Cloudflare가 ISMS-P를 받았다 — 범위는 제품 목록이 아니라 '서비스 경계'

Cloudflare 블로그, 10월 22일. 한국의 ISMS-P 인증을 받았다는 글입니다.

ISMS-P가 무엇인가 (글의 설명)

정보통신망법 제47조와 과기정통부 고시에 근거한 한국의 정보보호 관리체계 인증입니다. 개인정보 보호법 기준이 포함된 것이 ISMS-P입니다. KISA가 지정한 심사원이 독립 심사하고 특별위원회가 검토합니다. 유효기간 3년, 매년 사후심사. 글은 ISO/IEC 27001과 SOC 2가 일반적인 보안 태세를, ISMS는 한국 법규 기대치를 보여주는 것이라 구분하고, 기존 인증을 대체하지 않는다고 합니다.

무엇을 받았나

• 인증 주체: Cloudflare, Inc.
• 준비 약 1년 반, 심사 10일, 통제항목 80개
• 인증 범위는 서비스 경계로 정의됩니다. 제출한 적용범위 명세서는 (1) 조직·운영 경계 (2) 인프라 경계 (3) 정보자산 및 개인정보 흐름 세 가지로 구성됩니다.
• 글의 기준: 인증된 플랫폼에서 제공되고, 인증된 팀이 운영하며, 같은 ISMS 체계를 따르는 고객용 제품은 범위에 포함. 특정 제품명은 나열하지 않습니다.
• 리전별 적용 범위도 명시하지 않습니다.

한국 사용자에게 바뀐 것

• 한국에서는 소셜 가입을 제공하지 않고, 항목별로 나뉜 동의 절차를 거칩니다. 필수 3개에 동의해야 가입 버튼이 활성화되고, 선택 항목은 마케팅 수신입니다.
• 국가 판단은 IP 기반이 기본이고, 가입 시 선택한 국가가 우선합니다.
• KISA 공개 인증 목록에서 확인할 수 있습니다.

글에 없는 것

인증서 발급일과 만료일, 범위에 든 구체적 제품 목록, 리전. 금융·공공 규제 — 전자금융감독규정, CSAP(클라우드 보안인증) — 언급이 없습니다. ISMS-P는 CSAP가 아니므로 공공기관 클라우드 도입 요건은 별개입니다. 심사 지적사항도 공개하지 않습니다.

실무에서 할 일

벤더 심사에서 Cloudflare를 다룬다면 두 가지를 하세요. 하나, KISA 인증 목록에서 인증 번호와 범위 기술을 직접 확인하세요 — 블로그 글이 아니라 공식 기록이 근거입니다. 둘, 자기가 쓰는 제품(WAF, Workers, R2, Zero Trust 등)이 "인증된 플랫폼·인증된 팀"에 해당하는지 Cloudflare 영업·컴플라이언스에 서면으로 물어 답을 받아두세요. 글이 "제품명이 아니라 전달 경로로 판단하라"고 해서, 고객이 혼자 확인하기는 어렵습니다. 금융권이라면 ISMS-P는 체크 하나이고 전자금융감독규정 쪽 검토는 따로입니다.