CCSP란? CISSP와 비교해서 알아보는 클라우드 보안 자격증

AWS, Microsoft Azure, Google Cloud 같은 클라우드 서비스가 기업 IT의 기본 인프라로 자리 잡으면서 보안 업무의 범위도 달라졌다. 계정과 권한, 인터넷 노출, 데이터 암호화뿐 아니라 클라우드 사업자와 이용기업의 책임 범위까지 함께 살펴야 한다.

CCSP는 이런 클라우드 환경의 보안을 전문적으로 다루는 국제 자격이다. 정식 명칭은 Certified Cloud Security Professional이며, CISSP와 같은 ISC2가 운영한다.

CISSP가 정보보안 전반을 폭넓게 다룬다면 CCSP는 클라우드 아키텍처, 데이터, 플랫폼, 애플리케이션, 운영과 컴플라이언스에 집중한다.

먼저 결론부터 정리하면, 특정 클라우드 제품의 사용법보다 여러 클라우드에 공통으로 적용되는 보안 원칙을 검증하는 자격이다. 현재 업무가 클라우드 보안 중심이고 경력요건을 충족한다면 CISSP를 먼저 취득하지 않고 CCSP부터 준비해도 된다.

CCSP란?

CCSP는 클라우드 환경의 데이터, 애플리케이션, 인프라를 안전하게 설계하고 운영할 수 있는 지식과 경험을 검증하는 자격이다.

특정 클라우드 사업자의 제품 사용법을 시험하는 자격과는 조금 다르다.

예를 들어 AWS 자격증이라면 AWS IAM, Security Group, CloudTrail 같은 실제 AWS 서비스를 얼마나 이해하고 있는지가 중요하다.

반면 CCSP는 AWS뿐 아니라 Azure나 Google Cloud에서도 적용할 수 있는 보다 공통적인 원칙을 다룬다.

클라우드에서는 누가 무엇을 책임지는지, 데이터를 어떻게 보호해야 하는지, 계정과 권한을 어떻게 관리해야 하는지, 네트워크를 어떻게 분리해야 하는지, 사고가 발생하면 어떻게 대응해야 하는지 같은 내용을 배우는 식이다.

그래서 CCSP는 특정 클라우드 제품의 사용법을 증명하는 자격이라기보다 클라우드 보안의 원칙과 설계·운영 능력을 검증하는 자격에 가깝다.

무엇을 공부할까?

2026년 8월 1일부터 적용된 ISC2 시험 개요에 따르면 CCSP 시험은 총 6개 영역으로 구성되어 있다.

영역비중
Cloud Concepts, Architecture and Design17%
Cloud Data Security20%
Cloud Platform & Infrastructure Security17%
Cloud Application Security16%
Cloud Security Operations17%
Legal, Risk and Compliance13%

클라우드 개념과 아키텍처

IaaS, PaaS, SaaS 같은 클라우드 서비스의 차이부터 퍼블릭·프라이빗·하이브리드·멀티클라우드 구조, 가상화, 컨테이너, 서버리스 등을 다룬다.

클라우드 데이터 보안

클라우드에 저장된 데이터를 어떻게 분류하고 보호할지 공부한다. 암호화, 키 관리, 데이터 마스킹, 익명화, DLP 등이 포함된다.

클라우드 플랫폼과 인프라 보안

서버, 네트워크, 스토리지, 가상화 환경 등의 보안을 다룬다. 방화벽, 네트워크 분리, 인증·인가, 로그 수집, 취약점과 위협 분석 같은 내용도 포함된다.

클라우드 애플리케이션 보안

클라우드에서 동작하는 애플리케이션을 어떻게 안전하게 개발하고 운영할지 다룬다. Secure SDLC, API 보안, OWASP 취약점 등도 포함된다.

클라우드 보안 운영

클라우드 시스템을 실제 운영하면서 필요한 접근통제, 변경관리, 로그, 모니터링, 사고대응, 백업과 복구 등을 다룬다.

법률·위험·컴플라이언스

클라우드를 사용하면서 발생하는 개인정보, 법률, 감사, 위험관리, 계약 등의 문제를 다룬다.

즉 서버나 네트워크 기술만 공부하는 시험은 아니다. 클라우드 기술 + 정보보안 + 위험관리 + 법률과 컴플라이언스를 함께 보는 시험이다.

CISSP와는 무엇이 다를까?

CCSP를 알아보다 보면 CISSP도 함께 접하게 된다. 두 자격은 같은 ISC2에서 운영하지만 목적이 다르다.

CISSP = 정보보안 전반

CCSP = 클라우드 보안 전문

CISSP는 보안 거버넌스와 위험관리부터 네트워크, IAM, 보안 아키텍처, 보안운영, 소프트웨어 보안까지 조직의 정보보안 전체를 다룬다. 반면 CCSP는 이러한 보안 지식을 클라우드 환경에서 어떻게 적용할 것인지에 집중한다.

구분CISSPCCSP
정식명칭Certified Information Systems Security ProfessionalCertified Cloud Security Professional
주관ISC2ISC2
중심 분야정보보안 전반클라우드 보안
시험영역8개6개
특징폭넓은 보안 지식클라우드에 집중
요구 경력2개 이상 시험영역에서 누적 5년
(조건 충족 시 최대 1년 면제)		IT 5년 중 사이버보안 3년,
CCSP 영역 1년
시험시간최대 3시간최대 3시간
문제 수100~150100~150
합격기준1,000점 중 700점1,000점 중 700점
아시아·태평양 시험비$749$599

어느 한쪽이 다른 한쪽의 상위 자격이라기보다는 다루는 범위가 다른 자격이라고 보는 것이 정확하다.

AWS나 Azure 자격증과도 다르다

CCSP의 또 다른 특징은 Vendor-neutral, 즉 특정 제조사나 클라우드 사업자에 종속되지 않는 자격이라는 것이다.

CCSP에서는 AWS의 특정 메뉴를 어디서 클릭하는지를 묻기보다 인터넷 공개 여부, 최소 포트 허용, 관리자 접근, 권한통제, 로그 저장, 침해 탐지, 암호화처럼 클라우드 전반에 적용되는 보안 원칙을 이해하는 것이 중요하다.

경력이 있어야 취득할 수 있다

CCSP는 시험에 합격한다고 바로 자격증을 받을 수 있는 자격이 아니다.

정식 CCSP가 되려면 누적 5년의 IT 실무경력이 필요하다. 그 5년 중 3년은 사이버보안 업무 경력, 그리고 1년은 CCSP의 6개 시험영역 중 하나 이상과 관련된 경력이어야 한다.

5년 + 3년 + 1년을 각각 따로 채워 총 9년의 경력이 필요하다는 뜻은 아니다.

IT 경력 총 5년
└ 그중 정보보안 경력 3년
　└ 그중 클라우드 보안 관련 경력 1년

즉 필요한 최소 전체 경력은 기본적으로 5년이다.

클라우드 경력은 어떤 것이 인정될까?

반드시 직책이 ‘클라우드 보안 엔지니어’일 필요는 없다. 실제 수행한 업무가 CCSP의 6개 영역과 관련되어 있다면 경력으로 인정될 수 있다.

  • 클라우드 인프라 설계
  • 클라우드 보안 아키텍처 검토
  • IAM과 계정·권한관리
  • 클라우드 네트워크와 방화벽 관리
  • 데이터 암호화와 키 관리
  • 로그와 보안 모니터링
  • 클라우드 취약점 관리
  • 클라우드 보안 운영
  • 클라우드 위험평가
  • 클라우드 컴플라이언스 및 감사

방화벽 운영이나 클라우드 인프라 보안성 검토도 실제 수행 내용이 CCSP 시험영역과 연결되고 경력을 입증할 수 있다면 관련 경력으로 인정될 가능성이 있다. 직무명보다 실제 업무 내용이 중요하며, 최종 인정 여부는 자격 신청과 보증(Endorsement) 과정에서 ISC2가 판단한다.

경력이 부족해도 시험은 볼 수 있다

필요한 실무경력이 아직 없다고 해서 시험 자체를 볼 수 없는 것은 아니다. CCSP 시험에 먼저 합격한 뒤 경력이 부족하다면 Associate of ISC2 상태로 등록할 수 있다.

시험 합격과 CCSP 자격 취득은 완전히 같은 의미는 아니다.

활성 CISSP는 전체 경력요건을 대체한다

활성 상태의 CISSP 자격을 보유하고 있다면 CCSP의 전체 경력요건을 충족한 것으로 인정된다.

하지만 CCSP를 취득하기 위해 반드시 CISSP부터 취득해야 하는 것은 아니다. CCSP 자체의 경력조건을 충족한다면 처음부터 CCSP 시험에 응시해 자격을 취득해도 된다.

시험은 어떻게 볼까?

2026년 8월부터 CCSP 시험은 CAT(Computerized Adaptive Testing) 방식으로 진행된다. 응시자의 이전 답변에 따라 다음 문항의 난이도가 달라지는 적응형 시험이다.

항목내용
시험시간최대 3시간
문제 수100~150문항
방식CAT
합격기준1,000점 중 700점
시험장Pearson Testing Center
지원언어영어, 중국어, 일본어, 독일어
시험비아시아·태평양 기준 $599

안타깝게도 한국어 시험은 현재 제공되지 않는다.

700점이면 70%를 맞히면 될까?

그렇지는 않다. 합격기준이 1,000점 중 700점이라고 해서 전체 문제의 70%를 맞히면 합격한다는 의미는 아니다.

CCSP는 CAT 방식이고 문제 난이도 등을 반영한 Scaled Score를 사용한다. 따라서 일반적인 시험처럼 ‘100문제 중 70개를 맞으면 합격’이라고 계산할 수 없다.

CCSP 합격률은?

ISC2는 CCSP 전체 응시자의 공식 합격률을 공개하지 않는다.

인터넷을 검색하면 50%, 60%, 70% 등 다양한 합격률이 나오지만 대부분 교육업체의 수강생 합격률이거나 비공식적인 추정치다.

현재 공식적으로 확인할 수 있는 것은 합격기준이 1,000점 중 700점이라는 것이며, 정확한 전체 합격률은 공개되어 있지 않다고 보는 것이 안전하다.

시험은 언제 볼 수 있을까?

CCSP는 한국의 국가기술자격처럼 1년에 한두 번 정해진 날짜에 모든 사람이 동시에 시험을 보는 방식이 아니다.

시험을 구입한 뒤 Pearson 시험센터의 가능한 날짜를 확인해 예약한다. 따라서 별도의 ‘2027년 CCSP 시험 일정’ 같은 연간 일정표는 없다.

자격을 따면 평생 유지될까?

CCSP는 한 번 취득했다고 아무 조건 없이 평생 유지되는 자격은 아니다.

CCSP는 3년의 자격주기 동안 총 90 CPE가 필요하다. 또한 매년 135달러의 AMF(Annual Maintenance Fee)를 납부해야 한다.

CISSP와 CCSP를 모두 가지고 있더라도 유지비를 자격마다 각각 내는 것은 아니다. ISC2 회원은 여러 자격을 보유해도 연간 AMF를 한 번만 낸다.

CCSP와 CISSP 중 무엇을 선택할까?

두 자격의 목적이 다르기 때문에 어떤 자격이 무조건 더 좋다고 보기는 어렵다.

정보보안 전체를 넓게 다루고 싶다면 CISSP가 더 잘 맞는다.

반대로 현재 업무의 중심이 클라우드라면 CCSP가 더 직접적으로 연결될 수 있다.

꼭 CISSP를 먼저 취득하고 CCSP를 취득해야 하는 것도 아니다. 자신의 업무가 이미 클라우드 중심이고 CCSP의 경력조건을 충족한다면 CCSP부터 취득하는 것도 자연스러운 선택이다.

자주 묻는 질문

CISSP를 먼저 취득해야 하나?

아니다. CCSP 자체의 경력요건을 충족한다면 CCSP부터 취득할 수 있다. 활성 CISSP를 보유한 경우에는 CCSP의 전체 경력요건을 충족한 것으로 인정된다는 차이가 있다.

방화벽 운영도 CCSP 경력으로 인정될 수 있나?

클라우드 네트워크 통제, 접근관리, 변경관리, 보안 모니터링처럼 CCSP 시험영역과 연결되는 업무였다면 관련 경력으로 설명할 수 있다. 다만 직무명만으로 자동 인정되는 것은 아니며, 수행 기간과 업무 내용을 입증해야 한다.

한국어 시험을 볼 수 있나?

현재 CCSP 시험은 영어, 중국어, 일본어, 독일어로 제공되며 한국어는 지원하지 않는다. 시험 언어와 지역별 응시 가능 여부는 예약 전에 ISC2와 Pearson VUE에서 다시 확인하는 것이 안전하다.

마무리

CCSP는 단순히 ‘클라우드를 아는 사람’을 위한 자격은 아니다.

클라우드가 어떻게 동작하는지 이해하고 그 환경에서 데이터와 시스템을 어떻게 보호해야 하는지, 어떤 위험이 있는지, 사고가 발생했을 때 어떻게 대응할지까지 종합적으로 다룬다.

CISSP가 정보보안이라는 넓은 영역을 다루는 자격이라면 CCSP는 그중에서도 빠르게 중요해지고 있는 클라우드 보안에 전문성을 둔 자격이라고 볼 수 있다.

정식 자격을 받으려면 IT 경력 5년, 그중 사이버보안 경력 3년과 CCSP 관련 영역 경력 1년이 필요하지만 이 기간을 모두 더해서 9년이 필요한 것은 아니다.

클라우드가 기업 IT의 기본 인프라로 자리 잡고 있는 만큼 특정 CSP의 제품 사용법뿐 아니라 클라우드 보안의 공통 원칙을 체계적으로 정리하고 싶다면 살펴볼 만한 자격이다.

공식 자료: CCSP 시험 개요 · CCSP 경력요건 · ISC2 시험비 · ISC2 연회비 안내

관련 글

추천 글