Más de 16.000 servidores quedan fuera de las revisiones previstas
Los institutos de investigación financiados por el Gobierno de Corea del Sur seleccionaron solo 3.025 de sus 19.041 servidores para someterlos a revisiones de vulnerabilidades de seguridad en 2026, según datos del Ministerio de Ciencia y TIC presentados ante la Asamblea Nacional. Esto deja 16.016 servidores, o el 84,1%, fuera del alcance de las inspecciones, aunque las directrices nacionales de ciberseguridad exigen que se realicen al menos una vez al año.
Contenido
- Más de 16.000 servidores quedan fuera de las revisiones previstas
- Los operadores de servidores más grandes tienen la cobertura más limitada
- Cuatro años con un alcance limitado de inspección
- Qué exigen las normas de inspección
- Miles de debilidades esperan ser corregidas
- La falta de antivirus también afecta a los servicios públicos en internet
- La detección de programas maliciosos pone en duda las buenas calificaciones de seguridad
- El aumento del presupuesto pone el gasto bajo escrutinio
- Archivos de investigación también quedaron en un disco duro
- El ministerio tiene hasta fin de año para establecer prioridades de inspección
- Puntos clave
Las cifras abarcan 23 institutos que investigan en áreas como inteligencia artificial, semiconductores, biotecnología, energía nuclear y ciberseguridad. Dentro del alcance limitado de las inspecciones, los institutos registraron 34.536 vulnerabilidades entre el 1 de enero y el 16 de octubre. Los 23 indicaron que las tareas para corregir los problemas detectados seguían en curso.
Otra deficiencia afecta a la protección contra programas maliciosos. Las cifras presentadas durante el examen parlamentario mostraron que 17.387 servidores, o el 91,3%, no tenían instalado un antivirus. Entre los 766 servidores conectados directamente a internet para ofrecer servicios como sitios web, 372 carecían de protección antivirus.
La sede central del ministerio tenía una cobertura mucho mayor: sus 108 servidores se incluyeron en las inspecciones de vulnerabilidades y 100 tenían instalado un antivirus. Los legisladores preguntaron por qué los institutos responsables de investigaciones de importancia nacional tenían una protección considerablemente más limitada pese a estar sujetos a las mismas directrices de seguridad.
El ministerio atribuyó la situación a la falta de personal especializado, al elevado costo de las herramientas de análisis y a las dificultades técnicas para instalar antivirus en algunos equipos de investigación. Entre las medidas propuestas figura establecer criterios comunes para decidir qué servidores inspeccionar primero. El diputado Lee Hoon-ki, del Partido Democrático y miembro de la comisión de ciencia y tecnología de la Asamblea Nacional, pidió en cambio una revisión inmediata de todos los servidores.
Los operadores de servidores más grandes tienen la cobertura más limitada
El Instituto de Ciencia y Tecnología de la Información de Corea, conocido como KISTI, seleccionó 267 de sus 11.132 servidores para las revisiones. El Instituto de Investigación de Electrónica y Telecomunicaciones, o ETRI, seleccionó 100 de 3.747.
En conjunto, esos dos institutos operaban 14.879 servidores, alrededor del 78,1% del total de los 23 institutos. Seleccionaron solo 367 para inspección, aproximadamente el 2,5% del total combinado. Su tamaño hace que sus decisiones sobre las inspecciones sean fundamentales para evaluar la situación nacional.
La tasa de instalación de antivirus en los servidores de KISTI era del 0,6%, mientras que en ETRI era del 8,4%. Sus responsabilidades incluyen la infraestructura informática y la tecnología de las comunicaciones, por lo que la protección de sus sistemas es especialmente importante para las actividades de investigación.
Las cifras de inspección indican qué servidores se seleccionaron para las revisiones durante el período informado. Para comprender cuánto trabajo se ha completado, los lectores necesitan un informe completo sobre las revisiones realizadas, las debilidades corregidas y las protecciones aplicadas a los servidores que quedaron fuera de esa selección.
Cuatro años con un alcance limitado de inspección
Los datos del ministerio muestran una tendencia persistente, no una interrupción breve de las inspecciones. En los 23 institutos, la proporción de servidores fuera del alcance de las inspecciones fue del 84,2% en 2023, del 84,2% en 2024, del 83,7% en 2025 y del 84,1% en 2026.
Por tanto, durante los cuatro años la cobertura se mantuvo cerca de un servidor de cada seis. La ligera mejora de 2025 se revirtió en gran medida en 2026.
ETRI registró un cambio más pronunciado. La proporción de sus servidores que quedaron fuera de las inspecciones pasó del 61,1% en 2025 al 97,3% en 2026. La proporción excluida en KISTI se mantuvo por encima del 96% en todos los años examinados y llegó al 97,6% en 2026.
El Instituto de Investigación de Electrotecnología de Corea dejó fuera de las inspecciones al 94,8% de sus servidores en cada uno de los cuatro años. En el Instituto de Investigación de Seguridad Nacional, la proporción excluida pasó del 90,9% en 2023 y 2024 al 71,8% en 2025 y al 67,3% en 2026. Pese a la mejora, alrededor de dos tercios de los servidores siguieron fuera del alcance seleccionado.
Qué exigen las normas de inspección
El artículo 53, párrafo 2, de las Directrices Básicas Nacionales de Ciberseguridad exige que los administradores de servidores revisen sus medidas de seguridad, inspeccionen las vulnerabilidades y las corrijan al menos una vez al año. Entre los riesgos contemplados figuran el robo de información almacenada y los cambios no autorizados en la configuración o los datos de los servidores.
Una enmienda que entró en vigor el 1 de mayo también exige examinar periódicamente las vulnerabilidades de los sistemas operativos y los programas, así como sus actualizaciones. Una vulnerabilidad es una debilidad, como una configuración insegura o un programa desactualizado, que podría permitir a alguien acceder a un sistema o interferir en su funcionamiento.
Los institutos aplicaron distintos criterios para elegir los servidores que inspeccionarían. Algunos excluyeron los servidores examinados el año anterior; otros, los equipos que tenían previsto retirar. El ministerio había dejado esas decisiones en manos de cada institución.
Los principales acontecimientos abarcan varios años:
- De 2023 a 2026: La proporción de servidores de los institutos fuera del alcance de las inspecciones superó el 83% cada año.
- 1 de mayo: Una enmienda añadió requisitos para revisar periódicamente las vulnerabilidades de los programas y sus actualizaciones.
- Julio: La Junta de Auditoría e Inspección pidió establecer prioridades de inspección para los casos en que los institutos no pudieran examinar todos los servidores en detalle.
- Septiembre de 2026: La cobertura de antivirus en los 23 institutos era de 1.654 de 19.041 servidores.
- 16 de octubre: El período de notificación de vulnerabilidades terminó con 34.536 problemas detectados.
- 20 de octubre: Los legisladores cuestionaron la gestión de la seguridad del ministerio durante la auditoría parlamentaria de los institutos de investigación.
Miles de debilidades esperan ser corregidas
El Instituto de Ciencia y Tecnología de Corea, o KIST, registró 7.079 vulnerabilidades, la cifra más alta entre los institutos. Le siguieron el Instituto de Maquinaria y Materiales de Corea, con 6.472; el Instituto de Geociencias y Recursos Minerales de Corea, con 4.290; y KISTI, con 3.944. El Instituto de Investigación de Biociencia y Biotecnología de Corea registró otras 2.693.
En el instituto de maquinaria, se detectaron 6.472 problemas en 89 servidores, un promedio de alrededor de 73 por servidor. Un solo equipo puede tener muchas debilidades, ya que tanto su sistema operativo como sus aplicaciones y ajustes de seguridad pueden requerir atención.
Los institutos indicaron que las tareas de corrección seguían en curso. Corregir un problema puede implicar instalar una actualización, cambiar una configuración, eliminar programas innecesarios o restringir el acceso. Las cifras muestran la cantidad de debilidades detectadas, mientras que el trabajo práctico depende de su gravedad y de los cambios necesarios.
Para los equipos de investigación, las tareas de corrección también deben coordinarse con los sistemas que utilizan. Los servidores pueden servir para realizar cálculos, almacenar resultados experimentales o controlar equipos. La explicación del ministerio sobre la falta de personal apunta a la necesidad de contar con personas capaces de evaluar una debilidad y repararla sin interrumpir esas funciones.
La falta de antivirus también afecta a los servicios públicos en internet
Solo 1.654 de los 19.041 servidores de los institutos tenían instalado un antivirus, una tasa de instalación del 8,7%. En la sede central del ministerio, la cifra correspondiente era del 92,6%, una diferencia de 83,9 puntos porcentuales.
Los servidores conectados a internet tenían una cobertura mejor que el conjunto de los servidores de los institutos, pero casi la mitad seguía sin el programa: 372 de 766, o el 48,6%. Estos equipos están en contacto directo con la internet pública, lo que permite a los atacantes sondear sus servicios en busca de debilidades.
Los antivirus y las inspecciones de vulnerabilidades cumplen funciones distintas. Los antivirus buscan programas maliciosos o actividad sospechosa. Las inspecciones de vulnerabilidades detectan debilidades que deben corregirse. Los institutos necesitan gestionar tanto el estado de sus programas como los indicios de la presencia de software dañino.
El jefe de planificación y coordinación del ministerio, Kang Sang-wook, reconoció las limitaciones técnicas al responder preguntas sobre la cobertura de antivirus:
"En algunos equipos de los institutos de investigación es técnicamente difícil instalar un antivirus, por lo que no es sencillo alcanzar una cobertura del 100%", dijo. "Pero creo que hay mucho margen de mejora".
Kang dijo que el ministerio aceleraría las instalaciones y reforzaría la supervisión para que los directores de los institutos prestaran más atención al asunto. Lee pidió verificar que los equipos incompatibles con los antivirus convencionales contaran con protecciones equivalentes. Estas pueden incluir limitar estrictamente el acceso, separar las redes y utilizar otros métodos para detectar actividad maliciosa.
La detección de programas maliciosos pone en duda las buenas calificaciones de seguridad
Una auditoría anterior de la Junta de Auditoría e Inspección examinó cinco institutos de investigación que operaban 17.073 servidores. Solo 374, o el 2,2%, tenían instalado un antivirus. Esa auditoría abarcó un grupo y un período distintos de los del recuento de septiembre en los 23 institutos.
Los auditores revisaron 251 servidores sin antivirus y detectaron 38 tipos de programas maliciosos en 21 servidores de cuatro institutos. Alrededor del 8,4% de los equipos examinados contenía programas maliciosos. Esa proporción corresponde a los equipos seleccionados para la auditoría.
La auditoría también detectó retrasos en las actualizaciones de seguridad de servidores importantes y controles insuficientes sobre los programas que permitían acceder desde el exterior a las redes internas. Estos hallazgos aportan ejemplos concretos de las prácticas operativas, junto con las cifras de instalación de antivirus.
Pese a esas debilidades, el ministerio había calificado cada año como muy buena la gestión de seguridad de la información de los institutos. El diputado del Partido del Poder Popular Seo Cheon-ho cuestionó si esas evaluaciones reflejaban las condiciones dentro de las instituciones.
El diputado del Partido Democrático Kim Nam-guk señaló otra deficiencia de supervisión. De las 19 recomendaciones y directrices de seguridad enviadas a los institutos de investigación desde 2023, solo se comprobaba el cumplimiento de una. Dijo que el ministerio tampoco había verificado si se habían aplicado las instrucciones sobre una vulnerabilidad clasificada en la categoría de riesgo más alta por un sistema internacional de evaluación de vulnerabilidades.
En conjunto, los hallazgos señalan dos tareas para el ministerio: comprobar si se siguen las instrucciones y determinar si sus calificaciones reflejan las debilidades detectadas en las inspecciones más detalladas.
El aumento del presupuesto pone el gasto bajo escrutinio
Seis institutos dijeron que instalarían antivirus por etapas, una vez que consiguieran financiación. Sin embargo, sus presupuestos combinados para seguridad de la información aumentaron de 2.470 millones de wones a 3.620 millones, un incremento de 1.150 millones, o del 46,3%.
Los seis eran el Instituto Nacional de Tecnología Verde, el Instituto de Medicina Oriental de Corea, el Instituto de Tecnología Industrial de Corea, el Instituto de Maquinaria y Materiales de Corea, el Instituto de Investigación Energética de Corea y el Instituto de Investigación de Electrotecnología de Corea. Los 23 institutos recibieron la aprobación de los presupuestos de seguridad de la información que habían solicitado, sin recortes.
El Instituto Nacional de Tecnología Verde y el Instituto de Medicina Oriental de Corea no tenían una partida presupuestaria específica para adquirir o mantener antivirus para servidores ni en 2025 ni en 2026. En el instituto de medicina oriental, solo dos de 141 servidores tenían instalado un antivirus.
El instituto calculó un costo de 500.000 wones por servidor, lo que situaba en 69,5 millones de wones la cobertura de los 139 servidores restantes. La oficina de Lee comparó esa suma con los 43 millones de wones destinados a tarifas de líneas de red, los 28 millones para servicios en la nube y los 22 millones para equipos utilizados para borrar medios de almacenamiento magnético.
Esas tres categorías sumaban 93 millones de wones. La comparación centra el escrutinio en el uso de los presupuestos de seguridad, además de en el monto de los fondos que reciben las instituciones. Algunas instalaciones de antivirus estaban previstas para 2027 o 2028, lo que llevó a Lee a pedir que se completaran antes.
Archivos de investigación también quedaron en un disco duro
La Junta de Auditoría e Inspección detectó una falla de seguridad física de la información en el Instituto de Investigación Aeroespacial de Corea. Un investigador que se trasladó a otra institución retiró sin autorización un disco duro que contenía 60.956 archivos de investigación, entre ellos material relacionado con cuatro proyectos de seguridad nacional.
El incidente incorpora los dispositivos de almacenamiento al debate sobre los servidores. La protección de la información de investigación también requiere normas que establezcan quién puede retirar un disco, quién debe autorizarlo y cómo debe registrarse su traslado.
Varios aspectos siguen sin resolverse: los informes no confirman que se hayan divulgado datos de investigación a raíz de la detección de programas maliciosos o del retiro del disco, no indican que se haya concluido la investigación de esos hechos y tampoco fijan una fecha concreta para terminar todas las reparaciones de vulnerabilidades. Los próximos hitos anunciados se refieren a los criterios de inspección del ministerio y a la revisión exigida por los legisladores.
El ministerio tiene hasta fin de año para establecer prioridades de inspección
El ministerio prevé establecer criterios comunes de prioridad antes de que termine 2026 y aplicarlos a partir de 2027. También ha dicho que recopilará los criterios existentes de los institutos y que durante 2026 incorporará los elementos esenciales de prioridad, como paso previo a la entrada en vigor del marco general.
Las normas de prioridad permitirían identificar qué equipos deben atenderse primero cuando escasean el personal y las herramientas. Lee sostuvo que establecer un orden de inspección debe respetar la obligación anual de inspeccionar y corregir las vulnerabilidades de todos los servidores.
Lee también pidió una revisión completa de la seguridad de los servidores antes de que termine el año. Al referirse a la responsabilidad del ministerio respecto de los equipos incompatibles con los antivirus, dijo:
"El ministerio también debe verificar que los servidores en los que no sea viable instalar un antivirus cuenten con protecciones alternativas equivalentes, y debe reforzar su responsabilidad de supervisión para garantizar que los directores de los institutos se hagan cargo directamente de la seguridad de la información", dijo.
En conjunto, los hallazgos sitúan en la misma agenda la cobertura de las inspecciones, las tareas de reparación, la protección contra programas maliciosos y la rendición de cuentas de los responsables. Para los institutos, la prueba práctica consistirá en que cada servidor tenga un calendario de inspección asignado, que se corrijan las debilidades detectadas y que los equipos especializados cuenten con protecciones adecuadas a su funcionamiento.
Puntos clave
- Los 23 institutos de investigación seleccionaron 3.025 de 19.041 servidores para revisar sus vulnerabilidades en 2026, una tasa del 15,9%.
- Registraron 34.536 vulnerabilidades hasta el 16 de octubre y las tareas de corrección seguían en curso.
- 17.387 servidores carecían de antivirus, incluidos 372 conectados directamente a internet.
- Una auditoría anterior detectó 38 tipos de programas maliciosos en 21 de los 251 servidores examinados.
- Seis institutos que alegaron limitaciones de financiación habían recibido un aumento combinado del 46,3% en sus presupuestos de seguridad.
- El ministerio prevé establecer prioridades comunes de inspección antes de fin de año para aplicarlas en 2027; los legisladores piden una revisión completa antes.
