CSAP (Cloud Security Assurance Program) 가이드 — 공공 시장 진입의 첫 관문

요약

• CSAP(Cloud Security Assurance Program)는 KISA가 운영하는 한국 클라우드 보안 인증제도입니다. 공공기관 클라우드 도입의 사실상 의무 관문 역할을 합니다.
• 등급은 하·중·상의 3단계로 나뉩니다. 일반 공공은 하, 중요 공공은 중, 국가안보 관련은 상이 적용됩니다.
• ISMS-P와 통제가 약 70% 중복되기 때문에 두 인증을 동시 운영할 때 증적을 함께 활용할 수 있습니다. K-ISMS 자동화를 활용하면 두 인증을 단일 워크플로로 관리할 수 있습니다.

1. CSAP 의 정의와 역할

CSAP는 클라우드 컴퓨팅 발전법 제23조와 시행령에 근거한 클라우드 서비스 보안 인증입니다. 한국 공공기관이 클라우드를 도입할 때 해당 클라우드의 CSAP 인증 보유가 필수 요건입니다.

ISMS-P가 정보보호 운영 일반에 대한 인증이라면, CSAP는 클라우드 인프라 자체의 보안성에 특화된 인증입니다. 두 인증의 관계는 다음과 같이 정리할 수 있습니다.

• ISMS-P → SaaS · IaaS 운영자가 보유 (조직의 정보보호 운영)
• CSAP → IaaS · CSP (Cloud Service Provider) 가 보유 (인프라 자체 보안성)
• 공공 SaaS 진입 = ISMS-P (운영) + CSP 가 CSAP 보유 (인프라) + 본인이 IaaS 위에서 운영하는 추가 통제

2. CSAP 3단계 등급 체계

3. 한국 CSP 들의 CSAP 인증 현황 (2026-04)

4. CSAP 와 ISMS-P 의 통제 매핑

통제 70% 가 중복 → 동일 증적으로 양쪽 충족 가능. 자동화 도구의 ROI 가 높은 영역:

5. 신청 절차 — 6단계

1. 적용 범위 결정 — 어떤 IaaS/PaaS 영역까지 인증 받을지 (전체 vs 일부 region)
2. 통제 구현 + 증적 수집 — 약 6-12개월. 자동화 도구 활용 시 단축 가능.
3. 예비 점검 — KISA 사전 점검 (선택)
4. 본 심사 — KISA 심사위원 현장 + 원격 심사 약 4-6주
5. 결함 시정 — 심사 결과의 결함 항목 시정 (1-3개월)
6. 인증서 발급 — 유효 기간 5년, 매년 사후 점검

6. 비용 구조

7. SaaS 가 CSAP 를 직접 받아야 할 때

IaaS CSP 의 CSAP 인증을 활용 가능하지만, SaaS 자체가 CSAP 인증을 받아야 하는 경우:

• 공공기관이 IaaS 가 아닌 SaaS 직접 도입 시 (조달청 디지털서비스몰 등록)
• 공공 클라우드 마켓플레이스 (NCP 공공·KT 공공 G클라우드)에 SaaS 상품 등록 시

8. 자주 묻는 질문

Q. ISMS-P 와 CSAP 중 어느 것을 먼저 받아야 하나요?

SaaS 라면 ISMS-P 우선. 인증 범위 + 비용 측면에서 시작 친화적. CSAP 는 공공 시장 진입이 명확해질 때 추가.

Q. AWS 서울 리전 위에서 CSAP 인증 가능한가요?

제한적. AWS 가 일부 영역에서 CSAP 하 등급을 받았으나, 중·상 등급 영역이 대부분. 공공 시장 본격 진입 시 NCP/NHN/KT Cloud 위로 이전 검토 필요.

Q. 갱신 주기가 어떻게 되나요?

본 인증 5년 + 매년 사후 점검. ISMS-P (3년) 보다 길지만 사후 점검 강도가 높음. 갱신 시 비용은 신규 대비 50-70%.

9. 관련 글

• Naver Cloud Platform (NCP) 에서 ISMS-P 인증 — CSAP 활용
• KT Cloud 에서 ISMS-P 인증 — 공공·금융 진입 가이드
• 클라우드 마이그레이션 + ISMS-P — 인증 유지하며 이전