Mga Institusyon ng Pananaliksik sa South Korea, Susuriin ang Seguridad ng 15.9% Lamang ng mga Server

Mahigit 16,000 server, hindi kasama sa planong pagsusuri

Pinili ng mga institusyong pananaliksik na pinopondohan ng pamahalaan ng South Korea ang 3,025 lamang sa kanilang 19,041 server para sa pagsusuri ng mga kahinaan sa seguridad sa 2026, ayon sa datos ng Ministry of Science and ICT na isinumite sa Pambansang Asamblea. Dahil dito, hindi kasama sa saklaw ng inspeksiyon ang 16,016 server, o 84.1%, kahit hinihingi ng pambansang mga alituntunin sa cybersecurity na magsagawa ng pagsusuri kahit minsan sa isang taon.

Saklaw ng mga bilang ang 23 institusyong nagsasagawa ng pananaliksik sa mga larangan kabilang ang artificial intelligence, semiconductors, biotechnology, enerhiyang nuklear at cybersecurity. Sa limitadong saklaw ng inspeksiyon, nakapagtala ang mga institusyon ng 34,536 kahinaan mula Enero 1 hanggang Oktubre 16. Sinabi ng lahat ng 23 na nagpapatuloy pa ang pag-aayos sa mga natuklasan.

Isa pang kakulangan ang proteksiyon laban sa mapaminsalang software. Ipinakita ng mga bilang na iniharap sa pagsusuri ng parlyamento na walang antivirus software na naka-install sa 17,387 server, o 91.3%. Sa 766 server na direktang nakakonekta sa internet para maghatid ng mga serbisyo gaya ng mga website, walang proteksiyon ng antivirus ang 372.

Mas malawak ang saklaw ng proteksiyon sa punong tanggapan ng ministeryo: kasama sa pagsusuri ng mga kahinaan ang lahat ng 108 server nito, at may naka-install na antivirus sa 100. Kinuwestiyon ng mga mambabatas kung bakit mas makitid nang malaki ang proteksiyon sa mga institusyong namamahala ng pananaliksik na mahalaga sa bansa, kahit saklaw ang mga ito ng kaparehong mga alituntunin sa seguridad.

Binanggit ng ministeryo ang kakulangan ng mga espesyalistang kawani, mahal na mga kasangkapan sa pag-scan at mga teknikal na suliranin sa pag-install ng antivirus sa ilang kagamitang pananaliksik. Kabilang sa mga iminungkahing hakbang ang pagtatakda ng magkakatulad na pamantayan sa pagpapasya kung aling mga server ang unang susuriin. Sa halip, nanawagan si Rep. Lee Hoon-ki, miyembro ng Democratic Party sa komite ng agham at teknolohiya ng Pambansang Asamblea, ng agarang pagsusuri sa bawat server.

Pinakamakitid ang saklaw sa mga institusyong may pinakamaraming server

Pinili ng Korea Institute of Science and Technology Information, na kilala bilang KISTI, ang 267 sa 11,132 server nito para sa pagsusuri. Pinili naman ng Electronics and Telecommunications Research Institute, o ETRI, ang 100 sa 3,747.

Magkasamang nagpapatakbo ang dalawang institusyong ito ng 14,879 server, o humigit-kumulang 78.1% ng kabuuan sa 23 institusyon. Pumili lamang sila ng 367 para inspeksiyunin, katumbas ng humigit-kumulang 2.5% ng pinagsama nilang mga server. Dahil sa laki ng kanilang operasyon, mahalaga sa pambansang larawan ang mga pasya nila tungkol sa inspeksiyon.

0.6% ang porsiyento ng mga server ng KISTI na may naka-install na antivirus, habang 8.4% naman sa ETRI. Kabilang sa mga tungkulin nila ang pagpapatakbo ng imprastraktura sa kompyutasyon at teknolohiya sa komunikasyon, kaya partikular na mahalaga sa mga operasyon ng pananaliksik ang pagprotekta sa kanilang mga sistema.

Inilalarawan ng mga bilang sa inspeksiyon ang mga server na pinili para suriin sa panahon ng pag-uulat. Kailangan pa rin ng mga mambabasa ng kumpletong tala kung aling mga pagsusuri ang naisagawa, aling mga kahinaan ang naayos at anong proteksiyon ang inilapat sa mga server na hindi kabilang sa pagpiling iyon upang malaman kung gaano karami na ang nagawa.

Apat na taon ng makitid na saklaw ng inspeksiyon

Ipinakikita ng datos ng ministeryo ang nagpapatuloy na kalakaran, hindi lamang panandaliang paghinto sa mga inspeksiyon. Sa 23 institusyon, 84.2% ng mga server ang hindi kabilang sa saklaw ng inspeksiyon noong 2023, 84.2% noong 2024, 83.7% noong 2025 at 84.1% noong 2026.

Kaya nanatiling halos isa lamang sa bawat anim na server ang saklaw ng pagsusuri sa loob ng apat na taon. Halos nabawi noong 2026 ang bahagyang pagbuti noong 2025.

Mas kapansin-pansin ang pagbabago sa ETRI. Tumaas mula 61.1% noong 2025 tungong 97.3% noong 2026 ang bahagdan ng mga server nito na hindi isinama sa inspeksiyon. Nanatiling lampas 96% ang bahagdan ng mga server ng KISTI na hindi isinama sa bawat taong sinuri, at umabot ito sa 97.6% noong 2026.

Hindi isinama ng Korea Electrotechnology Research Institute sa inspeksiyon ang 94.8% ng mga server nito sa bawat isa sa apat na taon. Sa National Security Research Institute, bumaba ang bahagdan ng mga hindi isinama mula 90.9% noong 2023 at 2024 tungong 71.8% noong 2025 at 67.3% noong 2026. Gayunman, halos dalawang katlo pa rin ang hindi kabilang sa napiling saklaw.

Mga hinihingi ng mga tuntunin sa inspeksiyon

Inaatasan ng Artikulo 53, talata 2, ng National Cybersecurity Basic Guidelines ang mga tagapangasiwa ng server na suriin ang kanilang mga hakbang sa seguridad at siyasatin at ayusin ang mga kahinaan kahit minsan sa isang taon. Kabilang sa mga panganib ang pagnanakaw ng nakaimbak na impormasyon at hindi awtorisadong pagbabago sa mga setting o datos ng server.

Inaatasan din ng isang susog na nagkabisa noong Mayo 1 ang regular na pagsusuri sa mga kahinaan ng operating system at software, gayundin ang paglalapat ng mga update. Ang kahinaan ay depekto, gaya ng hindi ligtas na setting o lumang software, na maaaring samantalahin ng isang tao upang makapasok sa sistema o makagambala sa operasyon nito.

Iba-iba ang pamantayang ginamit ng mga institusyon sa pagpili ng mga server na susuriin. Hindi isinama ng ilan ang mga server na sinuri noong nakaraang taon; hindi naman isinama ng iba ang mga makinang nakatakdang alisin sa serbisyo. Ipinauubaya ng ministeryo sa bawat institusyon ang pagpiling ito.

Kabilang sa mahahalagang pangyayari sa loob ng ilang taon ang mga sumusunod:

• 2023 hanggang 2026: Nanatiling lampas 83% bawat taon ang bahagdan ng mga server ng mga institusyon na hindi kabilang sa saklaw ng inspeksiyon.
• Mayo 1: Nagdagdag ang isang susog ng mga rekisito para sa regular na pagsusuri ng mga kahinaan sa software at paglalapat ng mga update.
• Hulyo: Nanawagan ang Board of Audit and Inspection na magtakda ng mga prayoridad sa inspeksiyon para sa mga institusyong hindi kayang suriin nang detalyado ang lahat ng server.
• Setyembre 2026: May antivirus ang 1,654 sa 19,041 server sa 23 institusyon.
• Oktubre 16: Nagtapos ang panahon ng pag-uulat ng mga kahinaan, na may 34,536 natuklasan.
• Oktubre 20: Kinuwestiyon ng mga mambabatas ang pamamahala ng ministeryo sa seguridad sa pag-audit ng parlyamento sa mga institusyong pananaliksik.

Libo-libong kahinaan ang naghihintay na ayusin

Nakapagtala ang Korea Institute of Science and Technology, o KIST, ng 7,079 kahinaan, ang pinakamataas na bilang sa mga institusyon. Sumunod ang Korea Institute of Machinery and Materials na may 6,472, ang Korea Institute of Geoscience and Mineral Resources na may 4,290, at ang KISTI na may 3,944. Nakapagtala naman ang Korea Research Institute of Bioscience and Biotechnology ng 2,693 pa.

Sa institusyon ng makinarya, nagmula sa 89 server ang 6,472 natuklasan, o humigit-kumulang 73 sa bawat server. Maaaring magkaroon ng maraming kahinaan ang iisang makina dahil maaaring kailangang ayusin ang operating system, mga application at mga setting ng seguridad nito.

Inilarawan ng mga institusyon na nagpapatuloy pa ang gawaing pagwawasto. Maaaring kabilang sa pag-aayos ng natuklasan ang pag-install ng update, pagbabago ng setting, pag-alis ng hindi kailangang software o paghihigpit sa access. Ipinakikita ng mga bilang ang dami ng natukoy na kahinaan, ngunit nakasalalay ang aktuwal na bigat ng trabaho sa tindi ng mga ito at sa mga pagbabagong kailangan.

Kailangan ding iugnay ng mga pangkat ng pananaliksik ang gawaing pagwawasto sa mga sistemang ginagamit nila. Maaaring suportahan ng mga server ang mga kalkulasyon, mag-imbak ng mga resulta ng eksperimento o magkontrol ng kagamitan. Ipinahihiwatig ng paliwanag ng ministeryo tungkol sa kakulangan ng kawani na kailangan ng mga taong kayang magsuri ng kahinaan at magsagawa ng pagkukumpuni habang pinananatili ang mga tungkuling ito.

May kakulangan sa antivirus maging sa mga serbisyong bukas sa internet

May naka-install na antivirus sa 1,654 lamang sa 19,041 server ng mga institusyon, katumbas ng 8.7%. Sa punong tanggapan ng ministeryo, 92.6% ang katumbas na bilang, kaya 83.9 puntos-porsiyento ang agwat.

Mas mataas ang saklaw ng antivirus sa mga server na nakakonekta sa internet kaysa sa kabuuang imbentaryo ng mga institusyon, ngunit halos kalahati pa rin ang walang software: 372 sa 766, o 48.6%. Direktang nakikipag-ugnayan ang mga makinang ito sa pampublikong internet, na nagbibigay sa mga umaatake ng daan upang siyasatin ang kanilang mga serbisyo at hanapin ang mga kahinaan.

Magkaiba ang tungkulin ng antivirus software at pagsusuri ng mga kahinaan. Hinahanap ng antivirus ang mga mapaminsalang programa o kahina-hinalang aktibidad. Hinahanap naman ng pagsusuri ng mga kahinaan ang mga depektong kailangang ayusin. Kailangang pamahalaan ng mga institusyon kapwa ang kalagayan ng kanilang software at ang mga palatandaang may mapaminsalang programa sa sistema.

Kinilala ni Kang Sang-wook, pinuno ng pagpaplano at koordinasyon ng ministeryo, ang mga teknikal na limitasyon nang tanungin tungkol sa saklaw ng antivirus:

May ilang kagamitang ginagamit sa mga institusyong pananaliksik na teknikal na mahirap lagyan ng antivirus software, kaya hindi madaling makamit ang 100 porsiyentong saklaw," aniya. "Pero sa tingin ko, malaki pa ang puwang para sa pagpapabuti.

Sinabi ni Kang na bibilisan ng ministeryo ang pag-install at paiigtingin ang pangangasiwa upang mas tutukan ito ng mga pinuno ng institusyon. Para sa kagamitang hindi kayang gumamit ng karaniwang antivirus, nanawagan si Lee na tiyakin ang pagkakaroon ng katumbas na proteksiyon. Kabilang dito ang mahigpit na paglilimita sa access, paghihiwalay ng mga network at paggamit ng iba pang paraan upang matukoy ang mapaminsalang aktibidad.

Kinukuwestiyon ng mga natuklasan sa malware ang magagandang marka sa seguridad

Sinuri ng naunang pagsusuri ng Board of Audit and Inspection ang limang institusyong pananaliksik na nagpapatakbo ng 17,073 server. May naka-install na antivirus sa 374 server lamang, o 2.2%. Iba ang grupong saklaw at panahon ng pagsusuring iyon kumpara sa bilang noong Setyembre para sa lahat ng 23 institusyon.

Sinuri ng mga auditor ang 251 server na walang antivirus at nakatuklas ng 38 uri ng mapaminsalang software sa 21 server sa apat na institusyon. May malware sa humigit-kumulang 8.4% ng mga makinang sinuri. Tumutukoy ang porsiyentong ito sa mga makinang pinili para sa pagsusuri.

Nakita rin sa pag-audit ang pagkaantala sa paglalapat ng mga update sa seguridad sa mahahalagang server at ang kakulangan ng mga kontrol sa mga programang nagpapahintulot ng access mula sa labas papunta sa mga panloob na network. Ipinakikita ng mga natuklasang ito ang aktuwal na mga gawain sa operasyon kasabay ng mga bilang tungkol sa pag-install ng antivirus.

Sa kabila ng mga kahinaang iyon, taunang binibigyan ng ministeryo ng napakahusay na marka ang pamamahala sa seguridad ng impormasyon ng mga institusyon. Kinuwestiyon ni Seo Cheon-ho, mambabatas ng People Power Party, kung tunay na sumasalamin sa kalagayan sa loob ng mga institusyon ang mga pagtatayang ito.

Nagbanggit si Kim Nam-guk, mambabatas ng Democratic Party, ng isa pang kakulangan sa pangangasiwa. Sa 19 rekomendasyon at alituntunin sa seguridad na ipinadala sa mga institusyong pananaliksik mula 2023 pataas, isa lamang ang sinusuri kung sinusunod. Sinabi rin niyang nabigong tiyakin ng ministeryo kung kumilos ang mga institusyon kaugnay ng gabay tungkol sa isang kahinaang itinalaga sa pinakamataas na antas ng panganib sa isang internasyonal na sistema ng pagtatasa ng kahinaan.

Magkasamang tinutukoy ng mga natuklasang ito ang dalawang tungkulin ng ministeryo: tiyakin kung sinusunod ang mga tagubilin at suriin kung naipakikita ng mga marka nito ang mga kahinaang lumilitaw sa mas masusing pagsusuri.

Dahil sa paglaki ng badyet, sinusuri ang mga pagpili sa paggasta

Sinabi ng anim na institusyon na unti-unti silang mag-i-install ng antivirus kapag nakakuha na ng pondo. Gayunman, tumaas mula 2.47 bilyong won tungong 3.62 bilyong won ang pinagsama nilang mga badyet para sa seguridad ng impormasyon, pagtaas na 1.15 bilyong won, o 46.3%.

Ang anim ay ang National Institute of Green Technology, Korea Institute of Oriental Medicine, Korea Institute of Industrial Technology, Korea Institute of Machinery and Materials, Korea Institute of Energy Research at Korea Electrotechnology Research Institute. Inaprubahan ang hinihinging badyet ng lahat ng 23 institusyon para sa seguridad ng impormasyon nang walang bawas.

Walang hiwalay na laang-gugulin para sa pagbili o pagpapanatili ng antivirus ng server ang National Institute of Green Technology at Korea Institute of Oriental Medicine noong 2025 o 2026. Sa institusyon ng oriental medicine, dalawa lamang sa 141 server ang may naka-install na antivirus.

Tinataya ng institusyon na 500,000 won ang gastos sa bawat server, kaya 69.5 milyong won ang kakailanganin para sa natitirang 139 server. Inihambing ng tanggapan ni Lee ang halagang iyon sa 43 milyong won na ginastos sa bayarin sa linya ng network, 28 milyong won sa mga serbisyong cloud at 22 milyong won sa kagamitang ginagamit sa pagbura ng magnetic storage media para sa seguridad ng impormasyon.

Umabot sa 93 milyong won ang kabuuan ng tatlong kategoryang iyon. Itinutuon ng paghahambing ang pagsusuri sa kung saan ginagastos ang mga badyet sa seguridad, kasabay ng halaga ng pondong natatanggap ng mga institusyon. May ilang pag-install ng antivirus na itinakda para sa 2027 o 2028, kaya nanawagan si Lee na matapos ang mga ito nang mas maaga.

Naiwan din sa hard drive ang mga file ng pananaliksik

Natukoy ng Board of Audit and Inspection ang pagkabigo sa pisikal na seguridad ng impormasyon sa Korea Aerospace Research Institute. Inalis ng isang mananaliksik na lumipat sa ibang institusyon ang hard drive nang walang pahintulot. Nasa loob nito ang 60,956 file ng pananaliksik, kabilang ang mga materyal na kaugnay ng apat na proyekto para sa pambansang seguridad.

Isinasama ng insidenteng ito ang mga storage device sa usapin ng mga server. Kailangan ding magkaroon ng mga tuntunin para sa pagprotekta sa impormasyon ng pananaliksik na nagtatakda kung sino ang maaaring mag-alis ng drive, sino ang mag-aapruba nito at paano itatala ang paglipat.

May ilang usapin pang hindi nalulutas: walang kumpirmadong paglalantad ng datos ng pananaliksik mula sa mga natuklasan sa malware o sa pag-alis ng drive, wala pang natatapos na imbestigasyon sa mga pangyayaring iyon, at wala pang tiyak na petsa para makumpleto ang lahat ng pagkukumpuni sa mga kahinaan. Ang mga susunod na itinakdang hakbang ay tungkol sa pamantayan ng ministeryo sa inspeksiyon at sa pagsusuring hinihingi ng mga mambabatas.

May takdang panahon ang ministeryo sa pagtatakda ng mga prayoridad sa inspeksiyon

Plano ng ministeryo na magtakda ng magkakatulad na pamantayan sa prayoridad pagsapit ng katapusan ng 2026 at ipatupad ang mga ito simula 2027. Inilarawan din nito ang pangongolekta sa kasalukuyang pamantayan ng mga institusyon at pagsasama ng mahahalagang prayoridad sa 2026, bilang naunang hakbang bago magkabisa ang mas malawak na balangkas.

Tutukuyin ng mga tuntunin sa prayoridad kung aling mga makina ang unang aasikasuhin kapag limitado ang mga kawani at kagamitan. Iginiit ni Lee na sa pagtatakda ng pagkakasunod-sunod ng inspeksiyon ay dapat pa ring matupad ang taunang obligasyong suriin at ayusin ang mga kahinaan sa lahat ng server.

Nanawagan din si Lee na kumpletuhin ang pagsusuri sa seguridad ng lahat ng server bago matapos ang taon. Tungkol sa pananagutan ng ministeryo sa kagamitang hindi kayang lagyan ng antivirus, sinabi niya:

"Dapat ding tiyakin ng ministeryo na may katumbas na alternatibong proteksiyon ang mga server na hindi kayang lagyan ng antivirus, at dapat nitong paigtingin ang tungkulin nito sa pangangasiwa upang matiyak na direktang pinangangasiwaan ng mga pinuno ng institusyon ang seguridad ng impormasyon," aniya.

Pinagsasama ng mga natuklasan ang saklaw ng inspeksiyon, pagkukumpuni, proteksiyon laban sa malware at pananagutan ng pamunuan sa iisang adyenda. Para sa mga institusyon, ang praktikal na pagsubok ay kung may nakatalagang iskedyul ng inspeksiyon para sa bawat server, kung naaaksyunan ang mga natukoy na kahinaan at kung may angkop na proteksiyon ang mga espesyal na kagamitan ayon sa paraan ng paggamit sa mga ito.

Mahahalagang Punto

• Pinili ng 23 institusyong pananaliksik ang 3,025 sa 19,041 server para sa pagsusuri ng mga kahinaan noong 2026, katumbas ng 15.9%.
• Nakapagtala ang mga ito ng 34,536 kahinaan hanggang Oktubre 16, at nagpapatuloy pa ang pagwawasto.
• Walang antivirus sa 17,387 server, kabilang ang 372 na direktang nakakonekta sa internet.
• Nakatuklas ang naunang pag-audit ng 38 uri ng malware sa 21 sa 251 server na sinuri.
• Tumaas nang pinagsamang 46.3% ang badyet sa seguridad ng anim na institusyong nagsabing kapos sila sa pondo.
• Plano ng ministeryo na magtakda ng magkakatulad na prayoridad sa inspeksiyon bago matapos ang taon para ipatupad sa 2027; nais ng mga mambabatas na maisagawa nang mas maaga ang kumpletong pagsusuri.