Limitations of Korea's Cloud Security Assurance Program (CSAP) Kubernetes Security Criteria and Proposed Policy Improvement Directions

Kubernetes는 클라우드 인프라의 핵심 플랫폼으로 자리잡으며, 이에 따른 보안 요구도 점차 고도화되고 있다. 한국인터넷 진흥원에서 운영하는 CSAP(Cloud Security Assurance Program)은 Kubernetes 환경에 대해 CCE(Common Configuration Enumeration) 기반 점검 항목을 제공하고 있으나, 구성 설정 위주의 정적 점검에 치중되어 런타임 보안, 정책 통제 등 최신 보안 요구는 충분히 반영되지 못하고 있다. 이 연구는 CCE 내 Kubernetes 항목을 중심으로 관련 학술연구와 CIS Benchmark, MITRE ATT&CK, NIST SP 800-190, NSA-CISA 가이드라인 등 글로벌 보안 프레임워크와의 비교 분석을 수행하였다. 그 결과, 현행 항목은 점검 범위와 기술적 깊이에서 한계가 있으며, 실제 클러스터 운영 보안 위협에 대응하기 어렵다는 구조적 취약성을 확인하였다. 이에 이 연구는 정적 구성, 실행환경 보안, 정책 기반 통제의 세 계층으로 구성된 다층 보안 점검 체계 를 제안하고, 오픈소스 자동화 도구와의 연계를 통해 실효성 있는 점검이 가능하도록 설계하였다. 제안된 체계는 CCE 항목의 개선과 CSAP 인증 기준의 현실적 보완에 기여할 수 있을 것으로 기대된다.