공공기관 시장 경쟁력 확보를 위한 민간 클라우드 사업자의 CSAP 인증 취득

 

https://isms.kisa.or.kr/main/csap/intro/

KISA 정보보호 및 개인정보보호관리체계 인증 클라우드 보안인증제 제도소개

1. 클라우드 보안인증제(CSAP, Cloud Security Assurance Program)

1.1. 목적

• 국가·공공기관에게 안전성 및 신뢰성이 검증된 민간 클라우드 서비스 공급
• 객관적이고 공정한 클라우드 서비스 보안인증을 실시하여 이용자의 보안 우려를 해소하고 클라우드 서비스의 경쟁력 확보

1.2. 보안인증 유형

• IaaS, SaaS(간편, 표준), Daas
  • SaaS 간편 인증은 하등급 인증을 받은 것으로 인정할 수 있다. (클라우드컴퓨팅서비스 보안인증에 관한 고시 부칙 제3조(보안인증서 및 인증취득인에 관한 경과조치))

1.3. 보안인증 등급

• 상·중·하로 구분
• 상·중등급 별도 기준 마련 예정
  • 상·중등급 시행전까지 IaaS, SaaS 표준, SaaS간편, DaaS 인증에 대해 신청 가능 (클라우드컴퓨팅서비스 보안인증에 관한 고시 부칙 제3조(보안인증서 및 인증취득인에 관한 경과조치))

1.4. 인증평가 종류

• 최초평가
  • 처음으로 인증을 신청하거나 인증범위에 중요한 변경이 있어 다시 인증을 신청하는 경우 시행하는 평가
  • 최초평가를 통해 인증 취득 시 5년의 유효기간 부여
• 사후평가
  • 보안인증을 취득한 후 지속적으로 클라우드서비스 보안인증기준을 준수하고 있는지 확인하기 위한 평가로 5년의 유효기간동안 매년 시행
• 갱신평가
  • 유효기간 만료 전 클라우드서비스에 대한 보안인증의 연장을 원하는 경우 시행하는 평가
    • 갱신평가 통과 후 5년의 유효기간 부여

https://www.boannews.com/media/view.asp?idx=136733

공공기관도 아마존 클라우드 서비스 쓸 수 있다

2. 동향

• 공공기관 시장 경쟁력 확보를 위한 민간 클라우드 사업자의 CSAP 인증 취득
  • Azure(24.11.20), GCP(25.01.22), AWS(25.03.28) 순으로 CSAP(하등급 IaaS) 인증 취득
  • 클라우드컴퓨팅 발전 및 이용자 보호에 관한 법률 제20조(국가기관등의 클라우드컴퓨팅서비스 이용 촉진)에 따른 CSAP 인증을 받은 클라우드를 우선적으로 고려하도록 규정