[보안칼럼] 복합위협 시대, 신뢰기반 방어가 답이다

강봉호 ICTK 전무 보안업계 일각에서는 양자내성암호(PQC:Post-Quantum Cryptography)의 이름에서 'Post'를 떼어내야 한다고 말한다. 미래 기술이 아니라는 뜻이다. 미국은 6월 행정명령을 통해 연방정부의 고가치 자산과 고영향 시스템에 2030년 말까지 PQC 기반 키 설정을, 2031년 말까지 전자서명을 적용하도록 했다. 미국 국립표준기술연구소(NIST)도 ML-KEM과 ML-DSA를 지금부터 사용하며 전환을 시작하라고 권고한다. PQC는 양자컴퓨터 등장 뒤의 암호가 아니라 지금 구축해야 할 기본 보안이다. 이 변화는 무기체계와 국가 중요 인프라에서 더욱 절박하다. 일반 정보기술(IT)과 달리 전장에서 임무 중단은 물리적 피해로 이어진다. 무기체계는 10~30년 이상 운용되고 원격 업데이트가 제한되며, 노획되거나 수출 후 통제 범위를 벗어날 수도 있다. 보안의 기준을 데이터 유출 방지에서 임무 지속성, 기술 보호, 회복탄력성까지 넓혀야 한다. 반면 공격 시간은 매우 짧아지고 있다. 공격자는 공개 패치를 인공지능(AI)으로 비교해 취약점과 공격코드를 만들어낸다. 정찰부터 횡적 이동까지 AI 속도로 이어지면 방어의 시간은 사라진다. 지금 모아 훗날 해독하는 양자 위협, 장기간 잠복하는 지능형지속위협(APT), 정상 부품과 업데이트를 악용하는 공급망 공격이 AI와 결합하고 있다. 이러한 복합위협은 개별적 나열이 아니라 서로의 속도와 은밀성, 파괴력을 증폭시킨다. 지난 3월 LiteLLM 악성 패키지는 공개 저장소에 40분 노출됐지만, 자동화된 지속적 통합·배포(CI·CD)를 통해 2500여 조직과 43만4000여 파이프라인을 잠재적 영향권에 놓았다. 이는 실제 침해가 아닌 잠재적 노출 수치다. 깃허브도 탈취된 자격증명으로 악성 액션스 워크플로를 주입해 CI/CD 비밀정보를 훔치고 후속 공격을 벌이는 사례를 경고했다. 공격자가 개발자 계정과 코드 저장소, 빌드 자동화를 먼저 겨냥한다는 뜻이다. 공급망 보안은 오픈소스 의존성, 개발자 신원, 저장소 권한, 빌드 환경까지 포괄해야 한다. 복합위협에는 신뢰기반 방어가 필요하다. 양자내성암호, AI 기반 탐지, 제로트러스트, 강한 장치 식별을 물리적 신뢰점 위에 통합하는 원칙이다. 통제 가능한 환경에서는 개발·설계·제조·운용 전 과정의 신뢰사슬을 연결해야 한다. 통제권을 잃는 환경에서는 노획·분해·역공학·키 추출을 전제로 위변조 방지와 기능 제한, 복...