[기고] 양자내성암호 전환, 이제 기업 경영 필수 과제다

몇 년 전까지만 해도 먼 미래로 여겨졌던 양자컴퓨터 실용화가 빠르게 다가오고 있다. 국내에서도 양자컴퓨터 제조 공급망 구축이 추진되고 국산 양자 기술 보급이 확대되면서 관련 생태계가 성장하고 있다. 정부의 대규모 연구개발(R&D) 투자와 함께 민간 투자도 활발해지는 추세다. 양자컴퓨팅의 발전은 산업 전반에 새로운 기회를 제공하지만 수십 년간 디지털 보안을 뒷받침해온 기존 암호 체계에는 중대한 위협이 될 수 있다.

이러한 위협에 대응하기 위해 주목받는 기술이 양자내성암호(PQC)다. PQC는 양자컴퓨터를 이용한 공격에도 견딜 수 있도록 설계된 차세대 암호 기술이다.

많은 조직은 양자컴퓨팅이 보안에 미칠 영향을 검토할 시간이 아직 충분하다고 생각할 수 있다. 그러나 지금 더 중요한 과제는 현재의 주요 공개키 암호 체계를 무력화할 수 있는 양자컴퓨터의 등장 시점을 예측하는 것보다 PQC 전환에 필요한 시간을 충분히 확보하는 일이다.

PQC 전환의 출발점은 조직 IT 환경 전반에서 암호 기술이 어디에, 어떻게 사용되는지 파악하는 것이다. 이를 토대로 시스템 간 의존 관계와 취약점을 평가하고 비즈니스 연속성을 유지하면서 시스템을 단계적으로 현대화해야 한다. 암호 기술은 안전한 통신과 소프트웨어 무결성, 기기 신원 확인, 규제 준수를 뒷받침한다. 따라서 양자 시대에 대비하는 일은 조직 회복탄력성을 확보하기 위한 경영 과제로 다뤄져야 한다.

시장조사업체 IDC는 2028년까지 아시아 상위 2000개 기업의 20%가 사이버 보안 전문 서비스 기업에 양자 리스크 평가를 의뢰할 것으로 전망했다. 이는 기업들이 양자 리스크를 진단하고 대응 역량을 확보하는 데 전문기관 지원이 중요해지고 있음을 시사한다. 미국 정부도 연방기관을 대상으로 암호 자산 식별·평가와 PQC 전환 준비를 요구하고 있다.

PQC 전환을 지금 준비해야 하는 이유

양자컴퓨팅에 따른 보안 위협은 미래의 문제만은 아니다. 대표적인 예가 '선수집·후해독' 공격이다. 공격자가 현재 암호화된 데이터를 수집해 보관한 뒤 양자컴퓨팅 기술이 충분히 발전했을 때 이를 해독하는 방식이다. 주요 공개키 암호 체계를 무력화하고 인터넷 신뢰 기반을 근본적으로 뒤흔드는 양자컴퓨터가 등장하는 '큐데이(Q-Day)' 이전에도 장기간 기밀성을 유지해야 하는 정보가 위험에 노출될 수 있다는 의미다.

데이터를 장기간 보관해야 하는 아시아 지역 금융·공공·의료·통신 분야에서는 이러한 위험이 특히 중요하다. 국내에서도 국가 핵심 정보와 반도체 설계, 제약 연구 자료, 민감한 금융·의료 기록 등을 오랫동안 보호해야 하는 만큼 선제적인 대응이 필요하다.

국내에서는 통신·금융·교통·국방·우주 분야를 대상으로 PQC 시범전환 사업이 진행되고 있다. 올해 11월 20일 시행되는 개정 '양자과학기술 및 양자산업 육성에 관한 법률'도 양자보안체계 구축을 위한 제도적 기반을 강화한다.

실제 전환에는 수년이 걸린다. 암호 기술이 인증서와 코드 서명, 기기 신원 확인, 네트워킹, 외부 공급업체의 시스템 등 기업 IT 환경 전반에 적용돼 있기 때문이다. 아시아태평양 지역 여러 국가에서 사업을 운영하는 기업은 국가별 정책과 전환 일정의 차이를 고려해 이 작업을 조율해야 한다. 핵심 시스템 전환에는 24~36개월, 인프라 전반의 전환에는 24~48개월 이상이 소요될 수 있다. 데이터 주권과 국경 간 데이터 이동 요건까지 충족해야 하는 아시아태평양 지역 조직은 이보다 더 오랜 시간이 걸리는 경우도 많다.

PQC 전환은 일회성 보안 업그레이드로 끝나지 않는다. 인프라 전반의 변화를 수반하는 만큼 사전 준비가 부족하면 전환 과정에서 추가 비용과 운영 부담이 커질 수 있다.

PQC 전환을 위한 준비 과제

경영진이 주목해야 할 것은 준비를 시작할 시점이다. 암호 기술은 조직 IT 환경 곳곳에 분산돼 있고 사용 현황조차 충분히 파악되지 않은 경우가 많다. PQC 전환이 예상보다 오래 걸릴 수 있는 이유다.

우선 인프라, 애플리케이션, 인증서, 코드 서명, 기기 신원 확인, 외부 서비스 전반에서 암호 기술의 사용 현황을 빠짐없이 파악해 목록화해야 한다. 이를 바탕으로 장기간 기밀성을 유지해야 하는 정보를 다루는 시스템과 변경이 가장 어려운 영역을 우선순위로 삼아야 한다. 하드웨어 기반 기기 신원 확인, 보안 부팅, 펌웨어 서명, 내부 공개키 인프라(PKI) 등이 대표적이다. PKI는 인증서와 암호키를 통해 디지털 신원을 검증하고 안전한 통신을 지원하는 체계다.

전환을 체계적으로 추진할 거버넌스도 조기에 마련해야 한다. 공급업체와는 표준 부합 여부, 전환 로드맵, 장기 지원 계획을 구체적으로 논의하고, 장기간 사용할 인프라의 구매 요건에 PQC 요구사항을 반영해야 한다. 공급업체가 PQC 도입 준비가 돼 있다고 설명하는 것만으로는 충분하지 않다. 관련 지침이 계속 변화하는 가운데 실제 운영 환경에 적용하려면 상호운용성 확보와 검증, 운영 지원까지 뒷받침돼야 한다.

'암호 민첩성' 확보도 필요하다. 이는 표준이나 위협 모델이 바뀔 때마다 IT 환경을 새로 설계하지 않고도 암호 알고리즘을 도입·시험·교체할 수 있는 역량을 뜻한다. 인프라 교체 주기도 PQC 요구사항과 연계해 새로운 투자가 향후 전환 부담을 줄이는 방향으로 이뤄지도록 해야 한다.

경영진이 지금 내려야 할 결정

이제 아시아태평양 지역 기업과 기관이 결정해야 할 것은 PQC 전환을 준비할지 여부가 아니다. 자체 계획에 따라 전환을 추진할지, 외부 압력에 떠밀려 대응할지다.

지금 준비를 시작하면 표준에 부합하는 방안을 충분히 검토해 선택하고 핵심 데이터를 보호하며 교체가 어려운 핵심 보안 요소인 '신뢰 앵커'를 현대화할 수 있다. 전환이 임박해 서둘러 문제를 해결하느라 큰 비용을 지출할 위험도 줄일 수 있다. 이를 위해서는 현재 위험 노출 수준을 파악하고 대응 우선순위를 정하며 IT 환경 전반에서 암호 민첩성을 확보하는 실질적인 조치가 필요하다.