民間クラウド事業者が公共機関向けにサービスを提供する際の安全性認証制度が、2027年下半期から国家情報院のN2SFに一本化される。これに伴い、科学技術情報通信部が運用してきたクラウド安全性認証制度（CSAP）は廃止される見通しで、制度見直しにより海外クラウド事業者の公共市場参入のハードルは下がりそうだ。

国家情報院は17日、ソウルのコエックスで開いたサイバーセキュリティ・サミットで、クラウド安全性認証制度の改編内容と今後の計画を公表した。

現行のCSAPは、上位・中位・下位の3等級で構成されている。見直し後は、国家情報院が進めるN2SFに基づき、C（Classified）、S（Sensitive）、O（Open）の3等級へ移行する。

N2SF導入の柱は、公共機関のセキュリティ環境を一律の物理的ネットワーク分離から見直すことにある。重要度の低い情報についてはインターネット公開を可能にし、C・S・OのうちO等級に該当するデータは公開できるようにする。

C・S・Oの区分は大枠でCSAPの上位・中位・下位に対応するが、各等級で求められるセキュリティ要件は異なる。

中でも、CSAPの中位等級に相当するS等級は、公共向けのデータインフラを備えていれば物理的なネットワーク分離なしでも認証取得が可能になる。海外クラウド事業者にとっては、新たな事業機会につながる可能性がある。

CSAPでは、上位・中位・下位のいずれも、全システムと運用要員を国内に置くことが認証条件だった。これに対しN2SFでは、S・O等級に限り、サイバー安全保障上の対応確保を前提として、運用管理システムと運用要員を海外に置くことを認める。

暗号要件も緩和される。N2SFではS・O等級に限り、暗号モジュール検証制度に基づく検証済み暗号モジュールに加え、AESなどの国際標準暗号の利用を認める。

事業者側からみると、S・O等級の認証取得に伴う負担は軽くなる。物理的なネットワーク分離なしでも認証取得が可能になるため、海外企業にとっては、CSAP下では参入が難しかった、より大規模な公共インフラ案件を狙いやすくなる。

CSAPでは、海外企業が取得しやすいのは、ネットワーク分離を要しない下位等級に限られており、公共クラウド市場での存在感は大きくなかった。業界では、CSAPの下位等級に該当するシステムで海外クラウドを採用してもコストが高く、あえて選ぶ必要性は乏しいとの見方が出ていた。

国家情報院は、2027年下半期に新たな安全性検証制度を施行する方針だ。

制度改編後も、既存CSAP認証の有効期間5年は維持する。すでにCSAP認証を取得している企業については、N2SF移行後も有効期間内であれば、公共向けセキュリティ基準を満たすものとして扱う。

N2SFでは、認証の適用除外規定も新設する。公開情報のみを処理する国内外の商用生成AI（大規模言語モデル）サービスのほか、医療用ロボットアームや巡回用ロボット犬など、特定目的の機器に従属するクラウドサービスを例外対象に含める。