2026 CSAP 간편등급 준비 체크리스트 — 공공 SaaS 실전 가이드

2026 CSAP 간편등급 준비 체크리스트 — SaaS 사업자 실전 가이드

"공공기관에 SaaS 납품하려는데, CSAP가 없으면 입찰 자체가 안 된다"는 이야기를 듣고 이 글을 찾아오셨다면 제대로 오셨습니다. 지금 공공 클라우드 시장에 들어가려면 CSAP(클라우드 보안인증)를 먼저 받은 뒤 국가정보원의 보안 검증도 거쳐야 합니다.

문제는 처음 준비하는 보안·인프라 담당자가 가장 먼저 막히는 지점이 의외로 단순하다는 데 있습니다. "우리 서비스는 표준등급이야 간편등급이야?" 여기서부터 헷갈리면 견적도, 일정도, 산출물 준비도 전부 어긋납니다. 이 글은 그 첫 단추부터 신청 절차·비용, 자주 탈락하는 통제 항목, 복붙해서 바로 쓰는 산출물 목록까지 한 번에 정리합니다.

⚠️ 면책 안내: 평가 항목 수·비용·소요 기간은 KISA 및 평가기관(인증기관)의 최신 고시와 견적에 따라 달라지므로, 이 글에서는 고시에 정해진 기간 외의 수치를 제시하지 않습니다. 반드시 KISA CSAP 공식 안내와 평가기관 상담으로 확인하세요.

📌 제도 개편 예정(2026-04-20 발표): 과기정통부와 국정원은 공동 보도자료에서 CSAP와 국정원 보안 검증으로 나뉜 공공 클라우드 검증을 국정원 단일 검증 체계로 일원화한다고 밝혔습니다. 2026년 상반기 중 「국가 클라우드컴퓨팅 보안 가이드라인」 등을 개정하고 1년 유예 후 2027년 하반기부터 본격 시행할 예정이며, 시행 전에 받은 CSAP는 유효기간을 그대로 인정합니다. 민간 클라우드 범용 영역은 ISMS에 클라우드 서비스 분야 자율 보안인증으로 통합할 계획입니다. 관계기관과 산·학·연 전문가로 구성된 민관 검증심의위원회가 검증 결과의 공정성·타당성을 평가하고, 기존 CSAP 평가기관의 전문성을 새 제도에 연계한다는 내용도 담겼습니다. 새 검증의 세부 항목·등급은 보도자료에 없으므로, 아래 체크리스트는 현행 CSAP 기준입니다.

표준등급 vs 간편등급: 우리 서비스는 어디에 해당하나

현행 「클라우드컴퓨팅서비스 보안인증에 관한 고시」(과학기술정보통신부고시 제2023-4호, 2023-01-31 시행)는 보안인증 등급을 정보보호 수준에 따라 상·중·하로 정하되, 상·중 등급은 별도 기준을 마련한 뒤 시행하도록 했습니다(부칙 제1조). 그 전까지는 종전 유형(IaaS, SaaS 표준, SaaS 간편 등)으로 신청할 수 있고, 기존 SaaS 간편 인증은 하등급 인증으로 인정될 수 있습니다(부칙 제3조). 상·중 등급 시행 여부와 지금 신청할 수 있는 유형은 KISA CSAP 안내에서 꼭 확인하세요. 이 글은 실무에서 쓰는 구분인 "비중요 정보 → 간편등급(하 등급 트랙)", **"중요 정보 → 표준등급"**을 기준으로 설명합니다. 대부분의 협업툴·일정관리·CRM 같은 일반 업무용 SaaS는 간편등급 대상에 해당합니다.

판단 팁: 우리 서비스가 처리하는 정보가 "유출돼도 국민/행정에 미치는 영향이 제한적인가?"를 먼저 따져 보세요. 그렇다면 간편등급 트랙으로 준비하되, 발주처(수요기관)가 요구하는 등급을 사전에 반드시 확인해야 합니다. 기관이 '중' 등급을 요구하는데 '하'로 준비하면 입찰에서 무용지물입니다.

인증 유형과 공공기관 추가 기준 (고시 기준)

DaaS(가상 데스크톱)를 어떤 유형으로 신청하는지는 고시에 따로 적혀 있지 않으므로 KISA에 확인하세요.

신청 절차 로드맵

고시에 기간이 정해진 단계는 보완 조치뿐입니다. 나머지 단계의 기간과 비용은 시스템 규모·평가 범위에 따라 달라지므로, 목표 입찰 일정을 기준으로 평가기관 견적과 일정을 먼저 받아 두세요. 인증위원회 심의 결과에 따라 추가 보완을 요구받을 수도 있습니다(제17조제5항).

자주 걸리는 통제 체크리스트 (복붙용)

사내 점검은 이 표를 그대로 복사해 시작하세요. 처음 준비할 때 가장 많이 지적받는 통제만 추렸습니다.

사전 준비 산출물 목록

평가는 결국 "문서로 증명"하는 과정입니다. 운영은 잘 하는데 문서가 없어 보완으로 밀리는 경우가 가장 흔합니다. 아래 산출물을 미리 채워 두세요.

흔한 탈락·보완 사유 — 미리 피하세요

실무에서 반복적으로 나오는 보완 사유입니다. 착수 전에 먼저 확인하면 한 라운드를 통째로 아낄 수 있습니다.

• 로그 보관기간 미달: "운영 편의상 30일만 보관" 같은 설정이 가장 흔한 지적. 기준 보관기간을 충족하도록 사전 설정.
• 관리자 MFA 미적용: 서비스 사용자에는 MFA를 걸어 두고 정작 관리자 콘솔은 ID/PW만 쓰는 경우. 반드시 관리자 계정 MFA 적용.
• IaaS CSAP 인증 미확인: SaaS가 올라탄 클라우드 인프라(IaaS) 자체가 CSAP 인증을 받았는지 확인하지 않은 사례. SaaS 인증은 인증받은 IaaS 위에서만 의미가 있습니다. CSP 인증 범위를 반드시 확인하세요.
• 물리적 분리 요건 오해: 간편등급도 표준등급 수준의 물리 분리가 필요하다고 과하게 해석하거나, 반대로 논리 격리 설계를 증빙 없이 주장하는 경우. 등급별 요건을 정확히 매핑.
• 정책문서와 실제 운영 불일치: 문서에는 "분기별 패치"라 써 두고 실제 패치 이력이 없으면 즉시 보완. 문서는 운영을 반영해야 하고, 운영은 문서대로 이뤄져야 합니다.

현장에서 느낀 한 가지

여러 첫 CSAP 준비 사례를 보면, 기술 통제보다 "문서-운영 일치"에서 시간을 가장 많이 까먹습니다. TLS, 암호화, MFA는 설정 한두 번이면 끝나지만, 정책문서에 적은 주기와 실제 운영 로그가 어긋나면 보완 라운드가 반복되며 일정이 크게 밀립니다. 그래서 저는 산출물부터 만들지 말고, 현재 운영 상태를 먼저 정직하게 기록한 뒤 그에 맞춰 정책 문구를 정렬하라고 권합니다. 이상적인 정책을 먼저 쓰면 반드시 운영이 못 따라옵니다.

인증 범위와 실제 자산 대조

인증 범위 문서에 신규 서버·스토리지·관리 콘솔이 빠져 있거나, 개발·테스트 환경의 망 경계가 문서와 다르거나, 외부 SaaS(모니터링·로그 분석 등)로 나가는 데이터 흐름이 구성도에 없으면 보완 대상이 됩니다. 범위를 태그로 관리한다면 실제 자산과 문서 목록을 기계적으로 대조할 수 있습니다.

# 예: AWS 기준, 태그로 인증 범위를 표시했다면 해당 리소스 전체 조회
aws resourcegroupstaggingapi get-resources \
  --tag-filters Key=csap-scope,Values=in \
  --query 'ResourceTagMappingList[].ResourceARN' --output text | tr '\t' '\n' | sort > cloud_assets.txt
# 인증 범위 문서의 자산 목록(CSV 첫 열이 ARN이라고 가정)과 비교
cut -d, -f1 scope_assets.csv | sort > doc_assets.txt
comm -3 cloud_assets.txt doc_assets.txt

comm -3 결과에 나오는 항목이 문서에만 있거나 실제에만 있는 자산입니다. 태그가 없는 리소스도 있을 수 있으므로 계정 전체 조회 결과와 한 번 더 비교합니다.

인증 이후: 사후평가·갱신평가

고시는 평가를 최초평가·사후평가·갱신평가로 나눕니다(제2조제8~10호). 인증은 한 번 받고 끝이 아니므로 일정을 미리 캘린더에 넣어 두세요.

사후평가 사이에 증적이 비면 갱신평가 때 한꺼번에 드러납니다. 위 산출물 목록의 기록을 평소 주기대로 쌓아 두는 것이 가장 비용이 적게 드는 방법입니다.

결론: 준비 우선순위 3단계

1. 등급 확정: 수요기관 요구 등급 + 처리 정보 중요도로 간편/표준을 먼저 확정한다.
2. 인프라 전제 확인: 올라탈 IaaS의 CSAP 인증 범위를 검증하고, MFA·로그 보관·암호화 등 빈출 탈락 항목부터 설정한다.
3. 문서-운영 정렬: 위 산출물을 실제 운영 기준으로 작성하고, 정책과 실제 이력의 불일치를 제거한다.

이 3단계를 마치면 평가기관 상담에 들어갈 준비가 된 것입니다. 위 표들을 사내 위키에 복붙해 담당자별로 체크박스를 나눠 채워 보세요.

자주 묻는 질문 (FAQ)

Q. 우리는 비중요 SaaS인데 무조건 간편등급으로 가도 되나요? A. 처리 정보 기준으로는 간편등급 대상이라도, 납품할 공공기관이 요구하는 등급이 우선입니다. 입찰 공고나 사전 협의에서 요구 등급을 먼저 확인하세요.

Q. IaaS(클라우드 인프라)도 따로 CSAP를 받아야 하나요? A. SaaS 사업자가 IaaS까지 인증받을 필요는 없지만, 반드시 CSAP 인증을 받은 IaaS 위에서 서비스해야 합니다. 사용 중인 CSP의 인증 범위·확인서를 증빙으로 확보하세요.

Q. 준비 기간과 비용은 정확히 얼마인가요? A. 고시에 정해진 기간은 보완 조치(평가 종료 다음날부터 30일, 최대 90일)뿐이고, 전체 기간과 비용은 규모에 따라 편차가 큽니다. 정확한 항목 수·수수료·기간은 KISA CSAP 공식 안내와 평가기관 견적으로 확정하는 것이 유일하게 정확한 방법입니다.

Q. ISMS-P 인증이 있으면 CSAP 평가가 면제되나요? A. 아닙니다. ISMS-P는 정보보호·개인정보보호 관리체계 전반을 보는 인증이고, CSAP는 공공기관에 제공하는 클라우드 서비스의 보안성을 보는 인증으로 목적과 근거가 다릅니다. 고시에는 ISMS-P 보유를 이유로 CSAP 평가를 면제한다는 규정이 없습니다. 다만 정책·접근통제·로그 관리처럼 겹치는 영역은 ISMS-P에서 쌓은 문서와 운영 증적을 CSAP 준비에 활용할 수 있고, 별표 4의 공공기관용 추가 요구사항은 따로 준비해야 합니다. 2026-04-20 발표에 따르면 민간 클라우드 범용 영역은 ISMS로, 공공 영역은 국정원 단일 검증으로 바뀔 예정입니다.

출처 · 확인일 2026-10-06

• 과학기술정보통신부 보도자료, 과기정통부·국정원, 공공 인터넷 기반 자원 공유(클라우드) 시장 진입 절차 개선 방안 발표 (2026-04-20) — 국정원 단일 검증 체계, 2026년 상반기 지침 개정, 1년 유예 후 2027년 하반기 시행 예정, 기존 CSAP 유효기간 인정, 민관 검증심의위원회, 민간 범용 영역 ISMS 통합 계획
• 국가법령정보센터, 클라우드컴퓨팅서비스 보안인증에 관한 고시(과기정통부고시 제2023-4호, 2023-01-31 시행) — 제14조(유형: IaaS·SaaS·PaaS·복합, 등급: 상·중·하), 제15조(별표 13 보안인증기준, 공공기관 별표 4 추가 적용, 세부 점검항목 KISA 공개), 제17조제1항(서면·현장평가 병행), 제17조제4항(보완 조치 30일, 최대 90일), 제17조제5항(인증위원회 심의 후 추가 보완), 제2조제810호(최초·사후·갱신평가), 제20조제1항(만료 6개월 전 갱신 신청), 부칙 제1조(상·중 등급은 별도 기준 마련 후 시행), 부칙 제3조(종전 유형 신청, SaaS 간편 → 하등급 인정)

인증 제도와 고시는 바뀔 수 있으니 신청 전에 KISA와 과학기술정보통신부 공지를 다시 확인하세요.