가트너 "양자내성암호(PQC), 올해 실행 단계 진입"

미국 가트너(Gartner)가 '2026년 주요 사이버보안 트렌드'를 6일 발표했다. 가트너는 올해 사이버보안 트렌드를 주도할 핵심 요인으로 ▲AI의 무질서한 성장 ▲지정학적 긴장 ▲규제 변동성 ▲위협 환경 심화를 꼽았다.

알렉스 마이클스(Alex Michaels) 가트너 수석 애널리스트는 “많은 요인들이 복합적으로 작용하면서 사이버보안 리더들은 미지의 영역을 헤쳐나가고 있다. 끊임없이 변하는 환경은 각자의 한계를 시험하고 있다”며 “이는 사이버 위험 관리, 복원력, 자원 배분에 대한 새로운 접근 방식을 요구한다”고 설명했다.

가트너가 전망한 사이버보안 트렌드 중 주요 6대 트렌드는 다음과 같다.

1) 신규 개척지 확보: 포스트양자 컴퓨팅, 실행 단계로 진입

가트너는 양자컴퓨팅 발전으로 오는 2030년까지 기업이 데이터와 시스템 보호에 사용하는 비대칭 암호화가 구조적인 보안 한계에 직면할 것으로 내다봤다. 현재는 해독 불가능한 암호화 데이터를 먼저 수집해 장기간 저장한 뒤, 고도의 해독 기술이 등장했을 때 해제해 활용하는 HNDL(Harvest Now, Decrypt Later) 공격으로 인한 잠재적 데이터 유출, 법적 책임, 재정적 손실을 피하려면 포스트양자 암호화(PQC, 양자내성암호라고도 사용) 대안을 도입해야 한다.

마이클스 애널리스트는 “PQC는 조직이 기존 암호화 방식을 식별·관리·교체하도록 요구하고, 암호화 유연성을 최우선 과제로 삼아 사이버 보안 전략을 재편하고 있다”며, “지금부터 관련 역량에 투자하고 전환을 우선시하면 양자 위협이 현실화될 때 자산을 보호할 수 있을 것”이라고 전했다.

2)신규 개척지 확보: AI 에이전트에 맞춰 진화하는 IAM

AI 에이전트의 부상은 기존 IAM(신원 및 접근 관리) 전략에 새로운 과제를 제시하고 있다. 특히 신원 등록, 거버넌스, 자격 증명 자동화, 기계 행위자에 대한 권한 부여에서 구조적인 변화가 요구된다. 자율 에이전트가 보편화되면서, 이를 해결하지 못하면 접근 관련 사이버보안 사고 위험은 더욱 커질 수 있다.

가트너는 자동화를 적극 활용하되, 취약점과 위험이 가장 큰 분야에 우선 투자하는 접근법을 권장한다. 이는 AI 중심 환경에서 혁신을 촉진하고, 규제 준수를 보장하며, 핵심 자산을 보호하는 데 필수적이다.

3)거버넌스 혁신: 글로벌 규제 변동성이 사이버 복원력 강화 촉진

지정학적 환경 변화와 글로벌 규제 강화로 인해 사이버보안은 조직 복원력에 직접적인 영향을 미치는 핵심 비즈니스 리스크로 부상하고 있다. 규제 당국이 이사회와 경영진에게 규제 준수 실패에 대한 책임을 묻고 있는 상황에서, 미흡한 대응은 막대한 벌금, 사업 손실, 평판 훼손으로 이어질 수 있다.

가트너는 사이버보안 리더들이 법무, 비즈니스, 구매팀과의 협력을 공식화하고, 사이버 위험에 대한 명확한 책임 체계를 수립할 것을 권고했다. 또 통제 프레임워크를 공인된 표준에 맞추고 데이터 주권 문제를 해결하면 규제 준수 격차를 줄이는 데 도움이 된다고 전했다.

4)거버넌스 혁신: 에이전틱 AI, 사이버보안 관리·감독 필요성 확대

직원과 개발자 사이에서 에이전틱 AI 활용이 급증하면서 새로운 공격 표면이 형성되고 있다. 노코드/로우코드 플랫폼과 바이브 코딩(Vibe Coding)은 이러한 흐름을 더욱 가속화해, 관리되지 않는 AI 에이전트의 확산과 보안 취약 코드, 잠재적인 규제 준수 위반 가능성을 높이고 있다.

마이클스 애널리스트는 “AI 에이전트와 자동화 도구가 기업이 도입하기에 점차 더 쉽고 실용적인 수준으로 보편화되고 있지만, 강력한 거버넌스는 여전히 필수적”이라며 “사이버보안 리더들은 승인된 AI 에이전트와 비승인 AI 에이전트를 모두 식별하고, 각각에 대해 강력한 통제를 적용하며, 잠재적 위험에 대응할 수 있는 사고 대응 플레이북을 마련해야 한다”고 강조했다.

5) AI 도입 보편화: 생성형 AI가 기존 사이버보안 인식 전략 무력화

생성형 AI 도입이 늘면서 기존 사이버보안 인식 교육은 한계를 드러내고 있다. 2025년 5월부터 11월까지 직원 175명을 대상으로 실시한 가트너 설문조사에 따르면, 응답자의 57% 이상이 개인 생성형 AI 계정을 업무에 사용하고 있으며, 33%는 비승인 도구에 민감한 정보를 입력한 경험이 있다고 답했다.

가트너는 일반적인 인식 교육에서 벗어나 생성형 AI 활용 상황을 반영한 맞춤형 보안 행동, 교육 프로그램으로 전환할 것을 권고한다. 거버넌스를 강화하고, 안전한 활용 관행을 조직에 내재화하며, 승인된 사용에 대한 정책을 수립함으로써 개인정보 침해, 지식재산권 유출 위험을 줄일 수 있다.