のセキュリティチェックが50％である一方、契約期間中のチェック・監査は38.8％、ログ取得は18.6％、契約終了時の情報破棄確認は13.8％にとどまりました（図表4）。

調達・契約段階の入り口統制は約半数で実施されているものの、契約後の状況把握や終了時の確認までを一貫して管理する運用には、大きなギャップが見られます。契約締結後も、利用するシステム、外部接続、委託・再委託の構造、取り扱う情報、担当者などは変化し得るため、契約時の確認だけでは取引期間中のリスクを十分に把握できない可能性があります。

図表4：サプライチェーンリスクへの対応状況

Q. サプライヤーや委託先に対して、実施しているセキュリティ対策について

組織間の自律性と環境差が、サプライチェーン横断の統制を難しくしている

契約後の管理を実効的に行うためには、関係会社や事業パートナーを含む組織間で、一定のセキュリティ水準や管理方法を共有することが必要です。一方、組織ごとの裁量や環境の違いが、横断的な統制を実装する上での障壁となっています。

調査では、組織間のセキュリティ統制が十分に進まない理由として、「各組織の自律性を重視している」が39.5％と最も高い結果となりました。また、「各組織のIT・OT環境の差が大きい」「統一基準やベストプラクティスがない」が、それぞれ34.5％となっています。この他、コスト負担の大きさが26.9％、人員・リソース不足が23.5％と続きました。

これらの結果から、組織間の統制が進まない背景には、セキュリティの必要性に対する認識不足というより、自律性の異なる複数の組織に対して、共通の統制をどのように適用するかという実装上の課題があると考えられます。

特に半導体業界では、設計、製造、装置、保守など、組織ごとに担う工程や守るべき資産が異なり、利用するIT・OT環境、設備の停止可否、顧客要求、投資余力にも差があります（図表5）。一律の基準をそのまま適用すれば、各現場の実態と合わず、過剰な負荷を生む可能性があります。その一方で、全てを各組織の判断に委ねれば、組織ごとに対策水準のばらつきが生じ、サプライチェーン全体として必要な防御水準を確保できないおそれがあります。

図表5：半導体バリューチェーン／各バリューチェーンの特性

3. 半導体業界×サイバーセキュリティの目指す姿

ここまで述べてきたように、今回の調査結果からは、サイバーセキュリティの重要性が広く認識されている一方で、実被害が発生していること、サプライチェーン管理が契約時の確認に偏っていることが分かりました。また、組織ごとの自律性やIT・OT環境の差、現場の製造制約、人材・判断材料の不足が、対策の実装を難しくしています。

こうした課題について、対策項目を一律に積み増すだけでは現場負荷が高まり、結果として自社にとって重要なリスクへの対応が薄くなる可能性があります。業界を問わず必要な共通防御を確実に実施することに加え、半導体バリューチェーン上の自社の役割に応じて、守る対象と対策を具体化することが重要となります。

共通防御と固有リスク対策の二層で考える

ランサムウェア、認証情報の窃取、クラウド設定不備、マルウェア感染、内部不正などは、半導体企業に限らず、多くの企業が備えるべき脅威です。これらに対しては、ID・特権アクセス管理、端末・サーバー防御、脆弱性管理、ログ監視、バックアップ、インシデント対応などの共通防御を、事業全体の基礎として確実に実施する必要があります。

その上で、自社が担う工程、競争力の源泉となる技術・情報、停止時の影響が大きい設備、社外との接続やデータ共有を整理し、半導体事業に固有のリスクを特定します。さらに、設計データのやり取りや製造委託、リモート保守、更新プログラムなど、企業間でリスクが受け渡される接点では、確認・検知・連絡・対応判断の主体を明確にします（図表6）。

図表6：対策の観点例

こうした観点を基に、バリューチェーンごとに具体的なセキュリティ対策を考えていくことで、効果的なリスク対応が実現します（図表7）。

図表7：バリューチェーン別のセキュリティ対策整理

PwCが考える取り組みの進め方

半導体業界では複雑に絡むバリューチェーン特性を踏まえ、自社にとって重要な工程・資産・企業間の接点を特定し、優先度の高い対象から実装することが有効です。PwCコンサルティングは、「役割・重要対策の整理」「対策の区分け」「役割・要件設計」「試行・展開」の4つのステップを通じて、業界共通の知見を各社の事業特性に合わせて翻訳しながら、社内外の関係者をつなぎ、実行可能な運用へ落とし込むことが重要と考えます（図表8）。

図表8：セキュリティ対策の実効性を高めるためのステップ

共通防御を着実に、固有リスクには選択的に、企業間の境界には協調して対応する。PwCコンサルティングは、業界基準や国内外の取り組みを各社の事業・工程・取引構造に合わせて具体化し、重要対象の選定、基準・役割の設計、関係者との合意形成、重点領域での試行・展開までを一貫して支援します。まずは、自社の重要な工程・資産・企業間接点を可視化し、どこから連携を始めるかを明確にすることが第一歩となります。

参考文献

• PwC Japanグループ「半導体製造へのセキュリティ要求と求められる対応」（2024年9月5日）、https://www.pwc.com/jp/ja/knowledge/column/awareness-cyber-security/semi-e188.html（最終閲覧日：2026年7月27日）
• 経済産業省「半導体デバイス工場におけるOTセキュリティガイドライン Ver.1.0」（2025年10月24日）、https://www.meti.go.jp/policy/netsecurity/wg1/semiconductor_systems_guideline_ver1.0_eng.pdf（最終閲覧日：2026年7月27日）
• 経済産業省「Cybersecurity（サイバーセキュリティ政策）」、https://www.meti.go.jp/english/policy/safety_security/cybersecurity/index.html（最終閲覧日：2026年7月27日）
• SEMI, “Semiconductor Manufacturing Cybersecurity Consortium（SMCC）”, https://www.semi.org/en/industry-groups/semiconductor-cybersecurity（最終閲覧日：2026年7月27日）
• SEMI, “A Year of Progress for Semiconductor Cybersecurity”（2025年12月19日）, https://www.semi.org/en/blogs/a-year-of-progress-for-semiconductor-cybersecurity（最終閲覧日：2026年7月27日）
• TSMC, “TSMC Hosts Its First Supply Chain Security Workshop to Achieve Mutual Success”（2024年7月12日）, https://esg.tsmc.com/en-US/articles/318（最終閲覧日：2026年7月27日）
• 独立行政法人情報処理推進機構（IPA）「J-CSIP 半導体業界SIGについて」（2025年3月）、https://www.meti.go.jp/shingikai/mono_info_service/sangyo_cyber/wg_seido/wg_semiconductor/pdf/002_04_00.pdf（最終閲覧日：2026年7月27日）