“確實(shí)是我們的疏失！”，才剛接任臺(tái)積電總裁約兩個(gè)月的魏哲家6日在病毒感染機(jī)臺(tái)外對(duì)說(shuō)明記者會(huì)上，坦言內(nèi)部作業(yè)疏失。擁有數(shù)萬(wàn)臺(tái)機(jī)臺(tái)，晶圓廠遍及海內(nèi)外的臺(tái)積電，8月3日傍晚竟因?yàn)橐蛔鶛C(jī)臺(tái)感染W(wǎng)annaCry變種病毒不察，上線快速蔓延，導(dǎo)致正在作業(yè)晶圓停擺，機(jī)臺(tái)停機(jī)，損失高達(dá)1.7億美元。

這對(duì)“資安優(yōu)等生”臺(tái)積電而言，有點(diǎn)不堪想象。

平日資安滴水不漏的臺(tái)積電，連一個(gè)外來(lái)電子設(shè)備進(jìn)入廠區(qū)都嚴(yán)格把控，竟然會(huì)讓未經(jīng)隔離掃毒嚴(yán)查過(guò)的機(jī)臺(tái)直接上線，新機(jī)SOP check流程出現(xiàn)這么一個(gè)大漏洞。

臺(tái)積電的“休克”案例，足以讓國(guó)內(nèi)晶圓廠高度警戒，自危排查任何可能存在的資安風(fēng)險(xiǎn)，包括中芯國(guó)際在內(nèi)晶圓廠都緊急啟動(dòng)排查專案，確保此類“染毒”事件不會(huì)發(fā)生；此外，武漢、南京、成都、合肥、晉江等多地新建晶圓廠也以臺(tái)積電慘痛案例為鑒，要求move-in equipment排查可能安全漏洞與隱患。

可說(shuō)，臺(tái)積電一休克，全球晶圓廠也跟著神經(jīng)緊繃。但反觀，已從暫時(shí)休克狀態(tài)中蘇醒的臺(tái)積電，沒(méi)說(shuō)清的疑點(diǎn)還很多。

臺(tái)積電澄清？ 眾多疑點(diǎn)未解

1.臺(tái)積電三連發(fā)大動(dòng)作澄清

從事發(fā)3日傍晚，臺(tái)積電緊急發(fā)布聲明，到5日再度發(fā)新聞稿說(shuō)明損失情況與解決方案，接著6日對(duì)外召開(kāi)媒體記者會(huì)，總裁魏哲家親自上火線說(shuō)明，臺(tái)積電連日內(nèi)一連串動(dòng)作針對(duì)同一事件，這種“不淡定”是臺(tái)積電在過(guò)去所沒(méi)有的，也代表此事確讓這個(gè)晶圓巨頭很“震動(dòng)”。

這也代表臺(tái)積電將病毒感染事件，除了直接影響營(yíng)運(yùn)市場(chǎng)股價(jià)，更對(duì)臺(tái)積電的對(duì)外形象與品牌誠(chéng)信展開(kāi)“危機(jī)公關(guān)”，市場(chǎng)上蔓延起所謂的競(jìng)爭(zhēng)對(duì)手“陰謀論”，時(shí)機(jī)又正逢二代接班人剛上任，處于外界檢視考核這屆接班人運(yùn)營(yíng)與危機(jī)處理能力的敏感階段。

所以親上火線說(shuō)明的魏哲家，記者會(huì)上巧用一段“客戶trust臺(tái)積電”的話，望彌平外界疑慮，但事發(fā)已整整第三天，所有涉及高階主管對(duì)外真正的用意恐怕是傳遞給市場(chǎng)上更多客戶宣示臺(tái)積電的品質(zhì)把控未受影響，與即便遭受影響也在“可控的范圍”，好重拾外界對(duì)臺(tái)積電的信心。

但，事實(shí)真的如此嗎？

2.病毒潛藏機(jī)臺(tái)window7 來(lái)自哪家供應(yīng)商？只字未提

據(jù)臺(tái)積電說(shuō)法，所有病毒感染，源自一座機(jī)臺(tái)，而這一座機(jī)臺(tái)操作系統(tǒng)是Window 7遭到WannaCry變種病毒感染。但難以想象的是，臺(tái)積電平日針對(duì)上千家供應(yīng)商，尤其作為設(shè)備與材料供應(yīng)商，往往經(jīng)過(guò)層層軟硬件與技術(shù)驗(yàn)證，居然在交付時(shí)，沒(méi)嚴(yán)格把控機(jī)臺(tái)安全，就讓臺(tái)積電可以上線使用。

WannaCry病毒并非近日才有，為何機(jī)臺(tái)在出廠時(shí)，供應(yīng)商沒(méi)有排查出來(lái)即交付給臺(tái)積電？這個(gè)供應(yīng)商是否同一批次也有交貨給其他晶圓廠？臺(tái)積電沒(méi)有對(duì)外說(shuō)明。

這讓整個(gè)供應(yīng)鏈留下一個(gè)很大的謎題與不安隱患。

作為臺(tái)積電半導(dǎo)體生態(tài)圈領(lǐng)頭羊，資安與環(huán)安作為一直是臺(tái)積電視為企業(yè)社會(huì)責(zé)任重要一環(huán)。這不僅作為生態(tài)鏈巨頭，是否應(yīng)該適度向供應(yīng)鏈系統(tǒng)提出示警與解決方案參考？也是重要一分子的擔(dān)當(dāng)與責(zé)任。

3.為何人為操作，導(dǎo)致疏失？

更不可思議的，發(fā)生在機(jī)臺(tái)交付之后，擁有數(shù)萬(wàn)臺(tái)設(shè)備的臺(tái)積電，竟然以人為操作進(jìn)行機(jī)臺(tái)的連線作業(yè)導(dǎo)致這次的不幸，正因沒(méi)有先隔離殺毒，擅自連線導(dǎo)致病毒蔓延。過(guò)去外界印象，臺(tái)積電代表著巨型晶圓廠高度自動(dòng)化，都在這一次事件中“神話破滅”。為此人為環(huán)節(jié)疏失付出慘重的代價(jià)。

事實(shí)上，臺(tái)積電內(nèi)部，建立了一套完整的網(wǎng)路及電腦安全防護(hù)系統(tǒng)以控管或維持公司的制造，營(yíng)運(yùn)及會(huì)計(jì)等重要運(yùn)作的功能，所幸這次的病毒并未“加密”，也并未棘手程度到深入竊得傷及臺(tái)積電機(jī)密數(shù)據(jù)，讓臺(tái)積電得以迅速排查出來(lái)，并將災(zāi)情控制住。

相較于魏哲家所言，對(duì)這次臺(tái)積電同仁的處理很滿意；臺(tái)積電的資安主管，則是一臉嚴(yán)肅，態(tài)度更為小心嚴(yán)謹(jǐn)，坦言在瞬息萬(wàn)變的網(wǎng)路安全威脅中要承受推陳出新的病毒風(fēng)險(xiǎn)和攻擊，是所有企業(yè)共同挑戰(zhàn)，當(dāng)然，臺(tái)積電也不能完全保證其電腦系統(tǒng)能完全避免來(lái)自任何第三方癱瘓系統(tǒng)的網(wǎng)路攻擊。

過(guò)去臺(tái)積電資安優(yōu)等生的成績(jī)單“破功”，甚至可能因中斷出貨而需賠償客戶損失，這個(gè)“資安污點(diǎn)”無(wú)可逃避的未來(lái)也將記在營(yíng)運(yùn)年報(bào)內(nèi)，成為臺(tái)積電徹底檢視資安政策與補(bǔ)救舉措的重大教案。

4.其他機(jī)臺(tái)沒(méi)即時(shí)修正軟件/補(bǔ)??？又一個(gè)可侵入窗口

值得注意的是，這次臺(tái)積電記者會(huì)中泄露了一個(gè)原本外界都不知道訊息，臺(tái)積電機(jī)臺(tái)內(nèi)Window7操作系統(tǒng)沒(méi)有適時(shí)進(jìn)行修正更新（打補(bǔ)?。?。

而事實(shí)上，WannaCry病毒并非今日才有，一出肆虐，微軟已經(jīng)祭出補(bǔ)丁方案；臺(tái)積電的說(shuō)法卻是，這些機(jī)臺(tái)若要安裝修正軟件，需要停機(jī)重啟，對(duì)于臺(tái)積電而言，“時(shí)間就是金錢”產(chǎn)線停擺似乎是不容許的（或者代價(jià)過(guò)高？），所以武斷的講，并未完全落實(shí)？

強(qiáng)大如臺(tái)積電，理應(yīng)與軟硬件供貨商有更深度協(xié)同的合作，卻無(wú)法令其操作平臺(tái)實(shí)時(shí)更新與維護(hù)，事發(fā)過(guò)后，未來(lái)找適當(dāng)時(shí)機(jī)，才能將這些機(jī)臺(tái)更新進(jìn)一步修正。中間的被動(dòng)性與缺乏敏捷僵化，暴露無(wú)疑。

此偶發(fā)事件，已足以給臺(tái)積電一個(gè)教訓(xùn)，但豈不是昭告天下自曝其短，給了“魔鬼”鉆漏洞的條件？

一般來(lái)說(shuō)晶圓廠都有安排在出貨淡季“歲修”，借機(jī)維修與更新機(jī)臺(tái)設(shè)備，此時(shí)爆發(fā)對(duì)臺(tái)積電而言，正巧是下半年追趕出貨的旺季，時(shí)間點(diǎn)可說(shuō)非?！皩擂巍?。

5.為何如此“自信”沒(méi)有內(nèi)神通外鬼？

令外界疑惑的是，臺(tái)積電徹查此事宣布已經(jīng)找到原因與錯(cuò)誤過(guò)程，但是唯一的元兇只有“病毒”，卻沒(méi)有說(shuō)明出事的部門，沒(méi)有說(shuō)明廠家與來(lái)源，但卻能自信滿滿地指出不是外在駭客攻擊，也沒(méi)有“內(nèi)鬼”，這一股自信哪里來(lái)？留下外界許多疑惑。

臺(tái)積電機(jī)密資訊保護(hù)（Proprietary Information Protection, PIP）政策嚴(yán)格把關(guān)，上至對(duì)上千家供應(yīng)商都進(jìn)行PIP訓(xùn)練，下至近5萬(wàn)名員工遵循嚴(yán)格PIP規(guī)范，小到基本門禁安全與識(shí)別證使用細(xì)節(jié)，到電子郵件外寄權(quán)限與文件打印控管，以及電腦設(shè)備與網(wǎng)路使用，每個(gè)月還進(jìn)行超過(guò)200萬(wàn)人次的PIP稽查，在這種情況下員工PIP違規(guī)率維持1%左右。

1%漏洞，百密一疏，這堂課，可說(shuō)臺(tái)積電付的真貴！而其他晶圓廠，引以為鑒更不能心存僥幸。