의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
제 안 요 청 서
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안
용 역 명
시험 용역
발주계획번호 R26DD20848673
발 주 기 관 주식회사 크레스콤
사 업 예 산 금 팔천팔십오만원 (₩80,850,000, 부가가치세 포함)
계 약 방 법 제한경쟁입찰 / 협상에 의한 계약
2026. 8. 31.
주식회사 크레스콤
- 1 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
목 차
Ⅰ. 제안요청 개요
1. 사업 개요
2. 추진 배경 및 목적
3. 사업추진 일정
4. 입찰참가 자격
Ⅱ. 과업 내용
1. 과업 대상
2. 과업 범위 총괄
3. 세부 과업 내용
4. 산출물
5. 필수 요구사항
6. 투입인력 최소 요건
7. 수행 방법
8. 과업 수행 준수사항
Ⅲ. 제안서 작성 및 제출
1. 제안요청서 교부
2. 제출 서류 (전자제출)
3. 제출 방법 및 파일 규격
4. 제안서 작성 항목
5. 작성 방법 및 유의사항
Ⅳ. 평가 방법 및 기준
1. 제안서 평가 방법
2. 평가항목 및 배점기준
3. 정량적 평가 세부기준
4. 정성적 평가 세부기준
5. 가격 평가
- 2 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
6. 협상적격자 및 낙찰자 결정
Ⅴ. 계약 일반사항
1. 계약 조건
2. 대가의 지급
3. 검수
4. 하자담보 및 유지보수
5. 비밀유지 및 개인정보 보호
6. 지식재산권
7. 기타
Ⅵ. 관련 서식
서식 제1호 ~ 제9호
- 3 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
Ⅰ. 제안요청 개요
1. 사업 개요
구 분 내 용
사 업 명 의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역
발주기관 주식회사 크레스콤 (경기도 성남시)
업무구분 일반용역
₩80,850,000 (금 팔천팔십오만원, 부가가치세 포함)
사업예산
※ 추정가격 ₩73,500,000 (부가가치세 별도)
사업기간 계약체결일로부터2027년 4월 30일까지
과업대상 MediAI-AS (모델명 MDAI-ASSP-01) 1개 품목
① 국내 사이버보안 규제대응 컨설팅 및 허가·심사 제출문서 작성
② 사이버보안 시험(취약점 점검·침투시험 등)
과업범위
③ 디지털의료기기 GMP 절차 수립 지도 및 실무자 교육 (GMP 절차 수립 방문
지도 1회, 사이버보안 개발 컨설팅 교육 및 현장 지도 사업장 방문 2회)
적용 시장 대한민국 (국내 허가·심사 대응)
조달방식 자체조달 (국가종합전자조달시스템 나라장터 이용)
제한경쟁입찰 / 협상에 의한 계약
계약방법
※ 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제43조 준용
국제입찰
비대상
대상 여부
※ 본 제안요청서는 사전규격 공개용으로, 의견수렴 결과에 따라 과업내용·예산·일정 등 일부 내용이 변경될 수
있으며 최종 내용은 입찰공고문에 따릅니다.
- 4 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
2. 추진 배경 및 목적
가. 추진 배경
○ 「디지털의료제품법」 시행에 따라 디지털의료기기에 대한 사이버보안 요구사항이 제조 및 품질관리
단계에서부터 적용됨
○ 식품의약품안전처는 「의료기기 사이버보안 허가·심사 가이드라인」을 통해 의료기기 소프트웨어의
사이버보안 관련 자료를 허가·심사 제출자료로 요구하고 있음
- 사이버보안 위험관리 문서, SBOM, 보안 요구사항 및 검증 결과, 시판 후 관리계획 등이 제출 대상
- 「디지털의료기기 제조 및 품질관리기준」에 따라 사이버보안(전자적 침해) 관련 절차 및 데이터
관리 절차의 수립·운영이 요구됨
○ 당사 제품 MediAI-AS는 인공지능 기반 의료영상 분석 소프트웨어로서, 의료기관 내 PACS 등 기존
의료정보시스템과 연동되어 환자 의료영상을 처리하므로 사이버보안 대응체계 확보가 필요함
나. 사업 목적
○ 국내 의료기기 사이버보안 규제 요구사항에 대한 당사 제품의 적합성(Gap) 진단
○ 허가·심사 제출용 사이버보안 문서의 확보
○ 취약점 진단 및 침투시험을 통한 제품 보안 수준의 객관적 검증과 조치
○ 디지털의료기기 품질관리기준에 부합하는 사이버보안 관련 절차의 사내 수립
3. 사업추진 일정
구 분 추진 일정 비 고
사전규격 공개 2026. 9. 2. ~ 9. 7. 나라장터(g2b)
입찰공고 2026. 9. 8. ~ 9. 18. 18:00 나라장터(g2b)
제안요청 설명회 미개최 제안요청서 및 공개자료 참조
질의 접수 2026. 9. 11. 18:00까지 [서식 제9호]에 의한 서면(이메일) 질의만 가능
질의 회신 2026. 9. 15. 18:00 질의자 개별 회신
제안서 제출 마감 2026. 9. 18. 18:00 전자제출(전송 완료 시각 기준), 방문·우편 접수 불가
제안서 평가 2026. 9. 28. ~ 9. 29. 제출 서류에 의한 서면 평가
협상적격자 선정 통보 2026. 9. 30. 적격자 개별 통보(탈락 별도 통보 없음)
- 5 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
구 분 추진 일정 비 고
협상적격자 선정 후 15일
협상 및 계약체결
이내
과업 착수 계약체결일
과업 완료 2027년 4월 30일까지
※ 상기 일정은 발주기관 사정에 따라 변경될 수 있으며, 변경 시 나라장터를 통해 공지합니다.
4. 입찰참가 자격
가. 공통 자격요건
○ 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제12조의 입찰참가자격을 갖춘 자
○ 입찰공고일 현재 나라장터에 입찰참가자격을 등록한 자
○ 관련 업종의 사업자등록증 및 관련 법령에 따른 등록·신고·허가를 필한 자
○ 입찰공고일 기준 최근 3년 이내 부정당업자 제재를 받고 그 제재기간 중에 있지 아니한 자
나. 제한경쟁 사유 및 제한 요건
본 용역은 의료기기 사이버보안이라는 고도의 전문성과 규제 이해도가 요구되는 분야로서, 아래
요건을 모두 충족하는 자에 한하여 입찰 참가자격을 제한함.
연번 제한 요건 입증 서류
1 정보보호 또는 의료기기 규제 관련 사업 수행 실적 보유 법인 사업자등록증, 법인등기부등본
최근 3년간 의료기기 사이버보안 문서화 또는 소프트웨어
계약서 사본 및 실적증명서
2 사이버보안(취약점 진단·모의해킹·보안컨설팅) 용역 수행실적
[서식 제6호]
3건 이상 보유
정보보호 관련 자격(정보보안기사, 정보보안산업기사, OSCP등) 자격증 사본, 재직증명서,
3
또는 동등 경력 보유 인력 1인 이상 보유 4대보험 가입자명부
【 선택 】 아래 중 1개 이상 보유
① 「정보통신기반 보호법」 제9조에 따른 정보보호 전문서비스
4 지정서 또는 인증서 사본
기업 지정
② ISO/IEC 27001 또는 ISMS(-P) 인증
5 ISO 13485(의료기기 품질경영시스템) 인증을 보유 인증서 사본
- 6 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
연번 제한 요건 입증 서류
사이버보안 시험·컨설팅을 수행하는 전담 조직을 상시 운영하며, 조직도, 재직증명서, 4대보험
6
해당 조직에 근로자 4인 이상을 보유 가입자명부
정부·지자체의 '해외규격인증획득 지원사업'에 해외규격인증획득 지원사업
7 참여기업/수행기관으로 등록·선정된 전문인력(컨설턴트 등)을 선정·등록 증빙서류
1인 이상 보유한 업체 (확인서/선정통보서 등)
※ 제한 요건 4는 사전규격 의견수렴 결과에 따라 조정될 수 있음.
※ 공동수급체 구성 불가 (단독 기관 입찰). 제한 요건은 입찰참가자 단독으로 모두 충족하여야 함.
- 7 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
Ⅱ. 과업 내용
1. 과업 대상
가. 대상 제품
제 품 명 MediAI-AS
모 델 명 MDAI-ASSP-01
제 조 자 주식회사 크레스콤 (경기도 성남시 분당구 성남대로331번길 8, 801호)
제품 분류 의료영상 분석 소프트웨어 (SaMD, Software as a Medical Device)
주요 기능 인공지능 기반 의료영상 분석 및 진단 보조
분석 서버, 관리자 웹, API, DICOM 연동 모듈
시스템 구성
※ 상세 아키텍처는 계약 후 실무 협의 시 확정
※ 본 과업의 대상은 위 1개 품목이며, 과업 종료 후 동일 유형군 내 타 제품으로의 확대 적용을 고려할 수 있도록
산출물은 재사용 가능한 형태(템플릿·절차서)로 작성되어야 함.
나. 대상 제품의 특성 (제안 시 반드시 고려하여야 할 사항)
○ 의료기기 소프트웨어(SaMD)로서, 인공지능 기반 의료영상 분석 알고리즘을 핵심 구성요소로 함
○ 의료기관 내 PACS 등 기존 의료정보시스템과 DICOM 표준 인터페이스로 연동됨
○ 환자 의료영상 및 개인식별정보를 처리하므로 「개인정보 보호법」 및 「의료법」상 요구사항이
적용됨
○ 온프레미스 설치형과 클라우드 서비스형 배포 모델이 병존함
※ 대상 제품의 상세 사양·소스코드 규모(LoC)·기술스택은 보안상 NDA를 체결한 우선협상대상자 외 열람 불가.
다. 적용 규격 및 지침
구분 규격·지침
법 령 「디지털의료제품법」 및 같은 법 시행령·시행규칙
「의료기기 사이버보안 허가·심사 가이드라인」
식약처
「디지털의료기기 제조 및 품질관리기준」
고시·지침
「의료기기 소프트웨어 허가·심사 가이드라인」
참조 표준 IEC 81001-5-1, IEC 62304, ISO 13485
- 8 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
※ 본 과업은 국내 허가·심사 대응을 범위로 하며, 해외 규제기관(FDA, EU MDR 등) 제출자료 작성은 과업 범위에
포함되지 아니함.
※ 다만 산출물은 향후 해외 인허가 확대 시 재활용이 가능하도록 국제표준에 부합하는 구조로 작성되어야 함.
2. 과업 범위 총괄
구분 과업 핵심 내용
위협모델링 및 DFD, STRIDE 기반 위협모델링(DICOM·PACS 연동 및 AI 모델
과업 1
사이버보안 위험관리 위협 포함), 위험분석·평가·통제
SBOM 구축 및 취약점 SPDX 또는 CycloneDX SBOM 생성·검증,
과업 2
관리 CISA KEV·CVSS·EPSS 기반 취약점 대조분석
SAST· SCA · DAST, 웹 · API · 서버 · DB ·클라우드 취약점 진단,
과업 3 사이버보안 시험 침투시험, DICOM 인터페이스 시험 및 퍼징 테스트, 일부
탐지항목 수동 검증
소스코드 보안약점 진단(SAST), 오픈소스 구성분석(SCA),
과업 4 취약점 진단
웹·API·서버·클라우드 진단, DAST
보완 조치 가이드 및 PoC, remediation을 포함한 조치 가이드 제공, 재점검(Re-
과업 5
재점검 test) 1회 수행, 시험결과보고서 및 조치 결과 확인서 발행
사이버보안 위험관리 보고서, SBOM 및 취약점 분석 보고서,
라벨링 보안 문서, 시판 후 사이버보안 관리계획서, 식약처
과업 6 허가·심사 제출문서 작성
「의료기기 사이버보안 허가·심사 가이드라인」 기준
사이버보안 체크리스트
사이버보안(전자적 침해)·데이터 관리·인공지능 제어조치
디지털의료기기 GMP
과업 7 절차서 및 부속 기록양식 수립, 유관 절차서 개정 지도, 사업장
절차 수립 지도
방문 지도 1회
교육 및 허가 대응
방문 교육 1일 사이버보안 개발 컨설팅 교육 및 현장 지도:
지원(사이버보안 개발
과업 8 발주기관 사업장 방문 총 2회(교재 제공), 식약처·지정
컨설팅 교육 및 현장
심사기관 보완요구 답변자료 작성 자문 1년
지도)
- 9 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
3. 세부 과업 내용
가. [과업 1] 위협모델링 및 사이버보안 위험관리
- 대상 제품의 아키텍처 분석 및 데이터 흐름도(DFD), 신뢰경계(Trust Boundary), 진입점(Entry
Point) 도출
- STRIDE 등 방법론 기반 위협모델링 수행 및 위협 시나리오 도출.
- 의료영상 분석 소프트웨어 특성을 반영한 위협 분석
· DICOM 인터페이스 및 PACS 연동 경로에 대한 위협
· 의료영상 및 분석 결과(판독 보조 결과)의 무결성 훼손 위협
· 인공지능 모델에 대한 위협 - 적대적 입력(Adversarial Input), 모델 추출, 학습데이터 유출, 모델
변조
· 온프레미스 설치형 및 클라우드 서비스형 배포 모델별 위협의 차이
- 보안 위험분석·평가 및 위험통제 방안 수립, 잔여위험(Residual Risk) 평가
나. [과업 2] SBOM 구축 및 취약점 관리
- SBOM 생성 - SPDX 2.3 이상 또는 CycloneDX 1.5 이상 표준의 기계판독 가능 파일로 제출
- 직접 의존성 및 전이 의존성(Transitive Dependency)을 모두 포함하며, 각 구성요소의
명칭·버전·공급자·라이선스·지원종료(EOL) 여부를 포함
- 바이너리 대비 완전성 검증(누락 구성요소 식별) 및 포맷 유효성 검증 수행(자동화 도구 출력물
단순 제출 불인정)
- 알려진 취약점 대조 분석 및 위험도 평가 (공개 지표 적용: CISA KEV 등재 여부, CVSS v3.1/v4.0
등급, EPSS 점수)
다. [과업 3] 사이버보안 시험, [과업 4] 취약점 진단
1) 시험 계획 수립
- 과업 1의 위협모델링 결과와 1:1로 연계하여 시험 범위·항목을 도출
도출된 위협 중 시험 대상에서 제외하는 항목은 제외 사유를 기술하여야 함
- 시험 항목별 합격기준(Pass/Fail)을 사전에 정의할 것
- 시험 환경 구성 방안 수립
- 10 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
2) 시험 수행 항목
시험 유형 주요 내용 적용 기준
소스코드 보안약점 보안약점 자동진단 및 전문가 수동 검증, 오탐 제거,
CWE Top 25 (2024)
진단(SAST) 위험도 등급 부여.
오픈소스 전이 의존성을 포함한 구성요소 식별, 알려진 SBOM 연계, NVD, CISA
구성분석(SCA) 취약점 및 라이선스 위험 분석 KEV
OWASP Top 10:2021,
웹 애플리케이션, API, 서버·OS, 데이터베이스,
취약점 진단 CIS Benchmarks
네트워크 및 클라우드 설정 취약점 진단
(Network Devices)
동적 분석(DAST) 실행 환경에서의 취약점 자동·수동 진단 OWASP Top 10:2021
시나리오 기반 모의침투(외부·내부·인증 우회 관점),
침투시험 권한상승 및 측면이동 검증, 의료영상·분석결과 NIST SP 800-115
데이터에 대한 무단 접근·변조 가능성 검증
의료 인터페이스 DICOM 인터페이스에 대한 인증·권한·무결성 검증,
시험 악성 조작 영상 입력에 대한 처리 안전성 검증.
퍼징 DICOM 파서, 영상 파일 파서 등 외부 입력
테스트(Fuzzing) 인터페이스에 대한 비정상 입력 견고성 시험.
적대적 입력(Adversarial Input)에 대한 분석 결과의
인공지능 의료기기 특화
AI 모델 보안 시험 안정성, 모델 파일·학습데이터의 접근통제 및
항목
무결성 검증
인증·인가, 암호화(전송·저장), 세션관리, 감사로그,
식약처 가이드라인의
보안기능 검증 무결성 검증, 안전한 소프트웨어 업데이트 등 보안
보안 요구항목
통제 유효성 검증
3) 시험 수행 조직
- 사이버보안 시험은 수행사의 자체 시험조직이 직접 수행함을 원칙으로 하며, 시험 수행 주체·조직
및 시험 장소를 제안서에 명시하여야 함.
- 시험 진행 상황을 발주기관이 상시 확인할 수 있는 온라인 시험현황 공유 수단을 제공할 것.
- 시험 결과에 대한 이의·불만 접수 및 처리 절차를 보유하여야 함.
- 11 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
라. [과업 5] 보완 조치 가이드 및 재점검
- 취약점 위험도 등급화: 발견된 취약점별 위험도(치명적/높음/보통/낮음) 등급화 및 조치 우선순위
제시 – 객관적 등급 산정 근거 (CVSS 등)를 함께 제시할 것
- 조치 가이드 제공: 취약점별 원인 분석 및 구체적 조치 가이드 제공
- 재점검(Re-test) 수행: 발주기관의 취약점 조치 완료 후 재점검 1회 이상 수행
- 보고서 발행: 재시험결과보고서는 식품의약품안전처 허가·심사 제출이 가능한 형식으로 영문
작성하여 발행할 것
마. [과업 6] 허가·심사 제출문서 작성
아래 문서를 식품의약품안전처 허가·심사 제출이 가능한 수준으로 작성한다.
연번 문서명 포함 내용
· 시스템 구성 및 데이터 흐름도(DFD), 신뢰경계
사이버보안 위험관리 · STRIDE 기반 위협 모델(Threat Model) 및 도출된 위협 목록
1
보고서 · 사이버보안 위험분석·평가 및 위험통제(완화책 매트릭스)
· 미해결 이상항목 평가 및 잔여위험 평가
· SBOM(SPDX 2.3 이상 또는 CycloneDX 1.5 이상 기계 판독 가능 표준)
SBOM 및 취약점 분석 · SBOM 포맷 및 바이너리 대비 완전성·유효성 검증 결과
2
보고서 · CISA KEV, CVSS, EPSS 기반 취약점 대조 분석 및 조치, 완화 결과
· 미조치 취약점의 안전성 근거 및 오픈소스 라이선스 위험 분석 결과
· 식약처 가이드라인에 따른 보안 요구사항 및 적용 통제 명세
사이버보안 요구사항
· 요구사항 - 위협 - 시험항목 간 추적성 매트릭스
3 명세 및 사이버보안
· 식약처 「의료기기 사이버보안 허가·심사 가이드라인」 적용
체크리스트
체크리스트 (요구항목별 작성 및 증빙자료 매핑)
사용자 문서(라벨링)
4 · 제품 사용설명서 등에 반영할 사이버보안 관련 사용자 안내 문서
보안 관련 문서
· 취약점 접수·대응 및 공개 절차
시판 후 사이버보안 · 보안 패치·업데이트 배포 및 고객 고지 방안
5
관리계획서 · 보안사고 대응 계획
· 사이버보안 변경의 허가 변경신고 대상 판단 기준
- 12 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
바. [과업 7] 디지털의료기기 GMP 절차 수립 지도
- 사이버보안(전자적 침해) 관련 절차 수립 지도
- AI 제어조치 관련 절차 수립 지도
- 상기 GMP 절차 수립 지도는 전문인력이 발주기관 사업장을 방문하여 1회 실시함
사. [과업 8] 교육 및 허가 대응 지원
- 당사 실무자 대상 사이버보안 교육 - 전문인력 1인 이상이 발주기관 사업장을 방문하여 총 2회
실시
- 교육 범위: 사이버보안 규제 요구사항, SBOM 추출 가이드, 기초 보안 교육, 수립된 GMP절차서
운영 방법
- 식품의약품안전처 및 지정 심사기관의 보완요구 발생 시 답변자료 작성 자문을 제공하며, 지원
유효기간은 최종 산출물 검수일로부터 1년으로 함
4. 산출물
본 과업은 별도의 착수보고·중간보고 및 산출물 분할 제출 절차를 두지 아니하며, 아래 산출물
전체를 과업 완료 시 일괄 제출하는 것으로써 수행 결과를 확인한다.
연번 산출물 주요 내용 파일 형식
DFD·신뢰경계·진입점, 위협 목록, 완화책
1 위협모델링 보고서 docx / PDF
매트릭스
2 사이버보안 위험관리 보고서 위험분석·평가·통제, 잔여위험 평가 docx / PDF
JSON 또는 XML
3 SBOM 파일 SPDX 2.3 이상 또는 CycloneDX 1.5 이상
또는 SPDX
SBOM 검증 결과, 취약점 대조 분석, 조치·완화
4 SBOM 및 취약점 분석 보고서 docx / PDF
결과, 미조치 항목 안전성 근거
시험 범위·방법·도구·수행기간·결과, 취약점
5 사이버보안 시험결과보고서 docx / PDF
목록 및 위험도
취약점 조치 가이드 및 재점검 PoC· remediation 포함 조치 가이드, 재점검
6 docx / PDF
시험결과보고서 시험결과보고서
식약처 「의료기기 사이버보안 허가·심사
7 사이버보안 체크리스트 xlsx / PDF
가이드라인」 요구항목별 작성
- 13 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
연번 산출물 주요 내용 파일 형식
시판 후 사이버보안 취약점 대응·패치관리·사고대응 절차,
10 docx / PDF
관리계획서 변경신고 판단 기준
디지털의료기기 제조 및 AI/ML 수명주기 개발 및 운영 절차서,
11 품질관리기준 별표 3, 4에 따른 거버넌스 절차서, 데이터관리 절차서, docx / xlsx
품질문서 및 기록 양식 전자적 침해행위 절차서 + 부속 양식
13 실무자 교육 PPT교재 방문 교육 교재(사업장 방문 2회분) pptx / PDF
※ 산출물은 과업 완료 시 일괄 제출함을 원칙으로 함. 다만 발주기관이 필요하다고 인정하는 경우 진행 중
작성된 산출물의 초안 제출을 요청할 수 있으며, 수행사는 이에 응하여야 함.
※ 모든 산출물은 PDF로 전자 제출하며, 별도의 인쇄본은 요구하지 아니함.
※ 산출물의 명칭 및 구성은 계약 시 협의하여 조정할 수 있으나, 항목의 누락은 인정하지 아니함.
5. 필수 요구사항 (Mandatory Requirements)
아래 항목은 본 과업의 목적 달성에 반드시 필요한 최소 요구사항으로, 제안서에 이행 방안이
명시되지 않거나 이행이 불가능함이 확인되는 경우 해당 제안은 무효로 처리할 수 있음.
연번 필수 요구사항 판단 기준
허가·심사 제출 가능 수준의 문서 산출물 제2호·제4호·제7호·제9호의 목차(안)를
M-1
작성 제안서에 첨부할 것
사이버보안 시험, 문서화, 컨설팅, 디지털 GMP 지도 등 본
용역의 모든 과업은 외주(하도급) 없이 제안사 자체 전담
전 과업의 자체(직접) 수행 하도급
M-2 조직 및 상시 인력으로 직접 수행하여야 함. 하도급을
불가
전제로 하거나 전담 조직·인력이 미비한 제안은 입찰 무효
처리함.
위협모델링과 시험항목의 추적성
M-3 위협 → 시험항목 매핑 방식이 제안서에 기술되어 있을 것
확보
자동화 도구 출력물만의 제출은 불인정. 시험소 내부
M-4 일부 탐지항목에 대한 수동 검증
수동검증에 대한 문서화된 지침이 있을 것
재점검 범위 및 시기가 제안서에 명시되어 있을 것. 별도
M-5 재점검(Re-test) 1회 포함
비용 청구 조건부 제안은 무효
- 14 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
연번 필수 요구사항 판단 기준
CISA KEV, CVSS, EPSS 등 공개 지표에 근거한 remediation
M-6 취약점 조치기준의 공개 지표 근거
가이드를 제시할 것
디지털의료기기 GMP 절차서 및 절차서 본문과 부속 기록양식을 모두 제공하는 방안이
M-7
기록양식 제공 명시되어 있을 것. 사업장 방문 지도 1회를 포함할 것
사이버보안 개발 컨설팅 방문 교육
M-8 방문교육 시 PPT 교재 제공할 것.
및 지도 2회 수행 (교재 제공)
M-9 보완요구 대응 지원 1년 무상 제공 지원 범위·기간이 제안서에 명시되어 있을 것
M-10 투입인력 최소 요건 충족 아래 6항의 요건을 모두 충족할 것
※ 본 필수 요구사항은 과업 목적 달성에 필요한 최소한의 범위로 설정한 것이며, 특정 업체를 유·불리하게 할
목적으로 설정된 것이 아님. 사전규격 공개 기간 중 이의가 있는 경우 [서식 제9호]에 의하여 의견 제출 가능.
6. 투입인력 최소 요건
최소
역할 자격 요건 비고
인원
의료기기 인허가 경력 10년 이상인 자로서, 다음 중 1개 이상을
총괄책임자 보유할 것
1 과업 전 기간 유지
① ISO 13485 또는 ISO/IEC 27001 심사원 자격 (PM)
② 의료기기 인허가(MFDS·FDA·CE 등) 획득 지도 실적 30건 이상
다음 중 2개 이상의 실적을 보유할 것
<사이버보안 문서화 및 컨설팅 / GMP 지도>
① 의료기기 사이버보안 문서화 또는 의료기기 인허가 제출문서
작성 참여 실적 5건 이상
② 의료기기 GMP 또는 ISO 13485 관련 절차서 수립·개정 수행 규제대응 총괄책임자(PM)와
1
컨설턴트 실적 보유 겸직 가능
③ ISO 13485 심사원 자격 보유
<사이버보안 시험>
① 의료기기 사이버보안 시험 수행 실적 2건 이상
② 정보보안기사 또는 정보보안산업기사 자격증 보유 및 논문 보유
③ 정보보호·정보통신·소프트웨어 관련 학사 이상 학위를 보유
- 15 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
최소
역할 자격 요건 비고
인원
정보보호 관련 자격 또는 정보보호·정보통신·소프트웨어 관련 학사
시험 총괄책임자(PM)와
1 이상 학위를 보유한 자로서, 사이버보안 시험의 계획 수립·수행
총괄책임자 겸직 불가
또는 시험 결과 검토 업무 경력 1년 이상을 보유한 자
다음 중 1개 이상을 보유할 것
대상 제품의
침투시험 ① 정보보안기사 또는 정보보안산업기사
1 설계·개발에
수행인력 ② 모의해킹·침투시험 전문 교육과정(6개월 이상) 수료
관여하지 아니한 자
③ 의료기기·소프트웨어 침투시험 수행 실적 2건 이상
다음 중 1개 이상을 보유할 것
취약점 진단 ① 정보보호·정보통신·소프트웨어 관련 학사 이상 학위 총괄책임자(PM)와
1
수행인력 ② 사이버보안 전문인력 양성과정(6개월 이상) 수료 겸직 불가
③ 정보보호 관련 자격 보유 또는 취약점 진단 수행 실적 보유
합 계 5 (겸직 적용 시 최소 4인)
※ 1인이 복수 역할을 겸임하는 경우 각 역할의 자격 요건을 모두 충족하여야 하며, 총괄책임자(PM)는 시험
총괄책임자 및 취약점 진단 수행인력과 겸직할 수 없음.
※ 투입인력의 자격·학위·전문교육 이수 및 경력은 자격증 사본, 학위증명서, 교육 수료증 사본, 재직증명서,
경력증명서로 입증하여야 하며, 미입증 인력은 요건 충족 인력에서 제외함.
7. 수행 방법
○ 본 과업은 별도의 착수보고·중간보고 및 정기 보고회를 개최하지 아니하며, 컨설팅·지도 수행
과정에서의 실무 협의로 갈음함
○ 계약체결 후 2주 이내에 실무 협의 1회를 실시하여 과업 범위, 수행 일정, 발주기관 제공 자료
목록을 확정함
○ 발주기관이 필요하다고 인정하는 경우 진행상황 협의 또는 자료 제출을 요청할 수 있으며, 수행사는
이에 응하여야 함
○ 수행 장소는 수행사 사업장을 원칙으로 하되, GMP 절차 수립 지도 및 실무자 교육은 발주기관
사업장에서 실시함
○ 총괄책임자(PM)는 과업 전 기간 동안 유지하여야 하며, 발주기관의 사전 서면 승인 없이 투입인력을
변경할 수 없음
○ 불가피한 인력 변경 시 동등 이상의 자격·경력을 보유한 인력으로 대체하여야 함
- 16 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
○ 발주기관 제공 자료: 아래 자료를 실무 협의 시 합의된 일정에 따라 제공함
- 소스코드 (SBOM 생성 및 보안약점 진단 목적. 반출이 곤란한 경우 발주기관 사업장 내에서
수행하거나 수행사 지도 하에 발주기관이 직접 수행하는 방식으로 협의)
- 소프트웨어 밸리데이션 문서, 데이터 흐름도(DFD), 시스템 구성도, 개발 문서, 운영 절차서
- 기존 품질경영시스템 문서체계 (절차서 목록 및 관련 절차서)
○ 수행사는 실무 협의 시 필요 자료의 전체 목록과 제공 희망 시점을 제시하여야 하며, 협의 이후
추가로 요청되는 자료로 인한 일정 지연은 상호 협의하여 조정함
○ 발주기관은 과업 수행을 위한 전담 담당자 1인 이상을 지정하여 과업 기간 중 참여시킴
8. 과업 수행 준수사항
○ 과업 수행 중 취득한 일체의 정보(소스코드, 아키텍처, 임상·의료데이터, 취약점 정보 등)는
비밀정보로 취급하며, 계약 종료 후에도 누설하여서는 아니 됨
○ 시험 수행 시 사전에 승인된 범위·방법·시간을 준수하여야 하며, 운영 중인 시스템에 대한 서비스
영향이 예상되는 시험은 반드시 사전 협의 후 수행
○ 발견된 취약점 정보는 조치 완료 전까지 외부에 공개하거나 제3자에게 제공할 수 없음
○ 과업 수행 중 취득한 개인정보 및 의료정보는 「개인정보 보호법」 및 관련 법령에 따라 처리하며,
과업 종료 시 복구 불가능한 방법으로 파기하고 파기확인서를 제출하여야 함
○ 과업 종료 시 제공받은 자료 일체를 반납 또는 파기하고 그 결과를 서면 확인
- 17 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
Ⅲ. 제안서 작성 및 제출
1. 제안요청서 교부
○ 입찰공고문 및 제안요청서, 관련 서식은 입찰공고일 이후 국가종합전자조달시스템
나라장터(https://www.g2b.go.kr)에서 열람·다운로드
2. 제출 서류 (전자제출)
본 용역의 제안서는 전자문서로만 제출하며, 방문·우편·USB 등 오프라인 접수는 일체 받지 아니함.
연번 제출 파일 형식 비고
① 제안서 제출 공문 [서식 제1호] PDF 대표자 직인 날인 후 스캔 또는 전자서명
② 입찰참가 신청서 [서식 제2호] PDF
표지에 업체명 기재. A4, 40페이지 이내
③ 제안서 (원본용) PDF
(표지·목차·서식류 제외)
업체 식별정보 완전 삭제본 (③과 본문
④ 제안서 (평가용) PDF
내용 동일)
⑤ 제안업체 일반현황 [서식 제3호] PDF
사업수행조직 및 투입인력 현황
⑥ PDF 개인별 이력사항 포함
[서식 제4호]
⑦ 기술인력 보유현황 [서식 제5호] PDF 자격증·재직증명서 스캔본 첨부
사업수행실적 집계표 [서식
⑧ PDF 계약서 및 실적증명서 스캔본 첨부
제6호]
청렴계약 이행 서약서 [서식
⑨ PDF 직인 날인 후 스캔
제7호]
⑩ 비밀유지 확약서 [서식 제8호] PDF 직인 날인 후 스캔
사업자등록증, 법인등기부등본,
⑪ 증빙서류 일체 PDF 표준재무제표증명(3개년), 성과공유기업
확인서, 인증서 등
⑫ 산출내역서 XLSX + PDF 우선협상대상자 선정 후
- 18 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
※ 평가용 제안서(④)에는 업체를 식별할 수 있는 어떠한 표시도 있어서는 아니 됨.
사명·로고·CI·워터마크·머리글/바닥글은 물론, 파일 속성(작성자, 회사, 최종 수정자)까지 삭제하여야 하며, 위반
시 감점 또는 무효 처리될 수 있음.
※ 각종 증명서 스캔본에는 "원본대조필" 및 사용인감을 날인한 상태로 스캔하여 제출하고, 원본은 계약체결 시
별도 제출함.
※ 입찰가격은 나라장터 전자입찰 시스템을 통한 전자투찰로 제출하며, 기술제안서 본문 및 첨부파일에 가격 관련
정보를 기재·암시할 수 없음. 위반 시 무효 처리될 수 있음.
3. 제출 방법 및 파일 규격
가. 제출 경로
○ 제안서: 국가종합전자조달시스템 나라장터(https://www.g2b.go.kr) 전자제출
○ 입찰가격: 나라장터 전자입찰 전자투찰
○ 제출 마감: 입찰공고문에 명시된 일시. 시스템 전송 완료 시각을 기준으로 하며, 마감시각 이후
도달분은 접수하지 아니함
○ 제출 완료 후 접수 여부를 담당자에게 유선으로 확인할 것을 권장함 (TEL. 031-778-8246)
나. 파일 규격
구분 기준
PDF로 제출함을 원칙으로 함. 한글(HWP) 등으로 작성한 경우 PDF로 변환하여
파일 형식
제출
파일당 30MB 이하, 전체 300MB 이하. 초과 시 분할하고 파일명 끝에 (1/2),
파일 용량
(2/2) 형식으로 표기
[연번]_[문서명]_[업체명].pdf (예: 01_제안서제출공문_○○○.pdf)
파일명 규칙
단, 평가용 제안서는 "04_제안서_평가용.pdf"로 하고 업체명을 기재하지 아니함
문서 열기·인쇄·복사 제한 등 암호 및 보안 설정 금지. 열람 불가 시 미제출로
보안 설정
간주
스캔 품질 200dpi 이상, 컬러 스캔. 날인·서명·문자가 판독 가능하여야 함
인영을 날인한 문서의 스캔본 또는 사업자 공동인증서에 의한 전자서명을 모두
날인·서명
인정. 원본은 계약체결 시 제출
압축 파일 압축 제출 시 ZIP 형식만 허용하며 암호를 설정하지 아니함
- 19 -
의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 제안요청서
※ 파일 손상, 형식 오류, 암호 설정 등으로 열람이 불가능한 경우의 책임은 제안업체에 있으며, 해당 서류는
미제출로 처리함.
※ 마감시각 전에는 재제출이 가능하며, 이 경우 최종 제출본을 유효한 제안서로 인정함. 마감 이후에는
수정·교체·보완이 불가함.
※ 전송 지연에 대비하여 마감시각보다 충분한 여유를 두고 제출할 것. 시스템 장애 발생 시 즉시 담당자에게 유선
통보하여야 하며, 통보 없이 마감시각을 경과한 경우 사유를 인정하지 아니함.
4. 제안서 작성 항목
작성 항목 작성 내용 배점 연계
· 제안요청 내용에 대한 이해 및 제안의 목적·범위·전제조건
Ⅰ. 제안 개요 제안 이해도
· 제안의 특장점 요약(Executive Summary)
· 일반현황, 주요 연혁, 조직 및 인원
Ⅱ. 제안업체 현황 · 정보보호 관련 인증·지정 보유현황 정량평가
· 유사 용역 수행실적
· 국내 의료기기 사이버보안 규제 요구사항 및 당사 제품
Ⅲ. 사업 이해 및
특성에 대한 이해 제안 이해도
추진전략
· 과업 목표 달성을 위한 추진 전략 및 방법론
· 위협모델링·보안위험관리 수행 방안
Ⅳ. 컨설팅 부문 · SBOM 구축 및 취약점 관리 방안
기술 적합성
수행방안 · 허가·심사 제출문서 작성 방안 및 산출물 목차(안)
· 디지털의료기기 GMP 절차서 수립 방안
· 시험 범위·항목·시나리오 설계 방안
· 적용 도구 및 방법론
Ⅴ. 시험 부문 수행방안 기술 적합성 · 시험환경 구성 및 리스크 최소화 방안
· 취약점 조치 가이드 (발견된 취약점에 대한 완화조치는
발주기관에서 직접 수행해야 함)
· 상세 추진일정(WBS) 및 마일스톤
· 투입인력 구성, 역할, 투입 MAN-DAY
Ⅵ. 사업관리 방안 사업수행계획
· 품질보증 및 위험관리 방안
· 보안관리 및 비밀유지 방안
Ⅶ. 지원 방안 · 과업 종료 후 기술지원 및 문의 대응 방안 사후관리
- 20 -