Lembaga Riset Korea Selatan Merencanakan Pemeriksaan Keamanan Hanya untuk 15,9% Server

Lebih dari 16.000 server tidak tercakup dalam pemeriksaan yang direncanakan

Lembaga riset yang didanai pemerintah Korea Selatan memilih hanya 3.025 dari 19.041 server mereka untuk pemeriksaan kerentanan keamanan pada 2026, menurut data Kementerian Sains dan TIK yang diserahkan kepada Majelis Nasional. Dengan demikian, 16.016 server, atau 84,1%, berada di luar cakupan pemeriksaan, meski pedoman keamanan siber nasional mewajibkan pemeriksaan setidaknya sekali setahun.

Angka tersebut mencakup 23 lembaga yang melakukan riset di bidang, antara lain, kecerdasan buatan, semikonduktor, bioteknologi, energi nuklir, dan keamanan siber. Dalam cakupan pemeriksaan yang terbatas itu, lembaga-lembaga tersebut mencatat 34.536 kerentanan antara 1 Januari dan 16 Oktober. Seluruh 23 lembaga menyatakan upaya untuk menangani temuan tersebut masih berlangsung.

Kesenjangan kedua berkaitan dengan perlindungan terhadap perangkat lunak berbahaya. Angka yang disampaikan dalam pemeriksaan parlemen menunjukkan bahwa 17.387 server, atau 91,3%, tidak dilengkapi perangkat lunak antivirus. Dari 766 server yang terhubung langsung ke internet untuk menyediakan layanan seperti situs web, 372 di antaranya tidak memiliki perlindungan antivirus.

Kantor pusat kementerian memiliki cakupan yang jauh lebih luas: seluruh 108 servernya masuk dalam pemeriksaan kerentanan, dan 100 di antaranya telah dipasangi antivirus. Para anggota parlemen mempertanyakan alasan lembaga yang bertanggung jawab atas riset penting nasional beroperasi dengan perlindungan yang jauh lebih terbatas meski mengikuti pedoman keamanan yang sama.

Kementerian menyebut kekurangan tenaga ahli, mahalnya perangkat pemindaian, serta kendala teknis dalam memasang antivirus pada sebagian peralatan riset. Langkah yang diusulkan mencakup kriteria bersama untuk menentukan server mana yang harus diperiksa lebih dahulu. Anggota Majelis Nasional dari Partai Demokrat yang duduk di komite sains dan teknologi, Lee Hoon-ki, justru menyerukan pemeriksaan segera yang mencakup semua server.

Operator server terbesar memiliki cakupan pemeriksaan tersempit

Institut Sains dan Teknologi Informasi Korea, yang dikenal sebagai KISTI, memilih 267 dari 11.132 servernya untuk diperiksa. Institut Riset Elektronika dan Telekomunikasi, atau ETRI, memilih 100 dari 3.747 servernya.

Kedua lembaga tersebut mengoperasikan total 14.879 server, sekitar 78,1% dari keseluruhan server di 23 lembaga. Mereka hanya memilih 367 server untuk diperiksa, sekitar 2,5% dari gabungan inventaris mereka. Besarnya skala kedua lembaga itu membuat keputusan pemeriksaan mereka berperan penting dalam gambaran nasional.

Tingkat pemasangan antivirus pada server KISTI adalah 0,6%, sedangkan pada ETRI 8,4%. Tanggung jawab kedua lembaga mencakup infrastruktur komputasi dan teknologi komunikasi, sehingga perlindungan sistem mereka sangat relevan bagi kegiatan riset.

Angka pemeriksaan menunjukkan jumlah server yang dipilih untuk diperiksa selama periode pelaporan. Untuk memahami seberapa banyak pekerjaan yang telah diselesaikan, pembaca masih memerlukan laporan lengkap mengenai pemeriksaan yang dilakukan, kerentanan yang diperbaiki, serta perlindungan yang diterapkan pada server di luar cakupan pemeriksaan.

Empat tahun dengan cakupan pemeriksaan terbatas

Data kementerian menunjukkan pola berkelanjutan, bukan gangguan singkat dalam pelaksanaan pemeriksaan. Di seluruh 23 lembaga, porsi server yang berada di luar cakupan pemeriksaan mencapai 84,2% pada 2023, 84,2% pada 2024, 83,7% pada 2025, dan 84,1% pada 2026.

Dengan demikian, selama empat tahun cakupan pemeriksaan hanya berkisar satu dari enam server. Perbaikan tipis pada 2025 sebagian besar berbalik pada 2026.

ETRI mencatat perubahan yang lebih tajam. Porsi servernya yang tidak diperiksa naik dari 61,1% pada 2025 menjadi 97,3% pada 2026. Porsi server KISTI yang tidak diperiksa tetap di atas 96% pada setiap tahun yang ditinjau, mencapai 97,6% pada 2026.

Institut Riset Elektroteknologi Korea tidak memasukkan 94,8% servernya ke dalam pemeriksaan pada masing-masing dari empat tahun tersebut. Di Institut Riset Keamanan Nasional, porsi yang tidak diperiksa turun dari 90,9% pada 2023 dan 2024 menjadi 71,8% pada 2025 dan 67,3% pada 2026. Meski membaik, sekitar dua pertiga server masih berada di luar cakupan yang dipilih.

Ketentuan dalam aturan pemeriksaan

Pasal 53 ayat 2 Pedoman Dasar Keamanan Siber Nasional mewajibkan administrator server meninjau langkah-langkah keamanan mereka serta memeriksa dan menangani kerentanan setidaknya setiap tahun. Risiko yang dicakup meliputi pencurian informasi tersimpan dan perubahan tanpa izin pada pengaturan atau data server.

Amandemen yang berlaku mulai 1 Mei juga mewajibkan pemeriksaan berkala terhadap kerentanan sistem operasi dan perangkat lunak serta pembaruan. Kerentanan adalah kelemahan, seperti pengaturan yang tidak aman atau perangkat lunak usang, yang dapat membuka peluang bagi seseorang untuk memasuki sistem atau mengganggu operasinya.

Lembaga-lembaga menggunakan kriteria berbeda untuk memilih sasaran pemeriksaan. Sebagian mengecualikan server yang diperiksa pada tahun sebelumnya; yang lain mengecualikan mesin yang dijadwalkan untuk dipensiunkan. Kementerian menyerahkan keputusan tersebut kepada masing-masing lembaga.

Perkembangan utama berlangsung selama beberapa tahun:

• 2023 hingga 2026: Porsi server lembaga yang berada di luar cakupan pemeriksaan tetap di atas 83% setiap tahun.
• 1 Mei: Amandemen menambahkan persyaratan pemeriksaan berkala atas kerentanan perangkat lunak dan pembaruan.
• Juli: Badan Audit dan Inspeksi menyerukan penetapan prioritas pemeriksaan jika lembaga tidak dapat memeriksa setiap server secara terperinci.
• September 2026: Cakupan antivirus di 23 lembaga mencapai 1.654 dari 19.041 server.
• 16 Oktober: Periode pelaporan kerentanan berakhir dengan 34.536 temuan.
• 20 Oktober: Anggota parlemen mempertanyakan pengelolaan keamanan kementerian dalam audit parlemen terhadap lembaga riset.

Ribuan kelemahan masih menunggu perbaikan

Institut Sains dan Teknologi Korea, atau KIST, mencatat 7.079 kerentanan, jumlah terbanyak di antara lembaga-lembaga tersebut. Institut Mesin dan Material Korea menyusul dengan 6.472, Institut Geosains dan Sumber Daya Mineral Korea dengan 4.290, dan KISTI dengan 3.944. Institut Riset Biosains dan Bioteknologi Korea mencatat 2.693 kerentanan lainnya.

Di institut mesin, 6.472 temuan berasal dari 89 server, rata-rata sekitar 73 per server. Satu mesin dapat memiliki banyak kelemahan karena sistem operasi, aplikasi, dan pengaturan keamanannya masing-masing dapat memerlukan penanganan.

Lembaga-lembaga menggolongkan upaya perbaikan mereka sebagai masih berlangsung. Menangani temuan dapat mencakup pemasangan pembaruan, perubahan pengaturan, penghapusan perangkat lunak yang tidak diperlukan, atau pembatasan akses. Angka tersebut menunjukkan jumlah kelemahan yang teridentifikasi, sedangkan beban kerja sebenarnya bergantung pada tingkat keparahan dan perubahan yang diperlukan.

Bagi tim riset, pekerjaan perbaikan juga harus dikoordinasikan dengan sistem yang mereka gunakan. Server dapat mendukung perhitungan, menyimpan hasil eksperimen, atau mengendalikan peralatan. Penjelasan kementerian mengenai kekurangan tenaga kerja menunjukkan perlunya personel yang mampu menilai kelemahan dan melakukan perbaikan sambil menjaga fungsi-fungsi tersebut tetap berjalan.

Kesenjangan antivirus juga menjangkau layanan internet publik

Hanya 1.654 dari 19.041 server lembaga yang dilengkapi antivirus, atau tingkat pemasangan sebesar 8,7%. Di kantor pusat kementerian, angkanya mencapai 92,6%, selisih 83,9 poin persentase.

Cakupan antivirus pada server yang terhubung ke internet lebih baik dibandingkan keseluruhan inventaris server lembaga, tetapi hampir separuhnya masih tidak dilengkapi perangkat lunak tersebut: 372 dari 766, atau 48,6%. Mesin-mesin ini berhubungan langsung dengan internet publik, sehingga memberi penyerang jalur untuk menguji layanan mereka demi mencari kelemahan.

Perangkat lunak antivirus dan pemeriksaan kerentanan memiliki fungsi berbeda. Antivirus mencari program berbahaya atau aktivitas mencurigakan. Pemeriksaan kerentanan mencari kelemahan yang perlu diperbaiki. Lembaga perlu mengelola kondisi perangkat lunak mereka sekaligus memantau tanda-tanda keberadaan program berbahaya.

Kepala perencanaan dan koordinasi kementerian, Kang Sang-wook, mengakui adanya keterbatasan teknis saat ditanya mengenai cakupan antivirus:

Sebagian peralatan di lembaga riset secara teknis sulit dipasangi perangkat lunak antivirus, sehingga mencapai cakupan 100 persen bukan perkara mudah," katanya. "Namun, saya kira masih banyak ruang untuk perbaikan.

Kang mengatakan kementerian akan mempercepat pemasangan dan memperkuat pengawasan agar pimpinan lembaga memberi perhatian lebih besar. Untuk peralatan yang tidak dapat menggunakan antivirus konvensional, Lee menyerukan verifikasi atas perlindungan setara. Perlindungan tersebut dapat mencakup pembatasan akses secara ketat, pemisahan jaringan, dan penggunaan metode lain untuk mendeteksi aktivitas berbahaya.

Temuan malware mempertanyakan penilaian keamanan yang positif

Dalam peninjauan sebelumnya, Badan Audit dan Inspeksi memeriksa lima lembaga riset yang mengoperasikan 17.073 server. Hanya 374 server, atau 2,2%, yang dilengkapi antivirus. Peninjauan itu mencakup kelompok dan periode berbeda dari pendataan September terhadap seluruh 23 lembaga.

Auditor memeriksa 251 server tanpa antivirus dan mendeteksi 38 jenis perangkat lunak berbahaya pada 21 server di empat lembaga. Sekitar 8,4% mesin yang diperiksa mengandung malware. Angka tersebut menggambarkan mesin-mesin yang dipilih untuk pemeriksaan itu.

Audit juga mengidentifikasi keterlambatan pembaruan keamanan pada server utama dan pengendalian yang tidak memadai atas program yang memungkinkan akses dari luar ke jaringan internal. Temuan ini melengkapi angka pemasangan antivirus dengan gambaran praktik operasional yang konkret.

Terlepas dari kelemahan tersebut, kementerian setiap tahun menilai pengelolaan keamanan informasi lembaga-lembaga itu sangat baik. Anggota parlemen dari Partai Kekuatan Rakyat, Seo Cheon-ho, mempertanyakan apakah penilaian tersebut mencerminkan kondisi di dalam lembaga.

Anggota parlemen dari Partai Demokrat, Kim Nam-guk, mengangkat kesenjangan pengawasan lainnya. Dari 19 rekomendasi dan pedoman keamanan yang dikirim ke lembaga riset sejak 2023, kepatuhan terhadap hanya satu di antaranya yang sedang diperiksa. Ia mengatakan kementerian juga belum memverifikasi tindak lanjut atas pedoman mengenai kerentanan yang masuk kategori risiko tertinggi dalam sistem penilaian kerentanan internasional.

Secara keseluruhan, temuan tersebut menunjukkan dua tugas bagi kementerian: memeriksa apakah instruksi dipatuhi dan menguji apakah penilaian kementerian menangkap kelemahan yang ditemukan dalam pemeriksaan lebih terperinci.

Kenaikan anggaran menyoroti pilihan belanja

Enam lembaga mengatakan akan memasang antivirus secara bertahap setelah memperoleh dana. Namun, gabungan anggaran keamanan informasi mereka naik dari 2,47 miliar won menjadi 3,62 miliar won, bertambah 1,15 miliar won atau 46,3%.

Keenam lembaga tersebut adalah Institut Teknologi Hijau Nasional, Institut Kedokteran Oriental Korea, Institut Teknologi Industri Korea, Institut Mesin dan Material Korea, Institut Riset Energi Korea, dan Institut Riset Elektroteknologi Korea. Seluruh 23 lembaga mendapat persetujuan atas permintaan anggaran keamanan informasi mereka tanpa pemotongan.

Institut Teknologi Hijau Nasional dan Institut Kedokteran Oriental Korea tidak memiliki pos anggaran khusus untuk pengadaan atau pemeliharaan antivirus server pada 2025 maupun 2026. Di institut kedokteran oriental, hanya dua dari 141 server yang dilengkapi antivirus.

Institut tersebut memperkirakan biaya sebesar 500.000 won per server, sehingga pemasangan pada 139 server yang tersisa akan menelan biaya 69,5 juta won. Kantor Lee membandingkan jumlah itu dengan belanja keamanan informasi sebesar 43 juta won untuk biaya jalur jaringan, 28 juta won untuk layanan cloud, dan 22 juta won untuk peralatan penghapus media penyimpanan magnetik.

Ketiga kategori tersebut berjumlah 93 juta won. Perbandingan ini menyoroti penggunaan anggaran keamanan, selain besaran dana yang diterima lembaga. Sebagian pemasangan antivirus dijadwalkan pada 2027 atau 2028, sehingga Lee mendesak agar penyelesaiannya dipercepat.

File riset juga tertinggal di sebuah hard drive

Badan Audit dan Inspeksi mengidentifikasi kegagalan keamanan informasi fisik di Institut Riset Dirgantara Korea. Seorang peneliti yang pindah ke lembaga lain membawa hard drive tanpa izin. Hard drive itu berisi 60.956 file riset, termasuk materi yang terkait dengan empat proyek keamanan nasional.

Insiden tersebut memperluas perdebatan dari server ke perangkat penyimpanan. Perlindungan informasi riset juga memerlukan aturan tentang siapa yang boleh membawa drive, siapa yang menyetujui pemindahan tersebut, dan bagaimana pergerakannya dicatat.

Beberapa hal masih belum tuntas: laporan tersebut tidak mengonfirmasi adanya pengungkapan data riset akibat temuan malware atau pemindahan drive, tidak menyebut penyelidikan atas insiden-insiden itu telah selesai, dan tidak menetapkan tanggal pasti penyelesaian seluruh perbaikan kerentanan. Tonggak berikutnya yang disebutkan berkaitan dengan kriteria pemeriksaan kementerian dan peninjauan yang diminta anggota parlemen.

Kementerian menghadapi tenggat penetapan prioritas pemeriksaan

Kementerian berencana menetapkan kriteria prioritas bersama pada akhir 2026 dan menerapkannya mulai 2027. Kementerian juga menyatakan akan mengumpulkan kriteria yang saat ini digunakan lembaga-lembaga dan memasukkan unsur prioritas utama selama 2026, sebagai langkah awal sebelum kerangka yang lebih luas diberlakukan.

Aturan prioritas akan menentukan mesin mana yang diperiksa terlebih dahulu ketika tenaga kerja dan perangkat terbatas. Lee berpendapat bahwa penentuan urutan pemeriksaan harus tetap memenuhi kewajiban tahunan untuk memeriksa dan menangani kerentanan di seluruh server.

Lee juga mendesak agar seluruh server menjalani peninjauan keamanan sebelum akhir tahun. Mengenai tanggung jawab kementerian atas peralatan yang tidak dapat menggunakan antivirus, ia mengatakan:

"Kementerian juga harus memastikan server yang tidak dapat dipasangi antivirus memiliki perlindungan alternatif yang setara, serta memperkuat tanggung jawab pengawasannya agar pimpinan lembaga menangani keamanan informasi secara langsung," katanya.

Secara keseluruhan, temuan tersebut menempatkan cakupan pemeriksaan, pekerjaan perbaikan, perlindungan terhadap malware, dan akuntabilitas manajemen dalam satu agenda. Bagi lembaga-lembaga tersebut, tolok ukur praktisnya adalah apakah setiap server memiliki jadwal pemeriksaan, kerentanan yang teridentifikasi ditangani, dan peralatan khusus dilindungi dengan cara yang sesuai dengan operasinya.

Poin Utama

• Ke-23 lembaga riset memilih 3.025 dari 19.041 server untuk pemeriksaan kerentanan pada 2026, atau sebesar 15,9%.
• Mereka mencatat 34.536 kerentanan hingga 16 Oktober, sementara upaya perbaikan masih berlangsung.
• Sebanyak 17.387 server tidak dilengkapi antivirus, termasuk 372 server yang terhubung langsung ke internet.
• Dalam audit sebelumnya, terdeteksi 38 jenis malware pada 21 dari 251 server yang diperiksa.
• Enam lembaga yang menyebut keterbatasan pendanaan mendapat kenaikan gabungan anggaran keamanan sebesar 46,3%.
• Kementerian berencana menetapkan prioritas pemeriksaan bersama pada akhir tahun untuk diterapkan pada 2027; anggota parlemen meminta peninjauan menyeluruh dilakukan lebih cepat.