[IT메가비전 2026] SW 공급망부터 PQC까지…보안 대전환

정보통신기획평가원과 전자신문이 주최한 'IT 메가비전 X IITP 테크&퓨처 인사이트 콘서트 2026'이 'AI시대, 사이버 보안의 미래 '를 주제로 16일 서울 용산구 서울드래곤시티 호텔에서 열렸다. 김재기 에스투더블유 센터장이 '뚫린 뒷문을 닫아라'를 주제로 발표하고 있다. 김민수기자 mskim@etnews.com 인공지능(AI)과 양자컴퓨팅 시대를 맞아 사이버 보안 체계를 전면 재설계해야 한다는 목소리가 높아지고 있다. 개별 기업과 시스템을 보호하는 데서 벗어나 협력사·오픈소스·AI 모델까지 아우르는 공급망 보안을 확보하고, 양자내성암호(PQC) 도입을 넘어 암호키·디바이스·하드웨어 신뢰 기반까지 아우르는 보안체계를 구축해야 한다는 것이다. 16일 서울 용산구 서울드래곤시티에서 열린 'IT 메가비전×IITP 테크&퓨처 인사이트 콘서트 2026'에서는 AI·양자 시대의 새로운 보안 위협과 대응 전략이 집중적으로 논의됐다. 김재기 S2W 최고제품책임자(CPO)는 기업이 본사 내부 보안에 집중하는 사이 상대적으로 방어 수준이 낮은 협력사와 외부 서비스가 공격 통로로 악용되고 있다고 진단했다. 기존 협력사 관리 방식으로는 공격 속도를 따라가기 어렵다고 지적했다. 김 CPO는 “초연결 비즈니스 시대 공격 표면은 파트너사·오픈소스·서드파티로 확장됐다”며 “방어망이 견고한 본사 대신 보안이 취약한 신뢰관계가 표적이 되고 있다”고 말했다. S2W는 공급망 보안을 위협 인텔리전스와 AI 에이전트를 결합한 상시 관리체계로 전환해야 한다고 제시했다. 김 CPO는 “공격자의 시야에서 외부에 유출된 위협과 노출 자산을 실시간으로 교차 분석하고 AI가 조치까지 판단하는 에이전틱 방어체계가 필요하다”고 말했다. 최영철 SGA솔루션즈 대표는 AI 에이전트를 독립적인 '비인간 신원'으로 식별하고 권한과 접근·세션·행위를 지속적으로 검증하는 제로트러스트 보안체계가 필요하다고 강조했다. 최 대표는 “AI가 실제 행동을 수행하는 순간 보안의 중심은 모델 보호를 넘어 신원·권한·세션·행위 통제로 이동한다”며 “자율화의 목표는 사람을 제거하는 것이 아니라 사람을 실시간 의사결정의 병목에서 벗어나게 하는 것”이라고 말했다. 이희조 고려대 교수는 SBOM 도입에 그치지 않고 VEX(취약점 영향 여부를 기술하는 문서)로 실제 제품에 영향을 미치는 취약점을 선별하고, AI 자재 명세서(AIBOM)으로 모델·데이터까지 AI 공급망 추적 범...