디지서트 유수정 프로. K-CTI 2026
국내 최대 사이버위협 인텔리전스 전문 컨퍼런스인 ‘제13회 대한민국 사이버위협·침해사고대응 인텔리전스 컨퍼런스(K-CTI 2026)’가 4월 7일 서울 코엑스 3층 컨퍼런스룸 E에서 열렸다. 이번 행사는 데일리시큐가 주최하고 한국인터넷진흥원(KISA), 한국정보보호산업협회(KISIA)가 후원했으며 정부와 공공기관, 지자체, 교육기관, 금융기관, 의료기관, 일반기업의 정보보안 책임자와 실무자 1,000여 명이 참석했다.
이날 디지서트(DigiCert. 지사장 나정주) 유수정 프로는 ‘Intelligent Trust: 인증서 유효기간 단축, 양자내성암호, AI 공격으로부터 어떻게 기업의 신뢰를 준비할 것인가’를 주제로 강연하며, 기업 보안의 중심축이 네트워크나 애플리케이션 자체를 넘어 ‘디지털 신뢰’ 관리 체계로 이동하고 있다고 진단했다.
유 프로는 지금 기업들이 맞닥뜨린 변화가 단순한 인증서 관리 문제를 넘어서는 구조적 전환이라고 설명했다. 그는 인증서 유효기간 단축, 양자내성암호(PQC) 전환, AI 신뢰 확보, 폭증하는 머신 아이덴티티 등 네 가지 흐름이 한꺼번에 밀려오고 있다고 짚었다. 특히 사람보다 훨씬 많은 머신 아이덴티티가 기업 환경에 존재하는 상황에서, 기존의 수작업 중심 인증서 운영 방식으로는 더 이상 복잡성을 감당하기 어렵다고 강조했다. 그의 자료에 따르면 조직당 평균 인증서 수는 25만6,000개 수준이며, 사용자 대비 머신 아이덴티티는 100배 규모로 늘어나고 있다. 반면 PKI를 제대로 다룰 수 있는 전문 인력은 충분하지 않아 운영 부담은 더욱 커지고 있다고 설명했다.
유수정 프로 강연시간. K-CTI 2026
인증서 단축 시대, 운영 부담은 이미 현실이 됐다
이날 강연에서 가장 큰 관심을 끈 주제 중 하나는 TLS 인증서 유효기간 단축이었다. 유 프로는 CA/B 포럼 결정에 따라 인증서 최대 유효기간이 현재 398일에서 2027년 200일, 2029년에는 47일까지 줄어드는 방향이 확정됐다고 설명했다. 최대 검증 데이터 재사용 기간도 함께 짧아지기 때문에 기업은 인증서 발급과 검증, 배포, 갱신 작업을 지금보다 훨씬 자주 반복해야 하는 상황에 놓이게 된다. 이는 단순히 인증서를 더 자주 바꾸는 수준이 아니라, 인증 체계 전반을 자동화하지 않으면 운영이 버티기 어려운 구조로 바뀐다는 의미라고 진단했다.
강연 자료
유 프로는 수동 갱신 절차가 이미 한계에 도달했다고 설명했다. 인증서 하나를 갱신하려면 인증서 위치 파악, 키쌍 및 CSR 생성, 승인 요청, 도메인 검증 조율, 다수 시스템 설치, 재시작과 유지보수, 테스트, 문서 갱신까지 여러 단계가 반복된다. 이 과정은 인증서 한 건당 2~4시간이 걸릴 수 있으며, 여러 담당자와 시스템이 얽히면 실제 소요 시간은 일 단위로 늘어날 수 있다고 했다. 문제는 인증서가 많아질수록 이런 반복 작업이 기하급수적으로 증가한다는 점이다. 소형 기업도 향후 연간 수십~수백 회 수준의 갱신이 필요하고, 대기업은 연간 수천 회의 갱신 작업을 감당해야 할 수 있다고 설명했다. 인증서 하나라도 갱신에 실패하면 서비스 장애, 매출 손실, 평판 하락, 고객 서비스 중단으로 이어질 수 있다는 점도 함께 경고했다.
그는 이런 변화 앞에서 기업이 선택해야 할 방향은 분명하다고 말했다. 더 이상 인증서를 개별 시스템 단위로 임시 대응해서는 안 되며, 기업 전체 PKI를 중앙에서 파악하고 정책을 강제하며 자동화하는 방향으로 현대화해야 한다는 것이다. 특히 어디에 어떤 인증서가 존재하는지 인벤토리를 정확히 확보하고, 누가 어떤 인증서를 책임지는지 명확히 지정하며, 만료 전 사전 통지와 자동 교체 체계를 갖추는 일이 핵심 과제로 제시됐다.
"양자내성암호 전환, 미룰수록 비용과 위험 커져"
유 프로는 양자 컴퓨팅이 아직 먼 미래의 이야기라고 보는 시각도 있지만, 실제 보안 전략은 지금부터 준비해야 한다고 강조했다. 그는 양자 컴퓨터가 기존 공개키 기반 암호체계에 실질적 위협이 될 가능성이 커지고 있으며, 포스트 양자 암호는 이미 연구 단계가 아니라 도입 단계에 들어섰다고 설명했다. 특히 ‘지금 수집해 두고 나중에 복호화하는’ 이른바 ‘Harvest Now, Decrypt Later’ 위협은 민감한 데이터를 장기간 보호해야 하는 기업과 기관에 매우 현실적인 문제라고 짚었다. 현재는 안전해 보이는 통신도 미래의 양자 환경에서는 복호화 대상이 될 수 있기 때문이다.
그는 미국과 유럽, 영국, 캐나다, 일본, 싱가포르, 한국 등 주요 국가들이 이미 PQC 준비 로드맵과 정책 가이드를 마련하며 단계적 전환에 들어가고 있다고 설명했다. 우리나라 역시 한국인터넷진흥원과 국가 차원의 양자내성암호 준비 흐름이 이어지고 있는 만큼, 기업도 이를 단순 연구 과제가 아닌 실제 전환 계획으로 받아들여야 한다고 말했다. 특히 퍼블릭 PKI뿐 아니라 프라이빗 PKI, 서버 인증서, 디바이스 인증서, 코드 서명, 콘텐츠 서명까지 폭넓게 영향을 받는 만큼, 양자내성암호 대응은 특정 장비 교체가 아니라 신뢰 인프라 전체를 다시 설계하는 작업에 가깝다고 설명했다.
이 과정에서 중요한 것은 기술 선택만이 아니라 ‘크립토 애질리티(Crypto Agility)’라고도 강조했다. 즉 특정 알고리즘에 오래 고정되는 구조가 아니라, 향후 표준 변화와 위협 수준 변화에 맞춰 암호 체계를 유연하게 바꿀 수 있는 운영 구조를 먼저 마련해야 한다는 것이다. 유 프로는 기업들이 인증서 유효기간 단축 대응과 PQC 전환을 별개로 볼 것이 아니라, PKI 현대화라는 하나의 과제로 함께 추진해야 한다고 설명했다.
강연자료
AI 시대의 신뢰, 콘텐츠·모델·에이전트까지 검증해야
유 프로는 디지털 신뢰의 또 다른 축으로 AI 신뢰 문제를 제시했다. 생성형 AI와 AI 에이전트가 빠르게 확산되면서, 이제 기업은 사람과 서버, 기기뿐 아니라 AI가 만들어내는 결과물과 AI 자체의 정체성도 검증해야 하는 시대를 맞았다고 설명했다. 그는 신뢰 가능한 콘텐츠를 위해서는 출처와 변경 이력, 메타데이터를 위변조 방지 형태로 보장하는 서명된 콘텐츠 자격증명이 필요하다고 했다. 단순히 문서나 이미지가 생성됐다는 사실만으로는 부족하고, 누가 만들었고 어떤 경로를 거쳤으며 중간에 변조되지 않았는지를 확인할 수 있어야 한다는 의미다.
또 엔터프라이즈 환경에서 사용하는 AI 모델 역시 신뢰 기반으로 관리돼야 한다고 강조했다. 구성 요소 목록, 소스, 학습 데이터, 보안 상태, 컴플라이언스 정보를 함께 검증할 수 있어야 하며, 그래야만 기업이 안심하고 AI를 업무에 도입할 수 있다고 설명했다. 나아가 AI 에이전트는 단순 프로그램이 아니라 별도 신원과 권한, 회수 절차, 감사 로그 관리가 필요한 운영 대상이라고 했다. 결국 앞으로의 신뢰는 사람 사용자 계정만 관리한다고 끝나는 것이 아니라, 콘텐츠와 모델, 에이전트의 전체 라이프사이클을 검증 가능한 상태로 유지하는 데서 확보된다고 진단했다.
이날 유 프로는 이런 복합적 과제에 대응하기 위해서는 단일 포인트 솔루션보다 기업 전반의 신뢰 생태계를 연결하는 플랫폼 접근이 필요하다고 설명했다. 서버, 디바이스, 사용자, 애플리케이션, 문서, DevOps, API, HSM과 볼트까지 서로 분리된 자산을 통합적으로 관리해야 하며, 퍼블릭 클라우드와 프라이빗 클라우드, 온프레미스가 혼재된 환경에서도 일관된 정책과 자동화를 적용할 수 있어야 한다고 했다. 특히 인증서 가시성 확보, 중앙 거버넌스, 위험 우선순위 기반 알림, 프로토콜과 API 기반 자동화는 앞으로 기업 신뢰 운영의 기본 요소가 될 것이라고 덧붙였다.
유수정 프로는 기업이 지금 준비해야 할 것은 단순한 인증서 갱신 대응책이 아니라, 미래 위협을 전제로 한 신뢰 운영 체계의 재설계라고 거듭 강조했다. 그는 “인증서 유효기간 단축은 이미 확정된 변화이고, 양자내성암호 전환과 AI 신뢰 문제도 더 이상 미룰 수 없는 과제가 됐다”며 “지금 필요한 것은 개별 문제를 따로 보는 대응이 아니라, 기업 전체의 디지털 신뢰 체계를 자동화하고 현대화하는 전략”이라고 말했다. 이어 “앞으로의 보안은 시스템을 지키는 수준을 넘어, 기업이 제공하는 모든 디지털 상호작용의 신뢰를 어떻게 증명할 것인가의 문제로 바뀌고 있다”고 강조했다.
댓글
0