과 업 내 용 서

사 업 명	개인정보 영향평가 실시 및 관리체계 강화
발주기관	한국관광공사

2020. 4

목   차

I. 사업 개요

1. 사업일반	1

2. 추진배경	1

3. 사업 필요성	1

4. 사업내용	2

5. 기대효과	2

II. 사업 추진계획

1. 사업대상	3

2. 추진전략	4

3. 추진체계	4

4. 추진일정	5

III. 제안요청 내용

1. 요구사항 총괄표	6

2. 상세 요구사항	7

Ⅰ. 사업개요

1		사업일반

□ 사 업 명 : 개인정보 영향평가 실시 및 관리체계 강화

□ 사업기간 : 계약일로부터 60일

□ 소요예산 : 74,652,000원(부가세 포함)

□ 입찰방식 : 제한경쟁입찰(협상에 의한 계약)

2		추진배경

□ 개인정보 보호법 제33조에 따른 공공기관 개인정보 영향평가와 개인정보 보관·운영 시 위험요인의 분석과 개선사항 도출 의무

□ 개인정보 보호법 개정 및 행정안전부 개인정보 관리수준 진단지표 강화

3		사업 필요성

□ 공사 주요 시스템의 개인정보 다량 보유 및 보안수준 향상을 위해 개인정보 영향평가 추진

□ 개인정보 내부관리수준 강화 및 행정안전부 개인정보보호 관리수준 진단 고득점을 위해 전문 컨설팅 필요

4		사업내용 (세부 내용은 ‘Ⅲ. 제안요청 내용’ 참조)

1. 개인정보보호 영향평가 실시

○ 행정안전부 발간 개인정보 영향평가 수행 안내서를 준용한 평가 진행

2. 개인정보보호 영향평가 결과에 따른 미흡점 조치 실시

○ 개인정보 영향평가 점검결과에 따른 미흡사항 및 개선필요사항 조치방안 마련

- 조치방안은 수행주체, 수행방법 등 구체적으로 제시

3. 개인정보보호 관리체계 강화

○ 2020년 행정안전부 개인정보보호 관리수준 진단대비 준비

- 개인정보보호 관리수준 진단 매뉴얼을 준용하여 진행

○ 공사 개인정보보호 내부규정 검토 및 개정

- 데이터 3법 개정내용 반영

5		기대효과

□ 개인정보보호 수준 향상 및 대내·외 신뢰 이미지 제고

□ 체계적이고 지속적인 개인정보보호 활동가능에 따른 개인정보보호 관리 수준을 향상

□ 개인정보처리시스템에 대한 취약점 제거로 보안성 강화 및 서비스 연속성 확보

Ⅱ. 사업 추진계획

1		사업대상

□ 개인정보 영향평가

○ 대상시스템 개요

순번	시스템명	개인정보파일	사업부서 위치	시스템 위탁업체 위치
1	1330 관광불편신고센터	상담이력(텍스트)	원주	서울
		상담이력(음성)
		상담사 개인정보
2	중문골프장 홀인원시스템	골프장 예약정보	제주도	서울
		골프장 회원정보
3	유원시설 안전정보망	홈페이지 회원정보	원주	서울
		교육 수강자 정보

※ 상기 내용은 사업수행 중 변경될 수 있음(개인정보파일 추가식별 등)

□ 개인정보 관리체계 강화

○ 행정안전부 개인정보 관리수준 진단 대비 컨설팅

- 개인정보파일 수 : 20개 ~ 30개

- 개인정보처리시스템 수 : 14개

※ 상기 내용은 사업수행 중 변경될 수 있음(개인정보파일 및 개인정보처리시스템 추가식별 등)

2		추진전략

□ 컨설팅 수행

○ 개인정보 영향평가 실시

○ 개인정보보호 영향평가 결과에 따른 개선방안 안내

○ 개인정보 관리체계 강화

- 행정안전부 개인정보 관리수준 진단 대비 컨설팅

□ 컨설팅 관리

○ 사업관리 : 투입인력, 일정, 의사소통, 내ㆍ외부 위험요소 등 관리

○ 변경관리 : 업무, 기술 등 환경변화에 따른 요구사항, 투입인력 등 관리

○ 보안관리 : 사업수행 중 중요 정보가 유출되지 않도록 보안대책 강구

○ 품질관리 : 사업전반에 걸친 품질관리 이행 및 준수여부 점검

3		추진체계

□ 추진체계도

		사업총괄
		스마트관광실 (개인정보보호책임자)
실무지원		사업주관			사업수행
사업부서		스마트관광사업팀 (개인정보보호 담당부서)			용역 수행 업체

□ 추진 주체별 역할

구분	주요역할
스마트관광실	o 기본추진방향 및 주요 의사결정 o 최종결과 승인
스마트관광사업팀	o 개인정보 영향평가 및 관리체계 강화 용역 총괄 o 개인정보 현황 자료 제공 o 요구사항 정의 및 조정 o 사업관리 및 점검 업무 관련 행정처리
사업부서	o 개인정보처리부서는 현황 자료 제공 및 인터뷰 o 사업을 통한 개인정보 수집 이용 현황 제공 o 결과보고서 검토 및 의견 수렴 등 사후 개선조치
용역수행업체	o 자료 분석, 현장실사, 인터뷰를 통한 개인정보 영향평가 수행 o 개인정보보호 관리체계 강화 o 점검 결과에 따른 일제 보완·개선 방안 마련 및 실시 o 사업관련 보고, 교육지원 및 기술전수

4		추진일정

추진일정 추진내용	W	W+1	W+2	W+3	W+4	W+5	W+6	W+7
사업수행계획서 검토
개인정보 관리수준 진단수검 준비
개인정보 관리수준 진단 결과보고서 작성
영향평가 업무현황 분석
개인정보 영향평가 수행
개선계획수립 및 결과보고서검토
개인정보보호 관련 문서 개정
교육 및 컨설팅
검수 및 완료

※ 상기 추진일정은 과제별 특성에 따라 변동될 수 있음.

Ⅲ. 제안요청 내용

1		요구사항 총괄표

구 분	설명	요구사항개수
컨설팅 요구사항 (CNR: CoNsulting Requirement)	CNR-OOO	13
보안 요구사항 (SER: Security Requirement)	SER-OOO	8
제약 요구사항 (COR:COnstraint Requirement)	COR-OOO	1
프로젝트 관리 요구사항 (PMR:Project Management Requirement)	PMR-OOO	6
프로젝트 지원 요구사항 (PSR:Project Support Requirement)	PSR-OOO	1
합 계		29

※ 본 사업에서 제시한 사업조건 및 내용을 원칙적으로 준수해야 하고, 사업 내용이 변경될 경우 과업변경절차에 따라 상호 협의하여 결정

2		상세 요구사항

□ 컨설팅 요구사항(Consulting Requirement)

요구사항 분류		컨설팅
요구사항 고유번호		CNR-001
요구사항 명칭		개인정보 영향평가 일반사항
요구사항 상세설명	정의	개인정보 영향평가 실시
	세부 내용	ㅇ행정안전부 발간 『개인정보 영향평가 수행 안내서를 준용한 영향평가 실시 - 대상 시스템 3개(관광불편신고센터 KOTIS, 홀인원시스템,유원시설 안전정보망) ㅇ개인정보보호 관리체계의 적정성 분석과 개선방안 수립을 수행하여야 함 - 기관의 개인정보보호 조직, 개인정보보호 추진계획, 개인정보보호방침, 개인정보 위탁 및 제공 시 안전조치, 개인정보 침해대응, 개인정보 처리구역 보호 등의 분석 및 개선방안 제시 - 대상시스템의 개인정보 취급자, 취급 내용, 보유기간 등의 적정성 및 개선방안 제시 ㅇ개인정보 처리단계별 보호의 적정성 분석 및 조치방안을 마련하여야 함 - 개인정보 수집, 저장 및 보유, 이용 및 연계․제공, 파기단계에 이르는 각 단계별 보호조치의 적정성 분석
산출정보		개인정보 영향평가 결과보고서

요구사항 분류

컨설팅

요구사항 고유번호

CNR-002

요구사항 명칭

개인정보 영향평가 수행 요구사항 – 개선방안 마련 (1)

요구사항

상세설명

정의

개인정보 영향평가 결과 개선방안 마련

세부

내용

ㅇ대상 시스템 3개(관광불편신고센터 KOTIS, 홀인원시스템,유원시설 안전정보망)

ㅇ영향평가 결과에 따른 시스템별 구체적인 개선방안 제시

- 개선방안은 As-Is, To-Be 구조로 표현

- To-Be의 표현 방법은 ‘조치방안, ‘관련 법령 및 지침 등’, ‘소요금액’, ‘수행방법(수행주체 표기)’ 등으로 표기

※ 예시

현황 (As-Is)	처리방법 (To-Be)	관련 법령 및 지침	소요금액(원)
개인정보 처리방침 개선 필요 (OO홈페이지 제0조)	사업담당자가 공사 개인정보 처리방침 표준(안)을 참고하여 ‘개인정보 위탁처리’방안 추가	개인정보 보호법 00조	0
DB암호화 적용	사업담당자가 아래 방법으로 DB암호화 적용 1. 자체개발 2. 솔루션 도입	개인정보 안전성 확보조치 기준 00조	10,000,000

ㅇ시스템별 개선방안 적용 후, 개인정보 보호법 준수를 위한 관리방안 제시

※ 예시 : ‘접근권한 및 통제의 지속적 관리를 위해 사업담당자는 시스템 계정 및 접근권한 부여 기록을 00개월 마다 00양식을 통해 점검한다. 결재권자는 00으로함.

산출정보

개인정보 영향평가 결과에 따른 개선방안 보고서

요구사항 분류		컨설팅
요구사항 고유번호		CNR-003
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(2)
요구사항 상세설명	정의	개인정보 흐름표 작성
	세부 내용	ㅇ개인정보 취급 단계별로 취급되는 개인정보 현황 및 처리 내역 등을 용이하게 식별 할 수 있도록 개인정보 흐름표를 작성 ㅇ개인정보를 취급 업무별로 개인정보의 수집∙보유∙이용/제공∙파기로 구분하여 구체적으로 작성 ㅇ개인정보 흐름표 작성 - 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성 ※ 개인정보 흐름표에는 업무명을 기반으로 개인정보의 수집-보유-이용∙제공-파기에 이르는 Life-Cycle별 현황 등을 기재하여 개인정보의 흐름을 한눈에 이해할 수 있도록 작성할 것
산출정보		개인정보 흐름표

요구사항 분류		컨설팅
요구사항 고유번호		CNR-004
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(3)
요구사항 상세설명	정의	개인정보 흐름도 작성
	세부 내용	○ 개인정보 취급이 수반되는 업무별로 개인정보의 수집∙보유∙이용/제공∙파기되는 개인정보의 흐름을 한 눈에 파악할 수 있도록 개인정보 흐름도를 작성 ○ 개인정보 흐름도 작성 - 개인정보와 관련한 업무를 기재하고, 업무와 관련하여 개인정보 취급과 관련한 담당자 및 담당부서, 정보주체 등을 포함하여 기재 - 개인정보를 취급하는 관련업무, 취급과 관련하여 사용되는 매체(PC, 노트북, 신청서등의 문서)와 수집한 개인정보를 처리할 때 관련한 IT시스템(DB, 웹서버 등)을 표시하고 각 요소들 간의 이동 시 전송 되는 개인정보 항목을 기재 ※ 개인정보 흐름도는 개인정보를 취급 업무별로 개인정보 흐름표를 기준으로 수집∙보유∙이용/제공∙파기 등의 생명주기를 기반으로 해당 업무처리자 및 시스템의 구성사항을 고려하여 구체적으로 작성할 것
산출정보		개인정보 흐름도

요구사항 분류		컨설팅
요구사항 고유번호		CNR-005
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(4)
요구사항 상세설명	정의	정보시스템 구조도 및 정보보호 시스템 목록 작성
	세부 내용	ㅇ정보시스템 구조도 작성 ㅇ정보보호 기술적∙물리적∙관리적 보안 메커니즘 목록 검토 ※ 방화벽, 침입탐지시스템과 같은 보안 메커니즘을 포함하여 전송 데이터 암호화, DB 암호화 등 개인정보보호를 위한 기술적∙물리적∙관리적 보안 메커니즘의 타당성을 검토할 것
산출정보		정보시스템 구조도 및 정보보호 시스템 목록

요구사항 분류		컨설팅
요구사항 고유번호		CNR-006
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(1)
요구사항 상세설명	정의	평가 기준 수립 및 개인정보보호 조치 사항 파악을 위한 평가항목 작성
	세부 내용	ㅇ「공공기관 개인정보 영향평가 안내서」의 영향평가 항목을 기준으로 영향평가 영역을 구성(안내서 및 지침은 최신의 것을 준용한다) ㅇ 영향평가기준 및 평가항목 수립 - 개인정보 취급 업무 및 개인정보 흐름이 다수 존재하는 경우에는 각 흐름별로 평가항목을 각각 작성 - 평가 항목 외에도 관련 근거, 항목 설명, 확인 자료 등을 제시하여 작성 - 각 업무별로 적용되어야 하는 지침 및 규정을 명시 분석하여 해당 하는 지침 및 규정을 준수하는 방안을 현실성 있게 도출하도록 한다.
산출정보		개인정보 평가 기준 및 평가항목 정의서

요구사항 분류		컨설팅
요구사항 고유번호		CNR-007
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(2)
요구사항 상세설명	정의	자료 분석, 현장 실사, 담당자 인터뷰 등을 통해 개인정보보호 조치 현황 파악
	세부 내용	ㅇ 개인정보 조치사항 및 계획 등을 파악 ㅇ 평가기준 및 평가항목에 따라 자료분석, 현장실사, 담당자 및 취급자 대상 인터뷰를 통한 분석 수행 ㅇ 개인정보 흐름분석 시 도출된 업무 흐름표를 활용하여 개인정보 라이프 사이클별로 구분한 후, 위험요소별 개인정보 침해요인 분석
산출정보		개인정보 보호조치 현황 분석서

요구사항 분류		컨설팅
요구사항 고유번호		CNR-008
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(3)
요구사항 상세설명	정의	침해요소에 대한 위험 관리 방안 수립
	세부 내용	ㅇ위험요소 분석 및 위험도 산정 - 자산별 침해요인 연계 개념도 작성 - 중요도와 취약점, 위협요소 등을 고려하여 위험요소 분석 및 위험도 산정
산출정보		개인정보 침해요인 위험도 산정표

요구사항 분류		컨설팅
요구사항 고유번호		CNR-009
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(4)
요구사항 상세설명	정의	개선과제 도출
	세부 내용	ㅇ위험도의 우선순위에 따라 나열하여 해당 기관이 수용 가능한 수준을 정하여 단기, 중∙장기로 구분하여 개선방안을 도출
산출정보		개인정보 침해요인별 개선방안표

요구사항 분류		컨설팅
요구사항 고유번호		CNR-010
요구사항 명칭		2020년 행정안전부 개인정보보호 관리수준진단 평가 준비
요구사항 상세설명	정의	행정안전부 개인정보보호 관리수준 진단 준비
	세부 내용	ㅇ‘19년 주요 개선 요구사항에 대한 보완 조치 및 이행 여부 점검 ㅇ‘20년 개인정보보호 관리수준 진단 관리 점검 실시 - 주요 관리 점검 사항 (3개 분야, 13개 지표, 25개 항목)
산출정보		2020년 개인정보 관리수준 진단 제출 보고서

요구사항 분류

컨설팅

요구사항 고유번호

CNR-011

요구사항 명칭

데이터 3법 개정에 따른 공사 개인정보보호 관련 문서 개정

요구사항

상세설명

정의

공사 개인정보보호 관련 문서 최신화

세부

내용

ㅇ신설 및 개정된 법‧규정에 적법한 공사의 관련 문서,신설 및 개정(안) 작성

문서명	검수필요사항
개인정보 보호규정	개정
개인정보 목적외이용 및 제3자 제공절차서	개정
침해사고 대응절차서	개정
홈페이지 개인정보 처리방침	개정
내부관리계획	개정
내부점검절차서	개정
개인정보 처리 가이드	개정

※ 과업추진 신설 및 개정 필요문서들은 필요에 따라 추가·감소될 수 있음.

산출정보

문서별 개정(안)

요구사항 분류		컨설팅
요구사항 고유번호		CNR-012
요구사항 명칭		개인정보보호 교육실시
요구사항 상세설명	정의	임직원 개인정보보호 인식제고를 위한 교육 실시 및 콘텐츠 제작
	세부 내용	ㅇ개인정보 교육 실시 - 교육방법 : 집합교육 (필요시 온라인 교육) - 교육내용 · 대상자별(경영진, 일반직원, 개인정보취급자 등) 교육 실시 · 개인정보보호법 관련 내용 및 최신동향에 기반 되는 내용으로 실시 · 개인정보 침해, 재해·재난, 유·노출 사고대응방안 내용 포함 · 개인정보 생명주기 및 개인정보처리시스템 법적 의무사항 교육 - 참고사항 : 업체는 온라인교육을 대비하여 추진방안을 마련해야함(예시 : LMS 등)
산출정보		개인정보보호 교육결과보고서

요구사항 분류		컨설팅
요구사항 고유번호		CNR-013
요구사항 명칭		개인정보보호 콘텐츠 제작
요구사항 상세설명	정의	임직원 개인정보보호 인식제고를 위한 교육 실시 및 콘텐츠 제작
	세부 내용	ㅇ포스터, 리플릿, 스티커, 화면보호기에 활용될 시안 기획 - 국내·외 선진 개인정보보호문화 활성화 사례 적용 - 개인정보보호의 날 행사를 위하여 내부포털 또는 내부메일을 통하여 홍보할 수 있는 간략 형태(이미지 및 pdf 파일)의 제작을 위한 기획
산출정보		개인정보보호 콘텐츠

□ 보안 요구사항(Security Requirement)

요구사항 분류		보안
요구사항 고유번호		SER-001
요구사항 명칭		보안지침 준수 - 보안규정 및 지침 준수
요구사항 상세설명	정의	보안규정 및 지침 준수
	세부 내용	ㅇ국가 정보보안 기본지침(국가정보원) ㅇ국가․공공기관 용역업체 보안관리 가이드라인(국가정보원) ㅇ개인정보 보호법(행정안전부) ㅇ정보보호 및 개인정보보호 관리체계 인증 등에 관한 고시(행정안전부.) ㅇ문화체육관광부 개인정보보호지침(문화체육관광부) ㅇ개인정보의 안전성 확보조치 기준(행정안전부) ㅇ본 사업은 위 지침 외에도 정부가 제정․공포한 관계 제 법규(지침)을 준수하여야 하며, 사업기간동안 법규가 변경될 경우 해당 법규 준수 ㅇ용역사업 중 또는 종료 후라도 본 사업과 관련하여 국가정보원 등 관련 기관으로부터 보안에 문제가 있다고 지적될 경우 반드시 해결책을 강구하고 조치하여야 함

요구사항 분류		보안
요구사항 고유번호		SER-002
요구사항 명칭		보안지침 준수 - 보안 공통사항
요구사항 상세설명	정의	보안 공통사항
	세부 내용	ㅇ제안사는 사업을 수행하기 위하여 관리적/기술적/물리적 보안대책 등 보안관리에 대한 보안관리계획을 사업수행계획서에 명시하여야 함 ㅇ침해사고 발생 시 국가사이버안전센터의 「국가 사이버 안전 매뉴얼」의 대응 절차를 준수해야 함 ㅇ중요정보 유출 용역업체 적발 시 「국가계약법 시행령」에 따라 입찰 참가자격 제한을 엄격하게 적용 -「국가계약법 시행규칙」에 의거 1회 위반 시 1개월, 2회 위반 시 3개월 입찰 제한 등 제재 가능 -악성코드 전염·해킹 방지를 위한 보안대책과 보안 위규 발생 시 처리기준은 [붙임1]의 보안특약 조항을 적용함 ㅇ비밀취급 업무를 수행하는 경우 비밀취급인가를 받고, 투입되는 인력은 신원조사를 실시 ㅇ제안사는 사업 수행과정에서 생성된 모든 자료 및 취득한 지식을 사업 수행 중 및 완료 이후에도 타 용도로 사용하거나 외부에 공개 또는 대출하지 못하며, 과실로 인한 일체의 보안 사고에 대하여는 제안사가 책임져야 함

요구사항 분류		보안
요구사항 고유번호		SER-003
요구사항 명칭		보안지침 준수 - 사업 수행 장비 보안
요구사항 상세설명	정의	사업 수행 장비 보안
	세부 내용	ㅇ사업기간 내 사용되는 모든 PC, 노트북 등 전산장비의 사용현황을 공사에 신고·관리해야 하며, 공사와 협의하여 PC보안관리 프로그램 및 바이러스 백신 프로그램 등을 설치하여야 함 ㅇ공사에서 제공하는 문서중앙서버를 사용하며, 제안사가 보유하고 있는 PC에 중요자료가 보관되지 않도록 하여야 함 ㅇ제안사가 사용하는 PC, 노트북 등 전산장비는 인터넷 연결을 금지함 ㅇ반입된 PC, 노트북 등 전산장비의 유출, 도난 및 분실 방지를 위해 물리적 보호 대책을 강구해야 함 ㅇ반입된 전산장비는 임의 반출을 금하며, 반출 시 사전에 공사 정보보안담당관의 통제를 받아야 함 ㅇ무선장치를 설치하거나 와이파이, 와이브로, 휴대폰 등 무선랜을 이용하여 내부망에 있는 PC, 노트북, 서버 등에 접속하는 것을 제한함 ㅇ반입되는 PC 및 노트북 등의 경우 악성코드 등의 위험요소를 사전에 제거한 후 다음 기준에 의해 관리하고, 계약업체 자체보안 프로그램 및 공사에서 제공하는 보안 프로그램을 설치하여야 함 - 전산장비의 패스워드는 영문자,숫자,특수문자를 포함한 9자리이상으로 설정 - 10분 이상 컴퓨터의 작업 중단 시 화면보호 조치를 취함 - 안티 바이러스 백신 및 PC 방화벽 설치와 최신업데이트사용 - 업무목적 외의 프로그램(P2P 등) 사용 금지 - 업무목적 외의 사이트(도박, 음란 등) 접근 금지

요구사항 분류		보안
요구사항 고유번호		SER-004
요구사항 명칭		보안지침 준수 - 보안 교육
요구사항 상세설명	정의	보안 교육
	세부 내용	ㅇ제안사는 사업 참여직원을 대상으로 월 1회 이상 자체 보안교육을 실시해야 하며, 월 1회 이상 보안점검을 실시하고, 점검대장에 점검결과를 기록하여야 함 ㅇ보안 위규사항 발견 시 즉시 조치하고, 이를 공사 정보보안담당관에게 보고하여야 함 ㅇ정보의 유출을 포함한 보안사항 위반 사실이 확인될 경우 제안사는 보안사항 위반에 다른 제재조치를 수용해야 함

요구사항 분류		보안
요구사항 고유번호		SER-005
요구사항 명칭		보안지침 준수 - 비상대책
요구사항 상세설명	정의	비상대책
	세부 내용	ㅇ제안사는 사업 중 보안관련 법규를 준수하고, 대외 보안유지에 적극 협조해야 함 ㅇ정보보안 및 유출방지 방안을 제시하고 권한 외 시스템 접근 금지 및 통제수단 등을 제시해야 함 ㅇ제안사는 기밀유지를 위한 보안관리 방안을 제시해야 함 ㅇ제안사는 비상사태 발생 시 비상연락체계 등을 포함한 대응전략을 제시해야 함

요구사항 분류		보안
요구사항 고유번호		SER-006
요구사항 명칭		보안지침 준수 - 보안 취약점 점검 및 조치사항 이행
요구사항 상세설명	정의	보안 취약점 점검 및 조치사항 이행
	세부 내용	ㅇ제안사는 공사의 자체보안 대책(보안서약 후 열람 가능)의 정보시스템에 대한 기술적 보안대책을 강구하고 조치하여야 함 ㅇ보안성검토 및 정보보안 관리실태 평가 지침에 따라 도출된 취약점 및 권고사항에 대하여 조치방안 제시하고 이행 완료하여야 함 ㅇ취약점 검증은 정보서비스 개발 보안대책의 개발보안 및 문화체육관광 사이버안전센터에서 기술적 보안대책과 관련한 보안권고(기관 보안담당자 확인 필수)들을 준용하여 처리하고 반드시 검사를 통해 취약점이 제거될 수 있도록 해야함 ㅇ보안취약점 점검결과는 대외비로 관리해야 하며, 제안사의 관리부실로 인한 유출은 전적으로 제안사에서 책임져야 함 ㅇ악성코드 등 웹쉘(WebShell)이 업로드되어 침해사고가 발생하지 않도록 보안약점 및 취약점 조치와 주기적인 모니터링 방안 및 웹셀이 업로드되어 침해사고가 발생하지 않도록 보안조치를 강구해야 함 ㅇ최신 악성코드 대응을 위한 주기적인 취약점 점검계획 수립, 점검(조치)결과 내부결재(문서보고) 및 보안패치 등 운영관리 철저

요구사항 분류

보안

요구사항 고유번호

SER-007

요구사항 명칭

보안지침 준수 - 보안 대책 준수

요구사항

상세설명

정의

보안 대책 준수

세부

내용

ㅇ사업 계약단계 보안대책 수립

- 사업 수행 계획서에 자료‧장비‧네트워크 보안대책 및 누출금지 대상정보 관리 방안 등 보안관리 세부 계획 작성

- 사업 수행 중에 알게 되는 내부정보 및 하도급 업체에 대한 보안관리 책임을 부담하기 위해 대표자 명의 보안서약서 제출

- 누출금지 대상정보 등 자료‧장비 등에 대한 대외보안이 필요한 경우 용역 계약서와 별도로 비밀유지계약을 체결하여야 함(하도급 계약을 체결하는 경우에도 동일한 비밀유지 의무를 지님)

	<누출금지 대상정보>
① 기관 소유 전산시스템의 내ㆍ외부 IP주소 현황 ② 세부 전산시스템 구성현황 및 전산망구성도 ③ 사용자계정 및 패스워드 등 시스템 접근권한 정보 ④ 전산시스템 취약점분석 결과물 ⑤ 용역사업 결과물 및 프로그램 소스코드(해킹ㆍ유출시 안보ㆍ국익에 피해가 우려되는 중요 용역사업일 경우에 해당) ⑥ 국가용 보안시스템 및 정보보호시스템 도입현황 ⑦ 방화벽ㆍIPS 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크장비 설정 정보 ⑧ ‘공공기관의 정보공개에 관한 법률’ 제9조1항에 따라 비공개 대상정보로 분류된 기관의 내부문서 ⑨ ‘공공기관 개인정보보호에 관한 법률’ 제2조2호의 개인정보 ⑩ ‘보안업무규정’ 제4조의 비밀, 同 시행규칙 제7조3항의 대외비 ⑪ 기타 공개가 불가하다고 판단한 자료

※ 정보누출 적발시 「국가계약법」 시행령 제76조에 의거 부정당업자로 등록, 입찰 참자자격 제한 등 제재 조치

ㅇ참여인원에 대한 보안관리

- 용역사업 참여인원은 개인의 친필 서명이 들어간 보안서약서 및 개인정보보호법 준수를 위한 개인정보 위탁보안서약서 제출

- 용역사업 수행전 참여인원에 대해 법적 또는 발주기관 규정에 따른 비밀유지 의무 준수 및 위반시 처벌내용 등에 대한 보안교육 실시

ㅇ자료에 대한 보안관리

- ‘누출금지 대상정보’는 반드시 ‘자료관리 대장’에 인계자‧인수자가 직접 서명하여 관리하고 사업완료시 관련 자료 회수

- 사업수행에서 생산되는 모든 산출물은 파일서버 또는 보안담당관이 지정한 PC에만 저장‧관리하고 사업담당자가 인가하지 않은 비인가자에게 제공‧대여‧열람 금지

- 발주기관의 보안정책에 P2P, 웹하드 등 인터넷 자료공유사이트 및 상용 메일‧메신저 사용을 금지하고 자료전송이 필요한 경우 자체 전자우편을 이용, 첨부자료 암호화 후 수‧발신

- 매일 퇴근시 발주기관이 제공한 비공개 자료는 반납하고 그 외 자료는 사무실 시건장치가 된 보관함에 보관

요구사항 분류		보안
요구사항 고유번호		SER-007(계속)
요구사항 명칭		보안지침 준수 - 보안 대책 준수
요구사항 상세설명	정의	보안 대책 준수
	세부 내용	ㅇ사무실‧장비에 대한 보안관리 - 용역사업 수행 장소는 CCTV‧시건장치 등 비인가자의 출입통제 대책 마련 - 노트북 등 관련 장비를 외부에 반출‧입시 악성코드 감염여부 및 자료 무단반출 여부를 확인하고 관리대장에 반드시 기록 - 인가받지 않은 USB 등의 휴대용 저장매체 사용을 금지하고 산출물 저장을 위해 휴대용 저장매체가 필요한 경우 보안담당관의 승인하 사용 ㅇ사업 완료시 보안관리 - 최종 산출물 중 대외보안이 요구되는 자료는 대외비 이상으로 작성‧관리하고 불필요한 자료는 반드시 삭제 및 폐기 - 발주기관에서 제공받은 자료, 장비, 산출물 등 용역 관련 제반자료는 전량 회수하고 용역업체에 복사본 등 별도 보관 절대 금지 - 사업 완료후 업체 소유 PC, 서버의 하드디스크, 휴대용 저장매체, 노트북 등 전자기록 저장매체는 국가정보원이 안전성을 검증한 삭제 SW로 완전 삭제 후 반출 - 용역사업 관련 자료 회수 및 삭제조치 후 업체에게 복사본 등 용역사업 관련 자료를 보유하고 있지 않다는 대표 명의 확약서 제출 ㅇ보안위규시 처리기준 - [별표1]의 사업자 보안 위규 처리 기준 준용 ㅇ보안 위약금 부과 기준 - [별표2]의 보안 위약금 부과 기준 준용 ㅇ본 과업에 대한 공사 자체 보안대책은 보안서약서를 징구 후 열람가능하며, 관련 대책 위반에 대한 책임은 제안사에 있음

요구사항 분류		보안
요구사항 고유번호		SER-008
요구사항 명칭		보안지침 준수 - 기타보안사항
요구사항 상세설명	정의	기타보안사항
	세부 내용	ㅇ사업 착수 및 수행 시 참여인력은 보안서약서 및 용역사업 참여자 숙지사항을 제출하여야 하며, 대표자는 계약 시 별도의 비밀유지 계약서를 제출하여야 함 ㅇ사업종료 시 사업관련 자료를 보유하고 있지 않으며 이를 위반 시 향후 법적책임이 있음을 포함한 대표자용 보안확약서를 제출해야 함 ㅇ하도급 계약을 체결할 경우 본 사업계약 수준의 비밀유지 조항을 포함해야 함 ㅇ사업수행을 위해 제공된 자료는 “자료인수인계관리대장”을 작성하여 인계자(공사 담당자)와 인수자(프로젝트 관리자)가 서명한 후 인계·인수해야 함 ㅇ정보화 사업과 관련한 중요 및 비공개 자료는 2중 시건 장치가 있는 장소에 보관해야 함 ㅇ제안사는 공사로부터 제공받은 장비, 서류 및 중간·최종 산출물 등 보안 및 사업담당자 입회하에 모든 자료를 발주기관에 반납하고 삭제하여야 함 ㅇ인력 철수 또는 PC,노트북 반출 시 국가정보원「정보시스템 저장매체 불용처리 지침」에 따라 포맷하고 결과를 제출 ㅇ제안사는 사업 수행 중 보안사고를 유발한 경우 관계법령에 따라 사건조사에 적극 협조해야 하며, 조사결과에 따른 각종 민·형사상 발생할 수 있는 손해에 대한 배상 등의 책임을 부과함 ㅇ본 과업에 대한 공사 자체 보안대책은 보안서약서 징구 후 열람 가능하며, 관련 대책 위반에 대한 책임은 제안사에 있음

□ 제약사항(COnstraint Requirement)

요구사항 분류		제약
요구사항 고유번호		COR-001
요구사항 명칭		사업수행 - 사업지연 및 기타제약사항
요구사항 상세설명	정의	사업지연 및 기타제약사항
	세부 내용	ㅇ사업지연 및 오류사항 책임 - 사업수행자가 수행 할 업무의 지연 및 결과물의 오류가 발생할 경우 그 비용은 사업수행자 비용으로 해결함 ㅇ의견조율 - 본 과업내용서 내용은 최소한의 규격만을 규정하여 해석의 차이가 있을 때에는 상호 협의하여 결정하되 발주기관의 해석이 우선함 ㅇ기타사항 - 과업수행에는 반드시 필요하나 본 과업내용서에 명기되지 않은 누락된 경미한 사항은 사업수행자의 부담으로 시행 함 - 사업수행을 위하여 발생하는 비용은 본 사업에 포함되어야 하며, 기타 사업수행에 필요한 부가작업이 발생하거나 발주기관의 요청이 있을 시 사업수행자는 이를 적극 수용하여야 함 - 과업의 방향이나 내용의 오류를 사전에 방지하기 위하여 발주기관이 필요한 자료제출 요청이 있을 경우에는 사업수행자는 지체 없이 이에 필요한 자료를 제출하여야 함 - 본 과업내용서에서 요구한 건의 수용이 어려울 경우 불가능한 사유 및 대체방안을 제시할 수 있다 - 본 사업완료 후 수정사항을 반영할 필요가 있다고 판단될 경우에는 사업완료 후라도 수정․보완하여야 함

□ 프로젝트 관리 요구사항(Project Management Requirement)

요구사항 분류

사업관리

요구사항 고유번호

PMR-001

요구사항 명칭

사업수행 조직구성 -  인력 구성 방법

요구사항

상세설명

정의

인력 구성 방법

세부

내용

ㅇ본 사업에 참여하는 사업총책임자는 프로젝트를 효율적으로 수행할 수 있도록 관련 분야 전문가로 구성하여야 함

대 상	자격요건
프로젝트 관리자(PM)	- ISMS 혹은 ISMS-P 인증심사원 자격을 보유 - 보안컨설팅 사업 분야 경력이 있어야 함 - 최근 5년간 2회 이상 인증심사를 수행한자 (인증심사 수행 실적증명 별도 제출)
사업수행 기술인력	- 정보보안 사업 경력, 정보기술 등을 보유하여 당해 사업을 수행할 수 있는 자격을 가진 기술자 중심으로 선발 - 개인정보 영향평가 및 컨설팅 수행인력 고급 1명 이상 - ISMS, ISMS-P, ISO27001 인증심사위원 자격, CPPG 중 1가지 이상 자격증 보유

ㅇ본 사업에 참여하는 인력의 작업 장소는 계약 당사자 간 상호 협의하여 정함 단, 발주기관과 업무 협의, 산출물 관리 등 원활한 사업수행에 지장이 없어야 함

ㅇ인력 투입 조건

- 수행인력은「개인정보 영향평가에 관한 고시(행정안전부고시 제2019-11호)」 제5조의 각 호를 충족하는 자로 고급수행인력 1명 이상의 인력으로 구성되어야 한다.

- 프로젝트 참여인력에 대한 구성 및 월별 투입공수, 역할 및 책임을 제안서에 명시해야 함

- 모든 참여인력은 제안사 소속인력으로 6개월 이상 재직한 자(자격증빙 서류 제출 – 4대 보험 중 1개의 자격증빙)

- 참여 인력이 부득이한 사정으로 교체될 경우 그에 준하는 인력으로 대체 하여야 함

- 발주기관은 정보시스템 운영 중 품질저하 현상이 발생하는 경우, 운영인력 교체 또는 품질 제고를 위한 추가인력 투입을 요구할 수 있음

- 투입 인력의 자질이 부족하여 발주기관이 교체를 요구 할 때는 즉시 교체할 수 있어야 하며, 투입인력이 사고․이직․입원 등 업무수행이 불가한 경우에만 계약업체의 인력교체 요청을 허용하는 것으로 하되, 업무인수인계의 철저를 기하기 위해 교체 1주일 전에 동급이상 인력으로 문서 요청해야 함

- 상주인력 교체가 필요한 경우 1주이상의 업무인계인수 기간을 가져야 함(인계인수 기간 동안 추가 투입된 인력은 계약에 의한 투입인력으로 보지 않음)

- 휴가, 병가, 교육 등 인력 공백 발생 시 대체 인력을 투입해야 함

ㅇ투입인력 근무 조건

- 상주근무자의 근로조건은 근로기준법 등 노동관계 법령을 따르되, 야간 및 휴일 근무, 운영대상시스템의 이전 등의 잔무처리로 소요되는 야근 수당 등 연장 및 휴일 근로에 대하여는 계약업체가 부담해야 함

요구사항 분류		사업관리
요구사항 고유번호		PMR-002
요구사항 명칭		개발방법론 - 프로젝트 관리 방법론 적용
요구사항 상세설명	정의	프로젝트 관리 방법론 적용
	세부 내용	ㅇ위험관리, 품질관리, 일정관리, 자원관리, 형상관리 등 프로젝트 관리 방법론을 통한 체계적인 사업 관리 방안 제시 ㅇ산출의 완성도를 높이기 위해서 프로젝트 착수에서 종료까지 체계적으로 프로젝트를 관리(관리도구 이용)해야 함 ㅇ단계별로 진행 상황을 보고하고 프로젝트 관련 산출물을 제출하여야 함

요구사항 분류		사업관리
요구사항 고유번호		PMR-003
요구사항 명칭		사업관리 - 일정관리
요구사항 상세설명	정의	일정관리
	세부 내용	ㅇ발주기관이 제시한 추진 일정을 참고하여 최적의 시스템이 구축될 수 있도록 추진 일정계획을 전체일정과 세부일정으로 구분하여 상세하게 제시 ㅇ일정계획 수립 시에는 지연가능 요소를 미리 파악ㆍ분석하여 일정 내에 사업 수행이 가능하도록 해야 함

요구사항 분류		사업관리
요구사항 고유번호		PMR-004
요구사항 명칭		사업관리 - 위험관리
요구사항 상세설명	정의	위험관리
	세부 내용	ㅇ보안, 일정지연, 품질저하에 따르는 예산초과 등 리스크 발생을 사전 예방하고 발생 시 사후 대처방안을 제시하여야 함 ㅇ프로젝트 추진과정에서 요구되는 진척/위험/변경사항의 관리방안 및 지속적으로 문제를 파악 관리할 수 있는 방안 제시

요구사항 분류

사업관리

요구사항 고유번호

PMR-005

요구사항 명칭

사업관리 - 의사소통관리

요구사항

상세설명

정의

의사소통관리

세부

내용

ㅇ주/월간 보고는 수행 시 발주기관과 일정 협의에 의하여 변경 가능 하고, 원활한 과업추진을 위해 필요시 비정기적인 보고를 요청할 수 있음

구분	보고명	보고내용	시 기
정기 보고	주간보고	- 진도관리(계획대비 실적) - 문제점 보고 및 특이사항 - 차주계획	협의하여 결정
비정기 보고	착수보고	- 착수계 및 사업수행계획 보고 · 비밀유지계약, 서약서 등 포함	착수후 7일 이내
	중간보고	- 진행상황 및 현안 보고	협의하여 결정
	완료보고	- 개발완료 보고 및 관련 산출물 · 보안 확약서 등 포함	완료 시
	수시보고	- 이슈사항 및 문제점 협의 등 - 긴급변경 및 서면 요구사항	수시

요구사항 분류

사업관리

요구사항 고유번호

PMR-006

요구사항 명칭

사업관리 - 산출물관리

요구사항

상세설명

정의

산출물관리

세부

내용

ㅇ과업 수행 중 발생된 모든 관련 자료는 일목요연하게 정리하여 보고서와 함께 제출

ㅇ기본 산출물 목록 및 제출시기

산출물	제출부수	제출시기
착수계, 사업수행계획서	1부	계약체결 후7일 이내
영향평가 결과보고서	1부	사업종료일
개인정보 영향평가 결과에 따른 개선방안 보고서	1부	사업종료일
개인정보 흐름표	1부	사업종료일
개인정보 흐름도	1부	사업종료일
정보시스템 구조도 및 정보보호 시스템 목록	1부	사업종료일
개인정보 평가 기준 및 평가항목 정의서	1부	사업종료일
개인정보 보호조치 현황 분석서	1부	사업종료일
개인정보 침해요인 위험도 산정표	1부	사업종료일
개인정보 침해요인별 개선방안표	1부	사업종료일
2020년 개인정보 관리수준진단 제출 보고서	1부	2020년 7월 10일
문서별 개정(안)	1부	사업종료일
개인정보보호 교육결과보고서	1부	2020년 6월 19일
개인정보보호 콘텐츠	1부	2020년 6월 19일
완료보고서 및 전체산출물	USB 2개 책자 3부	검수 완료 후 5일 이내

ㅇ사업수행계획서 작성 시에는 투입인력 업무분장 및 세부공정표 포함

ㅇ기타 사업 수행 중 필요에 따라 발생하는 산출물(분석서, 보고서 등)은 추가로 정의하여 제출함

ㅇ모든 활동에 대한 업무 상세정의와 일정계획, 수행방안, 기밀 보장방안 등 상세 계획을 제공하여야 함

ㅇ과업수행 중 사업수행자의 귀책사유로 발생한 모든 손해에 대해서는 손해발생 시점 즉시 발주기관에게 배상

□ 프로젝트 지원 요구사항(Project Support Requirement)

요구사항 분류		사업지원
요구사항 고유번호		PSR-001
요구사항 명칭		사업지원 - 기술지원
요구사항 상세설명	정의	기술지원
	세부 내용	ㅇ프로젝트 수행에 따른 관련 정보기술 등에 대한 정보제공 및 기술자문 실시