韓国の研究機関、サーバーの脆弱性検査対象はわずか15.9％

1万6,000台超のサーバーが検査対象外に

韓国の政府系研究機関は2026年、保有する1万9,041台のサーバーのうち、脆弱性検査の対象に選んだのはわずか3,025台だった。国会に提出された科学技術情報通信省の資料で明らかになった。国家サイバーセキュリティー基本指針は少なくとも年1回の検査を求めているが、1万6,016台、全体の84.1％が検査対象外となっている。

この数字は、人工知能（AI）、半導体、バイオテクノロジー、原子力、サイバーセキュリティーなどの分野で研究を行う23機関を対象としている。限られた検査対象の中で、各機関は1月1日から10月16日までに3万4,536件の脆弱性を記録した。23機関すべてが、指摘事項への対応はなお進行中だと回答した。

もう一つの課題は、悪意あるソフトウェアへの対策だ。国会審査で示された資料によると、1万7,387台、全体の91.3％のサーバーにウイルス対策ソフトが導入されていなかった。ウェブサイトなどのサービス提供のためにインターネットへ直接接続している766台のうち、372台も対策ソフトを導入していなかった。

一方、同省本部の対策ははるかに進んでいた。保有する108台すべてが脆弱性検査の対象で、100台にウイルス対策ソフトが導入されていた。国会議員らは、国の重要な研究を担う機関が、同じセキュリティー指針の下でなぜ大幅に手薄な対策のまま運営されているのかをただした。

同省は、専門人材の不足、高額なスキャンツール、研究設備によってはウイルス対策ソフトの導入が技術的に難しいことを理由に挙げた。対応策として、どのサーバーを優先して検査するかを決める共通基準の策定を提案している。国会科学技術委員会の李勲基（イ・フンギ）議員（共に民主党）は、すべてのサーバーを対象に直ちに点検するよう求めた。

サーバー保有数が多い機関ほど検査対象の割合が低い

韓国科学技術情報研究院（KISTI）は、保有する1万1,132台のうち267台を検査対象に選んだ。韓国電子通信研究院（ETRI）は3,747台のうち100台を選んだ。

この2機関は合わせて1万4,879台を運用し、23機関全体の約78.1％を占める。しかし、検査対象に選んだのは合わせて367台で、保有台数の約2.5％にとどまった。両機関の規模を踏まえると、検査対象の選定は国全体の状況を左右する重要な要素となる。

KISTIのサーバーへのウイルス対策ソフト導入率は0.6％、ETRIは8.4％だった。両機関はコンピューティング基盤や通信技術を担っており、システムの保護は研究活動にとって特に重要だ。

検査の数字が示すのは、報告期間中に検査対象に選ばれたサーバーの台数だ。作業の進捗を把握するには、実際に検査した台数、修正した脆弱性、対象外サーバーに講じた対策について、全体像を確認する必要がある。

4年間、検査対象は限定的

同省の資料は、検査の一時的な中断ではなく、継続する傾向を示している。23機関全体で検査対象外となったサーバーの割合は、2023年が84.2％、2024年が84.2％、2025年が83.7％、2026年が84.1％だった。

4年間を通じ、検査対象はサーバー約6台に1台という水準にとどまった。2025年にわずかに改善したものの、2026年にはほぼ元に戻った。

ETRIでは、検査対象外の割合が2025年の61.1％から2026年には97.3％へと大幅に上昇した。KISTIでは、調査対象となったすべての年で除外率が96％を上回り、2026年は97.6％に達した。

韓国電気研究院は4年間、毎年94.8％を検査対象外としていた。国家保安技術研究所では、対象外の割合は2023年と2024年の90.9％から、2025年に71.8％、2026年に67.3％へと低下した。それでも、およそ3分の2が検査対象外だった。

検査規則が求めること

国家サイバーセキュリティー基本指針第53条第2項は、サーバー管理者に対し、セキュリティー対策を見直し、少なくとも年1回、脆弱性を検査して対処するよう求めている。対象となるリスクには、保存情報の窃取や、サーバー設定・データの不正変更が含まれる。

5月1日施行の改正では、OSやソフトウェアの脆弱性、更新状況を定期的に確認することも義務付けられた。脆弱性とは、安全でない設定や古いソフトウェアなどの弱点を指し、システムへの侵入や運用妨害の機会を与える可能性がある。

各機関は異なる基準で検査対象を選んでいた。前年に検査したサーバーを除外した機関もあれば、廃止予定の機器を外した機関もあった。同省はこうした選定を各機関に委ねていた。

主な動きは次の通りだ。

• 2023～2026年：各機関で検査対象外となったサーバーの割合は、毎年83％を超えた。
• 5月1日：改正により、ソフトウェアの脆弱性と更新状況の定期検査が追加された。
• 7月：監査院は、全サーバーを詳細に検査できない場合に備え、検査の優先順位を定めるよう求めた。
• 2026年9月：23機関のウイルス対策ソフト導入台数は、1万9,041台中1,654台だった。
• 10月16日：脆弱性の報告期間が終了し、3万4,536件が確認された。
• 10月20日：研究機関を対象とする国会監査で、議員らが同省のセキュリティー管理を追及した。

数千件の脆弱性、修正作業は継続中

韓国科学技術院（KIST）では7,079件の脆弱性が確認され、機関別で最多となった。次いで韓国機械研究院が6,472件、韓国地質資源研究院が4,290件、KISTIが3,944件だった。韓国生命工学研究院でも2,693件が確認された。

韓国機械研究院では、89台のサーバーから6,472件が見つかり、1台当たり平均約73件に上った。OSやアプリケーション、セキュリティー設定それぞれに対応が必要となることがあり、1台の機器に多数の弱点が存在する場合もある。

各機関は、指摘された脆弱性への対応を進行中と説明している。修正には、更新プログラムの導入、設定変更、不要なソフトウェアの削除、アクセス制限などが含まれる。件数は見つかった弱点の数を示すもので、実際の作業量は深刻度や必要な変更内容によって異なる。

研究チームにとって、修正作業は使用中のシステムとの調整も必要となる。サーバーは計算処理や実験結果の保存、設備の制御を担う場合がある。同省が人材不足を理由に挙げたことは、機能を維持しながら脆弱性を評価し、修正できる人材の必要性を示している。

インターネット公開サービスにもウイルス対策の空白

各機関のサーバー1万9,041台のうち、ウイルス対策ソフトを導入していたのは1,654台で、導入率は8.7％だった。同省本部の導入率は92.6％で、差は83.9ポイントに達した。

インターネットに接続したサーバーの導入率は、機関全体より高かったものの、ほぼ半数で対策ソフトが未導入だった。766台中372台、48.6％に上る。こうした機器は一般のインターネットから直接アクセスできるため、攻撃者がサービスの弱点を探る経路となり得る。

ウイルス対策ソフトと脆弱性検査は、役割が異なる。ウイルス対策ソフトは悪意あるプログラムや不審な活動を検知し、脆弱性検査は修正が必要な弱点を探す。各機関はソフトウェアの状態を管理するとともに、有害なプログラムの兆候にも対応する必要がある。

同省の計画・調整担当局長、姜尚旭（カン・サンウク）氏は、ウイルス対策ソフトの導入率をめぐる質疑で技術的な制約を認めた。

「研究機関の設備には技術的にウイルス対策ソフトを導入するのが難しいものもあり、導入率100％の達成は容易ではない」と述べ、「しかし、改善の余地は大きいと考えている」と語った。

姜氏は、同省が導入を加速させ、各機関のトップがより注意を払うよう監督を強化すると述べた。通常のウイルス対策ソフトに対応できない設備について、李議員は同等の保護策が講じられているか確認するよう求めた。アクセスの厳格な制限、ネットワークの分離、悪意ある活動を検知する別の手段などが考えられる。

マルウェア検出が「優良」評価に疑問

監査院が先に実施した調査では、1万7,073台のサーバーを運用する研究機関5機関を対象に確認したところ、ウイルス対策ソフトが導入されていたのは374台、2.2％にすぎなかった。この調査は、23機関を対象とした9月の集計とは対象機関も期間も異なる。

監査院がウイルス対策ソフト未導入のサーバー251台を検査したところ、4機関の21台から38種類のマルウェアが検出された。検査対象機器の約8.4％にマルウェアが含まれていた。この割合は、検査対象に選ばれた機器についての数字だ。

監査院は主要サーバーのセキュリティー更新の遅れや、外部から内部ネットワークへのアクセスを可能にするプログラムに対する管理の不備も指摘した。これらの指摘は、ウイルス対策ソフトの導入率に加え、具体的な運用上の問題も浮き彫りにしている。

こうした弱点があったにもかかわらず、同省は毎年、各機関の情報セキュリティー管理を「非常に優秀」と評価していた。国民の力の徐千浩（ソ・チョンホ）議員は、評価が各機関の実態を反映しているのか疑問を呈した。

共に民主党の金南局（キム・ナムグク）議員は、別の監督上の問題も指摘した。2023年以降に研究機関へ送られた19件のセキュリティー勧告・指針のうち、順守状況を確認していたのは1件だけだった。同議員によると、同省は国際的な脆弱性評価システムで最高リスク区分に指定された脆弱性に関する指針についても、対応を確認していなかった。

これらの指摘から、同省には二つの課題が浮かび上がる。指示が実行されているか確認することと、詳細な検査で見つかった弱点を省の評価が反映しているか検証することだ。

予算増額で支出の優先順位に注目

6機関は、資金を確保した上で段階的にウイルス対策ソフトを導入すると説明した。しかし、6機関の情報セキュリティー予算は合計24億7,000万ウォンから36億2,000万ウォンへと、11億5,000万ウォン、46.3％増加していた。

対象の6機関は、韓国グリーン技術研究院、韓国韓医学研究院、韓国生産技術研究院、韓国機械研究院、韓国エネルギー技術研究院、韓国電気研究院。23機関すべてが、申請した情報セキュリティー予算を削減されることなく承認されていた。

韓国グリーン技術研究院と韓国韓医学研究院には、2025年、2026年のいずれも、サーバー用ウイルス対策ソフトの購入・維持に充てる独立した予算項目がなかった。韓国韓医学研究院では、141台のサーバーのうち、対策ソフトが導入されていたのはわずか2台だった。

同研究院は1台当たり50万ウォンと試算しており、残る139台すべてに導入するには6,950万ウォンが必要となる。李議員の事務所はこの金額を、ネットワーク回線費4,300万ウォン、クラウドサービス費2,800万ウォン、磁気記録媒体の消去装置費2,200万ウォンと比較した。

この3項目の合計は9,300万ウォンとなる。比較は、機関に配分された予算の規模だけでなく、セキュリティー予算が何に使われているのかにも注目を促す。一部の導入は2027年または2028年に予定されており、李議員は前倒しを求めた。

研究ファイルもハードディスクに保存されたまま

監査院は韓国航空宇宙研究院で、物理的な情報セキュリティー上の問題を確認した。別の機関へ移った研究者が、許可なくハードディスクを持ち出していた。ディスクには、国家安全保障関連プロジェクト4件の資料を含む研究ファイル6万956件が保存されていた。

この事案は、サーバーと同様に記憶装置の管理も議論の対象であることを示している。研究情報を守るには、誰がディスクを持ち出せるのか、誰が許可するのか、移動をどのように記録するのかを定める必要がある。

いくつかの点は依然として明らかになっていない。マルウェア検出やハードディスクの持ち出しによる研究データの流出が確認されたとの報告はなく、これらの事案に関する調査も完了していない。また、すべての脆弱性修正を終える確定時期も示されていない。今後の節目として示されているのは、同省による検査基準の策定と、議員らが求める点検だ。

検査の優先基準、年末までに策定へ

同省は2026年末までに共通の優先基準を策定し、2027年から適用する方針だ。また、2026年中に各機関の既存基準を集め、優先すべき項目を反映させるとしており、全体的な枠組みの適用に先立つ措置も進める。

優先基準では、人員やツールに限りがある場合に、どの機器を先に検査するかを定める。李議員は、検査の順番を決める際にも、すべてのサーバーについて脆弱性を年1回検査し、対処する義務を守る必要があると主張した。

李議員はまた、年末までにすべてのサーバーのセキュリティーを総点検するよう求めた。ウイルス対策ソフトを導入できない機器に対する同省の責任について、次のように述べた。

「ウイルス対策ソフトを導入できないサーバーに同等の代替保護策が講じられているか、同省は確認しなければならない。また、各機関のトップが情報セキュリティーを直接担うよう、監督責任を強化すべきだ」と述べた。

一連の指摘は、検査対象の範囲、修正作業、マルウェア対策、管理責任を一体の課題として浮き彫りにしている。各機関に問われるのは、すべてのサーバーに検査予定が割り当てられ、見つかった弱点が修正され、専門設備にはその運用に合った保護策が講じられているかどうかだ。

要点

• 23の研究機関は2026年、1万9,041台のうち3,025台を脆弱性検査の対象に選んだ。割合は15.9％。
• 10月16日までに3万4,536件の脆弱性が確認され、修正作業は継続中。
• 1万7,387台にウイルス対策ソフトがなく、うち372台はインターネットに直接接続していた。
• 先行する監査では、検査対象のサーバー251台中21台から38種類のマルウェアが検出された。
• 資金不足を理由に挙げた6機関のセキュリティー予算は、合計で46.3％増加していた。
• 同省は年末までに共通の検査優先基準を定め、2027年から適用する方針。議員らはより早い全件点検を求めている。