[해외보안뉴스] 주요 의료 시스템, 양자 후 암호(PQC) 시대 대비 심각하게 부족
· 2026-10-11 10:00
· 조회 15
· 원문 ↗
50개 의료 기관의 약 250만 대 기기를 대상으로 진행된 최근 연구 결과에 따르면, 의료 분야가 양자 컴퓨터 시대에 대응하기 위한 양자 후 암호(PQC, Post-Quantum Cryptography) 도입 준비가 매우 미흡한 것으로 나타났습니다. 양자 컴퓨터가 상용화되면 현재 민감한 의료 데이터를 보호하는 데 사용되는 기존 공개키 암호화 알고리즘(RSA, ECC 등)이 무력화될 수 있으나, 의료 산업 전반의 암호화 전환 작업은 여전히 초기 단계에 머물러 있습니다.
이번 영향은 병원 내 네트워크에 연결된 광범위한 의료 기기와 IoT 장비, IT 인프라 전반에 미칩니다. 특히 환자의 생명 및 개인정보와 직결된 의료 자산들이 구형 암호 알고리즘을 사용하고 있거나 암호화 자산 관리가 불투명한 상태로 노출되어 있습니다. 공격자가 향후 양자 컴퓨터로 해독하기 위해 현재의 암호화된 데이터를 미리 수집하는 '지금 수집하고 나중에 해독(SNDL, Store Now, Decrypt Later)' 전략을 사용할 경우, 환자의 민감한 의료 기록 유출 및 의료 시스템 마비 등 심각한 피해가 발생할 수 있습니다.
의무적인 양자 보안 규제와 기술 변화에 대응하기 위해 의료 기관은 조속히 '암호화 민첩성(Crypto-Agility)' 체계를 구축해야 합니다. 먼저 조직 내 구형 암호화 알고리즘, 키, 인증서 및 연결된 모든 디바이스에 대한 정밀한 암호화 자산 인벤토리를 작성하여 가시성을 확보해야 합니다. 아울러 미국 표준기술연구소(NIST)의 양자 후 암호화 표준 제정에 발맞추어 하드웨어 및 소프트웨어 공급업체와 협력해 암호화 알고리즘을 용이하게 교체할 수 있는 마이그레이션 로드맵을 수립하고 단계별 전환 조치를 이행해야 합니다.
의료 분야는 레거시 시스템과 임베디드 기기 비율이 높아, 하드코딩된 암호화 알고리즘을 PQC(양자후암호)로 교체하기가 아키텍처적으로 매우 까다롭습니다. 특히 펌웨어 업데이트가 제한적인 메디컬 디바이스는 암호 모듈 하나를 바꾸는 데도 시스템 전체를 리팩토링해야 하는 리스크가 있습니다. 지금부터라도 코드베이스에 '암호화 민첩성(Crypto-Agility)'을 고려한 추상화 레이어를 적용하고, SBOM을 통해 사용 중인 암호화 모듈부터 전수 조사해야 합니다.
공격자 관점에서 의료 분야의 양자 암호 준비 부족은 '지금 탈취하고 나중에 해독(Harvest Now, Decrypt Later)'하는 공격 전략을 적용하기 가장 좋은 표적입니다. 특히 펌웨어 업데이트가 어려운 레거시 의료기기(IoMT)들은 포스트 양자 암호(PQC) 알고리즘 적용이 늦어져 장기간 방치된 공격 표면이 될 것입니다. 결국 양자 기술이 실용화되는 순간, 공격자들은 별도의 복잡한 익스플로잇 없이도 과거에 탈취해 둔 암호화된 민감 의료 데이터를 한꺼번에 무력화할 수 있습니다.
양자 컴퓨팅 시대의 암호 해독 위협은 '선수집 후해독(Harvest Now, Decrypt Later)' 공격 형태로 이미 시작되었으며, 민감 데이터를 다루는 모든 조직에 심각한 거버넌스 리스크입니다. 이는 단순한 기술 교체가 아닌, 암호 민첩성(Crypto-Agility) 확보와 보유 자산의 암호화 현황 식별을 포함한 장기적 전략이 필요함을 시사합니다. 우리 기업 또한 PQC(양자후암호) 표준화를 대비해 자산 로드맵을 재정비하고 공급망 보안 정책을 선제적으로 강화해야 합니다.