미국 양자내성암호(PQC) 도입 행정명령이 가리키는 것, 답은 데이터 중심 보안

2026년 6월, 미국 백악관이 양자 컴퓨팅 관련 행정명령에 서명했습니다. 핵심은 연방 기관과 정부 계약업체가 '양자내성암호(Post-Quantum Cryptography, PQC)'를 언제까지 도입해야 하는지에 대한 구체적인 기한을 못 박은 것이었습니다. 키 교환 방식은 2030년 말, 전자서명은 2031년 말까지였는데요. 미국 정부가 이렇게 공격적인 일정을 내건 이유는 분명했습니다. 적대 세력이 양자 컴퓨터를 손에 넣어 지금의 암호를 무력화하기 전에, 국가의 민감 데이터를 미리 지켜내야 한다는 것이었죠.

​

양자라는 단어는 언뜻 보면 먼 미래의 기술 이야기처럼 들립니다. 양자 컴퓨터는 아직 실용화되지 않았고, 마감 기한도 몇 년 뒤니까요. 하지만 이 행정명령이 진짜로 가리키고 있는 위협은 미래가 아니라 '지금 이 순간'에 있습니다.

​

보안 업계가 양자 시대를 경계하는 핵심 이유는 'Harvest Now, Decrypt Later (지금 수집하고, 나중에 복호화한다)'라는 공격 시나리오 때문입니다. 해커들은 양자 컴퓨터가 등장할 때까지 기다리지 않습니다. 지금도 암호화된 데이터를 탈취해 저장해 뒀다가, 미래에 암호를 해독할 수 있는 기술이 확보되는 순간 그동안 축적한 데이터를 한꺼번에 복호화하려 합니다.

 

PQC 도입에 관한 미국 행정명령과 해킹 공격 시나리오

​

이 시나리오가 무서운 것은 '시점' 때문입니다. 데이터 유출 사고는 이미 일어났는데, 피해는 몇 년 뒤에 발생합니다. 오늘 유출된 설계도, 계약 조건, 고객 정보, 내부 전략 문서가 지금은 암호 덕분에 안전해 보이지만, 그것이 영원한 안전을 의미하지는 않습니다. 다시 말해 양자 위협은 '미래에 대비할 문제'가 아니라, 이미 '진행 중인 유출'의 문제에 가깝습니다.

​

미국 행정명령이 단순히 암호 알고리즘 교체에서 멈추지 않고, 각 기술에 어떤 암호 표준이 적용돼 있는지를 명세한 '암호 자재 명세서(Cryptographic Bill of Materials)', 즉 일종의 암호 성분표를 만들라는 조항까지 함께 담은 것도 이 때문입니다. 무엇을 보호하고 있는지조차 모르면, 알고리즘을 아무리 최신으로 바꿔도 사각지대가 남는다는 것을 정책 차원에서 인정한 셈이죠.

​

여기서 한 가지 질문이 생깁니다. 그렇다면 모든 암호를 양자내성암호로 교체하면, 그것으로 충분할까요? PQC 전환은 분명 필요합니다. 하지만 알고리즘 교체는 데이터가 지나가는 통로를 더 튼튼하게 만드는 일이지, 무엇이 그 통로를 지나가고 어디에 쌓이는지를 알려주지는 않습니다. 현실의 조직 데이터는 대부분 흩어져 있습니다.

​

어떤 파일이 민감 정보를 담고 있는지 분류돼 있지 않고, 그 파일이 어느 서버와 클라우드, 누구의 단말에 복사돼 있는지 추적되지 않는 경우가 많습니다. 암호화가 적용된 데이터와 평문 상태로 방치된 데이터가 뒤섞여 있고, 접근 권한이 파일이 아니라 저장 위치에 묶여 있어 파일이 이동하는 순간 통제가 사라지기도 합니다.

 

Harvest Now, Decrypt Later 시나리오는 지금부터 대응해야 할 위협

 

 

이런 상태에서는 양자내성암호를 도입하더라도 보호의 출발선이 흐릿합니다. 무엇을 가장 먼저 강하게 암호화해야 하는지 판단할 기준이 없고, 정작 가장 민감한 데이터가 통제 밖에서 떠돌고 있을 수 있기 때문입니다. 공격자가 노리는 것이 바로 이 통제되지 않은 데이터입니다.

​

그래서 양자 시대의 보안은 역설적으로 가장 근본적인 질문으로 돌아갑니다. 우리는 어떤 데이터를 가지고 있고, 그것이 어디에 있으며, 누가 어떻게 접근할 수 있는가 하는 질문입니다. 보안의 기준을 네트워크 경계나 계정 권한이 아니라 데이터 그 자체에 두면, 양자 위협에 대한 대응의 성격이 달라집니다.

​

데이터가 어디로 이동하든 보호 정책이 함께 따라다니고, 무엇이 가장 중요한 정보인지 식별돼 있으며, 권한이 파일에 결합돼 있다면, 설령 데이터가 외부로 유출되더라도 통제권이 남습니다. 암호 알고리즘을 더 강한 것으로 교체하는 작업 역시, 무엇을 우선 보호해야 하는지가 정리돼 있을 때 비로소 의미를 갖습니다.

 

양자내성암호 이전에 중요한 것이 바로 데이터 분류와 ACL 관리

 

이것이 양자 시대에 데이터 중심 보안이 다시 주목받는 이유입니다. 미국의 PQC 행정명령, 그리고 국내에서 강조되는 망 보안 정책의 흐름은 표면적으로는 다른 주제처럼 보이지만, 결국 같은 방향을 가리킵니다. 경계를 지키는 보안에서 데이터 자체를 지키는 보안으로의 이동입니다.

​

파수 AI는 오랫동안 보안의 기준을 데이터 그 자체에 두는 방식으로 이 문제에 답해 왔습니다. 양자내성암호 알고리즘을 대체하는 것이 아니라, 어떤 알고리즘을 쓰든 그 보호가 실제로 의미를 갖도록 만드는 데이터 통제 구조를 제공하는 것이죠.

​

먼저 조직 전반에 흩어진 민감 정보를 탐지하고 유형별로 분류해, 무엇을 가장 먼저 강하게 보호해야 하는지에 대한 기준을 세웁니다. 개인정보, 재무 데이터, 설계 자료처럼 보호 수준이 다른 데이터를 식별하는 일은 PQC 전환에서 요구하는 암호 성분표를 만드는 작업과 정확히 같은 출발점에 서 있습니다. 무엇을 가졌는지 알아야 무엇을 지킬지 정할 수 있기 때문입니다.

​

그 다음, 접근 권한 정보를 파일 자체에 암호화 방식으로 결합합니다. 문서가 이메일로 전달되거나 클라우드로 옮겨가더라도 동일한 정책이 그대로 유지되고, 권한이 없는 사용자는 파일을 손에 넣어도 내용을 확인할 수 없습니다. 데이터가 경계를 벗어나는 순간 보호가 사라지던 기존 구조의 한계를, 정책이 데이터를 따라 이동하는 방식으로 메우는 것입니다. 'Harvest Now, Decrypt Later'처럼 데이터가 일단 유출된 것을 가정하는 위협 앞에서, 이 차이는 결정적입니다.

 

데이터 분류, 접근 권한 설정, 암호화로 이어지는 데이터 중심 보안

 

양자 컴퓨터의 등장 시점은 누구도 정확히 알 수 없습니다. 하지만 그 시점이 언제이든, 그날 복호화될 데이터는 지금 만들어지고 지금 흘러 다니고 있습니다. 보안의 시작은 더 강한 암호를 고르는 일이 아니라, 내 데이터가 어디에 있고 어떻게 통제되고 있는지를 아는 데서 출발합니다.

​

양자 시대를 대비한 데이터 보안 환경을 점검하고 싶으시다면, 파수 AI에게 언제든 편하게 문의해 주시기 바랍니다.

 

 

파수 AI 제품 문의하기 | Fasoo AI Contact Us