Black Kite, 제3자 공급망 PQC 전환 현황 자동 평가하는 양자 준비도 기능 출시

출시 배경: 공급망 암호화 취약점의 외부 가시성 확보

기업의 사이버 보안 위험은 자사 인프라에 그치지 않는다. 소프트웨어 공급업체, 클라우드 서비스 제공자, IT 협력사 등 제3자가 여전히 RSA, ECDSA, ECDH 같은 전통 공개키 알고리즘에 의존한다면, 양자컴퓨터 위협이 현실화될 때 그 위험은 곧바로 본사로 전이된다. Black Kite의 신기능은 이 맹점을 공략한다. 외부에서 관측 가능한 암호화 신호—특히 SSL/TLS 핸드셰이크 과정에서 드러나는 키 교환 방식과 인증서 서명 유형—를 지속적으로 모니터링함으로써, 협력사별 PQC 전환 수준을 수치화된 등급으로 제공한다.

4대 평가 항목 구성

Quantum Readiness는 기존 Black Kite Cyber Rating 엔진의 SSL/TLS 강도 범주에 통합되며, 네 가지 축으로 운영된다. 첫째, 키 교환 민첩성 항목에서는 하이브리드 PQC 키 교환 메커니즘의 실제 적용 여부를 탐지한다. 둘째, 인증서 준비도 항목은 PQC 기반 디지털 서명 인증서가 배포되어 있는지를 점검한다. 셋째, 자산 취약성 매핑에서는 레거시 알고리즘을 사용하는 미전환 자산을 식별한다. 마지막으로 공급망 위험 통합 항목이 이상의 결과를 종합해 기존 등급 체계에 반영한다.

규제 기한과의 연계

이 기능이 겨냥하는 규제 일정은 복수다. 미국 행정관리예산처(OMB)의 M-26-15 지침은 연방 기관이 2030년까지 PQC 기반 키 확립을, 2031년까지 디지털 서명 전환을 완료하도록 요구한다. 행정명령 14412는 연방 조달 계약자에게도 2030년을 목표 기한으로 설정했다. 유럽연합의 NIS2 지침은 공급망 암호화 관리 의무를 2026년 및 2030년 일정으로 부과한다. NIST는 RSA·ECDSA 등 취약 알고리즘을 2030년 이후 단계적으로 폐기하고 2035년에는 완전 금지할 계획이다.

핵심 위협 시나리오: 지금 수집, 나중에 복호화

이 기능이 대응하려는 위협 모델은 이른바 '하베스트 나우, 디크립트 레이터(harvest now, decrypt later)' 공격이다. 현재의 암호화 트래픽을 대량으로 저장해 두었다가 미래의 충분한 성능을 가진 양자컴퓨터로 일괄 복호화하는 시나리오로, PQC 전환이 늦어질수록 이미 유출된 데이터가 사후 위험에 노출되는 기간이 길어진다. 공급망 전반에서 비전환 협력사를 조기에 식별함으로써 이 잠재적 피해 범위를 줄이는 것이 Quantum Readiness의 설계 의도다.

의미와 한계

이번 출시는 PQC 전환 논의가 자사 인프라 수준을 넘어 공급망 감사 도구로 확장되고 있다는 신호다. 특히 직접적인 감사 권한이 없는 협력사의 보안 상태를 외부 관측만으로 평가한다는 접근은 현실적인 운영 방식으로 볼 수 있다. 다만 외부 신호 관측의 특성상 협력사 내부 네트워크나 비공개 API 구간의 암호화 상태는 반영되지 않는다는 한계가 있다. 현재 공개된 정보에는 구체적인 탐지 정확도나 오탐률 수치가 포함되어 있지 않아 실제 성능 검증은 추가 자료가 필요하다.