สถาบันวิจัยเกาหลีใต้มีแผนตรวจสอบความปลอดภัยเซิร์ฟเวอร์เพียง 15.9%

เซิร์ฟเวอร์กว่า 16,000 เครื่องอยู่นอกแผนการตรวจสอบ

ข้อมูลจากกระทรวงวิทยาศาสตร์และไอซีทีที่ยื่นต่อรัฐสภาระบุว่า สถาบันวิจัยที่ได้รับทุนจากรัฐบาลเกาหลีใต้เลือกตรวจสอบช่องโหว่ด้านความปลอดภัยในปี 2026 เพียง 3,025 เครื่อง จากเซิร์ฟเวอร์ทั้งหมด 19,041 เครื่อง ส่งผลให้เซิร์ฟเวอร์ 16,016 เครื่อง หรือ 84.1% อยู่นอกขอบเขตการตรวจสอบ ทั้งที่แนวทางความมั่นคงปลอดภัยไซเบอร์แห่งชาติกำหนดให้ตรวจสอบอย่างน้อยปีละครั้ง

ตัวเลขดังกล่าวครอบคลุมสถาบัน 23 แห่งที่ทำวิจัยในสาขาต่าง ๆ รวมถึงปัญญาประดิษฐ์ เซมิคอนดักเตอร์ เทคโนโลยีชีวภาพ พลังงานนิวเคลียร์ และความมั่นคงปลอดภัยไซเบอร์ ภายใต้ขอบเขตการตรวจสอบที่จำกัด สถาบันเหล่านี้พบช่องโหว่ 34,536 รายการระหว่างวันที่ 1 มกราคมถึง 16 ตุลาคม ทั้ง 23 แห่งระบุว่ายังอยู่ระหว่างดำเนินการแก้ไขข้อค้นพบ

ช่องว่างอีกประการคือการป้องกันซอฟต์แวร์ประสงค์ร้าย ตัวเลขที่นำเสนอระหว่างการตรวจสอบของรัฐสภาแสดงให้เห็นว่าเซิร์ฟเวอร์ 17,387 เครื่อง หรือ 91.3% ไม่ได้ติดตั้งซอฟต์แวร์ป้องกันไวรัส ในบรรดาเซิร์ฟเวอร์ 766 เครื่องที่เชื่อมต่ออินเทอร์เน็ตโดยตรงเพื่อให้บริการต่าง ๆ เช่น เว็บไซต์ มี 372 เครื่องที่ไม่มีซอฟต์แวร์ป้องกันไวรัส

สำนักงานใหญ่ของกระทรวงมีความครอบคลุมสูงกว่ามาก โดยเซิร์ฟเวอร์ทั้ง 108 เครื่องถูกรวมอยู่ในการตรวจสอบช่องโหว่ และ 100 เครื่องติดตั้งซอฟต์แวร์ป้องกันไวรัส สมาชิกสภานิติบัญญัติตั้งคำถามว่าเหตุใดสถาบันที่รับผิดชอบงานวิจัยสำคัญระดับชาติจึงมีการป้องกันที่ครอบคลุมแคบกว่ามาก ทั้งที่อยู่ภายใต้แนวทางความมั่นคงเดียวกัน

กระทรวงระบุถึงการขาดแคลนบุคลากรเฉพาะทาง เครื่องมือสแกนที่มีราคาแพง และข้อจำกัดทางเทคนิคในการติดตั้งซอฟต์แวร์ป้องกันไวรัสบนอุปกรณ์วิจัยบางประเภท แนวทางที่เสนอรวมถึงการกำหนดเกณฑ์กลางเพื่อจัดลำดับว่าเซิร์ฟเวอร์ใดควรได้รับการตรวจสอบก่อน ส.ส. อี ฮุน-กี สมาชิกพรรคประชาธิปไตยในคณะกรรมาธิการวิทยาศาสตร์และเทคโนโลยีของรัฐสภา เรียกร้องให้ทบทวนเซิร์ฟเวอร์ทุกเครื่องโดยทันทีแทน

ผู้ให้บริการเซิร์ฟเวอร์รายใหญ่ที่สุดกลับมีความครอบคลุมต่ำที่สุด

สถาบันวิทยาศาสตร์และเทคโนโลยีสารสนเทศแห่งเกาหลี หรือ KISTI เลือกตรวจสอบเซิร์ฟเวอร์ 267 เครื่องจากทั้งหมด 11,132 เครื่อง ส่วนสถาบันวิจัยอิเล็กทรอนิกส์และโทรคมนาคม หรือ ETRI เลือกตรวจสอบ 100 เครื่องจากทั้งหมด 3,747 เครื่อง

สถาบันทั้งสองแห่งมีเซิร์ฟเวอร์รวมกัน 14,879 เครื่อง หรือประมาณ 78.1% ของทั้งหมดในสถาบันทั้ง 23 แห่ง แต่เลือกตรวจสอบเพียง 367 เครื่อง คิดเป็นประมาณ 2.5% ของเซิร์ฟเวอร์ที่มีอยู่รวมกัน ขนาดของทั้งสองแห่งทำให้การตัดสินใจเลือกตรวจสอบมีความสำคัญต่อภาพรวมระดับชาติ

อัตราการติดตั้งซอฟต์แวร์ป้องกันไวรัสบนเซิร์ฟเวอร์ของ KISTI อยู่ที่ 0.6% ขณะที่ ETRI อยู่ที่ 8.4% ทั้งสองแห่งมีหน้าที่ดูแลโครงสร้างพื้นฐานด้านการประมวลผลและเทคโนโลยีการสื่อสาร ทำให้การป้องกันระบบมีความสำคัญอย่างยิ่งต่อการดำเนินงานวิจัย

ตัวเลขการตรวจสอบระบุจำนวนเซิร์ฟเวอร์ที่ได้รับเลือกให้ตรวจในช่วงเวลาที่รายงาน ผู้อ่านยังจำเป็นต้องได้รับข้อมูลครบถ้วนเกี่ยวกับการตรวจที่ดำเนินการไปแล้ว จุดอ่อนที่แก้ไขแล้ว และมาตรการป้องกันที่ใช้กับเซิร์ฟเวอร์นอกกลุ่มที่ได้รับเลือก เพื่อประเมินได้ว่างานดำเนินไปถึงขั้นใด

ขอบเขตการตรวจสอบจำกัดต่อเนื่องมาสี่ปี

ข้อมูลของกระทรวงแสดงให้เห็นรูปแบบที่เกิดขึ้นต่อเนื่อง ไม่ใช่การหยุดชะงักของการตรวจสอบเพียงชั่วคราว สัดส่วนเซิร์ฟเวอร์ที่อยู่นอกขอบเขตการตรวจสอบในสถาบันทั้ง 23 แห่งอยู่ที่ 84.2% ในปี 2023, 84.2% ในปี 2024, 83.7% ในปี 2025 และ 84.1% ในปี 2026

ตลอดสี่ปีที่ผ่านมา ความครอบคลุมจึงอยู่ที่ประมาณหนึ่งในหกของจำนวนเซิร์ฟเวอร์ การปรับดีขึ้นเล็กน้อยในปี 2025 ถูกหักล้างไปเกือบหมดในปี 2026

ETRI มีการเปลี่ยนแปลงที่ชัดเจนกว่า โดยสัดส่วนเซิร์ฟเวอร์ที่ไม่ถูกตรวจสอบเพิ่มจาก 61.1% ในปี 2025 เป็น 97.3% ในปี 2026 ส่วนสัดส่วนเซิร์ฟเวอร์ของ KISTI ที่ถูกกันออกจากการตรวจสอบสูงกว่า 96% ทุกปีที่ตรวจสอบ และแตะ 97.6% ในปี 2026

สถาบันวิจัยเทคโนโลยีไฟฟ้าแห่งเกาหลีกันเซิร์ฟเวอร์ 94.8% ออกจากการตรวจสอบตลอดทั้งสี่ปี ที่สถาบันวิจัยความมั่นคงแห่งชาติ สัดส่วนที่ไม่ได้รับการตรวจสอบลดจาก 90.9% ในปี 2023 และ 2024 เป็น 71.8% ในปี 2025 และ 67.3% ในปี 2026 แม้จะดีขึ้น แต่ก็ยังมีเซิร์ฟเวอร์ราวสองในสามอยู่นอกขอบเขตที่เลือกตรวจ

ข้อกำหนดในการตรวจสอบ

มาตรา 53 วรรค 2 ของแนวทางพื้นฐานความมั่นคงปลอดภัยไซเบอร์แห่งชาติกำหนดให้ผู้ดูแลเซิร์ฟเวอร์ทบทวนมาตรการความปลอดภัย ตรวจสอบและแก้ไขช่องโหว่อย่างน้อยปีละครั้ง ความเสี่ยงที่ครอบคลุมรวมถึงการโจรกรรมข้อมูลที่จัดเก็บไว้ และการเปลี่ยนแปลงการตั้งค่าหรือข้อมูลบนเซิร์ฟเวอร์โดยไม่ได้รับอนุญาต

การแก้ไขเพิ่มเติมซึ่งมีผลตั้งแต่วันที่ 1 พฤษภาคมยังกำหนดให้ตรวจสอบช่องโหว่ของระบบปฏิบัติการและซอฟต์แวร์ รวมถึงอัปเดตเป็นประจำ ช่องโหว่คือจุดอ่อน เช่น การตั้งค่าที่ไม่ปลอดภัยหรือซอฟต์แวร์ที่ล้าสมัย ซึ่งอาจเปิดโอกาสให้บุคคลเข้าถึงระบบหรือรบกวนการทำงานได้

แต่ละสถาบันใช้เกณฑ์ต่างกันในการเลือกเป้าหมายตรวจสอบ บางแห่งตัดเซิร์ฟเวอร์ที่ตรวจไปแล้วในปีก่อนออก ขณะที่บางแห่งไม่นับรวมเครื่องที่กำหนดจะปลดระวาง กระทรวงปล่อยให้แต่ละสถาบันตัดสินใจเรื่องเหล่านี้เอง

พัฒนาการสำคัญในช่วงหลายปีที่ผ่านมา ได้แก่:

• ปี 2023 ถึง 2026: สัดส่วนเซิร์ฟเวอร์ของสถาบันที่อยู่นอกขอบเขตการตรวจสอบสูงกว่า 83% ทุกปี
• 1 พฤษภาคม: การแก้ไขเพิ่มเติมเพิ่มข้อกำหนดให้ตรวจสอบช่องโหว่ของซอฟต์แวร์และอัปเดตเป็นประจำ
• กรกฎาคม: คณะกรรมการตรวจเงินแผ่นดินและการตรวจสอบเรียกร้องให้จัดลำดับความสำคัญในการตรวจสอบ กรณีที่สถาบันไม่สามารถตรวจเซิร์ฟเวอร์ทุกเครื่องอย่างละเอียดได้
• กันยายน 2026: เซิร์ฟเวอร์ที่ติดตั้งซอฟต์แวร์ป้องกันไวรัสในสถาบันทั้ง 23 แห่งมี 1,654 เครื่อง จากทั้งหมด 19,041 เครื่อง
• 16 ตุลาคม: สิ้นสุดช่วงรายงานช่องโหว่ โดยพบทั้งหมด 34,536 รายการ
• 20 ตุลาคม: สมาชิกสภานิติบัญญัติตั้งคำถามต่อการบริหารจัดการความปลอดภัยของกระทรวง ระหว่างการตรวจสอบสถาบันวิจัยโดยรัฐสภา

ช่องโหว่นับพันรายการยังรอการแก้ไข

สถาบันวิทยาศาสตร์และเทคโนโลยีแห่งเกาหลี หรือ KIST พบช่องโหว่ 7,079 รายการ มากที่สุดในบรรดาสถาบันต่าง ๆ รองลงมาคือสถาบันวิจัยเครื่องจักรและวัสดุแห่งเกาหลี 6,472 รายการ สถาบันวิจัยธรณีศาสตร์และทรัพยากรแร่แห่งเกาหลี 4,290 รายการ และ KISTI 3,944 รายการ ส่วนสถาบันวิจัยชีววิทยาศาสตร์และเทคโนโลยีชีวภาพแห่งเกาหลีพบอีก 2,693 รายการ

ที่สถาบันวิจัยเครื่องจักร พบข้อค้นพบ 6,472 รายการจากเซิร์ฟเวอร์ 89 เครื่อง เฉลี่ยประมาณ 73 รายการต่อเครื่อง เครื่องเดียวอาจมีจุดอ่อนได้หลายประการ เพราะระบบปฏิบัติการ แอปพลิเคชัน และการตั้งค่าความปลอดภัยต่างต้องได้รับการดูแล

สถาบันต่าง ๆ ระบุว่ายังอยู่ระหว่างดำเนินการแก้ไข การแก้ไขข้อค้นพบอาจต้องติดตั้งอัปเดต เปลี่ยนการตั้งค่า ลบซอฟต์แวร์ที่ไม่จำเป็น หรือจำกัดการเข้าถึง ตัวเลขแสดงจำนวนจุดอ่อนที่ตรวจพบ ขณะที่ภาระงานจริงขึ้นอยู่กับระดับความรุนแรงและการเปลี่ยนแปลงที่จำเป็น

สำหรับทีมวิจัย การแก้ไขยังต้องประสานให้สอดคล้องกับระบบที่ใช้งาน เซิร์ฟเวอร์อาจรองรับการคำนวณ จัดเก็บผลการทดลอง หรือควบคุมอุปกรณ์ คำชี้แจงของกระทรวงเรื่องการขาดแคลนบุคลากรสะท้อนถึงความจำเป็นในการมีผู้เชี่ยวชาญที่ประเมินจุดอ่อนและดำเนินการซ่อมแซมได้ โดยยังคงรักษาการทำงานของระบบเหล่านั้นไว้

ช่องโหว่ด้านซอฟต์แวร์ป้องกันไวรัสครอบคลุมถึงบริการอินเทอร์เน็ตสาธารณะ

เซิร์ฟเวอร์ของสถาบัน 19,041 เครื่อง มีเพียง 1,654 เครื่องที่ติดตั้งซอฟต์แวร์ป้องกันไวรัส คิดเป็นอัตราการติดตั้ง 8.7% ส่วนที่สำนักงานใหญ่กระทรวงอยู่ที่ 92.6% ต่างกัน 83.9 จุดเปอร์เซ็นต์

เซิร์ฟเวอร์ที่เชื่อมต่ออินเทอร์เน็ตมีความครอบคลุมดีกว่าภาพรวมของเซิร์ฟเวอร์ในสถาบัน แต่เกือบครึ่งหนึ่งยังไม่มีซอฟต์แวร์ดังกล่าว คือ 372 จาก 766 เครื่อง หรือ 48.6% เครื่องเหล่านี้เชื่อมต่อกับอินเทอร์เน็ตสาธารณะโดยตรง ทำให้ผู้โจมตีมีช่องทางตรวจสอบบริการเพื่อหาจุดอ่อนได้

ซอฟต์แวร์ป้องกันไวรัสและการตรวจสอบช่องโหว่ทำหน้าที่ต่างกัน ซอฟต์แวร์ป้องกันไวรัสค้นหาโปรแกรมประสงค์ร้ายหรือกิจกรรมที่น่าสงสัย ส่วนการตรวจสอบช่องโหว่ค้นหาจุดอ่อนที่ต้องซ่อมแซม สถาบันจึงต้องดูแลทั้งสภาพของซอฟต์แวร์และสัญญาณว่ามีโปรแกรมอันตรายอยู่หรือไม่

คัง ซัง-อุก หัวหน้าฝ่ายวางแผนและประสานงานของกระทรวง ยอมรับถึงข้อจำกัดทางเทคนิคระหว่างถูกซักถามเรื่องความครอบคลุมของซอฟต์แวร์ป้องกันไวรัส:

อุปกรณ์บางชนิดในสถาบันวิจัยติดตั้งซอฟต์แวร์ป้องกันไวรัสได้ยากในทางเทคนิค จึงไม่ง่ายที่จะทำให้ครอบคลุม 100 เปอร์เซ็นต์" เขากล่าว "แต่ผมคิดว่ายังมีช่องทางอีกมากให้ปรับปรุง

คังกล่าวว่ากระทรวงจะเร่งการติดตั้งและเพิ่มความเข้มงวดในการกำกับดูแล เพื่อให้ผู้บริหารสถาบันใส่ใจเรื่องนี้มากขึ้น ส่วนอุปกรณ์ที่ไม่รองรับซอฟต์แวร์ป้องกันไวรัสแบบทั่วไป อีเรียกร้องให้ตรวจสอบว่ามีมาตรการป้องกันอื่นที่เทียบเท่าหรือไม่ ซึ่งอาจรวมถึงการจำกัดการเข้าถึงอย่างเข้มงวด การแยกเครือข่าย และการใช้วิธีอื่นเพื่อตรวจจับกิจกรรมประสงค์ร้าย

ผลตรวจพบมัลแวร์ตั้งคำถามต่อคะแนนประเมินความปลอดภัยเชิงบวก

การตรวจสอบก่อนหน้านี้ของคณะกรรมการตรวจเงินแผ่นดินและการตรวจสอบครอบคลุมสถาบันวิจัย 5 แห่ง ซึ่งมีเซิร์ฟเวอร์ 17,073 เครื่อง พบว่ามีเพียง 374 เครื่อง หรือ 2.2% ที่ติดตั้งซอฟต์แวร์ป้องกันไวรัส การตรวจสอบดังกล่าวครอบคลุมสถาบันและช่วงเวลาที่แตกต่างจากยอดเดือนกันยายนของสถาบันทั้ง 23 แห่ง

ผู้ตรวจสอบตรวจเซิร์ฟเวอร์ 251 เครื่องที่ไม่มีซอฟต์แวร์ป้องกันไวรัส และพบมัลแวร์ 38 ชนิดบนเซิร์ฟเวอร์ 21 เครื่องในสถาบัน 4 แห่ง เครื่องที่พบมัลแวร์คิดเป็นประมาณ 8.4% ของเครื่องที่ตรวจสอบ อัตรานี้หมายถึงเฉพาะเครื่องที่ถูกเลือกให้ตรวจในครั้งนั้น

การตรวจสอบยังพบการอัปเดตความปลอดภัยบนเซิร์ฟเวอร์สำคัญที่ล่าช้า และการควบคุมที่ไม่เพียงพอต่อโปรแกรมซึ่งอนุญาตให้เข้าถึงเครือข่ายภายในจากภายนอก ข้อค้นพบเหล่านี้ทำให้เห็นแนวปฏิบัติในการดำเนินงานที่เป็นรูปธรรมควบคู่ไปกับตัวเลขการติดตั้งซอฟต์แวร์ป้องกันไวรัส

แม้จะมีจุดอ่อนเหล่านี้ กระทรวงยังประเมินการบริหารจัดการความมั่นคงปลอดภัยสารสนเทศของสถาบันต่าง ๆ ให้อยู่ในระดับดีมากทุกปี ซอ ชอน-โฮ ส.ส. พรรคพลังประชาชน ตั้งคำถามว่าการประเมินดังกล่าวสะท้อนสภาพภายในสถาบันจริงหรือไม่

คิม นัม-กุก ส.ส. พรรคประชาธิปไตย ชี้ถึงช่องว่างในการกำกับดูแลอีกประการหนึ่ง จากคำแนะนำและแนวทางด้านความปลอดภัย 19 ข้อที่ส่งให้สถาบันวิจัยตั้งแต่ปี 2023 เป็นต้นมา มีเพียงข้อเดียวที่อยู่ระหว่างตรวจสอบการปฏิบัติตาม เขากล่าวว่ากระทรวงยังไม่ได้ตรวจสอบการดำเนินการตามแนวทางที่เกี่ยวกับช่องโหว่ซึ่งถูกจัดอยู่ในระดับความเสี่ยงสูงสุดตามระบบประเมินช่องโหว่ระหว่างประเทศ

เมื่อพิจารณาร่วมกัน ข้อค้นพบเหล่านี้ชี้ภารกิจของกระทรวงสองประการ ได้แก่ ตรวจสอบว่ามีการปฏิบัติตามคำสั่งหรือไม่ และทดสอบว่าการประเมินสะท้อนจุดอ่อนที่พบจากการตรวจสอบเชิงลึกได้ครบถ้วนหรือไม่

งบประมาณที่เพิ่มขึ้นทำให้การจัดสรรรายจ่ายถูกจับตา

สถาบัน 6 แห่งระบุว่าจะติดตั้งซอฟต์แวร์ป้องกันไวรัสเป็นระยะหลังได้รับงบประมาณ อย่างไรก็ตาม งบประมาณความมั่นคงปลอดภัยสารสนเทศรวมของทั้งหกแห่งเพิ่มจาก 2.47 พันล้านวอนเป็น 3.62 พันล้านวอน เพิ่มขึ้น 1.15 พันล้านวอน หรือ 46.3%

ทั้งหกแห่ง ได้แก่ สถาบันเทคโนโลยีสีเขียวแห่งชาติ สถาบันการแพทย์แผนตะวันออกแห่งเกาหลี สถาบันเทคโนโลยีอุตสาหกรรมแห่งเกาหลี สถาบันวิจัยเครื่องจักรและวัสดุแห่งเกาหลี สถาบันวิจัยพลังงานแห่งเกาหลี และสถาบันวิจัยเทคโนโลยีไฟฟ้าแห่งเกาหลี สถาบันทั้ง 23 แห่งได้รับอนุมัติงบประมาณความมั่นคงปลอดภัยสารสนเทศตามที่ขอ โดยไม่มีการปรับลด

สถาบันเทคโนโลยีสีเขียวแห่งชาติและสถาบันการแพทย์แผนตะวันออกแห่งเกาหลีไม่มีรายการงบประมาณแยกสำหรับจัดหาหรือบำรุงรักษาซอฟต์แวร์ป้องกันไวรัสบนเซิร์ฟเวอร์ ทั้งในปี 2025 และ 2026 ที่สถาบันการแพทย์แผนตะวันออก มีเซิร์ฟเวอร์เพียง 2 เครื่องจากทั้งหมด 141 เครื่องที่ติดตั้งซอฟต์แวร์ป้องกันไวรัส

สถาบันประเมินว่าค่าใช้จ่ายอยู่ที่ 500,000 วอนต่อเซิร์ฟเวอร์ ทำให้การติดตั้งบนเซิร์ฟเวอร์ที่เหลือ 139 เครื่องมีค่าใช้จ่าย 69.5 ล้านวอน สำนักงานของอีเปรียบเทียบจำนวนดังกล่าวกับค่าใช้จ่ายด้านความมั่นคงปลอดภัยสารสนเทศ 43 ล้านวอนสำหรับค่าบริการเครือข่าย 28 ล้านวอนสำหรับบริการคลาวด์ และ 22 ล้านวอนสำหรับอุปกรณ์ลบข้อมูลจากสื่อบันทึกแบบแม่เหล็ก

ค่าใช้จ่ายทั้งสามหมวดรวม 93 ล้านวอน การเปรียบเทียบนี้ทำให้เกิดคำถามว่าใช้งบประมาณด้านความปลอดภัยไปกับอะไร ควบคู่กับจำนวนเงินที่แต่ละสถาบันได้รับ การติดตั้งซอฟต์แวร์ป้องกันไวรัสบางส่วนกำหนดไว้ในปี 2027 หรือ 2028 ทำให้อีเรียกร้องให้ดำเนินการให้เสร็จเร็วกว่านั้น

ไฟล์งานวิจัยยังถูกเก็บไว้ในฮาร์ดไดรฟ์

คณะกรรมการตรวจเงินแผ่นดินและการตรวจสอบพบกรณีบกพร่องด้านความมั่นคงปลอดภัยของข้อมูลทางกายภาพที่สถาบันวิจัยการบินและอวกาศแห่งเกาหลี นักวิจัยรายหนึ่งที่ย้ายไปทำงานยังอีกสถาบันนำฮาร์ดไดรฟ์ออกไปโดยไม่ได้รับอนุญาต ภายในมีไฟล์งานวิจัย 60,956 ไฟล์ รวมถึงข้อมูลที่เกี่ยวข้องกับโครงการความมั่นคงแห่งชาติ 4 โครงการ

เหตุการณ์นี้ทำให้อุปกรณ์จัดเก็บข้อมูลกลายเป็นส่วนหนึ่งของประเด็นถกเถียงเดียวกับเซิร์ฟเวอร์ การคุ้มครองข้อมูลวิจัยยังต้องมีกฎกำกับว่าใครนำไดรฟ์ออกไปได้ ใครเป็นผู้อนุมัติ และจะบันทึกการเคลื่อนย้ายอย่างไร

ผลลัพธ์หลายประการยังไม่มีข้อยุติ ได้แก่ ไม่มีข้อมูลยืนยันว่าข้อมูลวิจัยรั่วไหลจากกรณีพบมัลแวร์หรือการนำไดรฟ์ออกไป ไม่มีการสอบสวนเหตุการณ์เหล่านั้นที่เสร็จสิ้นแล้ว และยังไม่มีกำหนดเวลาที่แน่นอนสำหรับการแก้ไขช่องโหว่ทั้งหมด ขั้นตอนถัดไปที่ระบุไว้คือการกำหนดเกณฑ์การตรวจสอบของกระทรวงและการทบทวนที่สมาชิกสภานิติบัญญัติเรียกร้อง

กระทรวงมีกำหนดเส้นตายกำหนดลำดับความสำคัญในการตรวจสอบ

กระทรวงมีแผนกำหนดเกณฑ์จัดลำดับความสำคัญร่วมกันภายในสิ้นปี 2026 และเริ่มใช้ในปี 2027 นอกจากนี้ กระทรวงยังระบุว่าจะรวบรวมเกณฑ์ที่สถาบันใช้อยู่และนำประเด็นสำคัญที่จำเป็นมาพิจารณาในปี 2026 ซึ่งเป็นขั้นตอนเบื้องต้นก่อนเริ่มใช้กรอบแนวทางที่กว้างขึ้น

เกณฑ์การจัดลำดับความสำคัญจะระบุว่าเครื่องใดควรได้รับการดูแลก่อน เมื่อบุคลากรและเครื่องมือมีจำกัด อีให้เหตุผลว่าการจัดลำดับตรวจสอบต้องไม่ทำให้หน้าที่ประจำปีในการตรวจสอบและแก้ไขช่องโหว่ของเซิร์ฟเวอร์ทุกเครื่องถูกละเลย

อียังเรียกร้องให้ตรวจสอบความปลอดภัยของเซิร์ฟเวอร์ทุกเครื่องให้เสร็จก่อนสิ้นปี เมื่อกล่าวถึงความรับผิดชอบของกระทรวงต่ออุปกรณ์ที่ไม่รองรับซอฟต์แวร์ป้องกันไวรัส เขากล่าวว่า:

"กระทรวงต้องตรวจสอบด้วยว่าเซิร์ฟเวอร์ที่ไม่สามารถติดตั้งซอฟต์แวร์ป้องกันไวรัสมีมาตรการป้องกันทางเลือกที่เทียบเท่าอยู่แล้ว และต้องเพิ่มความเข้มงวดในการกำกับดูแล เพื่อให้ผู้บริหารสถาบันรับผิดชอบโดยตรงต่อความมั่นคงปลอดภัยสารสนเทศ" เขากล่าว

ข้อค้นพบทั้งหมดทำให้ความครอบคลุมของการตรวจสอบ การซ่อมแซม การป้องกันมัลแวร์ และความรับผิดชอบของผู้บริหารกลายเป็นวาระเดียวกัน สำหรับสถาบันต่าง ๆ บททดสอบในทางปฏิบัติคือการกำหนดตารางตรวจสอบให้เซิร์ฟเวอร์ทุกเครื่อง การแก้ไขจุดอ่อนที่ตรวจพบ และการจัดมาตรการป้องกันให้เหมาะกับการทำงานของอุปกรณ์เฉพาะทาง

ประเด็นสำคัญ

• สถาบันวิจัย 23 แห่งเลือกตรวจสอบช่องโหว่เซิร์ฟเวอร์ 3,025 เครื่องจากทั้งหมด 19,041 เครื่องในปี 2026 คิดเป็น 15.9%
• พบช่องโหว่ 34,536 รายการจนถึงวันที่ 16 ตุลาคม และยังอยู่ระหว่างดำเนินการแก้ไข
• เซิร์ฟเวอร์ 17,387 เครื่องไม่มีซอฟต์แวร์ป้องกันไวรัส รวมถึง 372 เครื่องที่เชื่อมต่ออินเทอร์เน็ตโดยตรง
• การตรวจสอบก่อนหน้านี้พบมัลแวร์ 38 ชนิดในเซิร์ฟเวอร์ 21 เครื่อง จากทั้งหมด 251 เครื่องที่ตรวจ
• สถาบัน 6 แห่งที่อ้างข้อจำกัดด้านงบประมาณได้รับงบประมาณความมั่นคงปลอดภัยเพิ่มขึ้นรวม 46.3%
• กระทรวงมีแผนกำหนดลำดับความสำคัญในการตรวจสอบร่วมกันภายในสิ้นปี เพื่อนำไปใช้ในปี 2027 ขณะที่สมาชิกสภานิติบัญญัติเรียกร้องให้ตรวจสอบเซิร์ฟเวอร์ทุกเครื่องเร็วกว่านั้น