양자내성암호(PQC), 우리 회사는 언제 준비해야 하나

2026년 5월, KT가 국방부와 육군정보통신학교의 실제 통신 구간에 양자내성암호 모듈을 붙였습니다. 드론과 지상통제시스템 사이, CCTV와 영상저장장치 사이, 5G 라우터와 코어망 사이. 논문이나 백서가 아니라 장비 사이에 낀 실물 모듈 이야기입니다.

그 뉴스를 보고 사내 보안 담당자가 물었습니다. "그래서 우리도 지금 뭘 해야 하는 건가요?" 답이 곤란했던 건 몰라서가 아니라, 정직한 답이 "회사마다 다르고, 어떤 회사는 이미 늦었다"여서였습니다.

양자보안은 오랫동안 "언젠가의 일"로 분류돼 왔습니다. 그 분류가 틀렸다는 걸 보여주는 게 이 글의 목적입니다. 먼 미래의 위협이 아니라, 지금 결정해야 하는 프로젝트 순서의 문제로요.

2035년이라 적혀 있는데, 왜 마감이 이미 지났나

한국 정부는 2023년 PQC 전환 마스터플랜을 내놓으면서 2035년까지 국가 주요 정보통신 기반시설에 양자내성암호를 적용하겠다고 밝혔습니다. 미국 NIST도 비슷한 시간표를 씁니다. 그럼 2034년쯤 시작하면 되는 걸까요.

아닙니다. 이유는 공격자가 기다릴 줄 알기 때문입니다.

그래서 기준이 "양자컴퓨터가 언제 나오나"가 아니라 "우리 데이터는 몇 년간 비밀이어야 하나"로 바뀝니다. 캐나다 암호학자 미셸 모스카가 정리한 부등식이 이 판단의 표준 도구입니다.

X + Y > Z   →   이미 늦었다

X = 이 데이터를 몇 년간 지켜야 하는가 (기밀 수명)
Y = 우리 시스템을 전환하는 데 몇 년 걸리는가
Z = 암호학적으로 유의미한 양자컴퓨터가 등장하기까지 남은 시간

계약서 보관 10년, 전환 준비 3년이라면 X+Y는 13년입니다. Z를 아무리 넉넉히 2035년으로 잡아도 부등식은 이미 성립합니다. 반대로 하루 지나면 가치가 없어지는 주문 로그라면 서두를 이유가 없고요. 같은 회사 안에서도 데이터마다 마감일이 다릅니다.

Z 쪽 숫자는 계속 움직이는 중입니다. 2019년만 해도 RSA-2048을 깨려면 노이즈 있는 물리 큐비트가 2천만 개쯤 필요하다는 추정(Gidney·Ekerå)이 표준이었는데, 2025년 5월 같은 저자 중 한 명(Craig Gidney)이 100만 개 미만으로 가능하다는 재추정을 내놨습니다. 하드웨어가 빨라진 게 아니라 알고리즘과 오류정정 설계가 개선되면서 필요 자원이 줄어든 것입니다. 이건 예측이지 사실이 아니고, 전문가 설문에서도 "2030년대 초"에 중앙값이 모이는 정도지 확정된 날짜는 없습니다. 다만 추정치가 움직인 방향은 한결같이 한쪽이었습니다.

표준은 이미 나와 있다

"표준이 없어서 못 한다"는 변명은 2024년 8월에 만료됐습니다. NIST가 첫 3종을 최종 확정했거든요.

여기서 하나만 기억한다면 이름 규칙입니다. Kyber는 ML-KEM, Dilithium은 ML-DSA, SPHINCS+는 SLH-DSA. 벤더 자료가 아직 옛 이름을 쓰고 있으면 표준화 이전 구현일 가능성이 있으니, 견적서에서 이 이름이 어느 쪽으로 적혀 있는지 보는 것만으로도 1차 선별이 됩니다.

전환 일정을 다루는 문서는 NIST IR 8547입니다. 2030년 이후 RSA·ECDSA·ECDH·DH를 폐기 권고(deprecated), 2035년 이후 사용 금지(disallowed)로 두는 안을 담고 있습니다. 다만 2024년 11월 초안 상태이고 2026년 9월 현재 최종본은 나오지 않았습니다. 확정된 규정이 아니라 방향 신호로 읽는 게 맞습니다.

87%가 "하는 중"인데 실제로 한 곳은 7%다

업계 설문들을 겹쳐 보면 그림이 선명해집니다.

다른 조사도 같은 방향을 가리킵니다. Entrust와 Ponemon이 함께 낸 2026년 보고서에서 실제로 전환을 진행 중인 조직은 38%였고, 흥미로운 건 그 옆 숫자였습니다. 응답자의 68%가 "암호 자산을 관리하는 것 자체가 매우 또는 극히 어렵다"고 답했습니다. ISACA가 2,600명 넘는 실무자에게 물었을 때는 양자컴퓨팅 전략을 정의해 둔 조직이 5%에 그쳤고요.

여기서 통념 하나가 깨집니다. PQC 전환이 막히는 지점은 암호학이 아닙니다.

ML-KEM으로 갈아끼우는 작업 자체는 라이브러리 몇 줄입니다. 진짜 막히는 건 "우리가 RSA를 어디어디에 쓰고 있는지 아무도 모른다"는 쪽입니다. 10년 전 퇴사자가 짠 배치 스크립트에 하드코딩된 키, 계열사가 발급받아 쓰는 사설 CA 인증서, 벤더 어플라이언스 안에 박혀 있어 들여다볼 수도 없는 펌웨어 서명 키. 68%가 어렵다고 한 건 알고리즘이 아니라 이 목록입니다.

브라우저는 이미 넘어갔는데 서버가 안 넘어갔다

가장 구체적인 증거는 Cloudflare 통계입니다. 2025년 10월 마지막 주, Cloudflare를 지나는 사람이 일으킨 트래픽의 과반이 이미 X25519MLKEM768 하이브리드 키 교환을 쓰고 있었습니다. 크롬·파이어폭스가 기본으로 켜 준 덕입니다.

같은 시점, 오리진 서버 쪽 지원률은 3.7%였습니다. 2023년 0.5%에서 오르긴 했지만 자릿수가 다릅니다.

월요일 아침에 할 수 있는 것

전사 로드맵부터 그리려 들면 1년이 사라집니다. 순서를 뒤집는 편이 낫습니다.

1. 암호 자산 목록부터 만든다 (CBOM)

   소프트웨어 자재명세서(SBOM)의 암호 버전이라고 보면 됩니다. NIST도 SP 1800-38 실무 가이드에서 SBOM을 CBOM으로 확장할 것을 권고합니다. 항목은 다섯 줄이면 시작됩니다.

   ① 알고리즘·키 길이·운용 모드 ② 암호 라이브러리와 버전 ③ 인증서(발급자·만료일·키 타입) ④ 키 보관 위치(HSM·KMS·설정파일·소스코드) ⑤ 프로토콜(TLS 버전·IPsec·SSH·VPN)

   수집은 네 갈래로 합니다. 외부 표면은 TLS 스캔, 내부는 사내 CA와 ACME 발급 로그, 코드는 암호 API 호출 정적 스캔, 나머지는 벤더 문의. 완벽할 필요 없습니다. 첫 판은 "모르는 영역이 어디인지"를 그리는 게 목적입니다.

2. 전부 바꾸지 말고 세 칸으로 나눈다

   모스카 부등식을 실무 티어로 옮기면 이렇게 됩니다.

   최우선(A) — 기밀 수명이 긴 데이터가 외부망을 지나는 구간. 의료 기록, 법무·M&A 문서, 장기 보관 개인정보, 지사 간 VPN 터널. HNDL의 정확한 표적입니다.

   동시 최우선(B) — 교체 주기가 긴 서명 키. 펌웨어 서명, 코드 서명, 루트 CA. 데이터 수명은 짧아도 한 번 박으면 10년을 가는 물건이라, 지금 RSA로 발급하면 그 10년이 그대로 부채가 됩니다. 여기를 놓치는 조직이 의외로 많습니다.

   후순위(C) — 세션 단위로 끝나고 재발급이 쉬운 것. 내부망 단명 토큰 같은 것들. 나중에 해도 됩니다.

3. 벤더에게 다섯 가지를 물어본다

   직접 고칠 수 없는 영역이 대부분이라, 질문이 곧 일입니다. 메일 한 통으로 시작할 수 있습니다.

   1. 현재 제품이 쓰는 KEM·서명 알고리즘과 키 길이를 CBOM 형식 목록으로 받을 수 있습니까?
   2. ML-KEM·ML-DSA 지원 로드맵의 버전 번호와 예정 날짜는 언제입니까? ("검토 중"은 답이 아닙니다)
   3. 하이브리드 모드를 지원합니까? 지원한다면 기본값입니까, 옵션입니까?
   4. 알고리즘·인증서를 교체할 때 무중단으로 가능합니까? (암호 민첩성 — 이번엔 PQC지만 다음에도 또 바꿉니다)
   5. HSM·KMS 펌웨어가 PQC 키 타입을 저장할 수 있습니까? 아니면 하드웨어 교체가 필요합니까?

   5번에서 "하드웨어를 바꿔야 한다"는 답이 오면, 그 순간 이건 보안 과제가 아니라 예산 과제가 됩니다. 조달 리드타임을 생각하면 이 답을 2028년에 듣는 것과 지금 듣는 건 완전히 다른 이야기입니다.

하이브리드로 갈까, 순수 PQC로 갈까 — 규제가 셋으로 갈렸다

3번 질문이 단순해 보이지만 여기가 지금 업계에서 가장 시끄러운 지점입니다. 하이브리드는 기존 알고리즘과 PQC를 겹쳐 쓰는 방식이라, 둘 중 하나가 깨져도 안전합니다. 그런데 주요 기관의 입장이 갈립니다.

세 곳을 동시에 만족시키는 단일 구현은 없습니다. 글로벌로 제품을 파는 회사라면 이건 기술 선택이 아니라 시장별 SKU 분기 문제입니다. 국내에서만 쓰는 시스템이라면? 그래도 하이브리드가 무난합니다. 새 알고리즘을 단독으로 믿기엔 실전 검증 기간이 아직 짧고, 하이브리드는 그 판단을 뒤로 미룰 수 있게 해 주니까요.

한국 실무자용 지도 — KpqC, 시범사업, 그리고 공짜로 쓸 수 있는 것

여기서 한국 상황이 한 겹 더 붙습니다. 국내에는 KpqC라는 별도 트랙이 있습니다. 2021년 11월 시작된 양자내성암호 국가공모전이 2025년 1월에 최종 4종을 확정했습니다.

AIMer가 특히 눈에 띕니다. 나머지가 격자 같은 수학적 난제에 기대는 반면, 이쪽은 대칭키 기반 일방향 함수를 응용했습니다. 앞서 BSI가 격자 편중을 경계하며 해시 기반을 병행 권고한 것과 같은 맥락의 분산 전략입니다.

실무적으로는 이렇게 정리됩니다. 공공 조달과 국내 규제 대응은 KpqC를 봐야 하고, 글로벌 서비스와 상용 라이브러리 호환은 NIST 표준을 봐야 합니다. 둘 다인 회사는 둘 다 봐야 하고요. 불편하지만 이게 현실입니다.

정부 시범사업 — 2026년 9월 기준 현황

과기정통부와 KISA가 매년 양자내성암호 시범전환 지원사업을 돌립니다. 2025년에는 에너지·행정·의료 3개 분야였는데, 2026년에는 5개로 늘었습니다.

선정 결과를 보면 국내 생태계의 윤곽이 보입니다. 통신은 드림시큐리티, 금융은 케이스마텍, 교통은 모빌위더스, 국방은 대영에스텍, 우주는 케이사인·컨텍 컨소시엄이 맡았습니다. 벤더를 고를 때 이 목록이 실전 레퍼런스 역할을 합니다.

예산 없이 이번 달에 할 수 있는 것

시범사업에 못 들어가도 할 일은 남습니다.

우리 서버가 하이브리드 키 교환을 받는지 확인하는 건 명령어 한 줄입니다. OpenSSL 3.5 이상에서:

openssl s_client -connect example.com:443 -groups X25519MLKEM768
# 핸드셰이크 성공 → 이미 하이브리드 지원
# 실패 → 아직 RSA/ECDH 구간 (CDN 뒤 오리진도 따로 확인)

KISA는 양자내성암호 전문교육 실무과정도 신설했습니다. 2026년에는 9월 11일과 11월 13일 서울에서 대면으로 열렸고, 오전은 위협과 전환 전략, 오후는 국내 기관·기업 전환 사례로 구성됩니다. 1회차는 220명 선착순으로 마감됐습니다. 일정과 신청 방법은 같은 누리집 공지사항에서 확인하면 됩니다.

정리 — 언제 준비하나

처음 질문으로 돌아가면, 답은 날짜가 아니라 계산식입니다. 지켜야 할 기간(X)에 전환에 걸릴 기간(Y)을 더해서 2030년대 초를 넘기면, 그 자산은 이미 늦은 것입니다. 회사 전체가 아니라 자산별로 따집니다.

그리고 실제 첫 삽은 암호학이 아닙니다. 목록 만들기입니다. 68%가 어렵다고 답한 그 일이고, 그게 어려운 이유는 기술이 부족해서가 아니라 아무도 그 일을 자기 일로 여기지 않아서입니다. 목록이 없으면 예산 산정도, 벤더 협상도, 우선순위도 전부 추측이 됩니다.

마지막으로 한 가지. 이번 전환이 끝이 아닙니다. HQC가 백업으로 대기 중이고, BSI는 격자 편중을 경계하고 있고, FIPS 206은 아직 나오지도 않았습니다. 그래서 진짜 목표는 "PQC로 바꾸기"가 아니라 "다음에 또 바꿀 수 있는 구조 만들기" — 암호 민첩성입니다. 벤더 질문 4번을 다섯 개 중 하나가 아니라 가장 중요한 하나로 보셔도 좋습니다.

당신 회사에서 가장 오래 비밀이어야 하는 데이터는 뭔가요? 거기서부터 세어 보면 됩니다.