전략물자 수출 통제
더 많은 작업
- Import/Export Controls; 전략물자 수출 통제(수출입 통제)
- 군사적으로 전용될 수 있는 물품·소프트웨어·기술의 국외 이전을 국가가 허가제로 관리하는 제도로, 정보보안에서는 암호 제품과 보안 기술의 수출입이 핵심 쟁점이다
수출 통제는 무기뿐 아니라 민간용이면서 군사적으로도 쓰일 수 있는 이중용도(dual-use) 품목을 대상으로 한다. 고성능 컴퓨터, 반도체 장비, 암호 모듈, 침투 도구 같은 정보기술 품목이 여기에 많이 포함된다. 통제 대상에는 물건만이 아니라 소프트웨어 파일 전송, 기술 문서 제공, 외국인 직원에게 기술을 알려 주는 행위까지 들어간다는 점이 정보보안 담당자에게 중요하다.
CISSP 출제 범위 1.4의 '수출입 통제' 항목에 해당한다. 해외 지사에 보안 장비를 보내거나, 해외 리전 클라우드에 암호화 시스템을 배치하거나, 외국 국적 개발자와 소스 코드를 공유할 때 법무·수출 통제 부서와 먼저 확인해야 한다는 것이 시험이 기대하는 판단이다.
바세나르 체제(Wassenaar Arrangement)의 정식 명칭은 '재래식 무기와 이중용도 품목·기술의 수출 통제에 관한 바세나르 체제'이다. 냉전기 공산권 대상 수출 통제 기구였던 코콤(COCOM)의 동서 대립 중심 틀이 냉전 종식 후 맞지 않게 되자, 그 회원국들이 1996년 설립 문서(Initial Elements)를 채택해 새로 만든 체제이다.
| 항목 | 내용 |
|---|---|
| 목적 | 재래식 무기와 이중용도 품목 이전의 투명성과 책임성을 높여 지역·국제 안보를 해치는 과도한 축적과 테러 단체 유입을 막는 것 |
| 참가국 | 공식 누리집 기준 42개국. 대한민국, 미국, 일본, 영국, 독일, 인도 등이 참가하며 중국은 참가하지 않는다 |
| 통제 목록 | 이중용도 품목·기술 목록(Dual-Use List)과 군용물자 목록(Munitions List) |
| 운영 방식 | 사무국은 빈(Vienna)에 있고, 최고 의사결정 기구인 총회(Plenary)는 보통 매년 12월 열리며 모든 결정을 합의(consensus)로 한다 |
| 법적 성격 | 조약이 아닌 국가 간 약속이다. 실제 허가와 처벌은 각국 국내법이 맡는다 |
바세나르 체제 외에도 핵공급국그룹(NSG), 미사일기술통제체제(MTCR), 오스트레일리아그룹(AG) 같은 다자 통제 체제가 있다. 한국 대외무역법 시행령 제32조는 이들과 화학무기금지협약(CWC), 생물무기금지협약(BWC), 무기거래조약(ATT)을 국제수출통제체제로 열거한다.
CISSP는 미국 제도를 기준으로 출제되는 경우가 많다. 미국은 두 갈래로 수출을 통제한다.
| 구분 | EAR(수출관리규정) | ITAR(국제무기거래규정) |
|---|---|---|
| 영문 | Export Administration Regulations | International Traffic in Arms Regulations |
| 소관 | 상무부 산업안보국(BIS, Bureau of Industry and Security) | 국무부 방위무역통제국(DDTC) |
| 대상 | 이중용도 품목. 상업통제목록(CCL, Commerce Control List)에 수출통제분류번호(ECCN)로 분류 | 방산 물자와 방산 서비스. 미국 군수품목록(USML, U.S. Munitions List) |
| 근거 | 연방규정집 제15편 제730~774부 | 무기수출통제법(AECA) 제38조, 연방규정집 제22편 제120~130부 |
| 정보보안 품목 | 암호 장비·소프트웨어·기술(ECCN 5A002, 5D002, 5E002 등), 암호 해독·디지털 포렌식 도구(5A004 등) | 군용으로 특별 설계된 암호·통신 장비 |
- 1990년대 중반까지 미국은 암호 제품을 군수품으로 보아 군수품목록(USML) 제13범주에 넣고 국무부가 ITAR로 통제했다. 그래서 수출용 소프트웨어는 키 길이가 짧은 약한 암호만 넣는 일이 흔했다.
- 1996년 11월 15일 서명된 대통령 행정명령 제13026호에 따라 상업용 암호 제품 통제가 상무부의 EAR(상업통제목록)로 넘어갔다.
- 현재는 ECCN 5A002·5D002 품목이라도 대부분 라이선스 예외 ENC(연방규정집 제15편 제740.17조)로 허가 없이 또는 분류 신고 후 수출할 수 있다. 일반 소비자용 '대량 시장(mass market)' 기준을 충족하면 5A992·5D992로 분류되어 국가안보(NS)·암호(EI) 통제에서 빠진다.
- 다만 테러지원국·제재 대상국 등 특정 국가군과 우려 최종사용자에게는 예외가 적용되지 않는다.
미국 EAR은 국내에서 외국 국적자에게 통제 기술이나 소스 코드를 공개하는 것도 그 사람의 국적국으로 수출한 것으로 본다(간주 수출, deemed export). 외국 국적 직원이 많은 연구소나 개발 조직이 접근통제를 설계할 때 고려해야 한다.
| 제도 | 근거 | 내용 |
|---|---|---|
| 전략물자 지정·고시 | 대외무역법 제19조 | 산업통상부장관이 국제수출통제체제에 따라 수출허가 등 제한이 필요한 물품과 기술을 지정·고시한다(「전략물자 수출입고시」) |
| 수출허가 | 제19조의2 | 전략물자를 수출하려면 허가를 받아야 한다. 기술은 국내에서 국외로의 이전, 국내외에서 한국 국민(법인 포함)이 외국인에게 이전하는 경우도 포함된다 |
| 상황허가(catch-all) | 제19조의3 | 전략물자가 아니어도 대량파괴무기 등에 전용될 우려가 있으면 허가를 받아야 한다. 수입자가 최종 용도 정보를 기피하거나 최종 수하인이 운송업자인 경우 등 의심 징후를 열거한다 |
| 전문판정 | 제20조 | 수출하려는 물품이 전략물자인지 확인하기 위해 판정을 신청한다. 무역안보관리원 등에 위임·위탁할 수 있다 |
| 무역안보관리원 | 제25조 | 전문판정, 수출입관리 정보시스템 운영, 교육 등을 맡는 법인. 옛 전략물자관리원이며, 전략물자관리시스템(yestrade)을 운영한다 |
- 소관 부처는 2025년 10월 조직 개편 이후 '산업통상부'로 표기된다(옛 산업통상자원부).
- 암호 모듈, 보안 장비, 침투 테스트 도구를 해외에 공급하는 기업은 제품의 통제번호 해당 여부를 자가판정하거나 전문판정을 받아 두는 것이 실무 출발점이다.
수출 통제와 별개로, 일부 국가는 암호 제품의 수입·판매·사용 자체에 허가, 신고, 인증, 국가 지정 알고리즘 사용을 요구한다. 바세나르 체제는 수출 통제 체제이므로 이런 수입 규제는 국가마다 제각각이다. 해외 지사에 VPN 장비나 디스크 암호화를 배포하기 전에 현지 법률 검토를 받아야 하는 이유이다.
| 상황 | 점검 사항 |
|---|---|
| 해외 지사에 보안 장비·소프트웨어 반출 | 제품의 통제 분류(ECCN, 한국 통제번호), 목적지 국가가 제재·우려 국가인지, 현지 암호 수입 규제 |
| 해외 리전 클라우드에 시스템 배치 | 암호 키와 기술 자료가 어느 나라 인력에게 노출되는지, 클라우드 관리자 국적에 따른 간주 수출 가능성 |
| 외국인 개발자와 소스 코드 공유 | 통제 기술 해당 여부, 공유 저장소 접근 권한 분리 |
| 해외 협력사에 침투 도구·취약점 정보 제공 | 침입 소프트웨어 관련 통제 품목 해당 여부 |
| 개인정보가 함께 이동 | 수출 통제와 별개로 개인정보 국외 이전 요건도 따로 충족해야 함 |
- 바세나르 체제는 코콤의 후신이며, 재래식 무기와 이중용도 품목의 수출 통제 협의체이다. 조약이 아니므로 집행은 각국 법이 한다.
- EAR은 상무부(BIS)의 이중용도 통제, ITAR은 국무부(DDTC)의 방산 물자 통제이다. 상업용 암호 제품은 현재 EAR 소관이다.
- 수출에는 물리적 선적뿐 아니라 파일 전송, 기술 설명, 국내 외국인에게 기술을 공개하는 간주 수출이 포함된다.
- 해외에 암호 제품을 배치할 때 '가장 먼저' 할 일은 법무·수출 통제 부서와 상대국 수출입 규제를 확인하는 것이다. 기술적 설정부터 고르는 답은 흔한 오답이다.
- 수출 통제와 국경 간 개인정보 이전 규제는 서로 다른 법 체계이다.
- About us – The Wassenaar Arrangement
- 15 CFR 740.17 Encryption commodities, software, and technology (ENC) – eCFR
- Executive Order 13026: Administration of Export Controls on Encryption Products – Federal Register
- 대외무역법 – 국가법령정보센터
- 전략물자관리시스템 YESTRADE – 무역안보관리원