Summary

  • GAO는 2024년 2월부터 2025년 9월까지 CFO법 대상 24개 연방기관을 감사했다. 자체 시스템에서 양자내성암호를 시험한 곳은 없었다. 한 기관은 공급업체 제품을 조사했지만 시험하지 않았다. 다른 23곳은 시험 준비조차 시작하지 않았다.
  • 2022년 OMB 지침은 취약한 암호체계의 목록, 비용 평가와 기관 환경에서의 시험을 요구했다. NIST는 2024년 8월 첫 핵심 표준을 확정했다. 남은 과제는 각 기관의 실제 시스템에서 작동한다는 증거다.

인쇄된 표준은 낡은 인터페이스를 모른다

GAO 공개 보고서는 2026년 10월 6일 나왔고 14일 설명이 명확해졌다. 감사 기간은 2024년 2월부터 2025년 9월까지다. ‘시험 0건’은 그때 조사한 24개 기관에 대한 결론이지 2026년 11월의 새로운 현황 조사가 아니다. 시점을 정확히 묶어도 의미는 뚜렷하다. 전환을 준비해야 할 기간에 운영 환경에서 얻은 시험 결과가 한 건도 없었다.

미국 관리예산처(OMB)는 2022년 11월 세 가지를 요구했다. 취약한 암호를 쓰는 우선순위 시스템을 찾고, 전환 비용을 따져 보고, 기관 시스템에서 새 암호를 시험하라는 것이었다. NIST는 2024년 8월 키 설정을 위한 FIPS 203 등 첫 핵심 표준을 확정했다. 표준은 어떤 수학을 구현할지 정한다. 오래된 장비가 새 키 크기를 받아들이는지, 인증이 끊어지는지, 문제가 생겼을 때 누가 서비스를 되돌리는지는 현장 시험에서만 드러난다.

한 기관은 공급업체의 구현 후보를 찾기 위해 시장조사를 했다. 그러나 자체 환경에 적용해 보지는 않았다. 다른 23개 기관은 GAO가 평가한 시험 준비 활동조차 수행하지 않았다. 제품 목록은 구매 담당자에게 도움이 된다. 실제 서비스가 그 제품과 함께 돌아가는지 보여 주는 자료는 아니다. 두 서류를 같은 진척으로 취급하는 순간 위험은 일정표 뒤로 숨는다.

‘자율’이라는 해석은 누구의 시간을 아꼈나

16개 기관은 업체들이 아직 표준을 제품에 통합 중이어서 후보 선정이나 시험은 이르다고 답했다. 국가사이버국장실 관계자들은 기관별 시험이 자율적이며 자원이 부족하다고 설명했다. GAO는 관리예산처 지침이 시험을 자율적이라고 규정하지 않았다고 지적했다. 완성된 상용제품이 나오기 전에도 오픈소스 도구로 시제품을 시험할 수 있었다는 것이다. 논쟁의 실체는 문구가 아니다. 기관이 자기 시스템의 결함을 언제 직접 찾아낼 것인지에 관한 결정이다.

시험 이전에 필요한 목록도 불완전했다. 24개 기관 중 목록 작성 과제를 모두 마친 곳은 한 곳뿐이었다. 한 곳은 우선순위 시스템 목록이 아예 없었다. 나머지 22곳의 목록은 일부만 채워져 있었다. GAO는 별도로 선정한 6개 기관에서 취약 알고리즘 기록의 정확성을 확인했는데, 6곳 모두 그 특정 기준을 완전히 충족하지 못했다. 이 6개 기관의 정확성 결과를 24곳 전체에 확대하면 안 된다. 전체 목록의 완성도만 보아도 전환 대상이 충분히 특정되지 않았다는 점은 알 수 있다.

비용 평가를 완전히 수행한 기관은 없었다. 21곳은 부정확한 자료를 포함한 부분 평가를 냈고, 3곳은 평가를 내지 않았다. 완전한 우선순위 시스템 목록에 기반한 평가는 하나뿐이었다. 관리예산처와 국가사이버국장실은 이 금액이 예산 청구액이 아니라 정책 판단용 추정치라고 설명했다. 문제는 추정치가 시험 결과를 대신할 수 없다는 데 있다.

GAO의 공식 보고서 전문은 시간상의 위험도 구분한다. 현재의 양자컴퓨터는 해당 암호를 깨지 못한다. 앞으로 충분히 강력한 기계가 나오면 가능할 수 있다. 지금 수집된 암호화 자료가 그때까지 민감하다면, 전환 지연은 그 자료의 보호 기간을 줄인다. 확인되지 않은 현재의 공격을 꾸며낼 필요 없이, 준비 시간을 잃는 것만으로 문제는 충분히 크다.

GAO는 2025년 9월 민감 보고서에서 89개 권고를 제시했다. 2026년 10월 공개판에는 새 권고가 없었다. 이제 볼 것은 권고의 개수보다 날짜가 찍힌 시스템 목록이다. 기관 안에서 시제품을 시험했는지, 어떤 호환성 오류가 나왔는지, 누가 맡았는지, 비용이 어떻게 바뀌었는지도 확인해야 한다. 공통의 초기 규격 뒤에 지역별 구현과 검증이 필요하다는 Heng Lu의 논의는 이 책임 구조를 읽는 관점이다. 미국 정부에 관한 사실은 GAO와 NIST의 원자료에서 확인했다.

Sources