클라우드 보안인증, 확인할 자산과 보완 날짜를 따로 관리하세요

인증 절차를 지키라는 안내입니다

클라우드는 인터넷을 통해 서버나 소프트웨어 등을 이용하는 방식입니다. CSAP는 클라우드 서비스의 보안을 확인하는 인증제도입니다. 한국인터넷진흥원(KISA)은 2026년 9월 30일 주요 절차 준수사항을 안내했습니다. 새 법령을 만들거나 별도의 새 시행일을 발표한 자료는 아닙니다.

공지는 IaaS 인증범위의 기능·서비스 관리와 보완조치확약서 작성 기준·기한을 다룹니다. IaaS는 서버·저장공간 같은 기반을 서비스로 제공하는 방식입니다. SaaS는 소프트웨어를 서비스로 이용하는 방식입니다. 첫 항목의 IaaS 범위 안내를 모든 SaaS나 모든 정보보호 인증에 그대로 적용하면 안 됩니다. 자기 평가 유형에 맞는 안내를 확인하세요.

웹포털도 인증범위 안의 자산인지 확인하세요

자산은 서비스를 운영하는 데 쓰는 시스템이나 장비 등을 뜻합니다. 공지는 인증범위에 든 기능·서비스의 관련 자산이 보안 기준을 충족해야 하며 취약점 점검과 침투테스트 대상이라고 설명합니다. 취약점은 공격받기 쉬운 약점입니다. 침투테스트는 실제 공격을 흉내 내어 보안 약점을 확인하는 시험입니다.

관련 자산을 찾아 자산관리대장에 적고 예비점검에서 평가기관과 테스트 대상을 협의해야 합니다. 예비점검은 본 평가 전 확인 절차입니다. 공지에서 예로 든 웹포털을 단순한 화면이라고 생각해 빠뜨리지 마세요. 서비스 구성과 자산 목록을 비교하고 누가 운영·변경하는지 확인하세요. 이는 편집부의 준비 제안이며 실제 테스트 범위는 평가기관과 정해야 합니다.

보완확약은 혼자 해결할 수 없는 문제에 관한 절차입니다

부적합은 인증 기준에 맞지 않는 사항입니다. 보완조치확약은 신청인이 독립적으로 해결할 수 없는 부적합의 조치기한을 한시적으로 미루는 절차로 안내됐습니다. 예를 들면 IaaS 제공자나 상용 소프트웨어 개발사의 지원 같은 외부 요인이 있습니다. 내부 준비가 늦었다는 이유만으로 누구나 쓰는 연장 권리가 아닙니다.

외부 도움을 받아야 한다면 요청한 내용, 상대방의 대응 일정, 회사가 할 수 있는 조치와 아직 외부에 의존하는 일을 나눠 정리하세요. 왜 혼자 해결할 수 없는지 자료로 설명해야 합니다. 사유가 인정되는지는 공식 절차로 확인하세요.

원칙 3개월과 최대 6개월은 다릅니다

공지는 조치기한을 원칙 3개월 이내로 하고 필요한 경우 최대 6개월로 엄격히 제한한다고 설명합니다. 정해진 이행조치 기간을 넘겨야 하는 구체적이고 타당한 사유가 필요합니다. 모든 신청 기업에 자동으로 6개월이 주어지는 것은 아닙니다.

공식적으로 승인되거나 확인한 기한과 회사가 예상하는 완료일을 따로 기록하세요. 협력사의 일정이 바뀌어도 공식 기한이 자동으로 바뀌지는 않습니다. 늦어질 가능성이 보이면 평가기관에 확인할 절차를 문의하고 실제 조치와 남은 사항을 사실대로 알려야 합니다.

매월 무엇이 달라졌는지 기록하세요

안내는 평가기관을 통해 매월 조치 진행현황을 확인하도록 합니다. 완료한 일, 검증 결과, 남은 문제와 외부 요청 현황을 월별로 적어 두세요. 단순히 진행 중이라고 쓰기보다 지난달보다 무엇이 달라졌는지 설명할 수 있게 기록하는 것이 좋습니다.

보완자료가 실제 서비스 버전과 대상 자산에 맞는지도 확인하세요. 민감한 보안정보는 공식 제출 목적에 필요한 범위로 전달해야 합니다. 인증 절차를 진행하거나 보완확약을 냈다는 사실만으로 인증을 얻거나 공공입찰에 참여할 자격이 생기지는 않습니다. 최신 인증 안내와 해당 공고의 요구조건은 각각 확인하세요.

실제 공고와 공식 평가 안내를 함께 보세요

원로드에서 클라우드 관련 공고를 검색하고 상세 내용을 읽으며 인증과 서비스 범위 요구사항을 확인할 수 있습니다. 실제 CSAP 평가범위와 보완기한은 KISA와 평가기관의 공식 안내에서 따로 확인하세요. 자료 확인과 인증 절차 진행의 책임은 신청 기업에 있습니다.