과 업 지 시 서
과 업 명
2026년 인공지능 기반 통합위험선별 모델 개발 사업
개인정보 영향평가
주관기관
관 세 청
2026. 7.
담당
관세국경
위험관리센터
과 장 정지은
TEL : 042-481-1160
FAX :
042-530-7739
사무관 조주성
TEL : 042-481-3225
관 세 청
관세국경위험관리센터
목 차
1. 사업안내
가. 사업개요
. 입찰 참가자격 기준
. 추진배경 및 필요성
2. 사업 추진계획
3. 과업지시 내용
[붙임] 과업지시서 관련 서식
[별첨 4] 보안 위약금 부과 기준
1. 사업 안내
가. 사업개요
□ 사업명 :
2026년 인공지능 기반 통합위험선별 모델 개발 사업 개인정보영향평가
□ 사업기간 : 계약일로부터 90일
□ 사업금액 : 42,669천원(부가세 포함)
□ 입찰방법 :
수의계약(2인이상 견적제출), 전자견적
나. 입찰 참가자격 기준
□ 본 제안 사업을 수행 가능한 업체로 다음 요건을 모두 갖춘 사업자이어야 함
○
「개인정보 보호법」제33조 및「개인정보법 시행령」제37조, 제38조에 따라 개인정보 영향평가 기관으로 선정(지정)되어 본 계약 체결일까지 해당 자격을 유지하고 있는 사업자
※
개인정보 영향평가에 관한 고시 제2조의 3에 의거, 개인정보 보호위원회가
지정한 기관 적용
○
국가종합전자조달시스템 입찰참가자격등록규정에 의하여 반드시 조달청 나라장터에 입찰마감일 전일까지 개인정보 영향평가기관(업종코드:6525)으로 입찰참가자격을 등록한 업체이어야 함
○
「국가를 당사자로하는 계약에 관한 법률」제27조 및 동법 시행령 제 76조(부정당업자의 입찰참가자격 제한)에 해당되지 않은 업체
○
「중소기업기본법」제2조에 따른 소기업자 또는 「소상공인 보호 및 지원에 관한 법률」 제2조에 따른 소상공인으로서 「중소기업 범위 및 확인에 관한 규정」에 따라 발급된 <소기업·소상공인 확인서>를 소지한 자
□
전문성 확보 및 보안 통제 등을 위해 공동수급 및 하도급은 불허함
□
기타, 자세한 사항은 입찰 공고문에 따름
다. 추진 배경 및 필요성
□ 「개인정보 보호법」제33조와 「개인정보 보호법 시행령」 제35조 및 개인정보 영향평가에 관한 고시(개인정보보호위원회고시 제2025-7호)에 의해 개인정보 영향평가 실시
□
2026년 인공지능 기반 통합위험선별 모델 개발 사업의 개인정보 영향
평가를
수행하여 개인정보보호 수준 및 관련 법령에 대해 법적 준거성을 확보
○
잠재 위험식별ㆍ침해요인 분석ㆍ취약점에 대한 개선방안 도출ㆍ불필요한 개인정보 보유 제거ㆍ개인정보 취급 프로세서 개선 등
□ 개인정보보호 관련 법령의 의무 준수사항 점검과 미비 사항을 보완하여 개인정보 관리체계 및 유출 예방 강화
□
개인정보 침해위험요인과 위험요소에 대한 분석 및 개선사항 조치를
통한 개인정보 침해 예방
라. 사업범위
□ 2026년 인공지능 기반 통합선별모델 개발 사업을 통해 구축될 개인정보 파일에 대하여 개인정보 관리의 적정성과 위험요인 분석 및 개선방안 제시
□ 영향평가 수행 계획 수립
○
영향평가 목적, 평가대상 및 범위, 평가주체(영향평가팀), 평가기간,
평가절차(방법), 주요 평가사항, 평가기준 및 항목, 자료수집 및 분석
계획 등을 포함하는 영향평가 수행계획 수립
□ 개인정보 영향도 및 흐름 분석
○
내·외부 정책자료(내부관리계획 등), 평가대상 시스템 관련 자료,
업무담당자 인터뷰 및 현장실사를 통해 개인정보 처리업무 현황을 분석
○
개인정보 처리업무별 개인정보 항목에 대한 중요도 평가를 위해 개인정보 영향도 등급표 작성 및 등급표에 따른 영향도 평가
○
개인정보 수집, 저장, 파기 등 개인정보 처리 단계별 개인정보 흐름 분석, 흐름표와 흐름도, 정보시스템 구조도 및 정보시스템 목록 작성
□ 개인정보 침해요인 도출 및 위험도 산정
○
개인정보 관리 체계, 개인정보 처리단계별 보호 조치 등 평가항목별 점검
○
개인정보 처리 현황, 위험 요소 등을 분석하여 개인정보 침해 위험요인 도출
○
개인정보 처리 업무의 중요도(개인정보 영향도), 침해요인 발생 가능성, 법률에 규정된 의무사항 등을 종합적으로 고려하여 위험도 산정
□ 기술적, 관리적 개선방안 제시
○
관련 법령, 지침 등을 반영한 기술적, 관리적 개선방안 도출
○
개인정보 침해사고 예방을 위한 안전한 개인정보 처리 방법, 기술적 보호 조치 등 개선방안 수립 및 제시
□ 영향평가서 및 요약본 작성
○
영향평가 수행 과정 전반(사전준비단계, 평가결과 등)을 담은 영향평가서와 이를 요약 정리한 요약본 작성
□ 개인정보 영향평가 이행점검
○
대상사업 수행사가 개인정보 영향평가 결과 및 개선계획에 따라 필요한 사항을 반영하였는지 이행실적 점검․확인
□ 개인정보 영향평가 수행안내서(2025.10., 개인정보보호위원회)에 따른 개인정보 영향평가 수행
○
주요 수행 범위
- 개인정보 영향평가 대상 업무
대상 정보시스템
개인정보파일 및 업무
비 고
통합위험선별
수출신고서 등
세부내용은 영향평가 과정에서 확인
○
개인정보 영향평가 평가영역 및 세부분야
평가영역
평가분야
세부 분야
I.
개인정보보호
1.1 개인정보 보호 조직
개인정보보호책임자의 지정
개인정보보호책임자 역할수행
1.2 개인정보 보호 계획
내부관리계획 수립
개인정보보호 연간계획 수립
1.3 개인정보 침해대응
침해사고 신고 방법 안내
유출사고 대응
1.4 정보주체권리보장
정보주체 권리보장 절차 수립
정보주체 권리보장 방법 안내
II.
2.1 개인정보취급자 관리
개인정보취급자 지정
개인정보취급자 관리ㆍ감독
2.2 개인정보파일 관리
개인정보파일대장 관리
개인정보파일 등록
2.3 개인정보처리방침
개인정보처리방침의 공개
개인정보처리방침의 작성
2.4
공공시스템 내부 관리계획
공공시스템 내부 관리계획 수립
III.
개인정보
3.1 수집
개인정보 수집의 적합성
동의 받는 방법의 적절성
3.2 보유
보유기간 산정
3.3이용ㆍ제공
개인정보 제공의 적합성
목적 외 이용ㆍ제공 제한
제공시 안전성 확보
3.4 위탁
위탁사실 공개
위탁 계약
수탁사 관리ㆍ감독
3.5 파기
파기 계획 수립
분리보관 계획 수립
파기대장 작성
IV.
4.1 접근권한 관리
계정 관리
인증 관리
권한 관리
4.2 접근통제
접근통제 조치
인터넷 홈페이지 보호조치
업무용 모바일기기 보호조치
4.3 개인정보의 암호화
저장시 암호화
전송시 암호화
4.4
접속기록의 보관 및 점검
접속기록 보관
접속기록 점검
접속기록 보관 및 백업
4.5 악성프로그램 등 방지
백신 설치 및 운영
보안업데이트 적용
4.6 물리적 접근방지
출입통제 절차 수립
반출ㆍ입 통제 절차 수립
4.7 개인정보의 파기
안전한 파기
4.8 기타 기술적 보호조치
개발 환경 통제
개인정보처리화면 보안
출력시 보호조치
4.9개인정보처리구역보호
보호구역지정
V.
5.1
고정형 영상정보 처리기기
고정형 영상정보 처리기기 설치 운영계획 수립
고정형 영상정보 처리기기설치시 의견수렴
고정형 영상정보 처리기기 설치 안내
고정형 영상정보 처리기기 사용 제한
고정형 영상정보 처리기기 설치 및 관리에 대한 위탁
5.2
이동형 영상정보 처리기기
영상정보 촬영 및 안내
영상정보 촬영 사용제한
영상정보 촬영 및 관리에 대한 위탁
5.3 생체인식정보
원본정보 보관시 보호조치
5.4 위치정보
개인위치정보 수집 동의
개인위치정보 제공시 안내사항
5.5 가명정보
가명정보의 처리
가명정보의 안전조치의무 등
5.6 자동화된 결정
자동화된 결정에 대한 정보주체의 권리 등
5.7 인공지능(AI)
AI 시스템 학습 및 개발
AI 시스템 운영 및 관리
※
현황분석에 따라 제외되는 평가항목은
발주기관과 협의하여 제외 등 조정할 수 있음
2. 사업 추진계획
가. 추진체계
□ 추진체계도
사업추진 총괄
관세청 관세국경위험관리센터장
실무 총괄
대상사업
수행업체
개인정보영향평가
수행기관
관세국경위험관리
센터 담당자 등
시스템 개발업체
개인정보영향평가 수행기관
□ 추진주체별 역할
조직명
주요 역할
사업추진 총괄
▪개인정보영향평가 추진 총괄
▪개인정보영향평가에 따른 중요 의사결정
실무 총괄
▪개인정보영형평가 실무적인 관리 및 중요사항 보고
▪개인정보영향평가 위한 제반 행정사항의 관리
대상사업
수행업체
▪개인정보영향평가 관련 요청자료 제공, 업무설명 등 협조
▪개인정보영향평가 개선방안 이행
개인정보영향평가
수행기관
▪개인정보영향평가 계획수립, 자료수집 및 분석, 개선계획 수립,
영향평가서 작성 등 영향평가 수행
▪개인정보영향평가 개선방안 이행 점검 등
나. 추진일정
구분
추진일정
M
M+1
M+2
1. 개인정보 영향평가 수행
- 착수 및 계획수립
- 자료 수집
-
개인정보 흐름 및 침해요인 분석
- 개선계획 수립
- 영향평가서 작성
2.
개인정보영향평가 이행
- 개선방안 이행
- 이행 점검
- 최종 완료보고
* 상기 추진일정은 대상사업의 추진일정에 따라 추후 변경될 수 있음
3. 과업지시 내용
가. 개인정보 영향평가 대상 사업
□
사업 개요
○
사업명:
2026년 인공지능 기반 통합위험선별 모델 개발
○
사업기간:
2026.6.8. ∼ 2027.1.4.
□ 사업 주요 내용
○
학습데이터 구축
-
수출입 등 내외부 데이터를 수집하여 데이터 정제, 라벨링, 학습 데이터셋 구성, 품질 분석 등 절차를 통해 모델 학습에 적합한 데이터 구축
○
스케줄 기반 자동화 학습기능 및 AI 선별모델 개발
- 주기적으로 데이터 수집, 데이터 전처리, 모델 학습, 성능지표 생성 등 자동화 학습하는 기능 개발
-
머신러닝 및 딥러닝 알고리즘을 단독 또는 혼합하여 3개 이상의 AI 선별 모델
후보군 생성, 학습 후 성능평가 등 비교를 통해 최종 모델 결정 및 개발
○
AI 선별모델 관리기능 개발
- 임계치 조정, 선별량 제어, 모델 저장, 배포 등 관리 기능 개발
○
AI 실시간 AI 선별기능 개발
-
AI 선별모델을 활용하여 수출통관 시 우범성을 실시간으로 예측하는
기능 개발
○
AI 선별 건 동적 착안사항 개발
-
AI 선별 결과와 판단근거(주요 기여 요인 등) 결과 내용을 설명하는
동적 착안 사항을 제공하는 기능 개발
○
업무현황 통계 관리기능 개발
- 각종 현황에 대한 통계자료를 항목별, 기간별(연도별, 월별, 일별) 등으로 조회할 수 있는 기능 개발
나. 상세 지시사항
□ 지시사항 요약
수행활동 (분류기준)
고유번호
개수
개인정보 영향평가 요구사항
(
P
rivacy impact
A
ssessment
R
equirement)
PAR
7
보안 요구사항
(
SE
curity
R
equirement)
SER
11
제약사항
(
CO
nstraint
R
equirement)
COR
2
프로젝트 관리 요구사항
(
P
roject
M
anagement
R
equirement)
PMR
12
프로젝트 지원 요구사항
(
P
roject
S
upport
R
equirement)
PSR
2
합 계
34
□
지시사항 목록표
순번
구분
요구사항
고유번호
요구사항 명칭
1
개인정보
영향평가
PAR-001
개인정보 영향평가 일반사항
2
PAR-002
개인정보 영향평가 자료 분석
3
PAR-003
개인정보 흐름 분석
4
PAR-004
개인정보 침해요인 분석
5
PAR-005
개선계획 수립
6
PAR-006
개인정보 영향평가서 작성
7
PAR-007
개인정보 영향평가 이행 점검
8
보안
SER-001
정보보안 계획 수립 및 실행
9
SER-002
외부PC 반입
10
SER-003
사업관련 자료 보안방안
11
SER-004
PC 보안관리
12
SER-005
관리적 보안
13
SER-006
물리적 보안
14
SER-007
개인정보처리 위탁 업무 계약 체결
15
SER-008
스마트 기기에 대한 보안 조치 의무 시행
16
SER-009
정보보안 관리 실태 평가 등 지원
17
SER-010
참여인력 보안서약 및 책임
18
SER-011
시건장치
19
제약사항
COR-001
관련 법률 및 규정 준수
20
COR-002
기타 사업 추진과 관련된 표준 준수
21
프로젝트관리
PMR-001
사업수행조직
22
PMR-002
일정 관리
23
PMR-003
정기 및 비정기 보고와 위험관리 방안 제시
24
PMR-004
인력교체
25
PMR-005
지원 및 자문 조직의 구성
26
PMR-006
정보화사업관리시스템을 이용한 사업관리
27
PMR-007
정보화관리 교육 이수 의무 준수
28
PMR-008
일정계획
29
PMR-009
검사
30
PMR-010
신원조사
31
PMR-011
보고서 제출
32
PMR-012
작업장소 상호 협의
33
프로젝트지원
PSR-001
개인정보 영향평가 교육
34
PSR-002
하자보수 일반
※
요구사항에 기술되는 각종「지침·고시 등 관련규정」은 기술내용과 상관없이 가장 최근 것을 준용함
1)
개인정보 영향평가 요구사항(Privacy impact Assessment Requirement)
지시사항 분류
개인정보 영향평가
지시사항 고유번호
PAR-001
지시사항 명칭
개인정보 영향평가 일반사항
지시사항상세설명
정의
개인정보 영향평가에 관한 일반사항
세부내용
ㅇ
사업범위에 해당되는 개인정보 처리 시스템을 대상으로 영향평가 수행
ㅇ
관리적⋅기술적 보호조치 적정성 및 법적 의무사항 준수여부 등 확인
ㅇ
“개인정보 영향평가에 관한 고시” 및 “개인정보 영향평가 수행 안내서”
등을 준용하여 사업 수행
ㅇ
개인정보보호 관리체계의 적정성 분석과 개선방안 수립
-
기관의 개인정보보호 조직, 개인정보보호 추진계획, 개인정보 보호 방침, 개인정보 위탁 및 제공 시 안전조치, 개인정보 침해대응, 개인정보 처리구역 보호 등의 분석 및 개선방안 제시
- 대상시스템의 개인정보 취급자, 취급 내용, 보유기간 등의 적정성 및 개선방안 제시
ㅇ
개인정보 처리단계별 보호의 적정성 분석 및 조치방안 마련
-
개인정보 수집, 저장 및 보유, 이용 및 연계․제공, 파기단계에 이르는
각 단계별 보호조치의 적정성 분석
ㅇ
개인정보보호 점검결과에 따른 개선방안 및 후속조치방안 마련
- 개인정보보호 관련 법규 위반사항에 대한 개선방안 마련 등
- 개인정보영향평가 결과에 따른 시스템 개선방안 도출
산출정보
개인정보 영향평가 수행계획서 등
관련 지시사항
지시사항 분류
개인정보 영향평가
지시사항 고유번호
PAR-002
지시사항 명칭
개인정보 영향평가 자료 분석
지시사항상세설명
정의
개인정보 영향평가를 위한 자료 수집 및 분석에 관한 사항
세부내용
ㅇ 제안사는 기관 내∙외부 개인정보 보호 정책 환경과 개인정보 영향평가 대상 사업 관련 자료를 수집하고 분석하여야 함
개인정보보호 관련 법률·고시·수행안내서 등에 준하여 수집 및 분석
-
기관 내부 개인정보 보호 체계, 규정, 개인정보 보호 정책, 정보시스템을
통해 수집되는 개인정보 양과 범위, 정보시스템 구조와 연계 정보 등
※ 개인정보보호 관련 법규 준수 여부 평가(법령, 지침, 가이드라인, 훈령 등)
대상 시스템 관련 자료 분석: 추진배경, 추진목표, 사업 개요 및 화면 설계서, 인터페이스 정의서, 메뉴 구조도 등에 대한 검토 분석
산출정보
개인정보 영향평가 결과보고서(평가 자료 분석서)
관련 지시사항
지시사항 분류
개인정보 영향평가
지시사항 고유번호
PAR-003
지시사항 명칭
개인정보 흐름 분석
지시사항상세설명
정의
정보시스템 내 개인정보 흐름 분석에 관한 사항
세부내용
ㅇ
제안사는 개인정보 영향평가 대상 시스템의 개인정보 처리 업무별 개인정보 영향도를 평가하여야 함
ㅇ
제안사는 개인정보 수집, 연계, 저장, 이용, 파기 등 개인정보 처리 업무의 개인정보 흐름을 분석하고, 개인정보 처리 현황을 명확하게 알 수 있도록 흐름표와 흐름도를 작성하여야 함
ㅇ
제안사는 개인정보 처리 시스템과 내∙외부 연계 시스템 등 관련 인프라
구성 현황을 파악하여 개인정보 처리 시스템에 대한 보호 대책의
적정성을 검토하고 효과적인 침해 요인 분석 및 위험도 산정이 가능
하도록 정보보호 시스템 목록을 작성하여야 함
산출정보
개인정보 영향평가 결과보고서(개인정보 흐름표, 흐름도)
관련 지시사항
지시사항 분류
개인정보 영향평가
지시사항 고유번호
PAR-004
지시사항 명칭
개인정보 침해요인 분석
지시사항상세설명
정의
개인정보 침해요인 분석에 관한 사항
세부내용
ㅇ
제안사는 개인정보 보호 조치사항을 파악하여 침해요인을 분석하기 위한 평가항목, 기준 등을 수립하여야 함
ㅇ
제안사는 개인정보 흐름 분석, 개인정보 보호 조치 현황에 대한 평가를
기반으로 개인정보 침해요인을 분석하여야 함
- 침해요인은 유사 침해사고 사례, 대상 시스템과 업무의 특성을 반영하여 작성, 법률 위반 사항에 대해서는 별도 표기 필요
ㅇ
개인정보 처리 업무의 중요도(개인정보 영향도), 침해요인 발생 가능성,
법률에 규정된 의무사항 등을 종합적으로 고려하여 위험도를 산정하여야 함
산출정보
개인정보 영향평가 결과보고서(침해요인 목록, 위험도 산정 결과)
관련 지시사항
지시사항 분류
개인정보 영향평가
지시사항 고유번호
PAR-005
지시사항 명칭
개선계획 수립
지시사항상세설명
정의
개선계획 수립에 관한 사항
세부내용
ㅇ
제안사는 개인정보 침해요인을 제거하기 위한 개선방안을 제시하여야 함
-
개선방안은 위험도의 우선순위에 따라 발주기관이 수용 가능한 수준을
정하여 단기, 중∙장기로 구분하여 구체적으로 제시
-
발주기관 및 개인정보 영향평가 대상 시스템 환경을 고려한 최적의
개선방안을 상세하게 제시
ㅇ
제안사는 도출된 개선방안을 토대로 발주기관의 예산, 인력, 사업 일정 등을 고려하여 개선계획을 수립하여야 함
- 위험평가 결과를 참고하여 위험도가 높은 순서의 개선방안을 먼저 실행하는 방향으로 개선계획표 작성
-
발주기관에서 개선계획 이행 시 즉시 활용할 수 있도록 구체적이고
효과적인 방안을 제시하되, 과제 이행이 도움이 되는 관련 사례가 있는 경우 함께 제시
ㅇ
제안사는 개인정보보호위원회 집중관리시스템에 적용되는 법령을 검토하여 개선계획을 수립 및 지원방안 제시
-
사업 수행과정 및 종료 이후에 필요한 기술사항 및 지원방안, 계획 등 제시
산출정보
개인정보 영향평가 결과보고서(개선계획표, 개선계획서)
관련 지시사항
지시사항 분류
개인정보 영향평가
지시사항 고유번호
PAR-006
지시사항 명칭
개인정보 영향평가서 작성
지시사항상세설명
정의
개인정보 영향평가서 작성에 관한 사항
세부내용
ㅇ
제안사는 개인정보 영향평가의 모든 과정에서 생산한 산출물을 종합
정리하여 개인정보 영향평가
보고서를 작성하여야 함
- 「개인정보 영향평가에 관한 고시」 별지 제12호 서식에 따라 ‘개인정보 영향평가서 개요’를 작성하여 영향평가서에 포함하여야 함
- 개인정보 영향평가서 외에 요약본을 반드시 작성하여야 함
- 잔존 위험이나, 이해관계자 간의 의견충돌이 있는 경우 발주자와의 협의 및 공식 의사결정 과정을 거쳐 개인정보보호 목표수준을 설정하여야 함
- 영향평가서는 발주자의 최종 검토‧승인을 거쳐 제출하여야 함
- 개인정보보호종합지원시스템(intra.privacy.go.kr)에 보고서 및 요약본 제출 지원
산출정보
개인정보 영향평가서 결과보고서(요약본 포함)
관련 지시사항
지시사항 분류
개인정보 영향평가
지시사항 고유번호
PAR-007
지시사항 명칭
개인정보 영향평가 이행 점검
지시사항상세설명
정의
개인정보 영향평가 이행 점검에 관한 사항
세부내용
ㅇ
대상 사업자가 협의한 일정대로 개인정보 영향평가 결과물에 대한 개선방안을 이행하였는지에 대해 이행점검을 하여야 함
ㅇ
발주자 협의에 따라 이행점검을 실시하며, 이행점검 계획, 방법 및 결과보고서를 제출하여야 함
ㅇ
이행점검 수행 방법은 제안사가 개선 요구한 사항의 반영 여부를 점검하는 등 발주자와 협의하여 진행함
산출정보
개인정보 영향평가 이행점검 결과보고서
관련 지시사항
2) 보안 요구사항(Security Requirement)
지시사항 분류
보안
지시사항 고유번호
SER-001
지시사항 명칭
정보보안 계획 수립 및 실행
지시사항상세설명
정의
정보보안 계획 및 방안 제시
세부내용
ㅇ
사업수행기간 중 보안 관련법규를 준수하고 대외 보안유지에 적극 협조하여야 함
- 사업 수행기간 중 중요 데이터 등 정보 누출에 대비하여 구체적인 정보보호계획 및 방안을 제시
ㅇ
제안업체는 보안규정 준수 대상에 대해서 관세청 정보보안업무에 관한 훈령을 숙지하고 수행해야 함
- 보안규정 준수대상 : 문서, 시스템 및 통신, 인력, 시설보안 등
- 보안규정 준수대상에 대해 보안관리 계획을 수립하고 보안상 결격사항이 없도록 조치
- 저작권 보호 방안을 제시하고, 저작권을 침해할 수 있는 S/W 및 문서를 보유하거나 본 사업을 위해 사용할 수 없음
ㅇ 기밀 유출 방지를 위한 체계 및 대책 방안 수립
- 사무실 출입관리, 문서보안관리, PC 및 파일서버 관리 등
산출정보
관련 지시사항
지시사항 분류
보안
지시사항 고유번호
SER-002
지시사항 명칭
외부PC 반입
지시사항상세설명
정의
외부 정보화 기기 반입 시 신고 및 보안 통제
세부내용
ㅇ 외부PC(노트북 등) 반입시 발주자의 보안 프로그램을 반드시 설치하여 내부 사용자 보안사항을 준수해야 함
ㅇ
사업기간 내 사용되는 모든 개발용 PC, 노트북 등 정보화기기의 사용
현황을 발주기관에 신고관리해야 함
ㅇ
사업수행사가 사용하는 노트북PC 등은 임의로 인터넷 연결을 금지함
ㅇ
정보시스템을 외부로 반출할 경우 사전에 발주기관 정보보안담당관의
통제를 받아야 함
산출정보
관련 지시사항
지시사항 분류
보안
지시사항 고유번호
SER-003
지시사항 명칭
사업관련 자료 보안방안
지시사항상세설명
정의
사업관련 자료 외부 유출 금지
세부내용
ㅇ
제안사는 사업수행과 관련한 인원, 문서, 장비, 자료 등의 보안관리 계획을 수립하여야 하며, 보안상 결격사항이 없도록 조치하여야 함
ㅇ
사업관련 자료는 인터넷 웹하드, 웹메일 등 외부에 저장 및 전송을 금지해야 함
산출정보
관련 지시사항
지시사항 분류
보안
지시사항 고유번호
SER-005
지시사항 명칭
관리적 보안
지시사항상세설명
정의
관리적 보안 개념 정의
세부내용
ㅇ 인적, 물적 자원에 대한 보안정책 및 지침을 수립 · 적용하고, 사업 참여자에 대한 초기 보안교육 및 수시 보안 진단 실시
ㅇ
사업참여 인력에 대한 보안관리는‘국가정보보안기본지침’의 정보시스템
위탁운영 보안관리 및 용역업체 보안관리(국가정보원)를 반드시 준수
ㅇ
본사업의 참여인력은 신원이 확실한 자이어야 하며, 보안 누설로 인한
법규위반 시 법에 의하여 처벌됨
ㅇ 제안사는 유지관리와 관련하여 알게 된 모든 사항에 대하여 계약
기간 전/후 및 장소를 불문하고 수요기관의 승인 없이 외부에 누설
하거나 다른 용도로 이용할 수 없으며, 이를 준수하지 아니하여 발생하는 모든 민형사상 책임은 제안사에 있음
ㅇ 보안관리 책임자를 지정하고, 프로그램 소스코드 및 관련 S/W의 유출을 방지하기 위해 디스크, USB, 출력물을 별도 관리
-
본 사업기간 중 취득한 정보 및 자료는 사업종료 후 전량 반납 또는
파기하여야 하며, 기관의 승인 없이 외부에 공개 또는 제공 금지
- 사업수행 인력을 대상으로 보안서약서 징구 및 주기적인 보안교육 실시 등 보안관리 철저
- 계약 체결 후 보안점검을 실시하고, 미흡한 부분은 즉시 시정
ㅇ 기타 보안 준수 사항
* 공유자원에 대한 접근제어가 사용권한에 따라 이루어지도록 관리
- 비밀번호 길이 및 사용주기를 제한하고 불필요한 디폴트 계정을 삭제하는 등 서버 사용자 및 비밀번호 관리
-
발주처의 요구에 따른 사용자 PC 백신 프로그램 설치, 정기적
바이러스 및 해킹도구 검사 실시
-
비공개, 대외비 자료 및 비밀자료는 전자우편으로 수·발신 금지,
인터넷 이용 시 접속 제한사이트 및 파일공유 사이트 접속금지
-
노트북 및 PC에 전원기동(CMOS) 비밀번호, 윈도우 로그인 비밀번호
, 화면보호기(10분 간격) 비밀번호를 영문자 및 숫자가 조합된 9글자 이상으로 설정하고 주기적으로 변경 실시
-
시스템이나 파일이 피해를 입더라도 최근에 백업한 시점의 내용으로
복구할 수 있는 백업정책 수립 및 실행
- 인터넷 PC에 업무자료 보관 금지
산출정보
관련 지시사항
지시사항 분류
보안
지시사항 고유번호
SER-004
지시사항 명칭
PC 보안관리
지시사항상세설명
정의
PC 보안관리 개념 정의
세부내용
ㅇ 사업자PC의 유지 관리 및 보안관리 업무 수행
- 운영체제 및 소프트웨어에 대한 최신 패치 및 업그레이드 수행
ㅇ 노트북은 시건장치가 있어야 함
ㅇ
용역업체 노트북 PC 반입시 최신 백신으로 하고 사업 종료시까지 반출 금지
-
반출시 보안담당관 통제하에 저장자료를 완전 삭제 및 승인 후 반출
ㅇ USB 등 보안대책
- “USB메모리 등 휴대용 저장매체 보안관리 지침” 준수
- 보안 USB 에이전트 설치 의무, 비인가 USB 사용금지
ㅇ 무선인터넷 차단 조치
- 개발 사무실내 무선인터넷 사용금지 및 무선인터넷 차단 조치
ㅇ 유지관리 업체 직원이 작업 시 휴대용 저장장치 소지를 금지토록 하고, 담당 공무원 입회감독 실시
산출정보
관련 지시사항
지시사항 분류
보안
지시사항 고유번호
SER-006
지시사항 명칭
물리적 보안
지시사항상세설명
정의
물리적 보안 개념 정의
세부내용
ㅇ 사업수행 장소는 관세청과 협의하여 사업수행에 지장이 없고, 시건장치와 출입통제가 가능한 공간으로 마련하여야 하며, 필요 물품은 사업자의 비용 부담으로 준비하여야 한다.
ㅇ 제안사는 사업을 수행하는 공간에 대해 관세청이 요구하는 일정
기준의 점검 기준을 충족하여야 하며, 이에 따른 정기적인 보안
점검을 실시하고 그 결과를 제출하여야 한다.
ㅇ
생성된 문서는 별도의 시건장치가 있는 공간에 안전하게 보관하여야
하며 폐기되는 문서는 반드시 문서 세단기를 이용하여 폐기하여야 한다.
ㅇ
PC 및 보조기억매체는 관세청의 보안담당관의 승인하에 반출ㆍ입하여야 한다.
ㅇ
사업 수행 시 용역업체의 PC는 관세청 내부망과 인터넷망을 반드시
분리하여 사용하여야 하며, 한 대의 PC로 2개 이상의 망을 번갈아 가며 사용할 수 없음
산출정보
관련 지시사항
지시사항 분류
보안
지시사항 고유번호
SER-007
지시사항 명칭
개인정보처리 위탁 업무 계약 체결
지시사항상세설명
정의
개인정보처리 위탁 업무 계약 체결 개념 정의
세부내용
ㅇ 개인정보보호법 및 동법 시행령에 따라 개인정보의 안정성 확보에 필요한 관리적·기술적 조치를 취해야 한다.
ㅇ
운영 사업자 및 사업 추진 시 개인정보 처리
업무가 포함되는 사업을
수행하는 경우 [붙임] ‘표준 개인정보처리 위탁
계약서’를 제출하여야 한다.
산출정보
관련 지시사항
지시사항 분류
보안
지시사항 고유번호
SER-008
지시사항 명칭
스마트 기기에 대한 보안 조치 의무 시행
지시사항상세설명
정의
스마트 기기에 대한 보안 조치 의무 사항 제시
세부내용
ㅇ
사
업 수행 투입인력 및 방문자는 소지 중인 스마트 기기를 통한 업무자
료
불법 유출을 사전에 차단하기 위한 보안스티커를 제작·부착하여야 한다.
- 출·퇴근 시 카메라 렌즈 부분에 부착하고 확인
- 사업별 관리책임자 지정 및 책임 부여, 관리 감독
ㅇ 모든 스마트 기기 카메라에 보안스티커(가로 2cm * 세로 1cm)를 아래 도안을 준수하여 제작하여 부착하여야 한다.
[보안스티커 도안]
산출정보
관련 지시사항
지시사항 분류
보안
지시사항 고유번호
SER-009
지시사항 명칭
정보보안 관리 실태 평가 등 지원
지시사항상세설명
정의
정보보안 관리 실태 평가 등 지원 개념 정의
세부내용
ㅇ 용역업체는 정보보안 관리 실태 평가를 위해 필요한 인력 및 제반사항등을 지원
ㅇ 외주용역 사업에 참여하는 업체 직원에 대해 작업수행 과정에서 취득한 기밀누설 방지를 위한 서약서 징구 및 보안교육
ㅇ 용역업체 직원이 기관 내부전산망 이용이 필요한 경우, 사업 참여
인원에 대한 사용자 계정(ID)은 하나의 그룹으로 등록하고 계정별로
정보시스템 접근권한 차등 부여
-
계정별로 부여된 접속권한은 불필요시 곧바로 권한을 해지 또는 계정 페지
ㅇ 용역업무 수행과정에서의 보안관리 실태 수시 현장점검 실시
- 휴대용 저장매체, 전산장비 무단반입, 내부자료 보관유무 확인
- 인
터넷(이메일, P2P, 메신저 등)을 통한 내부정보 무단 유출여부 확인
산출정보
관련 지시사항
요구사항 분류
보안
요구사항 고유번호
SER-010
요구사항 명칭
참여인력 보안서약 및 책임
요구사항
상세설명
정의
보안서약서 제출 및 보안 준수
세부내용
ㅇ 사업 수행 시 프로젝트 팀 내부에 정보보안 책임자 및 담당자를
정해 보안업무를 관리하도록 하고, 인력에 대한 주기적인 보안교육
등 철저한 보안관리 대책을 제시하여야 함
ㅇ
사업수행 중 인지하거나 습득하게 된 관세청 관련 지식, 제공받은 자료, 기타 산출물이 외부로 유출되지 않도록 하여야 하며, 자료
인수인계대장을 비치·관리하여야 함. 단, 부득이 자료 반출이 필요한
경우 담당공무원의 승인을 받아 발주처의 자료전송시스템을 사용하여야함 (대상정보 유출 시 국가 계약법에 따라 부정당업자 등록 처분 등 해당 법령에서 정한 규정에 의해 처벌받을 수 있으므로 주의하여야 함)
※ [별첨] ‘누출금지 대상정보’ 참고
ㅇ 본 사업을 수행하기 위해 사용하는 전산장비(PC, 모니터, 주변기기, 저장매체 등)는 사전 허가를 득하고 사용해야 하며, 임의로 반출
하거나 폐기할 수 없으며, 노트북 등 PC관련 전산장비는 반입·반출시
마다 정보보안담당관의 입회하에 악성코드 감염여부·자료 폐기 및 반출입 여부를 확인 받아야 한다.
ㅇ 본 사업에 참여하는 모든 직원은 사업수행 단계에서 별도 양식에
의한 배상책임 등이 명시된 [붙임] ‘보안서약서(용역업체 직원용)’을
제출해야 한다.
ㅇ 용역업체 대표자는 사업수행 단계에서 [붙임] ‘보안서약서(용역업체 대표용)’,
[붙임] ‘표준 개인정보처리 위탁
계약서’를 제출하여야 하며, 사업종료 단계에서는 [붙임] 보안확약서를 제출하여야 한다.
ㅇ
기타, 매월 보안점검 실시 등 관세청에서 권고하는 보안조치 사항을
준수 이행하여야 한다.
- 관세청의 보안정책을 위반하였을 경우 사업자의 보안 위규 처리 기준에 따라 위규자와 관리자에 대한 행정조치를 이행하고 보안위규에 따른 보안위약금을 관세청장에게 납부
-
제안업체는 사업수행과정에서 취득한 자료와 정보에 대해서 수행과정
중은 물론 사업완료 후에도 승인 없이 외부에 유출해서는 안됨
산출정보
관련요구사항
지시사항 분류
보안
지시사항 고유번호
SER-011
지시사항 명칭
시건장치
지시사항상세설명
정의
중요자료 및 노트북의 시건장치 부착
세부내용
ㅇ 정보시스템 사업과 관련한 중요자료 및 비공개자료는 2중 시건장치가 있는 장소에 보관하여야 함
ㅇ 노트북은 시건장치가 있어야 함
산출정보
관련 지시사항
3) 제약사항(Constraint Requirement)
지시사항 분류
제약사항
지시사항 고유번호
COR-001
지시사항 명칭
관련 법률 및 규정 준수
지시사항상세설명
정의
관련 법률 및 규정 준수 사항 정의
세부내용
ㅇ
용역수행시 관련 법률과 제반 규정을 준수하여 사업을 수행하여야 함
- 「행정기관 및 공공기관 정보시스템 구축·운영 지침(행정안전부 고시)」에 규정된 사항을 준수하여야 함
- 개인정보를 처리함에 있어 「개인정보보호법」 등 관련법규 및 규정을 준수하여야 하여야 함
ㅇ
표준운영 체계, 절차 및 보안체계, 정책 등 각종 서식에 대하여 관세청
지침이나, 기존 표준체계에 따르되, 표준이 없으면 표준 형식을 정의하고 관세청 승인을 득한 후 형식에 맞게 작성
산출정보
관련 지시사항
지시사항 분류
제약사항
지시사항 고유번호
COR-002
지시사항 명칭
기타 사업 추진과 관련된 표준 준수
지시사항상세설명
정의
기타 사업 추진과 관련된 표준 준수 사항 정의
세부내용
ㅇ
본 용역의 수행 중 불가항력적인 사유 및 부득이한 사유 등으로 당초
공정대로
시행이 어려울 경우 관세청의 승인을 얻어 공정기간을 연기
하거나 조정
ㅇ 본 용역의 수행 중 용역범위에 증감이 발생하거나 기타 관세청이 필요하다고 인정할 경우에는 상호 합의하에 사업내용을 조정
ㅇ 용역수행자는 본 과업성과의 품질을 높이고 보증하는데 최선을 다
해야 하며, 성과물의 품질 향상을 위해 관세청의 지시를 성실히 이행
산출정보
관련 지시사항
4) 프로젝트 관리 요구사항(Project Management Requirement)
지시사항 분류
프로젝트 관리
지시사항 고유번호
PMR-001
지시사항 명칭
사업수행조직
지시사항상세설명
정의
사업수행조직
개념 정의
세부내용
ㅇ
제안사는 사업의 성공적인 추진을 위해 투입될 조직 및 인원 현황을
제시하고 조직별, 작업 단위별 업무 분장 내역을 제시하여야 함
ㅇ
사업관리자(PM)는 정규 직원이어야 하며 본 사업을 총괄 할 수 있는
전문 인력이어야 함
- 가급적 공고일 기준 최근 5년 이내 개인정보 영향평가 관련 PM(사업관리자) 경험이 있어야 함
ㅇ 수행인력은 「개인정보 영향평가에 관한 고시」 제5조의 수행인력 자격 충족
ㅇ 제안사는 투입인력의 개인정보 영향평가 자격을 확인할 수 있는 서류를 제안서에 포함하여 제출
- 영향평가 자격증명은 한국인터넷진흥원에서 발급한 개인정보 영향평가전문인력 인증서(반드시 사업종료일까지 자격이 만료되지 않음을 증명할 수 있어야 함)를 제출
ㅇ 제안사
는 투입인력이 주관사업자 소속임을 증명할 수 있는 고용보험
가입사실 확인서를 제출
ㅇ 본 용역 수행에 있어 자격 미달, 근무태도 불량, 기술 능력 부족 등으로 판단될 경우에는 해당 기술 인력의 교체를 요구할 수 있으며, 사업자는 특별한 사유가 없는 한 해당 기술 인력(동급이상의 인력으로)을 즉시 교체
ㅇ
공동 수급 형태로 제안할 경우 주사업자와 부사업자 간의 업무 수행
범위 및 책임 관계를 상세히 정의하고 주 사업자의 조직 운영
방안을 제시하여야 함
ㅇ 프로젝트 추진일정(WBS)에 따른 전체 투입인력의 솔루션별, 업무분야별 수행자 및 역할투입 시점과 상주기간(투입율) 명시
ㅇ
투입된 인력은 내부 규정을 준수하여야 하고, 관세청 승인 없이
임의로 변경할 수 없음
ㅇ 모든 투입인력은 상주를 원칙으로 하며, 비상주 인력에 대해서는 투입공수에서 제외함
산출정보
사업수행계획서
관련 지시사항
지시사항 분류
프로젝트 관리
지시사항 고유번호
PMR-002
지시사항 명칭
일정 관리
지시사항상세설명
정의
일정 관리 -
사업수행계획서 제출 및 일정관리 개념 정의
세부내용
ㅇ 사업수행계획서 제출
- 법정기일 이내 제안요청서, 제안서, 협상내용 등을 기준으로 누락사항 없이 사업수행계획서를 상세하게 작성·제출 하고 착수보고를 하여야 함
ㅇ 사업 일정 관리
- 사업착수 시점부터 사업수행 진척 사항을 계획과 실적을 비교하여 주, 월간 보고를 관리도구로 보고하고 산출물을 납품하여야 함
- 주사업자의 사업관리자(PM)가 모든 일정관리 및 품질관리 수행
-
상세 일정계획은 최초 제출한 WBS를 기준으로 하며, 변경시 관세청에
사전보고 하여야 함
-
세부 활동별 요구분석, 업무범위, 추진일정, 품질관리, 의사소통관리
, 위험 및 이슈관리, 투입인력관리, 보안 관리방안 등 상세 사업관리 방안 등을 포함하여야 함
산출정보
사업수행계획서
관련 지시사항
지시사항 분류
프로젝트 관리
지시사항 고유번호
PMR-003
지시사항 명칭
정기 및 비정기 보고와 위험관리 방안 제시
지시사항상세설명
정의
정기 및 비정기 보고와 위험관리 방안 제시
세부내용
ㅇ 일정을 수립하여 해당 일정에 맞게 보고회를 실시하여야 함
- 착수, 중간, 완료, 월간, 비정기 보고회(필요시) 실시
- 주요 내용이 누락되지 않도록 작성
ㅇ
발생 가능한 위험요소들을 유형별로 구분하여 제시하고, 유형별 대처
방안을 제시하여야 함
산출정보
주간/월간 보고서, 착수/중간/완료 보고서
관련 지시사항
지시사항 분류
프로젝트 관리
지시사항 고유번호
PMR-004
지시사항 명칭
인력교체
지시사항상세설명
정의
인력교체
개념 정의
세부내용
◦
사업 착수 시 제안한 투입인력은 발주자의 동의 없이 사업자 임의로
변경할 수 없음
◦일반용역계약 특수조건 제7조(인력의 교체) 일반조건 제11조제2항(지방자치단체 일반조건 제5절 "2")에 따라 수요기관에서 기술자의 교체를 요청하거나 계약상대자의 사정으로 기술자 교체가 필요한 경우 계약상대자는 사전에 해당 용역의 이행에 필요한 자격 유무를 확인할 수 있는 서류(자격증, 이력서 등)를 수요기관에 제출하고 적격 여부를 서로 협의하여 교체 여부를 결정함. (소프트웨어사업 계약 및 관리감독에 관한 지침 제18조에 따라 '기능점수 방식 또는 서비스수준협약 방식' 산정 부분 제외)
◦인력 교체는 관세청과 사전협의 후 교체 7일전에 관세청의 승인을 받아야 하며 인수인계 기간은 7일 이상으로 함
◦
인력 교체 기간 동안 발생하는 업무의 안정화 및 품질저하 방지대책을
제시해야 하고, 인계·인수 기간 동안 교체인력에 대한 인건비는
사업자
부담으로 처리하여야 하며, 투입공수에서 제외함
◦
참여 인원 중 발주기관이 인력 교체를 요구하는 경우에는 교체하여야 함
* 인력 변경 시 정보화사업관리시스템에 변동사항을 입력해야 함
산출정보
사업수행계획서
관련 지시사항
지시사항 분류
프로젝트 관리
지시사항 고유번호
PMR-005
지시사항 명칭
지원 및 자문 조직의 구성
지시사항상세설명
정의
지원 및 자문 조직의 구성 사항 정의
세부내용
ㅇ 추진조직 외에 본 사업을 성공적으로 수행할 수 있도록 지원 또는
자문조직의 구성을 제시할 수 있으나, 수행 역할과 결과물이 명확해야
함
산출정보
사업수행계획서
관련 지시사항
지시사항 분류
프로젝트 관리
지시사항 고유번호
PMR-006
지시사항 명칭
정보화사업관리시스템을 이용한 사업관리
지시사항상세설명
정의
정보화사업관리시스템을 이용한 사업관리 방안 제시
세부내용
ㅇ
관세청의 정보시스템 사업과 관련된 모든 산출물은 정보화사업관리
시스템을 통해 관리되어야 함.
-
착수보고서(기술공정예정표 포함), 사업 산출물, 사업 관련 보고문서,
완료보고서, 월간·주간보고, 회의록 등
ㅇ
프로젝트 착수에서 종료까지의 모든 활동 내역을 관리해야 하며, 관련
산출물은 정보화사업관리시스템 운영자, 사업담당자의 승인을 득하여
관리하여야 함
산출정보
관련 지시사항
지시사항 분류
프로젝트 관리
지시사항 고유번호
PMR-007
지시사항 명칭
정보화관리 교육 이수 의무 준수
지시사항상세설명
정의
정보화관리 교육 이수 의무 준수 제시
세부내용
ㅇ 사업자는 계약 후 14일 이내 관세청 정보화관리 업무에 대한 교육과정을 이수하여야 함
-
교육신청은 사업관리자(PM)가
정보화사업 담당자
에 요청해야 함
- 정보화관리 업무 개요
- 정보화사업관리시스템 사용 방법(계정 생성 및 권한 부여)
- 관세청 정보화관리 표준 제공(표준산출물 등)
- 관세청 보안 준수 요건 등
산출정보
관련 지시사항
지시사항 분류
프로젝트 관리
지시사항 고유번호
PMR-008
지시사항 명칭
일정계획
지시사항상세설명
정의
일정계획 제시
세부내용
ㅇ
사업을 기간 내에 완수하기 위한 개발 단계별 추진일정 및 세부 활동
내용 등이 포함된 개발 일정계획을 제시하여야 함
ㅇ 일정계획을 정보화사업관리시스템이 아닌 별도 문서로 관리하는 경우 수행일정(WBS)는 계획, 소요일, 가중치, 진척율(실적/계획), 실적과 관련된 항목이 포함되어야 함
산출정보
사업수행계획서
관련 지시사항
지시사항 분류
프로젝트 관리
지시사항 고유번호
PMR-009
지시사항 명칭
검사
지시사항상세설명
정의
검사 요건
세부내용
ㅇ 검사는 완료보고서 접수일로부터 14일 이내에 실시
- 제안요청서, 제안서, 협상 결과, 계약서, 사업수행계획서 등과 일치하지 않을 경우 지체 없이 보완 후 재검사를 받아야 함
※ 해당내용을 정보화사업관리시스템에 모두 등록해야 함
산출정보
관련 지시사항
지시사항 분류
프로젝트 관리
지시사항 고유번호
PMR-010
지시사항 명칭
신원조사
지시사항상세설명
정의
신원조사 실시
세부내용
ㅇ
발주기관에서 사업자 선정 후 투입인력에
대해 신원조사를 실시할 경우 이에 응하여야 하며, 조사결과 결격사유가 없어야 함
산출정보
관련 지시사항
지시사항 분류
프로젝트 관리
지시사항 고유번호
PMR-011
지시사항 명칭
보고서 제출
지시사항상세설명
정의
보고서 제출 개념 정의
세부내용
ㅇ 착수보고서
-
용역 계약 후 프로젝트를 수행을 위한 계획, 일정 등을 명시한 착수
보고서를 투입인력별 보안서약서와 함께 계약일로부터 10일 이내에 제출하여야 함
ㅇ 사업추진 주요 산출물은 「개인정보 영향평가 수행안내서」 및 제안요청서의 산출정보 내용을 따름
ㅇ
프로젝트 관리 산출물 제출일정은 발주기관과 협의·확정 하여야 하며,
사업수행계획서에 명시(산출물명, 산출물 제출일정 포함)하여야 함
※
사업자는 과업이 완료되기 15일 전에 보고서의 초안을 발주기관에
제출하여 심의를 받고, 수정사항에 대해서는 보완토록 함
※
사업자는 보고서 작성 중에 항상 발주기관과 긴밀한 협의를 하여야 함
※ 발주기관은 계획된 성과물 이외에 과업수행의 내역을 파악할 수 있는 별도의 산출물을 요구할 수 있음
ㅇ
보고서는 발주처 승인을 득한 후 정보화사업관리시스템에 즉시 제출
하여야 함
산출정보
사업수행계획서, 주간/월간보고서, 착수보고서 등
관련 지시사항
지시사항 분류
프로젝트 관리
지시사항 고유번호
PMR-012
지시사항 명칭
작업장소 상호 협의
지시사항상세설명
정의
작업장소 상호 협의 사항 개념 정의
세부내용
ㅇ
「소프트웨어사업 계약 및 관리감독에 관한 지침」 제14조 및 「행정기관 및 공공기관 정보시스템 구축·운영 지침」 제41조에 따라 사업수행을 위하여 필요한 장소 및 설비 기타 작업환경(이하 “작업장소
등”이라고 한다)을 상호 협의하여 결정한다.
- 작업장소 상호 협의
· 제안사는 사업 수행을 위해 필요한 작업장소 등(장소, 설비, 기타
작업환경)을 상호협의하여 결정하며, 지원인력의 근무장소는 보안 등
특별한 사유가 있는 경우를 제외하고는 제안사가 달리 정할 수 있음
산출정보
관련 지시사항
5) 프로젝트 지원 요구사항(Project Support Requirement)
지시사항 분류
프로젝트 지원
지시사항 고유번호
PSR-001
지시사항 명칭
개인정보 영향평가 교육
지시사항상세설명
정의
교육지원
세부내용
ㅇ 개인정보영향평가 결과물에 대한 사항을 전문가를 통해 개인정보보호 담당자 등에게 교육을 실시하여야 함
ㅇ 사업수행기간 중 개인정보에 필요한 교육을 실시하며, 사업수행계획서에 교육계획서를 포함하여 제출하여야 함
- 교육대상: 발주기관의 사업 추진 인력 등
ㅇ 개인정보영향평가 결과물로 시스템 개발 및 향후운영 업무처리 시 유의사항을 정리하여 직원교육용 자료를 제공하여야 함
산출정보
교육계획서, 교육결과서, 교육자료 등
관련 지시사항
지시사항 분류
프로젝트 지원
지시사항 고유번호
PSR-002
지시사항 명칭
하자보수 일반
지시사항상세설명
정의
하자보수 일반에 관한 사항
세부내용
ㅇ
개인정보영향평가 결과물을 개인정보 보호위원회에 제출 후 지적된
사항에 대한 보완을 위하여 사업자는 지원체계를 제시하여야 함
개인정보보호위원회에 제출한 영향평가서에 대한 보완이 있을 경우 제안사는 추가 비용 없이 영향평가서를 보완
ㅇ
사업 완료 후 도출된 취약점 개선 완료 시까지 자문을 수행하여야 함
ㅇ 제안사는 하자보수 수행을 위한 별도 인력 확보 및 운영 방안을 제시하여야 함
산출정보
하자보수 방안 등
관련 지시사항
<붙임>
과업지시서 관련 서식
7. [붙임 7호] 청렴계약 이행 확인서
[붙임 1호] 보안서약서(용역업체 대표용)
■ 관세청 정보보안 업무에 관한 훈령 [별지 제1호 서식]
보안 서약서(용역업체 대표용)
본인은
년
월
일부로
관련 용역사업(업무)을 수행함에 있어 다음사항을 준수할 것을 엄숙히 서약합니다.
1.
본인은 관세청
사업과 관련 업부중 알게 될 일체의 내용이
직무상 기밀 사항임을 인정한다.
2. 본인은 이 기밀을 누설함이 국가안전보장 및 국가이익에 위해가 될 수
있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나
공개하지 아니한다.
3.
본인이 이 기밀을 누설하거나 관계 규정(보안위규 등)을 위반한 때에는
관련
법령 및 계약에 따라 처벌 및 불이익도 감수한다.
(다만, 부패행위 신고 및 공익신고 등의 경우 비밀준수 의무 위반에 해당하지 않음)
4.
본인은 하도급업체를 통한 사업 수행시 하도급업체로 인해 발생하는 위반사항에
대하여 연대 책임을 부담한다.
년 월 일
서 약 자 업 체 명 :
(업체 대표) 직 위 :
생 년 월 일 :
성 명 : (서명)
서약집행자 소 속 :
(담당공무원) 직 위 :
생 년 월 일 :
성 명 : (서명)
[붙임 2호] 보안서약서(용역업체 직원용)
■ 관세청 정보보안 업무에 관한 훈령 [별지 제2호 서식]
보안 서약서(용역업체 직원용)
본인(이하“나”로 칭함)은 관세청에서 발주한 계약업무를 수행함에 있어서 관세청의 IT자산 보호를 위해 아래의 사항을 성실히 준수할 것을 서약합니다.
1.
나는 관세청에서의 업무수행중 지득한 관세청의 정보(서류, 사진, 자기테이프, 전산장비 등 그 형태를
불문한다)를 기록한 각종 매체등 유형물에 대해 업무상 주의로서 신중히 사용·보관함으로써 스스로는
물론이고 타인으로 하여금 무단변조, 복사, 훼손, 분실 등이 되지 않도록 보안 하에 안전하게 관리
하겠으며 이를 오로지 계약수행을 위한 업무에 한하여 이용할 것이다.
2. 나와 관세청과의 계약과 관련된 모든 작업의 결과(보고서, 설계서, 컴퓨터 프로그램 등 그 형태를 불문한다)는 달리 정함이 없는 한 관세청의 유·무형 자산임과 동시에 그 지적재산권은 관세청에
귀속
됨을 확인하며, 관세청의 동의가 없는 한 이를 복제, 배포, 개작, 변형하거나 외부에 유출하는 등의 행위를 하지 않을 것이며, 계약 종료시 또는 관세청의 요청이 있을 경우 즉시 관세청에 반납하겠다.
3. 나는 관세청과 관련된 업무를 수행할 목적으로만 데이터 처리시설 등을 사용하겠으며, 명백히 허가받지 않은 정보나 시설에 접근하지 않겠다.
4. 나는 업무수행 목적으로 사용되는 각종 전산장비 상에 개인적인 정보나 타기관 또는 타기업 정보 및 관세청과 관련되지 않은 정보를 보관하지 않겠다.
5.
나는 관세청의 IT자산보호 및 오남용의 방지, 기타 용역업무의 원활한 수행을 위해 관세청에 적극
협조할 의무가 있음을 확인하고 같은 목적으로 관세청이 본 서약서만을 근거로
전자
메일의 송수신상태 확인은 물론 전자메일의 내용 등을 열람하고자 할 경우 이에 협조하겠다.
6. 관세청의 중요정보는 물론이고 관세청과 관련한 일체의 정보에 대하여 사전 승인 없이 이를 개별적으로 외부에 전달하거나 누설하는 것은 관세청의 대외 이미지 손상의 결과를 초래할 수 있음을 숙지하고 있으므로 절대 이와 같은 행위를 하지 않겠다.
7. 나는 관세청의 정보보안 규정을 준수할 것이다.
** 개인용 노트북 또는 PC를 이용한 인터넷 접속을 함에 있어 PC HDD내 데이터를 저장하지 않을
것이며, 최신백신을 이용 바이러스 검사 및 보안패치를 주기적으로 실시 **
위의 사항은 관세청과의 계약업무 진행 중 또는 계약관계 종료 시에도 효력이 있음을 확인하며,
만일
위 사항을 위배 시에는 관련법령에 의한 책임을 짐은 물론 관세청에 끼친 손해에 대해 지체
없이
변상, 복구할 것이며 보안위규 시 관련 법규에 따른 모든 조치와 손해배상을 감수할 것을 서약합니다.
(다만, 부패행위 신고 및 공익신고 등의 경우 비밀준수 의무 위반에 해당하지 않음.)
년 월 일
서 약 자 소 속 직 위 생년월일
직 급 성 명
(서명 또는 인)
서약집행자 소 속 직 위 생년월일
직 급 성 명
(서명 또는 인)
※
착수계 붙임서류는 행정기관 및 공공기관 정보시스템 구축·운영 지침 [별지 제5호 서식]을 준수 하되
, 보안서약서는 관세청 서식으로 갈음
[붙임 3호]
■ 개인정보보호법 제29조
◯◯ 사업 개인정보처리 위탁 계약서
관세청(또는 OO세관)(이하 “갑”이라 한다)과 △△△(이하 “을”이라 한다)는 “갑”의 개인정보 처리업무를 “을”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.
제1조 (목적)
이 계약은 “갑”이 개인정보처리업무를 “을”에게 위탁하고, “을”은 이를 승낙하여 “을”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.
제2조 (용어의 정의)
본 계약에서 별도로 정의되지 아니한 용어는「개인정보 보호법」, 같은 법 시행령 및 고시,「개인정보의 안전성 확보조치 기준」및「표준 개인정보 보호지침」에서 정의된 바에 따른다.
제3조 (위탁업무의 목적 및 범위)
“을”은 계약이 정하는 바에 따라
( )
목적으로 다음과 같은 개인정보 처리 업무를 수행한다.
1.
2.
제4조 (위탁업무 기간) 이 계약서에 의한 개인정보 처리업무의 기간은 다음과 같다.
계약 기간 : 2025년 ○월 ○일 ~ 2025년 ○월 ○일
제5조 (재위탁 제한)
① “을”은 “갑”의 사전 승낙을 얻은 경우를 제외하고 “갑”과의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.
② “을”이 다른 제3의 회사와 수탁계약을 할 경우에는 “을”은 해당 사실을 계약 체결 7일 이전에 “갑”에게 통보하고 협의하여야 한다.
제6조 (개인정보의 안전성 확보조치)
“을”은「개인정보 보호법」제23조제2항 및 제24조제3항 및 제29조, 같은 법 시행령 제21조 및 제30조, 「개인정보의 안전성 확보조치 기준」에 따라 개인정보의 안전성 확보에 필요한 기술적ㆍ관리적 조치를 취하여야 한다.
제7조 (개인정보의 처리제한)
① “을”은 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.
② “을”은 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보 보호법 시행령」 제16조 및「개인정보의 안전성 확보조치 기준」에 따라 즉시 파기하거나 “갑”에게 반납하여야 한다.
③ 제2항에 따라 “을”이 개인정보를 파기한 경우 지체없이 “갑”에게 그 결과를 통보하여야 한다.
제8조 (수탁자에 대한 관리·감독 등)
① “갑”은 “을”에 대하여 다음 각 호의 사항을 감독할 수 있으며, “을”은 특별한 사유가 없는 한 이에 응하여야 한다.
1. 개인정보의 처리 현황
2. 개인정보의 접근 또는 접속현황
3. 개인정보 접근 또는 접속 대상자
4.
목적외 이용․제공 및 재위탁 금지 준수여부
그 밖에 개인정보의 보호를 위하여 필요한 사항
② “갑”은 “을”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이행하여야 한다.
③
“갑”은 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에
( )회
“을”을 교육할 수 있으며, “을”은 이에 응하여야 한다
④
제1항에 따른 교육의 시기와 방법 등에 대해서는 “갑”은 “을”과 협의하여 시행한다.
제9조 (정보주체 권리보장)
① “을”은 정보주체의 개인정보 열람, 정정·삭제, 처리 정지 요청 등에 대응하기 위한 연락처 등 민원 창구를 마련해야 한다.
제10조 (개인정보의 파기)
① “을”은 제4조의 위탁업무기간이 종료되면 특별한 사유가 없는 한 지체 없이 개인정보를 파기하고 이를 “갑”에게 확인받아야 한다.
제11조 (손해배상)
① “을” 또는 “을”의 임직원 기타 “을”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁 받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “을” 또는 “을”의 임직원 기타 “을”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “갑” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “을”은 그 손해를 배상하여야 한다.
② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “갑”이 전부 또는 일부를 배상한 때에는 “갑”은 이를 “을”에게 구상할 수 있다.
본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “갑”과 “을”이 서명 또는 날인한 후 각 1부씩 보관한다.
2025. . .
갑
관세청(또는
OO세관)
○○시 ○○구 ○○동 ○○번지
관세청창(또는
OO세관장)
(인)
을
주식회사 OOOO
○○시 ○○구 ○○동 ○○번지
대표
OO
(인)
[붙임 4호]
■ 관세청「도급사업 안전보건관리 매뉴얼」[붙임 2호 서식]
안 전 서 약 서
업체명
사업자등록번호
주 소
소 속
직 위
성 명
직 종
○
중대재해처벌법 및 산업안전보건법 등 관련 법규 준수 철저
○ 작업의 규모와 특성을 반영한 안전보건계획 수립 및 이행
○
유해ㆍ위험요인을 파악하여 자체 위험성평가를 실시하고 개선 조치
○
재해 발생에 대처할 수 있는 비상조치계획을 수립하고 훈련 실시
○
작업 전 유해ㆍ위험 물질, 기계, 설비 등 안전점검 및 정비
○
작업 전 안전수칙을 숙지하고, 적절한 보호구 착용
○
업무특성을 반영한 안전보건교육계획 수립 및 교육 실시(일지 작성)
○
안전보건에 대한 세관의 시정요구가 있을 시 이를 이행
상기 본인은 위의 안전ㆍ보건확보 의무를 준수하고, 상기 의무를 위반하여 재해가 발생할 경우 이에 대한 책임을 질 것을 서약합니다.
202X 년 월 일
서약자(수급업체 대표, 안전관리책임자) : (인)
관세청 귀하
[붙임 5호] 보안확약서
■ 관세청 정보보안 업무에 관한 훈령 [별지 제3호 서식]
보안 확약서
본인은
년
월
일부로
관련 용역사업(업무)을 완료함에 있어 다음사항을 준수할 것을 엄숙히 확약합니다.
1. 본인은
관련 제반자료 전량 회수, 저장매체내 자료 삭제 및 사업산출물 복사본 등을 일체 보관하지 아니한다.
2. 본인은 이 기밀을 누설함이 국가안전보장 및 국가이익에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나 공개하지 아니한다.
3. 본인이 이 기밀을 누설하거나 관계 규정 위반 및 보안위규 시에는 관련 법령 및 계약에 따라 처벌 및 불이익(모든 조치 및 손해 배상 등)도 감수한다. (다만, 부패행위 신고 및 공익신고 등의 경우 비밀준수 의무 위반에 해당하지 않음.)
4. 본인은 하도급업체를 통한 사업 완료시 하도급업체로 인해 발생하는 위반사항에 대하여 연대 책임을 부담한다.
년 월 일
확 약 자 업 체 명 :
(업체 대표)
직 위 :
생 년 월 일 :
성 명 : (서명)
확약집행자 소 속 :
(담당공무원)
생 년 월 일 :
성 명 : (서명)
[붙임 6호] 수의계약 체결 제한 여부 확인서
■ 공직자의 이해충돌 방지제도 운영지침 [별지 제10호 서식]
수의계약 체결 제한 여부 확인서
• 해당하는 [ ]에 √ 표시를 합니다. (1쪽)
발주자
발주기관
발주부서
발주날짜
발주내용
[ ] 공사 [ ] 용역
[ ] 물품 [ ] 기타
수의계약 사유
계약상대자
(확인인)
성명
소속
[ ] 개인 [ ] 법인
[ ] 단체 [ ] 기타
연락처
주소
수의계약 체결 제한 확인사항
발주기관의
소속 고위공직자, 배우자, 고위공직자의
직계존속·비속
또는
생계를 같이하는 배우자의 직계존속·비속에
해당하는가?
[ ] 예 [ ] 아니오
[ ] 해당없음
②
계약 업무을 법령상·사실상 담당하는 공직자, 배우자, 공직자
의
직계존속·비속
또는
생계를 같이하는
배우자의
직계존속·비속
에 해당하는가?
[ ] 예 [ ] 아니오
[ ] 해당없음
발
주기관(산하기관)의
감독기관 소속 고위공직자, 배우자, 고
위공직자의
직
계존속·비속 또는
생계를 같이하는
배우자의 직계존속·비속
에 해당하는가?
[ ] 예 [ ] 아니오
[ ] 해당없음
발주기관(자회사)의
모회사 소속 고위공직자, 배우자,
고위공직자의
직계존속·비속
또는
생계를 같이하는
배우자의 직계존속·비속
에 해당하는가?
[ ] 예 [ ] 아니오
[ ] 해당없음
상임위원회 위원의 국회의원, 배우자, 국회의원
의
직계존속·비속 또는
생계를 같이하는
배우자의 직계존속·비속
에 해당하는가?
[ ] 예 [ ] 아니오
[ ] 해당없음
공공기관을 감사 또는 조사하는 지방의회의 의원, 배우자, 의원의 직계존속·비속
또는
생계를 같이하는
배우자의
직계존속·비속
에 해당하는가?
[ ] 예 [ ] 아니오
[ ] 해당없음
부터
까지
어느 하나에 해당하는 사람이 대표자인 법인
또는 단체
에 해당하는가?
[ ] 예 [ ] 아니오
[ ] 해당없음
부터
까지
어느 하나에 해당하는 사람과 특수한 관계의 사업자
(공직자, 배우자, 공직자의 직계존속·비속, 생계를 같이하는 배우자의 직계존속·비속이
단독으로 또는 합산하여
발행주식 총수의 100분의 30 이상,
출자지분 총수의 100분의 30 이상,
자본금 총액의 100분의 50 이상을 소유하고 있는 법인 또는 단체
)에 해당하는가?
[ ] 예 [ ] 아니오
[ ] 해당없음
「공
직
자의 이해충돌 방지법」제12조에 따른 수의계약 체결 제한에 대하여 위와 같이 확인합니다. 만약 위 사항
이 사실과 다른 경우에는 어떠한 처벌이나 불이익도 감수할 것을 서약합니다.
년 월 일
○○○○○○
계약상대자(확인인)
(서명 또는 인)
210mm×297mm[일반용지 60g/㎡(재활용품)]
[붙임 7호] 청렴계약 이행 확인서
청렴계약 이행 서약서
당사는
「
부패 없는 투명한 기업경영과 공정한 행정」
이 사회
발
전과 국가 경쟁력에 중요한 관건이 됨을 깊이 인식하며, 국제적으로도
OECD
뇌물방지
협약이 발효되었고 부패기업 및 국가에 대한 제재가 강
화되는 추세에 맞추어
청렴계약 취지에 적극 호응하여 관세청에서 시행하는
모든 공사, 물품, 용역 등의 계약
에 참여함에 있어 당사 및 하도급업체(하도급업체와 직․간접적으로 업무를 수행하는 자를 포함)임직원과
대리인은
1.
입찰가격의 유지나 특정인의 낙찰을 위한 담합을 하거나 다른
업체와
협정, 결
의, 합의하여 입찰의 자유경쟁을 부당하게 저해하는 일체의
불공정한
행위를 않겠습니다.
◦
이를 위반하여
-
경쟁입찰에 있어서 특정인의 낙찰을 위하여 담합을 주도한
것이 사실로 드러날 경우 관세청에서 발주하는 입찰에 입찰참가자격제한 처분을 받은 날로부터 2년 동안 참가하지 않겠으며
-
경쟁입찰에 있어서 입찰자간에 서로 상의하여 미리 입찰가격
을 협정하
거나
특정인의 낙찰을 위하여 담합을 한 사실이
드러날 경우 관세청이
시행하는
입찰에 입찰참가자격 제한
처분을 받은 날로부터 1년 동안
참여하지 않고
◦
위와 같이 담합 등 불공정행위를 한 사실이 드러날 경우「독점
규제 및 공정거래에관한법률
」
에 따라 공정거래위원회에 고발하여
과징금 등을 부과토록 하는데 일체의 이의를 제기하지 않겠습니다.
2.
입찰
․
계약체결 및 계약이행 과정(준공이후도 포함)에서 관계공무원에게
직․
간접적으로
금품․향응 등의 부당한 이익을 제공하지 않겠습니다
.
ㅇ
이를 위반하여
-
입
찰, 계약의 체결 또는 계약이행과 관련하여 관계공무원에게 금품
, 향응 등(친인척 등에 대한 부정한 취업 제공 포함)을
제공함으로써 입찰에 유리
하게 되어 계약이 체결되었거나 계약이행 과정에서 편의를 받아
부실하게 시공 또는 제조한 사실이 드러날 경우에는 관세청 및 관련건의 수요기관이 시행하는 입찰에 입찰참가자격 제한 처분을 받은 날로부터 2년 동안 참가하지 않겠으며
-
입찰 및 계약조건이 입찰자 및 낙찰자에게 유리하게 되도록
하거나, 계약목적물의 이행을 부실하게 할 목적으로 관계공무원
에게 금품, 향응 등을 제공한 사실이
드러날 경우에는 관세청 및 관련건의
수요기관이 시행하는 입찰에
입찰참가자격 제한 처분을 받은
날로부터 1년 동안 참가하지
않고
-
입찰, 계약체결 및 계약이행과 관련하여 관계공무원에게
금품,
향응 등을 제공한
사실이 드러날 경우에는 관세청 및 관련
건의 수요기관이 시행하는
입찰에 입찰참가자격제한 처분
을 받은 날로부터 6개월 동안
참가하지
않겠습니다.
3.
입찰, 계약체결 및 계약이행과 관련하여 관계공무원에게 금품, 향응
제공 등 부패행위와 고위공직자 및 계약담당자의 배우자 등 친인척을
대상으로 부정한 취업기회 제공 등의 이해충돌방지법을 위반한 사실이 드러날 경우에는 계약체결 이전의 경우에는 낙찰자 결정 취소, 계약이행 전에는 계약취소, 계약이행 이후에는 당해 계약의 전부 또는 일부계약을 해제 또는 해지하여도 감수하겠으며, 민․형사상 이의를 제기하지 않겠습니다.
4.
회사 임․직원이 관계 공무원에게 금품, 향응 등을 제공하거나 담합․ 불공정 행위를 하지 않도록 하는 회사윤리강령과 내부
비리 제보자에 대해서도 인사상의 불이익 조치 등 일체의 불이익처분을 하지 않는 사규를
제정토록 노력하겠습니다.
5.
회사 임․직원은 계약업무와 관련하여 수요기관의 갑질 및 부당한 요구가 있을 경우에는 관세청 감사담당관실로 신고하겠습니다.
위 청렴계약 서약은 상호신뢰를 바탕으로 한 약속으로서 반
드시 지킬 것이며, 낙찰자로 결정될 시 본 서약내용을 그대로
계약특수
조건으로 계약하여 이행하고, 입찰참가자격 제한, 계약해지 등
관세청의
조치와 관련하여
당사가 관세청을 상대로 손해배상을 청구하거나 당사를 배제하는 입찰에
관하여 민․형사상 어떠한
이의도 제기하지 않을 것을 서약합니다.
2026. .
.
서 약 자
회사명
:
대표자
: (인)
[별첨 1]
■ 관세청 정보보안 내부 규정
용역사업 보안 특약
1. 사업자는 사업수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 [별첨] ‘누출금지 대상정보’에 대한 보안관리 계획을 사업제안서에 기재하여야 하며, 해당 정보 누출 시 관세청장은 국가계약법 시행령 제76조에 따라 사업자를 부정당업체로 등록한다.
2. 사업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업 완료 후에도 이를 외부에 유출해서는 안 되며, 사업종료 시 정보보안담당자의 입회하에 완전 폐기 또는 반납해야 한다.
3. 사업자는 사업 최종 산출물에 대해 정보보안 전문가 또는 전문보안 점검도구를 활용하여 보안취약점을 점검, 도출된 취약점에 대한 개선을 완료하고 그 결과를 제출해야 한다.
4. 사업자는 관세청의 보안정책을 위반하였을 경우 [별첨] ‘사업자의 보안위반 등급별 처리기준’에 따라 위반자 및 사업관리자(PM)를 행정조치하고 [별첨] ‘보안 위약금 부과 기준’에 따라 관세청장에게 위약금을 납부한다.
5. 사업자는 하도급 계약 체결시 즉시 관세청장에게 관련사항(하도급 업체명 및 사업내용, 인원ㆍ장비ㆍ자료 등에 대한 보안조치 사항, 누출금지 대상정보 등 비밀유지 사항)을 통보하고 주기적 점검 등 보안관리를 강화하여야 하며, 하도급 업체가 관세청의 보안정책을 위반하였을 경우 사업자도 연대 책임을 진다.
* 하도급 업체 직원의 부주의 및 실수 등으로 인한 보안위규 사항에 대해서는 하도급 업체(대표)에게 위약금을 부과한다.(단, 국가계약법 시행령 제76조는 제외)
[별첨 2]
■ 관세청 정보보안 내부 규정
누출금지 대상정보
1. 기관 소유 정보시스템의 내ㆍ외부 IP주소 현황
2. 세부 정보시스템 구성현황 및 정보통신망 구성도
3. 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보
4. 정보통신망 취약점 분석·평가 결과물
5. 용역사업 결과물 및 프로그램 소스코드
6. 국가용 보안시스템 및 정보보호시스템 도입 현황
7.
침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보
8.「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서
9.「개인정보보호법」제2조제1호의 개인정보
10.
「보안업무규정」제4조의 비밀 및 동 시행규칙 제7조제3항의 대외비
11. 그 밖에 기관장이 공개가 불가하다고 판단한 자료
[별첨 3]
■ 관세청 정보보안 내부 규정
사업자 보안위반 처리기준
구 분
위 반 사 항
처 리 기 준
심 각
1. 비밀 및 대외비 급 정보 유출 및 유출시도
가. 정보
시스템에 대한 구조, 데이터베이스 등의 정보 누출
나. 개인정보·신상정보 목록 누출
다. 비공개 항공사진·공간정보 등 비공개 정보 누출
2. 정보시스템에 대한 불법적 행위
가. 시스템에 대한 해킹 또는 해킹시도
나. 시스템 내 인위적인 악성코드 유포
다. 비인가 통신망 사용(테더링, 와이파이 등)
3. 누출금지대상 정보 누출
가. 사업자 및 관련업체(하도급 및 제조사)를 포함한 누출금지대상 정보에 대한 외부 누출(수ㆍ발신)
* 완료 및 작성중인 자료 등 모든 산출물 포함
◦ 사업참여 제한
(부정당업체 등록)
◦
위반자 및 직속
감독자
등 중징계
◦
재발방지를 위한
조치계획 제출
◦
위반자 대상 특별
보안교육 실시
중 대
1. 비공개 정보 관리 소홀
가. 비공개 정보를 책상 위 등에 방치
나.
비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용
다. 개인정보ㆍ신상정보 목록을 책상 위 등에 방치
라. 기타 비공개 정보에 대한 관리소홀
2. 사무실ㆍ보호구역 보안관리 허술
가. 통제구역 출입문을 개방한 채 퇴근 등
나. 인가되지 않은 작업자의 내부 시스템 접근
다. 통제구역 내 장비·시설 등 무단 사진촬영
3. 전산정보 보호대책 부실
가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반
나.
웹하드·P2P 등 인터넷 자료공유사이트 및 메일을 사용
하여
사업관련 보고서 및 기타 자료 수ㆍ발신
다. 개발·유지보수 시 원격작업 사용
라. 업무용PC 및 파일서버 등에 저장된 비공개 정보 패스워드 미부여
마.
인터넷망 연결 PC 하드디스크에 사업 관련 정보 등을 저장
바. 외부용 PC를 업무망에 무단 연결 사용
사. 보안관련 프로그램 강제 삭제
아.
사용자 계정관리 미흡 또는 오남용(시스템 불법접근 시도 등)
자. 파일서버 내에 누출금지 대상 정보에 해당하는 자료 저장
◦
위반자 및 직속
감독자
등 중징계
◦
재발방지를 위한
조치계획 제출
◦
위반자대상 특별
보안교육 실시
구 분
위 규 사 항
처 리 기 준
보 통
1
. 기관 제공 중요정책ㆍ민감 자료 관리 소홀
가. 주요 현안ㆍ보고 자료를 책상 위 등에 방치
나.
정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용
2. 사무실 보안관리 부실
가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근
나. 출입키를 책상 위 등에 방치
3. 보호구역 관리 소홀
가. 통제ㆍ제한구역 출입문을 개방한 채 근무
나. 보호구역내 비인가자 출입허용 등 통제 미실시
4. 전산정보 보호대책 부실
가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근
나. 네이트온 등 비인가 메신저 무단 사용
다.
PC를 켜 놓거나 보조기억 매체(USB 등)를 꽂아 놓고 퇴근
라.
부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여
마. PC 비밀번호를 모니터 옆 등 외부에 노출
바.
비인가 보조기억매체 무단 사용(보안USB 에이전트 미설치)
사.
사업 수행 전 PC(노트북포함) 반입 시 미 포맷 또는 악
성
코드 감염여부 미확인
아. 사업 수행 후 PC(노트북포함) 반출 시 하드디스크 무단 포맷 실시
자. PC(노트북포함) 및 복합시 무단 반입 및 노트북 시건장치 미설치
차. 유해사이트 접속 등에 의한 악성코드 감염
카. 자료가 저장된 폴더 공유
타. 파일서버 자료 관리 미흡
◦
위반자 및 직속
감독자
경징계
◦
위반자 및 직속 감독자 사유서 / 경위서 징구
◦
위반자대상 특별
보안교육 실시
경 미
1. 업무 관련서류 관리 소홀
가. 진행 중인 업무자료를 책상 등에 방치, 퇴근
나. 복사기ㆍ인쇄기 위에 서류 방치
2. 근무자 근무상태 불량
가. 각종 보안장비 운용 미숙
나. 경보ㆍ보안장치 작동 불량
3. 전산정보 보호대책 부실
가. PC내 보안성이 검증되지 않은 프로그램 사용
나. 보안관련 소프트웨어의 주기적 점검 위반
다. OS 등 소프트웨어 최신 업데이트 미실시
라. PC(노트북포함) 및 복합기의 불필요 포트 미차단
◦
위반자
서면ㆍ구두
경고
등
문책
◦ 위반자 사유서 / 경위서 징구
[별첨 4]
■ 관세청 정보보안 내부 규정
보안 위약금 부과 기준
1. 위규 수준별로 A ∼ D 등급으로 차등 부과
구 분
위 규 수 준
A급
B급
C급
D급
위 규
심각 1건
중대 1건
보통 2건 이상
경미 3건 이상
위약금
부정당업체 등록
건당 5백만원
2건당 3백만원
3건당 1백만원
* 위규 수준은 [별첨] ‘사업자 보안 위반 처리기준’ 참고
**
경미한 위규 수준 중에서 ‘3.다.항’과 ‘3.라.항’은 두 항목을 합한 위반자
10명을 1건으로 산정한다.
***
보통 3건과 경미 5건의 위규사항이 최초로 발생한 경우 위약금은 4백만원
(보통 2건 3백만원 + 경미 3건 1백만원)이 되며, 나머지 보통 1건과 경미 2건은 계약기간 이내에 위규사항이 발생할 경우 누적 합산하여 위약금을 부과한다.
2.
위약금은 다른 요인에 의해 상쇄, 삭감이 되지 않도록 부과하여야 한다.
* 보
안사고는 1회의 사고만으로도 그 파급력이 큰 것을 감안하여 타 항목과 별도 부과
3. 위약금은 위규사항 발생시 부과하거나 사업 종료 시 지출금액 조정을 통해 정산한다.
4.
위약금은 위규자의 사업자(하도급 업체 포함)에게 부과한다.
[별첨 5]
○○○○ 위탁 용역 수탁자 교육
○ 교육일자 :
○ 교육장소 :
○ 교육대상(업체 직원)
- 소속(업체명) :
- 직급 :
- 성명 : (서명)
○ 교육내용 : 다음과 같음
수탁업체
개인정보 보호 준수 사항
※ 위탁자 : 개인정보 처리 업무를 위탁하는 개인정보처리자(기관)
※ 수탁자 : 개인정보 처리 업무를 위탁받아 개인정보를 처리하는 자(업체)
1
「개인정보 보호법」조항 준용
가.
수탁자에 관하여는 제15조부터 제18조까지, 제21조, 제22조, 제22조의2, 제23조, 제24조, 제24조의2, 제25조, 제25조의2, 제27조, 제28조, 제28조의2부터 제28조의5까지, 제28조의7부터 제28조의11까지, 제29조, 제30조, 제30조의2, 제31조, 제33조, 제34조, 제34조의2, 제35조, 제35조의2, 제36조, 제37조, 제37조의2, 제38조, 제59조, 제63조, 제63조의2 및 제64조의2를 준용한다(법 제26조제8항)
◦ 수탁자 또한 개인정보 보호법 적용 대상에 해당되나 수탁자의 의무를 명확히하기 위하여 별도의 조문으로 관련 규정이 준용됨을 명시
2
개인정보 처리 현황 및 안전성 점검
가. 위탁받은 개인정보를 보호하기 위하여 「개인정보 보호법」제29조 및 동법
시행령
제30조, ｢개인정보의 안전성 확보조치 기준 고시｣에 따른 관리적･기술적･물리적
조치 철저
나. 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유
하고 있는 개인정보를 「개인정보 보호법」시행령 제16조의 방법에 따라 즉시 파기
하거나 위탁자에게 반납
다. 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설 금지(법 제26조제5항)
라. 위탁자의 사전 승낙을 얻은 경우를 제외하고 계약상의 권리와 의무의 전부
또는 일부를 제3자에게 양도하거나 재위탁 금지
마. 위탁자는 수탁자에 대하여 다음 각 호의 사항을 관리하도록 요구하거나
실태를 점검하여 시정을 요구할 수 있으며, 수탁자는 특별한 사유가 없는 한
이를 이행하여야 함
◦ 개인정보 처리자 및 처리현황
◦ 개인정보시스템 접근 또는 접속 기록
◦ 목적외 이용ㆍ제공 및 재위탁 금지 준수여부
◦ 암호화 등 안전성 확보조치 이행여부
◦ 그 밖에 개인정보의 보호를 위하여 필요한 사항
3
개인정보 처리방침 수립ㆍ공개
※ 개인정보 보호법 제30조 및 동법시행령 제31조
가. 개인정보 처리방침의 수립ㆍ공개 의무
◦ 개인정보처리자는 법 제30조 제1항에 따라 개인정보 처리방침을 수립하여야 하며, 개인정보처리의 위탁에 관한 사항이 있는 경우 이를 포함
◦ 개인정보 처리방침의 수립 또는 변경 시에는 정보주체가 쉽게 확인할 수 있도록 이를 공개
나. 개인정보 처리방침의 내용
◦ 개인정보 처리 목적
◦ 개인정보 처리 및 보유 기간
◦ 개인정보의 제3자 제공에 관한 사항(해당되는 경우에만 정한다)
◦ 개인정보의 파기절차 및 파기방법(법 제21조제1항 단서에 따라 개인정보를 보존하여야 하는 경우에는 그 보존근거와 보존하는 개인정보 항목을 포함한다)
◦ 제23조제3항에 따른 민감정보의 공개 가능성 및 비공개를 선택하는 방법(해당되는 경우에만 정한다)
◦ 개인정보처리의 위탁에 관한 사항(해당되는 경우에만 정한다)
◦ 제28조의2 및 제28조의3에 따른 가명정보의 처리 등에 관한 사항(해당되는 경우에만 정한다)
◦ 정보주체와 법정대리인의 권리ㆍ의무 및 그 행사방법에 관한 사항
◦ 법 제31조에 따른 개인정보 보호책임자의 성명 또는 개인정보 보호업무 및 관련고충을 처리하는 부서의 명칭과 전화번호 등 연락처
◦ 인터넷 접속정보파일 등 개인정보를 자동으로 수집하는 장치의 설치·운영 및 그 거부에 관한 사항(해당하는 경우에만 정함)
◦ 처리하는 개인정보 항목
◦ 개인정보 파기에 관한 사항
◦ 시행령 제30조에 따른 개인정보의 안전성 확보 조치에 관한 사항
다. 개인정보 처리방침 공개 방법
◦ 수립ㆍ변경한 개인정보 처리방침을 개인정보처리자의 인터넷 홈페이지에 지속적으로 게재
◦ 인터넷 홈페이지에 게재할 수 없는 경우(택1)
- 개인정보처리자의 사업장 등의 보기 쉬운 장소에 게시하는 방법
- 관보(개인정보처리자가 공공기관인 경우에만 해당)나 개인정보처리자의 사업장등이 있는 시·도 이상의 지역을 주된 보급지역으로 하는 「신문 등의 진흥에 관한 법률」제2조제1호 가목·
다목 및 같은 조 제2호에 따른 일반일간신문, 일반주간신문 또는 인터넷
신문에 싣는 방법
- 같은 제목으로 연 2회 이상 발행하여 정보주체에게 배포하는 간행물·소식지·홍보지 또는 청구서 등에 지속적으로 싣는 방법
- 재화나 서비스를 제공하기 위하여 개인정보처리자와 정보주체가 작성한 계약서 등에 실어 정보주체에게 발급하는 방법
4
개인정보 안전성 확보 조치
※ 개인정보보호법 제29조, 동법 시행령 제30조 및 개인정보의 안전성 확보조치
기준 고시에 따라 개인정보가 분실·도난·유출·
변조·훼손되지 않도록 안전성 확보에 필요한 관리적·기술적·물리적 조치를 취하여야 함
가. 관리적 조치
◦ 내부관리계획 수립ㆍ시행(고시 제4조)
- 취급하는 개인정보의 안전성을 확보하기 위하여 내부관리계획을 수립하고,
위탁 받은 개인정보 관련 모든 임직원 및 관련자에게 알림으로써 이를 준수할 수 있도록 하여야함
나. 기술적 조치
◦ 접근 권한 관리(고시 제5조)
- 위탁받은 개인정보처리시스템에 대하여 업무 목적 외 불필요한 접근을
최소화하고, 인사 이동 발생시 인가되지 않는 접근을 차단하기 위해 업무
범위별로 권한은 차등 부여되어야 하며 퇴사자 등 권한에 대한 변동 발생시 지체없이 권한 변경 및 계정 삭제
- 개인정보 처리시스템에 접속할 수 있는 사용자 계정은 취급자 별로 발급하여야하며, 다른 개인정보 취급자와 공유되지 않도록 한다
◦ 비밀번호 관리(고시 제5조)
- 안전하지 못한 비밀번호를 사용할 경우 정보가 노출될 위험이 있으므로
숫자와 영문자, 특수문자 등을 혼합하여 9자리 이상으로 정하고, 분기별로
1회 이상 주기적으로 변경, 5회 이상 오입력 시 접근 제한
◦ 접근통제(고시 제6조)
- 개인정보처리시스템에 대한 접속 권한을 IP주소 등으로 제한하여 인가받지 않은 접근을 제한하여야하며, 접속한 IP주소 등을 분석하여 개인정보 유출 시도 탐지 및 대응
-
개인정보취급자가 정보통신망을 통해 외부에서 개인정보처리시스템에 접속하려는 경우 가상사설망 등 안전한 접속수단 또는 인증수단을 적용
- 개인정보취급자의 컴퓨터는 P2P프로그램ㆍ웹하드ㆍ공유 폴더 사용 금지
- 개인정보취급자가 일정시간 이상 업무처리를 하지 않는 경우에는 자동으로 접속 차단 필요
◦ 개인정보 암호화(고시 제7조)
- 암호화 대상 : 고유식별정보(주민번호, 여권번호, 운전면허번호, 외국인등록번호), 비밀번호, 생체인식 정보
- 개인정보를 암호화할 때에는 안전한 암호화 알고리즘을 사용
※ 양방향 : AES-128/192/256 등, 일방향 : SHA-256/512 등
- 비밀번호, 생체인식정보는 일방향 암호화하여 복호화되지 않도록 한다
◦ 접속기록의 보관 및 위변조 방지(고시 제8조)
- 개인정보처리시스템 접속기록은 최소 1년 이상 보관·관리하여야 한다. 다만, 5만명 이상의 정보주체에 대한 정보를 처리하거나, 고유식별정보, 민감정보를 처리하는 경우에는 2년 이상 보관
- 개인정보처리자는 개인정보취급자의 접속기록이 위·변조 및 도난, 분실되지 않도록 해당 접속기록을 백업 등 안전하게 보관
◦ 백신소프트웨어 등 보안프로그램을 설치·운영하여야하며, 자동 업데이트 또는 일1회 이상 업데이트(고시 제9조)
다. 물리적 조치
◦ 개인정보의 안전한 보관을 위한 보관시설 및 잠금 장치(고시 제10조)
- 개인정보를 보관하고 있는 전산실, 자료보관실 등 물리적 보관장소를
별
도로 가지고 있는 경우 이에 대한 출입통제 절차를 수립ㆍ운영하고 접근
기록 보관
- 개인정보가 저장된 서류, USB, CD, 이동형 하드디스크 등은 잠금장치가 있는 안전한 장소에 보관
5
개인정보 파기
가. 개인정보 보유기간의 경과, 처리 목적 달성 등 개인정보가 불필요하게 되었을 경우에는 다른 법령에 따라 보존하여야 하는 경우 등 정당한 사유가 없는 한 그로부터 5일 이내에 개인정보를 파기하여야한다(법 제21조제1항)
◦ 개인정보가 불필요하게 된 경우(예시)
- 개인정보처리자가 당초 고지하고 동의를 받았던 보유기간의 경과
- 동의를 받거나 법령 등에서 인정된 수집·이용·제공 목적의 달성
- 회원탈퇴, 제명, 계약관계 종료, 동의철회 등에 따른 개인정보처리의 법적 근거 소멸
- 개인정보처리자의 폐업·청산
- 대금 완제일이나 채권소멸시효기간의 만료
◦ 법령에 따라 개인정보를 보존하는 경우에는 물리적 또는 기술적 방법으로 해당 개인정보 또는 개인정보파일을 다른 개인정보와 분리해서 저장·관리하고, 미파기 정보는 오로지 다른 법령에서 보존하도록 한 목적 범위 내에서만 처리
나
. 개인정보를 파기할 때에는 복구 또는 재생되지 아니하도록 조치(법 제21조제2항)
◦ 전자적 파일 형태인 경우 : 복원이 불가능한 방법으로 영구 삭제
◦ 기록물, 인쇄물, 서면, 그 밖의 기록매체인 경우 : 파쇄 또는 소각
교육 참석자 명단
소속
직급
성명
서명
[별첨 6] 관세청 표준 산출물 목록
■ 관세청 운영 내부 규정
□ 사업관리(모든 사업유형에 공통적용, 전 산출물 ‘필수’ 제출)
사업유형 : 사업관리(공통)
단계
주요활동
산출물명
단계
주요활동
산출물명
착수
착수
사업수행계획서
품질
품질보증계획수립
품질보증활동계획서
산출내역서
품질보증활동
품질보증활동결과서
완료
완료 검사요청
완료보고서
기타
기타
보안확약서
※ 완료보고서 제출 시 관련 공정에 따른 산출물은 ‘개인정보 영향평가
수행안내서(개인정보보보위원회
)’를 참고하여 주관기관에 제출하여야 하며
상세요구
사항의‘산출정보’에 해당하는 항목도 모두 제시