半導體產業高度數位化，企業資安風險已從內部資訊系統延伸至雲端服務與委外供應鏈。近日傳出台積電員工資料疑似外洩事件，有人士在地下網路論壇聲稱持有約4.6萬筆、總容量約6.9GB的員工資料，並公開兜售。台積電強調，目前沒有證據顯示公司內部系統遭入侵，也未發現生產或客戶資料受到影響。
近日台積電員工資料外洩事件，凸顯第三方雲端供應鏈資安風險，也使得第三方雲端資安治理受到關注。
|
台積電表示，部分資料與第三方雲端服務供應商系統中的紀錄相符，至於實際外洩筆數、資料完整性及取得途徑，尚待進一步查證；目前已陸續通知受影響人員並提供必要協助，同時與雲端服務供應商、調查機關及第三方資安機構合作，釐清事件原因與影響範圍。
此事件凸顯半導體產業的資安風險已從企業內部系統延伸至第三方雲端服務。大型科技企業即使建立嚴密的內部資安防護，仍有可能因外部服務商的資料處理、存取權限或維運管理承受風險。尤其半導體產業涉及大量員工、設備、研發與供應鏈資訊，資料分級與委外安全管理已成為企業治理的重要環節。值得注意的是，目前尚無公開證據顯示台積電生產系統、製程機密或客戶資料受到影響，也不能在調查完成前認定特定攻擊途徑。
從技術層面觀察，第三方雲端服務通常涉及資料儲存、身分驗證、系統介接及遠端管理。若供應商未落實最小權限原則、加密保護、存取紀錄稽核與異常行為監測，即使企業核心網路未遭入侵，也可能發生資料未授權存取或外流。未來供應商的資料存取權限、個資保護、安全稽核及事故通報機制，將成為高科技企業強化供應鏈資安治理的重要課題。
對台灣半導體設備、電子製造及系統整合供應鏈，資安管理不能僅停留在供應商簽約前的資格審查，而應該涵蓋資料生命週期、權限核發與撤銷、系統安全測試、持續監控及事故通報。對持有員工個資的外部服務商，更應建立明確的資料保存期限與刪除機制。
這起事件反映高科技產業的資安防線已延伸至第三方雲端服務。後續應持續追蹤實際受影響人數、資料類型、外流原因及供應商改善措施，並觀察半導體產業是否進一步強化委外資安稽核、資料隔離與供應鏈安全驗證制度。
