FiNETech8 포럼과 발표 배경
HKMA의 연례 핀테크 행사인 FiNETech8 포럼을 통해 공개된 이 툴킷은 양자컴퓨터에 취약한 기존 공개키 암호 체계를 대체하기 위한 제도적 로드맵이다. HKMA가 2026년 7월 직접 수행한 기준선 감사 결과, 홍콩 금융기관들이 양자컴퓨터의 이론적 위협은 인식하고 있었으나 실제 시스템 차원의 마이그레이션은 초기 단계에 머물러 있었다는 사실이 이번 프로젝트의 출발점이 됐다.
툴킷 5대 구성 요소
이 툴킷은 다섯 개 핵심 영역으로 구성된다. 첫째, 준비도 궤적은 QPI 2.3점을 기점으로 2030년 10.0점 달성을 향한 단계별 이행 경로를 제시한다. 둘째, 암호화 자산 인벤토리는 핵심 뱅킹 플랫폼 전반에서 공개키 의존성을 식별하고 암호화 자산 명세서(CBOM)를 작성하는 절차를 규정한다. 셋째, 위험 우선순위화는 금융 데이터의 기밀 유효기간과 노출 범위를 기준으로 등급을 매겨, 현재 데이터를 탈취한 뒤 미래의 양자컴퓨터로 복호화하는 '수집 후 복호화(HNDL)' 위협에 선제 대응한다. 넷째, 공급망 참여 체계는 핵심 원장 제공사, HSM 벤더, 클라우드 인프라 업체 등 협력사에 적용할 PQC 준수 요건과 표준화된 평가 기준을 제시한다. 다섯째, 거버넌스 아키텍처는 이사회 및 경영진 책임을 명확히 배분하고, PQC 전환 감사를 HKMA 정기 감독 검토 과정에 통합한다.
기술 인프라와 국제 표준 연계
툴킷은 SWIFT 게이트웨이 인터페이스, 핵심 거래 엔진, HSM 등 금융 인프라의 주요 접점에서 공개키 의존성을 체계적으로 발굴하는 절차를 포함한다. NIST가 최종 확정한 양자내성 파라미터를 비롯해 국제 암호화 기준의 개정 사항을 지속 반영하는 업데이트 체계도 갖추고 있다. HKMA 감독팀과 HKUST 사이버보안·암호학·금융·기업지배구조 교수진의 협력을 통해 기술적 인식이 실질적 기관 행동으로 이어지도록 설계됐다.
과제와 한계
QPI 2.3점이라는 낮은 출발점은 2030년이라는 목표 시한까지 남은 여유가 많지 않음을 보여준다. 대형 금융기관일수록 복잡한 제3자 소프트웨어 생태계 전반의 PQC 전환에는 상당한 시간과 비용이 수반된다. 조달 질의서나 평가 기준이 실제 계약·협상 단계에서 얼마나 실효성을 발휘할지는 향후 HKMA의 감독 집행 의지에 달려 있다. 정량 지표인 QPI와 공급망 거버넌스를 결합한 홍콩의 접근 방식은, PQC 전환 의무화를 추진하는 여러 금융 규제당국 모델 중 비교적 구체적인 사례로 평가된다.
전문은 원문에서 읽으세요
이 글은 원문의 사실을 재구성한 편집 요약입니다. 원제: HKMA and HKUST Launch PQC Toolkit to Accelerate Banking Sector Transition by 2030
