दक्षिण कोरिया के अनुसंधान संस्थानों ने केवल 15.9% सर्वरों की सुरक्षा जांच की योजना बनाई

16,000 से अधिक सर्वर नियोजित जांच के दायरे से बाहर

नेशनल असेंबली में पेश विज्ञान एवं आईसीटी मंत्रालय के आंकड़ों के अनुसार, दक्षिण कोरिया के सरकारी वित्तपोषित अनुसंधान संस्थानों ने 2026 में अपने 19,041 सर्वरों में से केवल 3,025 को सुरक्षा कमजोरियों की जांच के लिए चुना। इस तरह 16,016 सर्वर, यानी 84.1%, जांच के दायरे से बाहर रह गए, जबकि राष्ट्रीय साइबर सुरक्षा दिशानिर्देशों के तहत साल में कम से कम एक बार जांच जरूरी है।

इन आंकड़ों में कृत्रिम बुद्धिमत्ता, सेमीकंडक्टर, जैव प्रौद्योगिकी, परमाणु ऊर्जा और साइबर सुरक्षा सहित विभिन्न क्षेत्रों में अनुसंधान करने वाले 23 संस्थान शामिल हैं। सीमित जांच दायरे में संस्थानों ने 1 जनवरी से 16 अक्टूबर के बीच 34,536 कमजोरियां दर्ज कीं। सभी 23 संस्थानों ने कहा कि इन कमजोरियों को दूर करने का काम अभी जारी है।

दूसरी कमी दुर्भावनापूर्ण सॉफ्टवेयर से सुरक्षा की है। संसदीय समीक्षा के दौरान पेश आंकड़ों के मुताबिक, 17,387 सर्वरों, यानी 91.3%, में एंटीवायरस सॉफ्टवेयर इंस्टॉल नहीं था। वेबसाइट जैसी सेवाएं देने के लिए सीधे इंटरनेट से जुड़े 766 सर्वरों में से 372 में एंटीवायरस सुरक्षा नहीं थी।

मंत्रालय के मुख्यालय में सुरक्षा कवरेज कहीं व्यापक थी: उसके सभी 108 सर्वर कमजोरियों की जांच में शामिल थे और 100 में एंटीवायरस इंस्टॉल था। सांसदों ने सवाल उठाया कि राष्ट्रीय महत्व के अनुसंधान के लिए जिम्मेदार संस्थानों में समान सुरक्षा दिशानिर्देशों के बावजूद सुरक्षा इतनी सीमित क्यों है।

मंत्रालय ने विशेषज्ञ कर्मचारियों की कमी, महंगे स्कैनिंग उपकरणों और कुछ अनुसंधान उपकरणों पर एंटीवायरस इंस्टॉल करने में तकनीकी कठिनाइयों का हवाला दिया। उसके प्रस्तावित कदमों में यह तय करने के लिए साझा मानदंड शामिल हैं कि किन सर्वरों की जांच पहले की जाए। नेशनल असेंबली की विज्ञान एवं प्रौद्योगिकी समिति के डेमोक्रेटिक पार्टी सदस्य ली हुन-गी ने इसके बजाय हर सर्वर की तत्काल समीक्षा की मांग की।

सबसे बड़े सर्वर संचालकों के यहां जांच का दायरा सबसे सीमित

कोरिया इंस्टीट्यूट ऑफ साइंस एंड टेक्नोलॉजी इन्फॉर्मेशन, जिसे KISTI के नाम से जाना जाता है, ने अपने 11,132 सर्वरों में से 267 को जांच के लिए चुना। इलेक्ट्रॉनिक्स एंड टेलीकम्युनिकेशंस रिसर्च इंस्टीट्यूट (ETRI) ने 3,747 में से 100 सर्वर चुने।

इन दोनों संस्थानों के पास कुल 14,879 सर्वर थे, जो 23 संस्थानों के कुल सर्वरों का लगभग 78.1% है। उन्होंने संयुक्त रूप से केवल 367 सर्वरों को जांच के लिए चुना, यानी उनके कुल सर्वरों का करीब 2.5%। उनका बड़ा आकार राष्ट्रीय स्थिति का आकलन करने में उनके जांच संबंधी फैसलों को अहम बनाता है।

KISTI के सर्वरों में एंटीवायरस इंस्टॉल होने की दर 0.6% थी, जबकि ETRI में यह 8.4% थी। इन संस्थानों की जिम्मेदारियों में कंप्यूटिंग ढांचा और संचार प्रौद्योगिकी शामिल हैं, इसलिए उनके सिस्टम की सुरक्षा अनुसंधान कार्यों के लिए विशेष रूप से महत्वपूर्ण है।

जांच के आंकड़े रिपोर्टिंग अवधि में जांच के लिए चुने गए सर्वरों की संख्या बताते हैं। काम कितना पूरा हुआ, यह समझने के लिए पाठकों को की गई जांचों, दूर की गई कमजोरियों और जांच के लिए नहीं चुने गए सर्वरों पर लागू सुरक्षा उपायों की पूरी जानकारी चाहिए।

चार साल से जांच का दायरा सीमित

मंत्रालय के आंकड़े बताते हैं कि जांच में कमी थोड़े समय की रुकावट नहीं, बल्कि लगातार बनी हुई स्थिति है। सभी 23 संस्थानों में जांच के दायरे से बाहर सर्वरों का अनुपात 2023 में 84.2%, 2024 में 84.2%, 2025 में 83.7% और 2026 में 84.1% था।

इस तरह चारों वर्षों में जांच का दायरा लगभग हर छह में से एक सर्वर तक ही सीमित रहा। 2025 में हुआ मामूली सुधार 2026 में काफी हद तक पलट गया।

ETRI में बदलाव अधिक तीखा रहा। जांच से बाहर सर्वरों का अनुपात 2025 के 61.1% से बढ़कर 2026 में 97.3% हो गया। KISTI में जांच से बाहर सर्वरों का अनुपात हर साल 96% से ऊपर रहा और 2026 में 97.6% तक पहुंच गया।

कोरिया इलेक्ट्रोटेक्नोलॉजी रिसर्च इंस्टीट्यूट ने चारों वर्षों में अपने 94.8% सर्वरों को जांच से बाहर रखा। नेशनल सिक्योरिटी रिसर्च इंस्टीट्यूट में जांच से बाहर का अनुपात 2023 और 2024 में 90.9% से घटकर 2025 में 71.8% और 2026 में 67.3% रह गया। इस सुधार के बाद भी करीब दो-तिहाई सर्वर चुने गए जांच दायरे से बाहर थे।

जांच के नियम क्या कहते हैं

राष्ट्रीय साइबर सुरक्षा मूल दिशानिर्देशों के अनुच्छेद 53, पैराग्राफ 2 के तहत सर्वर प्रशासकों को अपने सुरक्षा उपायों की समीक्षा करनी होती है और साल में कम से कम एक बार कमजोरियों की जांच कर उन्हें दूर करना होता है। इसमें संग्रहित जानकारी की चोरी और सर्वर की सेटिंग या डेटा में अनधिकृत बदलाव जैसे जोखिम शामिल हैं।

1 मई से लागू संशोधन के तहत ऑपरेटिंग सिस्टम और सॉफ्टवेयर की कमजोरियों तथा अपडेट की नियमित जांच भी जरूरी है। असुरक्षित सेटिंग या पुराना सॉफ्टवेयर जैसी कमजोरी किसी को सिस्टम में घुसने या उसके कामकाज में बाधा डालने का मौका दे सकती है।

संस्थानों ने जांच के लिए सर्वर चुनने के अलग-अलग मानदंड अपनाए। कुछ ने पिछले साल जांचे गए सर्वरों को बाहर रखा, जबकि कुछ ने सेवा से हटाए जाने वाले सर्वरों को जांच में शामिल नहीं किया। मंत्रालय ने ये फैसले अलग-अलग संस्थानों पर छोड़ दिए थे।

मुख्य घटनाक्रम कई वर्षों में फैले हैं:

• 2023 से 2026: संस्थानों के 83% से अधिक सर्वर हर साल जांच के दायरे से बाहर रहे।
• 1 मई: संशोधन में सॉफ्टवेयर की कमजोरियों और अपडेट की नियमित जांच की शर्तें जोड़ी गईं।
• जुलाई: बोर्ड ऑफ ऑडिट एंड इंस्पेक्शन ने कहा कि जिन संस्थानों में हर सर्वर की विस्तृत जांच संभव नहीं है, उन्हें जांच की प्राथमिकताएं तय करनी चाहिए।
• सितंबर 2026: 23 संस्थानों के 19,041 सर्वरों में से 1,654 पर एंटीवायरस सुरक्षा थी।
• 16 अक्टूबर: कमजोरियों की रिपोर्टिंग अवधि 34,536 निष्कर्षों के साथ समाप्त हुई।
• 20 अक्टूबर: अनुसंधान संस्थानों के संसदीय ऑडिट के दौरान सांसदों ने मंत्रालय के सुरक्षा प्रबंधन पर सवाल उठाए।

हजारों कमजोरियों पर सुधारात्मक काम बाकी

कोरिया इंस्टीट्यूट ऑफ साइंस एंड टेक्नोलॉजी (KIST) में 7,079 कमजोरियां दर्ज की गईं, जो संस्थानों में सबसे अधिक थीं। इसके बाद कोरिया इंस्टीट्यूट ऑफ मशीनरी एंड मैटेरियल्स में 6,472, कोरिया इंस्टीट्यूट ऑफ जियोसाइंस एंड मिनरल रिसोर्सेज में 4,290 और KISTI में 3,944 कमजोरियां दर्ज की गईं। कोरिया रिसर्च इंस्टीट्यूट ऑफ बायोसाइंस एंड बायोटेक्नोलॉजी में 2,693 कमजोरियां मिलीं।

मशीनरी संस्थान में 89 सर्वरों पर 6,472 कमजोरियां मिलीं, यानी प्रति सर्वर औसतन करीब 73। एक ही मशीन में कई कमजोरियां हो सकती हैं, क्योंकि उसके ऑपरेटिंग सिस्टम, एप्लिकेशन और सुरक्षा सेटिंग, सभी पर ध्यान देना पड़ सकता है।

संस्थानों ने कमजोरियां दूर करने का काम जारी बताया। किसी कमजोरी को ठीक करने के लिए अपडेट इंस्टॉल करना, सेटिंग बदलना, गैरजरूरी सॉफ्टवेयर हटाना या पहुंच सीमित करना पड़ सकता है। आंकड़े पहचानी गई कमजोरियों की संख्या बताते हैं, जबकि व्यावहारिक काम का बोझ उनकी गंभीरता और जरूरी बदलावों पर निर्भर करता है।

अनुसंधान टीमों के लिए सुधारात्मक काम को उन सिस्टमों के साथ तालमेल में करना भी जरूरी है जिनका वे इस्तेमाल करती हैं। सर्वर गणनाओं में मदद कर सकते हैं, प्रयोगों के नतीजे संग्रहित कर सकते हैं या उपकरणों को नियंत्रित कर सकते हैं। कर्मचारियों की कमी का मंत्रालय का हवाला इस जरूरत की ओर इशारा करता है कि ऐसे लोग हों जो कमजोरी का आकलन कर सकें और सिस्टम का कामकाज बनाए रखते हुए सुधार भी कर सकें।

सार्वजनिक इंटरनेट सेवाओं में भी एंटीवायरस की कमी

संस्थानों के 19,041 सर्वरों में से केवल 1,654 में एंटीवायरस इंस्टॉल था, यानी इसकी दर 8.7% थी। मंत्रालय मुख्यालय में यह आंकड़ा 92.6% था, जो 83.9 प्रतिशत अंक का अंतर है।

संस्थानों के कुल सर्वरों की तुलना में इंटरनेट से जुड़े सर्वरों पर एंटीवायरस कवरेज बेहतर थी, लेकिन फिर भी करीब आधे सर्वरों में यह सॉफ्टवेयर नहीं था: 766 में से 372, यानी 48.6%। ये मशीनें सीधे सार्वजनिक इंटरनेट से जुड़ी हैं, जिससे हमलावरों को उनकी सेवाओं की कमजोरियां तलाशने का रास्ता मिल सकता है।

एंटीवायरस सॉफ्टवेयर और कमजोरियों की जांच अलग-अलग काम करते हैं। एंटीवायरस दुर्भावनापूर्ण प्रोग्राम या संदिग्ध गतिविधि तलाशता है। कमजोरियों की जांच उन खामियों को खोजती है जिन्हें ठीक करने की जरूरत है। संस्थानों को अपने सॉफ्टवेयर की स्थिति और हानिकारक प्रोग्राम मौजूद होने के संकेत, दोनों पर नजर रखनी होगी।

एंटीवायरस कवरेज पर सवालों के दौरान मंत्रालय के योजना एवं समन्वय प्रमुख कांग सांग-वूक ने तकनीकी सीमाओं को स्वीकार किया:

अनुसंधान संस्थानों के कुछ उपकरणों पर तकनीकी कारणों से एंटीवायरस सॉफ्टवेयर इंस्टॉल करना मुश्किल है, इसलिए 100 प्रतिशत कवरेज हासिल करना आसान नहीं है," उन्होंने कहा। "लेकिन मुझे लगता है कि सुधार की काफी गुंजाइश है।

कांग ने कहा कि मंत्रालय इंस्टॉलेशन में तेजी लाएगा और निगरानी मजबूत करेगा, ताकि संस्थानों के प्रमुख इस पर अधिक ध्यान दें। जिन उपकरणों पर पारंपरिक एंटीवायरस काम नहीं कर सकता, उनके लिए ली ने समान स्तर की सुरक्षा की पुष्टि करने की मांग की। इसमें पहुंच को सख्ती से सीमित करना, नेटवर्क को अलग रखना और दुर्भावनापूर्ण गतिविधि का पता लगाने के दूसरे तरीके शामिल हो सकते हैं।

मैलवेयर के निष्कर्षों से सुरक्षा रेटिंग पर सवाल

बोर्ड ऑफ ऑडिट एंड इंस्पेक्शन की पिछली समीक्षा में 17,073 सर्वर संचालित करने वाले पांच अनुसंधान संस्थानों की जांच की गई थी। केवल 374 सर्वरों, यानी 2.2%, में एंटीवायरस इंस्टॉल था। यह समीक्षा सितंबर में सभी 23 संस्थानों के आंकड़ों से अलग समूह और अवधि पर आधारित थी।

ऑडिटरों ने एंटीवायरस के बिना चल रहे 251 सर्वरों की जांच की और चार संस्थानों के 21 सर्वरों में 38 तरह के दुर्भावनापूर्ण सॉफ्टवेयर पाए। जांच की गई मशीनों में करीब 8.4% में मैलवेयर था। यह दर केवल उस समीक्षा के लिए चुनी गई मशीनों पर लागू होती है।

ऑडिट में प्रमुख सर्वरों पर सुरक्षा अपडेट में देरी और ऐसे प्रोग्रामों पर कमजोर नियंत्रण भी मिला, जो बाहरी नेटवर्क से आंतरिक नेटवर्क तक पहुंच देते थे। इन निष्कर्षों से एंटीवायरस इंस्टॉलेशन के आंकड़ों के साथ सुरक्षा के रोजमर्रा के ठोस तरीकों की तस्वीर भी सामने आती है।

इन कमजोरियों के बावजूद मंत्रालय ने संस्थानों के सूचना सुरक्षा प्रबंधन को हर साल बहुत अच्छा दर्जा दिया था। पीपल पावर पार्टी के सांसद सियो चॉन-हो ने सवाल किया कि क्या ये आकलन संस्थानों के भीतर की वास्तविक स्थिति दिखाते थे।

डेमोक्रेटिक पार्टी के सांसद किम नाम-गुक ने निगरानी की एक और कमी उठाई। 2023 से अनुसंधान संस्थानों को भेजी गई 19 सुरक्षा सिफारिशों और दिशानिर्देशों में से केवल एक के अनुपालन की जांच हो रही थी। उन्होंने कहा कि मंत्रालय अंतरराष्ट्रीय कमजोरी आकलन प्रणाली में सबसे ऊंची जोखिम श्रेणी वाली कमजोरी से संबंधित निर्देशों पर की गई कार्रवाई की पुष्टि करने में भी विफल रहा।

इन निष्कर्षों से मंत्रालय के सामने दो काम आते हैं: यह जांचना कि निर्देशों का पालन हो रहा है या नहीं, और यह परखना कि उसकी रेटिंग अधिक विस्तृत जांच में मिली कमजोरियों को दर्शाती है या नहीं।

बजट में बढ़ोतरी से खर्च के फैसलों की जांच

छह संस्थानों ने कहा कि धन मिलने के बाद वे चरणबद्ध तरीके से एंटीवायरस इंस्टॉल करेंगे। हालांकि, इनका संयुक्त सूचना सुरक्षा बजट 2.47 अरब वॉन से बढ़कर 3.62 अरब वॉन हो गया, यानी 1.15 अरब वॉन या 46.3% की बढ़ोतरी।

ये छह संस्थान थे नेशनल इंस्टीट्यूट ऑफ ग्रीन टेक्नोलॉजी, कोरिया इंस्टीट्यूट ऑफ ओरिएंटल मेडिसिन, कोरिया इंस्टीट्यूट ऑफ इंडस्ट्रियल टेक्नोलॉजी, कोरिया इंस्टीट्यूट ऑफ मशीनरी एंड मैटेरियल्स, कोरिया इंस्टीट्यूट ऑफ एनर्जी रिसर्च और कोरिया इलेक्ट्रोटेक्नोलॉजी रिसर्च इंस्टीट्यूट। सभी 23 संस्थानों के अनुरोधित सूचना सुरक्षा बजट बिना किसी कटौती के मंजूर हुए।

नेशनल इंस्टीट्यूट ऑफ ग्रीन टेक्नोलॉजी और कोरिया इंस्टीट्यूट ऑफ ओरिएंटल मेडिसिन के बजट में 2025 और 2026, दोनों वर्षों में सर्वर एंटीवायरस खरीदने या उसके रखरखाव के लिए अलग मद नहीं थी। ओरिएंटल मेडिसिन संस्थान के 141 सर्वरों में से केवल दो पर एंटीवायरस इंस्टॉल था।

संस्थान ने प्रति सर्वर 500,000 वॉन की लागत का अनुमान लगाया, जिससे बाकी 139 सर्वरों पर कवरेज का खर्च 69.5 मिलियन वॉन बैठता है। ली के कार्यालय ने इस रकम की तुलना नेटवर्क लाइन शुल्क पर खर्च किए गए 43 मिलियन वॉन, क्लाउड सेवाओं पर 28 मिलियन वॉन और चुंबकीय स्टोरेज मीडिया मिटाने के उपकरणों पर खर्च किए गए 22 मिलियन वॉन से की।

इन तीन मदों पर कुल 93 मिलियन वॉन खर्च हुए। इस तुलना से संस्थानों को मिली कुल रकम के साथ-साथ सुरक्षा बजट से खरीदी जा रही चीजों पर भी सवाल उठते हैं। कुछ एंटीवायरस इंस्टॉलेशन 2027 या 2028 के लिए तय थे, जिस पर ली ने काम पहले पूरा करने की मांग की।

अनुसंधान फाइलें हार्ड ड्राइव में भी छोड़ दी गईं

बोर्ड ऑफ ऑडिट एंड इंस्पेक्शन ने कोरिया एयरोस्पेस रिसर्च इंस्टीट्यूट में सूचना सुरक्षा की एक भौतिक चूक पाई। दूसरे संस्थान में जाने वाले एक शोधकर्ता ने बिना अनुमति एक हार्ड ड्राइव निकाल ली। उसमें 60,956 अनुसंधान फाइलें थीं, जिनमें राष्ट्रीय सुरक्षा से जुड़ी चार परियोजनाओं की सामग्री भी शामिल थी।

इस घटना से सर्वरों के साथ स्टोरेज उपकरणों की सुरक्षा भी चर्चा के दायरे में आती है। अनुसंधान जानकारी की रक्षा के लिए यह तय करने वाले नियम भी जरूरी हैं कि ड्राइव कौन निकाल सकता है, इसकी मंजूरी कौन देगा और उसके स्थानांतरण का रिकॉर्ड कैसे रखा जाएगा।

कई नतीजे अभी स्पष्ट नहीं हैं: इन आंकड़ों में मैलवेयर मिलने या ड्राइव हटाए जाने से अनुसंधान डेटा के सार्वजनिक होने की पुष्टि नहीं है, इन घटनाओं की जांच पूरी नहीं हुई है और सभी कमजोरियों की मरम्मत पूरी करने की कोई पक्की तारीख नहीं है। अगली घोषित समयसीमाएं मंत्रालय के जांच मानदंडों और सांसदों की मांग वाली समीक्षा से जुड़ी हैं।

जांच की प्राथमिकताओं के लिए मंत्रालय को समयसीमा

मंत्रालय 2026 के अंत तक साझा प्राथमिकता मानदंड तय करने और 2027 से उन्हें लागू करने की योजना बना रहा है। उसने यह भी कहा है कि 2026 के दौरान संस्थानों के मौजूदा मानदंड जुटाकर जरूरी प्राथमिकता मदें शामिल की जाएंगी। व्यापक रूपरेखा लागू होने से पहले यह एक शुरुआती कदम होगा।

जब कर्मचारियों और उपकरणों की कमी हो, तो प्राथमिकता नियम तय करेंगे कि किन मशीनों पर पहले ध्यान दिया जाए। ली ने कहा कि जांच का क्रम तय करने से सभी सर्वरों की कमजोरियों की सालाना जांच और उन्हें दूर करने की जिम्मेदारी प्रभावित नहीं होनी चाहिए।

ली ने साल के अंत से पहले सभी सर्वरों की सुरक्षा की पूरी समीक्षा करने की भी मांग की। एंटीवायरस का समर्थन न करने वाले उपकरणों के लिए मंत्रालय की जिम्मेदारी पर उन्होंने कहा:

"मंत्रालय को यह भी सुनिश्चित करना होगा कि जिन सर्वरों पर एंटीवायरस इंस्टॉल करना संभव नहीं है, उनमें उसके बराबर के वैकल्पिक सुरक्षा उपाय मौजूद हों। साथ ही, संस्थानों के प्रमुखों की सूचना सुरक्षा में प्रत्यक्ष जिम्मेदारी सुनिश्चित करने के लिए निगरानी की अपनी भूमिका मजबूत करनी होगी," उन्होंने कहा।

इन सभी निष्कर्षों से जांच कवरेज, मरम्मत के काम, मैलवेयर सुरक्षा और प्रबंधन की जवाबदेही एक ही एजेंडे में आ गए हैं। संस्थानों के लिए असली कसौटी यह होगी कि हर सर्वर की जांच का तय कार्यक्रम हो, मिली कमजोरियों पर सुधारात्मक कार्रवाई की जाए और विशेष उपकरणों के संचालन के अनुरूप सुरक्षा व्यवस्था हो।

मुख्य बिंदु

• 23 अनुसंधान संस्थानों ने 2026 में कमजोरियों की जांच के लिए 19,041 में से 3,025 सर्वर चुने, यानी 15.9%।
• 16 अक्टूबर तक 34,536 कमजोरियां दर्ज हुईं और उन्हें दूर करने का काम जारी था।
• 17,387 सर्वरों में एंटीवायरस नहीं था, जिनमें सीधे इंटरनेट से जुड़े 372 सर्वर शामिल हैं।
• पिछले ऑडिट में जांचे गए 251 सर्वरों में से 21 पर मैलवेयर की 38 किस्में मिलीं।
• धन की कमी का हवाला देने वाले छह संस्थानों का संयुक्त सुरक्षा बजट 46.3% बढ़ा था।
• मंत्रालय साल के अंत तक साझा जांच प्राथमिकताएं तय कर 2027 में लागू करने की योजना बना रहा है; सांसद इससे पहले पूरी समीक्षा चाहते हैं।