클라우드 플랫폼의 인증 시험 대응과 납품 검증 — CSAP 등급·CC인증·품질성능 확인·고객 인수시험

개념

인증과 납품은 "품질을 남에게 증명하는 일"이다

모듈 38의 게이트는 우리가 배포를 판단하기 위한 체계였다. 공공기관·금융사·연구기관에 플랫폼을 팔거나 설치하면 남 이 판단한다. 인증기관·평가기관이 제도의 기준으로, 고객이 계약의 기준으로 판단한다. 채용 공고가 QA 업무에 "인증 시험 대응·납품 검증 등 제품 품질 업무 전반"을 넣는 이유다.

이 일은 모듈 31(시험성적서)·32(KOLAS)·33(GS 인증)에서 배운 것 위에 선다. 이 레슨은 그것을 클라우드 플랫폼 에 적용할 때 특별히 달라지는 점을 다룬다.

CSAP — 등급이 증거의 양을 정한다

CSAP은 공공기관이 민간 클라우드 서비스를 이용할 수 있도록 클라우드 서비스의 보안을 인증하는 제도다. 한국인터넷진흥원(KISA)이 운영하고, 인증 유형은 IaaS· SaaS·DaaS가 있으며 유효기간은 5년이다. 2023년 등급제가 도입되고 2024년 2월 상·중등급 평가기준을 담은 고시 개정안이 발표되면서 상·중·하 등급 체계가 본격 시행됐다.

등급은 공공기관 시스템이 다루는 데이터의 성격 으로 나뉜다.

PaaS·SaaS의 등급은 그 아래 IaaS의 등급을 따른다는 원칙이 있다. 중등급 IaaS 위에 올린 SaaS는 상등급을 받을 수 없다. 2024년 개편에서는 취약점 점검을 외부 전문기관이 수행하는 방식도 허용하고, 같은 서비스로 여러 등급을 받을 때 중복 평가를 줄이는 방향이 제시됐다. 세부 조항과 평가 항목 수는 개정이 잦으므로 신청 시점의 고시와 KISA 안내서 판본을 기준 문서에 적는다.

CSAP은 운영 체계 인증 이라 QA의 전공 영역이 아닌 것처럼 보이지만, 평가 항목 상당수가 결국 시험 증거 를 요구한다.

인증 준비 기간에 이 증거를 새로 만들려고 하면 몇 달이 걸린다. 평소 파이프라인이 이 증거를 판정 레코드로 남기고 있으면, 인증 대응은 레코드를 평가 항목에 대응시키는 일 로 줄어든다. 상등급의 "보안 패치 자동화"나 "계정·접근 권한 관리 자동화"처럼 자동화 자체 가 평가 항목인 경우, 자동화가 동작한다는 시험 기록이 곧 증거다.

CC인증과 보안기능 확인서 — 플랫폼 안의 보안 제품

클라우드 플랫폼이 방화벽·접근 통제·암호 모듈·가상 사설망 같은 보안 기능을 제품으로 포함해 공공기관에 도입되면, 국가·공공기관 도입 절차의 보안적합성 검증 대상이 될 수 있다. 제품 유형에 따라 사전에 CC인증이나 보안기능 확인서를 받으면 이 검증을 생략할 수 있다.

QA가 이 영역에서 가장 크게 기여하는 것은 보안 기능 명세와 시험의 대응표 다. CC 평가는 "제품이 주장하는 보안 기능"을 정의하고 그 기능이 정확히 동작함을 시험으로 보이는 구조다. 모듈 38 레슨 1의 기준 다섯 칸, 모듈 34의 규격 조항 → 시험 항목 추적표가 그대로 쓰인다. 인증 대상 범위(평가 대상, TOE)를 정확히 그어 두지 않으면 평가 도중 범위가 흔들려 일정이 늘어난다.

어느 제품 유형이 어느 제도를 거쳐야 하는지는 국가정보원·국가보안기술연구소·IT보안인증사무국의 공지로 자주 바뀐다. 판정은 공식 공지의 최신본으로 하고, 기준 문서에 확인 날짜를 적는다.

클라우드 품질·성능 확인 — 일곱 기준

정보통신산업진흥원(NIPA)이 주관해 온 클라우드컴퓨팅서비스 품질·성능 검증은 클라우드 서비스의 품질 관리 체계를 점검하고 품질·성능 시험을 수행해 확인서를 발급하는 제도다. 공개된 안내에 따르면 기준은 일곱 가지다.

앞의 넷은 이 모듈에서 이미 만든 시험으로 증거를 댈 수 있다. 중요한 것은 측정 조건을 성적서 수준으로 기재 하는 것이다. 모듈 31 레슨 2·4의 원칙 — 시험 환경·구성을 재현 가능하게, 성능 결과는 평균이 아니라 분포로 — 이 그대로 적용된다. 확인 제도의 세부 운영(주관 기관·신청 주기·세부 지표)은 해마다 바뀔 수 있으므로 신청 연도의 공고로 확인한다.

증거를 한 번 만들어 여러 번 쓴다

클라우드 플랫폼 기업은 한 해에 여러 인증·확인·고객 심사를 동시에 겪는다. CSAP, ISMS-P, ISO/IEC 27001·27017, 품질·성능 확인, GS 인증, 해외 고객이면 SOC 2. 각각을 따로 준비하면 같은 시험을 몇 번씩 다시 한다.

해법은 증거 저장소와 대응표 다.

[증거 대응표 — 일부]
증거 ID     내용                                      생성원               CSAP   27017   품질성능   고객 A 인수
EV-ISO-014  프로젝트 간 네트워크 격리 시험 (월 1회)          회귀 층 레코드         ✓       ✓                 ✓
EV-BCK-003  제어 평면 백업·복원 리허설 (분기)              릴리스 전 리허설 기록    ✓       ✓        ✓        ✓
EV-PERF-021 GPU 서버 생성 응답 시간 (Rally, 월 1회)        회귀 층 레코드                         ✓        ✓
EV-CHG-2026W38 주간 배포 게이트 결정 기록                  게이트 결정           ✓       ✓                 ✓
EV-VUL-118  취약점 스캔 및 조치 확인 재시험                  릴리스 전 층          ✓       ✓

증거마다 생성원(어떤 파이프라인 단계가 만드는가)과 주기 가 적혀 있으면, 인증 준비는 "최근 주기의 증거가 빠짐없이 있는가"를 확인하는 일이 된다. 빠진 칸이 곧 파이프라인에 추가할 시험이다. 모듈 32 레슨 2의 조항 ↔ 문서 추적표와 같은 발상이다.

설치형 납품의 인수시험

Private Cloud 플랫폼을 고객 데이터센터에 설치해 납품하면 계약의 마지막 관문은 고객 인수시험 이다. 인수시험은 우리가 설계하고 고객이 입회하거나 고객이 직접 수행한다. 모듈 4의 테스트 계획, 모듈 31의 성적서, 모듈 2의 요구사항 추적이 한 문서 묶음으로 모인다.

설치형 AI 인프라 인수시험에서 자주 분쟁이 되는 항목들이 있다.

현장에서 기준을 바꾸지 않는다 는 원칙이 중요하다. 입회 시험 중에 결과가 기대와 다르면 "이 정도면 괜찮지 않나요"라는 압박이 양쪽에서 온다. 기준을 현장에서 바꾸면 결과서의 근거가 사라진다. 불일치를 기록하고, 기준 해석이 문제면 계약 절차로 합의한 뒤 결과서에 반영한다.

인증 범위를 깨뜨리지 않는 변경 관리

인증은 특정 시점·특정 구성 에 대한 판단이다. 인증 후 주간 배포로 구성이 계속 바뀌면, 어느 순간 운영 중인 서비스가 인증받은 범위를 벗어난다.

[인증 영향 판정 — 모든 게이트 후보에 대해 자동 확인]
- 인증 범위로 지정된 구성요소 목록(서비스·설정·네트워크 구성)에 변경이 있는가
- 보안 기능(인증·접근 통제·암호·로그)에 변경이 있는가
- 데이터 처리 위치·분리 구조에 변경이 있는가
→ 하나라도 해당: 게이트 요약에 "인증 영향 검토 필요" 경고, 인증 담당자 확인 서명
→ 제도별 변경 신고·변경 평가 필요 여부 판단 기록

모듈 33 레슨 6의 GS 인증 변경인증 판단이 클라우드 인증에서는 매주 일어난다. 이 확인을 모듈 38 레슨 5 게이트의 경고 규칙으로 넣어 두면, 인증 범위 이탈이 사후 심사에서 발견되는 일을 막는다.

실무에서 왜 필요한가

공공·금융·연구기관 시장에서 클라우드 플랫폼은 기능이 좋아도 인증과 인수시험을 통과하지 못하면 팔 수 없다. 그리고 인증 준비가 몇 달씩 늦어지는 가장 흔한 이유는 보안 통제가 없어서가 아니라 통제가 동작한다는 증거가 흩어져 있어서 다. 평소 파이프라인이 판정 레코드를 남기고 증거 대응표를 유지하는 QA는 인증 준비 기간을 크게 줄인다.

채용 공고의 "인증 시험 대응·납품 검증 등 제품 품질 업무 전반"과 우대사항의 "소프트웨어 품질·보안 인증 시험 대응 경험"은 제도 이름을 아는 것보다 증거를 만들고 대응시키고 범위를 지킨 경험 을 본다. "CSAP 평가 항목 중 격리·백업·로그 영역을 회귀 층 레코드로 대응시켜 준비 기간을 줄였다", "인수시험에서 GPU 성능 기준을 벤더 수치가 아닌 NCCL busbw 실측 기준으로 사전 합의해 분쟁을 막았다" 같은 이야기가 그 경험이다.

실습 과제

과제 1 — 등급 판단 (10분)

아래 공공기관 이용 시나리오에 필요한 CSAP 등급을 판단하고, 판단이 불확실한 경우 무엇을 확인할지 적는다.

1. 공공데이터 포털의 공개 통계를 시각화하는 SaaS
2. 부처 내부 전자결재와 연동되는 문서 요약 AI 서비스
3. 연구기관의 비공개 연구 데이터를 학습하는 GPU IaaS
4. 중등급 IaaS 위에 올린 AI 추론 SaaS 를 상등급 대상 기관에 제공하려는 경우

과제 2 — 증거 대응표 (25분)

본문의 증거 대응표 형식으로, 본인이 아는(또는 가상의) GPU 클라우드 플랫폼에 대해 증거 열 개를 정의한다. 각 증거의 생성원·주기를 적고, CSAP·품질성능 확인· 고객 인수시험 중 어디에 쓰이는지 표시한다. 생성원이 없는 증거는 파이프라인에 추가할 시험으로 따로 적는다.

과제 3 — 인수 기준 합의 (20분)

제안요청서 문장 "고성능 GPU 기반 AI 학습 환경을 안정적으로 제공할 것"을 인수시험 기준 다섯 개 이상으로 바꾼다. 각 기준에 측정 방법·조건·합부 규칙을 적고, 벤더 공개 수치를 쓰지 않는 이유를 한 문장으로 쓴다.

과제 4 (선택) — 인증 영향 판정 규칙 (15분)

모듈 38 레슨 5의 gate-policy.yaml 형식으로 "인증 영향 검토 필요" 경고 규칙을 쓴다. 인증 범위 구성요소 목록을 어디서 읽는지, 무엇을 변경으로 볼지 정의한다.

자가 체크리스트

• 인증·납품이 내부 게이트와 달리 "남에게 증명하는 일"인 이유를 설명할 수 있다
• CSAP 상·중·하 등급의 대상과 평가 방향, PaaS·SaaS 등급이 IaaS를 따르는 원칙을 안다
• CSAP 평가 영역별로 QA가 만드는 시험 증거를 말할 수 있다
• CC인증·보안기능 확인서가 보안적합성 검증과 어떻게 연결되는지 설명할 수 있다
• 클라우드 품질·성능 확인의 일곱 기준과 시험 증거를 연결할 수 있다
• 여러 인증의 증거를 대응표로 한 번 만들어 재사용하는 방법을 안다
• 설치형 납품 인수시험의 여섯 단계와 분쟁 항목의 사전 합의를 설계할 수 있다
• 현장에서 기준을 바꾸지 않는 원칙을 지킬 수 있다
• 주간 배포에서 인증 범위 이탈을 게이트 경고로 막는 방법을 안다

흔한 실수

인증 준비 기간에 증거를 새로 만든다. 평소 파이프라인이 증거를 남기게 한다.

제도 세부를 기억으로 판단한다. 고시·공지 판본과 확인 날짜를 기준 문서에 적는다.

제안서 문장을 그대로 인수 기준으로 쓴다. 측정 가능한 기준으로 합의하지 않으면 입회 시험장에서 분쟁이 된다.

벤더 공개 벤치마크를 인수 기준으로 삼는다. 고객 구성·고객 워크로드로 잰다.

입회 시험 중 기준을 조정한다. 결과서의 근거가 사라진다.

인증 후 변경의 영향을 사후 심사에서 처음 본다. 게이트에서 매주 확인한다.

참고 자료

• 클라우드서비스 보안인증(CSAP) — 한국인터넷진흥원
• 클라우드 보안인증 등급제 본격 시행: 상·중등급 평가기준 마련 (김·장 법률사무소, 2024-02)
• CSAP 등급제 본격 시행…상등급 보안인증 강화 (ZDNet Korea, 2024-02)
• 보안적합성 검증 개요 — 국가사이버안보센터
• 보안기능확인서 안내 — 한국정보보호산업협회
• 클라우드컴퓨팅서비스 품질·성능 안내서 — 정보통신산업진흥원
• 이 커리큘럼 안: 모듈 2 레슨 5 「추적성」, 모듈 25 레슨 7 「시험성적서의 세 얼굴」, 모듈 31 「시험성적서 작성 실무」, 모듈 32 레슨 2 「문서 체계」, 모듈 33 레슨 6 「변경인증」, 모듈 34 「제품 사이버보안 규격 시험」, 모듈 38 레슨 5 「주간 배포 게이트」