---
title: FR-159 SEMI E187 導覽
status: 走查完成（DEV，2026-10-22）
relates: [FR-158, FR-159]
---

# SEMI E187 導覽

用鈞拓精密設備送驗 JT-EP700 電漿蝕刻機的案例，從「框架」一路走到「每條查核步驟的證據與判定」。全程約 15 分鐘，共 12 站。截圖在 [demo-guide/](demo-guide/)。

## 情境（開場白）

鈞拓精密設備是新竹科學園區的半導體設備製造商，做 12 吋電漿蝕刻機。主要客戶晶辰半導體要求：2027 年第一季起，進廠設備須取得 SEMI E187 驗證。所以鈞拓請恆鑑資安顧問協助，在送台灣設備資安檢測實驗室查核前，先做一輪內部自評，查核基準日預定 2027-01-15。

送驗的標的是**一個設備型號：JT-EP700**。系統上就是一個資源庫、一個專案。

## 路線

### 1. 登入　`01-login-filled.png`、`02-dashboard.png`
登入後落在專案儀表板。這一站只是帶人進系統，不用多講。

### 2. 合規框架管理　`03-framework-list.png`
清單裡有 SEMI E187 半導體設備資安查核 v1.0，發布機關為數位發展部數位產業署／SEMI。
**講**：框架是官方規範的結構化版本，由系統內建，所有客戶共用；客戶不改框架，只在框架之上建自己的資源庫。

### 3. 框架版本與內容　`04-framework-version.png`、`05-framework-controls.png`
從框架列「功能 → 內容」進版本頁，再開版本內容：左側可放 PDF 原文，右側是 15 條控制項與 31 個評估目標（AO），每條附建議證據與 Note。
**講**：規範的第 4 章（設備型號、出場品管）與第 5 章（作業系統、網路、端點、存取控制、日誌）被拆成 5 個群組、15 條控制項、31 個 AO；每個 AO 都對應一個要回答的是／否問題。
**對應規範**：4.1～4.3、5.1～5.12。

### 4. 合規資源庫　`06-library-list.png`、`07-library-edit.png`
清單中「鈞拓精密 JT-EP700 SEMI E187 送驗準備」。從「功能 → 編輯合規資源庫」進入。頁籤：基本資料、適用控制項、受評標的、負責單位（7）、責任人員（10）、系統元件與資產（14）、程序書文件池（9）。頂端兩個進度條各 100%：15 條控制項預設值與 31 個 AO 都已設定。
**講**：資源庫是「這家公司的標準答案」——顧問依客戶情況一次填好，之後每個專案都從這裡複製出去。

### 5. 專案總覽　`08-project-overview.png`
專案「鈞拓 JT-EP700 SEMI E187 送驗查核」：5 個群組、15 條控制項、31 個任務，套用「內外稽核流程」，目前停在規劃階段，任務全部尚未開始。
**講**：專案套的是內外稽核流程——先由鈞拓自己備齊證據，之後檢測實驗室進場查核、判定、追蹤改善，都在同一個專案裡走完。今天看到的是證據備齊、還沒啟動查核的狀態。

### 6. 專案規劃：控制項實作　`09-planning-controls.png`
左側控制項樹，右側是條文、負責部門、RACI、現況說明、參考程序書，下方是評估任務。
**講**：每條控制項都寫了「現在做到哪」，並掛上對應的程序書。

### 7. 系統安全計畫　`10-ssp-target.png`、`11-ssp-people.png`、`12-ssp-assets.png`、`13-ssp-participants.png`
- **受評標的**：JT-EP700，含範圍、導入時程、分工、判準
- **責任人員（10）**：鈞拓的窗口、研發主管、品保、資安主任，恆鑑顧問兩位，檢測實驗室的授權機構窗口
- **系統元件與資產（14）**：Windows 10 IoT LTSC 2021、.NET 6、OpenSSH、OpenSSL、Defender、SQL Server Express，以及設備資產
- **專案參與人員**：系統上的帳號與角色
**講**：SSP 把「受評設備由什麼組成、誰負責什麼」寫清楚，是後面所有判斷的底。

### 8. 程序書管理　`14-procedures.png`
9 份程序書與技術文件，每份右側的連結數字表示掛在幾條控制項上（例：Security Guide 掛 8 條）。
**講**：同一份文件回答多條規範，系統只存一份。

### 9. 任務：4.3 出場品管　`15-task-4.3.png`
總覽 → 出場品管作業 → 展開評估項目 → 點任務，右側開出任務抽屜：描述、任務指南、證據（2 件）、評論。
**講**：每個任務告訴你「要交什麼」，證據是原始文件、一份一件；評論寫「證什麼、來源、判定、缺口」。

### 10. 任務：5.5 弱點緩解（符合）　`16-task-5.5-scan.png`、`17-task-5.5-mitigation.png`
弱點掃描報告三個運算節點、依 CVSS 分級，最高一筆 High 是 OpenSSL 舊版（CVE-2022-0778）。緩解方式：SSH 預設關閉、只在維護模式開放，防火牆只允許維護網段；資訊安全室主任簽核（有簽核單與防火牆規則畫面為證）。
**講**：有高風險弱點不等於不符合——規範要的是「最嚴重等級都已修復或緩解」，這裡緩解措施與簽核都在。評論判定：符合。

### 11. 任務：5.8 系統強化（不符合）　`18-task-5.8-usb.png`、`20-control-5.8-status.png`
強化說明與 Security Guide 都寫「USB 儲存裝置預設停用」，但實機畫面顯示卸除式存放裝置原則為已啟用（`USBSTOR Start=3`，文件寫 `Start=4`）。評論判定：不符合，並列出三項改善建議。
**講**：這就是自評的價值——送驗前找出文件與實機的落差。控制項現況開頭標【不符合】，狀態為「部分實作」。

### 12. 任務：5.12 日誌類別（不符合）　`19-task-5.12-log.png`、`21-control-5.12-status.png`
Security Guide 宣稱記錄存取控制、配置變更、系統錯誤三類；實際日誌有存取控制（登入、建帳號）與系統錯誤（服務異常、HSMS 連線中斷），但配方與網路設定變更只顯示在 HMI 畫面，沒有寫進日誌（2026-11-05 配方從 v12 變 v13，中間沒有紀錄）。評論判定：不符合。
**講**：缺口有明確證據（日誌匯出檔）與建議（應用程式寫日誌、開啟稽核原則變更）。

## 判定放在哪裡

SSP 的實作狀態沒有「不符合」選項，所以 5.8、5.12 的狀態是「部分實作」，現況開頭標【不符合】，缺失與建議在 SSP 欄位，判定段在任務評論。專案不啟動稽核，所以沒有系統缺失與結案報告。

## 常見問答

**為什麼是設備商送驗，不是晶圓廠？**
規範 1.3.3 定義申請者是對設備設計或出場設定有控制權的製造商或代理商，第 4 章查的是設備編碼規則與出場品管，只有設備商拿得出來。晶圓廠的角色是在採購規格裡要求設備商取得驗證。

**為什麼一個型號一個專案？**
規範的受評對象是「設備型號」。同一主型號的次型號只差腔體數與射頻規格、不影響資安功能，以主型號送驗；換主型號就是另一份查核，所以另建資源庫與專案。

**不符合怎麼追蹤？**
5.8、5.12 的缺失與建議寫在 SSP 欄位，任務評論的判定段寫明缺口與證據。改善完成後補傳證據、改評論。若之後啟動稽核，系統會把這些帶入缺失清單與改善流程。

**為什麼專案停在規劃階段？**
本次 demo 的範圍是送驗前準備與證據。專案已套內外稽核流程，檢測實驗室進場後才啟動查核、做判定，那時系統才產生缺失清單與結案報告。

**弱點掃描與惡意軟體掃描報告是怎麼來的？**
規範 5.5、5.6 的掃描由申請者於檢測實驗室監督下執行；專案內放的是申請者的內部預掃報告，作為送驗前的準備。