CISA의 공급업체에 물어볼 포스트 양자 질문, 준비 완료 주장에 대한 검증 강화
CISA와 호주 및 미국의 협력 기관들은 광범위한 양자 대비 약속을 더 면밀히 검토하도록 하는 공급업체 질문을 공개했습니다. Post-Quantum Questions to Ask Your Vendors는 고객에게는 마이그레이션 계획이 필요하지만, 많은 기저 보안 결정은 공급업체가 통제한다는 실질적인 갈등을 다룹니다. 포스트 양자 암호(PQC)는 기존 컴퓨터와 양자 컴퓨터 모두의 공격에 견디도록 설계된 암호화 방식을 뜻합니다.
호주 신호국(Australian Signals Directorate)의 Australian Cyber Security Centre는 CISA 및 국가안보국(National Security Agency)과 함께 이 지침을 작성했습니다. 해당 공개 페이지에는 최초 게시일이 2026년 7월 16일, 최신 검토일이 11월 5일로 기재되어 있습니다. 함께 공개된 11월 자료는 이를 현재의 조달 이슈로 만들지만, 전체 문서가 이달에 처음 게시되었다는 점까지 입증하지는 않습니다.
핵심 긴장은 공급업체의 일반적인 준비 완료 주장과 고객이 실제로 운영하는 제품을 포괄하는 증거 사이에 있습니다. NIST가 완료한 표준은 기술적 기준점을 제공하지만, 고객에게는 배포 가능한 소프트웨어, 호환되는 종속성, 책임 있는 담당자도 여전히 필요합니다. 기업 구매자에게 이 격차는 미래의 컴퓨팅 위협을 지금 이루어지는 계약 및 아키텍처 결정과 연결합니다.
Post-Quantum Questions to Ask Your Vendors, 논의를 조달로 옮기다
공동 공급업체 준비 상태 지침은 공급업체 평가를 구매, 갱신 및 지속적인 보증과 연결합니다. 질문은 암호화 종속성 식별에서 시작해 위험 평가, 우선순위 설정, 구현, 커뮤니케이션으로 이어집니다. 함께 제공되는 참고 목록은 이러한 논의를 더 쉽게 구조화할 수 있게 합니다.
실질적인 변화는 새로운 암호 기술의 발명이 아니라 공급업체 주장을 검토하기 위한 공통의 기반입니다. 구매자는 이 문서를 이용해 일관된 기대치에 비추어 답변을 비교할 수 있습니다. 다만 이 문서의 존재가 특정 공급업체가 그러한 기대치를 충족한다는 사실을 입증하는 것은 아닙니다.
이 구분은 조달 결정이 그 결정을 낳은 논의보다 더 오래 지속되는 경우가 많기 때문에 중요합니다. 안심시키는 프레젠테이션은 계약 갱신에 영향을 줄 수 있지만, 구현 팀에는 해결되지 않은 가정을 남길 수 있습니다. 그 결과 문제는 업그레이드가 필요해졌을 때 나타나며, 책임 소재는 여전히 불분명할 수 있습니다.
관리형 문서 서비스를 갱신하는 가상의 기업을 생각해 보겠습니다. 공급업체는 양자 대비가 로드맵에 포함되어 있다고 말합니다. 조달 부서는 그 답변을 기록하고, 보안 부서는 그 방향을 수용하며, 사업 부서는 다시 계약을 체결합니다.
이러한 대화는 여러 해석을 남깁니다. 공급업체가 내부 연구 프로젝트, 예정된 제품 출시 또는 고객 구성이 필요한 사용 가능한 기능을 의미했을 수 있습니다. 각 해석은 서로 다른 마이그레이션 일정을 뒷받침합니다.
따라서 구매자의 문제는 부분적으로 증거의 문제입니다. 어떤 진술이 계획 수립의 입력값이 되려면 충분한 맥락이 필요합니다. 그러한 맥락이 없으면 팀은 유용한 약속과 단순한 포부를 구분할 수 없습니다.
이것이 Post-Quantum Questions to Ask Your Vendors의 분석적 가치입니다. 이 문서는 구매자가 대화를 제품 범위와 운영상 결과로 옮기도록 돕습니다. 문서 자체가 누락된 증거를 제공하거나 공급업체가 납품하도록 만들 수는 없습니다.
의미 있는 답변에는 경계도 필요합니다. 공급업체는 자신의 진술이 어떤 서비스, 배포 모델 및 고객 구성에 적용되는지 설명할 수 있어야 합니다. 그렇지 않으면 서로 다른 팀이 서로 다른 시스템을 가리키면서 같은 보증을 반복할 수 있습니다.
이 구분은 조달 부서가 확신을 해석하는 방식을 바꿉니다. 조직이 결과를 이해한다면, 특정 격차를 인정하는 답변도 의사결정을 뒷받침할 수 있습니다. 범위 없는 열정적인 답변은 계획 수립에 덜 유용합니다.
그렇다고 모든 계약 논의가 암호 기술 시험이 되는 것은 아닙니다. 사업 목표는 여전히 필요를 충족하는 서비스를 선택하고 운영하는 것입니다. 기술 세부 사항은 배포 시점, 대체 선택지 또는 책임 소재를 바꿀 때 중요해집니다.
이 지침은 구매자에게 그 논의를 위한 공통 출발점을 제공합니다. 더 큰 효과는 조직이 답변을 실제 의사결정과 연결하는지에 달려 있습니다. 아무것도 바꾸지 않는 작성 완료 설문지는 행정적 산출물에 불과합니다.
기존 표준이 제품 팀에 가하는 압력
NIST는 2024년 8월 13일 첫 세 가지 PQC 표준을 확정했습니다. NIST의 포스트 양자 표준 발표는 관리자가 전환을 시작하도록 권고했습니다. 이 이정표는 표준화된 기술 선택지를 마련했지만, 구현 작업은 제품을 구축하고 운영하는 조직에 남겼습니다.
표준의 가용성은 구매자의 질문을 제공, 호환성 및 적용 범위로 옮깁니다. 공급업체는 특정 고객에게 적합한 프로덕션 릴리스를 아직 보유하지 않은 상태에서도 표준을 인정할 수 있습니다. 반대로 사용 가능한 구현이라도 고객 환경 안에서 평가가 필요합니다.
압력은 서로 다른 책임을 지는 여러 집단에 가해집니다. 제품 관리자는 무엇을 출시할지 정의해야 합니다. 엔지니어링 팀은 종속성을 설명해야 하며, 고객 대응 팀은 가용성을 정확하게 설명하는 언어가 필요합니다.
구매자에게 이러한 차이는 조정 문제를 만듭니다. 영업 답변은 회사의 방향을 설명할 수 있는 반면, 관리자는 지원되는 릴리스에 대한 지침이 필요합니다. 어느 진술도 다른 진술을 대체하지는 못합니다.
그 격차는 일반적인 기업 배포를 통해 이해할 수 있습니다. 고객의 내부 애플리케이션이 이를 사용할 수 있기 전에 공급업체가 업데이트된 서비스를 제공한다고 가정해 보겠습니다. 공급업체는 실제 무언가를 제공했지만, 고객에게는 아직 완료되지 않은 마이그레이션 작업이 남아 있습니다.
이 가상 사례는 출시일과 완료일을 별도로 다뤄야 하는 이유를 보여줍니다. 가용성은 배포 기회를 시작합니다. 그것이 구성, 테스트, 승인 및 롤아웃이 이미 이루어졌음을 입증하지는 않습니다.
같은 논리는 지원 환경에도 적용됩니다. 호스팅 서비스에서 사용할 수 있는 기능이 별도로 관리되는 설치 환경에서도 자동으로 사용할 수 있음을 뜻하지는 않습니다. 구매자는 공급업체의 답변이 자신이 소유한 환경과 일치해야 합니다.
이는 마이그레이션이 끝나기 전에도 상업적 결과를 만듭니다. 범위를 명확히 설명하는 공급업체는 고객의 계획 수립을 쉽게 합니다. 광범위한 최종 목적지만 전달하는 공급업체는 구매자가 빠진 단계를 추정하게 만듭니다.
그에 따른 비교는 경쟁 발표의 열정보다 증거에 초점을 맞춰야 합니다. 정확한 문서를 갖춘 제한적 기능은 광범위한 약속보다 평가하기 쉬울 수 있습니다. 그렇다고 제한된 적용 범위가 충분하다는 뜻은 아닙니다. 남은 작업을 가시화할 뿐입니다.
기업 구매자에게 가시성은 내부 예산 편성도 지원합니다. 종속성이 알려진 프로젝트는 계획 절차에 들어갈 수 있습니다. 미래 준비 상태로만 설명되는 프로젝트는 엔지니어링 시간을 확보하기 어렵습니다.
표준화된 알고리즘을 어려운 부분으로, 통합을 일상적인 후속 작업으로 취급하고 싶은 유혹이 있습니다. 조달 관점에서 통합은 구매한 서비스가 조직의 요구를 충족하는지를 결정합니다. 기술적 성숙도와 운영 준비 상태에는 별도의 판단이 필요합니다.
따라서 당면한 질문은 구체적입니다. 공급업체의 현재 릴리스로 이 고객은 무엇을 배포할 수 있는가? 다음 질문은 그 배포가 신뢰할 수 있게 되기 전에 여전히 필요한 모든 것에 관한 것입니다. 로드맵이 계약상 가정이 되기 전에 둘 다 답변을 받아야 합니다.
브라우저의 진전이 적용 범위에 경계가 필요한 이유를 보여주다
Google의 초기 브라우저 전환은 유용한 역사적 비교를 제공합니다. 2024년 9월 Chrome 팀은 실험적 Kyber 지원을 공유 비밀 키를 설정하는 메커니즘인 표준화된 ML-KEM으로 교체한다고 설명했습니다. Google은 확정 버전이 이전 배포와 호환되지 않는다고 밝혔습니다.
회사의 ML-KEM 전환 설명은 이 변경을 Chrome 131 및 그에 상응하는 서버 업데이트와 연결했습니다. 이는 이름이 명시된 소프트웨어와 호환성 결과를 갖춘 구체적인 구현 전환이었습니다. 이는 범위가 정해진 기술적 주장이 어떤 모습인지 보여줍니다.
Cloudflare는 포스트 양자 사용량 측정을 통해 또 다른 관점을 제공합니다. 해당 보고는 클라이언트 지원과 오리진 서버 준비 상태, 즉 자사 네트워크 뒤에 있는 서버의 지원을 구분합니다. 이는 더 넓은 서비스 경로 안에서 서로 다른 관측 지점입니다.
구매자가 보호가 어디에 적용되고 증거가 어디에서 끝나는지 식별할 수 있을 때 주장은 유용해집니다. Google의 브라우저 작업과 Cloudflare의 인프라 보고는 웹 통신의 관련된 부분을 다룹니다. 어느 하나만으로는 기업 애플리케이션의 완전한 적용 범위를 입증하지 못합니다.
이 비교는 브라우저를 넘어 적용됩니다. 가상의 비즈니스 애플리케이션은 업데이트된 공개 연결을 사용하면서도 별도의 관리 또는 통합 경로를 유지할 수 있습니다. 공개 연결에 관한 발표는 다른 경로를 설명하지 못합니다.
분석상의 오류는 좁은 관찰을 회사 전체에 관한 결론으로 확장하는 것입니다. 한 구성 요소에 관한 증거는 그 구성 요소에 관한 결론을 뒷받침합니다. 결론을 확장하려면 추가 증거가 필요합니다.
이 때문에 공급업체 비교에는 공통 단위가 필요합니다. 구매자는 회사 연구 발표와 프로덕션 구성 가이드를 의미 있게 비교할 수 없습니다. 두 문서는 모두 PQC를 다루더라도 서로 다른 질문에 답합니다.
이는 시연에도 마찬가지로 적용됩니다. 성공적인 테스트는 특정 구성이 명시된 조건에서 작동한다는 점을 보여줄 수 있습니다. 이것이 가용성, 지원 약속 또는 조직의 기존 장비와의 호환성을 자동으로 입증하지는 않습니다.
이러한 범주를 구분해 두면 공급업체 평가가 더 명확해집니다. 연구는 조사를 의미합니다. 지원되는 릴리스는 문서화된 범위 안에서 가용성을 확립합니다. 고객 테스트는 그 범위가 특정 운영상의 필요를 충족하는지 평가합니다.
Google과 Cloudflare의 비교는 단순한 승자 순위가 핵심을 놓치는 이유도 보여줍니다. 인용된 자료는 서로 다른 책임과 서로 다른 증거를 설명합니다. 기업 구매자는 이러한 책임이 어떻게 연결되는지 이해해야 합니다.
예를 들어 웹 서비스를 평가하는 고객에게는 브라우저에 대한 신뢰만으로 충분하지 않습니다. 서비스 운영자의 선택도 중요합니다. 그런 다음 고객은 이 구성 중 어느 부분을 자체 팀이 통제하는지 이해해야 합니다.
이는 기술적 질문인 만큼 책임에 관한 질문이기도 합니다. 업그레이드에 다른 제공업체의 조치가 필요하다면, 구매자는 누가 이를 조정하는지 알아야 합니다. 그렇지 않으면 각 참여자가 진전을 보고하는 동안 전체 프로젝트는 미완성 상태로 남을 수 있습니다.
Post-Quantum Questions to Ask Your Vendors는 이러한 경계를 계속 드러낼 때 가장 유용합니다. 가장 강력한 비교는 공급업체의 가장 광범위한 발표가 아니라 고객의 실제 배포를 다룹니다. 이 접근법은 구체성을 보상하고, 그 밖에는 유효한 주장에 근거 없이 확장된 부분을 드러냅니다.
마이그레이션 일정은 모호한 약속의 여지를 줄인다
공동 지침에는 호주의 전환 목표를 반영한 2030년 계획 이정표가 포함되어 있다. 각주에서는 조직이 자사의 관할권, 산업 부문 및 위험 환경에 맞춰 활동을 조정하도록 안내한다. 구매 담당자는 이 문서를 내부 요구사항으로 번역할 때 해당 조건을 유지해야 한다.
영국은 별도의 기준점을 제시한다. 영국의 PQC migration timelines는 2028년까지 현황 파악과 초기 계획 수립, 2031년까지 우선순위 전환, 2035년까지 완료를 요구한다. 이 이정표는 보편적인 마감일이 아니라 영국이 권고하는 순서를 설명한다.
계획 수립의 압박은 로드맵의 최종 연도 자체가 아니라 이정표 사이에서 수행해야 하는 작업에서 비롯된다. 적절한 릴리스가 나오기 전에는 고객이 테스트를 완료할 수 없다. 따라서 공급업체의 제공 일정에는 고객 작업을 위한 여유가 포함되어야 한다.
이는 순서에 따른 분석적 결과다. 가상의 조직이 정해진 내부 기간 안에 전환을 마쳐야 한다고 가정해 보자. 전환 기간 막바지에 이루어지는 공급업체 릴리스는 예상치 못한 문제에 대응할 유연성을 거의 남기지 않는다.
인접한 업무를 서로 다른 팀이 담당하면 문제는 더 분명해진다. 조달 부서는 계약을 체결할 수 있지만, 엔지니어링 부서는 제품을 평가해야 한다. 이후 운영 부서는 실행 가능한 배포 계획을 마련해야 하며, 사업 책임자는 발생할 수 있는 중단을 수용해야 한다.
공급업체 이정표는 이러한 후속 작업이 연결될 수 있을 때 더 유용해진다. “고객 테스트에 사용 가능”은 “개발 완료”와 다른 의미를 지닌다. 구매자는 자체 작업이 서로 다른 시점에 시작되므로 이 차이를 알아야 한다.
장기 계약은 또 다른 계획 문제를 만든다. 오늘 계약을 체결하는 고객은 계약 기간 내내 제품을 계속 사용할 수 있기를 기대할 수 있다. 향후 호환성이 불확실하다면, 그 불확실성은 구매 결정에 반영되어야 한다.
이는 해결되지 않은 모든 세부 사항이 계약을 막아야 한다는 뜻은 아니다. 조직이 어떤 가정을 수용할지 의식적으로 결정해야 한다는 의미다. 기록된 의존성은 후속 조치를 받을 수 있지만, 명시되지 않은 가정은 대개 그럴 수 없다.
같은 논리는 교체 결정에도 적용된다. 공급업체가 필요한 전환을 지원할 수 없다면 구매자는 대안을 검토할 시간이 필요하다. 이 과정에는 전환을 촉발한 보안 문제를 넘어서는 사업상 요구사항이 포함될 수 있다.
가상의 제조업체를 예로 들면, 특수 시스템을 교체하는 일은 교육, 유지보수 및 운영 절차에 영향을 줄 수 있다. 보안팀만으로는 이러한 결과를 해결할 수 없다. 조기에 가시성을 확보하면 조직 전체가 이를 함께 평가할 수 있다.
여기서 중요한 긴장은 여전히 공급업체의 보증과 실제 배포 가능한 증거 사이에 있다. 범위 없는 날짜는 고객이 요구하는 기능이 제공된다는 사실을 입증하지 못한다. 날짜 없는 범위는 고객이 신뢰할 수 있는 일정을 수립하지 못하게 한다.
구매자는 외부 계획 기준과 자체 승인된 목표도 구분해야 한다. 동일한 조직 내에서도 시스템마다 서로 다른 의무가 적용될 수 있다. 하나의 마감일을 그대로 복사하면 이러한 차이가 가려질 수 있다.
따라서 일정은 공급업체 논의에 긴급성을 부여하지만 보편적인 답을 제공하지는 않는다. 조직은 여전히 적용되는 요구사항과 운영 제약을 파악해야 한다. 공급업체의 약속은 해당 요구사항을 실현 가능한 배포 순서와 연결할 때 의미를 갖는다.
설문지는 준비 상태를 입증하지 않고도 신뢰를 만들 수 있다
기관들은 불완전한 공급업체 답변이 자동으로 수용 불가능한 위험을 의미하지는 않는다고 명시적으로 인정한다. 또한 일반적인 보증, 불명확한 일정, 제한적인 가시성, 소유권 부재 등의 우려를 지적한다. 이들의 입장은 자동적인 배제보다 맥락에 따른 평가를 뒷받침한다.
가장 큰 약점은 완료된 평가를 근거 이전의 마이그레이션이 완료되었다는 증거로 취급하는 데 있다. 설문지는 진술을 기록한다. 구매자는 이러한 진술이 무엇을 입증하며 무엇이 아직 해결되지 않았는지를 여전히 판단해야 한다.
바로 이 지점에서 회의적인 관점에 주목할 필요가 있다. 질문을 추가하면 의사결정을 개선하지 못한 채 행정 업무만 늘어날 수 있다. 모든 공급업체에 동일한 요구를 하면, 검토자는 위험에 영향을 주지 않는 답변을 수집하는 데 시간을 쓸 수 있다.
낮은 민감도의 유틸리티를 제공하는 가상의 공급업체가 핵심 ID 공급업체와 동일한 수준의 검토를 받을 필요는 없다. 사업상 결과가 다르다. 평가 노력은 조직의 실제 노출도와 의존도에 따라야 한다.
솔직함을 평가할 때는 공정성 문제도 있다. 해결되지 않은 의존성을 밝히는 공급업체는 구매자에게 검토할 구체적인 대상을 제공한다. 무조건적인 보증을 제시하는 공급업체는 단지 더 적은 정보를 제공하는 것일 수 있다.
그렇다고 투명성이 누락된 보호 조치를 보완한다는 뜻은 아니다. 투명성과 준비 상태는 별개의 차원이라는 의미다. 구매자에게는 정직한 설명과 함께 설명된 상태가 자신의 요구를 충족하는지에 대한 판단이 모두 필요하다.
내부 소유권이 분리된 상태로 남아 있으면 평가 절차는 실패할 수 있다. 조달 부서는 공급업체가 답변했다는 이유로 응답이 완료되었다고 볼 수 있다. 보안 부서는 뒷받침하는 증거가 없다는 이유로 불완전하다고 볼 수 있다.
따라서 유용한 검토에는 합의된 의사결정 기준이 필요하다. 팀은 어떤 증거가 수용을 뒷받침하는지, 무엇이 후속 조치를 요구하는지, 누가 남은 불확실성을 수용할 수 있는지를 알아야 한다. 그렇지 않으면 조직이 이미 약속한 뒤에 의견 불일치가 나타난다.
평가는 변화하기 때문에 문서 품질이 중요하다. 공급업체의 현재 답변은 같은 문제를 해결하지 못한 채 이전 답변을 대체할 수 있다. 검토자는 진전이 있었는지, 아니면 표현만 바뀌었는지 이해할 수 있도록 충분한 이력이 필요하다.
searchable knowledge base는 팀이 기술 문서와 이전 결정을 찾아내는 데 도움이 될 수 있다. 그 역할은 증거 관리를 지원하는 것이다. 이는 암호 구현의 보안을 입증하지 않는다.
이 구분은 공급업체 검토에 사용되는 모든 자동화에 중요하다. 답변을 요약하면 읽는 수고를 줄일 수 있지만, 요약은 조건을 숨길 수도 있다. 검토자는 범위를 이해하고 불확실성을 보존할 책임이 있다.
또 다른 실패 방식은 설득력 있는 로드맵이 제공을 보장한다고 가정하는 것이다. 계획은 의도된 순서와 책임을 보여 주므로 주목할 가치가 있다. 이후 릴리스와 테스트 결과가 이를 확인할 때 그 가치는 커진다.
따라서 적절한 회의적 검토는 평가 자체에도 적용된다. 이 절차가 의존성을 드러내고, 결정을 명확히 하며, 후속 조치를 배정하는가? 완료 점수만 산출한다면 조직은 통제력을 얻지 못한 채 신뢰감만 얻게 될 수 있다.
Post-Quantum Questions to Ask Your Vendors는 문의를 위한 기반을 제공한다. 그러한 문의가 보안을 개선하는지는 수집한 증거와 그에 따른 결정에 달려 있다. 이 문서는 어느 한쪽도 대체할 수 없다.
다음 신호는 릴리스, 테스트 및 계약상 약속이다
다음 관찰 기간은 구매자가 검증할 수 있는 변화에 초점을 맞춰야 한다. 앞으로 몇 달 동안 가장 유익한 신호는 제품 가용성, 운영 증거 및 책임에 관한 내용일 것이다. 이는 예정된 발표에 대한 예측이 아니라 제안된 지표다.
지침의 실질적 영향은 공급업체의 답변이 고객이 실행할 수 있는 결정으로 바뀔 때 나타날 것이다. 양자 준비 상태에 대한 언급이 늘어나면 인식은 입증될 수 있다. 그러나 그것만으로 고객이 마이그레이션할 수 있음을 보여 주지는 않는다.
첫 번째 신호는 제공 가능한 릴리스와 연결된 제품 문서다. 구매자는 공급업체가 지원 버전, 배포 조건 및 남은 제한 사항을 식별하는지 살펴야 한다. 이러한 문서는 준비 상태 논의가 제공 팀까지 도달하고 있다는 근거를 강화할 것이다.
반대 신호는 가용성 변화 없이 로드맵 언어만 반복되는 경우다. 특히 고객이 해결되지 않은 기능에 의존하는 경우, 이는 공급업체의 실행 능력에 대한 신뢰를 약화할 것이다. 해석은 해당 제품과 요구사항에 한정되어야 한다.
두 번째 신호는 고객 관련 테스트에서 나온 증거다. 유용한 테스트는 환경과 성공한 조건을 설명한다. 이를 통해 다른 조직도 그 결과가 자체 배포에 적용되는지 판단할 수 있다.
테스트는 제한 사항을 드러낼 때도 중요하다. 문서화된 호환성 문제는 고객이 운영 환경에 사용하기 전에 계획을 수정하는 데 도움이 될 수 있다. 공개된 모든 문제를 실패로 취급하면 효과적인 계획에 필요한 투명성을 저해하게 된다.
중요한 질문은 테스트가 불확실성을 줄이는지 여부다. 조건이 불명확한 시연은 구매자가 적용 가능성을 판단하지 못하게 한다. 범위가 명확한 결과는 더 좁지만 더 신뢰할 수 있는 결론을 뒷받침할 수 있다.
세 번째 신호는 약속을 소유권과 연결하는 조달 문구다. 구매자는 계약과 보증 기록이 제공 산출물, 책임 팀 및 후속 조치 기대치를 식별하는지 살펴야 한다. 이러한 세부 사항은 보안 평가와 상업적 책임 간의 연결을 강화할 것이다.
계약은 여전히 기술적 성공을 보장할 수 없다. 계약의 분석적 가치는 의견 불일치가 나타나기 전에 책임을 드러내는 데 있다. 공급업체의 약속이 실제 배포와 분리된 상태로 남는다면, 기존의 계획 공백은 계속된다.
이러한 신호를 함께 보면 암호학적으로 의미 있는 양자 컴퓨터가 언제 등장할지 예측하지 않고도 진전을 평가할 방법을 제공한다. 그러한 컴퓨터는 널리 사용되는 공개키 암호를 해독할 수 있다. 그 등장 시점은 조직이 현재 공급업체 의존성을 이해하고 있는지 여부를 결정하지 않는다.
당장의 결정은 구매자가 다음 약정에 얼마나 많은 불확실성을 안고 가는지에 관한 것이다. 구체적인 제한 사항은 조사할 수 있다. 소유자가 없거나 제품 약속이 정의되지 않은 경우에는 다음 조치가 불명확하기 때문에 관리하기가 더 어렵다.
조직이 계속 사용할 것으로 예상하는 서비스의 다음 검토에 Post-Quantum Questions to Ask Your Vendors를 활용하라. 공급업체의 기존 주장부터 시작해 각각을 뒷받침하는 증거를 식별하라. 기술팀에 어떤 진술이 배포된 환경에 적용되는지 묻고, 해결되지 않은 의존성을 구매 결정과 함께 기록하라.
검토는 서비스의 중요성과 처리하는 정보에 비례하도록 유지하라. 해결되지 않은 각 문제에 소유자와 후속 조치 시점을 지정하라. 유용한 결과는 조직이 무엇을 배포할 수 있는지, 무엇이 더 필요한지, 그리고 누가 이를 제공해야 하는지에 대한 방어 가능한 결정이다. 다음 갱신 전에, 귀사 팀에 필요한 증거가 아직 부족한 공급업체 약속은 무엇인가?
