Institut Penyelidikan Korea Selatan Merancang Pemeriksaan Keselamatan bagi Hanya 15.9% Pelayan

Lebih 16,000 pelayan tidak termasuk dalam pemeriksaan yang dirancang

Institut penyelidikan yang dibiayai kerajaan Korea Selatan memilih hanya 3,025 daripada 19,041 pelayan mereka untuk pemeriksaan kerentanan keselamatan pada 2026, menurut data Kementerian Sains dan ICT yang dikemukakan kepada Perhimpunan Kebangsaan. Ini menyebabkan 16,016 pelayan, atau 84.1%, tidak termasuk dalam skop pemeriksaan, meskipun garis panduan keselamatan siber negara mewajibkan pemeriksaan sekurang-kurangnya sekali setahun.

Angka itu meliputi 23 institut yang menjalankan penyelidikan dalam bidang termasuk kecerdasan buatan, semikonduktor, bioteknologi, tenaga nuklear dan keselamatan siber. Dalam skop pemeriksaan yang terhad itu, institut berkenaan merekodkan 34,536 kerentanan antara 1 Januari hingga 16 Oktober. Kesemua 23 institut menyatakan kerja menangani penemuan itu masih berjalan.

Jurang kedua berkaitan perlindungan daripada perisian berniat jahat. Angka yang dibentangkan semasa penelitian parlimen menunjukkan 17,387 pelayan, atau 91.3%, tidak dipasang perisian antivirus. Daripada 766 pelayan yang disambungkan terus ke internet untuk menyediakan perkhidmatan seperti laman web, 372 daripadanya tidak mempunyai perlindungan antivirus.

Ibu pejabat kementerian mempunyai liputan yang jauh lebih menyeluruh: kesemua 108 pelayannya termasuk dalam pemeriksaan kerentanan, manakala 100 daripadanya dipasang antivirus. Ahli Parlimen mempersoalkan mengapa institut yang bertanggungjawab terhadap penyelidikan penting negara beroperasi dengan perlindungan yang jauh lebih terhad di bawah garis panduan keselamatan yang sama.

Kementerian menyebut kekurangan kakitangan pakar, kos alat pengimbasan yang tinggi dan kesukaran teknikal memasang antivirus pada sesetengah peralatan penyelidikan. Langkah yang dicadangkan termasuk kriteria bersama untuk menentukan pelayan yang perlu diperiksa terlebih dahulu. Lee Hoon-ki, anggota Parti Demokratik dalam jawatankuasa sains dan teknologi Perhimpunan Kebangsaan, sebaliknya menggesa semakan segera yang meliputi setiap pelayan.

Pengendali pelayan terbesar mempunyai liputan paling terhad

Institut Sains dan Teknologi Maklumat Korea, yang dikenali sebagai KISTI, memilih 267 daripada 11,132 pelayannya untuk diperiksa. Institut Penyelidikan Elektronik dan Telekomunikasi, atau ETRI, memilih 100 daripada 3,747 pelayannya.

Secara keseluruhan, kedua-dua institut itu mengendalikan 14,879 pelayan, kira-kira 78.1% daripada jumlah keseluruhan di 23 institut berkenaan. Mereka memilih hanya 367 pelayan untuk diperiksa, kira-kira 2.5% daripada jumlah gabungan mereka. Saiz operasi mereka menjadikan keputusan pemeriksaan kedua-duanya penting kepada gambaran keselamatan negara.

Kadar pemasangan antivirus pada pelayan KISTI ialah 0.6%, manakala ETRI mencatatkan 8.4%. Tanggungjawab mereka merangkumi infrastruktur pengkomputeran dan teknologi komunikasi, menjadikan perlindungan sistem mereka amat penting kepada operasi penyelidikan.

Angka pemeriksaan itu menunjukkan pelayan yang dipilih untuk diperiksa dalam tempoh pelaporan. Pembaca masih memerlukan laporan lengkap tentang pemeriksaan yang telah dijalankan, kelemahan yang telah diperbaiki dan perlindungan yang dikenakan pada pelayan di luar pemilihan itu untuk mengetahui sejauh mana kerja telah diselesaikan.

Skop pemeriksaan terhad selama empat tahun

Data kementerian menunjukkan corak berterusan, bukannya gangguan singkat dalam pemeriksaan. Bagi kesemua 23 institut, bahagian pelayan yang tidak termasuk dalam skop pemeriksaan ialah 84.2% pada 2023, 84.2% pada 2024, 83.7% pada 2025 dan 84.1% pada 2026.

Oleh itu, liputan kekal sekitar satu daripada enam pelayan sepanjang tempoh empat tahun itu. Peningkatan kecil pada 2025 sebahagian besarnya berbalik pada 2026.

ETRI mencatatkan perubahan yang lebih ketara. Bahagian pelayannya yang tidak diperiksa meningkat daripada 61.1% pada 2025 kepada 97.3% pada 2026. Bahagian pelayan KISTI yang dikecualikan kekal melebihi 96% setiap tahun yang diteliti, mencecah 97.6% pada 2026.

Institut Penyelidikan Elektroteknologi Korea tidak memasukkan 94.8% pelayannya dalam pemeriksaan pada setiap satu daripada empat tahun itu. Di Institut Penyelidikan Keselamatan Negara, bahagian yang dikecualikan turun daripada 90.9% pada 2023 dan 2024 kepada 71.8% pada 2025 dan 67.3% pada 2026. Peningkatan itu masih bermakna kira-kira dua pertiga pelayan tidak termasuk dalam skop yang dipilih.

Keperluan peraturan pemeriksaan

Perkara 53, perenggan 2, Garis Panduan Asas Keselamatan Siber Negara mewajibkan pentadbir pelayan menyemak langkah keselamatan mereka serta memeriksa dan menangani kerentanan sekurang-kurangnya setiap tahun. Risiko yang diliputi termasuk kecurian maklumat tersimpan dan perubahan tanpa kebenaran pada tetapan atau data pelayan.

Pindaan yang berkuat kuasa pada 1 Mei turut mewajibkan pemeriksaan berkala terhadap kerentanan sistem pengendalian dan perisian serta kemas kini. Kerentanan ialah kelemahan, seperti tetapan yang tidak selamat atau perisian lapuk, yang boleh memberi peluang kepada seseorang untuk menceroboh sistem atau mengganggu operasinya.

Institut menggunakan kriteria berbeza untuk memilih sasaran pemeriksaan. Ada yang mengecualikan pelayan yang diperiksa pada tahun sebelumnya; yang lain mengecualikan mesin yang dijadualkan untuk dilupuskan. Kementerian menyerahkan keputusan itu kepada setiap institusi.

Perkembangan utama merangkumi beberapa tahun:

• 2023 hingga 2026: Bahagian pelayan institut yang tidak termasuk dalam skop pemeriksaan kekal melebihi 83% setiap tahun.
• 1 Mei: Pindaan menambah keperluan pemeriksaan berkala terhadap kerentanan perisian dan kemas kini.
• Julai: Lembaga Audit dan Pemeriksaan menggesa penetapan keutamaan pemeriksaan jika institut tidak dapat memeriksa setiap pelayan secara terperinci.
• September 2026: Liputan antivirus di 23 institut ialah 1,654 daripada 19,041 pelayan.
• 16 Oktober: Tempoh pelaporan kerentanan berakhir dengan 34,536 penemuan.
• 20 Oktober: Ahli Parlimen mempersoalkan pengurusan keselamatan kementerian semasa audit parlimen terhadap institut penyelidikan.

Ribuan kelemahan masih menunggu tindakan pembetulan

Institut Sains dan Teknologi Korea, atau KIST, merekodkan 7,079 kerentanan, jumlah tertinggi antara institut berkenaan. Institut Jentera dan Bahan Korea menyusul dengan 6,472, Institut Geosains dan Sumber Mineral Korea dengan 4,290, dan KISTI dengan 3,944. Institut Penyelidikan Biosains dan Bioteknologi Korea merekodkan 2,693 lagi.

Di institut jentera itu, 6,472 penemuan dikenal pasti daripada 89 pelayan, iaitu purata kira-kira 73 bagi setiap pelayan. Satu mesin boleh mempunyai banyak kelemahan kerana sistem pengendalian, aplikasi dan tetapan keselamatannya masing-masing mungkin memerlukan perhatian.

Institut mengelaskan kerja pembetulan sebagai masih berjalan. Membetulkan sesuatu penemuan boleh melibatkan pemasangan kemas kini, perubahan tetapan, pembuangan perisian yang tidak diperlukan atau sekatan akses. Angka itu menunjukkan jumlah kelemahan yang dikenal pasti, manakala beban kerja sebenar bergantung pada tahap keterukan dan perubahan yang diperlukan.

Bagi pasukan penyelidikan, kerja pembetulan juga perlu diselaraskan dengan sistem yang mereka gunakan. Pelayan mungkin menyokong pengiraan, menyimpan hasil eksperimen atau mengawal peralatan. Penjelasan kementerian tentang kekurangan kakitangan menunjukkan perlunya tenaga kerja yang mampu menilai kelemahan dan melaksanakan pembaikan sambil mengekalkan fungsi tersebut.

Jurang antivirus turut melibatkan perkhidmatan internet awam

Hanya 1,654 daripada 19,041 pelayan institut dipasang antivirus, iaitu kadar pemasangan sebanyak 8.7%. Di ibu pejabat kementerian, angka sepadan ialah 92.6%, jurang sebanyak 83.9 mata peratusan.

Liputan antivirus bagi pelayan yang disambungkan ke internet lebih baik berbanding keseluruhan inventori institut, namun hampir separuh masih tidak mempunyai perisian itu: 372 daripada 766, atau 48.6%. Mesin ini berhubung secara langsung dengan internet awam, sekali gus memberi penyerang laluan untuk menguji perkhidmatannya bagi mencari kelemahan.

Perisian antivirus dan pemeriksaan kerentanan menjalankan fungsi yang berbeza. Antivirus mengesan program berniat jahat atau aktiviti mencurigakan. Pemeriksaan kerentanan pula mencari kelemahan yang perlu dibaiki. Institut perlu mengurus keadaan perisian mereka serta mengesan tanda kehadiran program berbahaya.

Ketua perancangan dan penyelarasan kementerian, Kang Sang-wook, mengakui adanya batasan teknikal ketika disoal mengenai liputan antivirus:

Sesetengah peralatan di institut penyelidikan sukar dipasang perisian antivirus dari segi teknikal, jadi mencapai liputan 100 peratus bukan perkara mudah," katanya. "Namun, saya berpendapat masih banyak ruang untuk penambahbaikan.

Kang berkata kementerian akan mempercepat pemasangan dan memperkukuh pengawasan supaya ketua institut memberikan perhatian lebih serius. Bagi peralatan yang tidak dapat menggunakan antivirus konvensional, Lee menggesa pengesahan bahawa perlindungan setara disediakan. Langkah itu boleh merangkumi sekatan akses yang ketat, pengasingan rangkaian dan kaedah lain untuk mengesan aktiviti berniat jahat.

Penemuan perisian hasad mempersoalkan penarafan keselamatan yang positif

Semakan terdahulu oleh Lembaga Audit dan Pemeriksaan meneliti lima institut penyelidikan yang mengendalikan 17,073 pelayan. Hanya 374 pelayan, atau 2.2%, dipasang antivirus. Semakan itu meliputi kumpulan dan tempoh yang berbeza daripada bancian September terhadap kesemua 23 institut.

Juruaudit memeriksa 251 pelayan tanpa antivirus dan mengesan 38 jenis perisian berniat jahat pada 21 pelayan di empat institut. Kira-kira 8.4% mesin yang diperiksa mengandungi perisian hasad. Kadar itu merujuk kepada mesin yang dipilih untuk pemeriksaan tersebut.

Audit itu turut mengenal pasti kelewatan dalam kemas kini keselamatan pada pelayan utama serta kawalan yang tidak mencukupi terhadap program yang membenarkan akses dari luar ke rangkaian dalaman. Penemuan ini menggambarkan amalan operasi sebenar di samping angka pemasangan antivirus.

Meskipun terdapat kelemahan itu, kementerian setiap tahun menilai pengurusan keselamatan maklumat institut sebagai sangat baik. Ahli Parlimen Parti Kuasa Rakyat, Seo Cheon-ho, mempersoalkan sama ada penilaian tersebut mencerminkan keadaan sebenar di institusi berkenaan.

Ahli Parlimen Parti Demokratik, Kim Nam-guk, membangkitkan satu lagi jurang pengawasan. Daripada 19 syor dan garis panduan keselamatan yang dihantar kepada institut penyelidikan sejak 2023, pematuhan terhadap hanya satu daripadanya sedang diperiksa. Katanya, kementerian juga gagal mengesahkan tindakan susulan terhadap panduan mengenai kerentanan yang diberikan kategori risiko tertinggi di bawah sistem penilaian kerentanan antarabangsa.

Secara keseluruhan, penemuan itu menunjukkan dua tugas untuk kementerian: memeriksa sama ada arahan dipatuhi dan menguji sama ada penarafannya mencerminkan kelemahan yang ditemui dalam pemeriksaan lebih terperinci.

Peningkatan belanjawan menimbulkan persoalan tentang pilihan perbelanjaan

Enam institut berkata mereka akan memasang antivirus secara berperingkat selepas memperoleh pembiayaan. Namun, jumlah belanjawan keselamatan maklumat mereka meningkat daripada 2.47 bilion won kepada 3.62 bilion won, iaitu kenaikan 1.15 bilion won atau 46.3%.

Enam institut itu ialah Institut Teknologi Hijau Negara, Institut Perubatan Oriental Korea, Institut Teknologi Perindustrian Korea, Institut Jentera dan Bahan Korea, Institut Penyelidikan Tenaga Korea dan Institut Penyelidikan Elektroteknologi Korea. Kesemua 23 institut menerima kelulusan bagi belanjawan keselamatan maklumat yang dimohon tanpa sebarang pemotongan.

Institut Teknologi Hijau Negara dan Institut Perubatan Oriental Korea tidak mempunyai peruntukan belanjawan khusus untuk memperoleh atau menyelenggara antivirus pelayan pada 2025 mahupun 2026. Di institut perubatan oriental itu, hanya dua daripada 141 pelayan dipasang antivirus.

Institut itu menganggarkan kos sebanyak 500,000 won bagi setiap pelayan, menjadikan kos meliputi baki 139 pelayan sebanyak 69.5 juta won. Pejabat Lee membandingkan jumlah itu dengan perbelanjaan keselamatan maklumat sebanyak 43 juta won untuk yuran talian rangkaian, 28 juta won untuk perkhidmatan awan dan 22 juta won untuk peralatan memadam media storan magnetik.

Jumlah bagi ketiga-tiga kategori itu ialah 93 juta won. Perbandingan tersebut menumpukan perhatian pada perkara yang dibeli menggunakan belanjawan keselamatan, selain jumlah dana yang diterima institusi. Sesetengah pemasangan antivirus dijadualkan pada 2027 atau 2028, mendorong Lee menggesa agar kerja itu diselesaikan lebih awal.

Fail penyelidikan turut dibawa keluar menggunakan cakera keras

Lembaga Audit dan Pemeriksaan mengenal pasti kegagalan keselamatan maklumat fizikal di Institut Penyelidikan Aeroangkasa Korea. Seorang penyelidik yang berpindah ke institusi lain membawa keluar cakera keras tanpa kebenaran. Cakera itu mengandungi 60,956 fail penyelidikan, termasuk bahan berkaitan empat projek keselamatan negara.

Insiden itu meletakkan peranti storan dalam perbincangan yang sama dengan pelayan. Perlindungan maklumat penyelidikan juga memerlukan peraturan tentang siapa yang boleh membawa keluar pemacu, siapa yang meluluskan tindakan itu dan cara pergerakannya direkodkan.

Beberapa perkara masih belum dipastikan: laporan tidak mengesahkan pendedahan data penyelidikan akibat penemuan perisian hasad atau pemindahan cakera, tiada siasatan terhadap kejadian itu yang telah selesai, dan tiada tarikh pasti untuk menyiapkan semua pembaikan kerentanan. Pencapaian seterusnya yang dinyatakan melibatkan kriteria pemeriksaan kementerian dan semakan yang dituntut ahli Parlimen.

Kementerian berdepan tarikh akhir untuk menetapkan keutamaan pemeriksaan

Kementerian merancang menetapkan kriteria keutamaan bersama menjelang akhir 2026 dan menggunakannya mulai 2027. Kementerian turut menyatakan bahawa ia akan mengumpulkan kriteria sedia ada institut dan memasukkan perkara keutamaan penting sepanjang 2026, sebagai langkah awal sebelum rangka kerja yang lebih menyeluruh berkuat kuasa.

Peraturan keutamaan akan menentukan mesin yang perlu diberi perhatian terlebih dahulu apabila kakitangan dan alat terhad. Lee berhujah bahawa penentuan turutan pemeriksaan mesti mengekalkan kewajipan tahunan untuk memeriksa dan menangani kerentanan pada semua pelayan.

Lee turut menggesa semakan keselamatan menyeluruh terhadap pelayan sebelum akhir tahun. Mengenai tanggungjawab kementerian terhadap peralatan yang tidak dapat menggunakan antivirus, katanya:

"Kementerian juga mesti mengesahkan bahawa pelayan yang tidak dapat dipasang antivirus mempunyai perlindungan alternatif setara, dan perlu memperkukuh tanggungjawab pengawasannya bagi memastikan ketua institut sendiri mengambil alih tanggungjawab keselamatan maklumat," katanya.

Keseluruhan penemuan itu meletakkan liputan pemeriksaan, kerja pembaikan, perlindungan daripada perisian hasad dan akauntabiliti pengurusan dalam agenda yang sama. Bagi institut, ujian praktikalnya ialah sama ada setiap pelayan mempunyai jadual pemeriksaan yang ditetapkan, kelemahan yang dikenal pasti menerima tindakan pembetulan dan peralatan khusus dilindungi dengan langkah yang sesuai dengan operasinya.

Perkara Utama

• Ke-23 institut penyelidikan memilih 3,025 daripada 19,041 pelayan untuk pemeriksaan kerentanan pada 2026, iaitu kadar 15.9%.
• Institut merekodkan 34,536 kerentanan sehingga 16 Oktober, manakala kerja pembetulan masih berjalan.
• Antivirus tiada pada 17,387 pelayan, termasuk 372 yang disambungkan terus ke internet.
• Audit terdahulu mengesan 38 jenis perisian hasad pada 21 daripada 251 pelayan yang diperiksa.
• Enam institut yang menyebut kekangan pembiayaan menerima peningkatan gabungan belanjawan keselamatan sebanyak 46.3%.
• Kementerian merancang menetapkan keutamaan pemeriksaan bersama menjelang akhir tahun untuk dilaksanakan pada 2027; ahli Parlimen mahukan semakan menyeluruh lebih awal.