보안 인증

CSAP

포스팅 뷰56

CSAP(클라우드 보안인증)이란 무엇일까요?

한눈에 보는 요약
  • 정의 — 클라우드 서비스의 정보보호 수준을 국가가 평가·인증하는 제도입니다.
  • 핵심공공기관에 클라우드 서비스를 공급하려면 필수이며, 데이터 중요도에 따라 상·중·하 등급으로 나뉩니다.
  • 주관 — 한국인터넷진흥원(KISA)이 평가하며, 민간에서도 클라우드 보안 신뢰의 기준이 됩니다.

CSAP란 클라우드 서비스가 요구되는 보안 기준을 충족하는지 평가해 부여하는 클라우드 보안인증제도(Cloud Security Assurance Program)를 말합니다.

CSAP란?

CSAP(클라우드 보안인증제)는 클라우드 서비스 제공자(CSP)가 정보보호를 위한 관리적·물리적·기술적 기준을 충족하는지 국가가 평가해 인증하는 제도입니다. 특히 공공기관이 이용하는 클라우드 서비스는 CSAP 인증이 필수라, 공공 시장에 진입하려는 SaaS·IaaS 사업자에게 사실상 관문 역할을 합니다.

2023년부터는 처리하는 정보의 중요도에 따라 상·중·하 등급으로 나뉘어, 서비스가 다루는 데이터에 맞는 수준의 보안을 요구합니다. 평가는 보안 통제 항목 충족 여부와 함께 취약점 점검 등을 포함합니다. 민간 기업에게도 CSAP는 '이 클라우드 서비스가 검증된 보안을 갖췄다'는 신뢰 지표로 활용됩니다.

클라우드 서비스가 보안기준 평가를 통과하면 공공기관이 이용할 수 있는 인증을 획득하는 모습 클라우드 서비스 보안기준 평가 CSAP 평가 상·중·하 등급 공공기관 이용 가능 .
▲ 클라우드 서비스가 보안기준 평가를 통과하면 CSAP 인증으로 공공 이용이 가능해진다

CSAP 인증 취득 절차

인증은 대체로 다음 단계를 거쳐 취득·유지됩니다.

  1. 보안기준 대비 — 등급·유형에 맞는 보안 통제를 갖추고 준비합니다.
  2. 평가 신청 — 평가기관에 인증을 신청합니다.
  3. 평가 — 서류·현장 심사와 취약점 점검 등으로 기준 충족 여부를 확인합니다.
  4. 인증·사후관리 — 인증을 획득하고, 사후평가로 보안 수준을 유지합니다.
보안기준 대비, 평가 신청, 평가, 인증과 사후관리의 네 단계 CSAP은 이렇게 취득합니다 1 보안기준 대비 등급·유형에 맞는 통제 준비 2 평가 신청 평가기관에 인증 신청 3 평가 서류·현장· 취약점 점검 4 인증·사후관리 인증 획득· 사후평가 유지
▲ 보안기준 대비 → 평가 신청 → 평가 → 인증·사후관리

CSAP·ISMS-P·ISO 27001 비교

모두 정보보호 인증이지만, '무엇을' 인증하느냐가 다릅니다.

구분 CSAP ISMS-P ISO 27001
평가 대상 클라우드 서비스 조직의 관리체계 조직의 관리체계
주관 KISA·과기정통부 KISA(국내 법정) 국제(ISO/IEC)
주 활용 공공 클라우드 공급 국내 규제 대응 글로벌 신뢰

실무 체크 포인트 — 클라우드 서비스 도입 시

클라우드 서비스를 도입할 때 CSAP 관점에서 다음을 확인하면 안전한 선택에 도움이 됩니다.

인증 여부·등급 — 도입할 서비스가 CSAP 인증을 받았고, 등급이 우리 데이터 중요도에 맞는가?
서비스 유형 — SaaS·IaaS 등 인증 유형이 실제 사용 목적과 일치하는가?
데이터 위치 — 데이터 저장 위치와 국내 보관 여부를 확인했는가?
책임 분담 — 클라우드 사업자와 이용 기관의 보안 책임 범위(공동책임)를 이해했는가?
보안 기능 — 서비스가 접근통제·암호화·로그 등 기본 보안 기능을 제공하는가?
이용기관 내부 통제 — 우리 측 계정·단말·유출 통제(내부 통제)는 별도로 갖췄는가?
사후관리 — 인증 유지·갱신 상태를 주기적으로 확인하는가?

클라우드 서비스가 CSAP로 '서비스 자체의 보안'을 보장하더라도, 그 서비스를 쓰는 이용기관 내부의 유출 통제는 별개입니다. 오피스키퍼는 2023년 국내 DLP 최초로 CSAP 인증을 획득한 클라우드 서비스로, 정보유출방지·민감정보관리·PC 사용이력 관리를 통해 이용기관의 내부 정보 유출까지 함께 막아 줍니다.

자주 묻는 질문

Q. CSAP는 누가 꼭 받아야 하나요?

A. 공공기관에 클라우드 서비스를 공급하려는 사업자(CSP)는 CSAP 인증이 사실상 필수입니다. 민간 대상 서비스는 의무는 아니지만 보안 신뢰 지표로 활용됩니다.

Q. 상·중·하 등급은 무엇을 뜻하나요?

A. 서비스가 처리하는 정보의 중요도에 따른 구분입니다. 더 민감한 정보를 다룰수록 높은 등급과 그에 맞는 강화된 보안 요건이 적용됩니다.

Q. CSAP와 ISMS-P는 무엇이 다른가요?

A. CSAP는 '클라우드 서비스'의 보안을, ISMS-P는 '조직의 관리체계'를 인증합니다. 대상이 서비스냐 조직이냐가 핵심 차이입니다.

Q. CSAP 서비스를 쓰면 우리 보안은 끝인가요?

A. 아니요. CSAP는 '서비스 제공자'의 보안을 보장할 뿐, 이용 기관의 계정 관리·단말 보안·내부 유출 통제는 별도입니다. 공동책임 모델을 이해하고 내부 통제를 함께 갖춰야 합니다.

Q. 인증은 계속 유지되나요?

A. 인증 후에도 사후평가를 통해 보안 수준을 유지해야 합니다. 도입 시점의 인증뿐 아니라 현재 유효한지, 사후관리가 이뤄지는지 확인하는 것이 좋습니다.

🔗 연관 용어 바로가기
ISMS-PISO 27001CC 인증DLP

클라우드에서도 안전하게 — 오피스키퍼로 내부 정보 유출을 막으세요.

제품소개서 신청하기