CLOUD 클라우드 서비스 정보보호 통제

ISO 27017 인증
클라우드 보안 통제와 준비 방법

ISO/IEC 27017은 클라우드 서비스에 특화된 정보보호 통제 지침입니다. 클라우드 서비스 제공자(CSP)와 이용자(CSC)의 보안 책임을 나누고, 가상화·멀티테넌시 등 클라우드 환경에 필요한 통제를 다룹니다. 단독 경영시스템 표준이 아니어서, 보통 ISO 27001 인증에 확장 범위로 함께 심사받습니다.

ISO 27017 무료 견적 요청 우리 회사 준비 상태 진단

견적 요청 무료
영업일 3일 이내 회신
인증기관 견적 + 컨설팅 견적

ISO 27017 한눈에 보기ISO/IEC 27017:2015

정식 명칭	ISO/IEC 27017 — 클라우드 서비스를 위한 정보보호 통제 실무 지침Code of practice for information security controls for cloud services
성격	실무 지침(가이드라인)ISO 27001 경영시스템 위에 더하는 확장 통제
적용 대상	클라우드 서비스 제공자 · 이용자SaaS·PaaS·IaaS 기업
전제 조건	ISO 27001 인증(동시 취득 가능)
핵심	공동 책임 정의 · 클라우드 추가 통제
비용 기준	27001 심사일수 + 확장 범위 추가 시간

대상: CSP·CSC
전제: ISO 27001
인증 유효기간: 27001과 동일(3년)
사후심사: 27001과 함께 매년

ISO 27017 인증이란?

ISO 27017은 ISO/IEC 27002의 보안 통제를 클라우드 환경에 맞게 구체화한 지침입니다. 같은 통제라도 클라우드 제공자와 이용자가 각각 무엇을 해야 하는지 나눠 설명하고, 클라우드에만 필요한 추가 통제를 정의합니다.

ISO 27017 자체는 인증 요구사항(‘shall’)을 담은 경영시스템 표준이 아니기 때문에, 실무에서는 ISO 27001 인증 심사 때 27017 통제를 적용 범위에 포함해 함께 심사받고, 인증서에 27017 적용 사실을 표시하는 방식이 일반적입니다.

공동 책임 정의

제공자와 이용자의 보안 역할·책임을 계약과 문서로 명확히 나눕니다.

가상 환경 분리

멀티테넌시 환경에서 고객 간 데이터·자원이 분리되는지 관리합니다.

서비스 종료·자산 반환

계약 종료 시 고객 데이터 반환과 삭제 절차를 정합니다.

관리자 작업·모니터링

관리자 작업 절차와 고객이 확인할 수 있는 모니터링 기능을 제공합니다.

ISO 27017 인증이 필요한 기업

SaaS 기업
고객 데이터를 자체 클라우드 서비스로 처리하는 기업
IaaS·PaaS·호스팅 기업
인프라·플랫폼을 고객에게 제공하는 기업
해외 고객 대상 클라우드 기업
해외 고객이 클라우드 보안 인증을 확인하는 경우
MSP·클라우드 운영 대행
고객의 클라우드 환경을 대신 운영·관리하는 기업
기업용 B2B 서비스
대기업 보안 질의서에서 클라우드 보안 통제를 묻는 경우
클라우드 이용 기업
핵심 업무를 클라우드로 운영하며 이용자 책임을 체계화하려는 기업

우리 회사의 ISO 27017 준비 상태가 궁금하다면

12개 질문으로 인증 필요도와 준비 상태를 무료로 확인하세요. 약 3분.

무료 사전 진단 시작

ISO 27017의 클라우드 추가 통제

ISO 27017은 기존 27002 통제에 클라우드 지침을 더하고, 아래와 같은 클라우드 전용 통제(CLD)를 추가로 정의합니다.

추가 통제 영역	내용	준비할 근거 예시
공동 책임과 역할	제공자·이용자 간 보안 역할과 책임 분담	책임 분담표(RACI), 서비스 약관·SLA
고객 자산 반환·삭제	서비스 종료 시 고객 자산 반환과 삭제	데이터 반환·파기 절차, 처리 기록
가상 환경 분리	고객별 가상 환경 분리	테넌트 분리 설계, 접근 통제 설정
가상 머신 보안 설정	가상 머신 하드닝	보안 설정 기준, 이미지 관리 기록
관리자 작업 보안	운영자의 관리 작업 절차	관리 작업 절차서, 작업 로그
고객 모니터링 지원	이용자가 자신의 서비스를 모니터링할 수 있는 기능	모니터링 기능 설명, 로그 제공 방식
가상·물리 네트워크 일치	가상 네트워크 설정과 물리 네트워크 보안 정책의 일관성	네트워크 구성도, 설정 검토 기록

ISO 27017과 CSAP(클라우드 보안인증)의 차이

국내 공공기관에 클라우드 서비스를 제공하려면 별도의 CSAP(클라우드서비스 보안인증) 요건을 확인해야 합니다. 두 인증은 목적이 다릅니다.

국제 인증

ISO/IEC 27017

27001 확장으로 함께 심사
민간·해외 고객 대상 보안 신뢰 확보
전 세계에서 통용

국내 제도

CSAP

국내 공공기관 대상 클라우드 서비스 제공 시 확인
국내 법·제도 기반 평가
공공 조달 목적

공공 시장 진출이 목적이라면 CSAP 요건을, 민간·해외 고객이 목적이라면 ISO 27001 + 27017 조합을 먼저 검토하세요.

ISO 27017 인증 절차

이미 ISO 27001을 보유했다면 다음 사후·갱신심사 때 확장 심사로 추가하는 경우가 많습니다.

1
27001 보유 여부·범위 확인
27001 인증 범위에 클라우드 서비스가 포함되는지 확인합니다.
콘타 무료 사전 진단
2
견적 받기·심사 방식 결정
신규(27001+27017 동시) 또는 기존 인증 확장 중 방식을 정하고 견적을 받습니다.
콘타 무료 견적 · 영업일 3일
3
책임 분담·통제 갭 분석
제공자/이용자 책임을 정의하고 27017 통제와 현재 상태를 비교합니다.
4
SoA 확장·통제 운영
SoA에 27017 통제를 반영하고 테넌트 분리·반환 절차 등을 운영합니다.
5
확장 심사
27001 심사와 함께 27017 통제 운영 증적을 심사받습니다.
6
인증서 표기·유지
인증서에 27017 적용이 표시되며, 27001 주기에 맞춰 함께 유지합니다.

ISO 27017 인증 기간과 비용

27017은 27001 위에 더하는 확장 범위이므로, 27001 보유 여부가 기간과 비용을 크게 좌우합니다.

상황별 일반적인 예상 기간 (참고용, 기업 상황에 따라 다름)

상황별 일반적인 예상 기간 (참고용, 기업 상황에 따라 다름)
현재 상태	예상 기간	비용 구성
ISO 27001 보유, 클라우드 통제 운영 중	1~2개월	27001 심사에 확장 심사 시간 추가
ISO 27001 보유, 클라우드 통제 미흡	2~3개월	확장 심사 + 통제 보완(컨설팅 선택)
27001과 동시 취득	27001 기간 + 약 1개월	27001 최초 심사 + 확장 심사

비용을 정하는 요인

27001 적용 범위 인원과 심사일수
클라우드 서비스 수와 구조(IaaS/PaaS/SaaS)
27018 등 다른 확장 인증 동시 진행 여부
컨설팅 범위(갭 분석, SoA 확장, 증적 준비)

우리 서비스 기준 비용이 궁금하다면

27001 보유 여부와 서비스 구성을 입력하면
인증기관 견적과 컨설팅 견적을
영업일 3일 이내, 무료로 받아볼 수 있습니다.

ISO 27017 무료 견적 요청

ISO 27017 컨설팅, 꼭 받아야 하나요?

필수는 아닙니다. 27001 운영 경험이 있고 클라우드 아키텍처를 잘 아는 담당자가 있다면 자체 준비할 수 있습니다. 인증 심사를 하는 인증기관은 국제 기준(ISO/IEC 17021-1)상 같은 기업에 컨설팅을 함께 제공할 수 없어, 준비 지원이 필요하면 별도 컨설팅을 받습니다.

구분	이런 기업에 적합	장점	고려할 점
자체 준비	27001을 운영 중이고 클라우드 보안 설정을 문서화해 온 기업	비용 절감, 내부 역량 축적	담당자 업무 부담, 시행착오로 기간이 길어질 수 있음
컨설팅 활용	27001과 동시 취득하거나, 책임 분담 정의·테넌트 분리 증빙이 어려운 기업	준비 기간 단축, 심사 대응 노하우	컨설팅비 발생, 업체별 범위·품질 차이

컨설팅 업체를 고를 때 확인할 것

클라우드 서비스(특히 우리와 같은 형태) 인증 경험
책임 분담표·SLA 검토까지 지원하는지
27018·27701 동시 진행 경험
클라우드 설정 증적 수집 방법 안내

인증기관 고르는 기준은 ISO 인증기관 선택 방법을 참고하세요.

인증기관 견적과 컨설팅 견적, 한 번에

콘타에서 견적을 요청할 때 '인증기관 견적', '컨설팅 견적', '둘 다' 중에서 고를 수 있습니다. 잘 모르겠다면 '잘 모르겠어요'를 선택하세요.

ISO 27017 견적 요청하기

ISO 27017 자주 묻는 질문

ISO 27017 인증이란 무엇인가요?

ISO/IEC 27017은 클라우드 서비스에 특화된 정보보호 통제 지침으로, 클라우드 서비스 제공자와 이용자의 보안 책임을 나누고 클라우드 환경에 필요한 추가 통제를 다룹니다. 보통 ISO 27001 인증에 확장 범위로 함께 심사받습니다.

ISO 27017만 단독으로 인증받을 수 있나요?

ISO 27017은 경영시스템 요구사항 표준이 아닌 실무 지침이라, 일반적으로 ISO 27001 인증과 함께(확장 범위로) 심사받습니다. 27001과 동시에 취득하는 것도 가능합니다.

ISO 27017은 어떤 기업에 필요한가요?

SaaS·PaaS·IaaS 등 클라우드 서비스를 제공하는 기업, 고객의 클라우드 환경을 운영하는 MSP, 해외·대기업 고객에게 클라우드 보안 통제를 증명해야 하는 기업에 주로 필요합니다.

ISO 27017과 CSAP는 무엇이 다른가요?

ISO 27017은 민간·해외 고객 대상의 국제 인증이고, CSAP는 국내 공공기관에 클라우드 서비스를 제공할 때 확인하는 국내 제도입니다. 진출하려는 시장에 따라 필요한 인증이 다릅니다.

ISO 27017 인증 기간은 얼마나 걸리나요?

ISO 27001을 보유하고 클라우드 통제를 운영 중이라면 1~2개월, 27001과 동시에 취득한다면 27001 준비 기간에 약 1개월을 더해 예상하는 경우가 많습니다.

ISO 27017 인증 비용은 어떻게 정해지나요?

27001 심사일수에 27017 확장 범위 심사 시간이 추가되는 구조입니다. 27001 보유 여부, 클라우드 서비스 구성, 컨설팅 범위에 따라 달라지며, 콘타에서 무료로 견적을 요청해 영업일 3일 이내에 확인할 수 있습니다.

ISO 27017과 27018은 함께 받아야 하나요?

필수는 아닙니다. 27017은 클라우드 보안 전반, 27018은 퍼블릭 클라우드에서의 개인정보 처리를 다룹니다. 개인정보를 처리하는 클라우드 서비스라면 함께 받는 경우가 많습니다.

콘타에서 ISO 27017 견적을 받으려면 어떻게 하나요?

콘타 견적 요청 페이지에서 ISO 27017(필요하면 ISO 27001도 함께)을 선택하고 기업 정보를 입력하면, 인증기관 견적과 컨설팅 견적을 영업일 3일 이내에 무료로 받아볼 수 있습니다.

최종 업데이트: 2026년 10월

콘타에서 견적 받을 수 있는 인증·평가 21종

분야별로 인증 정보를 확인하고, 필요한 인증을 함께 골라 한 번에 견적을 요청할 수 있습니다.

품질·환경·안전

정보보호·AI

산업별

윤리·컴플라이언스

ESG 평가·검증

해외 인증·원자력

ISO 27017 인증, 어디서부터 시작할까요?

상황에 맞는 방법을 골라 시작하세요. 모두 무료입니다.

사전 진단준비 상태와 필요도 확인 · 약 3분 무료 견적 요청인증기관·컨설팅 견적 · 영업일 3일 이내 30분 브리핑전문가와 준비 방향 상담

사전 진단 무료 견적 요청

ISO 27017 인증클라우드 보안 통제와 준비 방법

ISO 27017 핵심 정보