CSAP (클라우드 보안 인증)

문서 기준: 2026년 8월

개요

CSAP(Cloud Security Assurance Program, 클라우드 서비스 보안인증제)는 정부·공공기관에 클라우드 서비스를 공급하려는 사업자가 반드시 획득해야 하는 인증 제도입니다. 한국인터넷진흥원(KISA)이 평가를 수행하며, 클라우드 서비스의 물리적·기술적·관리적 보안 통제 수준을 심사합니다.

인증은 서비스 유형에 따라 IaaS, SaaS(표준/간편), DaaS로 구분되며, 유효기간은 5년입니다. 2024년 2월부터는 기존의 단일 기준 대신 상/중/하 등급제가 전면 시행되어, 시스템의 중요도에 따라 요구 수준이 달라집니다.

등급 구분 (상/중/하)

등급	대상 시스템	주요 요건
상 (High)	안보·외교 등 국가 핵심 이익과 직결되는 시스템, 행정기관 내부 업무용 시스템	외부 네트워크 차단(사실상 프라이빗 클라우드 강제), 통합 보안감사 로그 관리, 계정·접근권한 자동화, 보안패치 자동화 등 4개 항목 추가
중 (Medium)	개인정보·중요 정보를 처리하는 일반 공공 시스템	기존 IaaS 인증 수준을 계승. 시스템 격리·물리적 구역 분리 항목을 명확화. 물리적 망분리 및 운영 인력의 국내 상주 요구
하 (Low)	개인정보를 포함하지 않는 공개 데이터 운영 시스템	2024년 신설. 상·중 등급 대비 요건을 합리적으로 완화하여 외산 클라우드의 초기 진입 문턱으로 활용

세 등급 모두 공통적으로 데이터 국내 저장(로컬라이제이션), 한국 개발 암호화 알고리즘(ARIA, SEED 등) 지원, 운영 인력의 국내 상주를 요구합니다. 중·상 등급은 여기에 더해 물리적 망분리를 요구하기 때문에, 글로벌 리전 인프라를 그대로 활용하는 하이퍼스케일러에게는 진입장벽으로 작용해 왔습니다.

벤더별 인증 현황

하이퍼스케일러

벤더	인증 등급	취득 시점	비고
Microsoft Azure	하	2024년 12월	3사 중 최초 취득
Google Cloud	하	2025년 2월
AWS	하	2025년 3월 28일	컴퓨팅·스토리지·네트워킹·데이터베이스·보안 등 서울 리전 서비스 대상
OCI (Oracle)	중 등급 취득 목표로 준비 중	—	데이터베이스 중심 워크로드를 겨냥해 중등급 이상을 1차 목표로 신청 준비 중이라는 보도가 있으나, 취득 완료 여부는 공식 확인이 필요합니다

2025년 상반기까지 AWS·Azure·Google Cloud 3사가 모두 CSAP 하등급을 취득하면서, 개인정보를 다루지 않는 공개 데이터 시스템에 한해 국내 공공기관이 하이퍼스케일러를 이용할 수 있는 길이 열렸습니다. 다만 하등급은 중요 정보를 다루는 시스템에는 적용할 수 없다는 점에 유의해야 합니다.

국내 CSP

벤더	현황
네이버클라우드	IaaS/SaaS 다수 서비스에 대해 CSAP 인증 보유. 공공부문 SaaS 개발·검증 사업 등 정부 사업에 지속 참여
KT클라우드	KT G-Cloud(IaaS)가 2021년 10월부터 2026년 10월까지 CSAP 인증 유지
NHN클라우드	오픈스택 기반 인프라로 CSAP 인증을 획득해 공공 클라우드 시장에서 지분을 확대 중
삼성SDS	삼성 클라우드 플랫폼이 CSAP 인증을 보유하고 있으며, 국가정보자원관리원(국자원) 등과 연계한 공공 사업에 참여
카카오클라우드	CSAP 인증을 보유했던 이력이 있으나, 2025년 공공부문 SaaS 개발·검증 사업에는 참여 의사를 전달하지 않은 것으로 알려짐

2026년 개편 동향 — 국정원 단일 검증체계

2026년 4월 20일, 과학기술정보통신부와 국가정보원이 공공 클라우드 보안 검증 체계를 개편한다고 공동 발표했습니다. 핵심 내용은 다음과 같습니다.

그동안 과기정통부(민간 CSAP)와 국정원(공공 보안적합성 검증)이 이중으로 수행하던 검증을 “국정원 클라우드 보안검증”으로 일원화합니다.
기존 CSAP의 4개 규범 중 1–3규범은 과기정통부 ISMS에 통합되어 자율인증(임의 취득)으로 전환되고, 공공 보안요건인 별표4는 국정원 검증에 통합됩니다.
이에 따라 과기정통부가 10년간 운영해 온 민간 대상 CSAP 제도 자체는 단계적으로 폐지 수순을 밟습니다.
시행 시기는 2027년 7월로, 관련 고시 개정 후 약 1년의 유예기간을 거칩니다. 그 이전에 이미 CSAP 인증을 취득한 서비스는 현재의 5년 유효기간을 그대로 인정받습니다.

이 개편은 2025년 말부터 논의된 “CSAP 취득 후 국정원 검증”이라는 이중 절차를 단순화하려는 흐름의 연장선입니다. 2025년 12월에는 과기정통부가 관련 고시를 개정해 국정원 보안적합성 검증만으로 공공 진출을 허용하고, CSAP 취득 과정에서 이미 검증된 항목은 재검토에서 제외하는 방안을 추진 중이라고 밝힌 바 있습니다.

공공기관 도입 시 고려사항

등급 선정은 시스템 중요도가 기준입니다. 개인정보·중요 정보를 다루는 시스템에 하등급 인증 벤더를 사용할 수 없으므로, 도입 초기에 데이터 분류와 목표 등급을 먼저 확정해야 합니다.
물리적 망분리 요건(중·상 등급)은 아키텍처 설계에 직접적인 영향을 줍니다. 하이퍼스케일러의 글로벌 표준 아키텍처를 그대로 이식하기 어려운 경우가 많으므로, 국내 리전·전용 인프라 옵션을 사전에 확인하세요.
SaaS는 기반 IaaS의 CSAP 등급에 종속됩니다. SaaS 자체 인증과 별개로, 구동되는 IaaS의 인증 등급과 범위를 함께 확인해야 합니다.
2027년 개편 이후의 절차 변화에 대비해, 신규 사업 계약이나 장기 인증 로드맵을 세울 때는 국정원 단일 검증체계로의 전환 일정을 함께 고려하는 것이 안전합니다.
CSAP는 국내 공공기관 조달의 전제 조건일 뿐, 조달 자체는 디지털서비스몰 등록, 조달청 나라장터 등 별도 절차를 거쳐야 합니다.