CSAP
포스팅 뷰56
CSAP(클라우드 보안인증)이란 무엇일까요?
- 정의 — 클라우드 서비스의 정보보호 수준을 국가가 평가·인증하는 제도입니다.
- 핵심 — 공공기관에 클라우드 서비스를 공급하려면 필수이며, 데이터 중요도에 따라 상·중·하 등급으로 나뉩니다.
- 주관 — 한국인터넷진흥원(KISA)이 평가하며, 민간에서도 클라우드 보안 신뢰의 기준이 됩니다.
CSAP란 클라우드 서비스가 요구되는 보안 기준을 충족하는지 평가해 부여하는 클라우드 보안인증제도(Cloud Security Assurance Program)를 말합니다.
CSAP란?
CSAP(클라우드 보안인증제)는 클라우드 서비스 제공자(CSP)가 정보보호를 위한 관리적·물리적·기술적 기준을 충족하는지 국가가 평가해 인증하는 제도입니다. 특히 공공기관이 이용하는 클라우드 서비스는 CSAP 인증이 필수라, 공공 시장에 진입하려는 SaaS·IaaS 사업자에게 사실상 관문 역할을 합니다.
2023년부터는 처리하는 정보의 중요도에 따라 상·중·하 등급으로 나뉘어, 서비스가 다루는 데이터에 맞는 수준의 보안을 요구합니다. 평가는 보안 통제 항목 충족 여부와 함께 취약점 점검 등을 포함합니다. 민간 기업에게도 CSAP는 '이 클라우드 서비스가 검증된 보안을 갖췄다'는 신뢰 지표로 활용됩니다.
CSAP 인증 취득 절차
인증은 대체로 다음 단계를 거쳐 취득·유지됩니다.
- 보안기준 대비 — 등급·유형에 맞는 보안 통제를 갖추고 준비합니다.
- 평가 신청 — 평가기관에 인증을 신청합니다.
- 평가 — 서류·현장 심사와 취약점 점검 등으로 기준 충족 여부를 확인합니다.
- 인증·사후관리 — 인증을 획득하고, 사후평가로 보안 수준을 유지합니다.
CSAP·ISMS-P·ISO 27001 비교
모두 정보보호 인증이지만, '무엇을' 인증하느냐가 다릅니다.
| 구분 | CSAP | ISMS-P | ISO 27001 |
|---|---|---|---|
| 평가 대상 | 클라우드 서비스 | 조직의 관리체계 | 조직의 관리체계 |
| 주관 | KISA·과기정통부 | KISA(국내 법정) | 국제(ISO/IEC) |
| 주 활용 | 공공 클라우드 공급 | 국내 규제 대응 | 글로벌 신뢰 |
실무 체크 포인트 — 클라우드 서비스 도입 시
클라우드 서비스를 도입할 때 CSAP 관점에서 다음을 확인하면 안전한 선택에 도움이 됩니다.
클라우드 서비스가 CSAP로 '서비스 자체의 보안'을 보장하더라도, 그 서비스를 쓰는 이용기관 내부의 유출 통제는 별개입니다. 오피스키퍼는 2023년 국내 DLP 최초로 CSAP 인증을 획득한 클라우드 서비스로, 정보유출방지·민감정보관리·PC 사용이력 관리를 통해 이용기관의 내부 정보 유출까지 함께 막아 줍니다.
자주 묻는 질문
Q. CSAP는 누가 꼭 받아야 하나요?
A. 공공기관에 클라우드 서비스를 공급하려는 사업자(CSP)는 CSAP 인증이 사실상 필수입니다. 민간 대상 서비스는 의무는 아니지만 보안 신뢰 지표로 활용됩니다.
Q. 상·중·하 등급은 무엇을 뜻하나요?
A. 서비스가 처리하는 정보의 중요도에 따른 구분입니다. 더 민감한 정보를 다룰수록 높은 등급과 그에 맞는 강화된 보안 요건이 적용됩니다.
Q. CSAP와 ISMS-P는 무엇이 다른가요?
A. CSAP는 '클라우드 서비스'의 보안을, ISMS-P는 '조직의 관리체계'를 인증합니다. 대상이 서비스냐 조직이냐가 핵심 차이입니다.
Q. CSAP 서비스를 쓰면 우리 보안은 끝인가요?
A. 아니요. CSAP는 '서비스 제공자'의 보안을 보장할 뿐, 이용 기관의 계정 관리·단말 보안·내부 유출 통제는 별도입니다. 공동책임 모델을 이해하고 내부 통제를 함께 갖춰야 합니다.
Q. 인증은 계속 유지되나요?
A. 인증 후에도 사후평가를 통해 보안 수준을 유지해야 합니다. 도입 시점의 인증뿐 아니라 현재 유효한지, 사후관리가 이뤄지는지 확인하는 것이 좋습니다.
클라우드에서도 안전하게 — 오피스키퍼로 내부 정보 유출을 막으세요.
제품소개서 신청하기