제안요청서

사 업 명	국립국악원 정보보안(개인정보보호) 컨설팅 용역
주관기관	국립국악원

2022년  4월

사업 책임자	국악연구실	실장	서인화	TEL:02-580-3009	FAX:02-580-3093
사업 실무자	국악연구실	학예연구관	박정경	TEL:02-580-3072
		주무관	박유성	TEL:02-580-3091

Ⅰ. 사업개요

목   차

I. 사업 개요

1. 사업일반	1

2. 추진배경 및 필요성	1

3. 사업범위	1

4. 기대효과	2

II. 사업내용

1. 대상사업	3

2. 단계별 업무	3

III. 사업 추진계획

1. 추진체계	4

2. 역할	4

3. 추진일정	5

IV. 상세 요구사항

1. 요구사항 목록	6

2. 요구사항 상세 내역	7

Ⅴ. 첨부자료

[붙임1] 사업자 보안위규 처리기준	19

[붙임2] 보안위약금 부과 기준	21

기타 서식	22

1		사업일반

□ 사 업 명: 국립국악원 정보보호(개인정보보호)컨설팅 사업

□ 사업기간: 계약일로부터 ~ 4개월

□ 소요예산: 45,000천원(부가세 포함)

□ 사업추진방식: 협상에 의한 계약

2		추진배경 및 필요성

□ 최근 급증하는 개인정보 유출, 악성코드 감염 등 침해사고의 발생을 미연에 방지하고 임직원의 보안의식을 고취하고자 함

□ IT인프라의 취약점점검을 통해 도출된 취약점을 조치(제거)하여 정보시스템의 안정성 및 신뢰성을 확보하고자 함

□ 위험관리 방안 및 보호대책 수립을 통하여 정보보호 수준을 향상시키고 정보보호 역량을 제고하고자 함

3		사업범위

□ 정보보호 관리 수준점검 및 정보보호 규정의 제□개정

□ 정보시스템 취약점분석 및 조치 지원

□ 정보보안 활동 방안 및 점진적 보안인프라 도입 계획 수립

□ 소속 국악원 정보보안 및 개인정보보호 점검 지원

4		기대효과

□ 정보보호 관리 수준점검을 통한 우리원의 정보보호 수준 향상 및 임직원의 보안의식 제고

□ IT인프라의 취약점점검 및 조치(제거)에 따른 정보시스템의 보안성 강화

□ 정보보호 개선계획 수립을 통한 체계적인 정보보안 활동 및 점진적 보안인프라 도입

Ⅱ. 사업내용

1		대상사업

□ 사 업 명: 국립국악원 정보보안(개인정보보호) 컨설팅 사업

□ 사업예산: 45백만원

□ 사업범위: 국립국악원 내 정보자산(IT인프라, PC, 문서 등)

2		단계별 업무

□ 현황분석 단계

ㅇ 정보보호 규정,지침, 절차 검토

ㅇ 개인정보보호법, 정보통신방법 등 관련 법규 및 상위기관 규정 검토

ㅇ 정보보호 조직, 인력 구성 검토

ㅇ 시설, 설비 등 물리적 보안 실태 점검

ㅇ 보안업무, 절차 점검 등

□ 위험평가 단계

ㅇ 정보보호 관리 실태 및 수준점검

ㅇ 정보시스템 취약점점검 및 조치지원

ㅇ DDoS 대응 훈련

□ 보호대책 수립 단계

ㅇ 정보보호 정책 제□개정

ㅇ 보안인프라 도입 및 구축 계획 수립

ㅇ 정보자산의 보호대책 수립 등

Ⅲ. 사업 추진계획

1		추진체계

			주관기관
			국립국악원
			국악연구실		협조	계약부서
						기획관리과
			구축사업자
			외주 용역업체

2		역할

구 분	역 할
국립국악원 (국악연구실)	◦ 본사업에 대한 관리 및 감독 ◦ 본사업자에 대한 의사 결정 ◦ 현업부서 등의 의견 수렴 및 이해관계 조정 ◦ 본사업 수행에 필요한 행정사항 지원
계약부서 (기획관리과)	◦ 조달 관련업무 협조 ◦ 납품 및 검수에 따른 예산집행
구축사업자	◦ 사업수행계획서 작성 ◦ 요구사항에 대한 컨설팅 및 산출물 작성 ◦ 기술이전 및 하자보수

3		추진일정

□ 사업 기간: 계약일로부터 ~ 개선 용역 사업 종료 시 까지

□ 사업 일정

구 분	계약전			계약일~ 사업 종료 시 까지
사업 계약
사업 계획 단계
사업 집행 단계
사후관리 취약점 조치지원, 하자여부 검토

Ⅳ. 과업 상세 요구사항

1		요구사항 목록

연번	대상	고유번호	요구사항 명	개수
1	컨설팅 요구사항	CSR-001	환경분석 및 범위 정의	11
		CSR-002	정보보호관리체계 현황 분석
		CSR-003	위험관리 및 취약점 분석
		CSR-004	물리적 취약점 진단 및 개선
		CSR-005	정보보안 업무 규정 제□개정
		CSR-006	악성메일 대응 모의훈련
		CSR-007	정보보안 인프라 보완 및 재구성
		CSR-008	개인정보보호 수준 점검 및 조치
		CSR-009	정보시스템 취약점점검 및 모의해킹
		CSR-010	정보보호 인식제고 교육
		CSR-011	소속 국악원 정보보안 점검 지원
2	보안 요구사항	SER-001	보안지침 준수	5
		SER-002	참여인원 보안관리
		SER-003	저장매체 및 장비보안
		SER-004	주기적 보안점검
		SER-005	사업종료 후 보안
4	프로젝트 관리 요구사항	PMR-001	사업수행조직 및 투입인력	3
		PMR-002	방법론
		PMR-003	제출 산출물
5	프로젝트 지원요구사항	PSR-001	기술지원	2
		PSR-002	업무수행 조건
합계				21

2		요구사항 상세 내역

□ 컨설팅 요구사항(Consulting Requirement)

요구사항 고유번호		CSR-001
요구사항 명칭		환경분석 및 범위 정의
요구 사항 상세 설명	정의	정보자산, 업무현황, 조직 등 환경분석
	세부 내용	⚪ 업무현황 및 조직 등 환경 분석 ⚪ 최신 정보보호 정책과 정보보호 정책 GAP 분석 ⚪ 인증대상의 정보시스템 현황 파악 - 정보시스템, 서버, 보안장비, 네트워크 등 자산식별 및 유형별 그룹화 - 식별된 대상목록의 각 자산에 대하여 중요도 및 보안등급 산정 - 식별된 자산의 효율적 관리방안 - 네트워크 및 시스템 구성 현황 파악 ⚪ 정보보호 관리체계 범위 정의
	산출정보	최신 정보자산 관리대장, 네트워크 구성도, 정보보호 수준점검 보고서

요구사항 고유번호		CSR-002
요구사항 명칭		정보보호 관리체계 현황 분석
요구 사항 상세 설명	정의	정보보호 관리체계의 운영 현황 분석
	세부 내용	⚪ 정보보호 관리체계 점검항목 기준을 바탕으로 인증대상의 정보보호 수준 분석 및 미비점 보완 - 정보보호 관리체계 인증 기준의 통제항목별 상세 분석 ⚪ 주요 문제점 및 개선 방향 도출 ※ 현황분석 및 진단 결과를 토대로 부문별 정보보호 대책 수립
	산출정보	정보보호 관리체계 운영명세서, 각종 증적자료

요구사항 고유번호		CSR-003
요구사항 명칭		위험관리 및 취약점 분석
요구 사항 상세 설명	정의	정보자산의 취약점 도출 및 위험관리 방안 수립
	세부 내용	⚪ 정보자산 식별 및 가치 평가 실시 ⚪ 정보자산 위협분석 및 위험도 산정 등 위험 평가 실시 ⚪ 정보자산 취약점 분석 - 시스템, 네트워크, 정보보호시스템, 주요 어플리케이션 취약점 점검 수행 - 국악원(홈페이지, 업무포탈, 디지털 국악아카이브) 및 소속 3개원(민속,남원,부산) 개인PC 및 네트워크 포트 점검 ⚪ 위험 관리 방안 수립 ⚪ 보호대책 우선순위 선정 및 정보보호대책 이행과제 도출 ⚪ 주기적으로 취약점 점검 및 조치를 위한 매뉴얼 제출 및 제·개정 지원 ⚪ 취약점 조치 완료 여부에 대한 이행진단 실시 ㅇ 취약점 점검결과에 대한 대표이사금 명의의 확약서(자료 미보유 등) 제출
	산출정보	위험분석 결과보고서

요구사항 고유번호		CSR-004
요구사항 명칭		물리적 취약점 진단 및 개선
요구 사항 상세 설명	정의	물리적 시설의 취약점 점검 치 개선방안 수립
	세부 내용	⚪ 물리적 시설 보안 취약점 진단 - 보호구역 설정의 적절성 및 접근통제 대책의 적정성 - 접근통제 시스템, 물리적 보안시스템의 적정성 - 물리적 취약점에 대한 위험도 분석 ⚪ 물리적 보안강화 개선대책 수립 - 보호구역/출입통제 등 물리적 취약점에 대한 개선방안 제시
	산출정보	정보보호 관리체계 운영명세서

요구사항 고유번호		CSR-005
요구사항 명칭		정보보안 업무 규정 제□개정
요구 사항 상세 설명	정의	정보보호 관리체계를 운영하기 위한 정책 수립
	세부 내용	⚪ 최근 개정된 법령 변경에 따른 업무 프로세스 등 정책 반영 ⚪ 향후 개정이 예상되는 법령․제도 및 영향 검토 ⚪ 법령제도 변경에 따른 정보보안업무 규정 및 제도적 대응방안 제시 * 상위 법령, 지침 등과의 정합성, 최신 법‧제도 동향을 분석 후 우리원의 현 규정의 개선방향 제시 및 제‧개정(소속 3개원 포함)
	산출정보	정보보안 규정‧지침 재‧개정(안), 정보보호 관리체계 운영명세서

요구사항 고유번호		CSR-006
요구사항 명칭		DDoS 공격 점검
요구 사항 상세 설명	정의	DDoS 공격에 대한 대응 시스템 점검
	세부 내용	⚪ 주요 시스템에 대한 DDoS 공격 훈련 계획 수립 ⚪ DDoS 장비 및 방화벽 등을 이용한 대응 방안 수립 등
	산출정보	DDoS 훈련 계획서, 결과보고서

요구사항 고유번호		CSR-007
요구사항 명칭		정보보안 인프라 보완 및 재구성
요구 사항 상세 설명	정의	현황 분석한 기준으로 인프라 보완사항 및 재구성 모델 방안 제시
	세부 내용	◦ 시스템 현황 및 구성에서 추가적으로 보완해야 할 정보보안 인프라와 추가 도입 장비 검토 - IT인프라의 보안성 강화를 위한 방안 제시 ◦ 망분리 관련 Compliance 분석 및 구축 방안 제시 - 망분리 네트워크의 구성 시 준거사항 등 검토
	산출정보	정보보호 대책서

요구사항 고유번호		CSR-008
요구사항 명칭		개인정보보호 수준점검 및 조치
요구 사항 상세 설명	정의	개인정보보호 수준 현황 점검 및 미흡사항 조치 지원
	세부 내용	◦ 개인정보호호법 관련 준거사항 검토 ◦ 개인정보보호 지침, 내부관리 계획 등 지침 및 절차서 검토 - 목적 외 이용·제공 절차서 - 개인정보 침해사고 및 재해·재난 대응 절차서 등 ◦ 개인정보 수집·이용 및 제3자 제공 동의서 양식 검토 - 양식 검토 및 수정 - 온·오프라인 양식 ◦ 정보주체 권리에 관한 사항 검토 및 미흡사항 지원 - 개인정보 처리방침, 제3자 제공 대장 검토 등 ◦ 개인정보 취급자 및 수탁업체 현황 및 미흡사항 지원 - 개인정보처리시스템 접근권한 관리 현황 검토 - 접속기록 점검 및 분석 등
	산출정보	개인정보보호 지침, 개인정보 처리방침

요구사항 고유번호		CSR-009
요구사항 명칭		정보시스템 취약점점검
요구 사항 상세 설명	정의	정보시스템 및 홈페이지에 대한 취약점점검 및 조치지원
	세부 내용	◦ 정보시스템 취약점 점검 및 조치 - 서버 불필요 포트 제거, 방화벽 불·필요 정책 점검 및 조치 지원 등 - 사용자PC 불필요 포트 제거 ◦ 주요시스템 소스코드 취약점 점검 - 국악원(홈페이지, 업무포탈, 디지털 국악아카이브) 및 3개 소속원(민속,남원,부산)의 홈페이지 소스코드 취약점 점검 - 취약점 점검 결과에 따른 조치 지원 ㅇ 취약점 점검결과(이상없음 또는 조치결과)에 대한 대표이사금 명의의 확약서(자료 미보유 등) 제출 ※행정사항 : 사업 완료 검수 전, 취약점 점검 및 조치결과서를 공문으로 문화체육관광부에 제출
	산출정보	정보시스템 취약점점검 결과보고서, 모의해킹 결과보고서

요구사항 고유번호		CSR-010
요구사항 명칭		정보보호 인식제고 교육
요구 사항 상세 설명	정의	임직원의 정보보호 인식 제고를 위한 교육
	세부 내용	◦ 임직원 및 용역업체 대상 정보보호 인식교육 실시 - 임직원 대상 정보보안 교육 - 정보화 담당부서 대상 정보보안 교육 - 개인정보보호 취급자 사무실 방문 담당자 업무 자문 ◦ 교육대상에 따른 교안 작성 및 교육효과 분석
	산출정보	정보보안 교육 계획 및 결과보고서

요구사항 고유번호		CSR-011
요구사항 명칭		소속 국악원 정보보안 및 개인정보보호 점검 지원
요구 사항 상세 설명	정의	소속 국악원(민속,남도,부산) 점검 지원
	세부 내용	◦ 민속, 남도, 부산 국악원 개인정보 평가 지원 - 문체부 개인정보평가 기준에 맞는 소속기관 평가 - 평가 결과에 대한 추가적인 자료 작성 지원 등 ◦ 민속, 남도, 부산 국악원 정보보안 점검 지원 - 문체부 점검표에 맞는 소속기관 점검 지원 - 네트워크 프린터, PC, 스위치 등 기술 점검 지원
	산출정보	소속 국악원 점검 결과표

□ 보안 요구사항(Security Requirement)

요구사항 고유번호

SER-001

요구사항 명칭

보안지침 준수

요구

사항

상세

설명

정의

보안정책 및 준수되어야 하는 각종 지침에 대한 정의

세부

내용

ㅇ주요 지침

- 국가 정보보안 기본지침(국가정보원, 2021. 11. 1.)

- 국가․공공기관 용역업체 보안관리 가이드라인(국가정보원, 2020.10.)

- 홈페이지 개인정보 노출방지 안내서(개인정보보호위원회, 2020.12.)

- 소프트웨어 개발보안 가이드(행정안전부, 2021.11.)

- 소프트웨어 보안약점 진단가이드(행정안전부, 2021.11.)

- 공개SW를 활용한 소프트웨어 개발보안 점검가이드(행정안전부, 2019.6.)

- 문화체육관광부 개인정보보호지침(문화체육관광부 훈령 제443호, 2021.4.15)

- 시스템 개발·운영자를 위한 개인정보보호 가이드라인(행정안전부,2018.6)

- 개인정보의 안전성 확보조치 기준(개인정보보호위원회고시 제2021-2호, 2021. 9. 15.)

- 가명정보 처리 가이드라인(개인정보보호위원회, 2021.10.)

- 자동처리 되는 개인정보 보호 가이드라인(개인정보보호위원회, 2020.12.)

- 국가․공공기관 클라우드 컴퓨팅 보안가이드라인

- 위 지침 외에도 정부가 제정․공포한 관계 제 법규(지침)

ㅇ사업 착수 시

- 사업 참여인원에 대해서는 사업투입 전, 신원조회를 위한 ‘신원진술서’와 ‘보안서약서’ 및 비밀 보안준수를 위해 ‘비밀유지계약서’를 제출

- 계약업체는 용역사업 수행 전 참여인원에 대해 법률 또는 규정에 의한 비밀유지의무 준수 및 위반 시 처벌내용 등에 대한 보안교육 실시

- 자체 보안대책 강구사항(보안서약 후 열람)의 정보시스템에 대한 기술적 보안대책을 강구하고 조치하여야 함

ㅇ사업 수행 시

- 계약업체는 주기적으로 자체 보안교육을 실시해야 하며, 주관기관이 요구하는 보안교육에 참석

- ‘누출금지 대상정보’는 반드시 ‘자료관리 대장’에 인계자‧인수자가 직접 서명하여 관리하고 사업완료시 관련 자료 회수

- 사업수행에서 생산되는 모든 산출물은 파일서버 또는 보안담당관이 지정한 PC에만 저장‧관리하고 사업담당자가 인가하지 않은 비인가자에게 제공‧대여‧열람 금지

- 발주기관의 보안정책에 P2P, 웹하드 등 인터넷 자료공유사이트 및 상용 메일‧메신저 사용을 금지하고 자료전송이 필요한 경우 자체 전자우편을 이용, 첨부자료 암호화 후 수‧발신

- 매일 퇴근시 발주기관이 제공한 비공개 자료는 반납하고 그 외 자료는 사무실 시건 장치가 된 보관함에 보관

ㅇ사업 종료 시

- 주관사업자는 우리 원으로부터 제공받는 원본자료와 사업수행 과정의 산출물 등 모든 자료를 전량 반납하고 국정원이 검증한 삭제SW를 통하여 완전삭제 해야 함

- 사업자가 활용한 PC 및 서버의 경우, 사업 종료 후 자료의 복구가 불가능 하도록 조치

- 최종 산출물 중 대외보안이 요구되는 자료는 대외비 이상으로 작성‧관리하고 불필요한 자료는 반드시 삭제 및 폐기

- 발주기관에서 제공받은 자료, 장비, 산출물 등 용역 관련 제반자료는 전량 회수하고 용역업체에 복사본 등 별도 보관 절대 금지

- 사업 완료후 업체 소유 PC, 서버의 하드디스크, 휴대용 저장매체, 노트북 등 전자기록 저장매체는 국가정보원이 안전성을 검증한 삭제 SW로 완전 삭제 후 반출

- 용역사업 관련 자료 회수 및 삭제조치 후 업체에게 복사본 등 용역사업 관련 자료를 보유하고 있지 않다는 대표 명의 확약서 제출

ㅇ참여인력의 외부장비(PC, 노트북 등) 반출입

- 발주기관의 보안 프로그램을 반드시 설치하고 노트북의 경우 자리에 설치 후 이동할 수 없도록 관리

- 장비(PC, 노트북 등) 사용현황을 별도의 대장으로 관리

- 외부PC(노트북 등) 반입시 발주자의 보안 프로그램을 반드시 설치하여 내부 사용자 보안사항을 준수해야 함

- 사업기간 내 사용되는 모든 개발용 PC, 노트북 등 정보화기기의 사용현황을 발주기관에 신고 관리해야 함

- 사업수행사가 사용하는 노트북PC는 인터넷 연결을 금지함

- 정보시스템을 외부로 반출할 경우 사전에 발주기관 정보보안담당관의 통제를 받아야 함

- 아카이브시스템에 접근하는 PC, 노트북 및 USB 등의 장비를 ‘관리대장’ 및 ‘반출입 대장’ 등을 활용하여 관리해야 하며, 이때 우리 원의 승인을 득하여야 함

- 노트북 등 관련 장비를 외부에 반출‧입시 악성코드 감염여부 및 자료 무단반출 여부를 확인하고 관리대장에 반드시 기록

ㅇ 사업 수행 중 취득한 지식에 대하여 과업수행 중은 물론 사업이 완료된 후에도 외부에 누설하거나 다른 용도로 이용해서는 안 되며, 이를 위반하였을 경우 법적인 책임을 져야 함

ㅇ <누출금지 대상정보>의 유출 방지를 위하여 별도의 비밀유지계약을 체결하여야 함

	<누출금지 대상정보>
1. 해당 기관의 정보시스템 내ㆍ외부 IP주소 현황 2. 정보시스템 구성 현황 및 정보통신망 구성도 3. 개별사용자의 계정ㆍ비밀번호 등 정보시스템 접근권한 정보 4. 정보통신망 또는 정보시스템 취약점 분석ㆍ평가 결과물 5. 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당) 6. 암호자재, 암호가 주 기능인 제품 및 정보보호시스템 도입ㆍ운용 현황 7. 정보보호시스템 및 네트워크장비 설정 정보 8.「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 해당 기관의 내부문서 9.「개인정보보호법」제2조제1호에 따른 개인정보 10.「보안업무규정」제4조에 따른 비밀 및 ｢보안업무규정 시행규칙｣ 제16조제3항에 따른 대외비 11. 그 밖에 해당 기관의 장이 공개가 불가하다고 판단한 자료

ㅇ <누출금지 대상정보>의 유출시 향후 부정당 업체 등록 및 입찰참가제한 등의 불이익이 있을 수 있음

요구사항 고유번호

SER-002

요구사항 명칭

사업자 보안위규 처리기준

요구

사항

상세

설명

정의

보안 요구사항

세부

내용

구 분	위 규 사 항	처 리 기 준
심 각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	◦사업참여 제한 ◦위규자 및 직속 감독자 중징계 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시
중 대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·유지보수 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	◦위규자 및 직속 감독자 중징계 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시
보 통	1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 관리 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 네이트온 등 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여 마. PC 비밀번호를 모니터옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	◦위규자 및 직속 감독자 경징계 ◦위규자 및 직속 감독자 사유서 / 경위서 징구 ◦위규자 대상 특별보안교육 실시
경 미	1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	◦위규자 서면ㆍ구두 경고 등 문책 ◦위규자 사유서 /경위서 징구

요구사항 고유번호		SER-003
요구사항 명칭		물리적 보안
요구 사항 상세 설명	정의	물리적 보안 요건
	세부 내용	ㅇ프로젝트 사무실, 주요 장비 설치장소에 대한 출입보안 실시 - 용역사업 수행 장소는 CCTV‧시건장치 등 비인가자의 출입통제 대책 마련 - 노트북 등 관련 장비를 외부에 반출‧입시 악성코드 감염여부 및 자료 무단반출 여부를 확인하고 관리대장에 반드시 기록 - 인가받지 않은 USB 등의 휴대용 저장매체 사용을 금지하고 산출물 저장을 위해 휴대용 저장매체가 필요한 경우 보안담당관의 승인 하에 사용 ㅇ개인소유의 PC 및 보조기억장치 반입‧반출 통제 ㅇ생성된 문서는 별도의 시건장치가 확보된 곳에 안전하게 보관 ㅇ업무 관련 문서는 복원이 불가능한 방법으로 폐기 ㅇ문서의 보안등급을 부여하고, 등급에 따라 차별화된 권한 관리 ㅇ국립국악원 인트라넷(행정망)을 이용하는 경우 반드시 인터넷망과 분리

요구사항 고유번호		SER-004
요구사항 명칭		용역사업 보안점검 리스트
요구 사항 상세 설명	정의	외주용역사업 보안특약사항에 따른 용역사업 보안점검 사항을 명시
	세부 내용	ㅇ 용역업체 사용 전산망과 기관 전산망의 분리 여부(VLAN 분리 포함) ㅇ 용역업체 직원 PC의 내부 정보시스템 접근 통제 여부 ㅇ P2P, 웹하드, 메신저 등 불필요한 인터넷 접속 차단 여부 ㅇ 용역업체 직원에 주요 계정 비밀번호 제공 여부 ㅇ 용역업체 직원에 비밀번호 부여시 관련사항 별도 기록 여부 ㅇ 용역업체 직원에 시스템 관리자 계정 단독 접근 여부 ㅇ 노트북PC 등 휴대형 정보시스템을 시스템 관리용 PC로 활용 여부 ㅇ 용역업체 직원 등에 의한 기관 외부에서의 원격 접속ㆍ작업 여부 ㅇ 용역업체 정보시스템 접근시 작업이력 로깅 기능 사용 여부 ㅇ 용역업체 PC 및 휴대형 저장매체에 정보시스템 ‘계정명/비밀번호’ 저장 여부 ㅇ 용역업체 PC에 설치된 운영체제 및 응용프로그램 최신상태 유지 여부 ㅇ 용역업체 PC 백신 프로그램 자동 업데이트 및 실시간 감시기능 사용 여부 ㅇ 용역업체 PC USBㆍCD-RWㆍ무선랜 등 매체 통제 여부(스마트폰, MP3 플레이어 등 유사 저장 매체 포함) 매체 통제 여부 ㅇ CD-ROM, USB 포트 등 외부기기 연결 단자에 보안 스티커 부착 등 봉인 여부 ㅇ 용역업체 PC 비밀번호 및 화면보호기 설정 여부 ㅇ 용역업체 직원의 비인가 정보통신장비(노트북 등) 휴대ㆍ반입 여부 등 ㅇ 용역업체 직원의 개인 휴대폰의 카메라 및 충전 포트에 보안 스티커 부착 여부 ㅇ 누출금지 대상 정보 제공 및 회수 여부

요구사항 고유번호		SER-005
요구사항 명칭		사업종료 후 보안
요구 사항 상세 설명	정의	사업종료 후 보안관리
	세부 내용	ㅇ 계약업체는 주관기관이 제공한 자료, 장비, 서류와 중간ㆍ최종 산출물 등 본 사업과 관련된 제반 자료를 전량 반납하여야 하며, 복사본 등의 별도 보관을 금함 ㅇ 계약업체가 반입한 PCㆍ서버 하드디스크ㆍ휴대용 저장매체 등 전자기록 저장매체를 사업 완료 후 반출할 경우 국가정보원장이 안정성을 검증한 S/W로 완전 삭제를 실시함 ㅇ 계약업체는 사업 관련 자료 반납 및 삭제조치 후 복사본 등 용역사업 관련 자료를 보유하고 있지 않다는 대표 명의 확약서를 발주기관에 제출하여야 함 ㅇ 고의 또는 과실로 인한 일체의 보안사고 및 그 피해에 대하여는 사업자가 모든 민·형사상 책임을 져야 함 ㅇ 사업이 완료된 후라도 모든 보안 관련 규정을 준수하여야 함 ㅇ 공급자는 지식재산권의 활용을 위해 SW산출물의 반출을 요청할 수 있으며, 발주기관에서는 「보안업무규정」 제4조 및 제안요청서에 명시된 누출금지정보에 해당하지 않을 경우 SW산출물을 제공함(단, 공급자는 아래 내용 준수해야 함) - 공급자는 공급받은 SW산출물에 대하여 제안요청서, 계약서 등에 누출금지정보로 명시한 정보를 삭제하고 활용하여야 하며, 이를 확인하는 공급자 대표명의의 확약서를 발주기관에 제출하여야 함 - 공급자가 반출된 SW산출물을 제3자에게 제공하려는 경우 반드시 발주기관으로부터 사전승인을 받아야 함 - 발주기관은 공급자가 제공받은 SW산출물을 무단으로 유출하거나 누출되는 경우 및 누출금지정보를 삭제하지 않고 활용하는 경우에는 「국가계약법 시행령」제76조제1항제3호 및 「지방계약법 시행령」제92조제2항제3호에 따라 입찰참가자격을 제한함 ㅇ 보안 요구사항에 취약점조치 검증은 정보서비스 개발 보안대책의 개발보안 및 문화체육관광 사이버안전센터에서 기술적 보안대책과 관련한 보안권고(기관 보안담당자 확인 必)들을 준용하여 처리하고 반드시 검사를 통해 취약점이 제거될 수 있도록 해야 함 - (사업)개발 및 납품업체 대표이사급 명의로 취약점 점검결과(이상없음 또는 조치결과) 확인서 징구(취약점 결과 및 조치결과서 사업 종료 전, 발주기관으로 제출) - (운영)최신 악성코드 대응을 위한 주기적인 취약점 점검계획 수립, 점검(조치)결과 내부결재(문서보고) 및 보안패치 등 운영관리 철저 - 취약점 점검결과는 대외비로 관리 - 보안취약점 점검결과와 조치결과서를 기관 보안담당자에게 반드시 확인받아야 함

□ 프로젝트 관리 요구사항(Project Management Requirement)

요구사항 고유번호		PMR-001
요구사항 명칭		사업수행조직 및 투입인력
요구 사항 상세 설명	정의	수행조직 명확화
	세부 내용	○ 일반사항 - 사업을 수행할 추진조직, 인력구성 및 프로필과 단계별 인력투입계획 및 역할, 투입률 등을 제시하여야 함 - 사업수행계획서 제출시 월별 상세투입인력현황을 제시하여야 함 - 투입인력은 주관기관의 일반적인 업무수행 규칙을 준수하며, 장비 및 집기, 비품 등은 계약 상대자가 준비해야 함 ○ 인력교체 - 사업 착수 시 제안한 투입인력은 발주기관의 동의 없이 사업자 임의로 변경할 수 없음 - 특별한 사유가 없는 한 인력교체는 불가하며, 불가항력 사유로 인력교체 필요시, 1개월 전에 동급이상 인력을 공문으로 요청해야 하며, 2주 이상의 업무인수인계 기간을 가져야 함. 또한, 인력교체기간 동안 발생하는 업무의 안정화 및 품질저하 방지대책을 제시해야 함 ○ 투입인력 - 투입인력의 기술수준을 상세하게 제시하여야 함 - 사업기간 및 안정화기간 중 발주기관의 동의 없이 임의로 변경할 수 없음 - 발주기관은 투입인력의 불성실, 자질부족 등 업무수행에 적절하지 못하다고 판단할 경우, 해당 인력의 교체를 요구할 수 있으며, 계약업체는 즉시 동등 이상의 자격 및 경력을 갖춘 인력으로 교체하여야 함 - 본사업의 분석, 테스트, 안정화 기간 동안 해당인력은 조정 가능한 범위 내에서 협의를 통해 최대의 시간을 할애토록 함 ○ 작업 장소 - 본 사업의 효율적인 추진을 위해 발주기관 및 사업자가 상호 협의하여 작업장소를 결정함

요구사항 고유번호		PMR-002
요구사항 명칭		사업추진전략 및 방법론
요구 사항 상세 설명	정의	효율적·체계적인 방법론 제시
	세부 내용	○ 본 사업에 적용할 추진전략 및 프로젝트 관리 방법론 제시 ○ 세부수행계획 및 수행방안을 구체적으로 제시 ○ 투입인력에 대한 역할 및 책임을 명확히 제시

요구사항 고유번호

PMR-003

요구사항 명칭

제출 산출물

요구

사항

상세

설명

정의

사업진행에 따른 제출 결과물 정의

세부

내용

○ 계약 체결 후, 10일 이내에 사업수행계획서(프로젝트 관리자 이력서, 서약서 등 포함)를 발주자에게 제출하여야 하며, 이 때 발주자는 필요시 내용의 보완을 지시할 수 있으며 사업자는 이에 응해야 함

○ 단계별 산출물 내역

단계	산출물	제출기한
공통	주간업무 보고서	매주
현황분석	수행계획서	착수 후 10일 이내
	사업계획서	기획단계(제출일자 협의)
위험평가	정보시스템 취약점점검 결과보고서	검사완료 후 2주내
	정보보호 수준점검 보고서
	취약점 점검 결과 보고서
	위험분석 결과보고서
	악성메일 대응 모의훈련 결과보고서
보호대책 수립	정보보호 규정 개정(안)
	정보보호 관리체계 운영명세서
	정보보호 대책서 등

□ 프로젝트 지원 요구사항(Project Support Requirement)

요구사항 고유번호		PSR-001
요구사항 명칭		기술지원
요구 사항 상세 설명	정의	기술지원 방안
	세부 내용	○ 사업관리 능력 향상을 위한 기술이전방안을 제시하여야 함 ○ 사업수행 과정 중 성공적인 프로젝트 관리를 위한 전문적 의견 제시 및 기술 지원 ○ 산출물 등 인수 절차 단계 시 발주기관 담당자 혹은 사업추진 부서에 효율적인 프로젝트 관리를 위한 교육 등 지원

요구사항 고유번호		PSR-002
요구사항 명칭		업무수행조건
요구 사항 상세 설명	정의	업무수행을 위한 지원조건
	세부 내용	○ 사업자는 모든 사업 진행사항을 발주자와 사전에 협의하여 수행하고 수행일정을 성실히 준수하여야 함 ○ 사업자는 사업의 주간 보고에 참석하여 사업의 진척사항, 이슈사항 등을 체크하고 수행 시 반영하여야 함 ○ 사업에 중대한 영향을 미치는 사항과 계획대비 실적이 매우 부진한 사항에 대해 별도로 모니터링 하여 발주자에게 서면 보고하여야 함 ○ 사업수행을 위한 장소 및 설비 등 기타 작업환경에 대해서는 발주기관과 사업자간 협의하여 결정

Ⅴ. 제안안내

1. 입찰방식: 제한경쟁입찰

2. 입찰참가자격

□ 적용규정

ㅇ 국가를 당사자로 하는 계약에 관한 법률 및 동법 시행령, 시행규칙

ㅇ 문화체육관광부 정보화업무 규정(훈령 제290호)

ㅇ 행정기관 및 공공기관 정보시스템 구축·운영지침 제18조(행정안전부 고시)

ㅇ 협상에 의한 계약체결 기준(기획재정부 계약예규 제538호, 2021.3.28.)

□ 참가자격

ㅇ 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제12조에  의한 입찰참가 자격요건을 갖춘 자

ㅇ 「국가를 당사자로 하는 계약에 관한 법률 시행령」제76조의 규정에 의한 부정당업자의 입찰참가자격을 제한 받은 자는 제외

ㅇ 「중소기업기본법」제2조에 따른 중·소기업자 및 「소상공인 보호 및 지원에 관한 법률」제2조에 따른 소상공인으로서 「중소기업 범위 및 확인에 관한 규정」에 따라 발급된 <소기업·소상공인 확인서>를 소지한 자

ㅇ 「국가종합전자조달시스템 입찰참가자격등록규정」에 의하여 반드시 나라장터(G2B)에 입찰서제출 마감일 전일까지 소프트웨어사업자(컴퓨터관련 서비스사업) (업종코드 1468)로 입찰참가자격을 등록한 자

□ 공동수급체의 경우, 다음 요건을 준수하여야 함.

ㅇ 공동수급(공동이행방식) 허용하며, 공동수급체 구성원은 국가를 당사자로 하는 계약에 관한 법률 시행령 제12조 및 동법 시행규칙 제14조 규정에 저촉되지 않아야 함.

ㅇ 공동수급체는 5개 이하로 구성하고, 구성원별 계약참여 최소지분율은 10% 이상이어야 함. (기획재정부 계약예규 공동계약운용요령 제9조 제5항 의거)

□ 하도급의 경우, 다음 요건을 준수하여야 함.

ㅇ 하도급 대금에 대한 기준은 직접인건비의 경우, 한국소프트웨어산업협회장이 공표한 소프트웨어 기술자 평균임금의 100% 이상으로 적용하여야 함.

ㅇ 원도급자가 지급하는 하도급 대금을 [서식 8]의 양식으로 제안서에 포함하여 제출하여야 함.

ㅇ 소프트웨어진흥법, 동법 시행령, 동법 시행규칙 및 소프트웨어사업 하도급계약의 적정성판단기준(과학기술정보통신부 고시 제2015-114호)에 따라 주관기관이 검토 후 승인

3. 낙찰자결정방식 : 협상에 의한 계약체결

□ 근거규정

ㅇ 국가를 당사자로 하는 계약에 관한 법률, 동법 시행령 및 시행규칙

ㅇ 협상에 의한 계약체결 기준(기획재정부 계약예규)

ㅇ 소프트웨어 기술성 평가기준(과학기술정보통신부 고시)

ㅇ 행정기관 및 공공기관 정보시스템 구축·운영지침 제18조(행정안전부 고시)

□ 평가 방식: 기술평가와 가격평가 실시하여 종합점수로 평가

ㅇ 「행정기관 및 공공기관 정보시스템 구축·운영지침」제18조에 의거

ㅇ 평가비율: 기술평가(90%), 가격평가(10%)

ㅇ 종합평가점수 산출 : 평가점수 = 기술평가점수 + 입찰가격평가점수

ㅇ 동점 처리방법

- 종합평가점수가 동점인 경우, 기술평가 점수가 높은 업체 선정

- 기술평가점수도 동점인 경우, 배점이 높은 평가항목에서 점수가 높은 업체 선정

- 항목별 점수도 동일한 경우, 추첨에 의해 결정

□ 기술평가 방법

ㅇ 제안서의 공정한 평가를 위해 전문가로 구성된 기술평가위원회 구성

ㅇ 제안서 발표는 사업책임자(PM)가 직접 수행하여야 함.

ㅇ 제안서 평가는 소프트웨어 기술성 평가기준에 따른 제안서 평가기준을 준용, 주관기관이 정한 기술성 평가기준에 의거하여 기술평가 실시

ㅇ 정성적 평가기준 항목별 평가배점과 방법은 [붙임 3] 참조

□ 협상적격자 및 협상순위 선정

ㅇ 기술능력평가 점수가 기술능력평가분야 배점한도의 85% 이상인 자를 협상적격자로 함. 기술능력평가분야 배점한도의 85% 이상인 자가 없는 경우에는 재입찰

ㅇ 협상순서는 협상적격자의 기술능력평가 점수와 입찰가격평가 점수를 합산하여 합산점수의 고득점순에 따라 결정함. 다만, 합산점수가 동일한 제안자가 2인 이상일 경우에는 기술능력 평가점수가 높은 제안자를 선순위자로 하고, 기술능력 평가점수도 동일한 경우에는 기술능력의 세부평가항목 중 배점이 큰 항목에서 높은 점수를 얻은 자를 선순위자로 함.

□ 기술평가 최종점수 산출

ㅇ 점수계산은 소수점 이하 3자리까지 산정 후 반올림하여 소수점 이하 2자리까지 산출

ㅇ 평가점수 집계 시 업체별 최고 및 최저 점수는 제외하고 평균점수 산정

평가 부문	평가 항목	평가기준	배점한도
전략 및 방법론 (20)	사업 이해도 와 추진전략	사업의 특성 및 목표에 부합하는 사업전략을 제시하고 있는지를 평가한다. 개발업무 수행 시 일정 및 위험요소를 고려하여 얼마나 타당한 추진 전략을 수립하였는지 평가한다.	10
	적용기술	사업에서 어떤 기술을 활용해서 컨설팅 및 점검을 진행하는지에 대한 효율성, 정확성 등을 평가한다.	10
기술 및 기능 (30)	업무환경 컨설팅 요구사항	컨설팅 방법, 산출물, 현황 분석 등에 대한 내용을 평가한다. 제안요청서에서 요구하는 컨설팅 내용에 대한 진행 방법을 평가한다.	10
	시스템 컨설팅 요구사항	서버, 네트워크 환경 분석과 개선방안 도출 방법에 대한 내용을 평가한다.	10
	개발 SW 컨설팅 요구사항	소스코드 점검 방법에 대한 구체성과 정확성에 대하여 평가한다.	10
성능 및 품질 (15)	성능 요구사항	요구 사항을 충족을 위한 점검 및 테스트 방안이 구체적으로 기술되어 있는지, 이를 위한 방법론 및 분석도구가 기술되어 있는지 평가한다. 제안한 방안 및 기술을 통해 성능 요구 사항을 충족시킬 수 있는지를 평가한다.	5
	품질 요구사항	컨설팅 산출물에 대한 품질 관리 방안이 구체적으로 계획되어 있는가를 평가한다.	10
프로 젝트 관리 (15)	관리 방법론	일정관리, 사업위험(이슈) 관리, 보안관리, 산출물의 형상·문서 관리 등 사업수행에 필요한 관리 방법론이 구체적으로 제시되어 있는지를 평가한다. 또한 문제 발생 시 보고 체계 및 위험관리 방안이 구체적으로 제시되어 있는지 평가한다.	10
	일정계획	사업수행에 필요한 수행기간과 세부일정이 구체적으로 제시되었는지 평가한다. 또한 각 활동에 필요한 일정 계획이 적절히 수립되었는지를 평가한다.	5
프로 젝트 지원 (15)	품질보증	제시된 품질보증 방안이 해당 사업의 수행에 적합한지, 정보보안 관련 대외적으로 인정받을 만한 품질보증 관련 인증을 획득한 사례가 있는지를 확인하고 평가한다.	5
	기밀보안	사업 추진 동안 악영향을 미치는 일련의 불순 활동들로부터 기밀을 보호함과 동시에 원활한 사업의 수행을 보장하기 위한 체계 및 대책에 대하여 평가한다. 기술적 보안 구현방안이 제안요청서의 보안요구사항을 충족할 만큼 구체적이고 적절한지 평가한다. 또한, 구현방안이 설계단계부터 구현 및 검증단계까지 고려하고 있는지 평가한다. 사업을 추진하는 동안 발생할 수 있는 악영향으로부터 기밀을 보호하고 원활한 사업수행의 보장을 위한 물리적, 관리적 보안 체계 및 대책이 구체적이고 적절한지 평가한다.	10
하도급 (5)	하도급 계획적정성	「소프트웨어진흥법령」에 따라 입찰 시 제출한 별지 제7호서식의 소프트웨어사업 하도급 계획서에서 하도급에 참가하는 자의 하도급 금액 비율, 하도급 계약금액 비율이 본 사업의 규모, 목적 및 특성 등을 고려하여 적정한지를 평가한다. 다만, 하도급을 하지 않는 경우 또는 하도급 금액 비율이 100분의 10이하이면서 「하도급공정화에 관한 법률」 제3조의2에 따른 소프트웨어사업 표준하도급계약서를 활용할 계획이 있는 자는 최고등급을 부여한다.	5
합계			100

Ⅵ. 제안서 제출

1. 제안서 제출 안내

□ 제출 기한 및 장소: 입찰공고 참조

□ 제출 서류

ㅇ 공동수급체를 구성하여 입찰하는 경우

- 공동수급협정서 1부(서식 6)

- 합의각서 1부(서식 7)

- 구성수급체의 사업자 등록증 사본 1부

ㅇ 기타 서류: 입찰공고 참조

□ 제출 방법: 입찰공고 참조

□ 제안요청 문의처

ㅇ 담당자: 국립국악원 국악연구실 박유성 주무관

ㅇ 연락처: 02-580-3091 , meteor99@korea.kr

□ 제안요청 설명회 : 생략

2. 제안서의 효력

□ 제출된 제안서의 내용은 주관기관이 요청하지 않는 한 변경할 수 없으며, 계약체결 시 계약조건의 일부로 간주한다.

□ 주관기관이 필요시 입찰참가자에 대하여 추가제안이나 추가 자료를 요청할 수 있으며, 이에 따라 제출한 자료는 제안서와 동일한 효력을 가진다.

□ 제안서의 모든 내용은 객관적으로 입증할 수 있어야 하고, 필요할 경우 증빙자료를 제출하여야 하며, 그 내용이 허위로 확인될 경우 또는 입증 요구에 입증하기 못하는 경우는 평가 대상에서 제외된다.

□ 계약한 후에도 제안서의 내용이 허위로 작성된 사실이 발견되거나 제안된 내용을 충족시키지 못하는 경우 제안업체는 일체의 손해에 대한 배상책임을 져야 한다.

3. 제안 유의사항

□ 제안서에는 본 제안요청서에서 요구하는 모든 사항이 기술되어야 한다.

□ 본 제안과 관련하여 제출한 제안서는 반환하지 않는다.

□ 본 제안을 위해 소요되는 일체의 비용은 제안사의 부담으로 한다.

□ 국립국악원이 제안서에 기술된 내용에 대하여 증빙자료를 요구할 경우 이를 문서로 제시하여야 한다.

□ 제안사는 제안요청사항 등 계약에 필요한 모든 사항에 관하여, 계약 전에 완전히 숙지하여야 하며, 이를 숙지하지 못한 책임은 제안사에게 있다.

□ 제안서의 모든 내용은 객관적으로 입증할 수 있어야 하고 필요할 경우 증빙자료를 제출하여야 하며, 그 내용이 허위로 확인될 경우 또는 입증 요구에 입증하기 못하는 경우는 평가 대상에서 제외된다.

□ 제안내용을 보충하기 위하여 참고문헌 활용시 참고문헌 목록을 첨부하고, 그 출처를 정확히 알 수 있도록 표기하여야 한다.

□ 제출된 제안서의 기재 내용은 실제 사실과 일치하여야 하며, 주관기관의 보완 요청이 없는 한 수정․보완할 수 없다.

□ 계약한 후에도 제안서의 내용이 허위로 작성한 사실이 발견되거나 제안된 내용을 충족시키지 못하는 경우 제안업체는 일체의 손해에 대한 배상책임을 져야 한다.

□ 제안서 작성 시 필요한 경우, 국악원을 방문하여 정보시스템의 내용을 확인할 수 있다. (시스템 장비목록, 표준운영매뉴얼에 한함)

□ 주요사업실적 및 참여인력 이력사항은 한국소프트웨어산업협회에서 발급하는 ‘소프트웨어기술자 기술경력증명서’로 제출하여야 한다.

□ 제안서 인력은 컨소시엄 구성원의 자사인력으로 구성하여야 한다.

ㅇ 참여업체의 범위, 역할 등의 구체적으로 명확히 제시하여야 하며, 낙찰자로 결정된 이후에 컨소시엄 구성원을 변경할 수 없다.

ㅇ 채용예정인력인 경우에는 별도로 이를 명기하고, 계약체결 전까지 채용을 완료하여야 한다.

ㅇ 적법한 파견근로자는 자사인력으로 간주하나, 원 소속사를 반드시 명기하여야 한다.

ㅇ 컨소시엄 소속 외의 인력은 하도급으로 간주하며, 주관기관의 승인을 얻지 못할 경우에는 컨소시엄 구성원의 자사인력으로 대체하여야 한다.

ㅇ 단, 상용 S/W, 패키지 등의 서비스 지원인력 등 통상적인 개발인력이 아닌 경우 제안서에 명기하지 않는다. (참여인력에서 제외)

4. 제안서 평가 유의사항

□ 평가결과에 대해 제안사는 이의를 제기할 수 없다.

□ 제안내용은 꼭 필요한 사항 위주로 간단명료하게 작성되어야 하며, 내용 중 ∼할 수도 있다, ∼고려하고 있다 등의 애매모호한 표현은 구축할 수 없는 것으로 간주한다.

□제안내용의 평가에 대한 세부기준과 협상결과는 공개하지 않는다.

< 서식 및 첨부자료 >

[붙임 1] 사업자 보안위규 처리 기준

[붙임 2] 보안 위약금 부과 기준

[붙임 3] 제안서 기술평가 항목 및 배점기준

[서식 1] 일반현황 및 연혁

[서식 2] 자본금/매출액 및 주요사업실적

[서식 3] 실적증명원

[서식 4] 수행조직 및 업무분장

[서식 5] 참여인력 이력사항

[서식 6] 공동수급표준협정서(공동이행방식)

[서식 7] 합의각서

[서식 8] 하도급 대금지급 비율명세서

[서식 9] 하도급 승인신청서

[서식 10] 확약서

[서식 11] 보안 서약서

[서식 12] 비밀유지 계약서

[서식 13] 외부인력 보안 관리 확인서

[서식 14] 업무 인수·인계 확인서

[서식 15] 클린행정 협조서

[서식 16] 개인정보처리위탁 계약서

[서식 17] 개인정보위탁 보안서약서

[서식 18] 개인정보보호 자체실태점검

[서식 19] 용역사업 장비관리대장

[서식 20] 용역사업 보안점검대장

[서식 21] 용역직원 보안점검대장

[서식 22] 교육훈련계획 및 실적

[서식 23] 자료 미보유 확약서

[서식 24] 과업변경 신청서

[서식 25] 과업변경 통보서

붙임 1] 사업자 보안위규 처리 기준

사업자 보안위규 처리기준

구 분	위 규 사 항	처 리 기 준
심각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	◦사업참여 제한 ◦위규자 및 직속 감독자 교체 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시
중대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보ㆍ신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제구혁 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·유지보수 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	◦위규자 및 직속 감독자 교체 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시

사업자 보안위규 처리 절차

경위 확인	▶	보안위규 처리기준에 따라 조치	▶	재발방지 대책	▶	보안조치 이행여부 점검

[붙임 2] 보안 위약금 부과 기준

보안 위약금 부과 기준

1. 위규 수준별로 A~D 등급으로 차등 부과

구분	위규 수준
	A급	B급	C급	D급
위규	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
위약금 비중	부정당업자 등록	계약금액의 2% 이내	계약금액의 1% 이내	계약금액의 0.5% 이내

* 사업자 보안위규 처리 기준은 [붙임2] 참고

2. 보안 위약금은 다른 요인에 의해 상쇄, 삭감이 되지 않음

3. 사업 완료시 또는 매월 계약금액 지출시, 지출금액 조정을 통해 위약금 정산

[붙임 3] 제안서 정성적 평가 항목 및 배점

제안서 정성적 평가 항목 및 배점기준

평가 부문	평가 항목	평가기준	배점한도
전략 및 방법론 (20)	사업 이해도 와 추진전략	사업의 특성 및 목표에 부합하는 사업전략을 제시하고 있는지를 평가한다. 개발업무 수행 시 일정 및 위험요소를 고려하여 얼마나 타당한 추진 전략을 수립하였는지 평가한다.	10
	적용기술	사업에서 어떤 기술을 활용해서 컨설팅 및 점검을 진행하는지에 대한 효율성, 정확성 등을 평가한다.	10
기술 및 기능 (30)	업무환경 컨설팅 요구사항	컨설팅 방법, 산출물, 현황 분석 등에 대한 내용을 평가한다. 제안요청서에서 요구하는 컨설팅 내용에 대한 진행 방법을 평가한다.	10
	시스템 컨설팅 요구사항	서버, 네트워크 환경 분석과 개선방안 도출 방법에 대한 내용을 평가한다.	10
	개발 SW 컨설팅 요구사항	소스코드 점검 방법에 대한 구체성과 정확성에 대하여 평가한다.	10
성능 및 품질 (15)	성능 요구사항	요구 사항을 충족을 위한 점검 및 테스트 방안이 구체적으로 기술되어 있는지, 이를 위한 방법론 및 분석도구가 기술되어 있는지 평가한다. 제안한 방안 및 기술을 통해 성능 요구 사항을 충족시킬 수 있는지를 평가한다.	5
	품질 요구사항	컨설팅 산출물에 대한 품질 관리 방안이 구체적으로 계획되어 있는가를 평가한다.	10
프로 젝트 관리 (15)	관리 방법론	일정관리, 사업위험(이슈) 관리, 보안관리, 산출물의 형상·문서 관리 등 사업수행에 필요한 관리 방법론이 구체적으로 제시되어 있는지를 평가한다. 또한 문제 발생 시 보고 체계 및 위험관리 방안이 구체적으로 제시되어 있는지 평가한다.	10
	일정계획	사업수행에 필요한 수행기간과 세부일정이 구체적으로 제시되었는지 평가한다. 또한 각 활동에 필요한 일정 계획이 적절히 수립되었는지를 평가한다.	5
프로 젝트 지원 (15)	품질보증	제시된 품질보증 방안이 해당 사업의 수행에 적합한지, 정보보안 관련 대외적으로 인정받을 만한 품질보증 관련 인증을 획득한 사례가 있는지를 확인하고 평가한다.	5
	기밀보안	사업 추진 동안 악영향을 미치는 일련의 불순 활동들로부터 기밀을 보호함과 동시에 원활한 사업의 수행을 보장하기 위한 체계 및 대책에 대하여 평가한다. 기술적 보안 구현방안이 제안요청서의 보안요구사항을 충족할 만큼 구체적이고 적절한지 평가한다. 또한, 구현방안이 설계단계부터 구현 및 검증단계까지 고려하고 있는지 평가한다. 사업을 추진하는 동안 발생할 수 있는 악영향으로부터 기밀을 보호하고 원활한 사업수행의 보장을 위한 물리적, 관리적 보안 체계 및 대책이 구체적이고 적절한지 평가한다.	10
하도급 (5)	하도급 계획적정성	「소프트웨어진흥법령」에 따라 입찰 시 제출한 별지 제7호서식의 소프트웨어사업 하도급 계획서에서 하도급에 참가하는 자의 하도급 금액 비율, 하도급 계약금액 비율이 본 사업의 규모, 목적 및 특성 등을 고려하여 적정한지를 평가한다. 다만, 하도급을 하지 않는 경우 또는 하도급 금액 비율이 100분의 10이하이면서 「하도급공정화에 관한 법률」 제3조의2에 따른 소프트웨어사업 표준하도급계약서를 활용할 계획이 있는 자는 최고등급을 부여한다.	5
합계			100

※상생협력 및 하도급 계약 적정성 평가 기준

- ‘상생협력’ 평가항목의 중소기업인 소프트웨어사업자 참여 공동수급체 지분율별 평가등급

중소기업인 소프트웨어사업자 참여 지분율	평가 등급
50% 이상	5등급
45% 이상～ 50% 미만	4등급
40% 이상～ 45% 미만	3등급
35% 이상～ 40% 미만	2등급
35% 미만	1등급

[서식 1] 일반현황 및 연혁

일반현황 및 연혁

회 사 명		대 표 자
사 업 분 야
주 소
전 화 번 호
설 립 년 도	년 월
해당부문 종사기간	년 월 ～ 년 월 ( 년 개월)
주요연혁

[서식 2] 자본금/매출액 및 주요사업실적

자본금 및 매출액 (최근 3년)

(단위 : 천원)

구 분		M-2 년도	M-1 년도	M 년도
자 본 금
매 출 액	⃝⃝부문 ⃝⃝부문 ⃝⃝부문 ⃝⃝부문
	합 계

주요사업실적(최근 3년)

( 단위 : 천원 )

사 업 명	사 업 기 간	계 약 금 액	발 주 처	비 고 (증빙서류 제출 여부)
총 건수 : 건	총 액	천원

※ 현재 수행중인 사업도 포함하여 연도순으로 기재하며, 제안과제와 유관한 것만 기재한다.

※ 하도급은 발주처가 승인한 경우에 한하여 작성하며 비고란에 원도급회사를 기재한다.

※ 공동도급계약일 경우에는 계약금액란에 제안사의 지분만을 기재한다.

※ 한국소프트웨어산업협회에서 발급하는 이행실적확인서를 첨부한다.

※ 실적을 확인할 수 있는 실적확인서, 계약서 등의 증거서류제출, 확인이 불가능한 실적은 인정하지 않음

※ 실적증명자료는 붙임으로 첨부하여야 하며 실적증명첨부서류에 페이지를 명시하여 주요사업실적 비고란에 페이지를 표시하여야 함

[서식 3] 실적증명원

실 적 증 명 원

신청인	업 체 명			대 표 자
	영업소재지			전화번호
	사업자번호			제 출 처
	증명서 용도
	용역범위 및 기준
용역이행 실적내용	용 역 명				구 분
	용역개요
	계약번호	계약일자	계약기간			규모	이행실적				비고
							비율			실적
증 명 서 발급기관	위 사실을 증명함 년 월 일 (인) 발주기관 직인
	기 관 명 : (전화번호 : )
	주 소 : (FAX 번호 : )
	발급부서 : (담당자 : )

[서식 4] 수행조직 및 업무분장

수행조직 및 업무분장

[ 조직도 ]

※ 사업수행주체, 각 분과별 연계도 등 표시

※ 컨소시엄 구성 시 해당기관 표시

[ 업무분장 ]

연구분과	주요 기능	세부 수행역할	담 당
			인원수	대표자
총괄	ㅇ 사업수행 책임 총괄	ㅇ ㅇ
		ㅇ ㅇ
		ㅇ ㅇ
		ㅇ ㅇ
		ㅇ ㅇ

[서식 5] 참여인력 이력사항

참여인력 이력사항

성 명			소 속
직 책			해당분야근무경력	년 개월
자격증			기술등급
본 사업참여 임무				목표투입공수

경 력
사 업 명	참 여 기 간 (년월 ～ 년월)	담 당 업 무	발 주 처	비 고

※ 경력관리기관에서 발행하는 증빙서류(SW기술자 경력증명서), 또는 기타 경력을 증빙할 수 있는 서류 제출

[서식 6] 공동수급표준협정서(공동이행방식)

공동수급표준협정서(공동이행방식)

제1조 (목적) 이 협정서는 ○○○, ○○○와 ○○○사가 재정․경영, 기술능력 인원 및 기자재를 동원하여 「2015년 국립국악원 정보시스템 통합유지관리 사업」에 대한 계획․입찰․시공 등을 위하여 공동 연대하여 사업을 영위할 것을 약속하는 협약을 정함에 있다.

제2조 (공동수급체) 공동수급체의 명칭, 사업소의 소재지, 대표자는 다음과 같다.

1. 명             칭 :

2. 주사업소의 소재지 :

3. 대   표    자  명 :

제3조 (공동수급체의 구성원) ① 공동수급체의 구성원은 다음과 같다.

1. ○○○회사(대표자 :           )

2. ○○○회사(대표자 :           )

3. ○○○회사(대표자 :           )

② 공동수급체의 대표자는 ○○○로 한다.

③ 대표자는 발주자 및 제3자에 대하여 공동수급체를 대표하며, 공동수급체 재산의 관리 및 대금의 청구 등의 권한을 가진다.

제4조 (효력기간) 본 협정서는 당사자간의 서명과 동시에 발효하며, 당해계약의 이행으로 종결된다. 다만, 발주자 또는 제3자에 대하여 공사와 관련한 권리의무관계가 남아있는 한 본 협정서의 효력은 존속된다.

제5조 (의무) 공동수급체 구성원은 제1조에서 규정한 목적을 수행하기 위하여 성실․근면 및 신의를 바탕으로 하여 필요한 모든 지식과 기술을 활용할 것을 약속한다.

제6조 (책임) ① 공동수급체의 구성원은 발주자에 대한 계약상의 의무이행에 대하여 연대하여 책임을 진다.

② 공동수급체의 하도급자 및 납품업자에 대해서도 공동연대로 책임을 진다.

제7조 (하도급) 공동수급체의 구성원은 분담부분의 전체 또는 일부를 하도급 할 수 없으며, 이 경우에 지식정보자원관리사업 계약특수조건 제13조에 따라 처벌받을 수 있다.

제8조 (구성원의 참여비율) ① 당 공동수급체의 참여비율은 다음과 같이 정한다.

1. ○○○ :           %

2. ○○○ :           %

3. ○○○ :           %

② 제1항의 비율은 발주자와의 계약내용 변경에 따라 계약금액이 증감되었을 때에는 이에 따라 변경할 수 있다.

③ 현금 이외의 출자는 시기를 참작, 구성원이 협의 평가하는 것으로 한다.

제9조 (손익의 배분) 도급계약을 이행한 후 이익 또는 손실이 발생하였을 경우에는 제8조에서 정한 비율에 따라 배당하거나 분담한다.

제10조 (권리․의무의 양도 제한) 구성원은 이 협정서에 의한 권리와 의무를 제3자에게 양도할 수 없다.

제11조 (중도탈퇴에 대한 조치) ① 공동수급체의 구성원은 발주자 및 구성원 전원의 동의가 없으면 입찰 및 당해계약의 이행을 완료하는 날까지 탈퇴할 수 없다.

② 구성원중 일부가 파산 또는 해산․부도 등으로 계약을 이행할 수 없는 경우에는 잔존 구성원이 공동 연대하여 당해계약을 이행한다. 다만, 잔존 구성원만으로는 면허․도급한도액 등 당해계약이행 요건을 갖추지 못할 경우에는 발주자의 승인을 얻어 당해요건을 충족하여야 한다.

③ 대표자가 제2항의 경우에 의해 계약을 이행할 수 없는 경우 잔존 구성원 중 출자비율이 가장 높은 구성원을 대표자로 하며, 대표자의 권리와 의무를 승계한다.

④ 제2항의 경우 출자비율은 탈퇴자의 출자비율을 잔존 구성원의 출자비율에 따라 분할하여 제8조의 비율에 가산한다.

⑤ 탈퇴하는 자의 출자금은 계약이행 완료후 제9조의 손실을 공제한 잔액을 반환한다.

제12조 (하자담보책임) 공동수급체가 해산한 후 당해 공사에 관하여 하자가 발생한 경우에는 연대하여 책임을 진다.

제13조 (운영위원회) ① 공동수급체는 공동수급체 구성원을 위원으로 하는 운영위원회를 설치하여 계약이행에 관한 제반사항을 협의한다.

② 이 협정서에 규정되지 아니한 사항은 운영위원회에서 정한다.

위와 같아 공동수급협정을 체결하고 그 증거로서 협정서 ○통을 작성하여 각 통에 공동수급체 구성원이 기명날인하여 각자 보관한다.

0000년  월   일

○○○ (인)

○○○ (인)

○○○ (인)

[서식 7] 합의각서

합 의 각 서

입찰공고번호	입찰공고 제 호	입 찰 일 자	년 월 일
입 찰 건 명

우리는 위의 입찰에 공동수급체를 결성 입찰에 참가하고자 귀 기관에서 정한 각종 조건, 유의서 및 입찰공고사항을 전적으로 승낙하며 또한 대표자는 각 구성원이 합의한 금액으로 입찰하겠으며, 낙찰시 모든 구성원은 대표자가 투찰한 입찰금액으로 이의 없이 계약 체결 및 이행을 성실히 수행하는 것에 합의하였기에 이에 합의각서를 제출합니다.

년    월    일

공동수급체 대표자

주사무소 소재지

상           호

성           명                       (인)

사업자등록번호

생   년   월   일

공동수급체 구성원

주사무소 소재지

상           호

성           명                       (인)

사업자등록번호

생   년   월   일

공동수급체 구성원

주사무소 소재지

상           호

성           명                       (인)

사업자등록번호

생   년   월   일

[서식 8] 하도급 대금지급 비율 명세서

하도급 대금지급 비율 명세서
원도급자				하도급자
사 업 명				하 도 급 사 업 명
회 사 명				회 사 명
사업기간				하 도 급 기 간
				하도급 지급대금		원
하도급 지급 대금 세부내역	구분	기술 등급	①SW 월 노임단가	②투입 인력 (MM)	③MM당 하도급 대가		④지급 금액 (②x③)	⑤지급 비율
	MM	기술사
		특급기술자
		고급기술자
		중급기술자
		초급기술자
		합 계
상기와 같이 합의하였음을 확인합니다. 년 월 일 (원도급자) 직인 (하도급자) 직인
첨부서류 : 하도급 부문 산출 내역서

① SW 월노임단가 : SW산업협회에서 공표하는 일노임단가 × 근무일수

③ SW하도급 대가 : 원도급자가 하도급자에게 지급하는 직접인건비 + 제경비 + 기술료

⑤ 지급비율 : ∑지급급액 ÷ ∑(SW 월노임단가 × 투입인력)

[서식 9] 하도급 승인 신청서

하도급 승인 신청서
사 업 명
주 관 기 관				사 업 자
사 업 기 간		년 월 일 ~ 년 월 일		사업비 총액
하도급 승인 신청 내역
연번	업체명	내 용	하도급 금액		사업비 총액 대비 비율		비 고
1		(*필요시 별지 사용)
2			(누적 금액)		(누적 비율)
3			(누적 금액)		(누적 비율)
하도급 신청 사유		(*필요시 별지 사용)
붙임과 같이 하도급 승인을 신청합니다. 붙 임 : 1. 하도급 업체 상세 내역 (*별지를 사용하여 상세히 기술할 것) 년 월 일 주 소 : 상 호 : 대표자 : □ 국립국악원장 귀하

[서식 10] 확약서

확    약    서

○ 공고번호 :

○ 사 업 명 :

○ 사업기간 :

1. 제출된 모든 관련 증빙서류는 성실하게 작성 제출하며, 만일 허위 기재 사항이 확인될 경우에는 참가자격에서 제외되어도 아무런 이의를 제기하지 않겠습니다.

2. 위 사업을 위한 사업자 선정 방식 및 제안요청서 내용을 충분히 이해하여 제안서를 제출하고 향후 평가방식 및 협상대상자 선정결과에 대하여 어떠한 이의(민·형사·민원제기 등)도 제기하지 않을 것이며, 우선협상대상자로 선정 시 충실하게 용역을 이행할 것임을 확약합니다.

년     월     일

업    체    명 :

사업자등록번호 :

주           소 :

연    락    처 :

대  표  이  사 :               (인)  * 반드시 법인인감 날인

국립국악원장 귀하

[서식 11] 보안 서약서

보안 서약서(개인용)

본인은     년   월   일부로                관련한 업무(연구개발, 제작, 입찰, 기타)를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은                관련된 소관업무가 기밀 사항임을 인정하고   제반 보안관계규정 및 지침을 성실히 준수한다.

2. 나는 이 기밀을 누설함이 국가이익을 침해할 수도 있음을 인식하고 재직 중은 물론 퇴직 후에도 알게 된 모든 기밀사항을 일체 타인에게 누설하지 아니한다.

3. 나는 기밀을 누설한 때에는 아래의 관계법규에 따라 엄중한 처벌을 받을 것을 서약한다.

가. 전자정부법 제35조(금지행위) 및 제76조(벌칙)

년      월      일

서약자    업체명       부서        생년월일

직위        성    명         (서명)

서  약    소속

집행자                 직위        성    명         (서명)

보안 서약서 (업체대표용)

본인은     년   월   일부로                관련 용역사업(업무)을 수행함에 있어 다음사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은                관련 업무 중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정한다.

2. 본인은 이 기밀을 누설함이 국가안전보장 및 국가이익에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나 공개하지 아니한다.

3. 본인이 이 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

4. 본인은 하도급업체를 통한 사업 수행 시 하도급업체로 인해 발생하는 위반사항에 대하여 모든 책임을 부담한다.

년      월      일

서  약  자        업   체   명 :

(업체 대표)        직        위 :

성        명 :                        (서명)

생 년  월 일 :

서약집행자        소        속 :

(담 당 자)         직        위 :

성        명 :                        (서명)

생 년  월 일 :

[서식 12] 비밀유지 계약서

비밀유지 계약서

○○○○○(이하 “발주자”)와 ○○○○○(이하 “계약상대자”)는 다음과 같이 비밀유지계약을 체결한다.

제1조(계약의 목적) 발주자는 “○○○○○ 용역” (이하 “본 용역”)사업과 관련하여 자료·장비 등에 대한 내용(신규 포함)을 계약상대자에게 제공하는바, 발주자가 제공한 자료·장비 등에 대한 대외보안이 필요함에 계약상대자에게 비밀유지 의무를 부과하고자 본 계약을 체결한다.

제2조(정의)

1. “발주자”라 함은 ○○○○○ 기관을 말한다.

2. “계약상대자”라 함은 발주자와 본 용역계약을 체결한 업체를 말한다.

3. “본 용역”이라 함은 본 용역계약에 해당하는 사업을 말한다.

4. “비밀정보”란 발주자가 비밀 및 대외비로 분류된 자료와 본 계약에 표기된 중요한 자료·장비를 말한다.

5. “정보시스템”은 발주자의 업무처리 및 의사결정을 지원하기 위한 정보를 수집·검색·처리·저장하는 관련 요소들의 집합을 말한다.

제3조(비밀정보의 범위) ① 발주자의 본 용역 사업을 위한 비밀정보의 범위는 다음과 같다.

◈ 누출금지 대상정보

1. 해당 기관의 정보시스템 내ㆍ외부 IP주소 현황

2. 정보시스템 구성 현황 및 정보통신망 구성도

3. 개별사용자의 계정ㆍ비밀번호 등 정보시스템 접근권한 정보

4. 정보통신망 또는 정보시스템 취약점 분석ㆍ평가 결과물

5. 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당)

6. 암호자재, 암호가 주 기능인 제품 및 정보보호시스템 도입ㆍ운용 현황

7. 정보보호시스템 및 네트워크장비 설정 정보

8.「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 해당 기관의 내부문서

9.「개인정보보호법」제2조제1호에 따른 개인정보

10.「보안업무규정」제4조에 따른 비밀 및 ｢보안업무규정 시행규칙｣ 제16조제3항에 따른 대외비

11. 그 밖에 해당 기관의 장이 공개가 불가하다고 판단한 자료

② 전항의 비밀정보의 소유권은 발주자가 계속 보유한다.

제4조(비밀정보의 사용용도 제한) 계약상대자는 본 용역 사업을 수행하기 위해 발주자가 제공하거나 생성된 비밀정보에 대하여 발주자의 본 사업을 위해서만 사용되어야 한다.

제5조(비밀정보의 제공) 본 용역 사업 수행을 위해 계약상대자가 발주자로부터 제공받은 비밀정보를 제3자에게 제공해야 할 경우 반드시 발주자의 사전 서면 동의를 얻어야 한다.

제6조(비밀정보의 비밀유지 의무) 계약상대자는 당해 계약을 통하여 얻은 비밀정보를 계약 이행의 전후를 막론하고 계약 종료후에도 제3자에게 공개, 제공 또는 누출(누설)할 수 없다. 단 발주자의 사전 서면 동의를 받은 경우는 제외한다.

제7조(손해배상의 책임) ① 계약상대자는 본 계약상 비밀정보의 비밀유지 의무를 위반함으로써 발주자에게 손해를 가한 경우에는 발주자는 손해금액 및 법정 비용을 계약상대자에게 손해배상을 청구할 수 있다.

② 계약상대자의 임직원이 한 행위에 대해서도 전항을 적용한다.

③ 하도급 및 재하도급의 경우 하수급인 및 재하수급인의 비밀정보의 비밀유지 의무 위반에 대해서도 계약상대자는 동일한 책임을 부담한다. 단 불가항력의 사유로 비밀정보의 비밀유지 의무를 위반한 경우 계약상대자는 불가항력의 사유를 증명함으로써 발주자의 손해배상 청구에 대한 책임을 면할 수 있다.

제8조(정보의 지적재산권) ① 본 용역 사업의 이행에 의해 발생한 산출물 및 결과물(개발된 SW 모듈 포함)의 소유권 및 지적재산권은 공동으로 소유한다.

② 제1항에도 불구하고 보안관련 산출물 및 결과물의 소유권, 지적재산권 및 2차적저작물작성권은 발주가 소유한다.

제9조(정보의 회수) 발주자가 제공한 자료·장비·서류·기타 당해 계약과 관련된 정보의 반환을 요청하는 경우 계약상대자는 정보의 원본 및 사본(수정물도 포함)을 남기지 않고 모두 발주자에게 반환하여야 한다. 반환에 발생하는 비용은 계약상대자가 부담하기로 한다.

제10조(계약기간) ① 본 계약의 기간은 본 용역(사업)의 계약기간과 동일하며, 양 당사자의 합의에 따라 단축 또는 연장될 수 있다.

② 전항의 계약기간에도 불구하고 비밀유지의무는 제6조에 따른다.

제11조(양도 등의 금지) 계약상대자는 본 계약의 권리 및 의무의 일부 또는 전부를 제3자에게 양도, 하도급, 담보제공 등 일체의 처분행위를 할 수 없다.

제12조(계약의 변경) 본 계약의 내용은 발주자와 계약상대자 간의 서면 합의에 의해서만 유효하게 변경 또는 수정될 수 있다.

제13조(준용규칙) 본 계약서에 명시되지 아니하거나 해석상 이견이 있는 사항은 발주자와 계약상대자의 본 용역 사업 관련 계약서 및 국가를 당사자로 하는 계약에 관한 법령, 기획재정부 회계예규 등 관련 법령 및 규정을 준용한다.

제14조(계약의 효력) 본 계약은 당사자가 계약서에 적법하게 서명 또는 기명, 날인하여 계약을 체결한 날로부터 발효된다. 다만, 본 비밀유지계약서를 체결한 일자와 용역계약을 체결한 일자가 다를 경우 용역계약을 체결한 일자에 발효되기로 한다.

20  년    월    일

기    관    명

기관장       (인)

회      사     명

대표          (인)

[서식 13] 외부인력 보안 관리 확인서

외부인력 보안 관리 확인서(사업종료시)

□ 사업명 :

기관 상주기간	소속	성명	반납 물품 확인 (노트북, PC, USB)	업무자료 반납(삭제) 확인 * 유출 금지대상 자료

위 직원이 귀 기관의 용역 사업을 수행하는 과정에서 산출, 보유하고 있던  일체의 자료를 반납/삭제하고 사용하던 물품을 반납하였음을 확인합니다.

년       월       일

소속 :                  직급 :          성 명 : _________  (서명)

국립국악원장 귀하

[서식 14] 업무 인수·인계 확인서

업무 인수·인계 확인서

구분	내용
대상업무
업무 내용
산출물 목록
위와 같이 모든 업무 자료를 누락 없이 인수 인계함. 년 월 일 인계자 소속 : 직위 : 이름 : (인) 인수자 소속 : 직위 : 이름 : (인)

[서식 15] 클린행정 협조서

클린행정 협조서

맑고 깨끗하며 최고의 클린행정서비스를 제공하고자 노력하는 귀 기관의 노력에 적극적으로 협조할 것임을 다음과 같이 다짐합니다.

Ⅰ.  관계법령이나 규정에 저해되는 일체의 불공정한 행위는 물론, 어떠한 압력이나 청탁도 행사하지 않겠습니다.

Ⅰ.  담당직원에게 금품이나 선물, 향응이나 접대 등을 제공하지 않겠습니다.

Ⅰ.  위와 같은 귀 기관의 클린행정 노력에 적극 협조․동참 하겠습니다.

20  .     .    .

서약자 :            (서명)

국립국악원장 귀하

[서식 16] 개인정보처리위탁 계약서

표준 개인정보처리위탁 계약서

개인정보처리위탁 계약서

국립국악원(이하 “갑”이라 한다)과 △△△(이하 “을”이라 한다)는 “갑”의 개인정보 처리업무를 “을”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.

제1조 (목적) 이 계약은 “갑”이 개인정보처리업무를 “을”에게 위탁하고, “을”은 이를 승낙하여 “을”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 개인정보보호법, 동법 시행령 및 시행규칙, 「표준 개인정보 보호지침」(행정안전부 예규 제45호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “을”은 계약이 정하는 바에 따라 국립국악원 업무시스템 운영관리 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.

각호의 업무 예시 : 고객만족도 조사 업무, 회원가입 및 운영 업무, 사은품 배송을 위한 이름, 주소, 연락처 처리 등

1. 회원 및 직원 DB정보의 열람, 수정

2. 직원의 업무상 DB 이용 로그 및 시스템 이용 로그 등

제4조 (위탁업무 기간) 이 계약서에 의한 개인정보 처리업무의 기간은 다음과 같다.

위탁계약 기간 : 계약일로부터 ~ 사업 종료일까지

제5조 (재위탁 제한) ① “을”은 “갑”의 사전 승낙을 얻은 경우를 제외하고 “갑”과의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “을”이 재위탁받은 수탁회사를 선임한 경우 “을”은 당해 재위탁계약서와 함께 그 사실을 즉시 “갑”에 통보하여야 한다.

제6조 (개인정보의 안전성 확보조치) “을”은 개인정보보호법 제29조, 동법 시행령 제30조 및 개인정보의 안전성 확보조치 기준 고시(행정안전부 고시 제2011-43호)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제7조 (개인정보의 처리제한) ① “을”은 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “을”은 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보보호법」시행령 제16조에 따라 즉시 파기하거나 “갑”에게 반납하여야 한다.

③ 제2항에 따라 “을”이 개인정보를 파기한 경우 지체없이 “갑”에게 그 결과를 통보하여야 한다.

제8조 (수탁자에 대한 관리·감독 등) ① “갑”은 “을”에 대하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속현황

3. 개인정보 접근 또는 접속 대상자

4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “갑”은 “을”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이행하여야 한다.

③ “갑”은 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 1회 이상 “을”을 교육할 수 있으며, “을”은 이에 응하여야 한다.

「개인정보의 안전성 확보조치 기준」(행정안전부 고시) 및 「개인정보 보호법」 제26조에 따라 개인정보처리자 및 취급자는 개인정보보호에 관한 교육을 의무적으로 시행하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “갑”은 “을”과 협의하여 시행한다.

제9조 (정보주체 권리보장) “을”은 정보주체의 개인정보 열람, 정정·삭제, 처리 정지 요청 등에 대응하기 위한 연락처 등 민원 창구를 마련해야 한다.

제10조 (개인정보의 파기) “을”은 제4항의 위탁업무기간이 종료되면 특별한 사유가 없는 한 지체 없이 개인정보를 파기하고 이를 “갑”에게 확인받아야 한다

제11조 (손해배상) ① “을” 또는 “을”의 임직원 기타 “을”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “을” 또는 “을”의 임직원 기타 “을”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “갑” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “을”은 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “갑”이 전부 또는 일부를 배상한 때에는 “갑”은 이를 “을”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “갑”과 “을”이 서명 또는 날인한 후 각 1부씩 보관한다.

갑 ○○시 ○○구 ○○동 ○○번지 성 명 : (인)	을 ○○시 ○○구 ○○동 ○○번지 성 명 : (인)

[서식 17] 개인정보 위탁 보안서약서

개인정보 위탁 보안서약서

① 위탁업체 대표용

개인정보 취급위탁(제공) 계약 보안 서약서

_____________(이하 “을”이라 한다)은 국립국악원(이하 “갑”이라 한다)의 개인정보 취급 위탁 업무수행에 따른 정보 및 개인정보취급 시스템(DBMS)의 안전한 보호를 위해 아래 각 호의 사항을 준수한다.

1. 을은 갑의 정보보호 규정을 준수하며 갑이 취급위탁한 개인정보(정보 및 정보시스템)을 안전하게 사용․관리하며, 개인정보의 보호를 위해 다음의 사항을 준수한다.

1) 갑의 정보보호 규정 및 개인정보보호 관련 법규의 준수

2) 업무상 알게된 개인정보에 관한 비밀 유지

3) 제공받은 목적 외 제공 금지

4) 제공받거나 허가받은 개인정보 취급 업무 및 취급권한의 제3자 공유 금지

5) 취급업무의 종료시의 파기 등 의무사항의 이행

6) 갑의 규정 및 관련 법규의 미준수 또는 관리소홀로 인해 발생한 개인정보 사고에 대한 책임 부담

2. 을은 갑의 업무 수행을 위해 담당하는 직원에 대하여 책임을 진다.

3. 을은 갑의 사전 승인을 받지 못한 프로그램 및 정보기기는 갑의 업무와 관련하여 사용하지 않는다.

4. 을은 갑의 정보보호 정책과 반하는 행위로 야기되는 문제에 대해 민․형사상 책임을 진다.

이를 상기 숙지하고 성실히 준수할 것을 서약함

20 년 월 일
수탁업체 대표:	(인)

② 위탁업체 직원용

개인정보 위탁 사업자 서약서

본인은 국립국악원(이하 “국악원”)의 용역사업 직원으로 개인정보취급자로써, 금번 사업 “OOOO사업”을 수행함에 있어, 본 서약서가 근무기간 뿐 아니라 퇴직 후에도 적용될 수 있음을 인식하고 있으며 회사규정을 준수하고 업무와 관련하여 지득한 모든 사항에 대하여 일체 누설하지 않을 것이며, 이로 인한 문제 발생 시 책임을 다할 것임을 서약합니다.

1. 나는 국악원로부터 취득한 모든 개인정보를 위탁업무에 한해 이용할 것이며, 타기업의 보호대상 정보를 국악원 내 보관치 않겠다.

2. 나는 상대가 누구이건 간에 알 필요가 없는 자에게 직무상 알게 된 국악원 혹은 제3자의 개인정보를 누설하지 않을 것이다.

3. 나는 명백히 허가 받지 않은 정보나 시설에 접근하지 않으며, 국악원 관련 업무를 수행할 때에는 사내에서 지정되고 허가된 데이터 처리시설 및 설비만을 이용할 것이다.

4. 나는 업무와 관련한 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기 및 그 밖에 이와 유사한 일체의 행위에 대하여 국악원의 규정과 통제절차를 준수할 것이다.

5. 나는 나에게 할당된 사용자 ID, 패스워드, 출입증, 개인정보 처리시스템을 타인과 공동 사용하거나 관련정보를 누설하지 않겠다.

6. 나는 국악원으로부터 제공받은 개인정보자산(서류, 사진, 영상, 전자파일, 저장매체 등)을 무단변조, 복사, 훼손, 분실 등으로 부터 안전하게 관리하겠으며 승인 받지 않은 프로그램 정보저장 매체를 국악원 내에서 사용하지 않겠다.

7. 나는 퇴직 시 국악원에서 제공받은 국악원소유 모든 정보자산을 반드시 반납할 것이며, 퇴직 후에도 퇴직전의 모든 고객 정보는 물론이고 영업비밀 등 기타 누설됨으로 인하여 국악원에 손해가 될 수 있는 각종 정보에 대하여는 일체 누설하지 않겠다.

상기 사항을 숙지하고 이를 성실히 준수할 것을 동의하며 서약서의 보안사항을 위반하였을 경우에는 “개인정보보호법”, “정보통신망이용촉진 및 정보보호 등에 관한 법률”, “부정경쟁 방지 및 영업비밀보호에 관한 법률” 등 관련법령에 의한 민/형사상의 책임 이외에도, 국악원의 사규나 관련 규정에 따른 징계조치 등 어떠한 불이익도 감수할 것이며 국악원에 끼친 손해에 대해 지체 없이 변상/복구할 것을 서약합니다.

20  년   월   일

소속	사번	직위	성명	서명

[서식 18] 개인정보보호 자체실태점검

개인정보보호 자체실태점검

사업수행업체			사업명
점검일시			점검구분
개인정보보호 실태점검 체크리스트
번호	점 검 항 목				예	아니오	해당 없음
1	개인정보 보호책임자는 지정되어 있는가?
2	개인정보 보호 교육계획을 수립하여 시행하고 있는가?
3	재위탁을 하거나 위탁 목적 외로 개인정보를 활용하지 않는가?
4	개인정보가 관리되는 PC, 시스템에 비인가 프로그램(P2P, 웹하드)등의 접속을 차단하는가?
5	개인정보파일 및 해당 개인정보에 접근하는 PC 및 시스템에 패스워드를 설정하여 관리하는가?
6	개인정보파일 및 해당 개인정보에 접근하는 PC 및 시스템에 보안프로그램이 설치 및 주기적 업데이트(일 1회)를 설정하여 관리하는가?
7	개인정보에 접근할 수 있는 접근자를 제한하고, 개인정보 취급에 따른 이력관리를 수행하는가?
8	고유식별번호에 대하여 암호화 조치를 수행하는가?
9	개인정보 보관장소를 분리하고 잠금장치설치 등 출입통제를 실시하고 있는가?
10	개인정보 취급 과정에서 발생한 출력물 및 임시파일을 즉시 삭제하는가?
11	보유목적이 달성된 개인정보에 대하여 지체없이 파기하고 파기에 대한 이력을 관리하는가?
특 이 사 항

수탁업체 책임자(PM) :          (인)

국립국악원 사업담당자 :          (인)

[서식 19] 용역사업 장비관리대장

용역사업 장비관리대장
용역사업명: 2018년 국립국악원 정보시스템 통합유지관리
보안관리자		소속:		직급:			성명:
용역사업PM		소속:		직급:			성명:
사업 목적
사 업 비			천원
사업 기간
용역 인원			기관상주인원: 명		외부상주인원: 명				방문점검인원: 명
상주 장소
용역업체 사용 장비 대수 (PC, 노트북)			전체: 대		기관제공: 대				업체반입: 대
					(노트북: 대)				(노트북: 대)
이동형 저장장치 제공 개수(USB, 외장HDD)			USB: 개		외장하드 개				기타: 개
번호	장비 기종		시리얼 넘버	장비 사용자			반입일
1
2
3
4
5
6

[서식 20] 용역사업 보안점검대장

용역사업 보안점검 대장

순번	점검항목	점검결과
1	시스템의 기본(default) 또는 단순 계정/비밀번호 변경, 시스템 관리자 계정(root, administrator 등) 접근통제
2	FTP, Telnet 등 보안에 취약한 서비스 포트차단 또는 변경 및 패스워드 9자 이상(특수문자 포함)의 주기적인 변경
3	서버에 접속하는 관리용 PC는 인터넷 차단, 노트북 활용 금지
4	망간 혼용(IP 변경 등) 금지, 필요한 경우 완전삭제 후 활용
5	서버 접속 관련 Syslog 등 접속∙작업 기록 6개월 이상 보관
6	노트북PC 등 휴대용 전산장비 반∙출입 관리대장 운용
7	노트북PC 등 휴대용 전산장비 분실방지를 위해 시건장치 운용 및 비밀번호는 사업담당 공무원이 직접 설정/관리
8	인터넷용 노트북PC 내 업무 관련자료(소스코드, 보고서 등) 저장금지 및 P2P, 웹하드, 메신저 등 사용여부 확인/차단
9	업무 관련자료(소스코드, 보고서 등)는 파일서버에만 저장
10	USB, 스마트폰 등 비인가 휴대용 저장매체 사용금지 및 유출사고 예방 위해 인가된 보안 USB만 사용
11	PC 및 휴대형 저장매체에 정보시스템 구성도, 계정/비밀번호, IP 현황 등 비공개자료 저장금지 및 매일 퇴근시 반납
12	내PC지키미 실행 및 취약점 보완(점수 90점 이상 유지)
13	PC의 USB, CD-RW, 무선랜, 테더링 등 매체통제 및 휴대형 무선 모뎀(Wibro, HSDPA, WiFi 등) 반입 통제
14	윈도우8 등 기술적 보안통제가 불가능한 전산장비 네트워크 봉인
15	출입통제 기록(시스템 로그 또는 별도 대장) 관리
16	업체 직원 변경 또는 추가할 경우 보안서약서 징구, 계정/권한 삭제

	점검일시 0000. 00. 00.
사업PM (사인)	사업담당 (사인)
정보보안 담당자	(사인)

[서식 21] 용역직원 보안점검대장

용역직원 보안점검 대장
용역사업명: 2018년 국립국악원 정보시스템 통합유지관리										점검일시			OOOO . OO. OO.
사업담당자		소속:				직급:				성명:	사인
용역사업PM		소속:				직급:				성명:	사인
사용 장비 번호	직책		성명		보안점검항목
					인가된 노트북, PC, USB 보유		파일서버(또는 특정 PC) 업무자료 저장		P2P, 웹하드, 메신저 사용 차단			USB, 무선랜 등 매체제어		내PC지키미 실행/보완
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16

[붙임 4] 누출금지 대상정보의 범위

누출금지 대상정보

「국가를 당사자로 하는 계약에 관한 법률 시행령」제76조(부정당업자의 입찰참가자격제한)제1항제18호에 따라 사업 수행자는 사업수행과정에서 알게 된 정보 중 아래에 해당하는 정보를 무단으로 유출하는 경우 「국가를 당사자로 하는 계약에 관한 법률 시행규칙」붙임2제20호 부정당업자의 입찰참가자격 제한기준을 따라 입찰참가자격을 제한 함

	< 누출금지 정보 >
1. 해당 기관의 정보시스템 내ㆍ외부 IP주소 현황 2. 정보시스템 구성 현황 및 정보통신망 구성도 3. 개별사용자의 계정ㆍ비밀번호 등 정보시스템 접근권한 정보 4. 정보통신망 또는 정보시스템 취약점 분석ㆍ평가 결과물 5. 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당) 6. 암호자재, 암호가 주 기능인 제품 및 정보보호시스템 도입ㆍ운용 현황 7. 정보보호시스템 및 네트워크장비 설정 정보 8.「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 해당 기관의 내부문서 9.「개인정보보호법」제2조제1호에 따른 개인정보 10.「보안업무규정」제4조에 따른 비밀 및 ｢보안업무규정 시행규칙｣ 제16조제3항에 따른 대외비 11. 그 밖에 해당 기관의 장이 공개가 불가하다고 판단한 자료

[서식 22] 교육훈련계획 및 실적표

( )년 교육훈련계획 및 실적표							결재	담당		검토		승인
								/		/		/
교 육 계 획									교 육 실 적
교 육 과 정	교육 대상	인원	교육 형태	교육 장소	교육 예산	교육 일정			인원		경비		교육일

[서식 23]자료 미보유 확약서

<참여인력용> 자료 미보유 확약서
사 업 명
사업수행기간	년 월 일 ~ 년 월 일
위의 사업 수행과 관련하여 제공받거나, 생산된 일체의 자료에 대하여 완전 삭제하였으며, 사업 완료 후 사업과 관련한 자료를 일절 보유하지 않을 것을 서약합니다. 년 월 일 소속 직급 성명 (서명) O O O O 기 관 장 귀하

[서식 24]  과업변경 심의결과서 양식

과업변경 심의결과서
사 업 명			발주담당자
추진단계명	[ ] 분석	[ ] 설계	변경요청번호
	[ ] 구현	[ ] 시험
제 목
심의일자	년 월 일		심의장소
심의결과	[ ] 승인 [ ] 불가 [ ] 조건부 승인
[검토의견]
위원	(서명)		위원	(서명)
위원	(서명)		위원	(서명)
위원	(서명)		위원	(서명)
위원	(서명)		위원장	(서명)

[서식 25]    변경요청 통보서 양식

변경요청 통보서
사 업 명			발주담당자
추진단계명	[ ] 분석	[ ] 설계	변경요청번호
	[ ] 구현	[ ] 시험
제 목
심의일자	년 월 일		통보일	년 월 일
심의결과	[ ] 승인 [ ] 불가 [ ] 조건부 승인
[주요 요청내용]
[통보의견] ※ 과업범위 규모변경일 경우에는 반드시 변경규모(기능점수) 및 변경비용을 명시
[비 고] ※ 근거자료 첨부 등