Các viện nghiên cứu Hàn Quốc dự kiến kiểm tra an ninh chỉ 15,9% số máy chủ

Hơn 16.000 máy chủ nằm ngoài kế hoạch kiểm tra

Các viện nghiên cứu do chính phủ Hàn Quốc tài trợ chỉ chọn 3.025 trong tổng số 19.041 máy chủ để kiểm tra lỗ hổng bảo mật trong năm 2026, theo dữ liệu của Bộ Khoa học và Công nghệ Thông tin trình lên Quốc hội. Như vậy, 16.016 máy chủ, tương đương 84,1%, nằm ngoài phạm vi kiểm tra, dù các hướng dẫn an ninh mạng quốc gia yêu cầu kiểm tra ít nhất mỗi năm một lần.

Số liệu bao gồm 23 viện nghiên cứu trong các lĩnh vực như trí tuệ nhân tạo, bán dẫn, công nghệ sinh học, năng lượng hạt nhân và an ninh mạng. Trong phạm vi kiểm tra hạn chế này, các viện ghi nhận 34.536 lỗ hổng từ ngày 1 tháng 1 đến ngày 16 tháng 10. Cả 23 viện đều cho biết công tác khắc phục vẫn đang được tiến hành.

Một thiếu sót khác liên quan đến khả năng bảo vệ trước phần mềm độc hại. Số liệu được trình bày trong phiên giám sát của Quốc hội cho thấy 17.387 máy chủ, tương đương 91,3%, chưa cài phần mềm diệt virus. Trong số 766 máy chủ kết nối trực tiếp với internet để cung cấp các dịch vụ như trang web, có 372 máy chủ không được bảo vệ bằng phần mềm diệt virus.

Trụ sở bộ có phạm vi bảo vệ rộng hơn nhiều: cả 108 máy chủ đều nằm trong diện kiểm tra lỗ hổng và 100 máy chủ đã cài phần mềm diệt virus. Các nghị sĩ chất vấn vì sao những viện phụ trách nghiên cứu quan trọng cấp quốc gia lại có mức bảo vệ thấp hơn đáng kể trong khi cùng chịu sự điều chỉnh của các hướng dẫn an ninh.

Bộ viện dẫn tình trạng thiếu chuyên gia, chi phí cao của các công cụ quét và khó khăn kỹ thuật khi cài phần mềm diệt virus trên một số thiết bị nghiên cứu. Biện pháp ứng phó được đề xuất bao gồm xây dựng tiêu chí chung để xác định máy chủ nào cần được kiểm tra trước. Nghị sĩ Lee Hoon-ki, thành viên Đảng Dân chủ trong ủy ban khoa học và công nghệ của Quốc hội, thay vào đó kêu gọi rà soát ngay lập tức toàn bộ máy chủ.

Những đơn vị vận hành nhiều máy chủ nhất lại có phạm vi kiểm tra hẹp nhất

Viện Khoa học và Công nghệ Thông tin Hàn Quốc, gọi tắt là KISTI, chọn 267 trong số 11.132 máy chủ để kiểm tra. Viện Nghiên cứu Điện tử và Viễn thông, gọi tắt là ETRI, chọn 100 trong số 3.747 máy chủ.

Hai viện này vận hành tổng cộng 14.879 máy chủ, chiếm khoảng 78,1% trong tổng số máy chủ của 23 viện. Họ chỉ chọn 367 máy chủ để kiểm tra, tương đương khoảng 2,5% tổng số máy chủ của cả hai. Quy mô của hai viện khiến quyết định kiểm tra của họ có ý nghĩa then chốt đối với bức tranh an ninh mạng toàn quốc.

Tỷ lệ cài phần mềm diệt virus trên máy chủ của KISTI là 0,6%, còn tại ETRI là 8,4%. Các viện này phụ trách hạ tầng máy tính và công nghệ truyền thông, khiến việc bảo vệ hệ thống của họ đặc biệt quan trọng đối với hoạt động nghiên cứu.

Số liệu kiểm tra cho biết những máy chủ được chọn kiểm tra trong kỳ báo cáo. Để hiểu khối lượng công việc đã hoàn thành đến đâu, độc giả vẫn cần được cung cấp thông tin đầy đủ về các cuộc kiểm tra đã thực hiện, lỗ hổng đã khắc phục và biện pháp bảo vệ áp dụng cho những máy chủ nằm ngoài danh sách được chọn.

Phạm vi kiểm tra hạn chế kéo dài suốt bốn năm

Dữ liệu của bộ cho thấy đây là tình trạng kéo dài, chứ không phải sự gián đoạn ngắn hạn trong công tác kiểm tra. Trong tổng số 23 viện, tỷ lệ máy chủ nằm ngoài phạm vi kiểm tra lần lượt là 84,2% vào năm 2023, 84,2% năm 2024, 83,7% năm 2025 và 84,1% năm 2026.

Như vậy, trong suốt bốn năm, phạm vi kiểm tra chỉ bao phủ khoảng một trong sáu máy chủ. Mức cải thiện khiêm tốn trong năm 2025 phần lớn đã bị đảo ngược vào năm 2026.

ETRI ghi nhận mức thay đổi mạnh hơn. Tỷ lệ máy chủ nằm ngoài diện kiểm tra của viện tăng từ 61,1% năm 2025 lên 97,3% năm 2026. Tỷ lệ bị loại khỏi diện kiểm tra của KISTI luôn ở trên 96% trong tất cả các năm được xem xét, lên tới 97,6% vào năm 2026.

Viện Nghiên cứu Kỹ thuật Điện Hàn Quốc để 94,8% máy chủ ngoài diện kiểm tra trong cả bốn năm. Tại Viện Nghiên cứu An ninh Quốc gia, tỷ lệ này giảm từ 90,9% trong năm 2023 và 2024 xuống 71,8% năm 2025 và 67,3% năm 2026. Dù vậy, khoảng hai phần ba máy chủ vẫn nằm ngoài phạm vi được chọn.

Quy định kiểm tra yêu cầu những gì

Khoản 2, Điều 53 của Hướng dẫn Cơ bản về An ninh mạng Quốc gia yêu cầu quản trị viên máy chủ rà soát các biện pháp bảo mật, kiểm tra và khắc phục lỗ hổng ít nhất mỗi năm một lần. Những rủi ro được đề cập bao gồm đánh cắp thông tin lưu trữ và tự ý thay đổi cài đặt hoặc dữ liệu trên máy chủ.

Một sửa đổi có hiệu lực từ ngày 1 tháng 5 cũng yêu cầu thường xuyên kiểm tra các lỗ hổng của hệ điều hành và phần mềm, đồng thời cập nhật chúng. Lỗ hổng là điểm yếu, chẳng hạn như cài đặt không an toàn hoặc phần mềm lỗi thời, có thể tạo cơ hội cho người khác xâm nhập hệ thống hoặc can thiệp vào hoạt động của hệ thống.

Các viện áp dụng những tiêu chí khác nhau để chọn mục tiêu kiểm tra. Một số loại trừ các máy chủ đã được kiểm tra trong năm trước; số khác loại những máy dự kiến ngừng hoạt động. Bộ để các tổ chức tự quyết định những tiêu chí này.

Những diễn biến chính trong vài năm qua gồm:

• 2023 đến 2026: Tỷ lệ máy chủ của các viện nằm ngoài phạm vi kiểm tra luôn trên 83% mỗi năm.
• Ngày 1 tháng 5: Một sửa đổi bổ sung yêu cầu kiểm tra định kỳ lỗ hổng phần mềm và cập nhật phần mềm.
• Tháng 7: Ủy ban Kiểm toán và Thanh tra kêu gọi xác định thứ tự ưu tiên kiểm tra khi các viện không thể kiểm tra chi tiết mọi máy chủ.
• Tháng 9 năm 2026: Trong số 19.041 máy chủ của 23 viện, có 1.654 máy đã cài phần mềm diệt virus.
• Ngày 16 tháng 10: Kỳ báo cáo về lỗ hổng kết thúc với 34.536 phát hiện.
• Ngày 20 tháng 10: Các nghị sĩ chất vấn công tác quản lý an ninh của bộ trong đợt kiểm toán các viện nghiên cứu tại Quốc hội.

Hàng nghìn điểm yếu đang chờ được khắc phục

Viện Khoa học và Công nghệ Hàn Quốc, gọi tắt là KIST, ghi nhận 7.079 lỗ hổng, nhiều nhất trong số các viện. Tiếp theo là Viện Nghiên cứu Máy móc và Vật liệu Hàn Quốc với 6.472 lỗ hổng, Viện Khoa học Địa chất và Tài nguyên Khoáng sản Hàn Quốc với 4.290 lỗ hổng, và KISTI với 3.944 lỗ hổng. Viện Nghiên cứu Sinh học và Công nghệ Sinh học Hàn Quốc ghi nhận thêm 2.693 lỗ hổng.

Tại viện nghiên cứu máy móc, 6.472 phát hiện được ghi nhận trên 89 máy chủ, trung bình khoảng 73 lỗ hổng mỗi máy chủ. Một máy có thể có nhiều điểm yếu vì hệ điều hành, ứng dụng và cài đặt bảo mật đều có thể cần được xử lý.

Các viện xếp công tác khắc phục vào diện đang tiến hành. Khắc phục một phát hiện có thể bao gồm cài bản cập nhật, thay đổi cài đặt, gỡ phần mềm không cần thiết hoặc hạn chế quyền truy cập. Số liệu cho biết số lượng điểm yếu được phát hiện, còn khối lượng công việc thực tế phụ thuộc vào mức độ nghiêm trọng và những thay đổi cần thực hiện.

Đối với các nhóm nghiên cứu, công tác khắc phục cũng cần được phối hợp với các hệ thống họ sử dụng. Máy chủ có thể hỗ trợ tính toán, lưu trữ kết quả thí nghiệm hoặc điều khiển thiết bị. Lý do thiếu nhân sự mà bộ đưa ra cho thấy cần có người đủ năng lực đánh giá điểm yếu và tiến hành sửa chữa mà vẫn duy trì được các chức năng đó.

Thiếu phần mềm diệt virus cả trên các dịch vụ internet công cộng

Chỉ 1.654 trong tổng số 19.041 máy chủ của các viện đã cài phần mềm diệt virus, tương đương tỷ lệ 8,7%. Tại trụ sở bộ, tỷ lệ tương ứng là 92,6%, cao hơn 83,9 điểm phần trăm.

Các máy chủ kết nối internet có tỷ lệ được bảo vệ cao hơn toàn bộ hệ thống máy chủ của các viện, nhưng gần một nửa vẫn thiếu phần mềm này: 372 trong số 766 máy chủ, tương đương 48,6%. Những máy này tiếp xúc trực tiếp với internet công cộng, tạo điều kiện để kẻ tấn công dò tìm lỗ hổng trong các dịch vụ của chúng.

Phần mềm diệt virus và hoạt động kiểm tra lỗ hổng đảm nhiệm những chức năng khác nhau. Phần mềm diệt virus tìm kiếm chương trình độc hại hoặc hoạt động đáng ngờ. Kiểm tra lỗ hổng giúp phát hiện những điểm yếu cần sửa chữa. Các viện cần vừa quản lý tình trạng phần mềm, vừa theo dõi dấu hiệu của chương trình gây hại.

Trong phiên chất vấn về tỷ lệ cài phần mềm diệt virus, Kang Sang-wook, Trưởng ban Kế hoạch và Điều phối của bộ, thừa nhận những hạn chế kỹ thuật:

Một số thiết bị tại các viện nghiên cứu gặp khó khăn về kỹ thuật khi cài phần mềm diệt virus, vì vậy không dễ đạt mức bao phủ 100%", ông nói. "Tuy nhiên, tôi cho rằng vẫn còn nhiều dư địa để cải thiện.

Kang cho biết bộ sẽ đẩy nhanh việc cài đặt và tăng cường giám sát để lãnh đạo các viện quan tâm sát sao hơn. Với những thiết bị không thể hỗ trợ phần mềm diệt virus thông thường, Lee kêu gọi xác minh xem chúng có biện pháp bảo vệ tương đương hay không. Các biện pháp này có thể gồm giới hạn chặt quyền truy cập, tách biệt mạng và sử dụng phương thức khác để phát hiện hoạt động độc hại.

Phát hiện phần mềm độc hại làm dấy lên nghi vấn về xếp hạng an ninh tích cực

Một cuộc rà soát trước đó của Ủy ban Kiểm toán và Thanh tra xem xét năm viện nghiên cứu vận hành 17.073 máy chủ. Chỉ 374 máy chủ, tương đương 2,2%, đã cài phần mềm diệt virus. Cuộc rà soát này bao gồm nhóm đối tượng và giai đoạn khác với đợt thống kê tháng 9 trên toàn bộ 23 viện.

Kiểm toán viên kiểm tra 251 máy chủ không có phần mềm diệt virus và phát hiện 38 loại phần mềm độc hại trên 21 máy chủ thuộc bốn viện. Khoảng 8,4% số máy được kiểm tra có chứa mã độc. Tỷ lệ này chỉ phản ánh các máy được chọn trong đợt kiểm tra đó.

Cuộc kiểm toán cũng phát hiện việc chậm cập nhật bảo mật trên các máy chủ lớn và biện pháp kiểm soát chưa đầy đủ đối với các chương trình cho phép truy cập từ bên ngoài vào mạng nội bộ. Những phát hiện này cho thấy các vấn đề trong quy trình vận hành cụ thể, bên cạnh số liệu về tỷ lệ cài phần mềm diệt virus.

Dù tồn tại những điểm yếu đó, hằng năm bộ vẫn đánh giá công tác quản lý an ninh thông tin của các viện ở mức rất tốt. Nghị sĩ Seo Cheon-ho thuộc Đảng Quyền lực Nhân dân đặt câu hỏi liệu những đánh giá này có phản ánh đúng thực trạng bên trong các tổ chức hay không.

Nghị sĩ Kim Nam-guk thuộc Đảng Dân chủ nêu thêm một lỗ hổng trong công tác giám sát. Trong số 19 khuyến nghị và hướng dẫn an ninh được gửi tới các viện nghiên cứu kể từ năm 2023, mới chỉ có một nội dung được kiểm tra mức độ tuân thủ. Ông cho biết bộ cũng chưa xác minh việc thực hiện hướng dẫn liên quan đến một lỗ hổng được xếp vào nhóm rủi ro cao nhất theo hệ thống đánh giá lỗ hổng quốc tế.

Những phát hiện này cho thấy bộ cần tập trung vào hai nhiệm vụ: kiểm tra việc thực hiện các chỉ thị và đánh giá xem hệ thống xếp hạng có phản ánh được các điểm yếu phát hiện trong những cuộc kiểm tra chuyên sâu hơn hay không.

Ngân sách tăng khiến việc phân bổ chi tiêu bị soi xét

Sáu viện cho biết sẽ triển khai cài phần mềm diệt virus theo từng giai đoạn sau khi có kinh phí. Tuy nhiên, tổng ngân sách an ninh thông tin của sáu viện đã tăng từ 2,47 tỷ won lên 3,62 tỷ won, tức tăng 1,15 tỷ won, tương đương 46,3%.

Sáu viện này gồm Viện Công nghệ Xanh Quốc gia, Viện Y học Phương Đông Hàn Quốc, Viện Công nghệ Công nghiệp Hàn Quốc, Viện Nghiên cứu Máy móc và Vật liệu Hàn Quốc, Viện Nghiên cứu Năng lượng Hàn Quốc và Viện Nghiên cứu Kỹ thuật Điện Hàn Quốc. Cả 23 viện đều được duyệt nguyên vẹn ngân sách an ninh thông tin đề xuất, không bị cắt giảm.

Viện Công nghệ Xanh Quốc gia và Viện Y học Phương Đông Hàn Quốc không có khoản ngân sách riêng để mua hoặc duy trì phần mềm diệt virus cho máy chủ trong cả năm 2025 lẫn 2026. Tại viện y học phương Đông, chỉ 2 trong số 141 máy chủ đã cài phần mềm diệt virus.

Viện ước tính chi phí mỗi máy chủ là 500.000 won, tức cần 69,5 triệu won để phủ phần mềm cho 139 máy chủ còn lại. Văn phòng của Lee so sánh khoản tiền này với 43 triệu won chi cho phí đường truyền mạng, 28 triệu won cho dịch vụ đám mây và 22 triệu won cho thiết bị xóa dữ liệu trên phương tiện lưu trữ từ tính.

Ba khoản này tổng cộng 93 triệu won. So sánh đó tập trung sự chú ý vào việc ngân sách an ninh được chi cho những hạng mục nào, bên cạnh tổng kinh phí các tổ chức nhận được. Một số đợt cài phần mềm diệt virus được lên lịch vào năm 2027 hoặc 2028, khiến Lee kêu gọi hoàn thành sớm hơn.

Tệp nghiên cứu cũng bị bỏ lại trên ổ cứng

Ủy ban Kiểm toán và Thanh tra phát hiện một vi phạm an ninh thông tin vật lý tại Viện Nghiên cứu Hàng không Vũ trụ Hàn Quốc. Một nhà nghiên cứu chuyển sang tổ chức khác đã tự ý mang theo một ổ cứng. Ổ cứng chứa 60.956 tệp nghiên cứu, trong đó có tài liệu liên quan đến bốn dự án an ninh quốc gia.

Sự việc đưa các thiết bị lưu trữ vào cùng cuộc tranh luận về máy chủ. Bảo vệ thông tin nghiên cứu cũng đòi hỏi quy định về người được phép mang ổ cứng ra ngoài, người có quyền phê duyệt và cách ghi nhận việc di chuyển.

Một số vấn đề vẫn chưa được làm rõ: chưa có thông tin xác nhận dữ liệu nghiên cứu bị tiết lộ do các phát hiện phần mềm độc hại hoặc vụ mang ổ cứng đi; chưa hoàn tất điều tra những sự việc này; và chưa có thời hạn cụ thể để khắc phục toàn bộ lỗ hổng. Các mốc tiếp theo được công bố liên quan đến tiêu chí kiểm tra của bộ và đợt rà soát mà các nghị sĩ yêu cầu.

Bộ phải hoàn thành tiêu chí ưu tiên kiểm tra đúng hạn

Bộ dự kiến xây dựng tiêu chí ưu tiên chung trước cuối năm 2026 và áp dụng từ năm 2027. Bộ cũng cho biết đang thu thập các tiêu chí hiện có của các viện và đưa những hạng mục ưu tiên thiết yếu vào kế hoạch trong năm 2026, tạo bước chuẩn bị trước khi khuôn khổ rộng hơn có hiệu lực.

Quy tắc ưu tiên sẽ xác định máy nào được chú ý trước khi nhân lực và công cụ còn hạn chế. Lee cho rằng việc quyết định thứ tự kiểm tra không được làm ảnh hưởng đến nghĩa vụ kiểm tra và khắc phục lỗ hổng hằng năm trên toàn bộ máy chủ.

Lee cũng kêu gọi hoàn tất rà soát an ninh toàn diện đối với máy chủ trước cuối năm. Về trách nhiệm của bộ đối với các thiết bị không thể hỗ trợ phần mềm diệt virus, ông nói:

"Bộ cũng phải xác minh rằng những máy chủ không thể cài phần mềm diệt virus đã có các biện pháp bảo vệ thay thế tương đương, đồng thời tăng cường trách nhiệm giám sát để bảo đảm lãnh đạo các viện trực tiếp phụ trách an ninh thông tin", ông nói.

Những phát hiện tổng hợp đặt phạm vi kiểm tra, công tác khắc phục, bảo vệ trước phần mềm độc hại và trách nhiệm quản lý vào cùng một chương trình nghị sự. Đối với các viện, phép thử thực tế là liệu mỗi máy chủ có lịch kiểm tra cụ thể hay không, các lỗ hổng đã xác định có được khắc phục hay không, và thiết bị chuyên dụng có được bảo vệ phù hợp với cách vận hành hay không.

Điểm chính

• Trong năm 2026, 23 viện nghiên cứu chọn 3.025 trong tổng số 19.041 máy chủ để kiểm tra lỗ hổng, tương đương tỷ lệ 15,9%.
• Tính đến ngày 16 tháng 10, các viện ghi nhận 34.536 lỗ hổng và công tác khắc phục vẫn đang tiến hành.
• 17.387 máy chủ chưa cài phần mềm diệt virus, trong đó có 372 máy kết nối trực tiếp với internet.
• Một cuộc kiểm toán trước đó phát hiện 38 loại phần mềm độc hại trên 21 trong số 251 máy chủ được kiểm tra.
• Sáu viện viện dẫn khó khăn về kinh phí đã được tăng tổng cộng 46,3% ngân sách an ninh.
• Bộ dự kiến hoàn thành tiêu chí ưu tiên kiểm tra chung vào cuối năm để áp dụng từ năm 2027; các nghị sĩ muốn tiến hành rà soát toàn diện sớm hơn.