실제로 미국에서도 새로운 양자내성암호 알고리즘을 개발하고 검증해 표준화하는 일은 국립표준기술연구소(NIST: National Institute of Standards and Technology)가 주도한다.
김승주 고려대 정보보호대학원 교수(국가AI전략위원회 보안특별위원회 민간 위원). 사진=이데일리 DB
그리고 올해 6월에는 대통령 행정명령 14412호(Executive Order 14412)를 통해 이를 다시 한번 강하게 밀어붙였다. 행정명령은 각 기관에 PQC 전환 책임자를 두도록 하고, 중요 시스템의 전환계획을 수립하도록 했다. 이어 OMB는 「M-26-15: Execution of the Migration to Post-Quantum Cryptography」를 발표해 이를 실제 정부기관이 집행해야 할 과제로 구체화했다.
왜 대통령까지 나서서 PQC 전환을 직접 챙길까?
이유는 PQC 전환이 단순히 암호 알고리즘 하나를 바꾸는 일이 아니기 때문이다. 우리가 사용하는 암호기술은 정부 정보시스템은 물론 통신, 금융, 클라우드, 소프트웨어 업데이트와 공급망에 이르기까지 현대 디지털 인프라 곳곳에 깊숙이 들어가 있다. 따라서 PQC 전환을 위해서는 먼저 어디에서 어떤 암호기술을 사용하고 있는지 찾아내야 한다.
그중 무엇이 중요한지 우선순위를 정하고, 관련 소프트웨어와 장비를 교체하거나 업그레이드하고, 필요한 예산도 확보해야 한다. 정부기관뿐 아니라 제품과 서비스를 공급하는 민간기업도 함께 움직여야 한다. 어느 한 부처나 기관이 혼자 해결할 수 있는 문제가 아니라는 얘기다.
더 큰 문제는 이런 사업일수록 계획을 세우는 것과 실제로 움직이는 것 사이에 큰 간격이 생기기 쉽다는 점이다. PQC 전환이 필요하다는 데 반대하는 기관은 거의 없을 것이다. 범정부 계획을 만들고 장기적인 목표 시점을 정하는 것까지도 가능하다.
그러나 실제 전환은 전혀 다른 문제다. 각 기관이 자신이 보유한 암호자산을 찾아내고, 전환 우선순위를 정하고, 필요한 예산을 계산하고, 장비와 소프트웨어의 교체계획까지 마련해야 비로소 전환이 시작된다.
문제는 이러한 작업들이 개별 기관 입장에서는 당장 급한 현안이 아니라는 것이다. 오늘 하지 않는다고 시스템이 멈추는 것도 아니고, 열심히 준비한다고 단기간에 눈에 띄는 성과가 나타나는 것도 아니다. 반면 해야 할 일은 많고 비용도 든다. 특히 사업의 완성 시점이 현 정부의 임기를 넘어서는 경우에는 행정조직이 이를 당장의 최우선 과제로 받아들이기 더욱 어렵다.
성과는 다음 정부에서 나타나는데 비용과 부담은 지금 떠안아야 하기 때문이다. 여기에 담당자가 수시로 바뀌는 순환보직 구조까지 더해지면 장기간 일관되게 사업을 끌고 가기가 더욱 어려워진다.
실제로 우리는 국가정보자원관리원 대전센터 화재를 통해 장기적인 기반사업이 제대로 관리되지 않을 경우 어떤 문제가 생기는지를 목격했다. 재해복구체계를 갖추기 위한 계획은 있었지만, 실제 사고가 발생하자 그동안의 준비가 얼마나 실효성 있게 이루어졌는지가 드러났다. 장기적이고 눈에 잘 띄지 않는 기반사업일수록 계획을 세우는 것보다 실제 이행 수준을 지속적으로 점검하는 것이 중요한 이유다.
바로 이 지점에서 대통령의 역할이 필요해진다.
대통령이 해야 할 일은 어떤 PQC 알고리즘이 더 우수한지를 판단하는 것이 아니다. 그런 기술적 판단은 NIST와 같은 전문가 집단에게 맡기면 된다. 대통령이 해야 할 일은 이 문제에 국가적 우선순위를 부여하고, 각 부처가 제때 움직이고 있는지를 점검하는 일이다.
여기서 중요한 것이 중간 마감시한이다. 언제까지 담당자를 정하고, 언제까지 암호자산을 파악하고, 언제까지 전환계획과 필요한 예산을 마련하고, 언제부터 실제 시스템을 바꾸기 시작할 것인지를 단계별로 끊어놓아야 한다. 그래야 2030년이나 2035년과 같은 먼 목표가 오늘 해야 할 일로 바뀐다.
실제로 올해 미국의 행정명령은 30일, 90일, 180일 등 짧은 단위의 중간시한을 설정하고, 중요 시스템에 대해서는 2030년 말까지 키 설정(key establishment), 2031년 말까지 전자서명을 PQC로 전환하도록 했다.
이렇게 서두르는 것은 미국만이 아니다.
지난 9월 3일 G7 사이버보안 작업반도 「Preparing for the Post-Quantum Era: A Call to Action」을 발표하고 정부와 기업에 PQC 전환을 지금부터 시작할 것을 촉구했다. G7은 양자 위험에 대한 인식 제고, 국가 차원의 전환전략 수립, 연구개발, 민관협력, 보안 요구사항과 조달체계에 PQC를 반영하는 것을 주요 과제로 제시했다.
특히 주목할 것은 대상이 정부에만 국한되지 않는다는 점이다. 금융과 중요 인프라는 물론 민간기업까지 함께 움직여야 한다. 최근에는 비트코인, 이더리움, 솔라나와 같은 블록체인의 거래 인증도 장기적인 전환 대상으로 거론되고 있다. 암호기술에 의존하는 디지털 인프라라면 어디도 이 문제에서 완전히 자유로울 수 없기 때문이다.
미국 대통령이 직접 PQC 전환을 챙기고 G7이 정부와 민간에 행동을 촉구하는 이유는 같다. 양자컴퓨터가 기존 암호체계를 실제로 위협할 정도로 발전한 뒤 대응을 시작하기에는 바꿔야 할 시스템이 너무 많고, 전환에 걸리는 시간도 너무 길기 때문이다.
우리나라도 이미 범국가적인 PQC 전환 계획을 마련해 놓았다. 문제는 계획이 없다는 것이 아니다. 이제 중요한 것은 계획에 적혀 있는 과제들이 정해진 일정에 따라 실제로 이행되고 있는가이다.
최근 정부의 디지털 정책을 보면 AI가 압도적인 관심을 받고 있다. AI 경쟁력을 확보하는 것은 당연히 중요하다. 사이버보안 분야에서도 AI를 활용한 취약점 탐지, 공격 분석 등에 대한 투자는 반드시 필요하다. 그러나 국가의 사이버보안 정책이 AI에만 지나치게 집중되는 것은 경계할 필요가 있다.
PQC 전환은 어느 정부가 임기 말에 마음먹고 속도를 낸다고 한꺼번에 끝낼 수 있는 사업이 아니다. 암호자산 파악부터 위험평가, 우선순위 부여, 예산 확보, 제품 교체, 시험과 검증, 실제 시스템 전환까지 여러 단계가 순차적으로 이어져야 한다.
앞 단계가 늦어지면 뒤 단계의 일정도 밀릴 수밖에 없다. 더구나 이러한 준비작업은 눈에 잘 띄지도 않는다. 상당한 예산과 노력이 들어가지만 국민이 바로 체감할 만한 성과도 적다. 그렇기 때문에 오히려 정부가 의식적으로 챙기지 않으면 다른 현안에 밀리기 쉽다.
만약 이번 정부에서 해야 할 전환 작업들이 제대로 마무리되지 않는다면, 최종 목표 시점은 그대로인데 다음 정부가 사용할 수 있는 시간만 줄어든다. 다음 정부는 훨씬 짧은 기간에 더 많은 시스템을 바꿔야 하고, 필요한 예산과 인력도 한꺼번에 투입해야 한다. 서두르다 보면 충분한 시험과 검증 없이 시스템을 교체해야 하는 또 다른 위험까지 생길 수 있다.
AI와 PQC 중 어느 것이 더 중요하다는 이야기가 아니다. 국가의 디지털 경쟁력을 위해 AI에 투자하는 것과 미래의 디지털 신뢰체계를 지키기 위해 PQC로 전환하는 것은 동시에 해야 하는 일이다. 정치적으로 관심을 받기 쉽고 당장 성과가 보이는 일에 집중하느라, 지금 해두지 않으면 몇 년 뒤 훨씬 큰 비용과 부담으로 돌아오는 일을 뒤로 미뤄서는 안 된다.
대통령이 챙겨야 할 것은 국가적으로 중요하지만 개별 부처에 맡겨두면 자꾸만 뒤로 밀리는 일, 그리고 지금 미루면 다음 정부가 훨씬 큰 부담을 떠안게 되는 일을 제때 움직이게 만드는 것이다. 미국이 대통령까지 나서 PQC 전환을 챙기는 이유도 바로 여기에 있다.
