미국 우주군(USSF)이 상업 위성 사이버보안 표준 프레임워크(CSCF) v2.0을 발표하며 양자 내성 암호화(Post-Quantum Cryptography) 적용과 소프트웨어 부품 명세서(SBOM) 제출을 새롭게 의무화했다. 국방부와 계약하는 모든 상업 위성 운용사는 2027년 12월까지 이 프레임워크를 준수해야 한다.

미국 우주군 사이버 작전국(CyberOps)이 발간한 상업 위성 사이버보안 표준 프레임워크(CSCF) v2.0은 위성 시스템의 설계, 개발, 운용, 폐기에 이르는 전 주기에 걸쳐 131개 보안 통제 항목을 규정한다. 이전 버전 대비 이번 v2.0의 가장 큰 변화는 미래 위협에 대한 선제적 대응에 초점을 맞췄다는 점이다.

v2.0의 핵심 신규 요건은 NIST 양자 내성 암호화(PQC, Post-Quantum Cryptography) 표준 적용이다. 구체적으로는 CRYSTALS-Kyber(키 캡슐화 메커니즘)와 CRYSTALS-Dilithium(전자서명 알고리즘)을 위성-지상국 간 통신 링크에 2028년까지 적용하도록 요구한다. 이는 양자 컴퓨터가 현재 널리 쓰이는 RSA, ECC 기반 암호 체계를 무력화할 수 있다는 전망에 대비한 조치로, 지금 암호화된 위성 통신 데이터를 저장했다가 향후 양자 컴퓨터로 해독하는 이른바 ‘지금 수집, 나중 해독(Harvest Now, Decrypt Later)’ 공격을 차단하기 위한 목적이다.

두 번째 주요 신규 요건은 소프트웨어 부품 명세서(SBOM, Software Bill of Materials) 제출 의무화다. 위성 탑재 소프트웨어에 사용된 오픈소스 및 제3자 컴포넌트 목록을 투명하게 공개하고, 이들 컴포넌트에서 새로운 취약점이 발견될 경우 실시간으로 모니터링하고 대응하는 체계를 갖춰야 한다. 이는 최근 몇 년간 소프트웨어 공급망 공격이 급증한 데 따른 대응으로, 위성 소프트웨어 생태계의 투명성을 높여 공급망 전반의 보안 수준을 끌어올리겠다는 의도다.

USSF는 또한 프레임워크 준수 여부를 외부에서 검증하기 위한 독립 인증 기관 지정 절차를 2026년 9월까지 완료할 계획이라고 밝혔다. 이는 자체 신고에 의존하던 기존 방식에서 벗어나 제3자 감사(third-party audit) 체계를 구축하는 것으로, 프레임워크의 실효성을 실질적으로 담보하는 조치다.

CSCF v2.0의 파급력은 미국에 그치지 않는다. **한국 항공우주청(KASA)**은 이 프레임워크를 참조 모델로 활용하여 국내 우주 사이버보안 가이드라인 개정 작업을 진행 중이라고 밝혔다. 상업 위성 시장이 글로벌 단일 생태계로 통합되는 상황에서 미국 우주군이 제시하는 보안 기준은 사실상 국제 표준의 역할을 하는 경향이 강하며, 한국을 비롯한 우주 선진국들이 이를 적극적으로 벤치마킹하고 있다.

이번 프레임워크는 상업 위성 산업이 단순한 기술 서비스 제공자에서 국가 안보 인프라의 일부로 재정의되고 있음을 보여주는 상징적인 문서다. PQC 도입 의무화와 SBOM 투명성 요건은 앞으로 위성 운용사들이 보안을 설계 단계부터 내재화(security by design)해야 한다는 방향성을 명확히 제시하며, 위성 사이버보안의 새로운 기준점을 제시하고 있다.

출처: U.S. Space Force — USSF Commercial Satellite Cybersecurity Standards Framework v2.0