최근 미국 행정명령 14412호가 PQC 대비를 요구하는 이유

업계 동향 | 2026년 7월 01일

AI가 세간의 이목을 독차지하고 있지만, 양자 컴퓨팅 역시 우리의 데이터에 당장 닥친 위험입니다. 2026년 6월 22일, 백악관은 양자 컴퓨팅이 단순히 미래의 문제가 아니라 지금부터 대응해야 할 보안 위협임을 재차 강조하며 강력한 경고 메시지를 보냈습니다.

미국 행정명령 제14412호 (첨단 암호 공격으로부터 국가 보호)는 양자내성암호(PQC)로의 전환이 시급함을 강조하며, 연방 규정 준수 기한을 보다 효과적으로 맞출 수 있도록 자금 지원 및 조달 정책에 우선순위를 두고 있습니다.

“미국 행정명령 14412호는 논의의 초점을 먼 미래의 ‘만약’이라는 가정에서 당면한 규정 준수 현실로 전환하며, 조직이 국가 핵심 시스템을 보호하기 위한 구체적인 기한을 최우선으로 고려하도록 요구합니다.”

이것이 단지 정부 기관만의 골칫거리라고 생각한다면 다시 생각해 보십시오. 이 행정명령은 조달 주기 전반에 막대한 파급 효과를 일으켜, 기술 공급업체와 기업이 현재의 구매 주기에서 양자 안전 시스템을 우선적으로 고려하도록 압박합니다.

‘Q-Day’를 넘어: 운영상 마감 시한

수년 동안 우리는 양자 컴퓨터가 RSA와 같은 표준 암호화를 손쉽게 무력화할 수 있게 되는 시점인 ‘양자 위협’이 아직 먼 미래의 일이라고 여겨 왔습니다. ‘Q-Day’에 대비할 시간은 충분할 것이라고 생각했습니다.

하지만 실제 하드웨어의 발전 속도는 당초 수학적 예측을 앞지르고 있습니다. 최근 Harvard Quantum Initiative 연구진이 이룬 획기적인 성과에 따르면, 안정적이고 내결함성을 갖춘 양자 시스템은 예상보다 훨씬 빠르게 발전하고 있어 그 시점이 2020년대 말로 앞당겨질 가능성이 있습니다.

행정명령 14412호는 이러한 상황에 냉엄한 현실 인식을 불어넣습니다. 논의의 초점을 먼 미래의 ‘만약’이라는 가정에서 당장 직면한 규정 준수의 현실로 전환하고, 조직들이 국가의 핵심 시스템을 보호하기 위한 구체적인 기한을 최우선으로 고려하도록 요구합니다.

2030년 12월 31일까지: 연방 기관은 키 설정(암호화)을 위해 미국 국립표준기술연구소(NIST)가 승인한 PQC 알고리즘으로 완전히 전환해야 합니다. 이는 공격자가 양자 컴퓨팅으로 언젠가 복호화할 수 있다는 점을 노리고 현재 암호화된 트래픽을 탈취해 저장하는 "지금 수집하고 나중에 복호화" 공격을 무력화하기 위한 것입니다.
2031년 12월 31일까지: 사칭 및 스푸핑 공격을 방지하기 위해 디지털 서명(인증)을 위한 PQC 마이그레이션을 완료해야 합니다.

이러한 기한은 적용 범위가 좁아 보일 수 있지만, 결코 그렇지 않습니다. 이 명령을 실행에 옮기기 위해 미국 관리예산실(OMB)은 6월 24일 각서 M-26-15를 발표하여 민간 기관이 공식 마이그레이션 계획을 제출하도록 엄격한 120일의 기한을 부여했으며, 이와 동시에 전쟁부(DoW)도 병행 실행 절차에 착수했습니다.

이 명령은 또한 미국 연방조달규정(FAR) 위원회에 이와 동일한 일정을 연방 계약 요건에 명시하도록 지시합니다. 이에 따라 정부의 의무 사항은 상업적 현실이 됩니다. 즉, 전체 방위산업기반과 수천 개의 연방 계약업체는 정부와 계속 거래하기 위해 PQC 준수 여부를 입증해야 합니다.

또한 미국 사이버보안 및 인프라 보안국(CISA)은 향후 조달 과정에서 PQC를 지원하는 공급업체를 적극 우대하도록 각 기관에 지시하고 있습니다. 군수 공급망에 직접 참여하고 있든, 금융 및 의료와 같이 규제가 엄격한 다른 분야에서 사업을 운영하고 있든 핵심은 변하지 않습니다. 시스템이 연방정부 데이터를 취급한다면 양자 컴퓨팅 시대에 대한 대비는 사업을 영위하기 위한 필수 요건입니다.

공급망의 사각지대: CBOM의 등장

데이터는 한곳에만 머물러 있지 않습니다. 서드파티 API, 외부 SaaS 플랫폼, 공급업체가 호스팅하는 클라우드 등 다양한 환경을 끊임없이 오갑니다. 이러한 종속성은 직접 통제할 수 없는 영역에 취약점을 만들기 때문에, PQC 대비는 단순히 내부 시스템을 보호하는 것보다 훨씬 더 복잡합니다.

행정명령 14412호에 따라 백악관은 관련 지침을 통해 암호화 자재 명세서(CBOM)를 도입했습니다. 이는 공급업체가 자사의 암호화 시스템에 관한 상세 정보를 공개하도록 의무화함으로써 이러한 사각지대를 해소하기 위한 것입니다. 소프트웨어 자재 명세서(SBOM)와 유사한 CBOM은 암호화의 투명성에 중점을 두며, 제품에 내장된 알고리즘, 라이브러리 및 인증서를 명확히 공개합니다.

문제는 무엇일까요? 대부분의 엔터프라이즈 인프라는 이러한 투명성 기준을 충족할 준비가 되어 있지 않으며, 공급업체의 PQC 준비 부족으로 인해 이러한 의존성은 더욱 심각한 문제가 되고 있습니다. 예를 들어, F5 Labs의 데이터에 따르면 자동 업데이트 덕분에 전 세계 웹 브라우저 트래픽의 57%가 기술적으로 PQC를 지원할 준비가 되어 있지만, 엔터프라이즈 백엔드 시스템은 크게 뒤처져 있습니다. 상위 100만 개 웹사이트 중 하이브리드 PQC 키 교환을 지원하는 곳은 8.6%에 불과하며, 은행 웹사이트의 경우에는 놀랍게도 3%에 그칩니다.

양자 시대에 대한 대비 수준은 조직이 얼마나 잘 준비하느냐에만 달려 있는 것이 아니라 파트너에게도 좌우되며, 가장 취약한 의존 요소 하나가 모든 것을 무너뜨릴 수 있습니다. 공급업체를 검증하고 조직이 양자 전환을 원활하게 관리하려면 CBOM의 투명성이 필수적입니다.

3단계 PQC 준비 체크리스트

양자 내성 알고리즘으로의 전환은 간단한 소프트웨어 패치만으로 단번에 끝낼 수 있는 일이 아닙니다. 신중한 계획이 필요한 수년간의 과정입니다. 현재 백악관은 연방 기관에 전담 PQC 전환 책임자를 임명할 기한으로 단 30일을 부여했습니다. 기업도 이에 발맞춰야 합니다.

오늘 바로 시작하기 위해 즉시 취해야 할 세 가지 단계는 다음과 같습니다:

담당자를 지정하고 종속성을 파악하세요: 최우선 과제. 조직 전반의 양자 컴퓨팅 대비를 책임질 총괄 담당자를 지정하세요. 이 담당자의 최우선 과제는 RSA 및 ECC와 같은 기존 암호화 알고리즘이 현재 어디에서 사용되고 있는지 파악하는 것입니다. 여기에는 자체 인프라뿐만 아니라 타사 API, SaaS 플랫폼 및 공급업체 생태계 전반이 포함됩니다.
CBOM 의무화에 대비: 향후 3~6개월. 구매 지침을 업데이트하세요. 향후 거래할 하드웨어, 소프트웨어 및 클라우드 공급업체에 NIST 표준을 준수하는 PQC 지원에 대한 명확한 로드맵을 요구하고, 투명한 CBOM을 어떤 방식으로 제공할 계획인지 확인하세요. 규정 준수 기한이 닥칠 때까지 기다리는 것보다 이러한 종속성의 공백을 조기에 파악하는 편이 훨씬 낫습니다.
하이브리드 배포 모델 테스트: 향후 6~12개월. TLS 1.3을 도입하고 비프로덕션 환경에서 하이브리드 키 교환 테스트를 시작하여 포스트퀀텀 키가 실제 네트워크 지연 시간과 애플리케이션 성능에 미치는 영향을 평가하세요. 지금 테스트하면 향후 발생할 수 있는 중대한 운영 중단을 방지할 수 있습니다.

F5와 함께 전환 과정 헤쳐 나가기

양자 내성 암호화로 성공적으로 마이그레이션하려면 표준의 발전에 따라 시스템 중단이나 다운타임 없이 암호화 알고리즘을 원활하게 교체할 수 있는 역량인 암호화 민첩성이 필요합니다.

수천 개의 레거시 애플리케이션을 다시 작성하려면 수년이 걸릴 수 있으며, 이는 대부분의 팀에 막대한 비용과 노력이 드는 작업입니다. 이러한 이유로 F5는 NIST 산하 국가 사이버보안 우수센터(NCCoE)의 "PQC로의 마이그레이션" 프로젝트에 참여했습니다. 이 컨소시엄은 조직이 이러한 변화에 대응할 수 있도록 실용적인 프레임워크를 구축하는 데 주력하고 있습니다.

F5는 배포 위험을 근본적으로 낮추는 게이트웨이 플랫폼 아키텍처를 통해 이러한 마이그레이션을 간소화합니다. 개발자가 하이브리드, 멀티클라우드 또는 레거시 환경 전반에서 앱 아키텍처를 수동으로 재설계하도록 요구하는 대신, F5는 하이브리드 PQC 암호화 제품군(서버 및 클라이언트 측)에 대한 기본 지원을 F5 Application Delivery and Security Platform (ADSP)에 직접 통합합니다. 이를 통해 현재 중요한 데이터 교환을 보호하는 동시에 팀이 원활한, 장기적 전환을 추진하는 데 필요한 여유를 확보할 수 있습니다.