Cloudflare의 한국 ISMS 인증을 KISA 공개 등록부에서 확인했습니다
GeekNews 최신글에서 확인한 Cloudflare의 10월 22일 발표를 KISA의 ISMS-P 공개 등록부와 대조했습니다. 공개 등록부에는 Cloudflare, Inc.가 인증번호 ISMS-KISA-2026-136으로 등록돼 있으며, 인증범위는 “Cloudflare Connectivity Cloud 서비스 제공을 위한 인프라 및 운영(심사받지 않은 물리적 인프라 제외)”입니다. 유효기간은 2026년 9월 2일부터 2029년 9월 1일까지이며 현재 유지 상태로 표시됩니다.
핵심 사실
GeekNews 최신글에서 확인한 Cloudflare의 10월 22일 발표를 KISA의 ISMS-P 공개 등록부와 대조했습니다. 공개 등록부에는 Cloudflare, Inc.가 인증번호 ISMS-KISA-2026-136으로 등록돼 있으며, 인증범위는 “Cloudflare Connectivity Cloud 서비스 제공을 위한 인프라 및 운영(심사받지 않은 물리적 인프라 제외)”입니다. 유효기간은 2026년 9월 2일부터 2029년 9월 1일까지이며 현재 유지 상태로 표시됩니다.
Cloudflare는 자체 설명에서 KISA가 지정한 감사인이 10일 동안 80개 통제항목을 검토했고 준비 과정이 약 1년 반에 걸쳤다고 밝혔습니다. 한국 사용자 가입 화면에서는 서비스 약관, 개인정보 수집·이용, 일부 개인정보 국외 이전을 필수 동의로 분리하고 마케팅 목적 제3자 제공은 선택 항목으로 나눴습니다. Google·Apple·GitHub 소셜 가입은 이 동의 화면을 거치지 않기 때문에 한국에서는 제공하지 않는다고 설명했습니다.
배경
글로벌 클라우드 기업의 ISO·SOC 인증과 한국의 ISMS는 평가 체계와 규제 맥락이 다릅니다. KISA 등록부는 회사의 자체 보도자료와 별개로 인증번호·범위·유효기간을 외부에서 확인할 수 있는 근거입니다.
의미
국내 기업이 Cloudflare를 공급망·보안 위험평가에서 검토할 때 한국 규제 맥락의 객관적인 인증 근거가 추가됐습니다. 동시에 인증 과정이 단순 서류 작업을 넘어 실제 가입 UX와 개인정보 동의 흐름을 변경한 사례입니다. 다만 인증범위에는 “심사받지 않은 물리적 인프라 제외”가 명시돼 있으므로 모든 Cloudflare 자산이 동일하게 심사됐다고 해석하면 안 됩니다.
확인한 것과 불확실한 것
Cloudflare 공식 발표, GeekNews 최신글, KISA ISMS-P 공개 등록부를 직접 확인했습니다. 인증번호·범위·유효기간은 KISA 등록부에서 확인된 사실입니다. 개별 Cloudflare 제품이 실제 인증 서비스 경계 안에서 어떻게 제공되는지는 제품별 아키텍처와 고객 계약을 추가 확인해야 합니다.
추가 취재할 독자의 질문
국내 기업이 사용하는 Cloudflare 제품이 해당 인증 경계에 포함되는지 어떤 증빙으로 확인할 수 있는지, 자체 ISMS-P 심사에서 공급망 위험평가 문서를 어느 수준까지 줄일 수 있는지가 실무적인 질문입니다. 한국에서 소셜 가입을 제거한 변경이 사용자 가입률에 미친 영향도 향후 확인할 만합니다.
출처
GeekNews 최신글 Cloudflare — Localizing compliance at scale: achieving South Korea’s ISMS certification KISA ISMS-P — 인증서 발급 현황