SEMI E187 導覽

用鈞拓精密設備送驗 JT-EP700 電漿蝕刻機的案例，從「框架」一路走到「每條查核步驟的證據與判定」。全程約 15 分鐘，共 12 站。截圖在 demo-guide/。

鈞拓精密設備是新竹科學園區的半導體設備製造商，做 12 吋電漿蝕刻機。主要客戶晶辰半導體要求：2027 年第一季起，進廠設備須取得 SEMI E187 驗證。所以鈞拓請恆鑑資安顧問協助，在送台灣設備資安檢測實驗室查核前，先做一輪內部自評，查核基準日預定 2027-01-15。

送驗的標的是一個設備型號：JT-EP700。系統上就是一個資源庫、一個專案。

1. 登入　01-login-filled.png、02-dashboard.png

登入後落在專案儀表板。這一站只是帶人進系統，不用多講。

2. 合規框架管理　03-framework-list.png

清單裡有 SEMI E187 半導體設備資安查核 v1.0，發布機關為數位發展部數位產業署／SEMI。 講：框架是官方規範的結構化版本，由系統內建，所有客戶共用；客戶不改框架，只在框架之上建自己的資源庫。

3. 框架版本與內容　04-framework-version.png、05-framework-controls.png

從框架列「功能 → 內容」進版本頁，再開版本內容：左側可放 PDF 原文，右側是 15 條控制項與 31 個評估目標（AO），每條附建議證據與 Note。 講：規範的第 4 章（設備型號、出場品管）與第 5 章（作業系統、網路、端點、存取控制、日誌）被拆成 5 個群組、15 條控制項、31 個 AO；每個 AO 都對應一個要回答的是／否問題。 對應規範：4.1～4.3、5.1～5.12。

4. 合規資源庫　06-library-list.png、07-library-edit.png

清單中「鈞拓精密 JT-EP700 SEMI E187 送驗準備」。從「功能 → 編輯合規資源庫」進入。頁籤：基本資料、適用控制項、受評標的、負責單位（7）、責任人員（10）、系統元件與資產（14）、程序書文件池（9）。頂端兩個進度條各 100%：15 條控制項預設值與 31 個 AO 都已設定。 講：資源庫是「這家公司的標準答案」——顧問依客戶情況一次填好，之後每個專案都從這裡複製出去。

5. 專案總覽　08-project-overview.png

專案「鈞拓 JT-EP700 SEMI E187 送驗前自評」：5 個群組、15 條控制項、31 個任務，目前狀態停在規劃，任務全部尚未開始。 講：這個專案是送驗前的內部準備。查核判定由檢測實驗室做，不在這個專案裡做。

6. 專案規劃：控制項實作　09-planning-controls.png

左側控制項樹，右側是條文、負責部門、RACI、現況說明、參考程序書，下方是評估任務。 講：每條控制項都寫了「現在做到哪」，並掛上對應的程序書。

7. 系統安全計畫　10-ssp-target.png、11-ssp-people.png、12-ssp-assets.png、13-ssp-participants.png

• 受評標的：JT-EP700，含範圍、導入時程、分工、判準
• 責任人員（10）：鈞拓的窗口、研發主管、品保、資安主任，恆鑑顧問兩位，檢測實驗室的授權機構窗口
• 系統元件與資產（14）：Windows 10 IoT LTSC 2021、.NET 6、OpenSSH、OpenSSL、Defender、SQL Server Express，以及設備資產
• 專案參與人員：系統上的帳號與角色 講：SSP 把「受評設備由什麼組成、誰負責什麼」寫清楚，是後面所有判斷的底。

8. 程序書管理　14-procedures.png

9 份程序書與技術文件，每份右側的連結數字表示掛在幾條控制項上（例：Security Guide 掛 8 條）。 講：同一份文件回答多條規範，系統只存一份。

9. 任務：4.3 出場品管　15-task-4.3.png

總覽 → 出場品管作業 → 展開評估項目 → 點任務，右側開出任務抽屜：描述、任務指南、證據（2 件）、評論。 講：每個任務告訴你「要交什麼」，證據是原始文件、一份一件；評論寫「證什麼、來源、判定、缺口」。

10. 任務：5.5 弱點緩解（符合）　16-task-5.5-scan.png、17-task-5.5-mitigation.png

弱點掃描報告三個運算節點、依 CVSS 分級，最高一筆 High 是 OpenSSL 舊版（CVE-2022-0778）。緩解方式：SSH 預設關閉、只在維護模式開放，防火牆只允許維護網段；資訊安全室主任簽核（有簽核單與防火牆規則畫面為證）。 講：有高風險弱點不等於不符合——規範要的是「最嚴重等級都已修復或緩解」，這裡緩解措施與簽核都在。評論判定：符合。

11. 任務：5.8 系統強化（不符合）　18-task-5.8-usb.png、20-control-5.8-status.png

強化說明與 Security Guide 都寫「USB 儲存裝置預設停用」，但實機畫面顯示卸除式存放裝置原則為已啟用（USBSTOR Start=3，文件寫 Start=4）。評論判定：不符合，並列出三項改善建議。 講：這就是自評的價值——送驗前找出文件與實機的落差。控制項現況開頭標【不符合】，狀態為「部分實作」。

12. 任務：5.12 日誌類別（不符合）　19-task-5.12-log.png、21-control-5.12-status.png

Security Guide 宣稱記錄存取控制、配置變更、系統錯誤三類；實際日誌有存取控制（登入、建帳號）與系統錯誤（服務異常、HSMS 連線中斷），但配方與網路設定變更只顯示在 HMI 畫面，沒有寫進日誌（2026-11-05 配方從 v12 變 v13，中間沒有紀錄）。評論判定：不符合。 講：缺口有明確證據（日誌匯出檔）與建議（應用程式寫日誌、開啟稽核原則變更）。

SSP 的實作狀態沒有「不符合」選項，所以 5.8、5.12 的狀態是「部分實作」，現況開頭標【不符合】，缺失與建議在 SSP 欄位，判定段在任務評論。專案不啟動稽核，所以沒有系統缺失與結案報告。

為什麼是設備商送驗，不是晶圓廠？ 規範 1.3.3 定義申請者是對設備設計或出場設定有控制權的製造商或代理商，第 4 章查的是設備編碼規則與出場品管，只有設備商拿得出來。晶圓廠的角色是在採購規格裡要求設備商取得驗證。

為什麼一個型號一個專案？ 規範的受評對象是「設備型號」。同一主型號的次型號只差腔體數與射頻規格、不影響資安功能，以主型號送驗；換主型號就是另一份查核，所以另建資源庫與專案。

不符合怎麼追蹤？ 5.8、5.12 的缺失與建議寫在 SSP 欄位，任務評論的判定段寫明缺口與證據。改善完成後補傳證據、改評論。若之後啟動稽核，系統會把這些帶入缺失清單與改善流程。

為什麼專案停在規劃階段？ 本次 demo 的範圍是送驗前準備與證據。查核判定由檢測實驗室做，所以專案不啟動稽核、不產系統缺失與結案報告。

弱點掃描與惡意軟體掃描報告是怎麼來的？ 規範 5.5、5.6 的掃描由申請者於檢測實驗室監督下執行；專案內放的是申請者的內部預掃報告，作為送驗前的準備。