양자컴퓨터를 바라보다가 보안을 다시 생각하게 됐습니다

Ryan

1 day ago

6 min read

Updated: 1 day ago

양자컴퓨터를 바라보다가 보안을 다시 생각하게 됐습니다

암호를 지키는 일에서 침입 이후의 피해를 줄이는 일까지

양자컴퓨터에 관심을 가지면 자연스럽게 기술의 속도를 보게 됩니다. 큐비트가 얼마나 늘어났는지, 오류는 얼마나 줄었는지, 언제쯤 실제 산업에서 쓸 만한 성능이 나오는지 궁금해집니다. 투자자로서 저 역시 이런 변화를 관심 있게 지켜보고 있습니다.

그중에서도 유독 눈길이 가는 질문이 있습니다. “양자컴퓨터는 언제 지금의 암호를 깰 수 있을까요?” 금융거래와 디지털 자산, 기업의 정보보호까지 연결되는 문제이기 때문입니다.

그런데 이 주제를 생각할수록 조금 다른 질문을 하게 됩니다. 양자컴퓨터가 언제 등장하느냐보다, 우리가 준비하는 데 얼마나 걸리는지가 더 중요한 것은 아닐까요? 정확한 시점을 알 수 없다는 이유로 기다리고 있는데, 막상 준비에 필요한 시간이 더 길다면 어떻게 해야 할까요?

여기서부터 양자보안이 다르게 보이기 시작했습니다.

암호를 바꾸는 데 필요한 시간

암호체계를 바꾼다고 하면 처음에는 보안 프로그램을 업데이트하는 정도로 생각하기 쉽습니다. 하지만 은행 하나만 떠올려봐도 그렇게 간단하지 않습니다.

고객이 사용하는 앱이 있고, 내부 거래 시스템이 있습니다. 외부 금융기관과 연결된 통신망도 있으며, 오래된 서버와 협력업체의 소프트웨어도 함께 돌아갑니다. 이 안에서 어떤 암호가 어디에 사용되는지부터 알아야 합니다. 바꿀 수 있는 부분과 당장 바꾸기 어려운 부분도 구분해야 합니다.

무엇보다 그 작업을 하는 동안에도 은행은 계속 운영되어야 합니다. 고객의 송금과 결제를 멈춰놓고 공사할 수는 없습니다. 새로운 시스템을 도입하더라도 기존 시스템과 연결되어야 하고, 거래 상대방과도 문제가 없어야 합니다.

이렇게 생각하면 암호 전환은 사람들이 계속 생활하는 건물의 기반 구조를 바꾸는 공사에 가깝습니다. 그래서 저는 “위협이 확실해지면 시작하면 되지 않을까요?”라는 생각에 점점 의문을 갖게 됩니다. 준비에 오래 걸린다는 사실만으로도 지금 시작해야 할 이유가 생길 수 있기 때문입니다.

여기에 정보의 수명을 생각하면 문제가 하나 더 보입니다. 잠깐 쓰고 버리는 정보도 있지만, 의료기록이나 기업의 핵심 기술, 국가안보 관련 자료처럼 오랫동안 보호해야 하는 정보도 있습니다.

만약 누군가 암호화된 정보를 지금 확보해두었다가 미래에 해독하려 한다면 어떨까요? 오늘 당장 읽을 수 없다는 사실만으로 안심할 수는 없습니다. 그 정보가 미래에도 여전히 민감할 수 있기 때문입니다.

물론 오늘의 모든 암호가 곧 무너진다는 뜻은 아닙니다. 사용하는 암호와 정보의 종류, 필요한 보호 기간에 따라 위험은 다릅니다. 충분히 강력한 양자컴퓨터가 위협하는 대표적인 대상은 RSA와 타원곡선암호 같은 공개키 암호체계입니다.

제가 주목하는 것은 시간의 차이입니다. 암호를 해독할 수 있는 시점은 미래일 수 있지만, 보호해야 할 정보가 유출되는 시점은 오늘일 수 있습니다. 그렇다면 양자보안은 오늘 무엇을 어떻게 보호할지 결정하는 일과도 연결됩니다.

암호가 강해도 접근 권한은 따로 살펴야 합니다

그런데 여기까지 생각하고 나니 또 다른 질문이 생깁니다. 암호를 더 강하게 만들면 충분할까요?

공격자가 암호를 해독하지 않고 직원 계정을 탈취해서 들어오면 어떻게 될까요? 정상적인 접근 권한을 악용해 시스템에서 정보를 읽는다면, 암호가 강하다는 사실만으로 막을 수 있을까요?

중요한 문서를 단단한 금고에 보관했다고 생각해보겠습니다. 그런데 누군가 금고를 열 수 있는 사람의 출입증과 권한을 가져갔다면 문제가 달라집니다. 금고의 강도만으로 설명할 수 없는 위험입니다.

이 지점에서 저의 관심은 암호에서 접근 권한으로 넓어집니다. 누가 들어왔는지, 어떤 장비로 접속했는지, 무엇을 하려고 하는지, 그 사람이나 장비가 정말 그 정보에 접근해야 하는지를 생각하게 됩니다. 여기에 연결되는 개념이 제로 트러스트, Zero Trust입니다.

제로 트러스트를 처음 들으면 “아무도 믿지 않는다”는 다소 극단적인 말처럼 느껴집니다. 하지만 제가 이해하는 핵심은 막연한 불신이 아닙니다. 회사 내부에 있다는 이유만으로, 회사 소유 장비라는 이유만으로 자동으로 신뢰하지 않는 것입니다. 접근하려는 자원에 맞춰 사용자와 장비, 권한과 조건을 확인하자는 원칙입니다.

회사 정문을 통과했다고 해서 모든 사무실과 금고에 들어갈 수 있어야 하는 것은 아닙니다. 회계 업무를 하는 직원과 생산설비를 관리하는 직원에게 필요한 권한은 다릅니다. 같은 직원이라도 모든 시스템에 항상 접근할 필요는 없습니다.

그래서 제로 트러스트는 특정 제품 하나를 설치하는 것으로 끝나기보다, 접근을 허용하는 기준을 다시 설계하는 방식에 가깝습니다. “이미 안에 들어왔으니 믿는다”는 생각에서, “지금 이 자원에 접근할 이유와 권한이 있는가”를 확인하는 방향으로 바뀌는 것입니다.

양자내성암호가 암호체계의 양자 공격 저항성을 높이는 역할을 한다면, 제로 트러스트는 누가 무엇에 접근할 수 있는지를 다룹니다. 서로 다른 역할이기 때문에 함께 생각할 필요가 있습니다.

한 곳의 침입이 전체로 번지지 않도록

그다음에는 피해의 범위를 생각하게 됩니다. 아무리 잘 준비해도 직원 PC 한 대나 특정 서버가 침해될 가능성을 완전히 없앴다고 장담하기는 어렵습니다. 그렇다면 한 곳이 뚫렸을 때 어디까지 영향을 받아야 할까요?

직원 PC 한 대가 감염됐다는 이유로 고객정보 서버와 백업 시스템까지 접근할 수 있다면, 작은 침입이 큰 사고로 번질 수 있습니다. 여기에서 마이크로세그멘테이션, Microsegmentation의 필요성이 나옵니다.

쉽게 말하면 시스템과 업무 사이의 통신을 세밀하게 나누고, 필요한 연결만 허용하는 방식입니다. 어떤 시스템이 어떤 시스템과 통신해야 하는지 파악하고, 불필요한 이동 경로를 줄이는 것이 중요합니다.

저는 이것을 건물의 방화구획과 비슷하게 생각합니다. 한 곳에서 불이 나더라도 다른 공간으로 쉽게 번지지 않도록 설계하는 것입니다. 제로 트러스트가 접근과 신뢰를 판단하는 큰 원칙이라면, 마이크로세그멘테이션은 그 원칙을 구현하는 방법 중 하나입니다.

물론 이것만으로 모든 침해를 막을 수 있는 것은 아닙니다. 허용된 경로가 악용될 수도 있고, 정책을 잘못 설정하면 빈틈이 생길 수 있습니다. 그래도 “침입을 막을 수 있는가?”에 이어 “침입이 발생해도 피해를 제한할 수 있는가?”를 묻게 합니다.

필요할 때 바꿀 수 있는 보안 구조

여기까지 오면 보안을 바라보는 그림이 조금 달라집니다. 미래의 양자 공격에 대비하려면 암호를 준비해야 합니다. 계정과 장비의 접근을 통제하려면 제로 트러스트 원칙이 필요합니다. 내부의 피해 확산을 줄이려면 시스템 사이의 연결도 세밀하게 관리해야 합니다.

그리고 이 모든 것을 한 번 구축한 뒤 영원히 그대로 둘 수 있다고 생각해서도 안 됩니다. 새로운 취약점이 발견될 수 있고, 업무 방식이나 장비가 달라질 수 있습니다. 지금 적절한 정책이 나중에도 적절하다는 보장은 없습니다.

암호 역시 마찬가지입니다. 그래서 저는 암호 민첩성, 즉 필요할 때 암호기술을 바꿀 수 있는 능력도 중요하다고 생각합니다. 어떤 암호를 어디서 사용하는지 알고, 문제가 생겼을 때 시험하고 교체할 수 있어야 합니다. 특정 기술을 시스템 곳곳에 깊이 묻어둔 채 바꿀 수 없게 만들면 다음 전환도 어려워집니다.

QKD, 즉 양자키분배도 이런 전체 그림 안에서 바라보고 싶습니다. 특정 통신 환경에서 키를 분배하는 추가 선택지가 될 수 있지만, 접근 권한 관리나 내부 침해 확산 방지를 대신해주는 기술은 아닙니다.

결국 제가 관심을 갖게 되는 것은 서로 다른 보안 기능이 어떻게 맞물리는가 하는 부분입니다. 각 기술이 무엇을 보호하는지 이해해야 필요한 조합도 판단할 수 있습니다.

투자자의 시선으로 돌아오면 자연스럽게 기업들이 보이기 시작합니다. 그렇다면 이런 일을 실제로 하는 회사들은 어디일까요?

먼저 떠오르는 회사는 Zscaler입니다. 사용자와 장비가 업무 애플리케이션에 안전하게 접속하도록 돕는 클라우드 기반 제로 트러스트 플랫폼을 제공합니다. 직원이 어디에서 일하든 필요한 업무 자원에 정책에 따라 연결되도록 하는 접근입니다. 저는 “누가 어떤 애플리케이션에 접근하도록 할 것인가”라는 질문과 연결해서 봅니다.

Palo Alto Networks는 보다 넓은 보안 플랫폼 관점에서 보게 됩니다. 방화벽과 Prisma Access 등을 통해 접근 통제, 트래픽 검사, 위협 방어를 연결합니다. 여러 환경에 걸쳐 보안 정책을 일관되게 적용하려는 기업의 요구와 맞닿아 있습니다.

내부 통신을 보호하는 기업들

마이크로세그멘테이션에서는 Illumio와 Akamai의 Guardicore가 눈에 들어옵니다. Illumio는 시스템 간 통신을 파악하고 제한해 침해가 다른 곳으로 번지는 것을 억제하는 데 초점을 맞춥니다. 서버와 클라우드, 단말 사이에서 무엇을 연결하고 무엇을 차단해야 하는지가 중요한 영역입니다.

Akamai의 Guardicore 역시 데이터센터와 클라우드 내부의 통신을 세밀하게 통제하는 솔루션을 제공합니다. 두 회사 모두 “누가 처음 들어오는가”뿐 아니라 “들어온 뒤 어디로 이동할 수 있는가”라는 질문과 연결해 볼 수 있습니다.

그리고 Elisity가 있습니다. 사용자와 장비의 신원 정보를 바탕으로 정책을 적용하는 마이크로세그멘테이션에 집중합니다. 지원되는 기존 네트워크 장비를 활용해 통신을 통제하는 방식이 특징입니다.

이 접근은 장비에 별도의 보안 프로그램을 설치하기 어려운 환경에서 살펴볼 만합니다. 병원의 의료기기나 산업현장의 장비처럼 일반적인 업무용 PC와 다르게 관리해야 하는 기기들이 있기 때문입니다.

기술의 속도와 준비의 속도를 함께 봅니다

여기서 중요한 것은 어느 회사가 모든 환경에서 가장 좋다고 미리 결론 내리는 것이 아닙니다. 사용자의 업무 앱 접속을 관리하는 문제와 데이터센터 서버 간 통신을 나누는 문제, 의료기기와 산업장비를 보호하는 문제는 요구사항이 다릅니다.

저는 Elisity를 살펴볼 때 Illumio와 Akamai Guardicore를 직접적인 비교 대상으로 보고, Zscaler와 Palo Alto Networks는 더 넓은 플랫폼 관점에서 함께 보는 편이 이해하기 쉽다고 생각합니다. 다만 실제 제품의 기능 범위는 서로 겹치기도 합니다.

이렇게 기업들을 살펴보면 투자 질문도 구체적으로 바뀝니다. 양자컴퓨터가 발전하면 보안 수요가 생길 것이라는 생각만으로는 충분하지 않습니다. 그 수요가 실제로 어떤 제품에 대한 예산으로 연결되는지 봐야 합니다.

기업이 기존 시스템을 크게 중단하지 않고 도입할 수 있는지, 운영하기는 쉬운지, 보호 범위를 설명하고 입증할 수 있는지도 중요합니다. 기술적으로 필요한 제품이라는 사실과 좋은 사업이라는 판단 사이에는 확인해야 할 것이 많습니다.

고객이 도입한 뒤 계속 사용하는지, 다른 부서와 사업장으로 확대하는지, 유지와 운영에 지나치게 많은 비용이 들지는 않는지, 경쟁 제품보다 선택할 이유가 분명한지를 보고 싶습니다.

또한 이 회사들의 사업이 모두 양자컴퓨터의 등장에 달려 있는 것도 아닙니다. 계정 탈취와 랜섬웨어, 내부 이동과 접근 권한 문제는 지금도 대응해야 하는 과제입니다. 양자 위협은 여기에 암호 전환이라는 과제를 추가합니다.

저는 오히려 이 점에서 관심이 생깁니다. 미래의 위협에 대한 준비와 현재의 보안 개선이 만나는 곳에는 어떤 사업 기회가 있을까요? 그리고 그것을 실제 고객의 문제 해결로 연결하는 회사는 어디일까요?

처음에 제가 보고 있던 것은 양자컴퓨터의 발전 속도였습니다. 지금도 그 질문은 중요합니다. 하지만 이제는 우리가 필요한 암호 전환을 제때 끝낼 수 있는지, 누가 어떤 정보에 접근하는지 알고 있는지, 한 곳의 침해가 전체로 번지지 않도록 준비되어 있는지도 궁금합니다.

저는 이제 기술이 발전하는 속도와 우리가 준비하는 속도를 함께 보려고 합니다. 그리고 그 준비를 가능하게 하는 기업들이 어떤 방식으로 고객의 문제를 해결하는지도 지켜보고 싶습니다. 양자컴퓨터에서 시작한 관심이, 우리가 디지털 세상의 안전을 어떻게 설계하고 있는가라는 질문으로 이어졌습니다.

관련동영상을 보고 싶으시면 아래의 링크를 눌러주세요.

https://youtu.be/OGqC114xpmg