KISA가 운영하는 클라우드 보안 인증제(CSAP) 완벽 가이드: 안전한 클라우드 도입의 첫걸음

KISA(한국인터넷진흥원)가 운영하는 클라우드 보안 인증제도(CSAP, Cloud Security Assurance Program)는 국가 및 공공기관, 그리고 민간 기업이 안심하고 클라우드 서비스를 이용할 수 있도록 정보보호 기준의 준수 여부를 평가하고 인증하는 제도입니다. 아래에서 CSAP의 도입 배경, 구조, 인증 유형, 그리고 인증 절차와 기대 효과까지 자세히 설명합니다.

 

https://isms.kisa.or.kr/main/csap/intro/

 

 

1. 도입 배경 및 필요성

• 국내외적으로 클라우드 활용이 증가하며, 특히 공공기관에서는 민감정보의 보안이 중요한 이슈로 대두되었습니다.
• 이에 따라 안전성과 신뢰성이 검증된 민간 클라우드 서비스만 공공기관이 사용할 수 있도록 법률에 근거한 평가·인증 제도가 시행되었습니다.

2. 추진 근거 및 제도 구조

• 추진 근거: 「클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률」 제23조의2 등에 명시.
• 주요 역할:
  • 정책기관: 과학기술정보통신부
  • 인증기관: 한국인터넷진흥원(KISA)
  • 평가기관: KISA 및 지정 평가기관
  • 기술자문기관: 국가보안기술연구소
• 대상:
  • 서버, 저장장치, 네트워크, 소프트웨어, 개발·운영환경 등 클라우드 기술 제공 서비스.

3. 인증 유형 및 평가 구조

 

구분	설명	인증 유형
평가 종류	최초평가(신청/주요 변경), 사후평가(매년), 갱신평가(5년 주기)	IaaS, SaaS, DaaS
통제 항목수	IaaS(117개), SaaS 표준(78개), SaaS 간편(30개), DaaS(110개)	-
등급 구분	상·중·하 (시스템 중요도, 개인정보 처리 여부 등)	-
유효 기간	5년 (사후평가 매년 실시, 갱신평가로 연장 가능)	-

인증 마크는 문서, 송장, 광고 등에 표시할 수 있습니다. 단, 비인증 서비스는 인증마크 표기를 금지하며, 인증 표시는 크기·색상 규정에 맞게 관리됩니다.

4. 인증 절차

1. 클라우드 서비스 사업자가 KISA에 인증 신청
2. 평가기관이 정보보호 기준 준수 여부를 평가
3. 인증위원회에서 최종 심의 및 인증서 발급
4. 사후평가(년 1회), 5년마다 갱신평가

자세한 기준은 KISA 클라우드 보안인증제도 안내서, 각 기준별 해설서 등에서 확인 가능합니다.

5. 기대 효과

• 공공기관: 검증된 클라우드만 사용해 보안 리스크 최소화
• 서비스 제공자: 객관적 평가로 신뢰도 및 시장 경쟁력 제고
• 이용자: 안전한 클라우드 환경에서 업무 효율 및 혁신 가능

6. 최근 동향

• 상·중·하 등급제 도입 등 제도가 지속 발전, 등급별로 평가항목 차등화 및 민간 SaaS 사업자의 공공시장 진입 장벽 완화 정책도 추진 중입니다.

이 글은 KISA, 신시웨이, 정보통신기반시설보호 등 공식 자료를 참고했습니다.