CSAP · 클라우드 보안인증

CSAP이란?

CSAP가 걸리는 순간 공공 영업의 순서가 뒤집힙니다. 민간에서는 데모와 가격으로 붙지만 공공 공고문은 참가 자격란에 인증 보유 여부를 못 박아 두는 경우가 많아, 제안서를 쓰기 전에 자격 심사에서 잘려 나갑니다. 그래서 인증은 보안팀 혼자의 숙제가 아니라 제품 로드맵과 인프라 계약을 같이 흔듭니다. 어느 사업자의 국내 리전에 올릴지, 공공용 환경을 민간과 분리해 이중으로 운영할지, 그 증설 비용을 누가 감당할지가 신청서를 내기 전에 결정되어야 하기 때문입니다.

인증은 서비스 형태에 따라 IaaS·PaaS·SaaS·DaaS로 나뉘고, SaaS는 다시 표준과 간편으로 갈립니다. 간편 쪽은 민감도가 낮은 정보를 다루는 서비스에 완화된 항목을 적용하는 트랙이라, 협업 도구나 일정·근태 같은 SaaS가 첫 관문으로 삼는 일이 많습니다. 여기에 시스템 중요도에 따른 상·중·하가 얹히면서 상 등급은 망 분리와 물리적 요구까지 붙어 사실상 별도 인프라를 새로 짓는 수준이 됩니다. 유효기간과 사후평가 주기, 등급별 평가 항목은 고시 개정마다 달라지므로 신청 직전에 최신 고시본으로 다시 대조하는 편이 안전합니다.

ISMS-P를 받았으니 금방 되지 않겠느냐는 말도 자주 나오지만 두 인증은 보는 대상이 다릅니다. ISMS-P가 조직의 관리체계를 보는 인증이라면, CSAP는 특정 클라우드 서비스 한 개에 붙는 조달 자격입니다. 관리체계 문서와 내부 감사 이력이 있으면 준비 기간은 줄지만, 접근통제·암호화·로그 보관·침해사고 대응은 운영 화면과 실제 로그로 증빙해야 해서 문서만 손봐서는 통과되지 않습니다.

현장에서 가장 크게 어긋나는 지점은 인증의 범위입니다. '인증받은 IaaS 위에 올렸으니 끝났다'고 여기는 회사가 많은데, 기반 인프라 인증과 그 위에서 도는 SaaS 인증은 별개라 SaaS는 자기 이름으로 다시 받아야 합니다. 범위가 서비스 단위로 끊기는 탓에 인증받은 제품에 새 모듈을 붙이거나 아키텍처를 바꾸면 그 부분은 인증 밖으로 나가고, 발주처 실사에서 이게 드러나면 감점이나 계약 해지로 이어집니다. 인증 이후에도 변경 이력을 사후평가 기준으로 관리하지 않으면 갱신 시점에 한꺼번에 터집니다.