捤獥 汤捯 湰灧
漠杳
디지털 병리 솔루션 대상
개인정보 영향평가 제안요청서
氠瑢
사 업 명
디지털 병리 솔루션 대상 개인정보 영향평가
주관기관
서울대학교병원
2025. 10.
桤灧 漠杳
氠瑢
※ 이 자료는 서울대학교병원의 사전 허락 없이 복제, 전달 및 사용할 수 없음
氠瑢
氠瑢 桤灧
목 차
Ⅰ. 사업 개요 膕 ȃ 4
1. 개요 諷 ȃ 4
2. 추진 배경 및 근거 滗 ȃ 4
3. 대상 사업 개요 痟 ȃ 5
4. 추진 체계 膗 ȃ 8
5. 추진 일정 缿 ȃ 10
6. 주요 사업 내용 率 ȃ 11
Ⅱ. 제안 일반 缽 ȃ 14
1. 참가자격 糧 ȃ 14
2. 제안서 작성 및 유의사항 尗 ȃ 15
3. 제안서 구성 砷 ȃ 17
4. 제안서의 효력 痟 ȃ 18
5. 유의 사항 糧 ȃ 18
Ⅲ. 제안 요청내용 砵 ȃ 19
1. 요구 사항 총괄 滗 ȃ 19
2. 요구 사항 상세 焯 ȃ 20
Ⅳ. 제안서 평가 및 업체선정 情 ȃ 47
1. 선정절차 缿 ȃ 47
2. 제안서 평가 砷 ȃ 48
3. 제안서 평가항목 및 배점기준 劷 ȃ 49
4. 협상 진행 절차 등 樧 ȃ 52
5. 사업자 선정 및 계약체결 尗 ȃ 54
Ⅴ. 기타 사항 膕 ȃ 56
1. 검사 및 검수 痟 ȃ 56
2. 시험운영 缿 ȃ 56
3. 성과품의 소유 率 ȃ 56
4. 품질보증에 관한 사항 挟 ȃ 57
5. 유지보수 缿 ȃ 57
6. 교육 및 기술지원 汿 ȃ 58
7. 보안 대책 糧 ȃ 58
8. 준수사항 缿 ȃ 58
9. 소프트웨어사업 관련 법령 준수 사항 䉏 ȃ 58
Ⅵ. 각종 서식 등 痝 ȃ 생략
桤灧
氠瑢
Ⅰ. 사업 개요
1. 개요
○ 사 업 명 : 디지털 병리 솔루션 사업 개인정보영향평가
○ 사업기간 : 계약 후 3개월 이내 (필요 시 연장)
- 사업 기간은 계약 절차 이행 및 발주 기관의 사정에 따라 조정될 수 있음.
- 착수 기간은 디지털 병리 솔루션 사업 계약 상황에 따라 조정될 수 있음.
○ 입찰 및 계약 방식 : 제한경쟁입찰(협상에 의한 계약)
○ 사업 예산 : 입찰공고문 참조
- 본 사업예산은 부가가치세가 포함된 금액이므로 입찰자가 면세사업자인 경우에도 입찰금액은 반드시 부가가치세를 포함하여 투찰하여야 하며, 입찰결과 낙찰자가 면세인 경우 낙찰금액에서 부가가치세 상당액을 차감한 금액을 계약금액으로 함
2. 추진 배경 및 근거
(1) 배경
○ 디지털 병리 솔루션 대상 잠재 위험식별·침해요인 분석·취약점에 대한 개선방안 도출·불필요한 개인정보 보유 제거·개인정보 취급 프로세서 개선 등 추진
○ 개인정보 관리 체계, 개인정보 처리 단계별 보호 조치 등 개인정보 영향평가 영역(항목)별 점검
- 개인정보보호 관련 법령의 의무 준수사항 점검과 미비 사항을 보완하여 개인정보 관리체계 및 유출 예방 강화
- 개인정보 침해위험요인과 위험요소에 대한 분석 및 개선사항 조치를 통한 개인정보 침해 예방
○ 시스템 구축 단계에서 개인정보 유출 등 위험요소를 식별 보완함으로써, 개인정보주체의 권리를 보장하는 방안 마련 필요
○ 개인정보 영향평가 전문기관에 의한 개인정보 영향도 분석과 취약점 진단ㆍ결과 반영을 통해, 시스템 보안성 강화 및 개인정보 침해사고를 사전 예방 湯湷 하기 위한 대책 필요
氠瑢
[ 영향평가 수행 대상 : 개인정보 보호법 시행령 제35조 ]
▸ 5만명 이상의 정보주체에 관한 민감정보 또는 고유식별정보의 처리가 수반되는 개인정보파일
▸ 타 공공기관 및 시스템과 개인정보를 연계하려는 경우로서, 연계 결과 정보주체의 수가 50만명 이상인 개인정보파일
▸ 100만명 이상의 정보주체 수를 포함하고 있는 개인정보파일
▸ 개인정보 영향평가를 받은 후에 개인정보 검색체계등 개인정보파일의 운용체계를 변경하려는 경우, 그 변경 예정인 개인정보파일
(2) 추진 근거(법령)
○ 개인정보보호법 제33조(개인정보 영향평가)
○ 개인정보 보호법 시행령 제35조(개인정보 영향평가의 대상), 제37조(영향 평가 시 고려사항), 제38조(영향평가의 평가기준 등)
○ 개인정보영향평가에 관한 고시(개인정보보호위원회고시 제 2020-4호)[시행 2020.08.11.]
3. 대상 사업 개요
(1) 사 업 명 : 디지털 병리 솔루션
(2) 사업기간 : 계약일로부터 3개월 이내 구축
(3) 주요내용
가. 디지털 병리 슬라이드(WSI) 뷰어
○ 기본 뷰어 기능
- 줌(Zoom In/Out) : 현미경 배 湯湷 율과 유사하게 자유로운 확대․축소 제공
- 패닝(Panning) : 슬라이드를 드래그하며 자유롭게 이동 가능
- 멀티 해상도 지원 : 피라미드 구조 이미지(SVS, TIFF, NDPI, MRXS 등) 기반의 빠른 확대․축소
○ 이미지 탐색 및 표시
- 썸네일(Overview Map) : 전체 슬라이드 축소 이미지를 통한 위치 확인
- 네비게이션 미니맵 : 현재 뷰 영역을 표시하고 빠른 이동 지원
- 멀티 윈도우 뷰 : 동일 슬라이드 내 여러 영역 동시 열람
- 멀티 슬라이드 비교 : 동일 환자의 다른 슬라이드 또는 염색(H&E vs IHC) 비교
- 슬라이드 매핑 : 육안 사진에 매핑 검사 이미지 오버랩 지원
○ 주석 및 마킹
- ROI(Region of Interest) 지정 및 마킹 기능
- 도형 주석 : 직선, 화살표, 원, 다각형 등 제공
- 텍스트/라벨 추가 : 병리 소견 및 설명 기록
- 다층 주석 관리 : 사용자․레이어별 주석 구분 및 관리
○ 이미지 분석 보조
- 길이․면적 측정 : 마이크론 단위 길이 계산 지원
- 스케일 바(Scale Bar) : 확대 배율에 따라 자동 표시
- 색상/명암 조절 : 밝기, 대비, 감마, 색조 등 조정 가능
- 알고리즘 적용(옵션) : 자동 분석 및 Inference 결과 오버레이
○ 사용자 인터랙션
- 키보드 단축키 지원 : 탐색․확대․축소․주석 작업 효율화
- 터치 제스처 지원(모바일/태블릿) ; 핀치 줌, 스와이프 이동 등
- 멀티 유저 공유 : 온라인 협업 모드(동시 관찰, 원격 컨퍼런스)
○ 파일/데이터 관리
- 다중 포맷 지원 : svs, ndpi, scn, tiff, iSyntax 등 주요 사용 포맷
- 다중 레이어 표시 : Label, Macro, Thumbnail, Main Image
- 메타 데이터 표시 : 환자 정보, 스캔 장비 정보, 배율 등 확인 가능
○ 협업 및 리포팅
- 슬라이드 공유 링크 : URL 기반 공유
- 협업 주석 : 다수 사용자의 공동 주석 작성 및 의견 교환
- 보고서 생성 : ROI 캡처, 주석 포함 PDF/이미지 내보내기
나. 디지털 병리 슬라이드 뷰어 HIS 연동
○ 모번호 기준 동일 환자 과거 증례 연동
○ 환자 기본 정보, 검사 결과, 육안 ․ 현미경 소견, 특수 염색 및 분자검사 결과 연동
○ 진단 전 서식지, 최종 판독문, 병리 번호 관련 보고서 연동
다. 사용자 요구사항 반영
○ Summary 표시 및 Annotation 기능
- Cancer, Precancer, Safety Margin, LN 등 주요 주석 요약 정보 제공
- 상세 Annotation 리스트 조회 기능
○ Computational Pathology 기능
- 알고리즘 분석 결과 표시 및 판독 지원
○ Report 정보 표시
- 슬라이드 및 육안 사진 기반 보고서(진단 전 서식지, 진단 후 최종판독문, 병리번호 관련 보고서) 확인 가능
○ 육안 검사 사진 매핑
- 의뢰서, Slide key, Gross Report와 연계된 슬라이드 매핑 표시
4. 추진 체계
○ 추진조직
氠瑢
발주기관
서울대학교병원
정보화 사업 총괄
보안성 검토 및
영향평가 촐괄
정보화실
정보보호실
의료정보운영위원회
정보보호팀, 정보보안팀
사업 관리
병리과
솔루션 구축
개인정보영향평가
수행 업체 A
수행 업체 B
❍ 추진조직별 역할
氠瑢
추진조직
기능 및 역할
비고
발주 기관
• 구매 요구 및 발주 대상 사업 검토 및 승인
汤捯
정보화 사업
총괄
• 사업 전반 적정성 및 타당성 검토 및 승인
• 그 외 정보화 사업에 필요한 사항 지원
의료정보
운영위원회
(*과업심의위원회)
보안성 검토
• 보안성 검토 서류 검토 및 승인
• 그 외 보안성 강화 등에 준하는 사항 지원
정보보안팀
영향 평가
총괄
• 개인정보영향평가 수행 지원
• 원내 개인정보보호 체계, 규정, 현황 공유
• 영향평가서 검토 및 의견 제공
• 영향평가서 제출 및 공개(공공기관)
• 지적사항 조치 및 이행 내용 검토
• 개선사항 이행점검 및 이행점검결과서 제출
정보보호팀
汤捯 사업 관리
汤捯 • 사업 추진 총괄
• 사업 기획 및 예산 수립, 발주 및 관리
• 프로젝트 관리 및 사용자 피드백
• 솔루션 구축 수행 지원
• 개인정보영향평가 수행 지원
• 기관 내 업무 유관 부서 협력 요청
• 사업 완료 산출물 완수 여부 및 기능 검수
병리과
汤捯 솔루션
구축
汤捯 • 솔루션 사업 수행 계획 수립
• 솔루션 사업 요구 사항 분석
• 솔루션 사업 요구 기능 개발 및 시스템 연계
• 솔루션 사업 테스트 및 보완
汤捯 솔루션 구축
수행업체
汤捯 개인정보
영향평가
汤捯 • 영향평가 계획수립 및 자료 수집
• 솔루션 구축 전반 시스템 및 DB 확인
• 개인정보 처리기술 확인 및 적정 여부 검토
• 개인정보 흐름분석 및 침해요인 분석
• 개선계획 수립 및 영향평가서 작성
• 영향평가 이행점검 수행
汤捯 개인정보영향평가
계약 업체
[분담이행 가능]
개인정보
영향평가
수반 업무
• 영향평가 위한 자료 제출 및 협조, 현장 지원 실사
• 기술적 검증 대응, 취약점 진단 협조
• 지적 사항 개선, 증적 자료 제출, 시스템 반영 및 안정화
• 정기 모니터링, 재평가 대비
개인정보영향평가
계약 업체
[분담 이행 가능]
5. 추진 일정
氠瑢
사업내용
계약일(M)
비고
M
M+1
M+2
M+3
M+4
디지털
병리
솔루션
사업
사업수행 계획수립
요구사항 분석
기능 개발 및 시스템 연계
테스트 및 보완
개인정보영향평가
이행점검 및 개선 조치
개인
정보
영향
평가
평가수행
계획수립 및
평가자료 수집
착수 시기
조정 가능
개인정보흐름 및
침해요인 분석
개선계획 수립 및
영향평가서 작성
개선계획 반영 및 점검
개선사항
이행확인
운영
6. 주요 사업 내용
(1) 개인정보영향평가 수행
○ ｢개인정보보호법｣제33조(개인정보 영향평가)와 ｢개인정보보호법 시행령｣ 제35조(개인정보영향평가의 대상) 등 관련 규정에 따라 개인정보영향평가를 수행
○ 평가 대상 시스템 및 사업에 적용되는 개인정보보호 관련 법령․지침, 가이드라인 및 내부 규정 등 관련 정책 분석
○ 개인정보 흐름 및 개인정보 침해 요인 분석, 위험평가 실시
- 개인정보보호 관련 법규, 지침 등 관련 내용을 반영한 개선방안 수립
- 개인정보보호를 위한 법률해석의 자문이나 전문가의 조언이 필요한 경우 외부 자문 수행
- 기타 관련 법령에 따라 수행이 필요한 부분 등
○ 개인정보영향평가 완료 후 결과보고서를 제출하여야 하며, 개선 과제 발생 시 개선이행을 위한 협조를 하여야 한다.
○ 디지털 병리 솔루션 사업 관련 개인정보보호 관리체계의 적정성 분석
- 대상사업 추진에 따른 개인정보보호조직, 개인정보보호계획, 개인정보 처리방침, 개인정보 파일관리 등 수립 및 적정성 검토
- 대상사업 및 구축 시스템의 개인정보관리, 개인정보 처리내용 공개에 대한 적정성
○ 개인정보 처리단계별 보호의 적정성 분석
- 개인정보 수집, 저장, 보유, 이용 및 연계․제공, 파기에 이르기까지 각 단계별 보호조치에 대한 분석
○ 기타 관련 법령에 따라 수행이 필요한 부분 등 분석
※ 기타 관련 법령 : 개인정보 보호법, 정보통신망 이용촉진 및 정보보호 등에 관한 법률, 전자정부법 등
○ 영향평가 결과에 따른 개선계획 수립 및 개선조치 기술지원
- 개인정보 흐름 및 개인정보 침해요인 분석, 위험평가를 실시 후 도출된 개인정보 침해요소에 대해 관련 법규, 지침 등 관련 내용을 반영하여 개선방안 및 개선계획 수립
- 개선조치에 대한 기술지원 및 반영 검토, 개인정보보호교육 지원
(2) 수행방법 및 절차
○ 개인정보 영향평가 수행 시 문서 확인, 인터뷰, 현장방문을 통한 실사 등의 방법을 병행
○ 개인정보 영향평가 대상 사업에 적용되는 개인정보보호 관련 법령ㆍ지침 및 가이드라인ㆍ내부지침 등 관련 정책 분석
○ 개인정보의 종류ㆍ성질, 정보주체의 수, 개인정보의 흐름 및 개인정보 침해 요인 분석, 위험평가 실시
○ 개인정보보호 관련 법령, 지침 등 관련 내용을 반영한 개선방안 및 개선계획 수립
○ 법적 쟁점사항 발생 시 개인정보보호 관련 전문가 또는 변호사, 법학교수 등에 법률 자문 등
※ 평가방법 및 절차는 「개인정보 영향평가 수행 안내서」에 따라 수행
※ 개인정보 영향평가에 관한 고시(개인정보보호위원회고시 제2024-7호) 및 개인정보의 안전성 확보조치 기준 고시(개인정보보호위원회고시 제2023-6호)준수
漠杳
氠瑢
Ⅱ. 제안 일반
1. 참가자격
○ 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제12조 및 동법 시행규칙 제14조 규정에 의한 경쟁 입찰 참가자격을 갖춘 자
○ 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제76조의 규정에 의한 부정당업자로 등록되거나 입찰참가자격을 제한받지 아니한 업체
○ 중소기업제품 구매촉진 및 판로지원에 관한 법률 시행령 제2조의 2에 의거 소기업/소상공인 확인서를 (응찰(개찰)일 전일 까지 발급된 것으로 유효기간 내 있어야함)를 소지한 업체
○ 소프트웨어산업진흥법 제24조 및 동법 시행령 제17조에 의거 소프트웨어사업자(컴퓨터 관련 서비스사업)로 등록된 업체
○ 본 사업은 20억원 미만 사업으로 「소프트웨어 진흥법」 제48조(중소 소프트웨어사업자의 사업참여 지원) 및 중소 소프트웨어사업자의 사업 참여 지원에 관한 지침 제2조, 제3조에 따라 대기업 및 중견기업인 소프트웨어 사업자의 입찰 참여 제한(소프트웨어사업자 일반 현황 관리확인서 상의 ‘공공 소프트웨어사업 입찰참여 제한금액: 없음’으로 확인)
○ 소프트웨어진흥법 제48조 제4항에 따라 상호출자제한기업집단 소속회사의 입찰 참여 제한
○ 개인정보보호법 제33조 및 동법 시행령 제36조에 의거 개인정보 영향평가기관 지정서를 제출 가능한 업체
○ 제안사는 특정 기술 및 유지보수에 관련된 업체와 협력하여 공동으로 입찰에 참가할 수 있으며, 제안사가 반드시 본 사업과 관련하여 일체의 진행에 책임을 진다.
○ 공동계약의 허용
- 「국가를 당사자로 하는 계약에 관한 법률」 제25조 및 같은 법 시행령 제72조, 「공동계약운용요령」(기획재정부계약예규 제651호, 2023.6.16.)에 따라 공동계약을 허용하며, 공동수급 참여자는 입찰참가자격을 모두 충족하여야 함
- 이 경우, 공동수급업체 구성원은 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제13조 및 같은 법 시행규칙 제14조 규정에 저촉되지 않아야 하며, 공동수급 참여자는 입찰 참가 조건을 모두 충족하여야 함
- 공동수급은 분담이행방식만 허용하며 공동수급업체는 5개 이하로 구성하여야 하며, 구성원별 계약 참여 최소지분율은 10% 이상으로 하여야 함
※ 공동계약운용요령(기획재정부계약예규 제651호, 2023.6.16.) 제9조 제5항 참조
○ 작업장소 상호협의 및 원격지 개발 장소
- 본 사업의 작업장소는 원활한 사업수행을 위해 발주기관과 협의하여 결정
- 작업장소 관련 비용 및 사업 관련 문헌이나 전문 도서의 구입, 업무 실사 등에 따른 소요 비용은 전체 사업예산에 계상되어 있으므로 제안사가 부담
- 작업장소 상호협의 시 제안요청서에 명시된 보안 요구사항을 준수한 원격지 작업장소를 제시할 수 있으며, 발주기관에서는 제시된 작업장소에 대하여 우선 검토. 다만, 제안사가 제시한 작업장소가 보안 요구사항을 준수하지 못한 경우 거부할 수 있음
- 제안사는 보안사고 등 위험 요인을 식별하여 이에 대한 대응방안 및 제안요청서의 보안요구사항 등을 준수하여 원격지 개발에 따른 구체적인 보안관리 대책을 제시하여야 함
2. 제안서 작성 및 유의사항
○ 제안서 기본 형식
- 용지 : A4 용지, 단면 인쇄
- 표기 : 한글로 작성하되 영문표기 시 약어표 제공
○ 제안서는 반드시 본 지침서의 양식 및 기재 순서에 의거 작성하여야 하며, 각 페이지는 쉽게 참조할 수 있도록 페이지 하단 중앙에 일련번호를 붙이되, 각 장별로 번호를 부여해야 함
○ 제안서는 제안요청서에서 요구하는 모든 사항이 기술되어야 하며, 향상된 내용으로 제안할 수 있음
○ 제안서는 각 요구조건에 대하여 명확하고 상세하게 작성하고, 기술적인 설명자료 등의 내용이 많을 경우에는 별첨 자료로 작성
○ 제안서의 모든 기재사항은 객관적으로 입증할 수 있는 관련 증빙자료를 첨부하여야 하며, 제출된 자료 중 일부라도 허위가 있을 경우에는 입찰 무효 및 계약체결 후라도 계약해지와 함께 민․형사상의 책임을 져야 함
○ 제안서 내용 등과 관련하여 제3자의 저작권을 침해한 사항이 발생할 경우에는 제안업체에게 일체의 책임이 있음
○ 모든 제안서 작성 시 사용언어는 한글 표기를 원칙으로 하며, 필요시 외래어(한자 포함)의 사용은 괄호 내에 표기
○ 제안서의 내용은 명확한 용어를 사용하여 표현하여야 하며,“ ~ 할 수도 있다”,“ ~이 가능하다”,“ ~을 고려하고 있다”,“ ~에 동의한다” 등과 같은 모호한 표현은 제안서 평가 시 불가능한 것으로 간주하며 계량화가 가능한 것은 계량화하여야 함
○ 제안내용의 전부 또는 일부에 대하여 담합한 사실이 발견되는 등의 경우에는 제안을 무효로 함
○ 발주자는 제안요청서나 기타 첨부자료 상의 오류나 누락에 대하여 책임지지 않음
○ 제출된 제안서 및 관련 자료는 일체 반환되지 아니하며, 본 제안을 위하여 소요되는 일체의 비용은 제안자 부담으로 함
○ 입찰참가자는 입찰공고문 및 제안요청서 등 입찰에 관련된 모든 제반사항을 충분히 숙지하여야 하며, 미숙지에 대한 책임은 입찰 참가자에게 있음
3. 제안서 구성
氠瑢 ※ 목차의 항목 중 해당 내용이 없는 경우는 “해당사항 없음” 으로 기술
Ⅰ. 제안개요
1. 제안내용 및 범위
- 제안의 목적 및 배경
2. 추진전략
- 구체적인 용역 범위 및 대상, 사업 환경의 이해
- 운영 및 관리 전략
3. 제안의 특징 및 장점
Ⅱ. 제안업체 현황
1. 일반현황
2. 조직 및 인원 현황
3. 주요 사업 내용 및 실적
Ⅲ. 개인정보 영향평가 수행 방안
1. 개인정보 영향평가 수행전략
- 주요 평가 항목 및 세부 수행계획
- 분담 이행 방식 시 분담사와의 협력 전략
ྠ Ā 2. 개인정보 영향평가 계획
- 방법론에 따른 일정 및 세부 절차
ྠ Ā 3. 인력 구성
- 투입 인력 및 투입 공수
- 업무별 투입 인력 사항, 수행 경험, 자격 충족 여부
- 이행 여부 점검 방안에 투입되는 인력, 기간, 수행 방법
ྠ Ā 4. 일정 및 절차
Ⅳ. 사업관리 및 품질보증
1. 추진 일정 계획
- 사업 추진 일정을 감안하여 추진 일정
2. 보고 및 검토
- 보고 및 검토 계획 총괄표 작성
3. 교육 및 기술 지원
- 교육 계획 및 기술 지원 방안
4. 품질 관리 방안
- 산출물 품질 보증 및 관리 방안
5. 보안 및 위험 관리
- 발생할 수 있는 위험 요소 파악 및 대응 방안(정보 보안 관리 방안 必)
※ 제안서의 세부목차는 제안사의 필요에 따라 변경 가능함
4. 제안서의 효력
○ 제안된 제안서의 내용은 발주기관이 요청하지 않는 한 변경할 수 없으며, 계약체결 시 계약조건의 일부로 간주함
○ 제안서에 제시된 내용(추가제안, 추가자료 포함)은 계약서에 명시하지 않더라도 계약서와 동일한 효력을 가짐. 다만, 계약서에 명시된 경우에는 계약서의 내용이 우선함
○ 제안내용에 대한 확인 등을 위하여 필요시 추가적인 자료요청 또는 현지실사를 할 수 있으며, 이 경우 입찰참가자는 이에 응하여야 하고 이에 따라 제출된 자료는 제안서와 동일한 효력을 가짐
5. 유의 사항
○ 제출된 서류는 일체 반환하지 않으며, 본 제안과 관련된 일체의 소요비용은 입찰참가자의 부담으로 함
○ 제안서는 입찰 시 사업책임자(임원급) 또는 위임장을 소지한 제안사 직원이 제출할 수 있음
○ 제안사는 본 사업에 대한 제반사항을 사전에 충분히 숙지하고 제안에 임한 것으로 간주함
○ 제안내용에 대한 확인을 위하여 추가자료 요청 또는 현지실사를 할 수 있으며, 입찰참가자는 이에 응하여야 함
○ 제안서의 내용을 객관적으로 입증할 수 있는 관련 자료는 제안서의 별첨으로 제출하여야 하며 필요 시 제안설명회를 실시할 수 있음
○ 사업 수행 완료 후 사업 수행결과가 불량한 경우 향후 서울대학교병원이 추진하는 사업의 참여에 제한 받을 수 있음
○ 제안서는 허위나 단순예상으로 작성하여서는 아니 되며, 모든 기재사항을 객관적으로 입증할 수 있어야 함
氠瑢
Ⅲ. 제안 요청 내용
氠瑢 1. 요구 사항 총괄
요청사항 구분
ID
요구 사항수
개인정보영향평가 요구사항
(PAR)
Privacy Impact Assesment Requirement
PAR
8
프로젝트지원 요구사항
(PSR)
Project Support Requirement
PSR
6
프로젝트관리 요구사항
(PMR)
Project Management Requirement
PMR
11
보안 요구사항
(SER)
Security Requirement
SER
6
합계
浵╦ 31 浵ࡦ
[이하 여백]
2. 상세 요구사항
○ 개인정보 영향평가 요구사항(Privacy Impact Assessment Requirement)
氠瑢
요구사항 분류
개인정보영향평가 요구사항
요구사항 고유번호
PAR-01
요구사항 명칭
개인정보 영향평가 일반사항
요구사항
상세설명
정의
개인정보 영향평가 일반사항
세부내용
○ 관리적·기술적 보호조치의 적정성 및 법적 의무사항 준수여부 등을 확인하여야 함
○ 「개인정보 영향평가에 관한 고시」 및 「개인정보 영향평가 수행 안내서」 등을 준용하여 사업을 수행하여야 함
○ 개인정보보호 관리체계의 적정성 분석과 개선방안 수립을 수행하여야 함
- 발주사의 개인정보보호 조직, 개인정보보호 추진계획, 개인정보보호방침, 개인정보 위탁 및 제공 시 안전조치, 개인정보 침해대응, 개인정보 처리구역 보호 등의 분석 및 개선방안 제시
- 대상시스템의 개인정보 취급자, 취급 내용, 보유기간 등의 적정성 및 개선방안 제시
○ 개인정보 처리단계별 보호의 적정성 분석 및 조치방안을 마련하여야 함
- 개인정보 수집, 저장 및 보유, 이용 및 연계·제공, 파기 단계에 이르는 각 단계별 보호조치의 적정성 분석
○ 개인정보보호 점검결과에 따른 개선방안 및 후속조치방안을 마련하여야 함
- 개인정보보호 관련 법규 위반사항에 대한 개선 방안 마련 등
- 개인정보영향평가 결과에 따른 시스템 개선 방안 도출
※ 개선방안 및 후속조치방안은 조치가 가능하도록 상세히 제시 (내부 정책 자료의 경우 초안, 양식 제공 등의 컨설팅 지원)
산출 정보
사업수행계획서, 영향평가 일반현황 보고서, 개인정보 영향평가 계획서
관련 요구사항
요구사항 분류
개인정보영향평가 요구사항
요구사항 고유번호
PAR-02
요구사항 명칭
개인정보 영향평가 계획 수립
요구사항
상세설명
정의
개인정보 영향평가 계획 수립
세부내용
○ 개인정보 영향평가 수행조직 구성 및 운영 계획 수립
- 평가하고자 하는 사업에 대한 이해와 개인정보보호 관련 법제 및 정책, 전략 수립, 기술·시스템 분석 및 정보보안 (Security) 등의 광범위하고 다양한 전문 지식과 정보를 보유한 전문 인력으로 조직 구성
- 영향평가 업무별 담당자의 역할 및 책임을 명확히 정의하고 배분
※ 역할 및 책임 배분 시 담당자의 업무를 명확히 정의하고 업무의 중복을 가급적 지양할 것
○ 개인정보 영향평가 계획 수립
- 효율적인 평가 수행을 위한 영향평가 수행계획 수립
- 평가목적, 평가대상 및 범위, 평가주체(평가팀), 평가기간, 평가 절차(방법), 주요 평가사항, 평가기준 및 항목, 자료 수집 및 분석 계획 등을 포함
○ 본 사업을 수행할 추진조직, 인력구성 및 프로파일과 단계별 인력 투입계획 및 역할, 투입률 등을 제시하여야 함
○ 프로젝트 추진 일정에 따른 인력 투입계획(발주기관 투입인력 감안)을 제시하여야 함
○ 참여 인력은 「개인정보 영향평가에 관한 고시(개인정보보호위원회) 제5조의 수행인력 자격을 갖추어야 함
○ 투입인력의 개인정보영향 평가관련 자격 및 경력, 기술등급 등을 확인할 수 있는 서류(경력증명서, 경력수첩사본 및 소프트웨어 산업협회의 SW 기술자 경력증명서 등)를 제안 시 제출해야 함
산출 정보
개인정보 영향평가 계획서
관련 요구사항
요구사항 분류
개인정보영향평가 요구사항
요구사항 고유번호
PAR-03
요구사항 명칭
개인정보 영향평가 자료 수집 및 분석
요구사항
상세설명
정의
내외부 정책 자료 및 대상사업 시스템 관련 자료 수집 및 분석
세부내용
○ 개인정보보호 관련 기관 내부 정책 환경 분석의 적절성 확보
○ 개인정보 영향평가를 위한 내부 정책 자료의 수집 및 분석
- (조직‧체계 자료) 발주기관 내 개인정보 보호방침, 개인정보 관리계획, 직제표, 개인정보 보호규정, 정보보안 규정 등의 분석
- (인적 통제, 교육 자료) 개인정보 관련 조직 내 업무 분장표 및 직급별 업무 권한 현황, 정보시스템의 접근 권한에 대한 내부 규정, 시스템 운영자 및 정보 취급자에 대한 교육 계획, 위탁 업체 관리 규정 등의 분석
- (정보 보안 자료) 방화벽 등 침입 차단 시스템 및 백신 프로그램 도입 현황, 기존 유사 시스템 구조도 등의 분석
○ 개인정보보호 관련 기관 외부 정책 환경 분석의 적절성 확보
○ 개인정보 영향평가를 위한 외부 정책 자료의 수집 및 분석
- 공공 기관에게 공통적으로 해당하는 일반 정책 자료의 분석
- 평가 대상 사업에 한해 제한적으로 적용되는 특수 정책 자료의 분석
※ 개인정보보호 관련 법규 준수 여부 평가(법령, 지침, 가이드라인, 훈령 등)
○ 대상 사업 시스템 분석의 적절성 확보
○ 개인정보 영향평가 대상사업 시스템 관련 자료의 수집 및 분석
- (사업수행자료) 사업추진계획서, 제안요청서, 과제수행계획서, 요구사항 정의서, 시스템 관련 현행 산출물 등의 분석
- (외부연계) 위탁 계획서(필요 시), 연계계획서 등의 분석
- (개발산출물) 수행사의 관련 산출물 등의 분석
산출 정보
평가자료 분석서
관련 요구사항
요구사항 분류
개인정보영향평가 요구사항
요구사항 고유번호
PAR-04
요구사항 명칭
개인정보 흐름 분석
요구사항
상세설명
정의
평가대상 업무 현황 분석 자료 검토, 평가대상 업무 흐름도 작성, 개인정보 흐름도 작성, 개인정보 흐름표 작성, 정보시스템 구조도 및 정보보호 시스템 목록 작성
세부내용
○ 영향평가 대상 사업을 면밀히 분석하고 업무를 정의하여 해당 사업을 통해 처리되는 업무 중 개인정보 취급이 수반되는 업무를 도출
○ 개인정보 처리업무 현황 분석 자료 검토
- 대상 사업 정보시스템 개발 관련 산출물 분석 및 담당자 인터뷰 등을 통해 수행
- (영향평가 업무명) 대상사업 시스템에서 개인정보가 취급되는 업무를 주요 업무단위로 기재
- (취급 개인정보) 평가 업무명 단위로 취급되는 개인정보 기재
- (개인정보 영향도) 취급개인정보의 중요도에 따라 영향도를 산정
※ 개인정보 처리업무 현황 분석으로 도출된 업무별로 개인정보 처리 업무 흐름표를 작성할 것
○ 발주기관에서 요구하는 현장 점검 일정에 따른 업무 지원 등
- 시스템 내 점검대상 및 범위는 발주자와 협의 후 선정
- 지원 범위: 개인정보 관리 기능 점검 및 도출, 취약 요인 조치 컨설팅
○ 도출된 개인정보 취급 업무별로 개인정보 처리 업무표의 개인정보 취급 업무별 세부 업무절차를 작성
○ 개인정보 처리 업무흐름도 작성
- 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성
※ 개인정보 업무 흐름도는 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계 기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우에는 해당 기관도 포함하여 작성
○ 개인정보 처리 단계별로 처리되는 개인정보 현황 및 처리 내역 등을 용이하게 식별 할 수 있도록 개인정보 흐름표를 작성
○ 개인정보를 취급 업무별로 개인정보의 수집∙보유∙이용/제공∙파기로 구분하여 구체적으로 작성
○ 개인정보 흐름표 작성
- 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성
※ 개인정보 흐름표에는 업무명을 기반으로 개인정보의 수집-보유-이용∙제공-파기에 이르는 Life-Cycle별 현황 등을 기재하여 가독성 있게 구성
※ 마이데이터 지원 플랫폼과 연계되는 기관(중계전문기관, 정보제공자, 정보수신자 등)을 포함하여 작성
○ 작성된 개인정보 흐름표를 기반으로 개인정보의 수집‧보유‧이용/제공‧파기되는 개인정보의 흐름을 한 눈에 파악할 수 있도록 개인정보 흐름도를 작성
○ 영향평가 대상 사업의 개인정보 흐름을 총괄적으로 표현한 ‘총괄 개인정보 흐름도’를 작성하고 개별업무 별로 ‘업무별 개인정보 흐름도’를 함께 작성
○ 개인정보 흐름도 작성
- 개인정보와 관련한 업무를 기재하고, 업무와 관련하여 개인정보 취급과 관련한 담당자 및 담당부서, 정보주체 등을 포함하여 기재
- 개인정보를 취급하는 관련업무, 취급과 관련하여 사용되는 매체(PC, 노트북), 관련 신청서 등의 문서와 수집한 개인정보를 처리할 때 관련한 IT시스템(DB, 웹서버 등)을 표시하고 각 요소들 간의 이동 시 전송되는 개인정보 항목을 기재
※ 개인정보 흐름도는 개인정보를 취급 업무별로 개인정보 흐름표를 기준으로 수집‧보유‧이용/제공‧파기 등의 절차를 기반으로 해당 업무처리자 및 시스템의 구성사항을 고려하여 구체적으로 작성
○ 정보시스템 구조도 작성
- 민간 클라우드를 이용하는 마이데이터 지원 플랫폼의 구성을 고려하여 구조도를 작성하고, 시스템 목록과 연계해 도식화
○ 정보보호 기술적∙물리적∙관리적 보안 메커니즘 (구조, 방식) 목록 작성
※ 방화벽, 침입탐지시스템과 같은 보안 메커니즘 (구조, 방식)을 포함하여 전송 데이터 암호화, API통신 방식, DB 암호화 등 개인정보보호를 위한 기술적․물리적․관리적 보안 메커니즘 (구조, 방식)의 타당성을 검토
산출 정보
개인정보 취급 업무흐름표 및 업무흐름도, 개인정보 처리업무 흐름도, 개인정보 흐름표 및 흐름도, 정보시스템 구조도 및 정보보호 시스템 목록
관련 요구사항
汤捯
요구사항 분류
개인정보영향평가 요구사항
요구사항 고유번호
PAR-05
요구사항 명칭
汤捯 개인정보 침해요인 도출
요구사항
상세설명
정의
평가 기준 수립 및 개인정보 보호조치 사항 파악을 위한 평가항목 작성, 자료 분석, 현장 실사, 담당자 인터뷰 등을 통해 개인정보보호 조치 현황 파악, 도출된 개인정보 침해 요인에 대한 위험도 산정, 침해요인에 대한 위험관리 방안 수립
세부내용
○ 개인정보 영향평가 안내서의 영향평가 항목을 기준으로 영향 평가영역을 구성
○ 영향평가 기준 및 평가항목 수립
- 개인정보 취급 업무 및 개인정보 흐름이 다수 존재하는 경우에는 각 흐름별로 평가항목을 각각 작성
- 평가항목 외에도 관련 근거, 항목 설명, 확인 자료 등을 제시하여 작성
○ 개인정보 조치사항 및 계획 등을 파악
○ 평가기준 및 평가항목에 따라 자료분석, 현장실사, 담당자 및 취급자 대상 인터뷰를 통한 평가 수행
○ 개인정보 흐름분석 및 개인정보보호 조치 현황에 대한 평가결과를 기반으로 개인정보 라이프 사이클별로 구분한 후, 위험요소별 개인정보 침해요인 분석
- 침해요인은 유사 침해사고 사례, 대상시스템 및 업무특성 등을 반영하여 작성하고, 법률 위반 사항에 대해서는 별도 표기 필요
○ 위험요소 분석 및 위험도 산정
- 자산별 침해요인 연계 개념도 작성
- 중요도와 취약점, 위협요소 등을 고려하여 위험요소 분석 및 위험도 산정
○ 위험도의 우선순위에 따라 나열하여 개인정보보호위원회가 수용 가능한 수준을 정하여 단기, 중∙장기로 구분하여 개선방안을 도출
산출 정보
개인정보 평가 기준, 평가항목 정의서, 개인정보 보호조치 현황 분석서, 침해요인 목록, 개인정보 침해요인 위험도 산정표, 개인정보 침해요인별 개선 방안표
관련 요구사항
汤捯
요구사항 분류
개인정보영향평가 요구사항
요구사항 고유번호
PAR-06
요구사항 명칭
개선 계획 수립
요구사항
상세설명
정의
개선 과제 도출 및 계획수립
세부내용
○ 도출된 개인정보 침해요소 및 개선방안을 기반으로 개선 과제 도출
- 위험 요소를 제거하거나 최소화할 수 있는 대처 방안 마련
- 위험 요소 해결을 위해 유사 사례에 대한 벤치마킹 등을 수행
- 담당자(개인정보취급자)들이 취약 사항을 시정하기 위해 취해야 할 조치 사항과 책임 사항 등을 마련
○ 법적 쟁점사항 발생시 개인정보보호 관련 전문가 또는 변호사, 법학교수 등에 법률 자문
○ 개선 계획은 위험평가를 참고하여 위험도가 높은 순서의 개선방안을 먼저 실행하도록 개선 계획표 작성
- 발주처의 보안 조치 현황, 예산, 인력, 정보화 사업 일정 등을 고려
산출 정보
개선과제 정의서, 개선계획표
관련 요구사항
汤捯
요구사항 분류
개인정보영향평가 요구사항
요구사항 고유번호
PAR-07
요구사항 명칭
개인정보 영향평가서 작성
요구사항
상세설명
정의
개인정보 영향평가서 작성 및 주요 이슈 사항 검토
세부내용
○ 개인정보 영향평가서 작성
- 영향평가 사전 준비단계에서부터 위험관리 단계까지 모든 절차, 내용, 결과 등을 취합‧정리하여 영향평가서(요약서 포함) 작성
- 「개인정보 영향평가에 관한 고시」 별지 제12호 서식에 따라 ‘개인정보 영향평가서 개요’를 작성하여 영향평가서에 포함하여야 함
- 잔존 위험이나, 이해관계자 간의 의견충돌이 있는 경우 발주자와의 협의 및 공식 의사결정 과정을 거쳐 개인정보보호 목표수준을 설정하여야 함
- 영향평가서는 발주자의 최종 검토‧승인을 거쳐 제출하여야 함
산출 정보
개인정보 영향평가서
관련 요구사항
汤捯
요구사항 분류
개인정보영향평가 요구사항
요구사항 고유번호
PAR-08
요구사항 명칭
개인정보 영향평가 이행점검
요구사항
상세설명
정의
개인정보 영향평가 이행점검
세부내용
○ 대상 사업자가 협의한 일정대로 개인정보 영향평가 결과물에 대한 개선방안을 이행하였는지에 대해 이행점검을 하여야 함
○ 발주자 협의에 따라 이행점검을 실시하며, 이행점검 계획, 방법 및 결과보고서를 제출하여야 함
○ 이행점검 수행 방법은 제안사가 개선 요구한 사항의 반영 여부를 점검하는 등 발주자와 협의하여 진행함
산출 정보
개인정보 영향평가 이행점검 결과보고서
관련 요구사항
汤捯
○ 프로젝트 지원 요구사항(Project Support Requirement) 氠瑢
요구사항 고유번호
PSR-001
요구사항 명칭
자료 제출 및 실사 협조 지원
요구사항 분류
프로젝트 지원
요구사항
상세설명
정의
자료 제출 및 협조 지원 정의
세부
내용
○ 시스템 구성도, 네트워크 구성도, 데이터 흐름도 제공
○ 개인정보 처리 현황 자료(수집·이용·제공·파기 프로세스)
○ 개인정보 파일 목록 및 관리대장
○ 접근권한 관리 체계 및 현황
○ 암호화 적용 현황(전송·저장 구간별)
○ 보안솔루션 구성 현황(방화벽, IPS, DB접근제어, 암호화 등)
○ 백업 및 복구 절차 문서
○ 평가사 방문 일정 조율 및 인터뷰 참석
○ 시스템 시연 및 기술적 검증 지원
○ 서버실, IDC 등 물리적 시설 안내
氠瑢 氠瑢
요구사항 고유번호
PSR-002
요구사항 명칭
기술적 검증 대응 및 취약점 진단 협조 지원
요구사항 분류
프로젝트 지원
요구사항
상세설명
정의
기술적 검증 대응 지원 개념 정의
세부
내용
○ 개인정보 암호화 적용 여부 확인 및 시연
○ 접근통제 및 권한관리 시스템 시연
○ 개인정보 다운로드·출력 제한 기능 확인
○ 로그 기록 및 보관 현황 시연
○ 비인가 접근 차단 메커니즘 설명
○ 취약점 점검 일정 협의
○ 점검용 계정 및 접근권한 제공
○ 점검 결과 기술 검토 및 원인 분석
요구사항 고유번호
PSR-003
요구사항 명칭
지적사항 개선 지원
요구사항 분류
프로젝트 지원
요구사항
상세설명
정의
지적사항 개선 지원 정의
세부
내용
○ 기술적 보완사항 구현(암호화 강화, 접근통제 개선 등)
○ 시스템 설정 변경 및 보안패치 적용
○ 개인정보 처리 프로세스 개선 사항 반영
○ 불필요한 개인정보 보유 항목 삭제
氠瑢
요구사항 고유번호
PSR-004
요구사항 명칭
증적 자료 제출 지원
요구사항 분류
프로젝트 지원
요구사항
상세설명
정의
증적 자료 제출 지원 정의
세부
내용
○ 개선 완료 보고서 작성
○ 개선 전후 비교 자료(스크린샷, 로그 등)
○ 시스템 변경 이력 문서화
○ 재점검 결과 제출
氠瑢
요구사항 고유번호
PSR-005
요구사항 명칭
시스템 반영 및 안정화 지원
요구사항 분류
프로젝트 지원
요구사항
상세설명
정의
시스템 반영 및 안정화 지원 정의
세부
내용
○ 개선사항 운영환경 적용
○ 기능 테스트 및 안정성 검증
○ 사용자 매뉴얼 업데이트
○ 관련 부서 교육 지원
氠瑢
요구사항 고유번호
PSR-006
요구사항 명칭
정기 모니터링 및 재평가 대비 지원
요구사항 분류
프로젝트 지원
요구사항
상세설명
정의
정기 모니터링 지원 정의
세부
내용
○ 개인정보 처리 로그 주기적 점검
○ 보안솔루션 이벤트 모니터링
○ 접근권한 변경 이력 관리
○ 시스템 변경 이력 문서화 유지
○ 개인정보 처리 현황 최신화
○ 이전 지적사항 재발 방지 관리
○ 프로젝트 관리 요구사항(PMR)
氠瑢
요구사항 분류
프로젝트 관리 요구사항
요구사항 고유번호
PMR-01
요구사항 명칭
보안관리 일반
요구사항 상세설명
정의
보안 일반 요구사항
세부내용
○ 사업 수행 중 인원, 문서 및 전산자료 보안 등 [붙임1] 사업자 보안 준수사항에 명시된 보안관리 사항을 준수해야 하며, 기타 사항은「정보화용역사업 보안관리 매뉴얼」및「국가 정보보안 기본지침」에서 정한 바를 준용해야 함
○ 제안사는 사업 전체 단계별 보안 관리 방안을 수립해야 함
- 사업 수행기간 동안 보안 관련 법규를 준수하여 보안유지에 적극적으로 협조하여야 함
- 사업 수행 시 인원, 문서, 자료, 장비 등을 대상으로 보안관리 계획을 수립해야 하며, 보안상 결격 사항이 없도록 조치해야 함
○ 참여인력에 대한 신원조사 결과 결격사유가 있는 자에 대한 교체를 요구할 수 있으며 사업자는 이를 수용해야 함
○ 개인정보보호법령에 근거한 개인정보처리방침을 준수하여야 함
- 개인정보보호법 등 개인정보보호 관련 법규, 지침의 준수와 더불어, 이에 따른 유지관리 대상 시스템 개인정보처리위탁에 관한 협약사항(SER-05)을 이행
○ 계약상대자는 정보유출을 방지하기 위하여 과업참여자는 아래 서류를 제출해야 함
(1) 재직증명서
(2) 보안서약서
○ 수행 사업자는 보안책임자 및 담당자를 지정하여 보안관리업무를 수행하여야 한다
氠瑢
※ 보안책임자 및 보안담당자의 직무‧역할
․보안사항의 도난, 분실 등을 방지에 대한 제반 보안사항의 조치
․보안상 중요 기록, 자료는 시건장치가 되어있는 곳에 보관 및 관리
․기타 사업수행 과정의 보안요소 관리 전반
․보안에 관한 심사 및 검증을 필요로 하는 경우 사전에 발주기관의 보안 담당자에게 필요한 조치를 취해야함
산출정보
사업수행계획서
관련 요구사항
보안 요구사항
요구사항 출처
국가정보보안 기본지침, 정보보호 지침
氠瑢
요구사항 분류
프로젝트 관리 요구사항
요구사항 고유번호
PMR-02
요구사항 명칭
누출금지 대상정보 및 보안 위규 처리
요구사항 상세설명
정의
누출금지 대상정보 및 보안 위규 처리에 대한 보안관리
세부내용
○ 아래 명시된 아래의‵누출금지 대상정보′에 대한 보안관리 계획을 사업제안서에 기재하여야 하며, 해당 정보 누출 시 발주기관은 국가계약법 시행령 제76조에 따라 부정당업체로 등록하여 입찰 참가자격을 제한할 수 있음
氠瑢
〈 누출금지 대상정보 〉
① 정보시스템의 내ㆍ외부 IP주소 현황
② 정보시스템 세부 구성현황 및 전산망구성도
③ 사용자계정 및 패스워드 등 시스템 접근권한 정보
④ 정보시스템 취약점 분석ㆍ평가 결과물
⑤ 용역사업 결과물 및 프로그램 소스코드
⑥ 보안시스템 및 정보보호시스템 도입현황
⑦ 침입차단시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보
⑧ “공공기관의 정보공개에 관한 법률” 제9조1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서
⑨ 개인정보보호법 제2조1호의 개인정보
⑩ 사업 수행 중 습득ㆍ인지한 보안정보
⑪ 기타 공개가 불가하다고 판단한 자료
○ 제안사는 사업자 보안위규 처리기준을 숙지하며, 보안정책을 위반하거나 내부 자료를 무단으로 유출하는 등 위규 사항이 발생할 경우 아래와 같이 책임을 이행해야 함
- [부록1]. “사업자 보안위규 처리기준”에 따라 당사자 및 관리자를 행정조치
- [부록2] “보안 위약금 부과기준”에 따라 위약금을 부과
- [부록3] “누출금지 대상정보”를 유출한 경우 부정당업자로 제재
- 이외 민ㆍ형사상 모든 책임을 져야 함
○ 발주기관은 정보보안에 관한 책임사항, 책임범위, 보안대책 위반 시 손해배상 책임, 누출금지 대상정보 등을 계약서에 기록할 수 있으며, 보안 위반이나 침해사고 발생 시 경위 확인 후 재발방지 대책을 요구할 수 있음
○ 또한, 발주기관에서 실시한 기관 자체 보안점검에 따른 보안위규(경미한 사항 포함) 발생 시에도 보안위규에 따른 보안조치를 적용해야 함
산출정보
해당사항 없음
관련 요구사항
보안 요구사항
요구사항 출처
국가정보보안 기본지침, 정보보호 지침
氠瑢
요구사항 분류
프로젝트 관리 요구사항
요구사항 고유번호
PMR-03
요구사항 명칭
참여인원 보안관리
요구사항 상세설명
정의
사업 참여인원에 대한 보안관리
세부내용
○ 계약업체는 사업 투입 시 대표자 및 참여인원 대상으로 보안서약서를 제출해야 함
- “제안서 관련 서식” [서식 1호] 보안서약서(대표자용) 참고
- “제안서 관련 서식” [서식 2호] 보안서약서(사업참여자용) 참고
○ 사업 수행 전 참여인원 대상으로 발주기관 담당자가 실시하는 보안교육을 반드시 참석해야 함
- 보안교육 내용은 비밀유지 의무 준수, 위반 시 처벌내용, 누출금지 대상 정보 및 정보 누출 시 부정당업자 제재조치 등을 포함해야 함
○ 사업 참여인원은 보안상 용역업체 임의로 교체할 수 없으며, 신상변동(해외여행 포함) 사항 발생 시 발주기관에 즉시 보고하여야 함
○ 사업 종료 시 제안사는 사업관련 자료는 보유하고 있지 않고 완전삭제 조치해야 하며, 이를 위반 시 향후 법적책임이 있음을 포함한 “보안확약서”를 작성하여 발주기관에 제출해야 함
- “제안서 관련 서식” [서식 3호] 보안확약서(대표자용) 참고
- “제안서 관련 서식” [서식 4호] 비밀유지 서약서(사업참여자용) 참고
산출정보
보안서약서, 보안교육 결과서(참석자 명단 포함), 보안확약서 등
관련 요구사항
보안 요구사항
요구사항 출처
국가정보보안 기본지침, 정보보호 지침
氠瑢
요구사항 분류
프로젝트 관리 요구사항
요구사항 고유번호
PMR-04
요구사항 명칭
문서 및 자료 보안관리
요구사항 상세설명
정의
문서 및 자료에 대한 보안관리 요구사항
세부내용
○ 제안사는 발주기관으로부터 제공받은 제반 자료는 본 사업 이외의 목적에 사용할 수 없음
○ 보안책임자는 인계자‧인수자 서명을 포함한 “자료 인수인계 대장”(또는 “자료관리대장”)을 작성하여 발주기관으로부터 제공받은 비공개 자료들을 관리해야 함
- ‘자료 인수인계 대장’은 자료명칭, 자료형태, 인계‧인수 일시, 인계자 성명 및 서명, 인수자 성명 및 서명을 포함하여 작성
- 비공개자료 출력물은 지정된 별도의 장소(시건장치가 부착되어 있는 보관함)에 보관․관리하고, 복사 및 외부반출을 금지
○ 사업수행 관련 자료 및 사업 수행 시 생산되는 모든 산출물은 사업 담당자가 지정한 위치(파일서버 등, 반드시 인터넷과 분리)에 저장 및 관리해야 하며 개인 PC 등에 이를 보관할 수 없음
- 사업수행으로 생산되는 산출물 및 기록은 발주기관의 보안책임관이 인가하지 않은 자에게 제공․대여․열람을 금지함
- 비공개자료 생성 시에는 지정장소 내 비공개자료 폴더에 저장하고, 업무별로 지정된 사용자만이 접속이 가능하도록 통제, 계정관리 및 계정별 접근권한 부여 등을 통하여 접근을 제한하여야 함
- 용역사업 관련 자료는 인터넷 웹하드, P2P 등 인터넷 자료 공유사이트 및 개인 메일함에 저장 금지
- 사업 수행으로 생산되는 산출물 및 기록은 목적 외 비인가자에게 제공․대여․열람을 일체 금지
○ 제안사가 업무상 필요에 의해 부득이하게 외부 전자우편 등을 이용할 경우, 자료 송수신 시 암호화 등의 보안 대책을 마련해야 함. 단, 발주기관 규정에 의한 비공개(비밀, 대외비 등)은 전자우편으로 수발신을 금함
- 자료 암호화 시 비밀번호는 숫자, 문자, 특수문자 등을 혼합한 9자리 이상을 권고하며 유추하기 쉬운 문자열 등이 포함되지 않도록 설정
- 발주처↔용역업체간 업무소통을 위하여 메일 송ㆍ수신을 하는 경우, 사업전용으로 기관 이메일 계정을 용역업체에 부여한 것만 사용
- 용역업체의 회사ㆍ상용메일 접속은 불가하며, 정보교환은 발주기관에서 제공한 이메일 계정만 사용
○ 사업 종료 후 사업과 관련된 모든 자료를 반환, PC 보관 자료 완전삭제 등 자료가 외부에 유출되지 않도록 필요한 보안조치를 이행해야 함
- 참여인력이 사용한 장비는 완전삭제를 반드시 진행해야 하며 사업 담당자 확인 및 승인 하에 반출
○ 비밀문서(대외비 포함)는 매일 퇴근 시 반납하여야 하며, 비밀문서를 제외한 일반문서는 제공된 사무실에 시건장치가 된 보관함이 있을 경우 보관함에 보관
○ 발주기관과 사업수행업체간 자료전송이 필요한 경우는 발주기관에서 제공하는 전자우편을 이용하여 송․수신하고 주기적으로 메일을 삭제 관리하여야 함
※ 다만, 대외비 이상의 비밀은 전자우편으로 송수신 금지
○ 제안요청서 등에 명시한 누출금지 대상정보를 사용할 경우 자료관리 대장을 작성하여 인계․인수자가 직접 서명한 후 사용하고, 사업완료시 관련 자료는 반드시 반납하여야 함
산출정보
자료 인수인계 대장(또는 자료관리대장), 완전삭제 확인서(사진 등)
관련 요구사항
보안 요구사항
요구사항 출처
국가정보보안 기본지침, 정보보호 지침
氠瑢
요구사항 분류
프로젝트 관리 요구사항
요구사항 고유번호
PMR-05
요구사항 명칭
사무실 보안관리
요구사항
상세설명
정의
사무실에 대한 보안관리 요구사항
세부내용
○ 제안사는 사무실 또는 용역 업무를 수행하는 장소는 매체 및 장비보안을 위하여 시건장치와 통제가 가능하도록 물리적 보안대책을 마련해야 함
- CCTV, 시건장치 등 비인가자 출입통제 대책이 마련된 공간을 확보하여 업무를 수행해야 하며, 사업 공간 사용 등은 사업 담당자와 협의하여 진행
○ 전산실 등 외부인의 출입이 통제되는 구역에는 2차 출입통제를 적용해야 하며, 출입에 대한 출입자, 출입시간, 출입 사유, 서명 등을 포함한 출입관리대장 기재
○ 제안사는 사무실 또는 용역 업무를 수행하는 공간에 대한 보안점검을 월 1회 이상 실시하고, 결과에 대해 사업 담당자의 확인 및 개선 조치요구 사항을 준수해야 함
산출 정보
출입관리대장 등
관련 요구사항
보안 요구사항
요구사항 출처
국가정보보안 기본지침, 정보보호 지침
氠瑢
요구사항 분류
프로젝트 관리 요구사항
요구사항 고유번호
PMR-06
요구사항 명칭
장비 및 매체 보안관리
요구사항 상세설명
정의
장비 및 매체에 대한 보안관리 요구사항
세부내용
○ 제안사는 PC, 노트북, 및 USB 등 관련 장비를 사업공간에 반출입할 수 없음. 단, 그 필요성을 인정한 경우 사업 담당자 승인에 따라 다음과 같은 사전 조치를 실시해야 함
- 백신 등 PC 보안프로그램 설치 여부 확인
- 악성코드 감염 여부 및 자료 무단반출 여부 확인
- 최신 업데이트가 가능하도록 정품 소프트웨어 설치
- 반입한 장비는 장비 식별번호, 장비 반출·입 일자, 사용자명, 보안조치 점검 유무, 사업 담당자 승인 등의 내용을 포함한 ‘장비 반출입 대장’을 작성하여야 함
- USB 등의 휴대용 저장매체는 불가피한 경우에만 사용하며, 반출․입 및 사용 시에는 ‘장비 반출입 대장’을 작성하여야 함
- 반출 시 사업 담당자 통제하에 저장자료 완전 삭제 및 담당자 승인 후 반출
- 그 외 발주기관 반출입 절차 준수
○ 업무 수행 시 중요정보 유출 방지를 위해 반입한 장비를 대상으로 매체제어 환경을 구축·운영해야 하며 매체제어 프로그램이 설치되지 않는 경우, 매체 연결 포트를 물리적으로 봉인(포트락 사용 등)해야 하여야 함
○ 참여인력이 사용하는 장비에 대해 다음과 같은 보안활동을 실시해야 함
- PC 및 노트북에 CMOS, 윈도우 로그인, 화면보호기 패스워드를 설정(영문자, 숫자, 특수문자가 조합된 9글자 이상)
- 월 1회 이상 PC 점검도구를 활용하여 적절한 보안통제가 수행되고 있는지 확인
○ 사업 참여인원의 비인가 휴대용 저장매체(USB, CD/DVD, 스마트폰, 태블릿 PC, MP3 등)가 사업장내 정보시스템에 연결되는 것을 기술적으로 차단하고, 월1회 정상동작 여부를 점검․조치하여야 함
※ CD-RW 등의 보조기억매체는 발주기관과의 상호협의하여 제한된 PC에서만 사용하여야 함
○ 정보시스템(휴대용 저장매체 포함)을 외부에 반출․입하는 경우, 반입 시에는 악성코드 감염여부(백신검사)를, 반출 시에는 자료무단 반출여부를 확인하고 정보시스템 반․출입 대장에 기록하여야 함
※ 불가피하게 노트북을 사용하여야하는 경우에는 고정장치를 사용하여야 하며, 고정장치 비밀번호는 발주기관이 관리하고 발주기관의 승인 하에 반․출입하여야 함. 또한 사업 참여직원의 노트북 등 관련 장비는 외부에 반출·입시마다 악성코드 감염여부(백신검사) 및 자료 무단반출 여부를 확인
○ PC에 비인가 통신기기 접속차단 S/W를 설치하거나, 비인가 기기의 접속을 방지하기 위한 USB 포트 봉인 등을 통하여 휴대폰을 무선 모뎀으로 활용하지 못하도록 통제해야함
○ 사업에 참여한 사업자가 활용한 PC 및 서버의 경우, 사업 완료 후 자료의 복구가 불가능하도록 조치함
- 사업완료 후 생산된 최종 산출물은 발주기관에 제출하고, PC 완전삭제 등 보안조치를 통해 사업관련 산출물(중간산출물 포함)을 모두 삭제하여야 하며, 대표자 명의 확약서를 발주기관에 제출하여야 함
※ 확약서 제출 시 산출물 인수․인계서와 자료삭제기록(날짜가 포함된 증빙사진 등)을 제출하여야 함
○ 장애, 사고 등으로 인한 시스템 피해에 대비해 최근에 백업한 시점의 내용으로 복구할 수 있는 백업정책을 수립하고 실행함
* 본 사항은 국가 보안관리 정책 및 법‧제도, 발주기관 정책 변경 등에 따라 변경될 수 있음
산출정보
장비 반출입 대장, 정보시스템 관리대장, 휴대용 저장매체 관리대장 등
관련 요구사항
보안 요구사항
요구사항 출처
국가정보보안 기본지침, 정보보호 지침
氠瑢
요구사항 분류
프로젝트 관리 요구사항
요구사항 고유번호
PMR-07
요구사항 명칭
네트워크 보안관리
요구사항 상세설명
정의
네트워크에 대한 보안관리 요구사항
세부내용
○ 업무 수행 시 참여인력이 사용하는 PC(또는 노트북) 대상으로 인터넷 연결을 원칙적으로 금지하며, 부득이하게 사용할 경우 사업 담당자의 승인 하에 제한적으로 허용함
- 인터넷 PC는 유해사이트 접속을 차단하고, 업무에 필요한 사이트에만 접속토록 침입차단시스템 등을 통해 통제하고 P2P, 웹하드, 메신저 등 자료공유 사이트 활용 원천 차단
- 산출물 및 소스코드를 보관하는 PC는 외부로 자료가 유출되지 않도록 인터넷 연결을 차단해야 하며 그 외 기술적·관리적 보안 대책 마련
○ 참여인력의 무선 인터넷 활용을 통제하기 위한 대책을 강구해야 함. 단, 부득이하게 사용해야 하는 경우 사업 발주기관의 승인 하에 사용해야 함
- 휴대폰을 무선 모뎀으로 활용 금지
- 휴대형 무선모뎀(Wibro, HSDPA, Wi-Fi 등) 무단 활용여부 수시 점검
- 노트북PC 무선통신 기능 불능화 조치(driver 파일 삭제 등)
- 유지관리용 PC는 휴대형 통신장비(LTE, Wi-Fi 등) 연결을 차단하고 스마트폰 무선모뎀(테더링 등)을 활용하지 못하도록 조치
- 용역사업 참여인원이 휴대형 무선 모뎀(Wibro, HSDPA, Wi-Fi 등)을 반입하지 않도록 통제
- PC에 비인가 통신기기 접속차단 S/W를 설치하거나, 비인가 기기의 접속을 방지하기 위한 USB 포트 봉인 등을 통하여 스마트폰·휴대폰을 무선 모뎀으로 활용하지 못하도록 통제
○ 네트워크 보안을 위하여 방화벽등 침입방지시스템이 설치·운영되는 환경에서 시스템 운영
산출정보
정보시스템 관리대장, 인터넷 접근 허용 신청서 등
관련 요구사항
보안 요구사항
요구사항 출처
국가정보보안 기본지침, 정보보호 지침
氠瑢
요구사항 분류
프로젝트 관리 요구사항
요구사항 고유번호
PMR-08
요구사항 명칭
사업 수행 환경 마련
요구사항 상세설명
정의
유지관리에 필요한 업무환경에 대한 사항 명시
세부내용
○ 사업수행을 위한 작업장소 구축‧운영 방안 마련
- 원활한 사업수행(인력, 물품 수용)이 가능한 작업장소 확보 방안
- 사업을 위해 필요한 장비‧기자재‧회선 확보 방안
※ 작업장소 등은 발주기관과 상호 협의하여 최종 확정함
※ 작업 장소 상호 협의 시, 제안요청서 내 명시된 보안요구사항을 준수한 작업장소를 제시할 수 있으며, 이때 보안사고 등 위험요인을 식별하여 이에 대한 대응방안 및 제안요청서에 명시한 보안요구사항 등을 준수하여 원격지 개발 등에 따른 구체적인 보안관리 대책을 제시하여야 함
※ 발주기관에서는 제시된 작업 장소에 관하여 우선 검토하며, 공급자가 제시한 작업장소가 보안요구사항을 준수하지 못한 경우 거부할 수 있음
○ 정보시스템의 운영‧유지관리를 원활히 수행하기 위한 개발환경 마련·운영
- 정보시스템 개발(파일서버, 배포서버, 개발서버 등), 운영, 유지관리 등 사업 수행에 필요한 장비 확보 및 최적의 업무 수행 상태를 유지할 수 있는 운용계획 제시
- 정기 점검을 통하여 시스템 등이 양호한 상태로 유지 관리되어야함
- 장비가 설치되어 있는 장소에 대하여 먼지, 온도, 습도 등의 환경 관리를 철저히 하여 시스템에 중대한 영향을 주지 않도록 사고 예방에 주력해야 함
- 정기적인 시스템 데이터 백업을 실시하여 비상 복구 사항 발생 시 가장 최신의 데이터를 시스템에 적용할 수 있도록 하고, 사업자의 책임 또는 관리소홀로 인한 정보의 유실이 발생할 경우 사업자는 계약상의 책임을 짐
- 화재, 지진 등 재해에 대비한 방재 대책을 수립․시행
- 사업자는 본 사업의 효율적인 추진을 위한 서버 등 필요한 장비를 구비해야 함
산출정보
관련 요구사항
요구사항 출처
氠瑢
요구사항 분류
프로젝트 관리 요구사항
요구사항 고유번호
PMR-9
요구사항 명칭
일정 및 의사소통 관리
요구사항 상세설명
정의
세부 업무를 구분하여 일정을 관리하고, 정기/수시 보고활동을 통해 이해관계자와 원활한 의사소통 수행
세부내용
○ 사업 수행 요구사항 및 과업내용을 세부 활동별로 구분(WBS 등)하여, 체계적인 일정계획을 수립하고 진척관리 수행
○ 사업수행 진행상황에 대한 정기/수시 보고활동 수행
- 착수, 중간, 완료보고회(보고회 수행 관련사항은 발주기관과 협의 후 실시)
- 사업추진실적 및 계획 점검을 위한 정기보고(주, 월간보고)
- 기타 현안 발생 시 수시보고
○ 다수의 이해관계자 및 유관기관와의 원활한 의사소통 계획을 수립하고 관리하여야 함
※ 세부 과업 수행일정 및 보고활동 등에 대해서는 사업 추진상황에 따라 발주기관과 협의하여 조정할 수 있음
산출정보
일정관리계획(WBS 포함), 정기보고서(주, 월간 등), 수시보고서, 실적보고서, 회의록 등
관련 요구사항
요구사항 출처
氠瑢
요구사항 분류
프로젝트 관리 요구사항
요구사항 고유번호
PMR-10
요구사항 명칭
변경관리
요구사항 상세설명
정의
주요 과업 및 산출물 변경사항에 대한 표준화된 절차 및 승인
세부내용
○ 과업 변경 절차 수립 시행
- 당초 계약서류에 의한 과업범위 변경 등 계약사항에 대한 변경은 변경요청서의 신청 및 발주기관 승인에 의함
- 과업수행 기간 중 당초 계획 대비 정책, 설계, 전체 일정 변경 등 여건상 변동이 발생한 경우 발주기관에게 변경신청서를 제출, 발주기관의 승인을 얻어 변경할 수 있음
※ 과업수행과정에서 발주기관의 승인을 득해야 하는 경우
․ 과업내용서 등에 명시된 과업내용, 범위 등을 변경해야 하는 경우
․ 과업내용서 등에 명시되지 않은 내용 중 추가로 수행하는 과업 중 명시된 과업에 영향을 주는 경우, 기타 사업자의 단독 결정이 곤란한 사항
○ 발주기관과 위탁기관간의 위탁(협약) 내용 변경 등 변경이 발생한 경우 또는 과업범위 및 협약사항의 변경이 불가피한 경우 발주기관은 사업자와 변경계약을 체결할 수 있음
○ 주요 산출물(정보시스템 산출물 포함) 변경에 따른 절차 준수
- 변경 발생 시 사전 보고 및 영향도 검토
- 변경 승인 요청 및 발주기관 승인
- 변경에 따른 이력관리, 형상관리 사항 등
산출정보
변경요청서/승인서
관련 요구사항
요구사항 출처
氠瑢
요구사항 분류
프로젝트 관리 요구사항
요구사항 고유번호
PMR-11
요구사항 명칭
용역수행자에 대한 관리․감독
요구사항 상세설명
정의
사업추진에 따른 관리․감독사항을 명시
세부내용
○ 발주기관은 계약(과업) 이행 전반에 대하여 관리‧감독하며, 과업별 이행상황을 확인‧점검 할 수 있음
- 발주기관은 계약 및 과업이행, 그밖에 사업 운영에 관한 관리‧감독 사항에 대하여 필요한 자료를 요구할 수 있으며, 사업자는 이에 신속히 응하여야 함
산출정보
관련 요구사항
요구사항 출처
○ 보안 요구사항(SER)
氠瑢
요구사항 분류
보안 요구사항
요구사항 고유번호
SER-01
요구사항 명칭
개발 시 보안준수 사항
요구사항 상세설명
정의
개발 시 보안 준수사항 제시
세부내용
汤捯 ○ 정보시스템 유지관리 및 신규 또는 고도화 개발 시 다음과 같은 보안대책을 마련해야 함
- 로그인 시 로그인 실패 횟수 5회 이상 접속 시 제한, 동일 사용자 계정으로 동시 로그인 차단, 로그인 우회 접근 차단 등
- 중요정보 및 개인정보가 전송되는 구간에 암호화 통신 적용
- 사용자 인증정보, 개인정보 등 보안이 요구되는 정보는 소스코드 내 하드코딩 금지
- 개인정보 및 중요정보는 각 기준에 맞는 암호화 알고리즘(국정원 권고)을 적용하여 DB에 저장
- 관리자페이지 등 권한이 설정된 페이지가 비인가자에게 노출되지 않도록 해야 하며, 권한별 접근 페이지 구분
- 관리자페이지 접근통제 적용
- 개발 및 테스트 서버가 외부에 노출되지 않도록 기술적·물리적 보안대책 마련
- 그 외 보안이 요구되는 사항에 대해서는 사업 행정기관 및 공공기관 정보시스템 구축·운영 지침 및 소프트웨어 개발보안 등을 준용하여 대책 마련
산출정보
해당사항 없음
관련 요구사항
보안 요구사항
요구사항 출처
국가정보보안 기본지침, 정보보호 지침, 행정기관 및 공공기관 정보시스템 구축·운영 지침
氠瑢
요구사항 분류
보안 요구사항
요구사항 고유번호
SER-02
요구사항 명칭
정보시스템 이용 시 보안 준수사항
요구사항 상세설명
정의
정보시스템 이용 시 보안 준수사항
세부내용
汤捯 ○ 정보시스템 이용 시 다음과 같은 보안사항을 준수해야 함
- 정보시스템 관리자 페이지에 대한 접근제어가 사용자 권한에 따라 적용되는지 확인
- 정보시스템 비밀번호 작성규칙(영문자, 특수문자, 숫자 등을 포함하여 9자리 이상, 분기별 변경) 적용 및 비밀번호 실패 횟수 제한 등
- 정보시스템 기본 계정 및 불필요한 계정 삭제
- 참여인력 대상 별도의 계정 생성(최고 관리자 권한 부여 차단)
- 사용이 만료된 계정의 경우, 즉시 삭제 조치
- 정보시스템 기본 포트 변경 및 불필요한 포트 제거
- 정보시스템 원격 접근을 원천적으로 차단하지만, 부득이하게 허용하는 경우에는 원격신청 허용 신청서 및 작업 내역을 기록하며 암호화된 원격 관리 서비스(SSH 등) 사용(암호화 미적용 프로토콜 사용금지 : FTP, Telnet, TFTP 등)
- 주기적인 백업 및 백업본에 대한 안전한 보안관리
- 그 외 보안이 요구되는 사항에 대해서는 교육부부 정보보안 업무 규정 등을 준용하여 대책 마련
산출정보
해당사항 없음
관련 요구사항
보안 요구사항
요구사항 출처
국가정보보안 기본지침, 정보보호 지침
氠瑢
요구사항 분류
보안 요구사항
요구사항 고유번호
SER-03
요구사항 명칭
소프트웨어 개발보안(시큐어코딩) 관련 가이드 준수
요구사항 상세설명
정의
소프트웨어 개발보안 준수사항 제시
세부내용
汤捯 ○ 신규 개발 또는 고도화 사업의 경우, 전자정부법｣ 제45조제3항에 따라 규정된 ｢행정기관 및 공공기관 정보시스템 구축ㆍ운영지침｣ (행정안전부 고시) 제50조부터 제53조까지에 따라 보안약점이 발생하지 아니하도록 개발보안 절차를 준수해야 함
산출정보
소프트웨어 개발보안 적용 내역, 보안 교육 자료 및 참석자 명단
관련 요구사항
보안 요구사항
요구사항 출처
국가정보보안 기본지침, 정보보호 지침, 행정기관 및 공공기관 정보시스템 구축·운영 지침
氠瑢
요구사항 분류
보안 요구사항
요구사항 고유번호
SER-04
요구사항 명칭
보안 취약점 점검 및 정보시스템 서버보안 관리
요구사항 상세설명
정의
취약점 점검 실시 및 후속 조치, 정보시스템 서버보안 관리
세부내용
汤捯 ○ 변경된 시스템 및 개발된 소스코드 전체에 대한 보안 취약점 점검(소스코드 보안약점 진단, 모의해킹 등)을 1회 이상 자체적으로 실시해야 함
- 신규 개발의 경우 : 소스코드 전체
- 유지관리의 경우 : 유지관리로 인해 변경된 소스코드 전체
○ 보안 취약점 점검을 실시해야 하며 점검 결과에 따른 후속 보완조치를 수행해야 함
- 외부 기관을 통한 취약점 점검 실시
- 소스코드 보안약점 진단항목 : 소프트웨어 개발보안 가이드 참조
- 모의해킹 점검항목 : OWASP 10대 취약점, 국정원 홈페이지 8대 취약점, 웹 전자정부서비스 웹 취약점 표준 점검 21개 항목 등
○ 웹호환성‧접근성‧개방성 등 관련 지침 준수 및 내･외부점검 대응
- 전자정부 웹호환성·접근성·개방성 준수지침에 따른 시스템 운영 및 결과보고서 제출
○ 외부 취약점 및 보안 점검 결과에 따른 시스템 개선
○ 주요정보통신기반시설지정에 따른 시스템 운용 및 보안관리
<SW 기능 개선관련>
○ 소프트웨어 수정 개발이 완료된 후에 반드시『행정기관 및 공공기관 정보시스템 구축․운영 지침』에 의거한 보안약점 진단기준 필수 점검하고 발견된 취약점을 모두 조치 후 사용
○ 기능개선을 위한 소프트웨어 수정, 개발이 포함된 경우 시큐어코딩을 적용
○ 개발 시, 검증되지 않은 오픈소스(라이브러리 등)는 사용 금지
○ 소스코드 이동 및 저장 시, 허용된 보안USB 만 사용
○ 자료유출 방지를 위해 개발 PC, 서버 등에 대한 매체제어 적용
○ 기능개선 또는 소스코드의 수정, 변경 후 반드시 취약점 점검 실시
<앱 기능 개선 및 개발 관련>
○ 중요 정보(개인정보, 단말기정보, 위치정보 등)은 반드시 암호화 하여 저장
○ 전송되는 데이터는 중요정보를 포함하는 경우 네트워크 구간에서 암호화 될수 있도록 SSL 통신등 암호화 적용 후 전송
○ 불필요한 코드(주석이나 테스트 코드)는 삭제
○ SQL, 삽입, 크로스사이트스크립트(XSS) 등 공격 차단을 위한 입력데이터 값 검증 필수
○ 모바일 앱이 생성한 데이터를 다른 앱에서 접급할 수 없도록 접근권한 철저히 통제
○ 모바일 기기 루팅, 탈옥 또는 앱을 위변조하여, 악성코드 삽입 배포등 부적절하게 사용될수 없도록 기기 루팅 및 위변조 탐지 코드 적용
○ 검증되지 않은 라이브러리 사용금지 및 단말기 서버간 세션관리 철저 등
○ 이외 행정안전부 모바일 대민서비스 구축 가이드 및 보안취약점 점검 가이드를 참조하여 개발에 적용하도록 할 것
○ 국가정보원 국가-공공기관 모바일 활용 업무가이드 참고
<웹 사이트 기능 개선 및 개발>
○ 데이터 검색, 입력 부분에 XSS, Sql injection 등 웹 공격에 대한 입력 값 검증 및 예외처리 코드 반드시 적용
○ Java 취약버전 등 개발 환경에 대한 보안 취약점 확인
○ 개발 시, 검증되지 않은 오픈소스(라이브러리 등)는 사용 금지
○ 게시판 및 자료실 구현을 위해 상용 또는 오프소스 모듈이나 플러그인을 사용하는 경우, 취약여부, 버전 등을 반드시 확인
○ OWASP Top10 웹 취약점 점검 항목을 활용하여, 취약점 여부를 확인 ※ Open Web Application Security Project(OWASP)
○ 브라우저 표출을 위해 웹서비스 개발 시, 웹서버에 대한 보안 패치, 불필요 환경설정(디렉토리 리스팅등) 을 반드시 점검
○ 웹 개발이 완료된 후에 반드시 취약점 점검을 실시하여, 발견된 취약점을 모두 조치 후 오픈
<정보시스템 서버보안 관리>
○ 서버 등 제품 설치 시 생성되는 기본(default) 계정은 삭제 또는 변경
○ 도입·운용 서버의 OS·DBMS 운영 전 보안취약점 제거하여 운용
- 주요정보통신기반시설 취약점 점검 항목 기준
○ 운영 중인 서버 OS는 반드시 최신버전의 패치를 적용하고, 초기 설치되어 있는 불필요한 설정값(레지스트리, 프로세스 등)은 제거
- 이와 함께, 서버는 백신SW을 필히 설치하여 운용하고, 악성코드 감염 예방을 위하여 주기적으로 백신SW 업데이트 실시
○ 디폴트 포트 변경 및 사용하지 않는 불필요한 서비스 포트를 확인하여 차단하고, 원격접속(ssh등)은 지정된 관리IP에서만 사용할 수 있도록 조치
○ 서버에서 발생하는 로그기록을 1년 이상 저장하도록 설정하고, 로그는 지정된 관리자만 열람할 수 있도록 보안 조치
- 또한, 로그기록이 정확한 시간으로 기록될 수 있도록 시간동기화 프로토콜(NTP) 등을 사용하여 서버의 시간기록을 조정·관리
○ 타 기관 및 시스템 연계 시 서비스에 필요한 아이피, 포트만 허용될 수 있도록 방화벽 등 정책 적용
○ 패스워드, 개인정보 등 주요정보는 네트워크 구간에서 반드시 암호화 하여 전송되도록 할 것(기간관 연계 시 주의)
○ 부득이한 경우를 제외하고, 원격접근을 허용금지하고, 원격접근을 허용해야 하는 경우에는 방화벽 등을 통해 허용아이피, 포트를 제한하고 작업이 끝나면 반드시 정책 삭제 및 원격접근 서비스 중단
산출정보
보안 취약점 점검 결과, 보안취약점 조치 이행 결과
관련 요구사항
보안 요구사항
요구사항 출처
국가정보보안 기본지침, 정보보호 지침, 행정기관 및 공공기관 정보시스템 구축·운영 지침, 국가정보원 국가-공공기관 모바일 활용 업무가이드
氠瑢
요구사항 분류
보안 요구사항
요구사항 고유번호
SER-05
요구사항 명칭
개인정보처리 위탁계약관리(개인정보 취급시 필수)
요구사항 상세설명
정의
개인정보 취급시 표준 개인정보처리 위탁관리에 대한 정의 명시
세부내용
汤捯 ○ 개인정보 처리에 관하여 표준 개인정보처리 위탁계약서 내용을 준수하여야 함
- 개인정보처리시 계약상의 권리와 의무의 전부 또는 일부를 재위탁 할 수 없음
- 개인정보의 안전성 확보조치 기준에 의거 개인정보의 안전성 확보에 필요한 기술적 관리적 조치를 취하여야 함.
- 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설 하여서는 안 됨.
○ 수탁자에 대한 다음 사항에 대하여 관리 감독을 하며 수탁업체는 이에 응하여야 함.
- 개인정보처리현황, 접속현황, 접속대상자, 목적외 이용·제공 및 재위탁 금지 준수여부 등
○ 수행 사업자는 개인정보보호법을 위반할 경우 법령에 따라 처벌을 받을 수 있음
○ 수행 사업자는 참여인력에 대하여 개인정보보호 교육을 실시하고 결과를 제출하여야 함
○ 수행 사업자는 개인정보보호 유출이 발생될 경우에는 인지 즉시 발주기관과 해당기관에 통지하고, 피해 최소화를 위한 대책을 마련하고 필요한 조치를 하여야 함
- 개인정보의 유출확산방지를 위해 접속경로 차단 등 긴급한 대응은 즉시 취하여야 함
○ 수행 사업자는 개인정보보호 책임자를 지정하고, 개인정보보호를 위해 관계법령에서 정한 관리적․기술적 조치 사항과 사업 참여자 교육 등을 포함하여 개인정보보호계획을 수립하여 제출하여야 함
산출정보
표준 개인정보처리위탁계약서(계약과 동시 진행), 개인정보보호계획서, 관리적․기술적 조치사항 점검결과서, 개인정보보호교육계획/결과서
관련 요구사항
표준 개인정보처리위탁계약서
요구사항 출처
개인정보보보호법 제26조 1항
氠瑢
요구사항 분류
보안 요구사항
요구사항 고유번호
SER-06
요구사항 명칭
용역사업 보안점검 리스트
요구사항 세부내용
정의
외주용역사업 보안특약사항에 따른 용역사업 보안점검 사항을 명시
세부내용
<외주용역 보안점검 사항>
○ 용역업체 사용 전산망과 기관 전산망의 분리 여부(VLAN 분리 포함)
○ 용역업체 직원 PC의 내부 정보시스템 접근 통제 여부
○ 웹하드, P2P, 웹오피스, 클라우드서비스, 파일서버, 메신저 등 불필요한 인터넷 접속 차단 및 접속 여부
○ 용역업체 직원에 주요 계정 비밀번호 제공 여부
○ 용역업체 직원에 비밀번호 부여시 관련사항 별도 기록 여부
○ 용역업체 직원에 시스템 관리자 계정 단독 접근 여부
○ 노트북PC 등 휴대형 정보시스템을 시스템 관리용 PC로 활용 여부
○ 용역업체 직원 등에 의한 기관 외부에서의 원격 접속ㆍ작업 여부
○ 용역업체 정보시스템 접근시 작업이력 로깅 기능 사용 여부
○ 용역업체 PC 및 휴대형 저장매체에 정보시스템 ‘계정명/비밀번호’ 저장 여부
○ 용역업체 PC에 설치된 운영체제 및 응용프로그램 최신상태 유지 여부
○ 용역업체 PC 백신 프로그램 자동 업데이트 및 실시간 감시기능 사용 여부
○ 용역업체 PC USBㆍCD-RWㆍ무선랜 등 매체 통제 여부(스마트폰, MP3 플레이어 등 유사 저장 매체 포함) 매체 통제 여부
○ CD-ROM, USB 포트 등 외부기기 연결 단자에 보안 스티커 부착 등 봉인 여부
○ 용역업체 PC 비밀번호 및 화면보호기 설정 여부
○ 용역업체 직원의 비인가 정보통신장비(노트북 등) 휴대ㆍ반입 여부 등
○ 용역업체 직원의 개인 휴대폰의 카메라 및 충전 포트에 보안 스티커 부착 여부
○ 누출금지 대상 정보 제공 및 회수 여부
○ 개인 메일함 업무자료 저장 여부
○ 정보시스템 작업 내역 확인
산출정보
보안점검결과보고서, 보안관리 자체점검표
관련 요구사항
보안 요구사항
요구사항 출처
국가정보보안 기본지침, 정보보호 지침
○ (민간 클라우드컴퓨팅서비스 이용 시) 필수 보안 요구사항
氠瑢
요구사항 명칭
汤捯 클라우드 컴퓨팅 보안 준수 요건
요구사항
상세설명
정의
클라우드 서비스 제공자 등에 대한 보안 요구사항
세부
내용
○ 국가정보원의 국가클라우드컴퓨팅 보안가이드라인을 우선 준용하고
사업 기간 중 개정이 발생 할 경우 변경 사항을 반영해야함
○ 클라우드 기반 보안 기본원칙
- 업무포털, 그룹웨어 등 비공개 업무 용도로 쓰이는 영역과 인터넷 서비스를 제공하는 영역을 분리하여 운영하여야 함
- 해킹 및 비인가자에 의해 중요 업무자료 송수신 과정에서 스니핑 등의 공격으로 탈취 시 열람·실행이 불가토록 데이터를 암호화하여야 함
- 가상사설망·호스트 자료유출 방지 제품 등 정보보호 제품을 도입하여 저장 및 송수신되는 중요 업무자료를 암호화하는 경우 검증필 암호 모듈 탑재 제품을 이용하여야 하며, 중요 업무자료의 생성·보관·처리·수신을 위한 정책적·기술적 방안을 제공해야 함
- 클라우드 내에 존재하는 자원에 대한 기술적·정책적 보안관제 방안 마련을 위한 보안 관제센터 설치 및 운영에 필요한 제반 환경 구축을 지원하여야 함
- 클라우드 컴퓨팅 서비스 도입 시 보안 검증 기준 관련 법률 및 지침, 보안 체계, 보안 사항 등을 고려하여 SLA를 체결하여야 함
- 클라우드 컴퓨팅 도입·운용에 있어서 사용자와 해당 시스템 관리자를 지정 운용하여야 함
- 업무 또는 데이터와 연관된 법령, 수행 요구사항, 정책, 규정, 표준, 가이드라인 등을 참고하여 보안 위협 대상을 식별하여 주기적으로 관리하여야 함
- 정보보안 감사에 필요한 관련 자료에 대한 종류를 정의하고, 필요시 발주기관 보안담당자에게 해당 감사 로그를 제공하여야 함
- 감사 로그는 시스템 접근에 대한 상세 정보를 포함하여야 하고, 서비스 내 분산된 감사 기록을 종합·분석하여 비정상 활동을 식별할 수 있어야 하며, 감사 대상을 식별할 수 있는 형태로 1년 이상 기록 및 보호될 수 있도록 하여야 함
- 클라우드 관련 보안 교육을 주기적으로 실시하여야 하며, 시행 결과를 발주기관에 통보하여야 함
○ 클라우드 기반 인프라 보안
- 전자정보 저장매체 불용처리 관련 규정은 CSP의 내부 지침을 따르되, 발주기관의 필요에 따라 관련 보안 요구사항을 수용하여야 함
- 네트워크 장비 보안 관련 규정은 CSP의 내부 지침을 따르되, 발주기관의 필요에 따라 관련 보안 요구사항을 수용하여야 함
- 유지보수 보안 관련 규정은 CSP의 내부 지침을 따르되, 발주기관의 필요에 따라 관련 보안 요구사항을 수용하여야 함
- 기존 정보시스템 환경에서 클라우드 가상환경으로 전환 시 안전한 이전 수단을 이용하여야 함
○ 클라우드 가상환경 보안
- 가상서버 내 저장자료에 대해 업무별·자료별 중요도에 따라 사용자의 접근권한을 차등 부여하여 접근 통제를 하여야 함
- 가상서버의 운용에 필요한 서비스 포트 외에 불필요한 서비스 포트를 제거하고 관리용 서비스와 사용자용 서비스를 분리하여 운영하여야 함
- 가상서버의 관리용 서비스 접속시 특정 IP와 MAC 주소가 부여된 관리용 단말을 지정하여 운용하여야 함
- 가상서버 데이터베이스에 대하여 사용자의 직접적인 접속을 차단하고 개인정보와 같은 중요정보를 암호화하는 등 데이터베이스별 보안 조치하여야 함
- 비인가자의 가상서버 내 비공개 정보에 대한 무단 접근을 방지하기 위하여 접근 사용자를 제한하고 불필요한 계정을 주기적으로 관리하여야 함
- 가상서버의 서비스에 필요한 프로그램을 개발하고 시험하기 위하여 사용된 도구(컴파일러 등)를 개발 완료 후 삭제하여야 함
- 가상환경 내 백신을 최신 상태로 유지하고 주기적인 점검 실시
- 가상서버 내 사용 금지 대상 응용 프로그램에 대한 보안 통제 방안을 마련하여 관리하여야 함
- 가상서버에 악성코드가 설치되거나 발견 시 악성코드 감염원인 규명 등을 위한 격리 조치를 수행하여야 함
- 이동식 저장매체 사용 통제, 다중 인증 등을 포함한 접근 제한 방안을 마련하여 수행하여야 함
- 사용자별 또는 그룹별로 접근권한 부여하여 비인가자 도용 및 불법 접속에 대한 보안관리를 수행하여야 함
- 비밀번호 관리방안을 마련하여 수행하여야 함
- 웹 방화벽, 서버 보안, 백신, DB 보안, 시스템접근제어, 개인정보보호 및 국정원 CC인증 제품 활용 등 보안 서비스 제공하여야 함
- 하이퍼바이저 및 운영환경에 대한 업데이트 및 보안 패치는 최신으로 유지하고, 주기적(1개월)으로 확인할 수 있도록 자동화하여야 함
- 공공 업무망 영역과 공공 인터넷망 연계 시 보안대책을 수립하고 적용하여야 함
○ 클라우드 기반 인증 및 권한
- 접근 주체(사용자, 시스템 관리자 등)별로 접근할 수 있는 접근 대상을 정의하고 이에 대한 인증 방안을 마련하고 이력관리를 하여야 함
- 사용자 인증, 로그인 횟수 제한, 불법 로그인 시도 경고 등 안전한 사용자 인증 절차에 의해 사용자 인증을 수행하여야 함
- 중요정보 관리 및 특수 목적을 위해 부여한 계정 및 권한을 식별하고 별도로 통제하여야 함
○ 클라우드 공급망 보안
- 발주기관에 대한 공급망 관리 대상을 정의하고, 위험 식별, 변경관리, 모니터링 등을 수행하는 등 보안 대책을 수립해야 함
- 공급망 관리 대상의 변조 여부를 주기적으로 점검하고, 소스코드의 출처가 명확하거나 검증된 오픈소스 소프트웨어를 활용해야 함
○ 보안 취약점 점검 등
- 발주기관의 홈페이지 등을 전환할 경우 웹 취약점 점검 및 클라우드 전환에 따른 인프라 취약점 점검을 실시하여 대상기관에 해당 결과를 안내하여야 함
○ 클라우드 기반 사고 및 장애 대응
- 사고, 장애 발생 시 대응 절차와 관련된 담당자의 역할을 정의하고 발주기관의 장애·사고 절차에 따라 협조체계를 구성·대응하여야 하며, 피해확산, 재발방지, 복구 등에 필요한 조치를 위해 국가정보원 및 발주기관의 보안관제 및 사고조사 등 예방보안 활동에 적극 협조하여야 함
- 침해사고 발생 시 침해사고 대응절차에 따라 법적 통지 및 신고 의무를 준수하여 발주기관에게 발생내용, 원인, 조치사항 등을 신속히 알려야 하며, 신고의무 미이행 시 과징금 부과 등 발주기관이 정하는 제재조치에 따라야 함
- 서비스수준협약(SLA)에 명시된 시간 내에 해당 서비스의 장애를 처리 및 복구 조치
- 장애 관련 정보를 활용하여 유사 장애가 반복되지 않도록 재발 방지대책 마련
○ 클라우드 시스템 운영환경의 구성 요소별 보안대책 마련
- (가용성) 화재‧지진 등 재난·재해에 대비한 재해복구체계 구축
- (백업) 데이터 유실에 대비한 백업정책 수립 및 관리 등 체계 구축
- (기밀성) 중요 데이터는 전송‧저장 시 암호화 등 기밀성 유지
- (무결성) 무결성 검사를 주기적 실시 및 데이터의 위‧변조 여부 확인
- (인증) 유효 사용자를 식별하여 불법적인 사용자 접근을 차단하기 위해 인증서 기반 인증을 통해 클라우드 서비스 이용
- (권한) 일반사용자, 클라우드 관리자, 가상서버 관리자 등에 따른 접근 권한 및 접근 영역을 명확히 분리하도록 접근통제체계 구축
- (감사) 사용자 기록 등 로그 관리를 통한 감사 기록을 유지하여 사고 발생 시 원인 규명 및 감시체계 확립
- (악성코드 감염 방지) 바이러스, 웜, 트로이목마 등의 악성코드에 의한 위협 제거를 위해 악성코드 방지대책 마련 및 주기적 점검실시
○ 컨테이너 플랫폼 보안 지침
- 독립된 K8s 구성으로 안전 분리 준수
- 국가클라우드컴퓨팅 보안 가이드라인에 따른 컨테이너 보안 지침 준수
- Network Policy를 통한 논리 방화벽 구성으로 컨테이너 환경의 보안 구성
산출 정보
汤捯 취약점 점검 계획서, 취약점 결과 보고서
관련 요구사항
요구사항 출처
氠瑢
Ⅳ. 제안서 평가 및 업체선정
1. 선정절차
□ 입찰 및 계약방법 : 제한 경쟁 입찰(협상에 의한 계약 체결)
□ 선정절차
氠瑢
입찰공고
⇨
입찰참가신청서 제출
⇨
제안서 접수
⇨
평가위원회 평가
⇨
氠瑢
우선협상자 선정
⇨
협상에 의한 계약자 선정
⇨
계약
□ 사업자 선정방법
○ 입찰 공고된 사업에 응찰하고자 하는 사업자는 제안요청서에 따라 제안서(온라인 접수)와 가격입찰서(전자제출, 세부산출내역 첨부)를 작성하여 제출
○ 접수된 제안서에 대한 기술평가를 위해 5인 이상 구성된 평가위원회에서 평가
○ 가격평가와 기술능력평가 점수를 합산하여 최고 득점자순으로 우선 협상 대상자를 확정하고 그 결과를 사업자에게 통보
○ 제안사의 불가피한 사유로 제안설명회 참석이 어려울 경우, 제안서 평가는 서면평가로 갈음하며 발주자 측 사정에 따라 제안평가회 또한 서면평가로 갈음할 수 있음
□ 평가위원회 평가
○ 일시 및 장소 : 별도 공지 예정
※ 입찰공고 기간 등 일정에 따라 변경 가능함
○ 방 법 : 접수된 제안서에 대한 기술평가를 위해 평가위원회에서 서류 및 제안내용에 대한 심사 실시
2. 제안서 평가
□ 제안서는 기술능력평가와 입찰가격평가를 실시하여 종합평가점수로 평가
○ 평가비율 : 기술능력평가(90%), 입찰가격평가(10%)
○ 종합평가점수 = 기술능력평가점수 + 입찰가격평가점수
※ 평가위원이 평가한 점수 중 최고점수 1개와 최저점수 1개를 제외하고 나머지 점수를 평균하여 획득점수를 산출함
※ 기술제안서 점수계산은 소수점 이하 3자리까지 산정 후 반올림하여 소수점 이하 2자리까지 산출함
□ 제안서 평가는 발표평가를 원칙으로 하며, 발표 일시 및 장소는 제안서 접수 후 개별 통보 예정임
○ 발표시간은 제안사별로 발표 30분 이내, 질의응답 20분 이내로 제한 함
○ 제안서 평가결과 기술능력평가 점수가 기술능력평가 분야 배점한도의 85% 이상인 자를 협상적격자로 선정하되, 협상적격자가 없는 경우 재공고 입찰에 부칠 수 있음
○ 종합평가점수가 동일한 제안자가 2인 이상일 경우에는 기술능력평가 점수가 높은 제안 업체를 우선순위자로 하고, 기술능력평가 점수도 동일한 경우에는 기술능력 세부평가부문 중 배점이 큰 부문에서 높은 점수를 얻은 업체를 우선순위자로 함
○ 제안서 평가점수는 공개하지 않으며, 업체는 평가결과에 대하여 이의를 제기할 수 없음
○ 우선협상 대상자와 협상 결렬시 차순위 업체와 동일한 조건으로 협상을 실시하며, 협상이 성립된 때에는 다른 협상 적격자와의 협상은 실시하지 않음
○ 기타 사항은 (계약예규)협상에 의한 계약체결기준(입찰공고일 현재용)의 규정에 의함
3. 제안서 평가항목 및 배점기준
○ 평가기준 및 배점
氠瑢
구 분
평가항목
배 점
비 고
기술
능력
평가
정량적
평 가
· 기업 재무구조 및 신용도
10
정성적
평 가
·기술능력평가 배점표에 의함.
80
가격평가
입찰가격평가
10
기획재정부 계약예규 협상에 의한 계약 체결기준 입찰가격 평점산식에 따름
계
100
○ 항목 및 배점표
氠瑢
평 가 항 목
배 점
대 분 류
중 분 류
기술능력
평가
(90점)
사업 실적 및 신용도
(10점)
1. 제안사의 재무구조 및 신용도 (신용평가기관 확인서 제출) 주1)
氠瑢
회사채
기업어음
기업신용평가
평점
A- 이상
A2- 이상
A- 이상
10
BBB+
A3+
BBB+
9.6
BBB0
A30
BBB0
9.2
BBB-
A3-
BBB-
8.8
BB+, BB0
B+
BB+, BB0
8.4
BB- 이하
B0 이하
BB- 이하
8
B+, B0, B-
B-
B+, B0, B-
7.6
CCC+이하
C 이하
CCC+ 이하
7
10
전략 및 방법론
(20점)
1. 사업 이해도 및 추진전략
- 사업의 목표 및 특성 이해도의 구체성과 적절성
2. 추진 전략
- 일정과 위험요소를 고려한 전략의 타당성
10
3. 추진 체계 및 방법론
- 사업특성과 제시한 추진전략에 따른 수행조직(전문업체, 기술지원업체, 공동 수급체 및 하도급 등) 구성과 참여 조직간 역할 책임, 품질 확보 및 혐력 방안의 구체성과 적절성
- 사업 추진 방법의 실제 적용 사례 및 경험에 따른단계별 산출물의 제시 여부
10
수행 계획
(10점)
개인정보 영향평가 분석
- 개인정보영향평가 산출물 도출을 위한 내/외부 환경 및 현황 분석 방안의 제안요청서 요구사항 충족 여부
2. 개인정보 영향평가 계획 수립
영향평가 결과에 따른 개선사항 도출 시 제안요청서 요구사항 충족 여부
3. 타당성 분석
10
수행 기반
(10점)
수행환경
- 과업 수행에 필요한 장비 및 작업 장소 등 인프라
준비 및 대응 방안의 구체적과 적정성
제약 사항
- 기술, 표준, 데이터, 업무, 법제도 및 안전 관리 등의 제약조건 내에서 과업을 수행하기 위한 방안의 구체성과 적절성
10
프로젝트 관리
(20점)
1. 일정 관리 및 품질 관리
- 수행 기간과 세부 일정을 구체적으로 제시
- 단계별 산출물과 연계 여부
- 품질관리방안(범위, 절차, 방법)의 적합성
5
2. 기밀 보안 관리
- 보안 및 인증 요구사항 충족 여부
- 요구사항 구현 방안의 적합성
- 사업 중 발생하는 보안 사항의 반출 금지 정책 대상 이행 계획 여부
3. 위험 관리
위험 및 이슈에 대한 식별, 분석, 관리, 대응, 예방 계획의 타당성
15
프로젝트 지원
(20점)
1. 교육 훈련 및 기술 지원
- 사용자 교육 훈련 내용, 방법, 기간, 인원, 횟수의 타당성
- 기술 지원 대상, 매뉴얼 등 기술지원 계획 및 방안의 제시
10
2. 일정계획 및 수행조직
- 유지 보수 계획 및 하자 보수 범위의 타당성
- 하자 발생 시 조치 절차, 대응 방안의 구체성
10
가격평가
(10점)
기획재정부 계약예규 협상에 의한 계약체결기준 산식 적용
10
※ 본 제안서에 대한 검토 및 평가방법, 평가결과 등에 관하여는 전적으로 우리 병원의 고유권한이며, 제안사는 어떠한 이의도 제기할 수 없음 (평가점수 및 내용 미공개)
※ 조달청 협상에 의한 계약 제안서평가 세부기준- 정보화컨설팅사업(제9조제2항제1호가목 관련)에 기반하여 평가함.
주1) 경영상태 평가(10점) : “신용평가등급 확인서”에 의함
氠瑢
회사채
기업어음
기업신용평가
평점
A- 이상
A2- 이상
A- 이상
10
BBB+
A3+
BBB+
9.6
BBB0
A30
BBB0
9.2
BBB-
A3-
BBB-
8.8
BB+, BB0
B+
BB+, BB0
8.4
BB- 이하
B0 이하
BB- 이하
8
B+, B0, B-
B-
B+, B0, B-
7.6
CCC+이하
C 이하
CCC+ 이하
7
1.「신용정보의 이용 및 보호에 관한 법률」제4조제1항제1호 또는「자본시장과 금융투자업에 관한 법률」제335조의3에 따라 업무를 영위하는 신용조회사 또는 신용평가사가 입찰공고일 이전에 평가하고 유효기간 내에 있는 회사채, 기업어음 및 기업신용평가등급을 국가종합전자조달시스템에 조회된 신용평가등급으로 평가하되, 가장 최근의 신용평가등급으로 평가한다. 다만, 가장 최근의 신용평가등급이 다수가 있으며 그 결과가 서로 다른 경우에는 가장 낮은 등급으로 평가한다.
2. 국가종합전자조달시스템에서 신용평가등급 확인서가 확인되지 않은 경우에는 최저등급으로 평가하며, 유효기간 만료일이 입찰공고일인 경우에도 유효한 것으로 평가한다.
3. 합병한 자에 대하여는 합병 후 새로운 신용평가등급으로 심사하여야 하며 합병 후 새로운 신용평가등급이 없는 경우에는 합병대상자 중 가장 낮은 신용평가등급을 받은 자의 신용평가등급으로 심사한다.
4. 추정가격이 고시금액 미만인 입찰에서 입찰공고일을 기준으로 최근 7년 이내에 사업을 개시한 창업기업에 대해서는 신용평가등급 점수상의 배점 한도를 부여한다. 이 경우 창업기업에 대한 기간계산은 법인인 경우에는 법인등기부상 법인설립등기일을, 개인사업자인 경우에는 사업자등록증명서상 사업자등록일을 기준으로 한다.(이하 창업기업에 대한 기간계산은 같다)
5. 공동수급체의 경우 구성원별 해당 점수에 지분율을 곱한 후 그 점수들을 합산하여 최종 평가하고, 평가 결과 소수점 이하의 숫자가 있는 경우 소수점 다섯째자리에서 반올림 한다.
(예) (A사 점수×A사 지분율)+(B사 점수×B사 지분율)…
※ 조달청 협상에 의한 계약 제안서평가 세부기준(조달청지침 제2260호, 2018. 6. 15.) 적용
4. 협상 진행 절차 등
□ 협상적격자 및 협상순위의 선정
○ 협상에 의한 계약체결기준(시행 2020. 09. 24. 기획재정부 계약예규 제8조)에 의거 계약담당공무원은 제7조에 따른 제안서 평가결과, 입찰가격이 해당 사업예산(예정가격을 작성한 경우에는 예정가격) 이하인 자로서 기술능력평가 점수가 기술능력평가분야 배점한도의 85% 이상인 자를 협상적격자로 선정
○ 기술능력평가 점수와 입찰가격평가 점수를 합산하여 최고득점자부터 우선협상 실시
- 기술평가 점수 90%, 가격 평가 점수 10%를 적용하여 종합 평가
○ 「국가를 당사자로 하는 계약에 관한 법률 시행령」제43조(협상에 의한 계약방법) 및 제43의2(지식기반사업의 계약방법)의 규정에 의하여 계약
○ 협상순서는 합산점수의 고득점순에 따라 결정하되 합산점수가 동일한 제안자가 2인 이상일 경우에는 기술능력 평가점수가 높은 제안자를 선순위자로 하고, 기술능력 평가점수도 동일한 경우에는 추첨으로 정함
□ 협상적격자 통지
○ 협상적격자와 협상순위가 결정된 때에는 지체 없이 협상적격자에게 협상일정을 별도 통보
□ 협상 절차
○ 결정된 협상순위에 따라 우선협상대상자와 협상을 하며, 협상이 성립된 때에는 다른 협상적격자와 협상을 실시하지 아니함
○ 우선 협상대상자와의 협상이 성립되지 않으면 동일한 기준과 절차에 따라 순차적으로 차순위 협상적격자와 협상을 실시하게 됨
○ 모든 협상적격자와의 협상이 결렬될 경우에는 재공고입찰이나 새로운 입찰에 부칠 수 있음
□ 협상 진행
○ 사업제안서를 기반으로 협상
○ 협상대상자가 제안한 사업내용, 이행방법, 이행일정, 등 제안서 내용을 대상으로 협상을 실시하게 됨
○ 협상대상자와 협상을 통해 제안서 내용 일부를 조정될 수 있음
□ 가격협상
○ 협상대상자와의 가격협상 시 기준가격은 해당사업 예산(예정가격을 작성한 경우에는 예정가격) 이하로서 협상대상자가 제안한 가격으로 하게 됨(숙지하시기 바람)
○ 협상대상자가 제안한 내용을 가감 조정하는 경우에는 그 가감되는 내용에 상당하는 금액을 해당사업 예산 이하의 범위에서 조정하여 계약금액을 결정할 수 있음
□ 협상기간
○ 협상기간은 협상개시를 통보한 날로부터 15일 이내 실시함을 원칙으로 함
○ 해당사업의 규모, 특수성, 난이도 등에 따라 협상대상자와의 협의에 따라 10일 안의 범위에서 협상기간을 조정 가능
□ 협상의 성립
○ 협상이 성립되면 그 결과는 해당 계약예정당사자 간 서면으로 협상안을 작성함
□ 계약 체결과 이행
○ 협상이 성립된 후 특별한 사유가 없는 한 10일 이내에 계약 체결할 수 있도록 준비하여야 함
○ 계약의 체결과 이행에 관하여는 서면으로 작성한 협상결과와 사업제안서, 국가를 당사자로 하는 계약에 관한 법률·시행령·시행규칙과 이에 근거한 계약의 일반조건, 특수조건, 입찰유의서 및 일반원칙에 따라 시행하게 됨
○ 제안서 평가결과의 세부내용과 협상결과는 공개하지 않음
○ 제출한 제안서는 일체 반환하지 않으며 본 제안과 관련된 일체의 소요 비용은 입찰 참가자의 부담으로 함
5. 사업자 선정 및 계약체결
○ 사업자 선정
- 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제43조 및 제43조의2에 의거“협상에 의한 계약체결”방법을 적용
○ 계약체결
- 계약자는 협상이 성립된 후 10일 이내에 계약을 체결하여야 함
- 계약의 체결 및 이행에 관하여는 기획재정부 예규 및 일반원칙 등에 따름
氠瑢
Ⅴ. 기타사항
1. 검사 및 검수
○ 검수는 사업수행기관의 최종 성과품을 대상으로 하고 검수담당자 입회하에 성능시험 및 제안서와 일치될 경우 인정하며, 발주기관의 지적이 있을 시는 지체 없이 이행 후 재검수를 받아야 함
○ 최종 보고서 제출
2. 시험운영
○ 시험운영은 발주기관이 정한 기간 내에 수행하여야 함
○ 사업수행기관은 제반 프로그램이 고품질을 유지할 수 있도록 최선의 노력을 다하여야 함
- 프로그램 수행 시간의 단축
- 프로그램 수행 시 시스템 자원의 점유 최소화
- 프로그램의 유지보수가 용이하도록 구조화된 프로그래밍
- 최종 이용자에 대한 최대의 이용 편의성 제공
- 기타 업무 처리 시 발견된 제반 문제점 보완
3. 성과품의 소유 및 안전 관리
○ (지식재산권) 발주기관은 계약목적물에 대한 주요 지식재산권을 소유하며, 사업수행기관이 사업 과정 중 개발한 기술적 알고리즘이나 독창적인 기술적 요소에 대한 소유권은 사업수행기관에게 귀속됨. 다만, 사업수행기관이 개발한 기술적 요소가 계약목적물에 포함되어 사용되는 경우, 해당 요소에 대한 사용 권한은 발주기관에게 부여됨. 세부사항은 협의하여 결정함.
○ (산출물 반출 요청) 계약상대자는 계약목적물에 대한 지적재산권 행사를 위해 발주 기관과 사전 협의가 필요함.
○ (제재 요건) 활용 승인(제3자 제공 포함)을 받지 않고 반출하거나, 승인 받은 소프트웨어 산출물을 무단으로 유출하거나 누출되는 경우, 누출금지정보를 삭제하지 않고 활용하는 경우에 대해 제재 규정을 둠.
○ S/W 개발 시 사용된 언어 및 TOOLS 등을 명확히 하고, 이미 개발 완료된 다른 S/W의 저작권을 침해하지 않도록 해야 함.
○ 구축된 시스템이 국내외 저작권 침해 등 법적 권리관계 문제로 발생한 사항에 대해 조치를 취하는 책임은 제안사에게 있으며, 그에 따른 손해배상 책임도 제안사에게 있음. 다만, 발주기관의 승인 없이는 제안사가 이를 독단적으로 처리할 수 없음.
4. 품질보증에 관한 사항
○ 사업수행기관은 발주기관의 요구에 따라 과업 진행 공정별 성과물을 발주기관에 제공하여야 하며, 성과물의 질 및 성능을 높이기 위한 발주기관의 지시를 성실히 이행하여야 함
○ 사업수행기관은 과업 수행 과정상 수반되는 전문기술 및 유관사ㅅ항을 발주기관에 이전하는 데 최선을 다 하여야 함
5. 유지보수
○ 하자 및 유지보수기간은 검수일로부터 12개월로 함
○ 하자 및 유지보수기간 중 발생한 장애에 대하여 사업수행기관은 무상으로 신속하게 조치하여 업무에 지장이 없도록 하여야 함
○ 시스템 운영 시 다음과 같은 문제점이 발생될 경우 사업수행기관은 즉시 보완하여야 함
- 프로그램 오류
- 시스템의 성능(응답시간, 품질 등) 저하
- 시스템 운영과정에서 발견된 사업수행기관의 귀책사항
- 기타 사업범위 내의 수정 및 긴급 요청사항
6. 교육 및 기술지원
○ 일정 및 장소, 내용 등 기타 제반사항은 서울대학교병원과 협의하여 결정해야 함
○ 장애 발생에 대비하여 문제발생 시부터 해결까지의 장애처리 절차를 제시하고, 장애수리 요청 발생 시 신속한 조치를 취해야 함
7. 보안 대책
○ 본 과업에 투입되는 기술 인력은 서울대학교병원이 준수하는 보안관련 규정을 준수하여야 함
○ 제안사는 과업과 관련된 모든 자료의 보안관리 책임자를 지정하고 그 내역을 사업수행계획서 제출 시 보안각서와 함께 제출하여야 함
8. 준수사항
○ 제안요청서 및 입찰공고 등에 포함하지 않는 사항은 「국가를 당사자로 하는 계약에 관한 법률」, 「협상에 의한 계약체결 기준」 등 국가계약관련 법령을 준용함
○ 입찰참가자는 입찰에 관한 제반사항을 숙지하여 입찰에 응하여야 하며, 숙지하지 못한 책임은 입찰자에 있음
○ 제안참가자는 본 용역과 관련하여 취득한 병원의 사업내용에 대하여 제3자에게 누설하여서는 아니 되며, 병원에서 요구하는 보안사항을 준수하여야 함
9. 소프트웨어사업관련 법령 준수 사항
□ 개발 소프트웨어의 공동 활용
○ 본 사업을 통해 개발되는 소프트웨어는 「(계약예규) 용역계약일반조건」 제56조(계약목적물의 지식재산권 귀속 등)에 따라 타 기관과 공동활용할 계획이 없음.
□ 과업심의위원회
○ (과업내용 확정 심의 여부) 본 사업은 「소프트웨어 진흥법」 제50조에 따른 과업내용 확정을 위하여 과업심의위원회를 (✔ )개최 또는 ( )미개최 한 사업임
○ (과업내용 변경) 본 사업은 「소프트웨어 진흥법」 제50조, 같은 법 시행령 제47조 제1항 제2호, 제3호에 따른 과업내용 변경 및 그에 따른 계약금액·계약기간 조정이 필요한 경우, 계약상대자는 국가기관등의 장에게 소프트웨어사업 과업변경요청서*를 제출하여 과업심의위원회 개최를 요청할 수 있으며, 국가기관등의 장은 과업심의위원회 개최요청에 대해서 특별한 사정이 없으면 수용해야 함.
[이하 여백]
[서식 가]
자본금 및 매출액 (최근 3년)
(단위 : 백만원)
氠瑢
구분
2021
2022
2023
합계
평균
총자산
자본총액
유동부채
고정부채
유동자산
당기순이익
매출액
부채율
[서식 1호]
보안 서약서(대표자)
氠瑢
갑 : 서울대학교병원
을 :
계약명 :
갑과 을은 상기 계약을 체결하면서 상호 신뢰를 바탕으로 갑의 영업비밀 보호를 위하여 아래사항을 성실히 준수할 것을 약속합니다.
1. 계약기간 동안 갑의 영업비밀(경영정보, 재무정보, 고객정보 등)은 갑의 서면 승인 없이 제3자에게 판매, 대여, 유용 등을 하지 않겠습니다.
2. 계약기간 종료 후에도 계약기간 동안 취득한 1항에 준한 갑의 영업비밀은 갑의 서면 승인 없이 사용, 활용 및 제3자에게 유출하지 않겠습니다.
3. 을의 위반으로 갑의 영업비밀이 유출되어 갑에게 손해가 발생될 시 을은 갑에게 금전적 손해배상 및 어떠한 민,형사상의 법적 조치도 감수할 것을 약속합니다.
년 월 일
업 체 명 :
대표자 성 명 : (인)
서울대학교병원 귀중
[서식 2호]
보안 서약서(참여인력)
氠瑢
본인은 0000년 00월 00일부로 과 관련한 업무를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.
본인은 발주기관 사업과 관련된 소관업무가 직무상 기밀 사항임을 인정하고 제반 보안관계규정 및 지침을 성실히 준수한다.
본인은 이 기밀을 누설함이 국가이익 및 서울대학교병원에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나 공개하지 아니한다.
본인은 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.
년 월 일
氠瑢
서약자
(외부인력/ 용역업체 개인)
업 체 명
:
직 위
:
성 명
:
(서명)
생년월일
:
서약집행자
(담당자)
업 체 명
:
직 위
:
성 명
:
(서명)
생년월일
:
서울대학교병원 귀중
[서식 3호]
보안 확약서
본인은 서울대학교병원(이하 “병원”이라 한다)와 계약한 사업의 수행을 완료함에 있어, 다음 각 호의 보안사항에 대한 준수 책임이 있음을 서약하며 이에 확약서를 제출합니다.
1. 본 업체는 업체 및 사업 참여자가 사업수행 중 지득한 모든 자료를 반납 및 파기하였으며, 기밀 사항임을 인정합니다.
2. 본 업체는 이 기밀을 누설함이 병원의 안전보장 및 이익에 위해가 될 수 있음을 인식하여 제반 기밀사항을 일체 누설하거나 공개하지 아니합니다.
3. 본 업체는 보안사항을 위반했을 경우에 민ㆍ형사상 및 보안상의 책임과 관계법규에 의한 조치에 따를 것을 서약하오며 이에 확약서를 제출합니다.
년 월 일
서 약 자 업 체 명 :
(업체 대표) 직 위 :
성 명 : (서명)
서약집행자 소 속 :
(서울대학교병원) 직 위 :
성 명 : (서명)
서울대학교병원장 귀하
[서식 4호]
비밀유지 서약서
氠瑢
소 속
성 명
계약명
투입 종료일
상기 본인은 서울대학교병원과 계약한 업무를 수행함에 있어 지득한 다음의 병원 비밀을 병원의 허가 없이 사용하거나 제3자에게 공개 및 누설하지 않을 것이며, 이를 위반하였을 경우 관련 법령(의료법 제19조, 형법 제317조, 부정경쟁방지법 제11조 및 제12조, 기타 개인정보보호 및 보안 관련규정)에 따라 엄중한 처벌과 함께 손해배상책임을 부담할 것을 서약합니다.
1. 환자개인정보 등의 의료정보에 관한 사항
2. 병원 추진 사업 및 인사, 회계의 비밀에 관한 사항
3. 기타 본 병원운영에 있어 비밀로 간주되는 일체의 정보에 관한 사항
20 년 월 일
서 약 인 : (인)
서울대학교병원장 귀하
[서식 5호]
의료정보 이용 서약서(외부기관용)
氠瑢
본인은 서울대학교병원 의료정보시스템과 전산망을 이용하기 위하여 의료정보윤리헌장 및 제규정, 의료정보보호10계명과 아래사항을 준수하고 이를 위반 시에는 법에서 정하는 책임을 감수할 것을 서약합니다.
ͼ Ā 의료법 제23조 (전자의무기록) 3항: 누구든지 정당한 사유 없이 전자의무기록에 저장된 개인정보 를 탐지하거나 누출∙변조 또는 훼손하여서는 아니 된다.
ͼ Ā 의료법 제19조 (정보 누설 금지) 1항: 의료인이나 의료기관 종사자는 이 법이나 다른 법령에 특별히 규정된 경우 외에는 의료ㆍ조산 또는 간호업무나 제17조에 따른 진단서ㆍ검안서ㆍ증명서 작성ㆍ교부 업무, 제18조에 따른 처방전 작성ㆍ교부 업무, 제21조에 따른 진료기록 열람ㆍ사본 교부 업무, 제22조제2항에 따른 진료기록부등 보존 업무 및 제23조에 따른 전자의무기록 작성ㆍ보관ㆍ관리 업무를 하면서 알게 된 다른 사람의 정보를 누설하거나 발표하지 못한다.
ͼ Ā 개인정보보호법 제59조 (금지행위) 2호: 개인정보를 처리하거나 처리하였던 자는 업무상 알게 된 개인정보를 누설하거나 권한 없이 다른 사람이 이용하도록 제공하는 행위를 하여서는 안 된다.
ͼ Ā 병원 내 컴퓨터, 시스템 계정, 전산망, 기타 정보자원 등은 병원 당국이 본인에게 부여한 사용권한 내에서만 접근 및 사용하며 허락 받은 사용 목적과 용도로만 사용하여야 한다.
ͼ Ā 병원 내 컴퓨터, 정보, 전산망, 기타 정보자원의 사용권을 소유하고 있는 자는 책임 있고 윤리적인 태도로 사용권을 행사하여야 한다.
ͼ Ā 의료정보시스템이 가동 중인 컴퓨터에서는 근무시간 동안에 업무와 무관한 인터넷의 사용을 자제하여야 하며, 환자와 직접 대면하고 있는 모든 직원은 비업무용 인터넷의 사용을 금한다. 즉, 비업무용 인터넷 사용으로 인해 외부 및 내부 고객에 대한 서비스를 소홀히 하지 않는다.
ͼ Ā 병원 내 모든 정보 및 계정, 전산망 등의 자원은 업무 이외의 다른 목적으로 이용될 수 없으며, 업무수행 기간은 물론 그 이후에도 알게 된 모든 정보를 타인에게 누설하지 않는다.
ͼ Ā 허가 받은 사용자는 비인가자의 불법적 사용을 막기 위해 본인의 비밀번호 관리 등에 주의를 기울여야 하며 자신의 계정과 관련된 모든 사용에 대해 책임을 져야 한다.
ͼ Ā 저작권에 의해 보호받은 소프트웨어는 병원 내 컴퓨터에(로부터) 복사할 수 없으며, 본 병원과 별도의 사용권의 계약이 체결되어 있지 않는 한 병원 컴퓨터 상에서 이용할 수 없다.
ͼ Ā 병원에서 지급받은 전산장비를 소중히 다루고 고의적으로 분실·훼손 시에는 이에 따른 책임을 져야 한다.
소속기관
파견기간
파견(관련)부서
성명
HIS ID
연락처
개인정보 수집·이용 등 동의 안내
서울대학교병원은 개인정보 보호법 제15조 및 동법 제22조에 근거하여 다음의 목적으로 개인정보를 수집합니다.
1. 개인정보 수집·이용 목적
□ 의료정보 이용 서약서 작성자 본인 확인
2. 개인정보 수집·이용 항목
□ 필수항목 : 소속기관, 파견기간, 파견(관련)부서, HIS ID, 성명, 연락처 □ 선택항목 : 없음
3. 개인정보 보유·이용 기간
□ 파견기간 종료일로부터 1년
4. 개인정보 수집 동의 거부 권리 및 동의 거부에 따른 불이익 내용 또는 제한 사항
□ 위와 같이 개인정보를 수집·이용하는데 대한 동의를 거부할 권리가 있으며,
동의를 거부할 경우 의료정보 이용이 제한됩니다.
▢ 동의함 ▢ 동의하지 않음
본인은 위와 같은 내용을 준수하여 서울대학교병원이 제공하는 의료정보시스템과 전산망을 사용할 것임을 서약합니다.
20 년 월 일 (서명 또는 인)
Ϩ Ā ྠ Ā ྠ Ā ྠ Ā ྠ Ā ྠ Ā ྠ Ā ྠ Ā 서울대학교병원장 귀하
[서식 6호]
자료지급관리대장
(열람·제공자료 관리대장)
외주업체명 :
사업명 :
수행기간 : 20 . . ~ 20 . .
氠瑢
연번
자료명
인계 및 인수
자료 반납
인계자
인수자
월일
장소
확인자
월일
1
2
3
4
5
6
7
8
9
10
[서식 7호]
개인별 PC 보안점검 관리대장
氠瑢
사 업 명 :
점검기간 :
氠瑢
보안관리자
PM
사업담당자
용역보안자
서명
용역PM
서명
병원 사업
주관부서 담당자 서명
氠瑢
보안조치
점검일
비밀번호
(9자리)
및 화면 보호기 설정여부
(10분 내)
인터넷
차단여부
백신실행 및 조치여부
보안
프로그램
설치여부
공유폴더
암호설정
여부
노트북 무선통신 기능 불능화
(Driver삭제 등)
업무자료
보유여부
무선장치
사용여부
개인메일사용여부
휴대용
저장매체사용여부
서명
2000.00.00
O
O
O
O
N/A
O
X
X
X
X
홍길동
[서식 8호]
사무실 보안점검 관리대장
氠瑢
사 업 명 :
점검기간 :
氠瑢
보안
관리자
PM
사업
담당자
용역보안자
서명
용역PM
서명
병원 사업
주관부서 담당자 서명
氠瑢
점검사항
점검일
서류정리
정돈상태
(보조기억
매체노출여부)
서류함, 책상
잠금상태
전열기
전원
분리상태
전등소등상태
PC 및
노트북
(켄싱턴락)
잠금상태
창문, 출입문 잠금상태
점검시간
점검자
(최종
퇴근자)
점검자
서명
[서식 9호]
휴대용 저장매체(전산장비 포함) 반출ㆍ입 대장
<관리자 : 팀장 김유○> 氠瑢
장비명
관리번호
(시리얼번호)
사용자
용도
악성코드 점검
전출입 일시
(입ㆍ출 구분)
확인
USB
경영지원팀-01
○○○
국회제출
O
‘23.06.12(월) 11:00(출)
김유○
USB
경영지원팀-01
○○○
국회제출 회수
O
‘23.06.13(화) 18:00(입)
김유○
CD
경영지원팀-01
○○○
0000 회의참석
O
‘23.06.14(수) 13:00(출)
김유○
CD
경영지원팀-01
○○○
0000 회의참석 회수
O
‘23.06.15(목) 17:00(입)
김유○
노트북
기획홍보팀-노트북01
○○○
세미나 발표
O
‘23.06.21(수) 13:00(출)
김유○
노트북
기획홍보팀-노트북01
○○○
세미나 발표 회수
O
‘23.06.22(목) 17:00(입)
김유○
관리번호가 없을 경우 시리얼 번호 작성
[서식 10호]
데이터 삭제 확인서
□ 사용 단말기 PC(휴대용저장매체) 소유자
氠瑢
소 속
성 명
(인)
□ 데이터삭제 확인자
氠瑢
소 속
성 명
(인)
□ 사용 단말기 PC(휴대용저장매체) 정보
氠瑢
모델명(제품명)
하드디스크 용량
사용기간
사용 IP
氠瑢
본인은 과업수행과정에서 발생한 관련된 모든 데이터를 사용자 단말 PC(휴대용 저장매체)에서 삭제(디스크초기화)했으며, 그와 관련하여 확인자 은(는) 삭제사실을 확인했습니다.
해당 사실을 위반 시 민·형사상 또는 보안상의 책임과 관계법규에 의한 조치에 따를 것을 서약하며, 이에 확인서를 제출합니다.
20 년 월 일
서울대학교병원장 귀하
[서식 11호]
저장자료 점검 결과
氠瑢
검토일시
2024년 1월 11일
점검IP / 사용자
172.xx.xx.xxx /
검토자
사업담당자
점검내역
세부 검토항목
점검 기준
점검결과
비고
불필요한 자료 저장여부 확인
정보시스템의 내·외부 IP주소 현황
정보시스템의 세부 구성현황 및 정보통신망 구성도
사용자계정 및 패스워드 등 정보시스템 접근권한 정보
정보통신망 취약점 분석ㆍ평가 결과물
용역사업 결과물 및 프로그램 소스코드
보안시스템 및 정보보호시스템 도입현황
침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보
병원 내부문서
개인정보(환자정보, 직원정보 등)
사업 수행 중 습득ㆍ인지한 보안정보
기타 공개가 불가하다고 판단되는 자료
[서식 12호]
계정 관리 대장
氠瑢
No
관리번호
(시리얼번호)
위치
IP
용도
계정명
패스워드
점검일
사용자
1
IDC
172.xx.xxx.xxx
NAC관리서버
2000.00.00
2
3
[서식 13호]
로그 점검 보고서(서버/DBMS/네트워크 등)
氠瑢
검토일시
2024년 1월 26일 (2022년 12월 로그)
검토자
검토내역
세부 검토항목
汤捯 결과
조치내역 또는 특이사항
(증적 첨부)
월1회 점검 항목
접근권한 차등부여
계정 하나의
그룹으로 등록
root등 관리자 계정 단독접근 금지
불필요 계정 삭제
작업이력 로깅
기타 이상징후
매일점검 항목
시스템 접근기록(업무시간외 접근, 미승인계정 접근, 비정상접속시도 등) 이상유무 점검
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
특이사항
氠瑢
점 검 자 : 2024년 1월 26일
확 인 자 : 2024년 1월 26일
성 명 :
성 명 :
氠瑢
붙임 1
외주 용역사업 보안 특약
외주 용역사업 보안 특약
① 사업자는 서울대학교병원의 보안정책을 위반하였을 경우 “[부록 1] 사업자 보안위규 처리 기준”의 위규처리 기준에 따라 위규자 및 관리자를 행정조치 하고 “[부록2] 보안 위약금 부과 기준”의 보안 위약금을 서울대학교병원에 납부한다.
② 사업자는 사업 수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 “[부록 3] 누출금지 대상정보”에 대한 보안관리계획을 사업제안서에 기재해야 하며, 해당 정보 누출시 서울대학교병원은 국가계약법 시행령 제76조에 따라 사업자를 부정당업체로 등록한다.
③ 사업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업 완료 후에도 이를 외부에 유출해서는 안되며, 사업완료시 담당자의 입회하에 완전 폐기 또는 반납해야 한다.
④ 계약 시행일로부터 종료 후 30일이 경과하는 날까지의 기간 중에발주기관, 교육부 및 국가정보원장의 정기 또는 수시 보안점검(불시 점검 포함)을 수행할 수 있다.
⑤ 사업자는 사업 최종 산출물에 대해 정보보안전문가 또는 전문 보안점검 도구를 활용하여 보안 취약점을 점검, 도출된 취약점에 대한 개선을 완료하고 그 결과를 제출해야 한다.
부록 : 1. 사업자 보안위규 처리기준
2. 보안 위약금 부과 기준
3. 누출금지 대상 정보
업체명 :
일 자 : . . .
대표자 : (인)
[부록 1]
사업자 보안위규 처리기준
氠瑢
구 분
위 규 사 항
처 리 기 준
심 각
1. 비밀 및 대외비 급 정보 유출 및 유출시도
가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출
나. 개인정보·신상정보 목록 유출
다. 비공개 항공사진·공간정보 등 비공개 정보 유출
2. 정보시스템에 대한 불법적 행위
가. 관련 시스템에 대한 해킹 및 해킹시도
나. 시스템 구축 결과물에 대한 외부 유출
다. 시스템 내 인위적인 악성코드 유포
◦ 사업참여 제한
◦ 위규자 및 직속 감독자 등 중징계
◦ 재발 방지를 위한 조치계획 제출
◦ 위규자 대상 특별보안교육 실시
중 대
1. 비공개 정보 관리 소홀
가. 비공개 정보를 책상 위 등에 방치
나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용
다. 개인정보ㆍ신상정보 목록을 책상 위 등에 방치
라. 기타 비공개 정보에 대한 관리소홀
2. 사무실ㆍ보호구역 보안관리 허술
가. 통제구역 출입문을 개방한 채 퇴근 등
나. 인가되지 않은 작업자의 내부 시스템 접근
다. 통제구역 내 장비·시설 등 무단 사진촬영
3. 전산정보 보호대책 부실
가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반
나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신
다. 개발·유지보수 시 원격작업 사용
라. 저장된 비공개 정보 패스워드 미부여
마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장
바. 외부용 PC를 업무망에 무단 연결사용
사. 보안관련 프로그램 강제 삭제
아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)
◦ 위규자 및 직속감독자 등 중징계
◦ 재발 방지를 위한 조치계획 제출
◦ 위규자 대상 특별보안교육 실시
氠瑢
구 분
위 규 사 항
처 리 기 준
보 통
1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀
가. 주요 현안ㆍ보고자료를 책상위 등에 방치
나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용
2. 사무실 보안관리 부실
가. 캐비닛ㆍ서류함ㆍ책상 등을 개방한 채 퇴근
나. 출입키를 책상위 등에 방치
3. 보호구역 관리 소홀
가. 통제ㆍ제한구역 출입문을 개방한 채 근무
나. 보호구역내 비인가자 출입허용 등 통제 미실시
4. 전산정보 보호대책 부실
가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근
나. 네이트온 등 비인가 메신저 무단 사용
다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근
라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여
마. PC 비밀번호를 모니터옆 등 외부에 노출
바. 비인가 보조기억매체 무단 사용
◦ 위규자 및 직속 감독자 등 경징계
◦ 위규자 및 직속 감독자 사유서 / 경위서 징구
◦ 위규자 대상 특별보안교육 실시
경 미
1. 업무 관련서류 관리 소홀
가. 진행 중인 업무자료를 책상 등에 방치, 퇴근
나. 복사기ㆍ인쇄기 위에 서류 방치
2. 근무자 근무상태 불량
가. 각종 보안장비 운용 미숙
나. 경보ㆍ보안장치 작동 불량
3. 전산정보 보호대책 부실
가. PC내 보안성이 검증되지 않은 프로그램 사용
나. 보안관련 소프트웨어의 주기적 점검 위반
◦ 위규자 서면ㆍ구두 경고 등 문책
◦ 위규자 사유서 / 경위서 징구
[부록 2]
보안 위약금 부과 기준
1. 위규 수준별로 A~D 등급으로 차등 부과
氠瑢
구 분
위규 수준
A급
B급
C급
D급
위 규
심각 1건
중대 1건
보통 2건 이상
경미 3건 이상
위약금
비중
부정당업자 등록
총계약금의 5%
총계약금의 3%
총계약금의 1%
* 위규 수준은 [부록1] 참고
2. 보안 위약금은 다른 요인에 의해 상쇄, 삭감이 되지 않도록 부과
* 보안사고는 1회의 사고만으로도 그 파급력이 큰 것을 감안하여 타 항목과 별도 부과
3. 사업 종료시 지출금액 조정을 통해 위약금 정산
[부록 3]
누출금지 대상정보
氠瑢
번호
대 상 구 분
비고
1
정보시스템의 내·외부 IP주소 현황
2
정보시스템의 세부 구성현황 및 정보통신망 구성도
3
사용자계정 및 패스워드 등 정보시스템 접근권한 정보
4
정보통신망 취약점 분석ㆍ평가 결과물
5
용역사업 결과물 및 프로그램 소스코드
6
보안시스템 및 정보보호시스템 도입현황
7
침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보
8
「공공기관의 정보공개에 관한 법률」 제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서
9
「개인정보보호법」 제2조1호의 개인정보
10
사업 수행 중 습득ㆍ인지한 보안정보
11
기타 공개가 불가하다고 판단되는 자료
氠瑢
붙임 2
사업자 보안관리 준수사항
① 참여 인력에 대한 보안관리
◦ 보안서약서 등 제출
- 사업 참여인원에 대해 사업투입 전 자체 보안 교육 후, 보안서약서, 기본보안교육 내용을 제출해야 한다.
◦ 보안교육 실시
- 사업자는 보안인식제고를 위해 주기적으로 자체 보안 교육을 하며, 발주기관가 요구하는 보안교육에 참석해야 한다.
◦ 인력변동 관리
- 시스템 접근 권한을 승인받은 인력 또는 해당 인력의 업무 변동이 있는 경우, 해당 사유가 발생한 후 1일 내에 신고해야 한다.
② 자료․정보 등의 보안관리
◦ 비밀 준수 대상 자료․정보
- 사업자는 아래의 자료나 정보(이하 “비밀정보”라 한다)에 대하여
비밀을 유지하여야 한다.
* 발주기관이 본 사업의 이행을 위하여 사업자에게 서면 또는 구두 등의 방법으로 비밀에 해당한다고 고지하고 제공한 자료나 정보(DB정보, IP 정보, 상세 시스템 구성도 등)
* 법령 또는 교육부의 내규에 의하여 공개가 제한되거나 비밀을 유지해야 하는 자료나 정보(미공개 출원 정보, 개인정보, 비밀지정문서 등)
* 사업자가 본 계약의 이행 중 발주기관이 제공한 비밀정보를 이용․가공하여 얻은 자료나 정보
◦ 중요정보의 관리
- 사업자는 중요정보의 관리를 위하여 자료명, 인계자/인수자 서명이 포함된 자료 제공대장을 작성해야 한다.
- 인계받은 자료가 더 이상 필요없거나 사업이 종료되는 경우 자료를 반납 및 삭제한 후, 자료 제공대장에 기록 및 사업 담당부서에 제출한다.
③ 사무실 및 전산 장비․매체 보안관리
ㄷ
◦ 사무실 보안 관리
- 사업자는 필요시 사무실 또는 용역업무를 수행하는 공간에 대해 일일 보안점검을 해야 하며, 발주기관의 보안점검에 따른 지적사항 발생시 [붙임1]에 따른 벌칙 규정을 따른다.
◦ 전산 장비․매체 보안 관리
- 사업자는 PC, 노트북 등 전산장비를 반․출입하는 경우, 다음 사항을 사전 확인, 조치해야 한다.
(단, 노트북은 불가피한 경우 발주기관의 승인을 득한 경우에만 반입 가능)
* 반입시 : PMS, 내 PC 지키미 등 PC 보안프로그램 설치 및 바이러스/악성코드 검사
* 반출시 : 저장 데이터 완전 삭제(발주기관 담당자의 사전 확인 필요)
- 사업자는 보안USB 외의 기타 보조기억매체는 사용할 수 없으며, 보안USB 외에는 자료를 저장할 수 없다.
- 사업자는 전산 장비․매체를 승인권자 외의 사용자가 조작․탈취할 수 있도록 방치하면 안된다.
④ 정보시스템 접근 보안관리
◦ 사업자는 정보시스템 사용자 계정 이용시 부여된 권한․목적 이외의 접근을 하면 안 되며, 승인된 사용자만 접근해야 한다.
◦ 사업자는 공용계정을 사용하면 안되며, 사용하지 않는 계정은 주기적으로 삭제해야 한다.
◦ 공유 폴더는 사용해서는 안 된다.
※ 상기 사업자 보안관리 준수사항 중 예외적 허용이 필요한 경우에는, 발주기관 정보보안담당에게 예외 허용사항에 대한 보안성 검토를 요청해야 한다.
※ 상기 보안요구는 원격지 개발장소를 포함한다.
⑤ 내부망․인터넷망 접근에 대한 보안관리
○ 용역사업자는 OOO 망분리 정책(기관 인터넷망)에 따라, 작업장소별 보안 제반사항을 마련하여야 한다.
- 작업장소가 OOO 내 입주인 경우, 접속단말(PC) 및 백신은 용역사업자가 개별 마련(기관 인터넷망 1회선 제공)
※ 그 외 OOO 외부인 경우, 정보통신망(회선), 접속단말(PC), 보안SW 일체를 용역사업자가 개별 마련
- 세부 보안정책 적용 및 대책은 OOO 정보화사업담당자 및 보안담당자와 협의하여 추진
○ 사업 수행 시 발주기관 내부망에 대한 접속은 반드시 발주기관의 승인을 득한 후 하여야 한다.
○ 사업자가 사용하는 PC는 인터넷 연결을 금지함을 원칙으로 한다. 다만, 사업 수행상 필요 한 경우는 사업체의 보안책임관이 접속이 필요한 PC와 웹사이트․서버를 선정하여 직접 발주기관 보안담당자에 요청하여, 승인을 득한 후 사용하여야 한다.
⑥ 산출물에 대한 보안관리
○ 사업 수행 시 생산되는 모든 산출물은 발주기관 파일서버 또는 지정PC에 저장하여야 하며, 계정관리 및 접근권한 부여하여 관리를 철저히 한다.
○ 사업 수행 시 생산된 산출물 및 기록은 발주기관 보안관리 담당담당자 인가하지 않은 비인가자에게 제공․대여․열람을 금지한다.
○ 사업 종료 후 최종산출물에 대해 “대외비”임을 표기하여 발주기관에 제출하여야 하며, 기타 자료는 삭제 및 세단 후 폐기하고 발주기관 담당자의 점검을 받아야 한다.
○ 최종산출물 및 사업관련 자료는 용역사업 수행업체의 보관을 금지함을 원칙으로 한다. 다만, 유지관리 등으로 필요한 경우에는 발주기관보안관리 담당자의 승인을 득한 후 사용할 수 있다.
○ 정보시스템 구축 사업인 경우 사업자는 사업 완료 전에 정보보안 전문가 또는 전문 보안점검도구를 활용하여 보안 취약점을 점검하고, 도출된 취약점에 대한 개선을 완료하여 그 결과를 제출하여야 한다.
- 정보시스템 도입·운용하기 전 보안취약점 진단 및 조치
- 소프트웨어 보안취약점 진단 및 조치
※ SW개발보안(시큐어코딩) 준수 : 행정기관 및 공공기관 정보시스템 구축ㆍ운영 지침, SW 개발보안 가이드 참조
· 신규개발의 경우 : 소스코드 전체
· 유지관리의 경우 : 유지관리로 인해 변경된 소스코드 전체
- 웹 어플리케이션에 대한 웹서비스인 경우 취약점 진단 및 조치
※ 전자정부서비스 웹 취약점 표준 점검 21개 항목 참조
氠瑢
붙임 3
개인정보처리시스템 사업담당자 준수사항
① 개인정보보호 관련 법령 및 지침 검토
- 사업자는 개인정보보호와 관련된 법령 및 지침 등을 반드시 검토하여 이를 시스템 개발·구축시 반영하여야 한다.
氠瑢
법
시행령
고시
개인정보 보호법
개인정보 보호법 시행령
개인정보 영향평가에 관한 고시
개인정보의 기술적·관리적 보호조치 기준
개인정보의 안전성 확보조치 기준
정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시
표준 개인정보 보호지침
개인정보 처리 방법에 관한 고시
개인정보보호 법규 위반에 관한 과징금 부과기준
(해당시) 가명정보의 결합 및 반출 등에 관한 고시
(해당시) 공공기관의 가명정보 결합 및 반출 등에 관한 고시
- 특히, 개인정보가 분실·도난·유출·변조 또는 훼손되지 않도록 「개인정보의 안전성 확보조치 기준」을 준수하여야 한다.
氠瑢
구분
「개인정보의 안전성 확보조치 기준」
법적 근거
▪ 개인정보보호법 제23조(민감정보의 처리 제한), 제24조(고유식별정보의 처리 제한), 제29조(안전조치의무)
▪ 같은 법 시행령 제21조(고유식별정보의 안전성 확보 조치), 제30조(개인정보의 안전성 확보 조치)
과징금 부과 및 벌칙
▪ 2년 이하의 징역 또는 2천만원 이하의 벌금(법 제73조제1호)
▪ 3천만원 이하의 과태료(법 제75조제2항제6호)
적용 대상
▪ 개인정보처리자
▪ 개인정보처리자로부터 개인정보를 제공받은 자
▪ 개인정보처리자로부터 개인정보 처리를 위탁받은 자(이하 ‘수탁자’, 준용)
성격
▪ 반드시 준수해야 하는 최소한의 기준
주 요 내 용
내부관리계획
▪ 내부관리계획 포함사항 명시
※ 개인정보 보호책임자 지정, 개인정보취급자 교육 등
접근권한 관리
▪ 개인정보처리시스템의 접근권한 부여․변경․말소 기록 최소 3년간 보관
비밀번호 관리
▪ 안전한 비밀번호 작성규칙 수립․적용
접근통제 시스템 설치․운영
▪ 접근통제 시스템 설치․운영 의무화
※ 접근통제 시스템 : 침입차단(Firewall), 침입탐지(IDS) 기능 포함
개인정보 암호화
▪ 암호화 대상 : 고유식별정보(주민등록번호,여권번호,운전면허번호,외국인등록번호), 비밀번호, 바이오정보
▪ 암호화 기준
氠瑢
구 분
암 호 화 기 준
송․수신시
모든 정보 암호화 전송
저장시
비밀번호,
바이오정보
비밀번호는 단방향 암호화,
바이오정보는 양방향 암호화
고유식별정보
ⓛ 인터넷 구간,공통(DMZ) 구간 저장시 : 의무적 암호화
② 내부망 저장시 : 위험도 분석결과에 따라 암호화 적용범위 결정
(※ 영향평가 대상 공공기관은 영향평가 결과에 따름)
* 고유식별정보가 유출・변조・훼손되지 않도록 연1회 이상 취약점 점검
주민등록번호
암호화 알고리즘 적용(개인정보보호법 의무사항)
▪ 암호화 방법 : 공공기관은 국가 암호화 알고리즘, 그 외는 자율
▪ 암호화 적용 : 고유식별정보 암호화시 지침 시행일로부터 3개월 이내에 암호화 계획 수립, 계획 수립일로부터 12개월 이내에 암호화 적용
접속기록 보관
▪ 개인정보처리시스템 접속기록은 1년 이상 보관, 다만, 정보주체가 5만명 이상 이거나, 고유식별정보 또는 민감정보를 처리하는 경우는 2년이상 보관·관리
▪ 접속기록은 월 1회이상 점검
보안프로그램
▪ 보안 프로그램(백신 S/W 등) 설치 및 업데이트
※ 자동 업데이트 또는 일 1회 이상
물리적 접근 방지
▪ 별도의 개인정보 물리적 보관 장소에 대한 출입통제 등
부칙
▪ 전산센터․클라우드컴퓨팅센터 등의 운영환경에서의 안전조치
② 개인정보 수집 최소화를 위한 방안 마련
- 사업자는 필요 최소한의 개인정보만을 수집해야 하며 필수·선택 동의사항을 명시적으로 구분하여 수집하여야 한다.
- 특히, 주민등록번호의 경우 정보주체의 동의를 받더라도 수집·처리할 수 없으며, 법령상 구체적으로 주민등록번호의 처리를 요구하거나 허용한 경우에만 수집이 가능하다.
③ 개인정보 위탁 관리 철저
◦ 위탁목적 등 문서화
- 개인정보처리업무 특수조건(개인정보 위탁계약서)을 작성하여야 한다.
氠瑢
개인정보처리업무 특수조건 내 포함되어야 하는 사항
① 위탁업무 수행 목적 외 개인정보의 처리 금지에 관한 사항
② 개인정보의 기술적·관리적 보호조치에 관한 사항
③ 위탁업무의 목적 및 범위
④ 재 위탁 제한에 관한 사항
⑤ 개인정보에 대한 접근 제한 등 안전성 확보 조치에 관한 사항
⑥ 위탁업무와 관련하여 보유하고 있는 개인정보의 관리 현황 점검 등 감독에 관한 사항
⑦ 법 제26조제2항에 따른 수탁자가 준수하여야 할 의무를 위반한 경우의 손해배상 등 책임에 관한 사항
◦ 수탁자의 책임과 의무 준수
- 수탁업체의 대표자 및 개인정보취급자는 보안서약서를 작성하여야 한다.
- 반기별 1회 이상 개인정보처리 실태점검(관리·감독) 및 개인정보보호 교육을 실시하여야 한다.
- 암호화 등을 통해 개인정보를 안전하게 저장·관리하여야 한다.
- 개인정처리방침에 위탁사항을 포함하여 공개하여야 한다.
- 위탁 종료 시 개인정보처리시스템의 접근권한을 회수, 개인정보파기 여부를 확인하여야 하고, 개인정보처리방침에 위탁사항을 삭제하여야 한다.
氠瑢
붙임 4
개인정보처리업무 특수조건
氠瑢
개인정보 처리업무를 위탁하거나, 위탁 업무에 개인정보 처리가 포함된 경우에는 본 특수조건을 활용하여 위탁계약서를 작성하시기 바랍니다.
본 특수조건은 개인정보보호법 제26조제1항에 따라 위탁계약에 있어 개인정보 처리에 관하여 문서로 정하여야 하는 최소한의 사항을 표준적으로 제시한 것으로서, 위탁계약이나 위탁업무의 내용 등에 따라 세부적인 내용은 달라질 수 있습니다. (※ 필수 포함내용은 Ⅱ. 2.. 개인정보 위탁 계약서 작성 참고)
개인정보처리업무 특수조건
서울대학교병원(이하 ‘병원’이라 한다)이 ○○(이하 ‘수탁자’라 한다)에게 △△계약(이하 ‘주 계약’이라 한다)에 따라 제공하는 병원의 고객 등(이하 “정보주체”라 한다)의 개인정보에 대한 개인정보처리업무 특수조건(이하 ‘본 약정’이라 한다)을 다음과 같이 체결한다.
제1조 (목적)
본 약정은 병원이 수탁자에 제공하는 개인정보의 목적과 항목을 명확히 하고, 안전한 처리와 보호에 관한 역할과 책임을 명확히 함으로써 개인정보의 오·남용 및 유출을 방지하고 개인정보 유출사고 발생 시 그로 인한 손해배상의 책임을 명확히 함으로써 개인정보를 보다 안전하게 보호하고 상호 신뢰 확보를 목적으로 한다.
제2조 (정의)
"개인정보"란 살아 있는 개인에 관한 정보로서 다음 각 목의 어느 하나에 해당하는 정보를 말한다.
가. 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보
나. 해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 정보. 이 경우 쉽게 결합할 수 있는지 여부는 다른 정보의 입수 가능성 등 개인을 알아보는 데 소요되는 시간, 비용, 기술 등을 합리적으로 고려하여야 한다.
다. 가목 또는 나목을 제1호의2에 따라 가명처리 함으로써 원래의 상태로 복원하기 위한 추가 정보의 사용ㆍ결합 없이는 특정 개인을 알아볼 수 없는 정보(이하 "가명정보"라 한다)
Ӳ Ā “처리”란 개인정보의 수집, 생성, 연계, 연동, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정(訂正), 복구, 이용, 제공, 공개, 파기(破棄), 그 밖에 이와 유사한 행위를 말한다.
ˎ Ā “정보주체”란 처리되는 정보에 의하여 알아볼 수 있는 사람으로서 그 정보의 주체가 되는 사람을 말한다.
ˎ Ā “주 계약”이란 본 약정의 기초가 되는 업무 위·수탁에 관한 계약을 말한다.
ˎ Ā “개인정보 보호책임자”란 개인정보처리자의 개인정보 처리에 관한 업무를 총괄해서 책임지는 자로서 개인정보보호법 시행령 제32조제2항에 해당하는 자를 말한다.
ˎ Ā “개인정보보호 담당자”란 개인정보 보호책임자로부터 개인정보보호 업무를 위임 받아 구체적인 업무를 수행하는 자를 말한다.
"접속기록"이란 개인정보취급자 등이 개인정보처리시스템에 접속하여 수행한 업무내역에 대하여 개인정보취급자 등의 계정, 접속일시, 접속지 정보, 처리한 정보주체 정보, 수행업무 등을 전자적으로 기록한 것을 말한다.
본 계약에서 별도로 정의되지 아니한 용어는 「개인정보 보호법」, 같은 법 시행령, 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시) 및「표준 개인정보 보호지침」(개인정보보호위원회 고시)에서 정의된 바에 따른다.
제3조 (개인정보의 위탁 목적 및 대상)
병원이 개인정보 처리 업무를 위해 수탁자에게 위탁하여 활용하도록 하는 개인정보의 목적 및 범위는 아래 표와 같다.
氠瑢
개인정보 위탁 목적
위탁하는 개인정보의 범위
(개인정보의 항목 구체적으로 기재)
본 약정 체결 후 개인정보의 목적 및 범위에 변경이 있는 경우 해당 내용을 반영한 약정을 다시 체결하여야 한다.
제4조 (위탁하는 개인정보의 처리 제한)
병원이 수탁자에 위탁하는 개인정보는 다음 각 호의 목적으로만 처리되어야 한다.
и Ā 정보주체의 동의를 받은 목적
и Ā 관련 법률에 규정된 법령상의 의무를 준수하기 위한 목적
и Ā 개인정보주체와 체결한 계약을 유지 및 관리하기 위한 목적
и Ā 기타 법률이 허용한 업무를 수행하기 위한 목적
제5조 (업무목적 외 사용 금지)
и Ā 수탁자는 계약기간은 물론 계약 종료 후에도 개인정보를 제공받은 목적 외에 다른 목적으로 처리할 수 없으며, 제3자에게 임의 제공 또는 누설하여서는 아니 된다.
и Ā 수탁자는 제공받은 개인정보를 병원의 사전 승인 없이 업무 목적 외로 별도로 저장‧출력하거나 복사‧가공해서는 아니 된다.
제6조 (재위탁의 제한)
и Ā 수탁자는 병원으로부터 위탁받은 개인정보를 병원의 사전 승인 없이 제3자에게 재위탁 할 수 없다.
и Ā 수탁자가 다른 제3의 회사와 수탁계약을 할 경우에는 반드시 사전에 병원의 승인을 득하여야 한다.
제7조 (개인정보 위탁 기간)
이 계약서에 의한 개인정보 처리업무의 기간은 다음과 같다.
계약 기간 : 년 월 일 ~ 년 월 일
и Ā 수탁자는 병원과의 업무위탁이 종료하는 날까지 개인정보를 처리할 수 있다.
и Ā 업무위탁 기간 종료 전이라도 정보주체가 개인정보 처리 동의를 철회한 경우 수탁자는 그 사실을 통보 받은 즉시 처리를 중단하여야 한다.
제8조 (담당자의 지정 및 개인정보취급자의 제한)
и Ā 수탁자는 위탁/제공받은 개인정보의 안전한 관리를 책임질 개인정보 보호책임자를 지정하여야 한다.
и Ā 수탁자는 개인정보보호 담당자를 두어 제1항의 업무를 수행하게 할 수 있다.
и Ā 수탁자는 본 개인정보를 취급할 수 있는 자(이하 "개인정보취급자")를 개인정보 관리 업무의 담당자로 제한하여야 한다. 일반 개인정보 외 주민등록번호, 민감정보 및 계좌번호 등 중요한 개인정보는 업무 수행을 위해 반드시 필요한 경우에만 접근권한을 허용하여야 한다.
и Ā 개인정보 보호책임자 또는 개인정보보호 담당자는 개인정보처리시스템에 접속할 수 있는 사용자 계정을 발급하는 경우, 개인정보취급자 별로 한 개의 사용자계정을 발급하여야 하며, 다른 개인정보취급자와 공유되지 않도록 하여야 한다.
и Ā 개인정보 보호책임자 또는 개인정보보호 담당자는 개인정보취급자가 개인정보에 접근할 경우 그 권한을 확인하여야 한다.
и Ā 각 개인정보취급자는 개인정보를 공유‧누설하여서는 아니 되며, 개인정보 보호책임자는 각 개인정보취급자가 이를 준수하도록 반기별 1회 이상 주기적으로 관리‧감독할 책임을 진다. 만약 개인정보취급자가 개인정보 공유, 누설 시 수탁사는 이에 대해 전적으로 책임을 진다.
제9조 (접근통제)
수탁자는 정보통신망을 통한 불법적인 접근 및 침해사고 방지를 위해 아래와 같은 조치를 취할 책임이 있다.
и Ā 다음 각 호의 기능을 포함한 시스템의 설치‧운영하여야 한다.
개인정보처리시스템에 대한 접속 권한을 IP(Internet Protocol)주소 등으로 제한하여 인가 받지 않은 접근을 제한
개인정보처리시스템에 접속한 IP(Internet Protocol)주소 등을 분석하여 불법적인 개인정보 유출 시도를 탐지
и Ā 수탁자의 개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하는 것을 원칙적으로 금지하고, 이를 허용하는 경우에는 가상사설망(VPN : Virtual Private Network) 또는 전용선 등 안전한 접속수단을 적용하여야 한다.
и Ā 개인정보가 인터넷 홈페이지, P2P, 공유설정 등을 통하여 열람권한이 없는 자에게 공개되거나 외부에 유출되지 않도록 개인정보처리시스템 및 업무용 컴퓨터에 대한 안전 조치를 하여야 한다.
и Ā 개인정보취급자가 안전한 비밀번호를 설정하여 이행할 수 있도록 비밀번호 작성규칙(조합 방법, 변경주기 등)을 수립하여 적용하여야 한다.
제10조 (물리적 접근 방지)
и Ā 수탁자가 전산실, 자료보관실 등 개인정보를 보관하고 있는 물리적 보관 장소를 별도로 두고 있는 경우에는 이에 대한 출입통제 절차를 수립‧운영하여야 한다.
и Ā 수탁자는 개인정보가 포함된 서류, 보조저장매체 등을 잠금 장치가 있는 안전한 장소에 보관하여야 한다.
제11조 (개인정보처리시스템 접속기록 관리)
и Ā 수탁자는 개인정보취급자가 개인정보처리시스템에 접속한 기록을 1년 이상 보관·관리하여야 한다. 다만, 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보관·관리하여야 한다.
수탁자는 개인정보의 오·남용, 분실·도난·유출·위조·변조 또는 훼손 등에 대응하기 위하여 개인정보처리시스템의 접속기록 등을 월 1회 이상 점검하여야 한다. 특히 개인정보를 다운로드한 것이 발견되었을 경우에는 내부관리 계획으로 정하는 바에 따라 그 사유를 반드시 확인하여야 한다.
수탁자는 개인정보취급자의 접속기록이 위·변조 및 도난, 분실되지 않도록 해당 접속기록을 안전하게 보관하여야 한다.
제12조 (암호화)
и Ā 병원과 수탁자는 비밀번호, 생체인식정보 등 인증정보를 저장 또는 정보통신망을 통하여 송ㆍ수신하는 경우에 이를 암호화하여야 한다.
и Ā 수탁자는 병원으로부터 제공받은 정보 중 고유식별정보, 신용카드번호, 계좌번호 및 생체인식정보를 저장할 경우 암호화하여야 한다.
и Ā 비밀번호를 저장해야 하는 경우에는 복호화되지 아니하도록 일방향 암호화하여 저장하여야 한다.
병원과 수탁자는 개인정보를 정보통신망을 통하여 인터넷망 구간으로 송ㆍ수신하는 경우에는 이를 안전한 암호 알고리즘으로 암호화하여야 한다.
수탁자는 개인정보를 암호화하는 경우 안전한 암호알고리즘으로 암호화하여 저장하여야 한다.
수탁자는 다음에 해당하는 개인정보를 업무용 컴퓨터 또는 모바일 기기 및 보조저장매체 등에 저장할 때에는 안전한 암호화 알고리즘을 사용하여 암호화한 후 저장하여야 한다.
ࢄ Ā - 이용자의 개인정보
ࢄ Ā - 이용자가 아닌 정보주체의 고유식별정보, 생체인식정보
제13조 (악성 소프트웨어 예방 및 치료)
수탁자는 악성 프로그램 등을 방지‧치료할 수 있는 백신 소프트웨어 등의 보안 프로그램을 설치‧운영하여야 하며, 다음 각 호의 사항을 준수하여야 한다.
и Ā 보안 프로그램의 자동 업데이트 기능을 사용하거나 또는 일 1회 이상 업데이트 실시
и Ā 악성 프로그램 관련 경보가 발령된 경우 또는 사용 중인 응용 프로그램이나 운영체제 소프트웨어의 제작업체에서 보안 업데이트 공지가 있는 경우, 즉시 이에 따른 업데이트를 실시
발견된 악성프로그램 등에 삭제 등 대응 조치
제14조 (개인정보 유출 등 통지)
и Ā 수탁자의 개인정보 관리책임자는 개인정보의 유출 사실을 알게 되었거나 본 약정을 통해 정한 의무에 위반하는 행위를 하였음을 발견하였을 때에는 아래 표에서 정한 기간 내에 관련 사실을 병원에 통지하여야 한다.
氠瑢
통지 사항
통지 기한
개인정보 유출 사실
유출된 개인정보의 항목(확인된 항목부터)
계약상 의무 위반 사실
관련 업무를 담당하고 있는 부서 및 책임자의 이름, 연락처
12시간 이내
유출된 개인정보의 항목(추가로 확인된 항목)
유출된 시점과 그 경위
유출로 인하여 발생할 수 있는 피해를 최소화하기 위하여 정보주체가 할 수 있는 방법 등에 관한 정보
24시간 이내
(확인하는 즉시 추가로 통보)
и Ā 수탁자는 개인정보 유출 또는 계약상 의무 위반 일시와 인지 시점이 다를 경우 그 사유를 서면으로 소명하여야 한다.
제15조 (개인정보 파기)
и Ā 수탁자는 개인정보의 처리 목적 달성일 또는 위탁기간 종료일 중 빠른 날로부터 5일 이내에 해당정보를 복원 불가능한 방법(소각, 파쇄, 전자파일의 경우 영구 삭제 등)으로 파기하여야 한다.
и Ā 정보주체가 제공 동의를 철회하거나 삭제를 요청하여 병원이 정보주체의 개인정보를 파기할 것을 요청하는 경우 수탁자는 즉시 이에 따라야 한다.
и Ā 제1항과 제2항에 따라 수탁자가 해당 개인정보를 파기한 경우 병원에 그 결과를 지체 없이 서면으로 통보하여야 한다.
и Ā 병원은 수탁자의 보안관리상태 및 정보파기의 이행여부 등을 확인하기 위해 수탁자에 자체 점검 및 서면보고를 요청하거나, 병원이 수탁자의 사무실 등을 직접 점검할 수 있고, 수탁자는 이에 적극 협조하여야 한다.
제16조 (관리‧감독)
и Ā 병원은 수탁자가 관련 법령 및 본 약정에서 정한 의무를 성실히 수행하는지 여부를 반기별 1회 이상 관리‧감독할 권한이 있다.
관리‧감독은 외부 기관을 통해 실시할 수 있다.
и Ā 관리‧감독 결과 법령 및 본 약정 위반 사실이 발견될 경우 병원은 계약을 해지하거나 시정을 요구할 수 있고, 병원이 시정을 요구한 경우 수탁자는 즉시 요구사항을 이행하여야 한다.
제17조 (교육)
и Ā 수탁자는 소속 개인정보취급자에 대하여 개인정보보호에 대한 교육을 반기별 1회 이상 실시함으로써 개인정보의 오‧남용 발생을 예방하여야 한다.
교육의 시기와 방법 등에 대해서는 병원과 수탁자가 협의하여 시행할 수 있다.
수탁자는 반기별 1회 이상 교육을 실시한 후 교육 일시, 교육 내용, 참석자의 서명이 담긴 명단 등을 병원에 제출하여야 한다.
제18조 (책임)
“수탁자” 또는 “수탁자”의 임직원, 기타 “수탁자”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁 받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 소홀히 하여 “병원” 또는 개인정보주체, 기타 제3자에게 손해가 발생하거나 법적인 책임이 부과된 경우 “수탁자”는 그 손해 배상을 포함한 모든 민·형사상 책임을 진다.
제1항과 관련하여 개인정보주체, 기타 제3자에게 발생한 손해에 대하여 ‘병원’이 전부 또는 일부를 배상한 때에는 ‘병원’은 이를 ‘수탁자’에게 구상할 수 있다
수탁자가 본 약정을 위반하는 경우 병원은 주 계약 및 본 약정을 즉시 해지할 수 있다.
제19조 (계약의 수정 및 변경)
본 약정의 내용은 병원과 수탁자 사이에 서명 날인한 서면에 의해서만 수정 또는 변경할 수 있다.
제20조 (효력발생 및 유효기간)
и Ā 본 약정은 체결일로부터 그 효력이 발생하며, 개인정보의 위탁과 관련된 병원과 수탁자 상호간 “주 계약”이 실효되면 본 약정도 실효된다.
и Ā 이 약정의 유효기간 내 발생한 위반행위에 따른 책임은 유효기간의 만료로 소멸되지 아니한다.
и Ā 본 약정의 유효기간이 종료한 후에는 본 약정 제15조에 따라 수탁사는 개인정보를 지체 없이 파기하여야 하며, 수탁사의 고의 또는 과실로 개인정보를 파기하지 아니하거나 또는 그로 인한 다른 위반행위 발생 시, 그 책임은 본 약정의 유효기간과 관계없이 수탁사에게 있다.
제21조 (정보주체 권리보장)
① “수탁자”는 정보주체의 개인정보 열람, 정정·삭제, 처리 정지 요청 등에 대응하기 위한 연락처 등 창구를 마련해야 한다.
부칙
당사자 쌍방은 위와 같이 본 약정이 유효하게 성립되었음을 상호 확인하면서 본 약정서 2부를 작성하여 각각 서명날인 후 각 1부씩 보관한다.
20 . 00 . 00
氠瑢
○○ 주식회사
□□□ ____________(인)
서울대학교병원
□□□ ____________(인)
氠瑢
붙임 5
민간 클라우드 도입 정보화사업 보안 특약(예시)
1. 클라우드컴퓨팅 서비스 사업자는 OOO의 보안정책을 위반하였을 경우 OOO의 사업자 보안위규 처리 기준에 따라 위규자 및 관리자를 행정조치 하고 OOO의 보안 위약금 부과 기준에 따라 보안 위약금을 OOO에게 납부한다.
2. 클라우드 사업자는 사업 수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 OOO의 누출금지 대상정보에 대한 보안관리계획을 사업제안서에 기재해야 하며, 해당 정보 누출시 OOO은 국가계약법 시행령 제76조에 따라 사업자를 부정당업체로 등록한다.
3. 민간 클라우드 도입 정보화사업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업 완료 후에도 이를 외부에 유출해서는 안 되며, 사업완료시 정보보안 담당자의 입회하에 완전 폐기 또는 반납해야 한다.
4. 클라우드 사업자는 사업 최종 산출물에 대해 정보보안전문가 또는 전문보안 점검도구를 활용하여 보안 취약점을 점검, 도출된 취약점에 대한 개선을 완료하고 그 결과를 제출해야 한다.
5. 클라우드 사업자는 OOO의 클라우드 도입 및 운영 보안 요구사항 충족시켜야 하며, 보안 요구사항에 근거가 되는 법, 가이드라인, 절차 등은 다음과 같다.
가. 「국가정보원법」 및 「사이버안보 업무규정」
나. 「전자정부법」과 동법 시행령
다. 「정보통신기반보호법」과 동법 시행령
라. 「국가 정보보안 기본지침 (국가정보원)」
마. 「국가 클라우드 컴퓨팅 보안 가이드라인 (국가정보원)」
바. 「국가·공공기관 업무 전산망 분리 및 자료전송 보안 가이드라인 (국가정보원)」
사. 「안전한 정보통신 환경 구현을 위한 네트워크 구축 가이드라인 (국가정보원)」
아. 「국가·공공기관 용역업체 보안관리 가이드라인 (국가정보원)」
자. 「국가 클라우드 보안관제 가이드라인 (국가정보원)」
차. 「교육부 정보보안 기본지침 (교육부)」
6. 클라우드 사업자는 OOO이 보안 요구사항 준수 모니터링, 외부 위협 대응, 국가·공공기관 데이터 보호 등의 목적으로 클라우드 사업자의 시설, 모니터링 로그, 문서, 데이터베이스 등에 접근하는 것을 허용하여야 하며, OOO은 OOO 이외의 他 클라우드 컴퓨팅 서비스 임차인 자원에 침범하지 않는 한에서 접근 및 관련 정보를 수집할 수 있다.
7. 클라우드 사업자는 OOO의 클라우드 보안관제 수행 및 국가보안관제체계와 연계하기 위한 제반환경 지원에 적극적으로 협조해야 한다.
8. 클라우드 사업자는 국가정보원, 교육부 및 OOO이 클라우드 컴퓨팅 서비스 망 운용 관리에 따른 보안 취약점 개선·발굴, 사이버공격 위협에 대한 예방, 대응, 실태평가, 안전성 및 보안대책의 적합성과 이행여부 확인 등의 목적으로 클라우드 사업자 시설에 대한 현장실사 방문, 안전성 보안 측정 실시, 보안진단·점검 등 수행 요청 시 이에 성실히 응해야한다.
9. 클라우드 사업자는 국가정보원, 교육부 및 OOO이 8항의 현장실사, 안전성 보안측정 실시, 보안점검 등 수행 목적으로 기술적 지원을 요청할 시에 모니터링 도구, 로그 수집 기술 등의 제반 환경을 제공하여야 하며, OOO의 기본 형상 변경에 대한 실시간 모니터링 수행 및 형상 변경 결과 보고를 OOO에게 하여야 한다.
10. 클라우드 사업자는 사고 또는 장애 발생 시 OOO의 사고·장애 대응 절차에 따라 OOO의 정보보안담당자, 대내외 관련 기관 및 전문가와 협조체계 구성하여 대응하여야 하며, 국가정보원, 교육부 및 OOO의 사고·장애 대응 및 예방보안 활동 등에 적극적으로 협조해야 한다.
11. 클라우드 사업자는 OOO의 데이터 보안 규격에 따라 OOO의 데이터를 검증필 국가표준암호화 암호모듈을 사용하여 전자적으로 안전하게 처리하여야 하며, OOO의 데이터가 OOO의 서비스 및 시스템 영역 외에서 사용되는 것을 방지하여야 한다.
업체명 :
일 자 : . . .
대표자 : (인)