11월 양자보안체계 구축 의무화…PQC 비검증 알고리즘 탑재 KCMVP 모듈 기업은?
[파이낸셜뉴스] 정부·지자체·공공기관에 양자보안체계 구축을 의무화한 양자기술산업법 개정안이 오는 11월 20일 시행되는 가운데 국가 암호모듈 검증(KCMVP)을 받은 암호모듈에 양자내성암호(PQC)를 비검증대상 알고리즘으로 탑재한 기업에 관심이 몰린다.
15일 관련업계에 따르면 개정안은 지난 4월 23일 국회 본회의를 통과하고 5월 12일 국무회의에서 의결됐으며, 같은 달 19일 공포돼 6개월 후인 11월 20일부터 시행된다.
개정법 제18조의2는 중앙행정기관과 지자체, 공공기관이 과학기술정보통신부·국가정보원의 기술지침에 따라 PQC나 양자키분배(QKD) 등 양자보안체계를 구축하도록 의무화했다. 적용 대상 시스템과 이행 일정 등 세부 기준은 시행령·시행규칙으로 정해질 예정이다. 2026년 기준 공공기관은 342곳이며, 중앙행정기관과 지자체까지 더하면 대상은 600곳을 넘는다.
공공기관용 보안 제품에는 국정원의 KCMVP 검증을 받은 암호모듈이 활용된다. 다만 현재 PQC 알고리즘은 KCMVP 검증대상 암호알고리즘에 포함돼 있지 않아 KCMVP 검증을 받은 암호모듈에 PQC가 탑재돼 있더라도 해당 PQC 기능 자체가 KCMVP 검증을 받은 것은 아니다.
최근 언론 보도 등에 따르면, 지난 8월 10일 집계한 바에 따르면 국가 암호모듈 검증(KCMVP) 모듈에 PQC를 비검증대상 알고리즘으로 탑재한 기업은 한컴위드(IQNUS Crypto v1.0·2025년 1월 13일), 엑스게이트(PQC 하이브리드 암호모듈·2026년 4월 21일), 아이티센피엔에스(EdgeCrypto v4.2·2026년 7월 29일) 등으로 알려졌다.
이들 암호모듈은 KCMVP 검증을 받았지만 탑재된 PQC 기능은 검증 범위 밖에 있다는 의미다. 이에 따라 현재 국내에는 PQC 알고리즘 자체가 KCMVP 검증을 받은 제품은 없는 것으로 파악된다. 향후 PQC가 국가 검증대상 암호알고리즘에 포함되는지와 관련 인증·조달 기준이 어떻게 마련되는지가 시장 확대의 주요 변수가 될 전망이다.
기술 자산이 부족한 것은 아니다. 지식재산처에 따르면 PQC 표준 핵심기술 관련 IP5 특허출원(1997년~2024년 6월)에서 한국은 101건으로 2위인 미국(48건)의 두 배가 넘는 세계 1위이며, 국가공모전을 통해 독자 알고리즘 4종도 확보했다.
업계 관계자는 "알고리즘 개발과 상용 모듈 구현, 국가 검증은 각각 별개의 장벽"이라며 "특허와 기술 확보가 실제 검증 제품과 공공 조달로 이어지기까지는 상당한 시차가 있을 수 있다"고 말했다.
[email protected] 김경아 기자
