CSAP N2SF 전환, 1년 남았다…공공 클라우드 필수 체크 3가지

Table of Contents

안녕하세요! 성징어의 IT 잉크사이트(IT Ink-Sight) 성징어입니다.

지난 4월 20일, 과학기술정보통신부와 국가정보원이 나란히 마이크를 잡고 클라우드보안인증, 흔히 CSAP라고 부르는 그 제도를 사실상 접겠다고 발표했습니다. 2016년부터 10년 가까이 공공 클라우드 시장의 관문 역할을 해온 인증이 국정원 중심의 단일 검증 체계로 흡수된다는 내용이었죠. 그리고 지난달 21일, 디딤 클라우드컨설팅그룹의 서정훈 그룹장은 한 웨비나에서 이렇게 말했습니다. “이제 기업들이 실제 준비할 수 있는 기간은 약 1년에 불과합니다.” CSAP N2SF 전환이 남 얘기가 아니라는 뜻입니다.

왜 CSAP를 없애기로 했나

먼저 이 CSAP N2SF 전환이 왜 나왔는지부터 짚어야 할 것 같습니다. 그동안 공공 클라우드 시장에 진입하려는 기업은 이중의 문턱을 넘어야 했습니다. 과기정통부가 관리하는 CSAP를 먼저 받고, 그다음 국가·공공기관이 거쳐야 하는 국정원의 보안성 검토까지 별도로 통과해야 했던 겁니다. 본래 보안성 검토는 국가·공공기관용 절차였지만, 실제로는 기업들이 이 절차를 통과하기 위해 컨설팅과 기술 지원에 상당한 인적·물적 자원을 쏟아부어야 했습니다. 업계에서는 오래전부터 이걸 중복 규제라고 불러왔습니다.

국정원 김창섭 3차장은 이 발표 자리에서 “이중 규제로 불편을 겪은 기업의 애로사항을 해결하되 공공용 클라우드의 보안 수준을 높이는 데 초점을 맞췄다”고 설명했습니다. 실제로 CSAP N2SF 전환의 핵심 취지는 규제를 없애는 게 아니라 창구를 하나로 합치는 데 있습니다. 검증 항목 자체는 클라우드 기술 특성에 맞춰 새로 짜이고, 국정원이 그 결과를 단독으로 확인하는 구조로 바뀔 뿐입니다.

체감상 이 부담이 얼마나 컸는지는 업계 반응만 봐도 짐작이 갑니다. CSAP를 이미 받은 기업조차 공공기관과 계약을 맺을 때마다 보안성 검토 대응 인력을 따로 배치하거나 외부 컨설팅을 다시 불러야 했다는 사례가 적지 않았습니다. 특히 중소 SaaS 기업 입장에서는 이 절차 하나가 공공 시장 진입을 포기하게 만드는 결정적 장벽으로 작용하기도 했습니다. 정부가 CSAP N2SF 전환을 추진하면서 굳이 ‘중복 규제 해소’라는 표현을 앞세운 것도 이런 현장의 목소리가 누적된 결과로 볼 수 있습니다.

무엇이 어디로 흡수되나

CSAP에는 크게 두 종류의 요건이 섞여 있었습니다. 별표1부터 별표3까지는 민간에도 공통으로 적용되는 보안 요건이고, 별표4는 공공 부문에만 요구하는 이른바 ‘공공 보안 요건’입니다. 이번 개편에서는 이 둘의 갈 길이 갈립니다. 공공 보안 요건에 해당하는 11개 항목은 국정원의 클라우드 보안 검증 체계로 넘어가고, 나머지 공통 보안 요건은 정보보호 관리체계, 즉 ISMS 안에 별도의 클라우드 보안 인증 형태로 재편돼 민간 기업이 자율적으로 취득하는 인증으로 남습니다.

정리하면 CSAP N2SF 전환 이후에는 공공 시장에 들어가려는 기업이 국정원 검증만 통과하면 되고, 민간 시장에서 보안 수준을 증명하고 싶은 기업은 ISMS 클라우드 보안 인증을 따로 받으면 됩니다. 창구가 하나로 정리되는 셈인데, 다만 그 하나가 국정원이라는 점에서 검증 주체 자체가 완전히 바뀐다는 걸 놓치면 안 됩니다. 지금까지는 과기정통부와 한국인터넷진흥원(KISA)이 CSAP를 관리해왔지만, 새 체계에서는 이 역할을 국정원이 가져갑니다.

CSAP와 국정원 보안성 검토가 하나로 합쳐지는 CSAP N2SF 전환 과정 표현 이미지

등급 체계도 상중하에서 기밀·민감·공개로 바뀐다

인증 주체만 바뀌는 게 아닙니다. 기존 CSAP는 데이터 중요도에 따라 상·중·하 3등급으로 클라우드 서비스를 나눠왔습니다. 2023년부터 도입된 체계인데, CSAP N2SF 전환과 함께 이 등급 자체가 국가망보안체계, 즉 N2SF의 기밀(C)·민감(S)·공개(O) 3단계로 옮겨갑니다. 국정원은 지난 5월 국가 사이버보안 기본지침을 3년 만에 개정하면서 이 N2SF를 정식으로 제도화했는데, 여기서 가장 눈에 띄는 변화는 획일적인 물리적 망분리 조항이 삭제됐다는 점입니다. 대신 정보의 중요도를 기밀, 민감, 공개 셋으로 나눠 그에 맞는 보안 통제를 차등 적용하는 방식으로 바뀌었습니다.

기밀(C) 등급에는 비밀, 안보·국방·외교·수사 관련 정보, 공개(O) 등급에는 그 외 대부분의 정보가 들어가고, 민감(S)이 그 중간을 채우는 구조입니다. 정부는 이미 시장이 상·중·하 기준으로 형성돼 있는 만큼 혼란을 줄이기 위해 이에 준하는 C·S·O 등급으로 인정받도록 제도를 마련하겠다는 방침이지만, 구체적인 매칭 기준은 아직 논의 중이라고 밝혔습니다. 이 부분은 앞으로 나올 ‘국가 클라우드컴퓨팅 보안가이드라인’ 개정안을 계속 지켜봐야 할 것 같습니다.

흥미로운 건 이 개편 직전인 4월 9일에도 정부가 CSAP 자체를 손봤다는 점입니다. 인증체계를 강화인증·표준인증·간편인증 3단계로 재편하고, 국민 생활에 파급력이 큰 서비스에는 더 강화된 기준과 현장 중심 심사를 적용하겠다는 내용이었습니다. 그런데 발표된 지 열흘 만에 아예 CSAP 자체를 국정원 체계로 흡수하는 더 큰 개편이 나온 걸 보면, 정부 내부에서도 이 방향을 확정하기까지 상당한 조율이 있었을 것으로 짐작됩니다.

시행 일정과 유예기간, 숫자로 정리하면

CSAP N2SF 전환의 시행 시점은 2027년 하반기입니다. 정부는 이에 앞서 올 상반기 안에 국가 클라우드컴퓨팅 보안가이드라인을 발표하고, 2027년 상반기에는 검증제도 운영 지침과 해설서를 제정해 공개할 계획이라고 밝혔습니다. 제도의 투명성을 확보하겠다는 취지입니다.

기존 인증을 가진 기업들 입장에서 가장 궁금한 건 역시 유예기간일 겁니다. 정부는 제도 시행 전에 취득한 CSAP 인증에는 현행 5년의 유효기간을 그대로 인정하기로 했습니다. 예를 들어 2027년 5월경 CSAP를 취득한다면 5년 뒤인 2032년 5월까지는 효력이 유지되는 식입니다. 다만 서정훈 그룹장이 짚었듯, 실제로 기업이 손에 쥔 준비 기간은 이 유효기간과 별개로 지금부터 시행 시점까지 약 1년입니다. 그 안에 전환 절차와 승계 조건을 확인하지 못하면, 새 제도 아래서 처음부터 다시 국정원 검증을 준비해야 하는 상황과 맞닥뜨릴 수 있습니다.

정부는 새로운 심의 체계도 준비 중이다

제도가 국정원 단일 검증으로 넘어간다고 해서 심사의 공정성 문제가 사라지는 건 아닙니다. 정부는 신규 검증 제도가 자리 잡는 과정에서 발생할 수 있는 혼선을 줄이기 위해 과기정통부 추천 인사를 포함한 관계기관·산학연 전문가로 구성된 ‘민관 검증심의위원회’를 운영하겠다고 밝혔습니다. 이 위원회는 검증 결과의 공정성과 타당성을 평가하는 한편, 기존 CSAP 평가 기관들이 쌓아온 전문성을 새 제도로 이어주는 역할도 맡을 예정입니다.

공교롭게도 국정원은 CSAP 개편 발표가 있고 며칠 지나지 않아 서울 코엑스에서 열린 제32회 정보통신망 정보보호 컨퍼런스, 이른바 NetSec-KR 2026에서 새로운 ‘국가 사이버보안 기본 지침’을 별도로 발표했습니다. 2023년 1월 이후 3년 만의 개정이었는데, 이 자리에서 망분리 조항이 삭제되고 N2SF를 기반으로 한 제도적 근거가 마련됐다는 사실이 공개됐습니다. CSAP N2SF 전환과 국가 사이버보안 기본 지침 개정이 거의 같은 시기에 맞물려 나온 셈인데, 두 발표를 따로 떼어놓고 보면 각각 클라우드 인증 제도 개편, 망분리 정책 개편처럼 보이지만 실제로는 하나의 큰 그림, 즉 공공 부문 보안 체계 전체를 N2SF라는 하나의 축으로 재편하는 작업의 두 축이라고 이해하는 편이 정확합니다.

CSAP가 걸어온 길을 잠깐 돌아보면, 2016년 서비스형 인프라(IaaS) 인증으로 시작해 2018년 서비스형 소프트웨어(SaaS) 인증이 더해지면서 표준형과 간편형으로 이원화됐고, 2023년 상·중·하 3등급제가 도입되며 지금 형태를 갖췄습니다. 10년 가까이 쌓인 이 체계가 독립 인증으로서는 이번 개편으로 막을 내리는 셈인데, 평가 기관들의 노하우 자체는 새 위원회를 통해 이어질 가능성이 열려 있는 겁니다.

ISMS 클라우드 보안 인증과 헷갈리지 않으려면

여기서 한 가지 짚고 넘어갈 부분이 있습니다. CSAP N2SF 전환 이후 민간 영역으로 넘어가는 인증은 기존에 우리가 알던 정보보호 관리체계 인증, 즉 ISMS와 완전히 같은 게 아닙니다. 기존 ISMS는 조직 전반의 정보보호 관리 체계를 심사하는 제도이고, 이번에 새로 편입되는 건 그 안에 ‘클라우드 보안’이라는 별도 심사 영역이 하나 더 생기는 구조에 가깝습니다. 클라우드 사업자가 민간 영역에서 보안 수준을 자율적으로 입증하고 싶을 때 선택하는 인증이라는 점에서, 공공 시장 진입을 위한 필수 관문이었던 기존 CSAP와는 성격 자체가 다릅니다.

실무적으로는 이 차이를 놓치기 쉽습니다. “CSAP가 없어지니까 ISMS만 있으면 되는 거 아니냐”고 단순하게 이해하는 경우도 종종 보이는데, 공공 시장에 서비스를 공급하려는 기업이라면 결국 국정원 검증을 통과해야 하는 건 변하지 않습니다. ISMS 클라우드 보안 인증은 어디까지나 민간 시장에서의 신뢰도를 보여주는 보조 수단이지, 공공 진입의 대체 경로가 아니라는 점을 분명히 해둘 필요가 있습니다.

기존 CSAP 인증 보유 기업이 지금 해야 할 일

이미 CSAP를 받은 기업이라면 가장 먼저 할 일은 명확합니다. 5년 유효기간이 언제까지인지, 그리고 그 안에 N2SF 체계로 전환·승계되는 절차가 구체적으로 어떻게 마련되는지를 계속 확인하는 겁니다. 서 그룹장은 오히려 내년 N2SF 시행만 기다리기보다 지금 현행 CSAP 인증을 먼저 확보하는 편이 유리하다고 진단했습니다. 전환 유예와 승계 조건을 확보하면서 공공사업 참여 공백을 줄일 수 있고, 동시에 N2SF 대응 역량을 미리 쌓아둘 수 있다는 이유에서입니다.

이 판단을 내릴 때는 사업 파이프라인도 함께 고려하는 게 좋습니다. 지금 진행 중이거나 조만간 입찰이 예정된 공공 사업이 있다면, 그 사업의 계약 기간이 2027년 하반기 시행 시점을 넘어가는지 여부가 중요한 변수가 됩니다. 계약 기간 내내 기존 CSAP 인증만으로 충분한 사업이라면 서두를 이유가 상대적으로 적지만, 장기 유지보수나 후속 사업으로 이어질 가능성이 있는 사업이라면 지금부터 N2SF 대응 준비를 함께 시작하는 편이 나중에 재인증 부담을 줄이는 길이 됩니다.

여기에 더해 아마존웹서비스(AWS), 마이크로소프트, 구글처럼 글로벌 클라우드를 활용하는 기업이라도 공공 서비스라면 별도의 국내 리전과 인증 서버, 로그·백업 서버를 국내에 두고 운영해야 한다는 요건은 이번 개편과 무관하게 계속 유지됩니다. 데이터를 국내에 저장하고 관리하는 체계, 국내 운영 인력 확보 같은 요건도 마찬가지입니다. CSAP N2SF 전환이 검증 주체와 등급 체계를 바꾸는 것이지, 이런 기본 요건 자체를 없애는 개편은 아니라는 점을 헷갈리지 않는 게 중요합니다.

신규 진입을 준비하는 SaaS 기업이라면

아직 공공 시장에 발을 들이지 않은 SaaS 기업이라면 고민이 조금 다릅니다. N2SF 기준에 맞춰 서비스 구조와 데이터 관리 체계를 미리 점검해야 하는데, 공공기관이 이용하려면 서비스가 국가 클라우드컴퓨팅 도입 가능 목록에 등재돼야 하기 때문입니다. 올해 상반기 공공 디지털서비스 계약 건수가 656건으로 지난해 같은 기간보다 약 2.6배 늘었다는 점을 감안하면, 시장 자체는 빠르게 커지고 있습니다. 서 그룹장 역시 이 수치를 언급하며 “준비 시점에 따라 공공시장 경쟁력 격차가 몇 개월이 아니라 몇 년까지 벌어질 수 있다”고 강조했습니다.

문제는 신규 진입 기업이 CSAP와 N2SF 중 어느 기준으로 준비해야 하는지 애매하다는 점입니다. 현재로선 시행 시점인 2027년 하반기 이전에는 기존 CSAP 절차를 따르되, N2SF 대응 역량도 함께 쌓아두는 이중 준비가 현실적인 선택지로 보입니다. 지금 CSAP를 받아두면 전환 유예를 인정받으면서 동시에 다가올 N2SF 심사에도 미리 익숙해질 수 있으니까요.

구체적으로는 세 가지 정도를 먼저 점검해보는 걸 추천합니다. 첫째, 서비스가 처리하는 데이터가 N2SF 기준으로 기밀·민감·공개 중 어디에 해당할지 미리 시뮬레이션해보는 것입니다. 데이터 성격에 따라 요구되는 통제 수준이 크게 달라지기 때문에, 등급을 미리 가늠해두면 이후 심사 준비 범위를 좁힐 수 있습니다. 둘째, 국내 리전과 인증 서버, 로그·백업 서버를 국내에 두는 구조가 지금 아키텍처에서 얼마나 손쉽게 구현 가능한지 확인하는 것입니다. 이미 해외 리전 중심으로 설계된 서비스라면 이 부분을 손보는 데만 상당한 시간이 걸릴 수 있습니다. 셋째, 국내 운영 인력을 어느 정도 규모로 확보해야 하는지 인사·조직 차원의 계획도 함께 세워야 합니다. 보안 인증은 기술만의 문제가 아니라 조직 체계의 문제이기도 하니까요.

생성형 AI 기능을 제공한다면 추가로 볼 지점

요즘 공공 시장을 노리는 SaaS 중에는 생성형 AI 기능을 얹은 서비스가 적지 않습니다. 서 그룹장은 이런 서비스일수록 추가적인 보안 준비가 필요하다고 짚었는데, 특히 이용자가 입력한 데이터가 외부 AI 모델 학습에 활용되지 않도록 설정을 확인해야 한다는 점을 강조했습니다. 공공 클라우드 보안인증 심사 항목 자체가 아직 생성형 AI 특유의 데이터 흐름을 촘촘히 반영하지는 못하고 있지만, 심사관 입장에서 이 지점을 안 물어볼 리는 없습니다. 계약서와 서비스 약관에 학습 활용 배제 조항이 명시돼 있는지, 실제 아키텍처에서도 그게 기술적으로 보장되는지 두 가지를 다 준비해두는 편이 안전합니다.

이 문제는 단순히 약관 문구 하나로 끝나지 않습니다. 생성형 AI 기능이 붙은 SaaS는 대개 외부 거대언어모델 API를 호출하는 구조인데, 그 API가 해외 리전에 위치해 있다면 입력 데이터가 순간적으로라도 국외로 전송된다는 뜻이 됩니다. 데이터 국내 저장·관리 요건과 정면으로 충돌할 수 있는 지점입니다. 그래서 최근에는 국내 리전에서 서비스되는 모델을 우선 검토하거나, 아예 민감도가 높은 데이터는 AI 기능 호출 대상에서 제외하는 방식으로 아키텍처를 설계하는 사례도 늘고 있습니다. 심사를 준비하는 입장이라면 이런 데이터 흐름을 도식으로 정리해 미리 제시할 수 있어야, 심사 과정에서 나올 질문에 당황하지 않고 답할 수 있습니다.

등급 전환이 실제 사업 조건에 반영되는 방식

정책 발표만 봐서는 이 변화가 개별 사업에서 구체적으로 어떻게 나타날지 감이 잘 안 잡히실 수 있습니다. 통상 공공 정보화 사업의 제안요청서에는 사용할 클라우드 서비스가 어떤 보안 인증을 보유해야 하는지를 명시하는 조항이 들어갑니다. 지금까지는 이 조항이 “CSAP 상등급 이상 취득 필수”처럼 상·중·하 표현으로 쓰여 있었다면, 앞으로는 이 표현 자체가 N2SF 등급 표기로 서서히 바뀌어 갈 가능성이 높습니다. 물론 아직 매칭 기준이 확정되지 않은 만큼, 당장 모든 사업 문서가 일제히 바뀌지는 않을 것으로 보이지만, 최소한 유예기간이 끝나가는 시점부터는 이 표현이 뒤섞여 등장하는 과도기를 거칠 가능성이 큽니다.

상중하 등급에서 기밀 민감 공개 등급으로 바뀌는 국정원 단일 검증체계 표현 이미지

공공 IT 사업을 준비하는 입장에서 본 CSAP N2SF 전환

여기까지 읽으셨다면 결국 궁금한 건 “그래서 우리는 뭘 언제까지 해야 하나”일 겁니다. 제 생각에 이번 국정원 단일 검증체계 전환에서 가장 중요한 숫자는 두 개입니다. 하나는 시행까지 남은 1년, 다른 하나는 656건이라는 상반기 공공 디지털서비스 계약 실적입니다. 시장은 이미 빠르게 움직이고 있는데 규정은 이제 막 윤곽이 잡히는 단계라는 뜻이고, 그래서 먼저 움직인 쪽이 유리해지는 구도가 만들어지고 있습니다.

CSAP든 N2SF든 결국 핵심은 데이터가 어디에 저장되고 누가 그 안전성을 검증하느냐입니다. CSAP N2SF 전환 과정에서 검증 주체가 국정원으로 바뀐다는 건, 그만큼 공공 부문의 보안 기준이 더 국가 안보에 가까운 관점으로 재편된다는 신호로도 읽힙니다. 클라우드 사업이나 SaaS 도입을 준비하는 입장이라면, 이 변화가 단순한 행정 절차 변경이 아니라 시장 진입 전략 자체를 다시 짜야 하는 이슈라는 점을 기억해두면 좋겠습니다.

국내 기업과 글로벌 CSP, 체감하는 부담은 다르다

같은 개편이라도 기업 규모와 출신에 따라 체감하는 무게는 꽤 다를 것으로 보입니다. 이미 국내에 리전을 두고 공공 사업을 여러 건 수행해본 대형 CSP라면, 국정원 검증 체계로 창구가 바뀌는 정도는 상대적으로 흡수하기 쉬운 변화일 수 있습니다. 반면 이제 막 공공 시장을 두드리려는 국내 중소 SaaS 기업 입장에서는 얘기가 달라집니다. 국내 리전 구축, 인증 서버·로그·백업 서버의 국내 운영, 국정원 심사 대응 인력 확보까지 한꺼번에 준비해야 하는데, 이 모든 걸 감당할 여력이 충분하지 않은 경우가 많기 때문입니다.

그래서 업계 일각에서는 이번 CSAP N2SF 전환이 오히려 자본력이 있는 소수 대형 사업자 중심으로 공공 클라우드 시장을 재편할 수 있다는 우려도 나옵니다. 물론 정부가 민관 검증심의위원회를 통해 심사 과정의 공정성을 확보하겠다고 밝힌 만큼, 실제로 시장이 어느 방향으로 움직일지는 좀 더 지켜봐야 할 문제입니다. 다만 지금 단계에서 분명한 건, 규모가 작은 사업자일수록 이 변화에 대비할 시간을 더 촘촘하게 써야 한다는 점입니다. 대형 사업자라면 내부 법무·보안 조직이 새 지침을 해석하고 대응 전략을 짜는 일이 상대적으로 수월하겠지만, 인력이 넉넉하지 않은 곳이라면 외부 클라우드 컨설팅이나 관련 세미나·웨비나를 통해 정보를 놓치지 않고 따라가는 노력이 필요합니다.

앞으로 지켜봐야 할 세 가지 변수

이 정도로 정리하고 나면 남은 건 결국 시간 싸움입니다. 첫 번째 변수는 국가 클라우드컴퓨팅 보안가이드라인이 언제, 어떤 내용으로 확정되느냐입니다. 이 가이드라인에 상·중·하와 기밀·민감·공개 사이의 구체적인 매칭표가 담길 것으로 예상되는데, 아직 정부도 “구체적인 내용은 논의 중”이라는 입장이라 실무자 입장에서는 답답할 수밖에 없습니다. 두 번째 변수는 민관 검증심의위원회가 실제로 어떻게 구성되고 운영되느냐입니다. 위원회 구성에 따라 심사의 예측 가능성과 공정성 체감도가 크게 달라질 수 있습니다. 세 번째는 이미 CSAP를 준비 중이던 기업들의 심사 일정이 이번 개편으로 지연되지는 않는지 여부입니다. 제도 개편기에는 심사 자체가 늦어지는 경우가 흔하기 때문에, 사업 일정에 여유를 두고 접근하는 편이 안전합니다.

이 세 가지 변수 중 어느 하나라도 예상보다 늦어진다면, 시행 시점인 2027년 하반기 자체가 뒤로 밀릴 가능성도 배제할 수 없습니다. 실제로 국내 정보보호 관련 제도는 상위 지침 확정 이후 세부 고시나 해설서가 나오기까지 적지 않은 시간이 걸리는 경우가 흔했습니다. 그렇다고 손 놓고 발표만 기다리는 것도 좋은 전략은 아닙니다. 큰 방향이 이미 국정원 단일화로 정해진 이상, 세부 기준이 늦어지더라도 준비 자체를 미룰 이유는 없기 때문입니다.

결국 CSAP N2SF 전환은 아직 완성된 그림이 아니라 큰 틀만 그려진 상태입니다. 큰 방향(국정원 단일화, 등급 체계 변경, 5년 유예)은 확정됐지만, 실무자가 당장 손에 쥘 수 있는 세부 기준은 앞으로 1년에 걸쳐 하나씩 채워질 예정입니다. 그래서 지금 시점에서는 세부 지침을 기다리며 손 놓고 있기보다, 확정된 큰 틀에 맞춰 조직·아키텍처·데이터 분류 체계를 먼저 정비해두는 쪽이 결과적으로 더 유리한 선택이 될 가능성이 큽니다.

마무리하며

CSAP N2SF 전환은 아직 세부 지침이 다 나오지 않은, 진행형인 이슈입니다. 국가 클라우드컴퓨팅 보안가이드라인 개정안이 나오는 시점, 그리고 상·중·하 등급이 기밀·민감·공개 등급으로 구체적으로 어떻게 매칭될지가 다음 관전 포인트가 될 것 같습니다. 혹시 이미 CSAP 인증을 준비 중이시거나, 반대로 이번 개편 때문에 계획을 다시 세우고 계신 분이 있다면 어떤 부분이 가장 막막하게 느껴지시는지 댓글로 들려주시면 좋겠습니다.