CSAP가 뭐예요?
CSAP(클라우드 보안인증제)를, 빌린 창고(클라우드)를 왕의 점검관이 검사해 도장 찍어주는 이야기로 풀어봤어요.
관청이 바깥 창고를 빌리고 싶은데 걱정돼요.빌린 창고(클라우드)에 우리 장부를 맡겨도 될지, 서기는 확신이 없어요.
창고마다 안전하다고만 말해요.저마다 안전하다고 하는데, 공통 기준이 없어서 뭘 믿어야 할지 알 수 없어요.
CSAP는 왕의 점검관이 빌린 창고를 정해진 표로 검사하고 도장을 찍는 제도예요.점검관은 정해진 점검표로 검사하고 통과한 창고에만 도장을 찍어요. → 빌린 창고 문단속 점검은 도장을 찍은 뒤에도 계속해요.
창고 등급에 따라 맡길 수 있는 장부가 달라요.중요한 장부일수록 더 높은 등급의 창고가 필요해요.
도장을 받아도 점검은 끝나지 않아요.CSAP는 우리나라 제도라 해외엔 안 통하고, 도장 이후에도 문단속 점검은 계속돼요.
CSAP = 왕의 점검관이 빌린 창고(클라우드)를 정해진 표로 검사해 도장을 찍는 제도. 도장 없는 창고를 관청이 쓰려면 먼저 국정원과 협의해야 해요.
CSAP, Cloud Security Assurance Program(클라우드 보안인증제). 과학기술정보통신부가 운영하고 한국인터넷진흥원(KISA)이 인증 업무를 맡아, 클라우드 서비스의 물리적·기술적·관리적 보안 수준을 심사해 인증하는 제도예요. 공공기관이 민간 클라우드를 이용하려면 CSAP 인증과 국정원 보안 검증을 거친 서비스를 쓰는 게 기본이고, 다루는 정보의 민감도에 따라 등급이 나뉘어요. 기존의 IaaS·SaaS 표준·SaaS 간편 인증 체계가 상·중·하 등급제로 개편됐어요. 하등급은 개인정보 없는 공개 공공데이터를 다루는 시스템, 중등급은 비공개 업무자료를 다루는 시스템, 상등급은 안보·외교 같은 국가 중대이익이나 행정 내부업무를 다루는 시스템을 기준으로 삼아요(2023년 도입 당시 보도 기준). 2026년 9월 국정원은 CSAP와 국정원 보안 검증을 국정원 검증으로 합치고 등급도 N2SF의 기밀·민감·공개(C/S/O)로 바꾸는 개편 방향을 밝혔어요. 이르면 2027년 하반기 적용을 검토하고 있어요.
어른들은 이렇게 불러요
- CSAP
CSAP - 빌린 창고에 찍는 왕의 안전 도장. 한국 클라우드 보안인증제예요.
- KISA
KISA - 점검하는 왕의 점검관. 한국인터넷진흥원. 이 인증의 업무를 맡아요.
- 상·중·하 등급제
High/Mid/Low Tiers - 창고를 안전도별로 나눈 것. 다루는 정보가 민감할수록 더 높은 등급의 창고가 필요해요.
- 공공기관 이용 조건
Condition for public agencies - 도장 없는 창고는 관청이 국정원과 먼저 협의해야 해요. 공공 클라우드 전환의 전제 조건이에요.
- CSPM
CSPM - 도장 이후에도 계속하는 문단속. CSAP는 기한마다 다시 받는 인증, CSPM은 그 사이에도 계속하는 점검이에요. → 빌린 창고 문단속 점검
- 클라우드
Cloud - 빌린 창고. 성 밖에 두고 빌려 쓰는 창고예요.
- 물리 보안
Physical security - 창고 건물 자체의 안전. 점검표의 한 항목이에요.
- 규정 준수
Compliance - 규칙을 지켰는지 점검관이 확인하는 일 전반. CSAP는 클라우드에 한정된 규정 준수 제도예요. → 이웃 나라 규칙 검사관