2025년 최신 CSAP(클라우드 보안인증제) 완전 가이드: 제도 개요부터 신청·갱신·FAQ까지

1. 요약

• 2025년 5월 20일 기준으로, 국내 클라우드 보안인증제도인 CSAP(Cloud Security Assurance Program)은 한국인터넷진흥원(KISA)이 주관하여 공공 클라우드 서비스 제공을 위한 핵심 인증 체계로 자리잡았습니다. CSAP의 도입 배경은 2019년 시행된 정부 정책 개정으로, 공공기관이 클라우드를 안전하게 활용할 수 있는 기반을 마련하고 보안 우려를 해소하기 위해 설계되었습니다. 제도의 목적은 클라우드 환경에서 제공되는 서비스의 보안 수준을 객관적으로 평가하고, 이를 통과한 서비스가 공공기관의 요구사항을 충족할 수 있도록 지원하는 것입니다.

• 현재 CSAP 인증은 공공 클라우드 서비스에 필수적이며, 인증 현황에 따르면 2022년부터 2025년 동안 다양한 SaaS 서비스가 인증을 받았습니다. 이들 서비스는 각각 최대 3년의 인증 유효기간을 가지고 있으며, 인증 등급은 하, 간편, 표준으로 구분됩니다. 각 등급의 차별화된 요구사항은 인증을 신청하는 기업이 전략적으로 선택할 수 있는 옵션을 제공합니다.

• CSAP 인증 절차는 신청 자격, 필수 제출 서류, 수수료 산정 및 인증 평가 단계 등을 포함하며, 인증 받은 서비스는 지속적인 사후 관리가 요구됩니다. 특히, 인증 유효기간이 짧고 갱신이 필수적이므로, 기업은 인증 만료 6개월 전부터 갱신 준비를 시작해야 합니다. 인증 후에는 정기적인 보안 점검과 취약점 분석을 통해 지속 가능한 서비스 품질을 유지해야 하며, 이러한 활동은 고객의 신뢰를 얻는 데 기여합니다.

• 마지막으로, CSAP 관련 FAQ를 통해 클라우드 서비스 제공 시 빈번하게 묻는 질문들을 정리하였으며, 이는 기업이 인증 기준에 대한 이해를 높이고 효율적인 인증 신청을 도울 수 있도록 합니다. 모든 정보는 현재 시점에서의 정확한 상황을 반영하고 있으며, 클라우드 서비스 제공자로서의 경쟁력을 강화하는 데 중요한 가이드를 제공합니다.

2. CSAP 제도 개요 및 도입 배경

• 2-1. CSAP 정의와 목적

• CSAP(Cloud Security Assurance Program)는 한국인터넷진흥원(KISA)이 주관하는 클라우드 서비스 보안 인증 제도로, 공공 클라우드 서비스 제공을 위한 필수 인증체계입니다. 이 제도의 주 목적은 클라우드 환경에서 제공되는 서비스의 보안 수준을 객관적으로 평가하고 인증함으로써, 공공기관이 클라우드를 안전하게 활용할 수 있도록 지원하는 것입니다. CSAP 인증을 받은 서비스는 엄격한 보안 기준을 통과한 것으로 간주되며, 이는 공공기관에서 요구하는 보안 요구사항을 충족할 수 있음을 뜻합니다.

• 2-2. 2019년 정책 개정과 제도 출발

• CSAP 제도는 2019년 클라우드 도입을 위한 정부 정책이 개정됨에 따라 본격적으로 출발했습니다. 이 정책 개정은 공공기관이 클라우드를 활용할 수 있는 기반을 마련하기 위한 조치로, 공공기관의 보안 우려를 해소하기 위한 목적으로 진행되었습니다. 제도 시행 초기에는 공공 클라우드 서비스에 대한 신뢰성을 높이기 위해 각기 다른 보안 요구사항을 종합하여 인증 기준을 설정하였으며, 이는 클라우드 서비스 제공업체가 반드시 준수해야 할 최소한의 보안 지침을 제시합니다.

• 2-3. 공공기관 보안 우려 해소를 위한 필요성

• CSAP 제도는 특히 공공기관이 클라우드 서비스를 도입하는 데 있어 가장 큰 장벽인 보안 우려를 해소하기 위해 설계되었습니다. 공공기관은 기밀성과 안정성을 요구하는 다양한 정보를 다루고 있기 때문에, 클라우드 서비스의 보안 상태에 대한 검증이 필수적입니다. CSAP 인증을 통해 클라우드 제공업체는 독립적인 보안 평가를 받게 되며, 이는 고객에게 보안문제를 보다 투명하게 보여줄 수 있는 기회를 제공합니다. 이러한 프로세스는 기관의 클라우드 서비스 선택을 용이하게 하고, 궁극적으로는 클라우드 기반 공공 서비스의 질을 향상시키는 데 기여합니다.

3. CSAP 인증 현황 및 적용 범위

• 3-1. KISA 주관 인증 현황(2022~2025)

• 2025년 05월 20일 현재, 한국인터넷진흥원(KISA)은 클라우드 보안 인증제도(CSAP) 아래에서 여러 기업의 SaaS 서비스에 대한 인증을 수행하고 있습니다. CSAP 인증은 공공 클라우드 서비스 제공에 필수적인 조건으로 자리 잡고 있으며, 다양한 서비스가 각기 다른 인증 등급으로 마련되어 있습니다.

• 2022년부터 2025년까지의 인증 현황을 살펴보면, 다수의 클라우드 서비스가 SaaS 간편등급으로 인증을 받았으며, 특히 디지털 사이니지 통합 관제 플랫폼, 도매시장 유통정보 시스템, NAVER WORKS for 공공용 등은 2022년 말 기준으로 인증을 획득하였습니다. 이들 서비스는 각각 2022년 11월 30일부터 2025년 11월 29일까지 인증 유효기간을 보유하고 있습니다.

• CSAP의 인증 등급은 상, 중, 하로 구분되며, 현재까지 주로 하등급과 간편등급이 많이 활용되고 있습니다. 이러한 경향은 공공 클라우드 시장에 진입하고자 하는 민간 기업에게 비교적 낮은 진입 장벽을 제공하며 활성화의 계기가 되고 있습니다.

• 3-2. 인증 등급별 구분(SaaS 간편등급 등)

• CSAP에서 제공하는 인증 등급은 클라우드 서비스의 중요도 및 특성에 따라 상이합니다. 각각의 등급은 서비스 이용 기관의 특성과 시스템 중요도에 따라 차별적인 평가기준을 적용받습니다. 현재 CSAP 인증의 등급은 크게 하등급, 간편등급, 표준등급으로 구분됩니다.

• 하등급은 상대적으로 보안 요구사항이 덜 엄격하여 소규모 사업자가 접근하기 용이한 반면, 간편등급은 특정 조건을 충족하는 서비스에 대해 신속하게 인증을 받을 수 있는 장점이 있습니다. 표준등급은 보다 높은 수준의 보안 기준을 요구하며, 공공부문에서의 신뢰성을 확보하는 데 기여합니다. 즉, 각 등급에 따른 요건의 차별성은 인증 신청 기업의 전략에 맞춰 선택할 수 있는 옵션을 제공합니다.

• 따라서, 서비스 제공자는 자신의 서비스가 위치하는 시장 상황 및 요구하는 고나려 사항에 따라 적합한 인증 등급을 신중하게 판단해야 합니다.

• 3-3. 공공부문·민간부문 서비스 적용 범위

• CSAP 인증은 공공기관에 제공되는 클라우드 서비스는 물론, 민간 부문에서도 요구되고 있습니다. 특히, 인증 대상은 국가·공공기관을 대상으로 하는 클라우드 서비스 제공기업으로 한정되며, 이러한 서비스는 기본적으로 클라우드 컴퓨팅 기술을 활용하여 IaaS, PaaS, SaaS 등 다양한 형태로 제공됩니다.

• CSAP 인증이 요구되는 이유는 공공기관의 개인정보 보호 및 정보보안 요구사항을 충족하기 위해서이며, 이는 클라우드 서비스의 신뢰성을 크게 강화하는 역할을 합니다. 따라서 민간 기업이 공공부문에 진출하기 위해서는 필수적으로 CSAP 인증을 확보해야 합니다.

• 또한, CSAP 인증의 적용 범위는 인증 받으려는 서비스에 포함된 자산, 조직 구조와 지원 서비스 등 전체 서비스의 모든 구성 요소를 포함해야 하며, 인증평가가 이루어지는 클라우드 환경 내 모든 관련 요소가 검토됩니다. 이는 서비스 제공업체가 클라우드 서비스 제공체계를 전반적으로 이해하고, 필요한 보안 조치를 효과적으로 준비해야 함을 의미합니다.

4. CSAP 인증 절차 및 신청 가이드

• 4-1. 신청 자격 및 제출 서류

• CSAP 인증을 신청할 수 있는 주체는 행정기관 및 공공기관에 상용 클라우드컴퓨팅 서비스를 제공하고자 하는 자입니다. 이들은 '클라우드컴퓨팅법' 제2조에서 정의한 클라우드컴퓨팅 서비스에 해당해야 합니다. 신청을 위해서는 다음과 같은 서류를 제출해야 합니다: 1) 클라우드컴퓨팅서비스 보안인증 신청서 1부, 2) 취약점 점검 및 모의침투 동의서 1부, 3) 클라우드컴퓨팅서비스 보안인증 명세서 1부, 4) 클라우드컴퓨팅서비스 보안운영 명세서 1부, 5) 클라우드컴퓨팅서비스 관련 자산관리대장 1부, 6) 사업자등록증 1부, 7) 중소기업확인서 1부(인증 수수료 지원 희망 시), 8) 수수료 할인 증빙 서류 1부(인증 수수료 할인 신청 시). 특히 중소기업확인서는 중소기업벤처부에서 발급하는 이노비즈확인서로 대체할 수 없으며, 반드시 중소기업확인서를 제출해야 합니다.

• 4-2. 수수료 산정 방식

• CSAP 인증의 수수료는 인증평가 유형과 신청 기업의 자산 규모, 평가 유형에 따라 달라집니다. 수수료는 인증 기관인 한국인터넷진흥원에서 산정하며, 정해진 방식에 따라 인증평가 업무에 필요한 직접인건비, 제경비, 기술료 등 실비 범위 내에서 결정됩니다. 수수료 예상 금액은 클라우드보안인증제 홈페이지의 자료실에서 확인할 수 있으며, 신청 기업이 인증 수수료를 납부하지 않으면 인증평가가 실시되지 않으므로 유의해야 합니다.

• 4-3. 인증평가 단계별 절차

• CSAP 인증평가는 여러 단계로 이루어지며, 주요 절차는 아래와 같습니다: 1) 예비점검: 평가기관은 인증평가에 착수하기 전 신청기업이 준비가 완료되었는지를 확인합니다. 2) 최초평가: 신청기업의 클라우드 서비스에 대한 심사가 시작됩니다. 평가 시 실제 운영중인 서비스를 기준으로 진행됩니다. 3) 보완조치: 평가 결과에 따라 필요할 경우 보완작업을 요구합니다. 4) 이행점검: 보완작업이 완료된 후 점검이 실시됩니다. 5) 인증위원회: 최종 인증여부에 대한 심의가 이뤄지고, 인증서가 발급됩니다. 이러한 과정은 일반적으로 4~6개월 정도 소요되며, 기업의 준비상황에 따라 유동적입니다.

5. 사후관리 및 갱신 절차

• 5-1. 인증 유효기간 및 갱신 시점

• CSAP 인증은 인증서가 발급된 날로부터 3년간 유효합니다. 인증 유효기간이 종료되기 6개월 전에는 갱신 준비를 시작해야 하며, 이 시점에서 기업은 인증 갱신에 필요한 모든 문서와 자료를 준비해야 합니다. 특히, 인증을 받으려는 클라우드 서비스는 시간이 지나면서 운영 환경, 정책 등이 변경될 수 있으므로, 이에 대한 점검이 필수적입니다. 갱신 신청은 만료일 3개월 이내에 해야 하며, 만약 이 시점을 놓친다면 새로운 인증을 다시 신청해야 할 수 있습니다.

• 5-2. 사후관리 활동 요구사항

• CSAP 인증을 획득한 기업은 인증 이후에도 지속적인 사후관리를 해야 합니다. 사후활동에는 정기적인 보안 점검, 취약점 분석 및 이에 대한 보완 조치가 포함됩니다. 또한, 인증을 받은 후 클라우드 서비스와 관련된 변경 사항이 있을 경우, 이러한 사항에 대해 인증기관에 사전 통지를 해야 합니다. 이러한 사후관리 작업은 인증의 지속적인 유효성을 확인하고, 결국 고객의 신뢰를 유지하는 데 중요한 역할을 합니다.

• 5-3. 갱신 신청 프로세스

• 갱신 신청 프로세스는 다음과 같은 단계로 이루어집니다. 먼저, 기업은 사전점검을 통해 갱신을 위한 준비가 되어있는지 확인합니다. 그 다음으로, 관련 서류를 준비하여 한국인터넷진흥원에 제출해야 합니다. 제출해야 할 서류에는 기존 인증과 관련된 운영 및 보안 점검 보고서, 갱신 신청서, 갱신에 필요한 기타 모든 문서가 포함됩니다. 가급적이면 갱신 신청은 인증서 유효기간 만료 3개월 전에는 완료해야 하며, 이 과정에서 인증기관의 요구에 따라 추가적인 보안 점검이나 변경 사항을 제출할 수 있습니다. 최종적으로, 제출한 서류를 바탕으로 인증 평가가 진행되며, 성공적으로 갱신이 완료되면 새로운 인증서가 발급됩니다.

6. CSAP 관련 FAQ 핵심 정리

• 6-1. 대상 서비스 범위 문의

• CSAP 인증은 클라우드컴퓨팅 기술을 활용하여 제공되는 퍼블릭 클라우드 서비스에 대해 적용됩니다. 이는 정보 시스템의 인프라(IaaS), 응용 프로그램(SaaS), 개발 환경(PaaS) 등을 포함하며, 인증받으려는 클라우드 서비스는 관련 자산 및 조직이 인증 범위에 포함되어야 합니다. 인증 대상은 국가 및 공공기관에 상용 클라우드 서비스를 제공하고자 하는 모든 기업이 해당됩니다. 주의할 점은, 인증을 받고자 하는 클라우드 서비스와 관련된 자산이나 운영 시스템이 국외에 있을 경우 인증에 어려움을 겪을 수 있다는 것입니다.

• 6-2. 신청·수수료 관련 주요 질문

• CSAP 인증을 신청하기 위해서는 기본적으로 클라우드컴퓨팅서비스 보안인증 신청서를 작성하여 한국인터넷진흥원에 제출해야 합니다. 필요한 서류로는 취약점 점검 및 모의 침투 동의서, 인증 명세서, 사업자 등록증 등이 포함됩니다. 인증 수수료는 인증평가 유형, 자산 규모, 신청기업의 요청에 따라 달라지며, 예비 점검 후 수수료가 산정됩니다. 특히 중소기업의 경우 인증 수수료의 일부가 지원될 수 있으며, 공공기관에 클라우드 서비스를 제공하고자 하는 모든 기업은 CSAP 인증을 받는 것이 바람직합니다.

• 6-3. 평가 기간 및 결과 활용 방안

• CSAP 인증은 일반적으로 신청 후 인증서 발급까지 약 4~6개월의 기간이 소요됩니다. 이 과정에는 신청서 접수, 최초 평가, 보완 사항 조치, 이행 점검, 인증 위원회 등의 단계가 포함됩니다. 인증을 받아야 하는 서비스의 특성에 따라 이행 조치가 다를 수 있으므로 각 기업은 이를 사전에 준비해야 하며, 인증 결과는 공공 및 민간 부문에서의 클라우드 서비스 제공에 있어 필수적인 신뢰성 요소로 작용합니다. 인증 완료 후에는 정기적인 사후 관리가 요구되며, 이를 통해 보안 기준 유지 및 갱신이 진행됩니다.

결론

• CSAP는 공공 클라우드 시장 진출을 위한 필수 관문으로 확고히 자리매김하였습니다. 현재까지 인증의 대상, 절차, 그리고 사후 관리 요구사항이 체계적으로 마련되었으며, 이는 기업들이 공공기관에 클라우드 서비스를 제공함에 있어 전략적으로 대응할 수 있는 발판을 제공합니다. 특히, 2025년 말까지 유효한 인증 현황을 고려할 때, 기업들은 중장기적인 클라우드 전략을 수립하고 안정적인 시장 진입을 위해 CSAP 인증을 필수적으로 확보해야 합니다.

• 앞으로 클라우드 서비스 확장과 함께 새로운 보안 위협들이 나타날 것으로 예상되므로, 기업들은 정기적인 인증 갱신 준비와 사후 관리 강화를 통해 이러한 변화에 유연하게 대응할 필요가 있습니다. 본 가이드를 통해 인증 과정에 있어 초기 대응, 인증 획득 그리고 사후 관리까지 전 과정을 점검하는 데 도움이 될 것입니다.

• 결론적으로, CSAP 인증은 단순한 규제 준수를 넘어, 클라우드 서비스 제공 기업이 고객에게 신뢰받는 서비스를 제공할 수 있도록 하는 중요한 기준이 됩니다. 기업들은 CSAP 인증을 통해 클라우드 기반 서비스의 품질을 향상시키고, 지속적인 발전을 도모하여 고객의 기대에 부응해야 할 것입니다.

용어집

• CSAP: CSAP(Cloud Security Assurance Program)는 한국인터넷진흥원(KISA)이 주관하는 클라우드 서비스 보안 인증 제도로, 공공 클라우드 서비스 제공에 필요한 필수 인증 체계입니다. 제도의 주요 목적은 클라우드 서비스의 보안 수준을 객관적으로 평가하고 인증하여, 공공기관이 클라우드를 안전하게 활용할 수 있도록 지원하는 것입니다.

• KISA: KISA(한국인터넷진흥원)는 클라우드 보안 인증제도인 CSAP를 운영하고 있는 기관으로, 클라우드 서비스의 보안 기준을 설정하고 해당 인증 절차를 수행합니다. 현재 KISA는 다양한 기업의 클라우드 서비스 인증을 통해 공공기관의 보안 요구사항을 충족시키기 위해 노력하고 있습니다.

• 인증절차: CSAP 인증절차는 신청 자격 확인, 필수 제출 서류 검토, 인증 평가, 이행 점검 등의 여러 단계로 구성됩니다. 이러한 절차는 일반적으로 4~6개월 소요되며, 정확한 인증 평가를 통해 서비스의 보안 수준이 검증됩니다.

• 갱신: CSAP 인증은 발급일로부터 3년간 유효하며, 인증 유효기간이 만료되기 6개월 전부터 갱신 준비를 시작해야 합니다. 갱신 신청은 만료일 3개월 이내에 진행해야 하며, 만약 잊었을 경우 새로운 인증을 다시 신청해야 할 수 있습니다.

• 사후관리: CSAP 인증을 받은 기업은 인증 후에도 정기적인 보안 점검, 취약점 분석 등을 통한 사후관리를 수행해야 합니다. 이러한 사후관리 활동은 인증의 지속적인 유효성을 확인하고 고객의 신뢰를 유지하는 데 필수적입니다.

• SaaS: SaaS(Software as a Service)는 사용자에게 소프트웨어 애플리케이션을 서비스 형태로 제공하는 모델입니다. CSAP에서는 IaaS, PaaS와 함께 SaaS 서비스에 대해서도 인증을 요구하며, 공공 클라우드 서비스의 중요한 구성 요소입니다.

• 수수료: CSAP 인증을 위한 수수료는 인증 평가 유형, 신청 기업의 자산 규모에 따라 다르게 산정됩니다. 수수료는 인증기관에서 실비 범위 내에서 결정되며, 신청 기업이 이를 납부하지 않으면 인증 평가가 실시되지 않으므로 유의해야 합니다.

• 정보 보안: 정보 보안은 데이터를 불법적으로 접근하거나 손상, 유출하는 것을 방지하기 위한 관행과 기술을 의미합니다. CSAP 인증은 정보 보안을 매우 중시하며, 공공기관이 요구하는 보안 기준을 충족하기 위해 설계되었습니다.

출처 문서

• https://isms.kisa.or.kr/board/file/bbs_0000000000000004/71/FILE_000000000001092/20241004171238000-2128754228;jsessionid=907A8A3E09A48B4F8C13A47D11FB7479
• CSAP(Cloud Security Assurance Program) 이란? - vloguehttps://inblog.ai/vlogue/csapcloud-security-assurance-program-%EC%9D%B4%EB%9E%80-34885
• 와탭! CSAP(클라우드 보안인증제) 인증 받다 > 블로그 | WhaTaphttps://www.whatap.io/bbs/board.php?bo_table=blog&wr_id=43&page=9