Why the energy sector must plan for post-quantum cyber security now
In a September 2026 World Economic Forum article, Ali El Kaafarani argues that energy companies should begin preparing their systems for post-quantum cryptography now. The reason is practical: power infrastructure lasts for decades, while replacing its security can take years. Equipment purchased today may still be operating when advances in quantum computing make some widely used cryptographic methods unsafe.
알리 엘 카파라니(Ali El Kaafarani)는 2026년 9월 세계경제포럼(WEF) 기고문에서 에너지 기업들이 지금 당장 시스템을 포스트 퀀텀 암호화(양자 내성 암호)에 대비하도록 준비시켜야 한다고 주장합니다. 그 이유는 현실적입니다. 전력 인프라는 수십 년 동안 사용되는 반면, 그 보안을 교체하는 데는 수년이 걸릴 수 있기 때문입니다. 오늘 구입한 장비는 양자 컴퓨팅의 발전으로 널리 사용되는 일부 암호화 방식이 안전하지 않게 되는 시점에도 여전히 작동하고 있을 수 있습니다.
Cryptography helps protect the digital connections on which modern energy systems depend. It can establish that a device or software update is genuine and keep communications confidential. A sufficiently capable future quantum computer could undermine some of the methods used for those tasks. Post-quantum cryptography refers to replacement methods designed to withstand that threat. The article’s call is for a planned transition, not a claim that quantum computers are already breaking power-grid security.
암호화는 현대 에너지 시스템이 의존하는 디지털 연결을 보호하는 데 도움을 줍니다. 기기나 소프트웨어 업데이트가 정품임을 증명하고 통신의 기밀성을 유지할 수 있게 해줍니다. 충분히 강력한 미래의 양자 컴퓨터는 이러한 작업에 사용되는 일부 암호화 방식을 무력화할 수 있습니다. 포스트 퀀텀 암호화란 그러한 위협에 견딜 수 있도록 설계된 대체 암호화 방식을 의미합니다. 이 기고문의 촉구는 양자 컴퓨터가 이미 전력망 보안을 뚫고 있다는 주장이 아니라, 계획적인 전환이 필요하다는 점을 강조하는 것입니다.
That transition is unusually difficult for energy operators. A grid brings together control rooms, substations, field devices, renewable generators, telecommunications networks, software providers and equipment manufacturers. Many components have limited computing capacity. Others cannot be taken offline easily for an update. A change that works on a company laptop may require extensive testing before it can be introduced into equipment that controls electricity supply. As El Kaafarani puts it, the systems that are hardest to secure are often the hardest to replace.
이러한 전환은 에너지 운영자들에게 유독 어렵습니다. 전력망은 통제실, 변전소, 현장 장비, 신재생 에너지 발전소, 통신망, 소프트웨어 공급업체, 장비 제조업체를 하나로 아우릅니다. 많은 구성 요소들의 컴퓨팅 용량이 제한적입니다. 또 어떤 부품들은 업데이트를 위해 쉽게 오프라인 상태로 전환할 수 없습니다. 회사 노트북에서는 잘 작동하는 변경 사항이라도 전력 공급을 제어하는 장비에 도입하기 전에는 광범위한 테스트를 거쳐야 할 수 있습니다. 엘 카파라니의 말처럼, 보안을 적용하기 가장 어려운 시스템들은 대개 교체하기도 가장 어려운 시스템들입니다.
The sector is also expanding its digital connections. New renewable sites and increasingly interconnected services create more places where operators must verify devices, protect data and trust suppliers. Existing cyber risks show why those relationships matter, even though conventional attacks and future quantum attacks are different problems. The article cites a December 2025 incident in Poland in which attackers targeted more than 30 wind and solar farms, a manufacturing company and a major power plant. That incident does not demonstrate a quantum threat; it illustrates how a connected energy system can present attackers with many routes into essential infrastructure.
이 부문은 또한 디지털 연결을 확장하고 있습니다. 새로운 신재생 에너지 부지와 점점 더 상호 연결되는 서비스들은 운영자가 기기를 검증하고, 데이터를 보호하며, 공급업체를 신뢰해야 하는 지점들을 더 많이 만들어내고 있습니다. 기존의 사이버 위험들은 비록 전통적인 공격과 미래의 양자 공격이 서로 다른 문제이기는 하지만, 왜 그러한 관계들이 중요한지를 잘 보여줍니다. 기고문은 2025년 12폴란드에서 발생한 사건을 언급하는데, 당시 공격자들은 30곳 이상의 풍력 및 태양광 발전소, 제조 기업, 주요 발전소를 표적으로 삼았습니다. 이 사건이 양자 위협을 입증하는 것은 아니지만, 연결된 에너지 시스템이 공격자들에게 핵심 인프라로 들어갈 수 있는 수많은 경로를 제공할 수 있음을 잘 보여줍니다.
El Kaafarani also points to artificial intelligence as a reason to move faster. AI can help attackers find weaknesses and help defenders test their systems. It should not be confused with the quantum-computing threat to cryptography. The shared lesson is that security assumptions need regular testing while equipment is still in service. Waiting for a single breakthrough or a single deadline would leave too little time to examine every device, supplier and dependency.
또한 엘 카파라니는 인공지능(AI)을 더 빠르게 움직여야 하는 이유로 지목합니다. AI는 공격자가 취약점을 찾는 것을 돕는 동시에 방어자가 자신의 시스템을 테스트하는 데도 도움을 줍니다. 이는 암호화에 대한 양자 컴퓨팅의 위협과 혼동해서는 안 됩니다. 공통된 교훈은 장비가 여전히 가동 중인 동안에 보안 가정들을 정기적으로 테스트해야 한다는 점입니다. 단 한 번의 돌파구나 단 하나의 마감일만을 기다린다면 모든 장비, 공급업체, 종속성을 검토하기에는 시간이 너무 부족할 것입니다.
Planning starts with an inventory. Operators need to know where cryptography protects communications, operational controls, software updates and hardware. They can then identify which systems hold sensitive data for a long time, which are vital to safe operation, and which will be difficult to upgrade later. Procurement is part of that work: suppliers should be able to explain how new products will support future cryptographic changes throughout their working lives. The article recommends building those questions into equipment purchases, supplier assessments and scheduled technology replacements.
계획 수립은 자산 파악(인벤토리)에서 시작됩니다. 운영자는 암호화가 통신, 운영 제어, 소프트웨어 업데이트, 하드웨어를 보호하는 지점을 파악해야 합니다. 그런 다음 어떤 시스템이 민감한 데이터를 장기간 보관하고 있는지, 어떤 시스템이 안전한 운영에 필수적인지, 그리고 나중에 업그레이드하기가 어려울지 식별할 수 있습니다. 조달 과정도 그 작업의 일부입니다. 공급업체는 신제품이 수명 주기 동안 향후 암호화 변경을 어떻게 지원할 것인지 설명할 수 있어야 합니다. 기고문은 이러한 질문들을 장비 구매, 공급업체 평가, 그리고 정기적인 기술 교체 과정에 반영할 것을 권장합니다.
There is a policy timetable as well. The article notes that the UK’s National Cyber Security Centre has set milestones for discovery and initial planning by 2028, early priority migration by 2031 and completion by 2035. It also describes a June 2026 US policy directing federal systems toward post-quantum standards and supporting critical infrastructure operators with their transitions. These dates make the issue relevant to investments being approved now.
정책적인 시간표도 존재합니다. 기고문은 영국 국가사이버보안센터(NCSC)가 2028년까지 식별 및 초기 계획 수립, 2031년까지 조기 우선 마이그레이션, 2035년까지 완료라는 마일스톤을 설정했다고 언급합니다. 또한 2026년 6월 연방 시스템이 포스트 퀀텀 표준으로 전환하도록 지시하고 핵심 인프라 운영자의 전환을 지원하는 미국 정책에 대해서도 설명합니다. 이러한 날짜들은 이 문제가 지금 승인되는 투자와 직결되어 있음을 보여줍니다.
Bottom line: Energy cyber security protects a physical service. If trusted communications or equipment updates fail, the consequences can reach households, hospitals and businesses that rely on continuous power. Early planning gives operators time to test replacements, coordinate with suppliers and fit upgrades around safe operating schedules. The article’s central point is that long-lived infrastructure cannot wait until the threat is immediate before deciding how it will adapt.
요약하자면, 에너지 사이버 보안은 물리적인 서비스를 보호하는 것입니다. 신뢰할 수 있는 통신이나 장비 업데이트에 실패할 경우, 그 결과는 지속적인 전력에 의존하는 가계, 병원, 기업에까지 미치게 됩니다. 조기 계획을 통해 운영자는 대체재를 테스트하고, 공급업체와 조율하며, 안전한 운영 일정에 맞춰 업그레이드를 진행할 시간을 확보할 수 있습니다. 이 기고문의 핵심 요점은 수명이 긴 인프라라면 어떻게 적응할지 결정하기 전에 위협이 코앞으로 다닥칠 때까지 기다려서는 안 된다는 점입니다.
