Post-Quantum Cryptography Migration Readiness in Global Capability Centres: A Governance Framework for Enterprise Transition

기술 요약: 글로벌 역량 센터(GCC)의 양자 내성 암호(PQC) 이행 준비 태세

문제 정의
NIST의 양자 내성 암호(PQC) 표준(FIPS 203, 204, 205)의 확정은 중대한 암호 체계 전환을 촉발했습니다. 그러나 기업의 채택 수준은 여전히 낮으며, 이는 글로벌 역량 센터(GCC)에 심각한 취약점을 초래합니다. GCC는 여러 규제 관할권에 걸쳐 민감한 국경 간 데이터를 처리하는 오프쇼어 전략 허브입니다. 이들은 다음과 같은 특징적인 "거버넌스 결핍"에 직면해 있습니다:

• 국경 간 의존성: 한 관할권에서 암호화된 데이터가 다른 관절권으로 전송됨.
• 거버넌스 비대칭성: 마이그레이션 전략은 본사에서 수립되지만, 실제 구현은 서로 다른 규제 제약 하에 있는 GCC 팀에 의해 수행됨.
• 규제 중복성: 인도 소재 GCC만 해도 500개 이상의 별도 법적 의무를 준수해야 함.
• 집중된 리스크: 사이버 보안 운영 허브(SOC, Cyber Fusion Centre)로서, GCC에서의 암호학적 실패는 글로벌 보안 태세 전체를 위협함.

기존 프레임워크는 알고리즘 성능 의존성, 교차 관할권 컴플라이언스, 그리고 모회사-자회사 간 정렬 문제를 해결하지 못합니다. 또한, "지금 수집, 나중에 해독(Harvest Now, Decrypt Later, HNDL)" 위협 모델은 현재 표준으로 보호되는 데이터가 이미 위험에 처해 있음을 시사하며, 이는 "모스카의 불평등(Mosca's inequality)"(마이그레이션에 소요되는 시간이 양자 컴퓨터가 실용화될 때까지의 시간보다 길어지는 현상)을 위반합니다.

연구 방법론
본 연구는 두 가지 주요 구성 요소로 이루어진 문헌 기반 질적 연구 설계를 채택하였습니다:

1. 통합 문헌 검토(ILR): 2018년 이후의 72개 출처(피어 리뷰 논문 38편, 표준 18개, 산업 보고서 16개)를 체계적으로 수집하고 합성하였습니다. 출처는 Scopus, IEEE Xplore, ACM Digital Library, Web of Science 및 규제 기관(NIST, NSA, CISA 등)에서 추출되었습니다.
2. 주제 분석(Thematic Analysis): Braun과 Clarke의 6단계 프로토콜에 따라, 데이터를 4개 영역(PQC 마이그레이션 과제, 거버넌스 메커니즘, GCC 특성, 성능 의존성)으로 코딩하여 147개의 초기 코드를 도출하였고, 이를 5개의 고유한 거버넌스 테마로 합성하였습니다.

본 연구는 기존의 파편화된 PQC 거버넌스 연구를 해결하기 위해 실증적 현장 테스트를 배제하고, 기존 문헌의 개념적 통합에 집중하였습니다.

주요 기여
본 논문은 PQC 마이그레이션의 서사를 순수 기술적 전환에서 엔터프라이즈 거버넌스 과제로 전환함으로써 사이버 보안 거버넌스 연구를 발전시킵니다. 주요 기여는 다음과 같습니다:

1. 5가지 거버넌스 테마 식별: 72개 출처의 주제 분석을 통해 도출되었습니다.
2. PQC-GCC 거버넌스 프레임워크(PGGF) 개발: 분산된 다관할권 GCC 환경에 특화된 새로운 5계층 × 6단계 모델입니다.
3. 성능 증거 통합: 본 프레임워크는 알고리즘 선택을 측정 가능한 운영 결과가 따르는 거버넌스 결정으로 취급하며, 독보적으로 다계층 성능 데이터를 통합합니다.
4. 분석적 평가: 기존 모델, 설계 원칙 및 NIST CSF 2.0 커버리지에 대해 프레임워크를 평가합니다.

결과 및 프레임워크 구조
본 연구는 식별된 5가지 테마를 PGGF로 합성하였으며, 이는 다음과 같이 구성됩니다:

• 5가지 거버넌스 계층:

  • 계층 1 (전략적 거버넌스): 이사회 수준의 양자 리스크, 모회사-GCC 정렬, "대응 시간(Time-to-React)" KPI를 다룹니다.
  • 계층 2 (암호 자산 거버넌스): 암호 목록(CBOM), 모스카 리스크 분류, 국경 간 HNDL 평가에 집중합니다.
  • 계층 3 (기술적 마이그레이션 거버넌스): 성능 기반 알고리즘 선택을 통합합니다. 결정적으로, 알고리즘 순위는 프로토콜 계층에 따라 변화함을 강조합니다 (예: ML-KEM/ML-DSA는 프리미티브 레벨의 x86에서는 더 빠르지만, ARM 아키텍처에서는 TLS/VPN 레벨에서 더 낮은 종단 간 지연 시간을 보임; HQC는 최대 100배 높은 실행 시간을 보임).
  • 계층 4 (컴플라이언스 거버넌스): 미국(CNSA 2.0), EU(NIS2/DORA), 영국(NCSC), 인도(DPDP Act 2023)의 규제 요구사항을 매핑합니다.
  • 계층 5 (인재 거버넌스): PQC 센터 오브 엑설런스(CoE) 구축, 지식 전수 및 양자 위협 커뮤니케이션을 수립합니다.

• 6단계 마이그레이션 단계:

  1. 개시(Initiate): 경영진 스폰서십 및 리스크 평가.
  2. 발견(Discover): CBOM 생성 및 HNDL 평가.
  3. 전략 수립(Strategize): 성능 기반 알고리즘 선택.
  4. 파일럿(Pilot): 다계층 개념 증명(PoC) 벤치마킹.
  5. 이행(Migrate): 단계적 롤아웃.
  6. 유지(Sustain): 지속적인 암호 민첩성(Crypto-agility) 유지.

평가 및 의의
본 논문은 PGGF가 다음 8가지 핵심 기준을 충족하는 유일한 프레임워크라고 주장합니다: PQC 커버리지, GCC 특수성, 다관할권 지원, 암호 민첩성, 성숙도 모델링, 성능 인식, 하드웨어 인식, 단계적 진행.

• NIST CSF 2.0 정렬: 프레임워크는 NIST CSF 2.0의 모든 기능(Govern, Identify, Protect, Detect, Respond, Recover)에 대한 완전한 커버리지를 제공합니다.
• 설계 원칙: 계층적 추상화, 증거 기반, 맥락 민감성을 포함한 6가지 원칙을 준수합니다.

핵lı 핵심 결론
본 연구는 분산된 엔터프라이즈 환경에서 PQC 마이그레이션의 주요 장벽은 기술적 역량이 아니라 거버넌스 준비성이라는 결론을 내립니다. PGGF는 이론적인 암호학적 진보와 공학적 실행 가능성 사이의 간극을 메우기 위한 필수적인 아키텍처를 제공합니다.

한계점 및 향후 과제
저자들은 본 연구가 현장 기반 연구가 아닌 문헌 유도 프레임워크임을 인정합니다. 결과는 인터뷰나 사례 연구가 아닌 출판된 자료를 바탕으로 하며, 인도 GCC에 집중된 지리적 초점이 일반화 가능성을 제한할 수 있습니다. 향후 과제로 전문가 패널 평가, 2~3개 GCC를 대상으로 한 파일럿 사례 연구, 그리고 금융(BFSI) 및 의료 분야를 위한 섹터별 최적화를 제안합니다.