Post-Quantum Discovery as a Governance Capability: Evidence-Based Cryptographic Visibility and Exposure Prioritisation in a Critical Service Provider

기술적 요약: 거버넌스 역량으로서의 포스트 양자 발견

문제 진술
포스트 양자 암호화 (PQC) 로의 전환은 알고리즘의 부재가 아니라, 대규모 규제 기관 내에서의 암호화 가시성 부재, 분산된 소유권, 그리고 암호화 배포에 대한 불완전한 지식으로 인해 자주 지연됩니다. 표준화 노력 (예: NIST, IETF) 이 필요한 원시적 요소를 제공하더라도, 조직들은 이질적인 인프라 전반에 걸쳐 암호화 자산을 신뢰성 있게 인벤토리화할 수 없기 때문에 이전 계획을 수립하는 데 어려움을 겪습니다. 이러한 지식 부족은 "지금 수집, 나중 해독 (Harvest-Now, Decrypt-Later, HNDL)" 위협 모델 하에서 치명적입니다. 이 모델에서 적대 세력은 암호화 데이터를 오늘날 포착하여 암호학적으로 관련성 있는 양자 컴퓨터 (CRQCs) 가 사용 가능해지면 이를 해독합니다. 무엇이 암호화되어 있는지, 어디에 존재하는지, 누가 결정을 소유하며, 데이터가 얼마나 오랫동안 기밀로 유지되어야 하는지에 대한 명확한 기준이 없으면, 이전 계획은 추측에 머무르고 운영상 실행 불가능합니다.

방법론: 거버넌스 역량으로서의 발견
본 논문은 암호화 발견을 단순한 기술적 인벤토리 작업이 아닌 인식론적 거버넌스 역량으로 재정의하는 "발견 우선 (discovery-first)" 전략을 제안합니다. 이 역량은 조직 지식을 안정화하고 불확실성을 명시화하며, 암호화 노출을 측정 가능하고 감사 가능한 책임으로 전환합니다.

이 방법론은 양자 노출 등록부 (Quantum Exposure Register, QER) 로 이어지는 구조화된 파이프라인을 통해 운영화됩니다:

1. 이중 계층 발견:

   • 정적 분석: 소스 코드, 구성 파일, 라이브러리를 스캔하여 하드코딩된 키, 폐기된 알고리즘, 라이브러리 사용 (예: OpenSSL, Bouncy Castle) 을 식별합니다.
   • 동적 텔레메트리: TLS 핸드셰이크, 인증서 파싱, 네트워크 트래픽을 통해 런타임 동작을 검사하여 실제 운영 암호화 상태를 포착함으로써 정적 접근법에서만 발견되는 위음성 (false negatives) 을 줄입니다.
   • 의존성 매핑: API, 서드파티 서비스, 공급자 관리 시스템으로 발견 범위를 확장하여 상속된 암호화 메커니즘을 식별합니다.

2. 증거 보강:
   원시 기술 신호는 자산 레코드에 다음을 보강함으로써 거버넌스 등급 데이터로 변환됩니다:

   • 기밀성 지평 ($T_{shelf}$): 데이터 분류 및 보관 정책에 따라 도출됩니다.
   • 이전 기간 ($T_{migration}$): 시스템 복잡성과 변경 창에 따라 추정됩니다.
   • 증거 신뢰도: 발견 데이터의 품질을 반영하는 점수화 메커니즘 (높음/중간/낮음) 입니다.
   • 소유권 (RACI): 책임 있는 비즈니스 및 기술 이해관계자를 매핑합니다.

3. 시간적 노출 평가:
   방법론의 핵심은 자산이 "시간적으로 노출"되었는지 결정하기 위해 시간 기반 노출 규칙 (Mosca 부등식의 운영적 구체화) 을 적용합니다:
   $$T_{shelf}(A_i) + T_{migration}(A_i) > T_{threat}$$
   여기서 $T_{threat}$는 CRQC 관련성에 대한 가정된 타임라인입니다. 필요한 기밀성 수명과 이전 시간의 합이 위협 지평을 초과하는 자산은 노출된 것으로 플래그됩니다.

4. 점수 모델을 통한 우선순위 결정:
   정량적 우선순위 점수는 세 가지 구성 요소의 가중 합을 사용하여 계산됩니다:

   • 중요도 점수 (0.4 가중치): 비즈니스 영향 (기밀성, 무결성, 가용성) 에 기반합니다.
   • 시간 노출 점수 (0.4 가중치): HNDL 노출 상태 (예/경계/아님) 에 기반합니다.
   • 증거 신뢰도 패널티 (0.2 가중치): 불확실성을 반영하기 위해 낮은 신뢰도 데이터에 대해 더 높은 패널티를 부과합니다.
     이러한 점수는 자산을 이전 파동 (Wave 1–4) 에 매핑하여 위험 기반 순서를 가능하게 합니다.

주요 기여

1. 거버넌스 역량 프레임워크: 본 논문은 PQC 발견을 일회성 기술 작업이 아닌 조직 지식을 안정화하는 반복 가능하고 감사 가능한 거버넌스 역량으로 위치시킵니다.
2. 구조화된 노출 등록부 (QER): 무결성과 인증 (단순 기밀성뿐만 아니라) 이 주요 동인인 장기 운영 수명 주기를 가진 시스템을 명시적으로 고려하여, 여러 차원에 걸쳐 위험 기반 우선순위 결정을 가능하게 하는 모델을 도입합니다.
3. 실증 사례 연구: 소유권 분열, 가변적인 증거 품질, 공급자 의존성 체인이 PQC 이전의 주요 구조적 장벽임을 입증하는 유럽의 대형 중요 서비스 제공업체 (Organization A) 의 데이터를 제시합니다.

결과 및 사례 연구 발견
Organization A(우편, 신원, 금융 분야의 중요 서비스 제공업체) 에 대한 익명화된 사례 연구는 다음과 같은 실증적 관찰을 도출했습니다:

• 발견 규모: 14 개월 이상 조직은 148 개의 환경을 스캔하고 24,350 개의 엔드포인트를 점검하며 87,200 개의 인증서를 카탈로그화했습니다. 기준선 분석은 대부분 레거시인 RSA 에 68%, ECC 에 32% 의존하고 있음을 드러냈습니다.
• 소유권 분열: 암호화 자산의 약 40% 는 명확히 정의된 운영 관리자가 없어 이전 결정에 대한 행정적 교착 상태를 초래했습니다.
• 증거 변동성: 현대 워크로드는 풍부한 텔레메트리를 제공한 반면, 레거시 시스템은 부분적인 증거만 제공했습니다. 증거 신뢰도 점수의 도입은 위양성에 대한 예산 오배당을 방지하고 낮은 가시성 시스템의 위험을 부각시켰습니다.
• 공급자 의존성: 고중요도 서비스는 종종 SaaS 제공자 또는 결제 라이브러리로부터 암호화를 상속받아, 이전 실현 가능성이 내부 엔지니어링 속도가 아닌 공급자 로드맵에 의존하게 만들었습니다.
• HNDL 우선순위: 인벤토리와 보관 의무를 교차 참조하여 포트폴리오의 소규모 하위 집합 (12 개 중요 서비스, 포트폴리오의 3% 미만) 을 시간적으로 노출된 것으로 식별했습니다. 장기 수명 데이터 (10~15 년 이상) 를 포함하는 이러한 자산은 즉각적인 전환 (Wave 1) 을 위해 우선순위가 지정되었습니다.

의의 및 주장
본 논문은 PQC 준비가 근본적으로 거버넌스 과제라고 주장합니다. 구조화된 발견이 제공하는 "인식론적 안정화" 없이는 이전 계획이 본질적으로 추측에 불과하다고 주장합니다. 이 연구의 의의는 다음을 입증하는 데 있습니다:

• 발견은 전제 조건입니다: 이는 준비적 오버헤드가 아니라 PQC 이전을 실행 가능하고 거버넌스 가능하게 만들기 위한 필수 전제 조건입니다.
• 실행 가능한 거버넌스: QER 은 추상적인 양자 위험을 실행적 의사결정과 생태계 조정을 지원하는 구체적이고 감사 가능한 자산 수준 등록부로 변환합니다.
• 암호화 민첩성: 암호화 배포 및 의존성에 대한 지식을 안정화함으로써 조직은 일회성 이전 작업에서 지속적인 통제 프로세스로 이동하여 진화하는 위협 모델 하에서 진정한 암호화 민첩성을 지원할 수 있습니다.

저자들은 findings 가 단일 규제 유럽 기관에서 도출되었으며 구체적인 구현 세부사항은 조직 구조와 기술 환경에 따라 달라질 수 있음을 인정하며 겸손한 입장을 유지합니다. 그들은 방법론이 도구 벤더 중립적이며 특정 상업적 제품이 아닌 역량 클래스에 초점을 맞추고 있음을 강조합니다.