양자 시대, 보안의 새로운 패러다임

2026년 5월, 미국 국립표준기술연구소(NIST)가 포스트 양자 암호화(PQC) 프레임워크를 공식화하며 전 세계 디지털 보안 질서의 대전환이 시작됐다. 이는 단순한 보안 업그레이드가 아니다. 현재의 암호화 방식이 미래의 강력한 양자 컴퓨터에 의해 해독될 수 있다는 사실이 공식적으로 확인된 것으로, 정부 기관과 민간 기업 모두에게 즉각적이고 협상 불가능한 운영 변화를 요구하는 신호탄이다.

한국 기업과 공공기관은 이 같은 변화에 얼마나 준비되어 있는가. 전 세계 디지털 연결망이 직면한 가장 구체적인 위협은 이른바 '지금 수집하고 나중에 해독(harvest now, decrypt later)' 전략이다.

악의적 행위자들은 현재 암호화된 데이터를 지금 당장 수집해 두고, 양자 하드웨어가 상용화되는 시점에 일괄 해독하려는 계획을 실행 중이다. 금융 시스템, 국방 통신, 개인 의료 정보 등 민감 데이터의 보호가 시간과의 싸움으로 변한 이유다.

NIST는 이 위협에 대응하기 위한 새로운 암호화 알고리즘 개발을 주도했고, 추가 PQC 표준화 노력의 3차 라운드에서 9개의 디지털 서명 알고리즘을 선정해 개발 속도를 높이고 있다. 그럼에도 업계의 전환 속도는 여전히 뒤처진다는 보고가 이어지고 있다.

미국 백악관은 모든 연방 기관 및 계약업체에 PQC 표준 전환을 의무화하는 행정명령 초안을 준비했다. 핵심 설정은 2030년 12월 31일까지, 고영향 시스템과 고가치 자산의 디지털 서명은 2031년 12월 31일까지 PQC 표준으로 전환해야 한다. 이는 보안 정책의 선언에 그치지 않고, 계약 자격과 정부 조달 요건에 직결되는 구속력 있는 일정이다.

2026년은 기업이 양자 보안 준비 상태를 평가받는 분기점이 될 것으로 관측된다.

미국 NIST 프레임워크의 영향

한국 기업과 공공기관도 이 흐름에 대응하고 있으며, 일부 선도 기업은 양자 암호화 도입을 위한 시범 프로젝트를 운영 중이다. 그러나 상당수 기업은 전환 속도를 높이지 못한 채 초기 단계에 머물러 있다. 국내 보안 업계에서는 PQC 전환을 위한 투자와 연구개발이 미국·유럽의 속도에 비해 늦다는 우려가 제기된다.

광고

기술적 전환뿐 아니라 인력 재교육, 내부 프로세스 정비, 공급망 보안 점검까지 포함하는 총체적 대응이 요구되는 상황이다. 양자 암호화로의 전환이 모든 보안 문제를 해결하는 것은 아니다. 보안 전문가들은 양자 컴퓨팅의 위협을 완전히 차단할 수는 없지만, PQC 도입을 통해 위험을 실질적으로 줄이는 것은 가능하다고 강조한다.

관건은 속도다. PQC 전환은 소프트웨어 패치 수준의 작업이 아니라 암호화 아키텍처 전반을 재설계하는 대규모 프로젝트다.

외부 보안 컨설팅 기관들은 조직 규모와 무관하게 지금 당장 현황 진단(크립토 인벤토리)부터 착수해야 한다고 권고하고 있다. 한국의 주요 대기업들은 양자 기술 관련 연구를 확대하고 있으며, 일부는 국제 연구기관과의 협력을 통해 기술력 확보에 나서고 있다.

그러나 개별 기업의 노력만으로는 한계가 분명하다. 미국이 행정명령을 통해 국가 단위의 전환 일정을 강제하듯, 한국도 정부 차원의 로드맵과 재정 지원이 뒷받침되어야 한다. 과학기술정보통신부와 국가정보원 등 관계 부처가 PQC 전환 가이드라인을 명확히 제시하고, 중소기업이 접근 가능한 지원 체계를 갖추는 것이 선결 과제다.

한국 기업의 대응 전략과 과제

역사적으로 암호화 기술의 세대 교체는 항상 마찰을 동반했다. 공개키 기반구조(PKI)가 처음 도입됐을 때도 업계의 수용 속도는 더뎠다.

그러나 이번 전환은 규모와 긴박성 면에서 이전 사례와 다르다. 강력한 양자 컴퓨터의 등장 시점에 대한 전망이 앞당겨지고 있고, '지금 수집하고 나중에 해독' 공격은 이미 현실에서 진행 중이다. 지금 행동하지 않으면, 양자 우위 시대가 열렸을 때 이미 유출된 데이터를 되돌릴 방법이 없다.

결국 한국의 과제는 명확하다. 정부는 PQC 전환 의무화 일정과 지원 예산을 구체적으로 확정하고, 기업은 암호화 현황 점검을 즉시 시작해야 한다.

중소기업은 외부 전문 기관과의 협력과 정부 지원 프로그램을 적극 활용하는 방향이 현실적이다. 양자 암호화 전환은 비용이 아니라 디지털 자산의 생존을 위한 투자로 인식해야 한다.

광고

FAQ

Q. 한국의 중소기업은 양자 암호화 전환을 어떻게 준비할 수 있는가?

A. 중소기업은 먼저 자사 시스템에서 사용 중인 암호화 알고리즘 목록을 파악하는 '크립토 인벤토리' 작업부터 시작하는 것이 현실적이다. 대규모 자체 개발이 어렵다면 보안 전문 기업이나 클라우드 사업자의 PQC 지원 서비스를 활용하는 방법이 유효하다. 한국인터넷진흥원(KISA) 등 정부 기관이 배포하는 PQC 전환 가이드라인과 지원 프로그램을 지속적으로 모니터링하고 선제적으로 신청하는 것도 필요하다. 기술 전환은 단계적으로 진행하되, 외부 연동이 많은 금융·결제·개인정보 처리 시스템을 우선순위에 두어야 한다.

Q. 포스트 양자 암호화 기술은 기존 암호화 방식과 무엇이 다른가?

A. 기존 RSA·ECC 암호화는 소인수분해나 이산로그 문제의 계산 복잡도에 보안성을 의존한다. 강력한 양자 컴퓨터는 쇼어 알고리즘으로 이 문제를 고전 컴퓨터 대비 지수적으로 빠르게 풀 수 있어 기존 암호화를 무력화한다. 포스트 양자 암호화는 격자 문제(lattice-based), 해시 기반 등 양자 컴퓨터도 효율적으로 풀지 못하는 수학적 난제에 기반하도록 설계됐다. NIST는 2024년부터 ML-KEM, ML-DSA, SLH-DSA 등 PQC 표준 알고리즘을 공식 발표했으며, 3차 라운드에서 9개의 추가 디지털 서명 알고리즘을 선정해 표준화 작업을 이어가고 있다.

Q. 양자 컴퓨터의 위협이 실제로 임박한 것인가?

A. 현재의 양자 컴퓨터는 RSA-2048 같은 실용적 암호화를 해독할 수준에 아직 도달하지 못했다. 그러나 '지금 수집하고 나중에 해독' 전략은 이미 실행 단계에 있어, 오늘 전송되는 암호화 데이터가 5~10년 후 위험에 처할 수 있다. IBM, 구글 등 주요 기업의 양자 컴퓨팅 로드맵은 2030년 전후 실용적 오류 정정 양자 컴퓨터 구현을 목표로 하고 있어, 지금 시작하지 않으면 전환 기간이 부족해질 수 있다. 미국이 2030~2031년을 법적 전환 기한으로 설정한 것도 이 현실적 일정을 반영한 결과다.