2026 CSAP 간편등급 준비 체크리스트 — SaaS 사업자 실전 가이드

"공공기관에 SaaS 납품하려는데, CSAP가 없으면 입찰 자체가 안 된다"는 이야기를 듣고 이 글을 찾아오셨다면 제대로 오셨습니다. 디지털플랫폼정부 기조로 공공 SaaS 도입이 빠르게 늘면서, CSAP(클라우드 보안인증)는 이제 "있으면 좋은 것"이 아니라 "없으면 시작도 못 하는 것"이 됐습니다.

문제는 처음 준비하는 보안·인프라 담당자가 가장 먼저 막히는 지점이 의외로 단순하다는 데 있습니다. "우리 서비스는 표준등급이야 간편등급이야?" 여기서부터 헷갈리면 견적도, 일정도, 산출물 준비도 전부 어긋납니다. 이 글은 그 첫 단추부터 신청 절차·비용, 자주 탈락하는 통제 항목, 복붙해서 바로 쓰는 산출물 목록까지 한 번에 정리합니다.

⚠️ 면책 안내: 평가 항목 수·세부 비용·소요 기간은 KISA 및 평가기관(인증기관)의 최신 고시와 견적에 따라 달라집니다. 아래 수치는 실무 준비를 위한 개략 가이드이며, 반드시 KISA CSAP 공식 안내와 평가기관 상담으로 최종 확인하세요.

표준등급 vs 간편등급: 우리 서비스는 어디에 해당하나

2026년 현재 CSAP는 처리하는 정보의 중요도에 따라 등급제(하/중/상)로 운영되며, SaaS 사업자에게 실무적으로 가장 중요한 구분은 "비중요 정보 → 간편등급(하 등급 트랙)", **"중요 정보 → 표준등급"**입니다. 대부분의 협업툴·일정관리·CRM 같은 일반 업무용 SaaS는 간편등급 대상에 해당합니다.

판단 팁: 우리 서비스가 처리하는 정보가 "유출돼도 국민/행정에 미치는 영향이 제한적인가?"를 먼저 따져 보세요. 그렇다면 간편등급 트랙으로 준비하되, 발주처(수요기관)가 요구하는 등급을 사전에 반드시 확인해야 합니다. 기관이 '중' 등급을 요구하는데 '하'로 준비하면 입찰에서 무용지물입니다.

신청 절차·소요 기간·비용 로드맵

신청부터 인증서 발급까지는 짧게는 4개월, 보완이 길어지면 6개월 이상도 걸립니다. 일정을 거꾸로 계산해 입찰 시점에서 최소 6개월 전에는 착수하는 것을 권합니다.

비용은 시스템 규모·평가 범위에 따라 수천만 원대까지 편차가 큽니다. 정확한 금액은 평가기관 견적이 유일한 기준입니다.

자주 걸리는 통제 체크리스트 (복붙용)

사내 점검은 이 표를 그대로 복사해 시작하세요. 처음 준비할 때 가장 많이 지적받는 통제만 추렸습니다.

사전 준비 산출물 목록

평가는 결국 "문서로 증명"하는 과정입니다. 운영은 잘 하는데 문서가 없어 보완으로 밀리는 경우가 가장 흔합니다. 아래 산출물을 미리 채워 두세요.

흔한 탈락·보완 사유 — 미리 피하세요

실무에서 반복적으로 나오는 보완 사유입니다. 착수 전에 먼저 확인하면 한 라운드를 통째로 아낄 수 있습니다.

• 로그 보관기간 미달: "운영 편의상 30일만 보관" 같은 설정이 가장 흔한 지적. 기준 보관기간을 충족하도록 사전 설정.
• 관리자 MFA 미적용: 서비스 사용자에는 MFA를 걸어 두고 정작 관리자 콘솔은 ID/PW만 쓰는 경우. 반드시 관리자 계정 MFA 적용.
• IaaS CSAP 인증 미확인: SaaS가 올라탄 클라우드 인프라(IaaS) 자체가 CSAP 인증을 받았는지 확인하지 않은 사례. SaaS 인증은 인증받은 IaaS 위에서만 의미가 있습니다. CSP 인증 범위를 반드시 확인하세요.
• 물리적 분리 요건 오해: 간편등급도 표준등급 수준의 물리 분리가 필요하다고 과하게 해석하거나, 반대로 논리 격리 설계를 증빙 없이 주장하는 경우. 등급별 요건을 정확히 매핑.
• 정책문서와 실제 운영 불일치: 문서에는 "분기별 패치"라 써 두고 실제 패치 이력이 없으면 즉시 보완. 문서는 운영을 반영해야 하고, 운영은 문서대로 이뤄져야 합니다.

현장에서 느낀 한 가지

여러 첫 CSAP 준비 사례를 보면, 기술 통제보다 "문서-운영 일치"에서 시간을 가장 많이 까먹습니다. TLS, 암호화, MFA는 설정 한두 번이면 끝나지만, 정책문서에 적은 주기와 실제 운영 로그가 어긋나면 보완 라운드가 반복되며 한두 달이 사라집니다. 그래서 저는 산출물부터 만들지 말고, 현재 운영 상태를 먼저 정직하게 기록한 뒤 그에 맞춰 정책 문구를 정렬하라고 권합니다. 이상적인 정책을 먼저 쓰면 반드시 운영이 못 따라옵니다.

결론: 준비 우선순위 3단계

1. 등급 확정: 수요기관 요구 등급 + 처리 정보 중요도로 간편/표준을 먼저 확정한다.
2. 인프라 전제 확인: 올라탈 IaaS의 CSAP 인증 범위를 검증하고, MFA·로그 보관·암호화 등 빈출 탈락 항목부터 설정한다.
3. 문서-운영 정렬: 산출물 8종을 실제 운영 기준으로 작성하고, 정책과 실제 이력의 불일치를 제거한다.

이 3단계를 마치면 평가기관 상담에 들어갈 준비가 된 것입니다. 위 표들을 사내 위키에 복붙해 담당자별로 체크박스를 나눠 채워 보세요.

자주 묻는 질문 (FAQ)

Q. 우리는 비중요 SaaS인데 무조건 간편등급으로 가도 되나요? A. 처리 정보 기준으로는 간편등급 대상이라도, 납품할 공공기관이 요구하는 등급이 우선입니다. 입찰 공고나 사전 협의에서 요구 등급을 먼저 확인하세요.

Q. IaaS(클라우드 인프라)도 따로 CSAP를 받아야 하나요? A. SaaS 사업자가 IaaS까지 인증받을 필요는 없지만, 반드시 CSAP 인증을 받은 IaaS 위에서 서비스해야 합니다. 사용 중인 CSP의 인증 범위·확인서를 증빙으로 확보하세요.

Q. 준비 기간과 비용은 정확히 얼마인가요? A. 통상 신청부터 발급까지 4~6개월, 비용은 규모에 따라 편차가 큽니다. 정확한 항목 수·수수료·기간은 KISA CSAP 공식 안내와 평가기관 견적으로 확정하는 것이 유일하게 정확한 방법입니다.