“인증 맹신 버려라”... ISMS-P 개편, 양자 보안 위협 속 차세대 생존법

기업보안협, ‘2026년 제3차 시큐리티 라운드 테이블’ 개최... 유출 사고 이면의 관리 체계 맹점 진단
홍성권 나인시큐리티 대표 “ISMS-P는 보안의 시작점일 뿐 완벽한 예방 담보 못 해”
박유신 베이스스톤 대표 “공개키 의존하는 제로 트러스트 한계, 양자 동적 키로 극복”

[보안뉴스 조재호 기자] 최근 쿠팡 과징금 부과와 티빙 개인정보 유출 등 대규모 사고가 연이어 발생한 가운데, 정보보호 인증 제도의 한계를 짚어보고 다가올 양자 컴퓨팅 시대의 보안 패러다임을 모색하는 세미나가 열렸다.

▲한국기업보안협의회 회원들이 행사 후 기념촬영을 하고 있다 [출처: 보안뉴스]

한국기업보안협의회는 11일 서울 강남파이낸스타워 삼정KPMG 회의실에서 ‘2026년 제3차 시큐리티 라운드 테이블(Security Round Table)’를 개최했다. 이번 세미나에선 규제 준수를 넘어 진화하는 사이버 위협에 맞설 수 있는 실질적 방어 체계 구축과 제로트러스트 아키텍처의 구조적 맹점을 보완하는 양자 보안 기술 등의 내용이 다뤄졌다.

홍성권 나인시큐리티 대표는 ‘ISMS 인증제도 실효성 강화 방안 등 최근 정보보호 정책방향’을 주제로 한 발표에서 최근 개정된 개인정보보호 인증 체계인 ISMS-P 제도의 동향과 시사점을 분석했다.

홍 대표는 쿠팡 과징금 사례를 언급하며 “개인정보보호책임자(CPO)의 독립성 보장 여부가 향후 기업 보안 심사의 핵심 쟁점으로 부상했다”고 설명했다. 올 하반기부터 의무 대상 기업 심사에 취약점 점검 전문 인력이 투입되는 등 현장 실사 요건이 대폭 강화되지만, 인증 획득 자체가 보안 사고의 예방을 담보하지 않는다고 지적했다.

그는 “운전면허증이 있다고 교통사고가 안 나는 것은 아니”라며 “ISMS-P는 정보보호를 시작하기 위한 출발점일 뿐이며 기업 비즈니스 환경에 맞는 능동적 체계 수립이 필수적”이라고 말했다.

▲(왼쪽부터) 세미나를 진행한 홍성권 나인시큐리티 대표와 박유신 베이스스톤 대표 [출처: 보안뉴스]

박유신 베이스스톤 대표는 ‘양자 보안과 제로트러스트 구현 전략’을 주제로 기존 보안 시스템의 한계를 진단했다.

“절대 믿지 말고 지속적으로 검증하라”는 ‘제로 트러스트’의 핵심 철학이 아이러니하게도 양자 컴퓨팅 앞에 무력화될 수 있는 공개키(PKI) 기반 인증서에 전적으로 의존하고 있다는 지적이다.

더욱이 해커들이 천문학적 비용이 드는 암호 해독 대신 AI나 피싱을 이용해 사용자들을 속이고 로그인 이후 세션과 토큰을 탈취하는 우회 공격에 집중하고 있어 기존 게이트웨이 중심의 접근 통제만으로 방어가 불가능한 상황이다.

박 대표는 로그인 이전의 신원 확인을 넘어 세션이 유지되는 동안 지속적 검증이 가능한 동적 신뢰 모델을 대안으로 제시했다. 망을 전면 교체해야 해 비용 부담이 큰 양자키분배(QKD) 방식을 고집하지 않더라도, 양자 센싱 기술로 추출한 양자 엔트로피를 기반으로 실시간 동적 키를 생성해 피싱과 세션 탈취를 효과적으로 차단할 수 있다는 설명이다.

박 대표는 “앞으로 보안은 한 번 인증하는 것이 아니라 양자 내성을 갖춘 세션이 검증을 통해 계속 신뢰할 수 있는 상태를 유지하는 방향으로 진화해야 한다”고 말했다.

[조재호 기자(zephyr@boannews.com)]

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다