2018年8月11日 星期六

台積電電腦病毒感染事件分析


台積電在8月3日傍晚受到WannaCry的變種電腦病毒感染,使得機台當機,部分自動搬運系統無法正常運作,影響範圍遍及台積電竹科、中科與南科全台廠區。此事件除了讓投資人相當緊張,也受到國內外媒體的關注。台積電創辦人張忠謀甫於今年6月退休,台積電雙首長董事長劉德音與魏哲家剛接棒兩個月,電腦病毒感染事件爆發後,台積電兩度透過公告對外說明事件與影響情況,但是外界對於整個事件的疑慮還是沒有減低,更讓大家擔心的是復工時間比原先預期晚了將近一天,台積電為了減少外界的擔心,8月6日下午召開重大訊息說明記者會,由魏哲家親自出席,對事件做更完整說明,他說明病毒是在台積電拿到機台就在裡面,因為新機台在連結網路前並未先隔離確保無病毒,才造成病毒進入公司網路,他坦承是台積電自己的疏失造成。但是台積電強調台積公司資料的完整性和機密資訊皆未受到影響,台積公司現在正研發「防呆系統」,未來將會辨識新機器是否經過相關掃描程序,一旦沒有完成檢查將自動禁止設備與廠內網路連線。台積電估計此病毒感染造成約52億元台幣的營業損失,第三季約1%的毛利率損失。魏哲家強調事件發生後,除將台積電內部所有災害降到最低,並與客戶溝通及合作,客戶對台積電的應變措施滿意,且沒有要求支付違約金,還有客戶高層發簡訊打氣,與客戶間的關係還更加強。
    台積電核心價值強調「ICIC」(integrity、commitment、innovation、customer trust),誠信正直、承諾、創新、客戶信任,本事件的發生對於台積的信任形象(C3)絕對有負面的影響,過去台積電在商業機密與資訊安全的管理可以說是世界級的嚴謹,我實在很難想像這樣的公司會發生這種事,雖然許多媒體對於魏哲家6日記者會的表現給與肯定,台積電的短期股價雖有受影響但是程度不大,但是我還是對於當天記者會的內容存有相當多的疑問,這幾天我搜尋了一些新聞、雜誌與PTT資訊,對於台積電本次病毒事件,依可能對台積電信任形象(C3)影響程度的高低分成三種可能,以下我一一說明:

最差的情境(the worst scenario)
本次事件對台積電信任形象(C3)影響最大的情況就是台積電對外的解釋的版本,台積電解釋本事件發生原因,主要是出於「新機台在安裝軟體的過程中操作失誤」,病毒在新機台連接到台積電內部電腦網路時,發生病毒擴散,這是非常簡單清楚的SOP問題,我很難想台積電整個公司裡會有員工敢不照SOP來執行新機台的裝機程序,甚或有工廠部門的管理階層會沒有Double Check下面員工是否遵守SOP就放任其自行違反程序的安裝。如果真的是這樣情境(scenario),我建議台積電必須好好的檢討管理螺絲是否已經鬆了的問題,公司上下必須把這件事視為重大事件,管理階層必須清楚的找出組織管理的問題,這已經不是資安的問題而已。

次差的情境(less worse scenario)
半導體產業是與時間賽跑的行業,雖然未來幾年台積電在七與五奈米製程是處於世界領先的地位,但是後面的追兵相當多,無論三星或是格羅方德(GLOBAL FOUNDRIES)皆緊追在後面,如果要完全照SOP來走,有些時候是很耗時耗力的,因此針對特殊情形,台積電在確保供應商(Vendor)過去的紀錄優良下,在SOP上可能會做出一些彈性,這些彈性是公司高層認可的,很不幸的,本次WannaCry的變種電腦病毒不是只有感染單一機器,只要連線就主動搜尋攻擊網路上所有裝置Window 7系統的硬體設備漏洞,因此裝機後再掃描已經為時已晚。如果是這個情境(scenario),台積電應針對SOP遵守與生產效率平衡的問題做一個通盤的檢討,未來應往資訊安全SOP的方向靠攏,不然會因小失大。此情境(scenario)代表管理階層是在知情下所犯的錯誤,我認為再怎麼經驗老到的管理人員難免會犯錯,只要在發生錯誤後能馬上檢討改進,我認為以台積電的組織韌性,未來在發生此錯誤的可能性不高,魏哲家6日在記者會說,以後不會再發生同樣的事情這句話,我可以完全信服。
這次事件因為牽涉到供應商(Vendor),這家供應商對台積電一定感到虧欠,尤其本次事件台積電幾乎扛起本次事件所有責任,這家供應上與台積電的關係已經昇華到C3最高境界,也就是Benevolence(同理仁慈心)的境界,未來該供應商與台積電的關係會更密切,這家供應商很大的可能是台積電關鍵技術供應商,不然台積電不可能會在SOP上給與彈性,如果這些假設皆成立,我認為本次事件雖短期有不好的影響,但長期而言,對台積電保持市場技術領先地位會很有幫助。

稍差的情境(minor worse scenario)
此情境與次差情境相似,只是供應商(Vendor)改為客戶,台積電主要客戶包含Apple、AMD、NVIDIA、聯發科、高通、賽靈思、華為等,這次SOP的彈性要求有可能是來自於主要客戶的要求,台積電的服務強調虛擬晶圓工廠的服務,顧客與台積電的資訊連結本來就相當密切,讀者可以想像台積電就如同這些公司的工廠,而這些公司就如同研發設計部門,研發設計部門與生產部門本來就有互動密切的關係,研發設計部門很多時候要進行許多更正與修正的程序,工廠部門必須配合,每次更正與修正如果完全依照SOP可能會非常耗時,因此針對特殊情形,台積電在確保這位顧客過去的紀錄優良下,可能在SOP上做了一些彈性,這些彈性是公司高層認可的,很不幸的,本次WannaCry的變種電腦病毒產生前所未有的狀況。
如果是這個情境(scenario),台積電將來給與顧客SOP彈性一定會減少,以後顧客也比較不敢隨便要求台積電SOP的方便,長期而言對台積電的顧客管理是有幫助的。這次事件因為牽涉到客戶,這家客戶對台積電一定感到虧欠,尤其本次事件台積電幾乎扛起本次事件所有責任,這家客戶與台積電的關係也已經昇華到C3 Benevolence(同理仁慈心)的境界,未來該客戶與台積電的關係會更密切,我們可以觀察未來訂單的變化來確認這個推論。如果是這個情境,我認為這家客戶應該是台積電先進製程的重要客戶,如Apple或是AMD,因為這次事件主要影響的廠區是最先進的製程7奈米的廠區, Apple的7奈米a12晶片正在大量生產中,而AMD的七奈米的繪圖晶片VegaZen 2 架構的新一代 EPYC 伺服器晶片皆會採用台積電服務。如果以上推論是正確的,那麼魏哲家6日在記者會說,「客戶對台積電的應變措施滿意,且沒有要求支付違約金,還有客戶高層發簡訊打氣,與客戶間的關係還更加強」,我可以完全信服。

沒有留言:

張貼留言

注意:只有此網誌的成員可以留言。