Les instituts de recherche sud-coréens ne prévoient de contrôler que 15,9 % de leurs serveurs

Plus de 16 000 serveurs exclus des contrôles prévus

Les instituts de recherche financés par le gouvernement sud-coréen n’ont retenu que 3 025 de leurs 19 041 serveurs pour des contrôles de vulnérabilité en 2026, selon des données du ministère des Sciences et des TIC transmises à l’Assemblée nationale. Cela laisse 16 016 serveurs, soit 84,1 %, hors du périmètre d’inspection, alors même que les directives nationales de cybersécurité imposent des contrôles au moins une fois par an.

Ces chiffres concernent 23 instituts menant des recherches dans des domaines comme l’intelligence artificielle, les semi-conducteurs, la biotechnologie, l’énergie nucléaire et la cybersécurité. Dans le périmètre restreint des inspections, les instituts ont recensé 34 536 vulnérabilités entre le 1er janvier et le 16 octobre. Les 23 ont indiqué que les travaux visant à remédier à ces problèmes étaient toujours en cours.

Une deuxième lacune concerne la protection contre les logiciels malveillants. Les chiffres présentés lors de l’examen parlementaire ont montré que 17 387 serveurs, soit 91,3 %, n’étaient équipés d’aucun antivirus. Parmi les 766 serveurs directement connectés à Internet pour fournir des services comme des sites web, 372 ne bénéficiaient pas d’une protection antivirus.

Le siège du ministère affichait une couverture bien plus étendue : ses 108 serveurs étaient tous inclus dans les inspections de vulnérabilité, et 100 étaient équipés d’un antivirus. Les parlementaires ont demandé pourquoi des instituts chargés de recherches d’importance nationale appliquaient des mesures de protection nettement plus limitées, alors que les mêmes directives de sécurité s’appliquent à tous.

Le ministère a invoqué le manque de personnel spécialisé, le coût élevé des outils d’analyse et les difficultés techniques à installer un antivirus sur certains équipements de recherche. Il propose notamment d’établir des critères communs pour déterminer quels serveurs inspecter en priorité. Lee Hoon-ki, député du Parti démocrate membre de la commission des sciences et des technologies de l’Assemblée nationale, a plutôt réclamé un examen immédiat de tous les serveurs.

Les plus grands exploitants de serveurs ont la couverture la plus faible

Le Korea Institute of Science and Technology Information, connu sous le nom de KISTI, a retenu 267 de ses 11 132 serveurs pour les contrôles. L’Electronics and Telecommunications Research Institute, ou ETRI, en a retenu 100 sur 3 747.

À eux deux, ces instituts exploitaient 14 879 serveurs, soit environ 78,1 % du total des 23 instituts. Ils n’en ont sélectionné que 367 pour inspection, soit environ 2,5 % de leur parc cumulé. Leur taille confère un poids déterminant à leurs choix d’inspection dans le bilan national.

Le taux d’installation d’antivirus sur les serveurs du KISTI était de 0,6 %, contre 8,4 % à l’ETRI. Ces instituts sont notamment chargés des infrastructures informatiques et des technologies de communication, ce qui rend la protection de leurs systèmes particulièrement importante pour leurs activités de recherche.

Les chiffres d’inspection portent sur les serveurs sélectionnés pour des contrôles pendant la période considérée. Pour comprendre l’ampleur des travaux réalisés, il faut encore connaître le nombre total de contrôles effectués, les failles corrigées et les protections mises en place sur les serveurs non sélectionnés.

Un périmètre d’inspection limité depuis quatre ans

Les données du ministère révèlent une tendance persistante, et non une interruption ponctuelle des inspections. Pour les 23 instituts, la proportion de serveurs hors du périmètre d’inspection s’est établie à 84,2 % en 2023, 84,2 % en 2024, 83,7 % en 2025 et 84,1 % en 2026.

La couverture est donc restée proche d’un serveur sur six pendant ces quatre années. La légère amélioration observée en 2025 a été largement annulée en 2026.

L’ETRI a connu une évolution plus marquée. La part de ses serveurs exclus des inspections est passée de 61,1 % en 2025 à 97,3 % en 2026. Au KISTI, la part exclue est restée supérieure à 96 % chaque année examinée, atteignant 97,6 % en 2026.

Le Korea Electrotechnology Research Institute a laissé 94,8 % de ses serveurs hors du périmètre d’inspection chacune des quatre années. Au National Security Research Institute, cette part est passée de 90,9 % en 2023 et 2024 à 71,8 % en 2025 et 67,3 % en 2026. Malgré cette amélioration, environ deux tiers des serveurs sont restés hors du périmètre retenu.

Ce qu’imposent les règles d’inspection

L’article 53, paragraphe 2, des directives fondamentales nationales en matière de cybersécurité impose aux administrateurs de serveurs de réexaminer leurs mesures de sécurité, d’inspecter les vulnérabilités et d’y remédier au moins une fois par an. Les risques concernés incluent le vol d’informations stockées et la modification non autorisée des paramètres ou des données des serveurs.

Une modification entrée en vigueur le 1er mai impose également l’examen régulier des vulnérabilités des systèmes d’exploitation et des logiciels, ainsi que l’application des mises à jour. Une vulnérabilité est une faiblesse, comme un paramètre non sécurisé ou un logiciel obsolète, susceptible de permettre à quelqu’un d’accéder à un système ou d’en perturber le fonctionnement.

Les instituts ont appliqué des critères différents pour choisir les serveurs à inspecter. Certains ont écarté ceux qui avaient été contrôlés l’année précédente ; d’autres, ceux dont la mise hors service était prévue. Le ministère avait laissé ces choix à chaque établissement.

Les principales étapes s’étalent sur plusieurs années :

• De 2023 à 2026 : la part des serveurs des instituts hors du périmètre d’inspection a dépassé 83 % chaque année.
• 1er mai : une modification a ajouté l’obligation de contrôler régulièrement les vulnérabilités des logiciels et les mises à jour.
• Juillet : le Conseil de l’audit et de l’inspection a demandé que des priorités d’inspection soient définies lorsque les instituts ne peuvent pas examiner en détail tous leurs serveurs.
• Septembre 2026 : parmi les 23 instituts, 1 654 serveurs sur 19 041 étaient équipés d’un antivirus.
• 16 octobre : la période de signalement des vulnérabilités s’est achevée avec 34 536 problèmes recensés.
• 20 octobre : lors de l’audit parlementaire des instituts de recherche, les députés ont mis en cause la gestion de la sécurité par le ministère.

Des milliers de failles restent à corriger

Le Korea Institute of Science and Technology, ou KIST, a recensé 7 079 vulnérabilités, soit le nombre le plus élevé parmi les instituts. Il est suivi du Korea Institute of Machinery and Materials, avec 6 472, du Korea Institute of Geoscience and Mineral Resources, avec 4 290, et du KISTI, avec 3 944. Le Korea Research Institute of Bioscience and Biotechnology en a recensé 2 693 supplémentaires.

À l’institut spécialisé dans les machines, 6 472 problèmes ont été relevés sur 89 serveurs, soit une moyenne d’environ 73 par serveur. Une même machine peut présenter de nombreuses faiblesses, car son système d’exploitation, ses applications et ses paramètres de sécurité peuvent tous nécessiter des corrections.

Les instituts ont indiqué que les travaux de correction étaient en cours. Remédier à une faille peut nécessiter l’installation d’une mise à jour, la modification d’un paramètre, la suppression de logiciels superflus ou la restriction des accès. Les chiffres indiquent le nombre de faiblesses détectées, mais la charge de travail réelle dépend de leur gravité et des modifications nécessaires.

Pour les équipes de recherche, les corrections doivent aussi être coordonnées avec les systèmes qu’elles utilisent. Les serveurs peuvent effectuer des calculs, stocker des résultats expérimentaux ou piloter des équipements. L’explication du ministère sur le manque de personnel souligne le besoin de spécialistes capables d’évaluer une faiblesse et d’effectuer les réparations sans interrompre ces fonctions.

Des lacunes antivirus touchent aussi les services accessibles sur Internet

Seuls 1 654 des 19 041 serveurs des instituts étaient équipés d’un antivirus, soit un taux d’installation de 8,7 %. Au siège du ministère, ce taux atteignait 92,6 %, soit un écart de 83,9 points de pourcentage.

Les serveurs connectés à Internet étaient mieux protégés que l’ensemble du parc des instituts, mais près de la moitié n’étaient toujours pas équipés du logiciel : 372 sur 766, soit 48,6 %. Ces machines sont directement exposées à Internet, ce qui permet à des attaquants de sonder leurs services à la recherche de failles.

Les logiciels antivirus et les inspections de vulnérabilité remplissent des fonctions différentes. Un antivirus recherche les programmes malveillants ou les activités suspectes. Une inspection de vulnérabilité repère les faiblesses à corriger. Les instituts doivent donc à la fois gérer l’état de leurs logiciels et détecter la présence éventuelle de programmes nuisibles.

Kang Sang-wook, responsable de la planification et de la coordination au ministère, a reconnu l’existence de limites techniques lors des questions sur la couverture antivirus :

Il est techniquement difficile d’installer un antivirus sur certains équipements des instituts de recherche ; parvenir à une couverture de 100 % n’est donc pas simple », a-t-il déclaré. « Mais je pense qu’il y a une large marge d’amélioration.

Kang a indiqué que le ministère accélérerait les installations et renforcerait sa supervision afin que les dirigeants des instituts accordent davantage d’attention à la question. Pour les équipements incompatibles avec les antivirus classiques, Lee a demandé que l’efficacité de protections équivalentes soit vérifiée. Celles-ci peuvent consister à limiter strictement les accès, à séparer les réseaux et à utiliser d’autres méthodes de détection des activités malveillantes.

Les détections de logiciels malveillants mettent en doute les bonnes évaluations de sécurité

Un précédent examen du Conseil de l’audit et de l’inspection avait porté sur cinq instituts de recherche exploitant 17 073 serveurs. Seuls 374 d’entre eux, soit 2,2 %, étaient équipés d’un antivirus. Cet examen concernait un groupe et une période différents du décompte de septembre couvrant les 23 instituts.

Les auditeurs ont contrôlé 251 serveurs dépourvus d’antivirus et détecté 38 types de logiciels malveillants sur 21 serveurs répartis dans quatre instituts. Environ 8,4 % des machines examinées contenaient un logiciel malveillant. Ce taux concerne les machines sélectionnées pour cet examen.

L’audit a également relevé des retards dans les mises à jour de sécurité de serveurs importants et des contrôles insuffisants sur les programmes permettant d’accéder aux réseaux internes depuis l’extérieur. Ces constats illustrent des pratiques concrètes, en complément des chiffres sur l’installation des antivirus.

Malgré ces faiblesses, le ministère attribuait chaque année la mention « très bien » à la gestion de la sécurité de l’information des instituts. Seo Cheon-ho, député du Parti du pouvoir au peuple, s’est demandé si ces évaluations reflétaient les conditions réelles au sein des établissements.

Kim Nam-guk, député du Parti démocrate, a signalé une autre lacune dans le suivi. Sur les 19 recommandations et directives de sécurité adressées aux instituts de recherche depuis 2023, la mise en conformité avec une seule faisait l’objet d’un contrôle. Il a ajouté que le ministère n’avait pas non plus vérifié les mesures prises après une consigne concernant une vulnérabilité classée au niveau de risque le plus élevé dans un système international d’évaluation.

Ensemble, ces constats assignent deux tâches au ministère : vérifier que les consignes sont suivies et s’assurer que ses évaluations tiennent compte des faiblesses repérées lors d’examens plus approfondis.

La hausse des budgets met les choix de dépenses sous surveillance

Six instituts ont déclaré qu’ils installeraient des antivirus progressivement, après avoir obtenu les financements nécessaires. Leurs budgets cumulés consacrés à la sécurité de l’information sont pourtant passés de 2,47 milliards de wons à 3,62 milliards, soit une hausse de 1,15 milliard de wons, ou 46,3 %.

Il s’agit du National Institute of Green Technology, du Korea Institute of Oriental Medicine, du Korea Institute of Industrial Technology, du Korea Institute of Machinery and Materials, du Korea Institute of Energy Research et du Korea Electrotechnology Research Institute. Les budgets de sécurité de l’information demandés par les 23 instituts ont tous été approuvés sans réduction.

Le National Institute of Green Technology et le Korea Institute of Oriental Medicine n’avaient prévu de ligne budgétaire distincte ni pour l’acquisition ni pour la maintenance d’antivirus sur serveur, en 2025 comme en 2026. À l’institut de médecine orientale, seuls deux serveurs sur 141 étaient équipés d’un antivirus.

L’institut a estimé le coût à 500 000 wons par serveur, soit 69,5 millions de wons pour équiper les 139 serveurs restants. Le bureau de Lee a comparé cette somme aux dépenses de sécurité de l’information consacrées aux frais de lignes réseau (43 millions de wons), aux services cloud (28 millions) et aux équipements d’effacement des supports de stockage magnétique (22 millions).

Ces trois postes représentaient au total 93 millions de wons. Cette comparaison met l’accent sur l’utilisation des budgets de sécurité, en plus du montant des financements accordés aux établissements. Certaines installations d’antivirus étaient prévues en 2027 ou 2028, ce qui a conduit Lee à réclamer leur achèvement plus rapide.

Des fichiers de recherche également laissés sur un disque dur

Le Conseil de l’audit et de l’inspection a relevé une défaillance de sécurité physique de l’information au Korea Aerospace Research Institute. Un chercheur parti travailler dans un autre établissement a emporté un disque dur sans autorisation. Celui-ci contenait 60 956 fichiers de recherche, dont des documents associés à quatre projets de sécurité nationale.

Cet incident fait entrer les supports de stockage dans le même débat que les serveurs. La protection des informations de recherche exige aussi des règles précisant qui peut retirer un disque, qui autorise ce retrait et comment le déplacement est consigné.

Plusieurs points restent en suspens : les rapports ne font état d’aucune fuite confirmée de données de recherche liée aux logiciels malveillants ou au retrait du disque, d’aucune enquête achevée sur ces événements, ni d’une date ferme pour la correction de toutes les vulnérabilités. Les prochaines échéances annoncées concernent les critères d’inspection du ministère et l’examen réclamé par les parlementaires.

Le ministère doit définir des priorités d’inspection d’ici à la fin de l’année

Le ministère prévoit d’établir des critères communs de priorité d’ici à la fin de 2026 et de les appliquer à partir de 2027. Il a également indiqué qu’il recueillerait les critères déjà utilisés par les instituts et intégrerait les principales priorités au cours de l’année 2026, une première étape avant l’entrée en vigueur du cadre plus général.

Ces règles de priorité permettraient de déterminer quels équipements contrôler en premier lorsque le personnel et les outils sont limités. Lee a estimé que l’ordre des inspections devait respecter l’obligation annuelle d’inspecter tous les serveurs et de corriger leurs vulnérabilités.

Lee a également demandé un examen complet de la sécurité des serveurs avant la fin de l’année. Concernant la responsabilité du ministère à l’égard des équipements incompatibles avec les antivirus, il a déclaré :

« Le ministère doit également vérifier que les serveurs sur lesquels l’installation d’un antivirus n’est pas possible bénéficient de protections alternatives équivalentes, et renforcer son rôle de supervision pour s’assurer que les dirigeants des instituts prennent directement en charge la sécurité de l’information », a-t-il déclaré.

Ces différents constats placent la couverture des inspections, les travaux de correction, la protection contre les logiciels malveillants et la responsabilité des dirigeants au cœur du même débat. Pour les instituts, l’épreuve concrète consistera à attribuer un calendrier d’inspection à chaque serveur, à corriger les faiblesses détectées et à adapter les protections des équipements spécialisés à leur fonctionnement.

À retenir

• En 2026, les 23 instituts de recherche ont sélectionné 3 025 de leurs 19 041 serveurs pour des contrôles de vulnérabilité, soit 15,9 %.
• Ils ont recensé 34 536 vulnérabilités jusqu’au 16 octobre ; les travaux de correction sont toujours en cours.
• 17 387 serveurs n’étaient pas équipés d’un antivirus, dont 372 directement connectés à Internet.
• Lors d’un précédent audit, 38 types de logiciels malveillants ont été détectés sur 21 des 251 serveurs examinés.
• Six instituts invoquant des contraintes de financement avaient obtenu une hausse cumulée de 46,3 % de leur budget de sécurité.
• Le ministère prévoit d’établir des priorités d’inspection communes d’ici à la fin de l’année, pour une application en 2027 ; les parlementaires réclament un examen complet plus tôt.