통제 암호 품목 (Controlled Cryptographic Item, CCI)

통제 암호 품목(Controlled Cryptographic Item, CCI)은 미국 국가안보국(NSA)에서 도입한 용어로, 정보와 보안 통신을 처리하거나 중요한 통신 보안(COMSEC) 기능을 수행하는 암호화 구성 요소가 포함된 장비를 의미합니다. CCI 품목은 특별 회계 통제 및 필수 표시 대상입니다.

개념의 핵심

CCI는 미국 정부와 군의 통신 보안 체계에서 쓰이는 관리 분류입니다. 장비 자체는 암호 키가 주입되지 않은 상태에서는 비밀(classified)로 분류되지 않지만, 내부의 암호 설계가 적대 세력에게 넘어가면 통신 보안이 약해질 수 있으므로 일반 물품보다 엄격하게 추적합니다. 장비에 주입되는 암호 키와 키 자료는 이와 별도로 비밀 등급에 따라 관리되며, 키가 주입된 장비는 그 키의 등급에 맞게 다룹니다.

어떤 장비가 CCI에 해당하는가?

• 암호화 구성 요소: 정보를 키 없이는 읽을 수 없는 형태로 바꾸는 암호 모듈을 포함합니다.
• 보안 통신 지원: 음성·데이터 통신을 암호화해 도청과 무단 접근을 막습니다.
• 중요한 COMSEC 기능: 통신의 기밀성과 무결성을 보장하는 통신 보안 기능을 수행합니다.

엄격한 통제와 책임

• 특별 회계 통제: 일련번호 단위로 등록되어, 통신보안 자재 관리 체계(COMSEC Material Control System) 등을 통해 보유 위치와 책임자가 계속 추적됩니다.
• 필수 표시: 장비에 ‘CONTROLLED CRYPTOGRAPHIC ITEM’이라고 표시하며, 공간이 부족하면 ‘CCI’라고 표시합니다.
• 취급 제한: 허가받은 인원만 다루며, 분실이나 도난은 보안 사고로 보고됩니다.
• 수출 통제: 사용과 반출은 정부 규정과 수출 통제법의 적용을 받습니다.

CCI의 실제 예

• 보안 전화: STU-III처럼 군과 정부 기관 사이의 음성 통신을 암호화하는 단말입니다.
• 암호 장비: KG-84A와 같은 장치는 전송 중인 데이터를 암호화해 민감한 정보를 보호합니다.
• 전술 무전기: 암호 모듈을 내장해 군이 현장에서 보안 통신을 유지하는 데 씁니다.

의의와 한계

CCI 제도는 장비의 위치와 책임을 끊김 없이 관리해 오용과 유출을 막고, 군사 작전과 기밀 업무 중 통신 보안을 유지하는 데 목적이 있습니다. 반면 장비의 취득과 관리 비용이 크고, 취급에 별도의 교육과 절차가 필요하다는 부담이 있습니다. 사용 기관은 정기적인 재고 점검으로 각 품목의 위치와 상태를 확인하고, 폐기할 때도 정해진 절차에 따라 처리해야 합니다.

CCI는 미국 정부·군과 그 계약자를 위한 분류이므로, 은행이나 병원 같은 민간 기관이 쓰는 일반 암호 장비나 하드웨어 보안 모듈(HSM)을 CCI라고 부르지는 않습니다. 암호화폐 하드웨어 지갑처럼 키를 기기 안에 보관하는 민간 제품도 이 제도와는 관계가 없습니다.