金融機関を狙ったハッキングや情報流出が相次ぐ中、銀行のセキュリティ投資の実効性が改めて問われている。主要4行の情報保護投資比率は過去の業界推奨基準を上回った一方、実際の予算執行率は低迷した。銀行によっては、IT投資が増えたにもかかわらず、情報保護投資額やその比率が下がったケースも確認された。

金融業界と韓国インターネット振興院（KISA）の情報保護開示資料によると、2025年の主要4行のIT投資額に対する情報保護投資比率は、ウリ銀行が9.1%、ハナ銀行が9.0%、KB国民銀行が8.15%、新韓銀行が7.96%だった。

いずれも、過去に示された「5・5・7」基準のうち、IT予算に占める情報保護予算比率7%以上という目安を上回った。「5・5・7」は、全職員に占めるIT人員を5%以上、IT人員に占める情報保護人員を5%以上とし、IT予算の7%以上を情報保護に配分するよう求める推奨基準だ。

この基準は2020年以降、金融保安院の自主ガイドラインとして運用されている。ただ、推奨水準を満たしたことだけで、情報保護投資の妥当性を判断するのは難しい。

銀行別の推移を見ると、IT投資が増加する中でも、情報保護投資額と投資比率の双方が下がった銀行があった。

新韓銀行は、IT投資額が2024年の4288億ウォンから2025年には4634億ウォンへ8.1%増えた一方、情報保護投資額は370億ウォンから369億ウォンへ微減した。情報保護投資比率も8.64%から7.96%へ低下した。これに対し、KB国民銀行の情報保護投資比率は同期間に7.49%から8.15%へ上昇した。

一方、投資規模そのものとは別に、計上したセキュリティ予算がどこまで実際に執行されたかも焦点となっている。

金融監督院が国会に提出した資料によると、主要4行の2025年の情報保護予算計上額は計2445億6800万ウォン。このうち実際の執行額は1663億100万ウォンで、執行率は68.0%にとどまった。

4行の情報保護予算執行率は、2023年の73.5%から2024年に69.5%、2025年には68.0%へと2年連続で低下した。

同期間に予算計上額は2093億4300万ウォンから2445億6800万ウォンへ16.8%増えたが、実際の執行額は1539億2400万ウォンから1663億100万ウォンへ8.0%増にとどまった。予算の積み増しに、執行が追いついていない構図だ。

国会政務委員会所属のパク・ソンフン議員が金融当局から提出を受けた資料でも、システム障害の発生件数が多い上位20社の金融会社における2025年の情報保護予算執行率は69.6%だった。計上額4380億ウォンに対し、執行額は3050億3000万ウォンだった。

こうした中、金融業界を取り巻くサイバー脅威は一段と強まっている。相次ぐハッキング被害を受け、主要銀行は情報保護予算の拡大とセキュリティ体制の高度化に乗り出している。

KB国民銀行は、2027年の情報保護予算を1000億ウォン以上に拡大して計上する計画を明らかにした。2026年の計上額860億7500万ウォンと比べると、少なくとも16.2%の増額となる。

同銀行は、事故発生後に流出顧客の二次被害防止を支援する専用コールセンターを新設し、個人情報流出事故対応タスクフォースも立ち上げた。あわせて、グループ全体の情報保護ガバナンスを見直し、セキュリティ投資を継続的に拡大する方針だとしている。

AIを活用したサイバー脅威への対応でも、新たなセキュリティ施策を進めている。

KB国民銀行は、約51億ウォン規模のAI脅威対応事業を年内完了の目標で進めている。社内のホワイトハッカーを通じ、多様なAI攻撃に対応する能動的な防御技術の性能と有効性を検証しているほか、AI活用型セキュリティソリューションの研究・導入も検討中だ。関連技術の導入は2027年の事業計画に反映する予定としている。

新韓銀行も、2027年の情報保護予算を業界最高水準で計上する計画だとしている。

同銀行は、過去3年間の自行および他行の予算計上・執行実績を分析しており、その結果を踏まえて今後の予算運営方針と情報保護投資の重点領域を検討しているという。具体的な計上額や前年からの増額率は、現時点では未定としている。

ハナ銀行は現在、数百億ウォン規模のセキュリティ体制構築事業を進めている。一方、ウリ銀行は来年度のセキュリティ予算増額や情報保護専門人材の拡充について、現時点で具体的に決まった事項はないとしている。

もっとも、情報保護予算の執行率が低いからといって、直ちにセキュリティ対応力が不足していると断定することはできない。未執行には事業日程の変更や投資計画の見直しが影響する可能性があるためだ。実際のセキュリティ水準は、侵害事故の検知・遮断能力や脆弱性管理など、複数の要素を総合して評価する必要がある。

金融業界関係者は「情報保護投資が単なる予算確保にとどまらず、実質的な脆弱性の改善と侵害事故対応力の強化につながるかが今後の課題だ」と話した。