암호 자산 식별 및 관리

암호 자산 식별 (Cryptographic Inventory)

암호 자산 식별은 조직 내에서 사용되는 모든 암호화 알고리즘, 프로토콜, 라이브러리, 그리고 이들이 적용된 시스템 및 데이터를 체계적으로 목록화하는 과정이다. 이는 포스트퀀텀 암호(PQC)로의 전환을 준비하는 첫 번째 단계로, 보호 대상인 암호 알고리즘의 의존성을 명확히 파악하는 것이 핵심이다 [S1].

1. 주요 관리 대상

• 알고리즘 및 프로토콜: TLS, SSH, 코드 서명, 데이터 암호화(AES, RSA, ECC 등) 등.
• 인프라: 인증기관(CA), 키 관리 시스템(KMS), HSM, 클라우드 키 저장소.
• 소프트웨어: 암호화 라이브러리 버전(OpenSSL, BoringSSL 등) 및 정적/동적 연결 여부.

2. 암호 민첩성(Crypto-agility)

암호 민첩성은 코드 변경을 최소화하면서 암호화 알고리즘을 신속하게 교체할 수 있는 능력을 의미한다. 이를 위해 시스템은 특정 알고리즘에 하드코딩되지 않고, 설정 파일을 통해 알고리즘을 선택할 수 있는 추상화 계층을 가져야 한다.

3. 위험도 평가 기준

• 데이터 생명주기: 암호화된 데이터가 미래에도 비밀을 유지해야 하는가? (예: 지금 탈취하여 미래에 해독될 위험이 있는 데이터)
• 전환 난이도: 하드웨어 교체가 필요한가, 아니면 소프트웨어 업데이트만으로 충분한가?
• 규제 및 준수: NIST PQC 표준 적용 시기와의 정렬 여부.