CSAP 인증 2026 가이드: 하·중·상 등급 차이와 신청 절차 총정리

CSAP 인증 2026 완벽 가이드: 하·중·상 등급 차이부터 신청 절차까지

"이 사업, CSAP 없으면 입찰 자체가 안 됩니다"

공공기관 클라우드 사업 제안서를 준비하다 보면 입찰 공고 자격요건 맨 윗줄에서 이 문구를 자주 만나게 됩니다. "CSAP(클라우드 서비스 보안인증)을 획득한 사업자에 한함." 기술력이 아무리 뛰어나도 인증서가 없으면 제안서 접수조차 막힙니다. CSAP는 한국인터넷진흥원(KISA)이 디지털플랫폼정부위원회 고시를 근거로 운영하는, 공공 클라우드 조달의 사실상 진입 허가증입니다.

문제는 처음 준비하는 PM이나 보안담당자 입장에서 "내 서비스가 어떤 유형·등급을 받아야 하는지"부터 막힌다는 점입니다. 잘못된 트랙을 고르면 수개월의 준비와 적지 않은 비용이 통째로 새어 나갑니다. 이 글은 개념 설명을 최소화하고, 무엇을 어떻게 준비해야 하는지에 집중합니다.

CSAP 인증 유형 한눈에: IaaS / SaaS / DaaS

가장 먼저 결정할 것은 인증 트랙입니다. 내 서비스의 제공 모델에 따라 받아야 하는 유형이 다릅니다.

실무 팁: 디지털플랫폼정부의 '공공부문 SaaS 우선 도입' 정책으로 SaaS 간편등급 수요가 가파르게 늘고 있습니다. 처음 진입하는 SaaS 사업자라면 간편등급으로 빠르게 레퍼런스를 확보한 뒤 표준으로 확장하는 전략이 현실적입니다. 다만 간편으로 취급할 수 있는 정보의 범위가 제한되니, 타겟 고객이 다루는 데이터 중요도를 먼저 확인하세요.

하·중·상 등급의 진짜 차이

등급제 전환 이후 가장 혼선이 큰 부분입니다. 등급은 클라우드에서 취급하는 정보의 중요도를 기준으로 나뉩니다.

핵심은 "내가 입찰하려는 사업의 발주처가 요구하는 등급"에 맞춰야 한다는 점입니다. 등급을 과하게 높이면 망분리·물리보안 요구로 비용과 기간이 폭증하고, 낮추면 정작 그 입찰에 참여할 수 없습니다. 2025~2026년에는 SaaS에 대한 망분리 완화 논의가 진행되며 하·중 등급의 진입 부담이 다소 낮아지는 흐름이니, 최신 고시 개정 사항을 반드시 확인하세요.

신청부터 인증서 발급까지: 단계별 흐름

전체 과정은 통상 4~8개월 규모입니다. 단계별 흐름과 현실적인 소요 기간은 다음과 같습니다.

1. 신청 접수            (1~2주)
       ↓
2. 평가·인증 계약 체결   (1~2주)
       ↓
3. 준비 / 자체 점검      (1~3개월)  ← 가장 변동 큰 구간
       ↓
4. 서류 심사            (3~4주)
       ↓
5. 현장 심사            (1~2주)
       ↓
6. 결함 보완            (2~6주)  ← 결함 수에 따라 급증
       ↓
7. 인증위원회 심의       (2~4주)
       ↓
8. 인증서 발급

대부분의 지연은 **3번(자체 점검)**과 **6번(결함 보완)**에서 발생합니다. 증적이 충분히 쌓이지 않은 상태로 심사를 신청하면, 보완 단계에서 "증적 기간 부족"으로 발이 묶입니다.

제출 서류 체크리스트

• 정보보호 정책서·지침서(최신 개정 이력 포함)
• 시스템·네트워크 구성도(망분리 구조 명시)
• 위험분석·평가 결과 보고서
• 접근통제 정책 및 계정·권한 관리 증적
• 로그 수집·보관·점검 증적
• 보안패치·취약점 점검 이력
• 물리보안(데이터센터 출입통제) 증적
• 침해사고 대응 절차 및 모의훈련 기록

자주 막히는 결함 사례

1. 증적 기간 부족 — 로그·점검 이력이 최소 수개월치 쌓여야 하는데 심사 직전에 시작
2. 망분리 구성 미흡 — 구성도와 실제 환경 불일치, 논리 분리 근거 부족
3. 보안패치 이력 누락 — 패치 적용 기록·검증 증적이 비어 있음
4. 권한 관리 부실 — 퇴사자 계정 미회수, 권한 검토 주기 미준수

갱신·사후심사 주기 관리

인증은 한 번 받고 끝이 아닙니다. 유지·갱신 주기를 미리 캘린더에 박아 두세요.

가장 흔한 실수는 사후심사를 가볍게 보는 것입니다. 1년간 증적이 비면 결국 갱신 때 한꺼번에 터집니다. 증적은 평소에 쌓는 것이 비용을 가장 아끼는 길입니다.

결론 & ISMS-P vs CSAP FAQ

저의 실무 경험상, CSAP 준비에서 가장 손해 보는 패턴은 "입찰 공고를 보고 나서야 시작하는 것"입니다. 자체 점검과 증적 축적에만 1~3개월이 필요하기 때문에, 사업 기회를 인지한 순간 바로 트랙·등급부터 정하고 증적 수집을 시작해야 합니다.

자주 묻는 질문 (FAQ)

Q. ISMS-P가 있으면 CSAP를 면제받나요? A. 면제는 아닙니다. 두 인증은 목적·대상이 다릅니다. ISMS-P는 정보보호·개인정보보호 관리체계 전반을 보는 인증이고, CSAP는 공공 클라우드 서비스의 보안성을 보는 인증으로 공공 조달 참여의 강제 요건입니다. 다만 일부 통제항목은 상호 인정되어, ISMS-P 보유 시 중복 항목의 증적을 일부 활용할 수 있습니다. 망분리·물리보안 등 CSAP 고유 요구는 별도 준비가 필요합니다.

Q. SaaS 간편등급으로 모든 공공 입찰에 참여할 수 있나요? A. 아닙니다. 간편등급은 취급 정보 중요도가 낮은 서비스에 한정됩니다. 발주처가 중·상 등급 또는 SaaS 표준을 요구하면 참여가 제한되니, 타겟 사업의 자격요건을 먼저 확인하세요.

Q. 인증까지 전체 기간은 얼마나 잡아야 하나요? A. 자체 점검 수준과 결함 수에 따라 다르지만 통상 4~8개월을 권장합니다. 증적이 부족한 신규 사업자는 더 길어질 수 있으므로 여유 있게 일정을 잡으세요.