CSAP（クラウドセキュリティ認証）

文書基準: 2026年8月

概要

CSAP（Cloud Security Assurance Program、クラウドサービスセキュリティ認証制度）は、政府・公共機関にクラウドサービスを提供しようとする事業者が必ず取得しなければならない認証制度です。韓国インターネット振興院（KISA）が評価を行い、クラウドサービスの物理的・技術的・管理的セキュリティ統制水準を審査します。

認証はサービス類型に応じてIaaS、SaaS（標準/簡易）、DaaSに区分され、有効期間は5年です。2024年2月からは既存の単一基準に代わって上/中/下等級制が全面施行され、システムの重要度に応じて要求水準が変わります。

等級区分（上/中/下）

等級	対象システム	主要要件
上（High）	安保・外交など国家核心利益に直結するシステム、行政機関内部業務用システム	外部ネットワーク遮断（事実上プライベートクラウドの強制）、統合セキュリティ監査ログ管理、アカウント・アクセス権限の自動化、セキュリティパッチの自動化など4項目を追加
中（Medium）	個人情報・重要情報を扱う一般公共システム	既存IaaS認証水準を継承。システム隔離・物理的区域分離項目を明確化。物理的網分離（망분리、業務ネットワークとインターネットを分離する韓国特有のセキュリティ規制）および運用人員の国内常駐を要求
下（Low）	個人情報を含まない公開データ運用システム	2024年新設。上・中等級に比べ要件を合理的に緩和し、外国系クラウドの初期参入のハードルとして活用

3つの等級すべてに共通してデータの国内保存（ローカライゼーション）、韓国開発の暗号化アルゴリズム（ARIA、SEEDなど）のサポート、運用人員の国内常駐が求められます。中・上等級はこれに加えて物理的網分離を要求するため、グローバルリージョンのインフラをそのまま活用するハイパースケーラーにとって参入障壁として機能してきました。

ベンダー別認証状況

ハイパースケーラー

ベンダー	認証等級	取得時期	備考
Microsoft Azure	下	2024年12月	3社中最初の取得
Google Cloud	下	2025年2月
AWS	下	2025年3月28日	コンピューティング・ストレージ・ネットワーキング・データベース・セキュリティなどソウルリージョンのサービスが対象
OCI（Oracle）	中等級取得を目標に準備中	—	データベース中心のワークロードを狙い、中等級以上を第一目標として申請準備中との報道があるが、取得完了の有無は公式確認が必要です

2025年上半期までにAWS・Azure・Google Cloudの3社がすべてCSAP下等級を取得したことで、個人情報を扱わない公開データシステムに限り、国内公共機関がハイパースケーラーを利用できる道が開かれました。ただし下等級は重要情報を扱うシステムには適用できない点に留意する必要があります。

国内CSP

ベンダー	状況
ネイバークラウド	IaaS/SaaSの多数のサービスでCSAP認証を保有。公共部門SaaS開発・検証事業など政府事業に継続参加
KTクラウド	KT G-Cloud（IaaS）が2021年10月から2026年10月までCSAP認証を維持
NHNクラウド	OpenStackベースのインフラでCSAP認証を取得し、公共クラウド市場でシェアを拡大中
サムスンSDS	Samsung Cloud PlatformがCSAP認証を保有しており、国家情報資源管理院（国資院）などと連携した公共事業に参加
カカオクラウド	CSAP認証を保有していた実績があるが、2025年の公共部門SaaS開発・検証事業には参加意思を伝えていないとされる

2026年改編動向 — 国情院単一検証体系

2026年4月20日、科学技術情報通信部と国家情報院が公共クラウドセキュリティ検証体系を改編すると共同発表しました。核心内容は次の通りです。

これまで科学技術情報通信部（民間CSAP）と国家情報院（公共セキュリティ適合性検証）が二重に行っていた検証を**「国家情報院クラウドセキュリティ検証」に一元化**します。
既存CSAPの4つの規範のうち第1～3規範は科学技術情報通信部のISMSに統合され、自律認証（任意取得）へ転換され、公共セキュリティ要件である別表4は国家情報院検証に統合されます。
これにより、科学技術情報通信部が10年間運用してきた民間向けCSAP制度自体は段階的に廃止の手続きを踏みます。
施行時期は2027年7月で、関連告示改正後、約1年の猶予期間を経ます。それ以前にすでにCSAP認証を取得したサービスは現行の5年有効期間をそのまま認定されます。

この改編は2025年末から議論されてきた「CSAP取得後に国家情報院検証」という二重手続きを簡素化しようとする流れの延長線上にあります。2025年12月には科学技術情報通信部が関連告示を改正し、国家情報院のセキュリティ適合性検証のみで公共進出を許可し、CSAP取得過程ですでに検証済みの項目は再検討から除外する案を推進中であると明らかにしたことがあります。

公共機関導入時の考慮事項

等級選定はシステムの重要度が基準です。個人情報・重要情報を扱うシステムには下等級認証ベンダーを使用できないため、導入初期にデータ分類と目標等級をまず確定する必要があります。
物理的網分離要件（中・上等級）はアーキテクチャ設計に直接的な影響を与えます。ハイパースケーラーのグローバル標準アーキテクチャをそのまま移植しにくい場合が多いため、国内リージョン・専用インフラのオプションを事前に確認してください。
SaaSは基盤となるIaaSのCSAP等級に従属します。SaaS自体の認証とは別に、稼働するIaaSの認証等級と範囲を併せて確認する必要があります。
2027年改編以降の手続き変化に備え、新規事業契約や長期認証ロードマップを立てる際は、国家情報院単一検証体系への転換スケジュールも併せて考慮するのが安全です。
CSAPは国内公共機関調達の前提条件に過ぎず、調達自体はデジタルサービスモール登録、調達庁ナラジャント（나라장터）など別途の手続きを経る必要があります。