[논문 리뷰] PMMP -- PQC Migration Management Process

Nils von Nethen, Alexander Wiesmaier외 2명|arXiv (Cornell University)|2023. 01. 11.

Big Data and Business IntelligenceBusiness, Management and Accounting인용 수 3

한 줄 요약

PMMP는 기업 거버넌스와 통합된 위험 기반의 프로세스로, 고전적 암호 기술에서 양자컴퓨터 대비 암호 기술(PQC)으로의 이행을 관리하는 데 중점을 두며, 암호 유연성(crypto-agility)과 기업 거버넌스와의 일치성을 강조한다. 이는 IT 시스템 전반에 걸쳐 PQC 이행을 식별하고 평가하며 구현하기 위한 체계적이고 확장 가능한 프레임워크를 제공하며, 주요 기여는 기업 전역의 양자 저항성에 대비한 표준화되고 실행 가능한 이행 라이프사이클을 제공하는 데 있다.

ABSTRACT

Organizations have to plan on migrating to quantum-resilient cryptographic measures, also known as PQC. However, this is a difficult task, and to the best of our knowledge, there is no generalized approach to manage such a complex migration for cryptography used in IT systems that explicitly integrates into organizations' steering mechanisms and control systems. We present PMMP, a risk-based process for managing the migration of organizations from classic cryptography to PQC and establishing crypto-agility. Having completed the initial design phase, as well as a theoretical evaluation, we now intend to promote PMMP. Practitioners are encouraged to join the effort in order to enable a comprehensive practical evaluation and further development.

연구 동기 및 목표

• 고전적 암호 기술에서 양자컴퓨터 대비 암호 기술(PQC)으로의 이행을 위한 일반화되고 기업 전역의 접근 방식이 부족한 문제를 해결하기 위해.
• PQC 이행을 기존의 기업 주도 체계와 통제 시스템에 통합하기 위해.
• 암호 유연성과 장기적인 암호 보안을 지원하기 위해 표준화되고 반복 가능한 프로세스를 수립하기 위해.
• 실무자 참여를 통해 실질적 평가와 점진적 개선을 가능하게 하기 위해.
• 복잡한 IT 시스템 전반에 걸쳐 PQC를 식별하고 평가하며 구현하기 위한 체계적인 라이프사이클을 제공하기 위해.

제안 방법

• 기업 환경에 맞게 조정된 위험 기반의 단계별 이행 프로세스로 PMMP를 제안하기 위해.
• 평가, 계획 수립, 구현, 검증, 모니터링의 정의된 단계로 프로세스를 구성하기 위해.
• 기존의 IT 거버넌스 및 위험 관리 프레임워크에 PQC 이행을 통합하기 위해.
• 모듈화된 암호 설계와 구성 요소 분리로 암호 유연성을 강조하기 위해.
• 감염성과 양자 위험 노출도 기반으로 시스템 우선순위를 정하기 위해 위협 모델링과 자산 목록을 활용하기 위해.
• NIST PQC 최종 후보 및 업계 지침과 일치시켜 상호운용성과 표준화를 지원하기 위해.

실험 결과

연구 질문

• RQ1 기업은 어떻게 체계적으로 대규모로 고전적 암호 기술에서 양자컴퓨터 대비 암호 기술(PQC)로의 전환을 관리할 수 있는가?
• RQ2 기존의 기업 거버넌스 및 통제 체계에 PQC 이행을 통합할 수 있는 프로세스 프레임워크는 무엇인가?
• RQ3 장기적인 보안성을 확보하기 위해 암호 유연성이 이행 라이프사이클에 어떻게 통합될 수 있는가?
• RQ4 이질적인 IT 시스템 전반에서 이행 노력을 최적화하기 위해 위험 기반 우선순위 설정은 어떤 역할을 하는가?
• RQ5 실제 환경에서 실무자들이 협업하여 PQC 이행 프로세스를 검증하고 개선할 수 있는 방법은 무엇인가?

주요 결과

• PMMP는 이론적 PQC 표준과 기업의 구현 간 격차를 메우는 종합적인 위험 기반 프레임워크를 제공한다.
• 프로세스는 기존 조직의 통제 및 주도 메커니즘에 통합되도록 설계되어 있어 도입과 준수를 강화한다.
• PMMP는 암호 유연성을 核심 원칙으로 강조하여 향후 암호 변경에 대비해 대규모 재설계 없이도 시스템이 적응할 수 있도록 한다.
• 위협 모델링과 암호 위험 노출도 기반으로 핵심 자산 우선순위를 정의하는 데 프레임워크가 지원한다.
• 저자들은 실무자 참여를 통해 프로세스의 실질적 검증과 점진적 개선을 가능하게 하기를 권장한다.
• PMMP는 지속적인 개발이 이루어지는 살아있는 표준으로 위치지어지며, 실제 구현 경험과 피드백에 의해 주도된다.