逾 1.6 萬台伺服器未納入計畫檢查
根據南韓科學技術資訊通信部提交給國會的資料，南韓政府資助的研究機構在 19,041 台伺服器中，僅選出 3,025 台於 2026 年進行資安漏洞檢查。這代表有 16,016 台伺服器、占 84.1%，未納入檢查範圍，儘管國家資安指引要求至少每年檢查一次。
目錄
這些數據涵蓋 23 個研究機構，研究領域包括人工智慧、半導體、生物科技、核能與網路安全。在有限的檢查範圍內，各機構於 1 月 1 日至 10 月 16 日間發現 34,536 項漏洞。23 個機構均表示，漏洞修補工作仍在進行中。
另一項缺口涉及防範惡意軟體。國會審查期間公布的數據顯示，有 17,387 台伺服器、占 91.3%，未安裝防毒軟體。在 766 台直接連上網際網路、提供網站等服務的伺服器中，有 372 台缺乏防毒保護。
科學技術資訊通信部總部的防護涵蓋率高得多：旗下 108 台伺服器全數納入漏洞檢查，100 台已安裝防毒軟體。國會議員質疑，為何負責國家重要研究的機構在相同資安指引下，防護範圍卻大幅較窄。
科學技術資訊通信部以專業人力不足、掃描工具昂貴，以及部分研究設備在技術上難以安裝防毒軟體為由，說明目前狀況。該部提出的因應措施包括訂定通用標準，決定哪些伺服器應優先檢查。國會科學技術委員會共同民主黨籍議員李勳基則主張，應立即對所有伺服器進行全面檢查。
伺服器數量最多的機構，檢查涵蓋率最低
韓國科學技術情報研究院（KISTI）在旗下 11,132 台伺服器中，選出 267 台進行檢查；韓國電子通信研究院（ETRI）則在 3,747 台中選出 100 台。
這兩個機構合計運作 14,879 台伺服器，約占 23 個機構總數的 78.1%。但它們合計僅選出 367 台檢查，約占伺服器總量的 2.5%。由於規模龐大，兩個機構的檢查決策是評估全國整體情況的關鍵。
KISTI 的伺服器防毒軟體安裝率為 0.6%，ETRI 則為 8.4%。兩個機構負責運算基礎設施與通訊技術，其系統防護對研究工作尤其重要。
檢查數據呈現的是報告期間內獲選檢查的伺服器。若要了解實際完成多少工作，仍須取得完整資料，包括已執行的檢查、已修補的漏洞，以及未納入檢查範圍的伺服器所採取的防護措施。
檢查範圍受限的情況已持續四年
科學技術資訊通信部的資料顯示，檢查並非短暫中斷，而是長期存在範圍受限的情況。23 個機構未納入檢查範圍的伺服器比率，2023 年為 84.2%、2024 年為 84.2%、2025 年為 83.7%，2026 年則為 84.1%。
因此，四年來的涵蓋率始終接近每六台伺服器僅檢查一台。2025 年略有改善，但 2026 年大致又回到原有水準。
ETRI 的變化幅度更大，未納入檢查的比率從 2025 年的 61.1% 升至 2026 年的 97.3%。KISTI 每年未納入檢查的比率都高於 96%，2026 年達 97.6%。
韓國電力技術研究院連續四年均有 94.8% 的伺服器未納入檢查。在國家安全研究院，未納入檢查的比率從 2023 年與 2024 年的 90.9%，降至 2025 年的 71.8%及 2026 年的 67.3%。即使有所改善，仍約有三分之二的伺服器未納入檢查範圍。
檢查規定的要求
《國家網路安全基本指引》第 53 條第 2 項要求伺服器管理者檢視資安措施，並至少每年檢查及修補漏洞。相關風險包括儲存資訊遭竊，以及伺服器設定或資料遭未經授權修改。
5 月 1 日生效的修正案也要求定期檢查作業系統與軟體漏洞，並更新軟體。漏洞是指不安全的設定或過時軟體等弱點，可能讓人有機會入侵系統或干擾系統運作。
各機構採用不同標準挑選檢查目標。有些排除前一年已檢查的伺服器，另一些則排除預定汰換的設備。科學技術資訊通信部原先將這些決策交由各機構自行處理。
主要進展如下：
- 2023 至 2026 年：研究機構未納入檢查範圍的伺服器比率，每年均高於 83%。
- 5 月 1 日：修正案新增定期檢查軟體漏洞及更新的要求。
- 7 月：監察院要求，在機構無法詳細檢查每台伺服器時，應訂定檢查優先順序。
- 2026 年 9 月：23 個機構的伺服器防毒涵蓋率為 19,041 台中的 1,654 台。
- 10 月 16 日：漏洞通報期間結束，共發現 34,536 項漏洞。
- 10 月 20 日：國會議員在研究機構國政監查中，質疑科學技術資訊通信部的資安管理。
數千項弱點仍待修補
韓國科學技術研究院（KIST）記錄 7,079 項漏洞，是各機構中數量最多的。韓國機械材料研究院有 6,472 項，韓國地質資源研究院有 4,290 項，KISTI 則有 3,944 項。韓國生命工學研究院另記錄 2,693 項。
機械材料研究院在 89 台伺服器上發現 6,472 項漏洞，平均每台約 73 項。單一設備可能存在許多弱點，因為作業系統、應用程式和安全設定都可能需要處理。
各機構將漏洞修補工作列為進行中。修補漏洞可能涉及安裝更新、變更設定、移除不必要的軟體或限制存取。數據呈現的是已發現的弱點數量，實際工作量則取決於漏洞嚴重程度和所需變更。
研究團隊在修補漏洞時，也必須配合所使用的系統。伺服器可能支援運算、儲存實驗結果或控制設備。科學技術資訊通信部提到人力不足，顯示機構需要具備專業能力的人員，能在維持系統功能的同時評估弱點並完成修補。
連對外網路服務也有防毒缺口
研究機構的 19,041 台伺服器中，僅有 1,654 台安裝防毒軟體，安裝率為 8.7%。科學技術資訊通信部總部的相應比率為 92.6%，兩者相差 83.9 個百分點。
連上網際網路的伺服器，防毒涵蓋率高於研究機構整體，但仍有近半數未安裝軟體：766 台中有 372 台，占 48.6%。這些設備直接與公眾網際網路連接，攻擊者可藉此探查其服務是否存在弱點。
防毒軟體與漏洞檢查的用途不同。防毒軟體會搜尋惡意程式或可疑活動；漏洞檢查則找出需要修補的弱點。機構必須同時管理軟體狀況，並留意是否存在有害程式。
針對防毒涵蓋率接受質詢時，科學技術資訊通信部企劃協調室長姜尚旭坦承技術限制：
研究機構有些設備在技術上難以安裝防毒軟體，因此要達到百分之百涵蓋並不容易，」他說。「但我認為仍有很大的改善空間。
姜尚旭表示，該部將加快安裝進度並加強監督，讓機構首長更加重視此事。對於無法安裝一般防毒軟體的設備，李勳基主張應確認是否採取同等防護措施，例如嚴格限制存取、隔離網路，以及使用其他方法偵測惡意活動。
惡意軟體發現結果引發對正面資安評等的質疑
監察院先前檢查 5 個研究機構運作的 17,073 台伺服器，僅有 374 台安裝防毒軟體，占 2.2%。該次檢查的機構與期間，和 9 月針對全部 23 個機構統計的數據不同。
稽核人員檢查 251 台未安裝防毒軟體的伺服器，在 4 個機構的 21 台伺服器上偵測到 38 種惡意軟體。受檢設備中約有 8.4% 含有惡意軟體。這項比率僅適用於此次選定檢查的設備。
監察院也發現，主要伺服器的安全更新延遲，且允許外部連入內部網路的程式缺乏適當管控。這些發現與防毒軟體安裝數據相互補充，呈現實際作業管理上的問題。
儘管存在這些弱點，科學技術資訊通信部每年仍將研究機構的資訊安全管理評為「優良」。國民力量黨議員徐天浩質疑，這些評估是否反映了機構內部的實際情況。
共同民主黨議員金南國提出另一項監督缺口。自 2023 年起發送給研究機構的 19 項資安建議與指引中，當時僅有一項正在確認遵循情況。他表示，科學技術資訊通信部也未確認機構是否遵照一項指引採取行動；該指引涉及一項在國際漏洞評估系統中被列為最高風險等級的漏洞。
綜合這些發現，科學技術資訊通信部面臨兩項工作：確認指示是否落實，以及檢驗資安評等能否反映更深入檢查所發現的弱點。
預算增加，資金運用方式受檢視
有 6 個機構表示，將在取得經費後分階段安裝防毒軟體。然而，這些機構的資訊安全預算總額已從 24.7 億韓元增至 36.2 億韓元，增加 11.5 億韓元，增幅為 46.3%。
這 6 個機構為國家綠色技術研究院、韓國韓醫研究院、韓國產業技術研究院、韓國機械材料研究院、韓國能源研究院及韓國電力技術研究院。23 個機構申請的資訊安全預算均獲核准，沒有遭到刪減。
國家綠色技術研究院與韓國韓醫研究院在 2025 年和 2026 年均未編列專款，用於購置或維護伺服器防毒軟體。韓醫研究院 141 台伺服器中，僅有兩台安裝防毒軟體。
該研究院估計每台伺服器需花費 50 萬韓元，為其餘 139 台伺服器安裝防毒軟體需 6,950 萬韓元。李勳基辦公室指出，該研究院資訊安全支出中，網路線路費為 4,300 萬韓元、雲端服務費為 2,800 萬韓元、用於消除磁性儲存媒體資料的設備費為 2,200 萬韓元。
這三項支出合計 9,300 萬韓元。這項比較將焦點放在安全預算的用途，以及機構取得的資金規模。部分防毒軟體預定於 2027 年或 2028 年安裝，李勳基因此呼籲提前完成。
研究檔案也曾留在硬碟中
監察院發現，韓國航空宇宙研究院發生實體資訊安全管理疏失。一名研究人員轉往其他機構任職時，未經授權便帶走一顆硬碟。硬碟內有 60,956 個研究檔案，其中包括與 4 項國家安全計畫相關的資料。
這起事件讓儲存裝置也成為與伺服器相同的討論焦點。保護研究資訊還需要明確規定誰能帶走硬碟、由誰核准，以及如何記錄移動情況。
仍有幾項結果尚未釐清：目前沒有證據確認惡意軟體發現或硬碟遭帶走事件造成研究資料外洩，也沒有完成相關調查，所有漏洞的修補期限亦未確定。接下來已公布的時程，與科學技術資訊通信部訂定檢查標準，以及國會議員要求進行的全面檢查有關。
科學技術資訊通信部須在期限前訂定檢查優先順序
科學技術資訊通信部計畫於 2026 年底前訂定通用優先順序標準，並自 2027 年起適用。該部也表示，將在 2026 年蒐集各機構現行標準，並納入必要的優先檢查項目，做為更全面架構正式實施前的準備工作。
優先順序規則將在專業人力與工具有限時，決定哪些設備應先處理。李勳基主張，決定檢查順序時，仍須確保遵守每年檢查並修補所有伺服器漏洞的義務。
李勳基也呼籲在年底前完成伺服器安全全面檢查。談到科學技術資訊通信部對無法安裝防毒軟體設備的責任時，他表示：
「科學技術資訊通信部也必須確認無法安裝防毒軟體的伺服器已採取同等替代防護措施，並加強監督責任，確保機構首長親自負責資訊安全，」他說。
這些發現將檢查涵蓋率、漏洞修補、惡意軟體防護與管理責任一併列入議程。對研究機構而言，實際考驗在於能否為每台伺服器安排檢查時程、修補已發現的弱點，並為專用設備提供符合其運作需求的防護措施。
重點整理
- 23 個研究機構在 19,041 台伺服器中，選出 3,025 台於 2026 年進行漏洞檢查，涵蓋率為 15.9%。
- 截至 10 月 16 日，共記錄 34,536 項漏洞，修補工作仍在進行中。
- 有 17,387 台伺服器未安裝防毒軟體，其中包括 372 台直接連上網際網路的伺服器。
- 監察院先前的稽核在受檢的 251 台伺服器中，有 21 台偵測到 38 種惡意軟體。
- 有 6 個機構以資金限制為由延後安裝，但其資安預算合計增加 46.3%。
- 科學技術資訊通信部計畫年底前訂定通用檢查優先順序，並於 2027 年起實施；國會議員則要求儘早完成全面檢查。
