제 안 요 청 서

사 업 명	2022년 국립민속박물관 어린이박물관 홈페이지 유지보수 용역
주관기관	국립민속박물관

2021년 11월

사업책임자	어린이박물관과	과 장	최순권	TEL : 02-3704-4501
사업실무자	어린이박물관과	주무관	김창호	TEL : 02-3704-4507

- 목      차 -

I. 사업개요	1

II. 대상 시스템 현황	2

III. 사업추진방향	4

Ⅳ. 과업내용	5

Ⅴ. 보안대책	16

Ⅵ. 입찰안내사항	28

Ⅶ. 서식 및 별첨(참고) 자료	32

Ⅰ. 사업개요

1		사업개요

□ 사 업 명 : 국립민속박물관 어린이박물관 홈페이지 유지보수

□ 사업기간 : 2022년 1월 1일 ~ 2022년 12월 31일

□ 소요예산 : 20,757,780원(금이천칠십오만칠천칠백팔십원/부가세포함)

2		추진배경 및 필요성

□ 어린이박물관 업무의 내·외부 환경변화에 신속하게 대응할 수 있는 실시간 관리체계 구축

□ 홈페이지 운영 중 발생하는 각종 문제점 및 장애에 대한 신속한 대응 체계 마련

3		유지보수 대상

□ 국립민속박물관 어린이박물관 홈페이지

4		주요 사업내용

□ 국립민속박물관 어린이박물관 홈페이지 유지보수

ㅇ 홈페이지 기능 개선 및 운영지원

- 어린이박물관 업무 변화에 따른 홈페이지 개선 및 기능보강

ㅇ 법·제도 및 각종 정부 지침에 따른 적시 기능개선 및 반영

※ 웹 콘텐츠 접근성 지침, 개인정보 노출방지 가이드라인, 홈페이지 구축‧운영 지침 등

ㅇ 웹표준 및 웹접근성 준수에 기반한 사용자 접근성 강화

ㅇ 최신 기술 변화에 따른 보안 취약점 조치

□ 국립민속박물관 어린이박물관 홈페이지 운영

ㅇ 사용자 문의, 요청사항 등에 대한 체계적 개선

ㅇ 이용자의 질의, 불만, 개선의견 등 요청사항에 대한 신속한 대응

ㅇ 자주 발생하는 문의사항 FAQ 작성 및 제공

□ 신속, 정확한 장애 대응

ㅇ 웹, DBMS 시스템에 대한 장애시, 하드웨어 관련 업체와의 신속·긴밀한 협력 체계 유지

□ 주요 개발 사항

ㅇ 팝업 관리 기능 개발

- 메인 페이지의 팝업 및 공지 관리 기능 제공

- 다문화 꾸러미 페이지의 팝업 및 공지 관리 기능 제공

ㅇ 아카이브 연동 관련 교육자료 등록 기능 고도화

- 아카이브 연동 교육정보 확인 수정

Ⅱ. 대상 시스템 현황

1		어린이박물관 홈페이지 메뉴구성

알림마당	전시마당	교육마당	자료마당	놀이마당
박물관 새소식 보도자료 자원봉사안내	전시예약 상설전1 상설전2 야외전시 휴게장소예약 예약확인/취소	교육소식 교육안내 교육 자료 조회 솜씨전	우리 놀이 알기 우리 문화 알기 활동지/발간자료 온라인 활동지 동화모둠 볼만한 영상 집콕! 민솔놀이	사이버놀이터 놀이체험마당
참여마당	소개마당	다문화꾸러미	다문화꾸러미 대여관리자	관리자
박물관 사진관 박물관 후기 이것이 궁금해요	박물관 소개 관람안내 시설현황 및 이용 찾아오시는 길	소개 몽골 꾸러미 베트남 꾸러미 필리핀 꾸러미 우즈베키스탄 꾸러미 인도네시아 꾸러미 대한민국 꾸러미 중국 꾸러미 일본 꾸러미 인도 꾸러미 태국 꾸러미	대여이력 대여현황 통계 및 보고자료 챠트 대여국가 꾸러미상자 관리리스트 수여이력 수령증 기관이력통합	관리 알림 전시 교육 자료 참여 다문화꾸러미

2		어린이박물관 홈페이지 운영 서버 목록

□ 장비현황

모델명	사 양				비고
	CPU	메모리	디스크	OS
Dell R730	E5-2999 v4 2.2GHz * 2	128 GB	300GB * 8	Redhat 7.1	웹서버
Lenovo x3650 M5	E5-2697 v3 2.6GHz * 2	64 GB	300GB * 8	CentOS 7.2	DB서버

※ 관련 장비만 기술

□ 소프트웨어 현황

구분	세부내역	수량	비고
DBMS	ORACLE 11g	1식
웹방화벽	ASROC Security Agent	1식
웹서버	apache	1식

※ 관련 소프트웨어만 기술

Ⅲ. 사업 추진방향

1		추진체계

□ 추진조직

			국립민속박물관
계약팀 (민속기획과)		계약 협조	어린이박물관과		운영 협조	전산관리팀 (민속기획과)
		계약	주관사업자 (유지관리 사업이행)

□ 역할 및 책임

구 분	주요 업무 내용
사업부서 (어린이박물관과)	ㅇ 사업총괄 ㅇ 사업수행 관리 및 검사·검수
계약팀 (민속기획과)	ㅇ 주관사업자 선정 및 계약 체결 ㅇ 납품 및 검수에 따른 예산 집행
전산관리팀 (민속기획과)	ㅇ 정보화사업 책임 운영 부서로서 사업 협조
유지관리 (사업자)	ㅇ 사업이행 추진 ㅇ 사업 진도 및 인력 관리 ㅇ 기술이전 및 유지보수(산출물 작성 및 제출) ㅇ 기타 과제수행에 필요한 사항 등

Ⅳ. 과업 내용

1		요구사항 목록

구분	번호	요구사항 명	비고
유지관리 수행 요구사항	MAR-001	홈페이지 장애관리
	MAR-002	홈페이지 운영관리
	MAR-003	홈페이지 콘텐츠 제작·지원
	MAR-004	홈페이지 최적화 등 관리
기능 요구사항	SFR-001	홈페이지 기능 개선
성능 요구사항	PER-001	정보시스템 성능 유지
보안 요구사항	SER-001	보안 취약점 제거
	SER-002	소프트웨어 개발 보안
	SER-003	보안관련 정책 및 평가기준 준수
	SER-004	시큐어 코딩 준수 및 웹 취약점 제거
	SER-005	보안정책 및 지침 준수
	SER-006	사업 수행에 대한 보안대책 수립 및 준수
품질 요구사항	QUR-001	정보시스템 품질 확보
제약사항	COR-001	지식재산권
프로젝트 관리 요구사항	PMR-001	사업수행 및 관리
	PMR-002	산출물 관리
프로젝트 지원 요구사항	PSR-001	기술 자문 및 교육
	PSR-002	원격지 개발 활성화

2		상세 요구사항

□ 유지관리 수행 요구사항

요구사항 요구번호	MAR-001
요구사항 명	홈페이지 장애관리
분류	기능 요구사항	응락수준	필수
요구사항 상세내용	시스템 운영 시 발생하는 각종 장애에 대한 대응 및 조치 장애 또는 징후가 발생해 조치요청 시 즉시 복구에 임해야 하며, 유지관리 요원의 장애복구 능력부족 또는 근무시간 외에 장애가 발생할 경우 2시간 이내에 장애복구 착수, 최단 시간 내 복구 완료함을 원칙으로 함. ※ 장애복구 완료 시간: 장애발생 후 4시간 이내를 원칙으로 하고, 상황에 따라 담당자와 협의 장애조치에 따른 결과, 재발 방지대책이 포함된 ‘장애처리보고서’ 제출 장애원인 분석결과 장애원인이 타 시스템관련 장애로 판단될 경우 구체적인 근거자료를 첨부해 제출하고, 타 업체의 장애 조치에 최대한 협조 시스템의 정상적 운영에 필요한 장애방지 대책을 수립하고 정기 및 비정기적인 점검을 실시하여 최적화 상태를 유지 야간·공휴일 장애 대비 비상대응 체계 구축 ※ 모든 장애관리 및 대응은 협의하여 결정

요구사항 요구번호	MAR-002
요구사항 명	홈페이지 운영관리
분류	기능 요구사항	응락수준	필수
요구사항 상세내용	홈페이지 운영 전반에 대한 기술지원 ㅇ 업무상 필요에 의해 발생하는 홈페이지 기능 변경 및 메뉴 추가 등 제작 지원 ㅇ 요구하는 기능 추가건 등에 대해 성실히 응해야 함. 타 시스템과의 원활한 연계 및 기술지원 홈페이지 상시모니터링 및 운영현황 점검 ㅇ 홈페이지 이용현황(방문자수, 페이지 뷰 등) 분석 및 통계보고 ㅇ 홈페이지 개인정보 노출여부 상시점검 ※ 홈페이지 작업 시 반드시 개인정보보호, 웹 접근성 및 호환성 준수 이용자의 질의, 불만, 개선의견 등 요청사항에 대한 발주처의 응대 및 대응에 대한 긴밀한 협조 ㅇ 전화응대 시간 : 09:00 ~ 18:00(토요일 및 법정공휴일 제외) 자주 발생하는 문의사항 FAQ 작성 및 제공 ※ 모든 업무 및 운영관리의 범위는 협의하여 결정

요구사항 요구번호	MAR-003
요구사항 명	홈페이지 콘텐츠 제작·지원
분류	기능 요구사항	응락수준	필수
요구사항 상세내용	홈페이지 콘텐츠 제작에 대한 기술지원 ㅇ 업무상 필요에 의해 발생하는 홈페이지 디자인, 화면 변경 지원 콘텐츠 제작 및 현행화 ㅇ 비정규적 이벤트 발생 시 또는 사용자 요구사항에 따른 콘텐츠 신규 제작, 관련 체이지 제가, 배너(팝업) 제작 ※ 콘텐츠 제작 및 디자인 변경에 대한 범위는 협의하여 결정

요구사항 요구번호	MAR-004
요구사항 명	홈페이지 최적화 등 관리
분류	기능 요구사항	응락수준	필수
요구사항 상세내용	사업기간 중 환경변화에 따른 최적화 작업을 수행 내·외부 사용자 불편 기능 개선 및 고도화 프로그램 취약점 점검 결과에 따른 신속한 개선 및 보고서 제출 개발·운영·유지보수 프로그램은 ‘소프트웨어 개발보안 가이드’를 참조하여 소스코드 보안취약점 및 웹 취약점 제거 운영서버 환경 변경 시 환경구축 신규장비 도입 등에 따른 교체 및 재배치, 이전 시 기술지원 ※ 모든 업무 및 개발 범위는 협의하여 결정

□ 기능 요구사항

요구사항 요구번호	SFR-001
요구사항 명	홈페이지 기능 개선
분류	기능 요구사항	응락수준	필수
요구사항 상세내용	□ 어린이박물관 홈페이지 팝업관리 기능 ㅇ 어린이박물관 홈페이지의 팝업 등록 기능 - 팝업 등록 기능 ㅇ 팝업 게시 기능 관리 - 팝업 게시 기간 관리 ㅇ 팝업 메시지 및 이미지 관리 - 팝업에 들어가는 메시지 및 이미지 관리 □ 어린이박물관 다문화꾸러미 메뉴 팝업관리 기능 ㅇ 어린이박물관 다문화꾸러미 메뉴 팝업 등록 기능 - 팝업 등록 기능 ㅇ 팝업 게시 기능 관리 - 팝업 게시 기간 관리 ㅇ 팝업 메시지 및 이미지 관리 - 팝업에 들어가는 메시지 및 이미지 관리 □ 어린이박물관 홈페이지 관리자 기능 수정 ㅇ 아카이브 연동 관련 교육자료 등록 기능 고도화 - 아카이브 시스템과 연동된 교육자료 등록을 위한 기능 고도화 ㅇ 아카이브 시스템 연동 교육자료 확인 수정 ※ 모든 업무 및 개발 범위는 협의하여 결정

□ 성능 요구사항

요구사항 요구번호	PER-001
요구사항 명	정보시스템 성능 유지
분류	성능 요구사항	응락수준	필수
요구사항 상세내용	□ 어린이박물관 홈페이지 제작에 따른 성능 유지 ㅇ 기존의 어린이박물관 홈페이지의 성능을 저해하지 않도록 개발

□ 보안 요구사항

요구사항 요구번호	SER-001
요구사항 명	보안 취약점 제거
분류	성능 요구사항	응락수준	필수
요구사항 상세내용	ㅇ웹사이트 취약점(OWASP Top 10 및 국정원 발표 취약점) 제거 ㅇ웹취약점 점검․보완 후 결과보고서 제출

요구사항 요구번호	SER-002
요구사항 명	소프트웨어 개발 보안
분류	성능 요구사항	응락수준	필수
요구사항 상세내용	ㅇ모바일 전자정부서비스 관리지침(행정안전부예규 제100호) 및 소프트웨어 개발보안 가이드(2019.11)에 따른 소스코드 보안성 확보를 위해 착수단계에서 표준코딩 스타일 정의 및 적절한 개발절차·개발방법론, 교육계획 등을 제시하고 개발 - 소스코드 보안 취약성을 자체진단하고 제거방안(앱소스코드 보안점검 방안제시 등) 제시 - 진단도구, 진단 전문인력 활용, 진단환경, 진단회수, 진단·조치방안 등

요구사항 요구번호	SER-003
요구사항 명	보안관련 정책 및 평가기준 준수
분류	성능 요구사항	응락수준	필수
요구사항 상세내용	ㅇ개인정보보호 및 정보보호 관련 정책 및 국정원 「정부․공공기관 정보보안 관리실태 평가지표」를 준수하여 개발 - 엄격한 비밀번호 조합 규칙 적용 및 일방향 암호화 - 안전하지 않은 비밀번호 검출 및 재등록 - 일정횟수 이상 패스워드 입력 오류 시 사용 차단 기능 구현 - 세션만료 처리(사용자/관리자), 동시 로그인 금지(관리자) - 불필요한 페이지 check 관리 - 소스코드 서버 저장 금지, 백업파일 별도 보관 - 입력 데이터 필터링(취약점 방지) - 서버스크립트 파일 업로드 제한 - 디렉토리 리스팅 방지 - 홈페이지 절대경로 및 내부시스템 정보 노출 방지 - 홈페이지 관리자 페이지 접근 통제 등 - 국가․공공기관 용역업체 보안관리 가이드라인(국가정보원)지침 준수

요구사항 요구번호

SER-004

요구사항 명

시큐어 코딩 준수 및 웹 취약점 제거

분류

성능 요구사항

응락수준

필수

요구사항

상세내용

행정안전부의 “소프트웨어 개발보안(시큐어코딩) 관련 가이드”를 준용 함

	<주요 보안약점>
• 프로그램 입력 값에 대한 부적절한 검증(SQL삽입 등) • 인증, 접근제어, 권한 관리 등을 적절하지 않게 구현시 발생(중요정보 평문저장, 하드코드된 패스워드 등) • 불충분한 에러처리(오류 메시지를 통한 정보노출 등) • 코드 오류(널 포인터 역참조, 부적절한 자원 해제 등) • 불충분한 캡슐화(제거되지 않고 남은 디버거 코드, 시스템 데이터 정보노출 등) • 부적절하거나 보안에 취약한 API 사용으로 발생할 수 있는 보안약점

응용S/W 대상 행정안전부 “소프트웨어 보안약점 진단가이드” 에 의거 보안취약점을 분석하고 약점이 있을 경우 조치

아래의 웹 취약점 점검 및 보완 조치

• 사용자 인증 취약점	• 관리자 페이지 노출 취약점
• SQL Injection 취약점	• XSS 취약점
• 악성스크립트 취약점	• 유해파일 업로드 취약점
• 불필요한 파일 및 정보노출 취약점	• 파일목록 및 파일내용 노출 취약점

정보서비스 개발 보안대책의 개발보안 및 문화체육관광 사이버안전센터에서 기술적 보안대책과 관련한 보안권고(기관 보안담당자 확인 必)들을 준용

개발 및 납품업체 대표이사급 명의로 취약점 점검결과(이상없음 또는 조치결과) 확인서 징구

최신 악성코드 대응을 위한 주기적인 취약점 점검계획 수립, 점검(조치)결과 내부결재(문서보고) 및 보안패치 등 운영관리

웹서버에 보안약점 및 취약점 조치와 주기적인 모니터링 방안 및 웹셀 업로드 침해사고가 발생하지 않도록 보안조치 강구

보안취약점 점검결과는 대외비 이상으로 관리하며, 보안취약점 점검결과와 조치결과서를 기관 보안담당자에게 반드시 확인

재난재해 대비 백업체계 및 운영계획을 수립하여 운영하고 문화정보 백업센터로 소산백업의 구체적 협의ㆍ추진

요구사항 요구번호	SER-005
요구사항 명	보안정책 및 지침 준수
분류	성능 요구사항	응락수준	필수
요구사항 상세내용	ㅇ보안정책 및 지침을 준수하여 개발 - 국가 정보보안 기본지침(국가정보원, 2020. 7. 1) - 국가․공공기관 용역업체 보안관리 가이드라인(국가정보원, 2020.10) - 홈페이지 개인정보 노출방지 안내서(개인정보보호위원회, 2020.12.) - 소프트웨어 개발보안 가이드(행정안전부 발간등록번호 11-1311000-000330-10, 2019.11.29.) - 소프트웨어 보안약점 진단가이드(행정안전부 발간등록번호 11-1311000-000395-14, 2019.6.) - 공개SW를 활용한 소프트웨어 개발보안 점검가이드(행정안전부, 2019.6.) - 문화체육관광부 개인정보보호지침(문화체육관광부 훈령 제443호, 2021. 4. 15.) - 시스템 개발·운영자를 위한 개인정보보호 가이드라인(행정안전부, 2018.6) - 개인정보의 안전성 확보조치 기준(행정안전부 고시 제2019-47호, 2019. 6. 7.) - 위 지침 외에도 정부가 제정․공포한 관계 제 법규(지침) - 용역사업 중 또는 종료 후라도 본 사업과 관련하여 국가정보원 등 관련 기관으로부터 보안에 문제가 있다고 지적될 경우 반드시 해결책을 강구하고 조치하여야 함 ㅇ자체 보안대책 강구사항(보안서약 후 열람)의 정보시스템에 대한 기술적 보안대책을 강구하고 조치해야 함

요구사항 요구번호

SER-006

요구사항 명

사업 수행에 대한 보안대책 수립 및 준수

분류

성능 요구사항

응락수준

필수

요구사항

상세내용

사업 계약단계 보안대책 수립

- 물리적·관리적·기술적 보안대책 등 보안관리에 대한 운영규정을 마련하여 제시하고 비상사태에 대비해야 함

- 사업 수행 계획서에 자료‧장비‧네트워크 보안대책 및 누출금지 대상정보 관리 방안 등 보안관리 세부 계획 작성

- 사업 수행 중에 알게 되는 내부정보 및 하도급 업체에 대한 보안관리 책임을 부담하기 위해 대표자 명의 보안서약서 및 보안확약서 제출

- 누출금지 대상정보 등 자료‧장비 등에 대한 대외보안이 필요한 경우 용역 계약서와 별도로 비밀유지계약을 체결하여야 함(하도급 계약을 체결하는 경우에도 동일한 비밀유지 의무를 지님)

	<누출금지 대상정보>
1. 해당 기관의 정보시스템 내ㆍ외부 IP주소 현황 2. 정보시스템 구성 현황 및 정보통신망 구성도 3. 개별사용자의 계정ㆍ비밀번호 등 정보시스템 접근권한 정보 4. 정보통신망 또는 정보시스템 취약점 분석ㆍ평가 결과물 5. 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당) 6. 암호자재 및 정보보호시스템 도입ㆍ운용 현황 7. 정보보호시스템 및 네트워크장비 설정 정보 8. 「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 해당 기관의 내부문서 9. 「개인정보보호법」제2조제1호에 따른 개인정보 10. 「보안업무규정」 제4조에 따른 비밀 및 ｢보안업무규정 시행규칙｣ 제16조 제3항에 따른 대외비 11. 그 밖에 해당 기관의 장이 공개가 불가하다고 판단한 자료

※ 정보누출 적발시 「국가계약법」 시행령 제76조에 의거 부정당업자로 등록, 입찰 참자자격 제한 등 제재 조치

참여인원에 대한 보안관리

- 용역사업자는 용역사업 참여인원 중 최고 직급자를 보안책임관으로 지정, 발주기관의 승인을 받아야하며 용역사업 관련 시스템에 접근하는 모든 인원은 개인의 친필 서명이 들어간 보안서약서, 보안확약서, 비밀유지계약서 및 개인정보보호법 준수를 위한 개인정보 처리위탁 계약서, 개인정보 위탁 보안서약서 제출

- 용역사업 수행전 참여인원에 대해 법적 또는 발주기관 규정에 따른 비밀유지 의무 준수 및 위반시 처벌내용 등에 대한 보안교육 실시

자료에 대한 보안관리

- ‘누출금지 대상정보’는 반드시 ‘자료관리 대장’에 인계자‧인수자가 직접 서명하여 관리하고 사업완료시 관련 자료 회수

- 사업수행에서 생산되는 모든 산출물은 파일서버 또는 보안담당관이 지정한 PC에만 저장‧관리하고 사업담당자가 인가하지 않은 비인가자에게 제공‧대여‧열람 금지

- 발주기관의 보안정책에 P2P, 웹하드 등 인터넷 자료공유사이트 및 상용 메일‧메신저 사용을 금지하고 자료전송이 필요한 경우 자체 전자우편을 이용, 첨부자료 암호화 후 수‧발신

- 매일 퇴근시 발주기관이 제공한 비공개 자료는 반납하고 그 외 자료는 사무실 시건장치가 된 보관함에 보관

사무실‧장비에 대한 보안관리

- 용역사업 수행 장소는 CCTV‧시건장치 등 비인가자의 출입통제 대책 마련

- 상주인력에 대해서는 정보보안 S/W(바이러스 백신, 보조기억매체제어 등) 설치를 통해 우리기관 직원과 동일한 수준의 보안 통제를 적용

- PC는 부팅 패스워드, 운영체제 패스워드, 화면보호기 패스워드를 설정해야 하며, 공유폴더 감시, 운영체제 업데이트, 백신 최신패치 등 상시점검 및 악성코드 감염 차단을 위한 저장매체 자동 점검이 될 수 있도록 설정

- 노트북 등 관련 장비를 외부에 반출‧입시 악성코드 감염여부 및 자료 무단반출 여부를 확인하고 관리대장에 반드시 기록

- 인가받지 않은 USB 등의 휴대용 저장매체 사용을 금지하고 산출물 저장을 위해 휴대용 저장매체가 필요한 경우 보안담당관의 승인하 사용

- 용역사업자는 수행 장소에 대한 보안점검을 정기적으로 실시하여 사업  담당자에게 결과를 보고

사업 완료시 보안관리

- 최종 산출물 중 대외보안이 요구되는 자료는 대외비 이상으로 작성‧관리하고 불필요한 자료는 반드시 삭제 및 폐기

- 발주기관에서 제공받은 자료, 장비, 산출물 등 용역 관련 제반자료는 전량 회수하고 용역업체에 복사본 등 별도 보관 절대 금지

- 사업 완료후 업체 소유 PC, 서버의 하드디스크, 휴대용 저장매체, 노트북 등 전자기록 저장매체는 국가정보원이 안전성을 검증한 삭제 SW로 완전 삭제 후 반출

- 용역사업 관련 자료 회수 및 삭제조치 후 업체에게 복사본 등 용역사업 관련 자료를 보유하고 있지 않다는 대표 명의 확약서 제출

□ 품질 요구사항

요구사항 요구번호	QUR-001
요구사항 명	품질관리
분류	품질 요구사항	응락수준	필수
요구사항 상세내용	ㅇ품질보증의 범위, 품질보증을 위한 조직, 절차, 점검방법 등을 제시하여야 함 ㅇ제안사는 품질보증을 보장하기 위한 품질보증방안을 제시하여야 함 ㅇ제안사가 대외적으로 인정받을 만한 품질보증 관련 인증을 받은 경우 이를 입증할 수 있는 근거 서류를 제시하여야 함 ㅇ프로그램 버전 및 패치 관리 - 정보시스템 기능 개선 이력의 체계적 관리 방안 제시 - 기능 개선 컴포넌트의 자동 또는 수동 패치 관리 기능 확보 - 개선된 컴포넌트의 배포 전 테스트 DB를 통한 충분한 사전 테스트 수행 - 프로그램의 이해 및 운영 용이를 위한 소스코드의 설명 보완(주석 작업) - 프로그램 코드 개선 시 개선 일시, 관련 이슈 정보 등을 주석으로 명시

□ 제약사항

요구사항 요구번호	COR-001
요구사항 명	지적 재산권
분류	제약사항	응락수준	필수
요구사항 상세내용	□ 지식재산권의 귀속 ㅇ 저작권법 제45조(저작재산권의 양도), 국유재산법 제65조의12(저작권의 귀속 등), 계약예규 “용역계약일반조건” 제56조(계약목적물의 지식재산권 귀속 등)에 따라 개발산출물(S/W 포함)의 지적재산권은 공동소유로 하며, 별도의 정함이 없는 한 지분은 균등한 것으로 한다. ㅇ 당해 계약을 통해 기 구축된 지식재산에 대한 유지관리를 수행하는 경우에는 유지관리 산출물에 대한 지식재산권은 발주기관에게 있다. ㅇ 아울러, 저작권법 제24조의2(공공저작물의 자유이용) 1항에 따라 “국가가 업무상 작성한 저작물의 저작재산권의 전부를 보유한 저작물은 허락없이 이용할 수 있다”는 조항을 준용하여 필요한 자에게 배포하고 설치·이용·개작하도록 허락할 수 있으며 그 대상은 상호 협의하여 정한다. □ 소프트웨어 산출물 제3자 제공 발주자 승인절차 ㅇ 공급자는 지식재산권의 활용을 위해 SW산출물의 반출을 요청할 수 있으며, 발주기관에서는 「보안업무규정」 제4조 및 제안요청서에 명시된 누출금지정보에 해당하지 않을 경우 SW산출물을 제공함(단, 공급자는 아래 내용 준수해야 함) - 공급자는 공급받은 SW산출물에 대하여 제안요청서, 계약서 등에 누출금지정보로 명시한 정보를 삭제하고 활용하여야 하며, 이를 확인하는 공급자 대표명의의 확약서를 발주기관에 제출하여야 함 - 공급자가 반출된 SW산출물을 제3자에게 제공하려는 경우 반드시 발주기관으로부터 사전승인을 받아야 함 - 발주기관은 공급자가 제공받은 SW산출물을 무단으로 유출하거나 누출되는 경우 및 누출금지정보를 삭제하지 않고 활용하는 경우에는 「국가계약법 시행령」제76조제1항제3호 및 「지방계약법 시행령」제92조제2항제3호에 따라 입찰참가자격을 제한함 □ 지식재산권 등 권리 침해 해결 ㅇ 조달청 지침 “일반용역계약특수조건” 제14조(특허권 또는 저작권의 침해)에 따라 본 용역의 수행에 있어 제3자의 특허권 또는 저작권을 침해하였다 하여 손해배상 청구 소송이 제기되면 계약상대자는 배상 및 모든 책임을 진다.

□ 프로젝트 관리 요구사항

요구사항 요구번호	PMR-001
요구사항 명	사업수행 및 관리
분류	프로젝트 관리	응락수준	필수
요구사항 상세내용	□ 사업수행계획서 제출 ㅇ 계약 체결 후, 10일 이내에 사업수행계획서(프로젝트 관리자 이력서, 서약서 등 포함)를 발주자에게 제출하여야 하며, 이 때 발주자는 필요시 내용의 보완을 지시할 수 있으며 제안사는 이에 응해야 함 □ 사업관리자(PM) 임명 ㅇ 사업 전체 또는 부문별 사업관리 책임자를 임명하여 책임 수행토록 하며, PM 및 전담인력은 본 사업의 수행기간동안 특별한 사정이 없는 한 변경할 수 없음 ㅇ 단, 부득이 교체할 경우 변경사유와 대체 투입인력의 인적사항을 사전 제출하여 승인을 받아야 함 □ 작업지시 ㅇ 발주처는 사업관리자(PM)를 통해 작업을 총괄 지시하거나, 수행업체 직원에게 개별적으로 작업을 지시할 수 있으며, 지시에 따라야 함 □ 효과적인 사업운영을 위해 본 제안요청서 및 과업지시서에 제시되지 않은 사항일지라도 업무담당자의 합당한 요청이 있을 경우 이를 성실히 지원하여야 함

요구사항 요구번호

PMR-002

요구사항 명

산출물 관리

분류

프로젝트 관리

응락수준

필수

요구사항

상세내용

□ 단계별 산출물 관리

단계	산출물 종류	제출기한	비고
착수	o 착수계 o 사업수행계획서 - 수행조직 및 업무분장 - 인력투입명단포함 - 비밀유지 계약서, 보안서약서 - 개인정보 위탁처리 계약서, 위탁보안 서약서 등	10일이내	제출하기 전 발주기관과 협의하여 확정
사업단계 별	o 운영매뉴얼 o 기타 요구자료 o 웹접근성 진단 결과 및 조치 o 보안취약점 진단 결과 및 조치	요청시 요청시 요청시 요청시	각종 산출물 관련 자세한 사항은 협의를 통하여 결정
사업종료	o 사업완료보고 o 외부인력 보안 관리 확인서	종료 전

□ 산출물 현행화

ㅇ 정보시스템 및 정보서비스 운영을 위한 산출물 현행화 및 일체 정비

프로젝트 지원 요구사항

요구사항 요구번호	PSR-001
요구사항 명	기술 자문 및 교육
분류	프로젝트 지원 요구사항	응락수준	필수
요구사항 상세내용	□ 기술 자문 ㅇ 사업자는 시스템 개발 및 관련분야의 정보기술에 대한 지속적인 정보제공 및 기술자문에 응해야 함 ㅇ 사업자는 어린이박물관 홈페이지에 대하여 타 사업을 통해 관련 시스템을 신규 구축하거나 상호 연계하고자 할 경우 필요한 기술 자문 및 기술 지원을 수행해야 함 □ 교육 지원 ㅇ 수행업체는 발주기관의 요구할 경우 업무용과 운영 및 유지관리에 관한 기술을 업무 담당자에게 교육하여야 함 ㅇ 또한 교육에 필요한 교육자료를 작성·관리하여야 함

요구사항 요구번호	PSR-002
요구사항 명	원격지 개발 활성화
분류	프로젝트 지원 요구사항	응락수준	필수
요구사항 상세내용	□ 원격지 개발 및 유지보수 사업에 프로젝트 지원 요구사항 ㅇ 지정된 단말기에서만 접속 및 해당 단말기에 대한 접근인원 통제 ㅇ 지정 단말기는 온라인 용역 통제시스템 접속 전용으로 운용하고, 다른 목적의 인터넷 접속은 차단 ㅇ 발주기관내 온라인 용역통제시스템을 경유하여 개발 및 유지보수에 필요한 정보시스템에 접속하는 등 소통구간 보호․통제 ㅇ 기타 국가정보원장이 배포한 「국가ㆍ공공기관 용역업체 보안관리 가이드라인」에서 제시된 온라인 개발에 관련된 보안대책의 준수 □ 원격지 개발장소 보안요구사항 ㅇ 수행업체는 원격지 개발에 따른 보안사고 등 위험요인을 식별하여 이에 대한 대응방안을 제시하여야 함 ㅇ 공급자는 원격지 개발에 따른 개발방법 등에 대한 구체적인 방안을 제시하여야 함 ㅇ 원격지 개발에 따른 수행 장소 등에 대하여 구체적인 원격지 보안관리 대책(시건장치, 출입통제 등)을 실시하여야 함 1. 프로젝트 사무실, 중요장비 설치장소에 대한 출입보안 2. 개인소유 PC 및 보조기억장치 반입·반출 통제 3. 생성문서는 별도 잠금장치가 된 곳에 보관하며, 안전한 방법에 따라 폐기할 것 4. 문서의 보안등급 부여 및 차별화 된 권한관리를 수행할 것 등 □ 원격지 개발장소 제시·검토 절차 ㅇ 수행업체는 작업장소 상호협의 시 과업지시서 내 명시된 보안요구사항을 준수한 작업장소를 제시할 수 있으며, 발주기관에서는 제시된 작업장소에 관하여 우선 검토함. 다만, 발주기관에서는 공급자가 제시한 작업장소가 보안요구사항을 준수하지 못한 경우 거부할 수 있음

Ⅴ. 보안 대책

1		조직 및 역할

□ 정보보안 조직체계

정보보안담당관
정보보호관리자			정보보안 담당자
본 사업 보안담당자

□ 주요 역할

구 분	직 위	성 명	역 할	비 고
정보보안 담당관	민속기획과장	박문수	정보보안 업무 총괄
정보보안 담당자	주무관	서은비	정보보안정책 수립 및 시행
전산실 보안관리자	주무관	서은비	정보보호시스템 관리 및 정보시스템 정보보안 관리
본 사업 보안담당자	학예연구사	김창호	본 사업 보안관리

□ 용역사업자는 용역사업 참여인원 중 최고 직급자를 보안책임관으로 지정, 우리기관의 승인을 받아야 하며, “국립민속박물관 정보서비스 통합유지관리 사업” 관련 시스템에 접근하는 모든 인원들에게 보안서약서[붙임 1, 2] 및 보안확약서[붙임 3], 비밀유지계약서[붙임 4]를 작성 우리기관에 제출하여야 한다.

□ 용역사업자는 용역사업 수행 전에 참여인원에 대하여 법적 또는 우리기관 규정에 따른 비밀유지 의무 준수 및 위반 시 처벌내용 등에 대한 보안교육을 실시하여야 한다.

□ 본 사업 보안담당자는 사업 수행 중 ‘누출금지 대상 정보’ 외부 누출여부 확인 및 업체 인력에 대한 보안점검을 실시한다.

2		사업 수행 장소, 자료 등 물리적 보안대책

□ 본 사업 수행 장소는 시건장치와 통제가 가능한 우리기관 내 장소를 제공하거나 CCTV·시건장치 등 비인가자 출입통제 대책이 마련된 외부 사무실을 사용한다.

□ 우리기관이 제공한 사무실에서 업체가 용역사업을 수행할 경우 제공한 비공개자료는 매일 퇴근 시 반납토록 하며 비밀문서를 제외한 일반문서는 용역사업자에게 제공된 사무실에 시건장치가 된 보관함이 있을 경우 이에 보관 가능하다.

□ 또한, 상주인력에 대해서는 정보보안 S/W(바이러스 백신, 보조기억매체제어 등) 설치를 통해 우리기관 직원과 동일한 수준의 보안 통제를 적용하여야 한다.

□ 본 사업 수행으로 생산되는 산출물 및 기록은 본 사업 보안담당자가 인가하지 않은 비인가자에게 제공·대여·열람을 금지한다.

□ 본 사업 관련자료 및 사업과정에서 생산된 모든 산출물은 우리기관의 파일 서버에 저장하거나 본 사업 보안담당자가 지정한PC에 저장·관리한다.

□ 본 사업 관련 자료는 인터넷 웹하드·P2P 등 인터넷 자료공유사이트 및 개인메일함에 저장을 금지하고 우리기관과 용역사업자간 전자우편을 이용해 자료전송이 필요한 경우에는 첨부자료 암호화 후 수발신해야 한다.

※ 대외비 이상의 비밀은 전자우편으로 송수신 금지

□ 본 사업 완료 후, 용역업체에 제공한 자료, 산출물 등 용역관련 제반자료는 전량 회수하고 불필요한 자료는 삭제 및 폐기하여야 한다.

ㅇ 종이는 분쇄기로 폐기하고, 전자기록 저장매체는 국가정보원장이 안전성이 검증된 삭제 S/W로 완전 삭제 후 반출하여야 한다.

□ 용역사업자는 본 사업 수행 장소에 대한 보안점검을 정기적으로 실시하여 본 사업 보안담당자에게 결과를 보고하여야 한다.

□ 본 사업과 관련된 정보시스템은 통제구역으로 지정된 우리기관 전산실을 사용하여 운용되며, 전산실 운영과 관련하여 전산실 보안 관리자의 통제와 관리를 받는다.

□ 통제구역 출입 및 정보시스템, 네트워크 관리 등은 우리기관 전산실 운영방침을 따르도록 한다.

3		정보시스템 등 기술적 보안대책

□ 네트워크 보안대책

ㅇ 네트워크 장비 등 신규 전산망장비 도입 시 설정된 기본(default) 계정을 삭제 또는 변경하고 시스템 운영을 위한 관리자 계정을 별도 생성하여 관리해야 한다.

ㅇ 전산망이 분리되어 있는 업무망 접속용 전산장비와 인터넷망 접속용 전산장비를 구분하여 관리하고 전산망간 혼용을 금지한다.

※ 전산망간 접속용 장비를 이용하여 사용할 경우 접송용 장비를 완전 삭제ㆍ재설치 후 접속

ㅇ SNMP 서비스가 불필요할 경우 서비스를 중지하고 Community String이 기본값(public, private)으로 설정되어 있을 경우 유추하기 어렵게 9자리 이상으로 변경하여 사용한다.

ㅇ SNMP가 사용하는 포트(UDP 161ㆍ162번)를 필터링하여 허용된 내부 IP외의 다른 IP가 SNMP를 활용할 수 없도록 차단하고 사용하지 않는 인터페이스는 非활성화한다.

ㅇ 전산실 보안관리자는 승인하지 않은 허가ㆍ차단정책의 운영여부 등 보안정책 무결성을 점검하고 주기적으로 확인한다.

ㅇ 용역사업자 사용 전산망은 방화벽 등을 활용하여 우리기관 전산망과 분리하여 구성하고 업무상 필요한 서버에만 제한적으로 접근을 허용한다.

ㅇ 용역사업자(개발·유지보수 등)의 모든 원격작업을 금지하여야 하나, 불가피한 경우에는 우리기관 정보보안담당자의 승인을 거쳐 보안대책을 마련한 후 한시적으로 허용한다.

ㅇ 용역사업자가 우리기관 전산망 이용이 필요한 경우,

- 사업 참여인원에 대한 사용자계정(ID)은 하나의 그룹으로 등록하고 계정별로 정보시스템 접근권한(접근 가능한 디렉토리, 읽기/쓰기/삭제 등)을 차등 부여하되 우리기관 내부문서 접근은 금지한다.

※ root/admin 등 관리자 계정으로 직접접근 차단

- 계정별로 부여된 접속권한은 불 필요시 곧바로 권한을 해지하거나 계정을 폐기해야 하며, 분기 1회 이상 비밀번호를 변경한다.

- 비밀번호는 문자, 숫자, 특수문자를 모두 포함하여 9자리 이상으로 설정한다.

- 참여인원에게 부여한 비밀번호는 정보보안담당자가 별도로 기록 관리하고 수시로 해당 계정에 접속하여 저장된 자료와 작업이력을 확인한다.

- 정보보안담당자는 서버 및 장비 운영자로 하여금 내부서버 및 네트워크 장비에 대한 접근기록을 매일 확인하여 이상 유무를 보고하도록 한다.

ㅇ 용역사업자가 사용하는 PC는 인터넷 연결을 금지하되, 사업수행상 연결이 필요한 경우에는 우리기관의 보안통제 하에 제한적으로 허용한다.

ㅇ 용역사업자 전산망에서 P2P, 웹하드 등 인터넷 자료공유 사이트로의 접속을 방화벽 등을 이용하여 원천 차단한다.

【 네트워크 장비 보안대책 강구 】

ㅇ 관리자 계정의 비밀번호는 문자, 숫자, 특수문자 모두 포함 9자리 이상 설정

- 네트워크 장비 설정 파일에 암호화된 비밀번호 사용

- 분기 1회 이상 변경 사용

ㅇ 네트워크 장비 관리를 위해 Telnet을 이용할 경우,

- 아이디어와 비밀번호를 입력하는 인증 방식 적용

- 허가되지 않은 PC 접속 금지(ACL(Access Control List) 이용 접근제한)

ㅇ 관리자의 접근도 Session Timeout 설정

ㅇ 네트워크 장비 접속 시, Banner를 통해 O/S 및 버전 정보 출력 금지

ㅇ Syslog는 별도 로그서버 구축하여 외부에 저장

ㅇ SNMP Community 권한은 RO(Read Only) 모드 설정

ㅇ TFTP(Trivial File Transfer Protocol) 서비스 非활성화

ㅇ 지속적인 Version Upgrade 및 보안 패치

□ 정보시스템 보안대책

ㅇ 정보시스템은 표준시로 동기화한다.

ㅇ 정보시스템의 설정정보 및 저장자료 절취, 위·변조 등에 대비해 보안취약점을 점검하고 조치한다.

ㅇ 정보시스템의 서비스 포트를 주기적으로 점검하고 불필요한 포트는 제거한다.

ㅇ 정보시스템은 보안상 취약한 원격 연결서비스(rlogin, rsh, telnet, ftp 등)를 제거하는 등 사용을 원천적으로 금지한다.

ㅇ 정보시스템은 최신 버전으로 업그레이드 및 보안패치를 실시하여 취약점을 제거한다.

ㅇ 정보시스템의 효율적인 통제·관리, 사고 발생시 추적 등을 위하여 사용자의 시스템 접근기록을 6개월 이상 보관하여 관리해야 한다.

ㅇ 용역사업자가 정보시스템 접근이 필요한 경우,

- 정보보안담당자는 정보시스템(모든 응용프로그램)의 사용 자격을 확인하여 사용자계정을 설정하여 적절히 기능하는지 확인한다.

- 정보시스템의 사용자별 접근 및 사용권한은 단계적으로 구분하여 설정해야 하며, 적절히 기능하는지 확인해야 한다.

- 정보시스템의 접근 비밀번호는 분기 1회 이상 변경해야 하며, 문자, 숫자, 특수문자를 모두 포함하여 9자리 이상으로 설정한다.

- 정보시스템의 접근을 여러 명이 동시에 동일한 사용자 계정으로 로그인하지 못하도록 차단한다.

- 정보시스템 운영관리자는 정기적으로 접근 로그를 점검하여 기록하고, 부정사용 발견 시 정보보안담당자에게 즉시 보고하고 적절한 대응을 조치해야 한다.

ㅇ 개발시스템에서 개발 및 전체 테스트 후 운영 정보시스템에 적용한다.

ㅇ 개발시스템도 운영 정보시스템의 기술적 보안대책을 적용하여 통제 및 관리가 될 수 있도록 해야 한다.

【 정보보호시스템 보안대책 강구 】

ㅇ 제조업체에서 출고 시 설정되어 있는 기본(Default) 계정은 변경

- 유추하기 어렵게 9자리 이상으로 변경

ㅇ 비밀번호는  문자, 숫자, 특수문자를 모두 포함 9자리 이상 설정

- 분기 1회 이상 변경 사용

ㅇ 사용자 계정별로 적절한 권한 설정

- 불필요한 계정 삭제, 관리자 계정 공용 사용 금지

- 사용자 로그인 접속실패 허용횟수 총 5회 제한

- 인가되지 않은 IP 접속 차단, Session Timeout 설정 사용

- HTTP 및 Telnet 접속 금지(HTTPS 및 SSH 등 SSL 접속 사용)

ㅇ SNMP 서비스가 불필요할 경우 서비스 중지

- 사용 필요 시, 신뢰된 네트워크에서만 사용

- Community String이 기본값(public, private) 설정 금지

- Community String은 유추하기 어렵게 9자리 이상 변경 사용

ㅇ 외부에서 내부 서비스를 위해 VPN 사용 시,

- VPN의 SSL 통신은 192bit 이상의 암호화 알고리즘 사용

- 관리자 계정과 일반 사용자 계정의 로그인 페이지 다른 URL로 설정

- 관리자 로그인 페이지는 내부에서만 접근 허용

ㅇ 제조업체에서 제공하는 최신 업데이트를 유지

【 정보서비스 보안대책 】

ㅇ 정보서비스에 대한 보안취약점 진단 및 모의해킹을 통해 주기적으로 보안취약점 식별 및 보완조치를 시행한다.

ㅇ 보안 웹서버 구축을 통해 개인정보 및 비공개 정보(사용자 계정 및 비밀번호) 등 주요정보 전송 시 암호화 전송을 적용한다.

ㅇ 중요 업무용 정보시스템의 관리용 서비스에 대하여 원격관리를 차단하거나, 기관 내부망의 관리자 IP, MAC 주소에서만 접근이 가능하다.

ㅇ 정보서비스 관리자 페이지는 허용된 관리의 IP/MAC 주소에서만 접속 가능하도록 한다.

ㅇ 관리자 로그인 접속실패 허용횟수 총 5회로 제한한다.

ㅇ 관리자 로그인 비밀번호는 분기 1회 이상 변경해야 하며, 문자, 숫자, 특수문자를 모두 포함하여 9자리 이상으로 설정한다.

ㅇ 관리자 로그인은 여러 명이 동시에 동일한 사용자 계정으로 로그인하지 못하도록 차단한다.

ㅇ 관리자 로그인에 대한 접속 기록은 관리되어야 하며, 로그인 시 이전 최종 접속기록을 표시한다.

【 데이터베이스 보안대책 】

ㅇ 개인정보 등 주요 정보는 데이터베이스 내 암호화하여 저장한다.

ㅇ 허용된 IP/단말기에서만 주요 정보에 대한 조회가 가능하도록 한다.

ㅇ 데이터베이스의 불법 접근시도 차단 및 접속 기록을 저장한다.

ㅇ 데이터베이스의 보안패치를 실시하여 취약점을 제거한다.

【 응용프로그램 개발 보안대책 】

ㅇ 응용프로그램 개발 시, 보안지침을 준수하여 개발한다.

ㅇ 안전행정부의 “소프트웨어 개발보안(시큐어코딩) 관련 가이드”를 준용하여 응용프로그램에 내포된 보안약점을 최소화 한다.

ㅇ 응용프로그램 대상 안전행정부 “소프트웨어 보안약점 진단가이드”에 의거 보안취약점을 분석하고 보완 조치한다.

ㅇ 검사 시, 소스에 대한 시큐어코딩 준수, 보안취약점 점검 및 보완 등 조치에 대한 이행여부를 점검한다.

ㅇ 고유식별정보 및 비밀번호 등 개인정보보호법에서 정의된 암호화 대상 정보 및 기타 암호화가 필요하다고 판단되는 중요한 정보를 운영DB 또는 개발DB에 저장할 경우, 암호화하여 저장하며 소스코드에 직접 하드코딩하지 않는다.

ㅇ 개인정보 취급자가 개인정보처리 시스템에 접속하는 경우 접속 로그를 시스템에 기록 관리될 수 있도록 개발해야 한다.(최소 1년 보관, 다만, 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보관)

- 필수 접속로그 관리 항목: ID(개인정보취급자 식별정보), 날짜 및 시간(접속일시), 접속IP 주소(접속자 정보), 처리한 정보주체 정보(계정, 회원번호 등),  수행업무(열람, 수정, 삭제, 인쇄, 입력 등)

【 PC 보안대책  】

ㅇ 용역사업자는 용역사업자가 사용하는 PC는 CMOS 비밀번호, 운영체제 비밀번호, 화면보호기 비밀번호를 설정하도록 하여야 한다.

ㅇ 용역사업자는 공유폴더 감시, 운영체제 업데이트, 백신 최신패치 등 상시점검을 해야 한다.

ㅇ 용역사업자는 악성코드 감염 차단을 위한 저장매체 자동 점검이 될 수 있도록 설정해야 한다.

ㅇ 장비(CMOS)ㆍ사용자(운영체제)ㆍ화면보호기에 비밀번호(PW) 설정

- 부팅순서 변경 방지(HDD장치 1순위)를 위해 CMOS 관리자 비밀번호를 반드시 설정하고 일반 사용자 공개 금지

ㅇ ‘내PC지키미’ 활용 시 점검주기를 최소화(실시간 권고)하고 점검결과가 일정 점수를 미달할 경우 네트워크 접근 제한정책(NACㆍ백신Agent 연동)을 통해 단말 보안수준을 제고토록 보안정책 실행 권고

※ 본 사업과 관련하여 ‘정보시스템 기술적 보안대책’을 추후 제공 양식에 따라 상세화 한다.

4		보안시스템 도입 및 운영계획

□ 보안시스템 도입 및 운영

ㅇ 보안시스템은 국가정보원 CC 인증을 획득한 국내용 제품으로 도입하여 운영한다.

ㅇ 보안시스템은 통제구역으로 지정된 장소에 설치하여 운영한다.

ㅇ 보안시스템 접속 ID 및 정보 유출을 원천 금지한다.

ㅇ 보안시스템 관리책임자를 지정하여 운영․관리 한다.

ㅇ 보안시스템은 관리자만 접근하도록 설정한다.

ㅇ 비인가자 접근 통제 및 시스템 관리자외 접근을 차단하고 원격관리를 제한한다.

ㅇ 보안시스템 관리자는 로그 자료를 매일점검하고, 월 1회 이상 시스템 점검을 실시한다.

□ 보안 정책의 방향

ㅇ 인터넷에서 내부 접근을 원천 차단한다.

ㅇ 내부망의 IP는 사설주소 체계를 사용한다.

ㅇ 사용하지 않거나 허용되지 않는 서비스는 거부하고, 허가된 사용자만이 자원에 접근할 수 있도록 한다.

ㅇ 사용자 계정은 일정한 절차에 의해 신청하고, 모든 자원(데이터, 문서, 출력물 포함)은 보안등급에 따라 분류․관리 한다.

ㅇ 주기적인 보안점검(내부감사)을 통해 보안정책 및 관리지침의 준수여부를 확인하고, 그 결과를 보안정책에 반영한다.

ㅇ 이상 징후 발생 시 즉각 대처 및 원인분석을 실시한다.

5		재난복구 및 상시 운영계획

□ 인위적 또는 자연적인 원인으로 인한 정보통신망의 장애발생에 대비하여 종합적인 재난방지대책을 수립·시행한다.

□ 정보시스템 접근기록의 비인가 열람, 훼손 등을 방지하기 위한 내규(규정, 지침 등)를 마련하고 비인가자의 접근을 제한하며 열람기록을 유지한다.

□ 백업 데이터 복구 및 서비스 복구 테스트를 실시하여 대상 서비스 및 손실 데이터량 등 세부사항을 평가한 후 개선책을 마련한다.

□ 사이버 공격 등 침해사고 발생시 조치사항과 처리 절차에 대한 사이버침해관리메뉴얼을 수립하고 숙지하여야 한다.

□ 정보서비스는 DDoS 예방을 위한 대응장비를 도입하여 운용하고, 최신 DDOS 공격 패턴 업데이트를 유지하여야 한다.

□ 문화정보 백업센터에 2차 백업 연동을 통해 재난․재해에 대비한 안전장치체계를 구축한다.

6		온라인 개발 또는 온라인 유지보수시 보안대책

□ 용역업체가 발주기관 이외 장소(이하 “원격지”라 한다)에서 개발 작업을 수행하고자 요청할 경우 용역업체 작업장소에 대한 보안요구사항 등을 포함한 관리적ㆍ기술적 보안대책을 수립ㆍ시행하여야 하며, 이 경우 정보화사업담당관은 보안대책을 수립한 후 정보보안담당관의 승인을 받고, 해당 정보화사업담당관의 보안통제 하에 인터넷에 연결할 수 있다.

□ 원격지에서 유지보수를 함에 있어 각급기관의 장이 필요하다고 판단하고, 용역업체가 다음 각 호에 따른 보안대책에 서면으로 동의하는 경우에 한하여, 각급기관의 장은 용역업체에게 소관 정보시스템(보안ㆍ네트워크장비는 제외)에 대하여 인터넷을 통한 온라인 유지보수를 허용할 수 있다.

□ 원격지 개발 및 유지보수에서 각급기관의 장이 필요하다고 판단하고 용역업체가 아래의 보안대책에 서면으로 동의하는 경우에 한하여, 용역업체에게 원격지에서 인터넷을 통해 발주기관 정보시스템에 온라인 접속한 상태의 개발 및 유지보수 작업을 허용할 수 있다.

ㅇ 용역업체 관련 보안관리 사항은 「국가·공공기관 용역업체 보안관리 가이드라인」(2020.10.) 준수

ㅇ 용역업체 계약시 준수해야할 보안사항 및 책임 등의 서면 동의 및  개발인력에 대한 보안교육 및 수시점검

ㅇ 전산망 구성도ㆍIP주소 현황 등 비공개 자료 관리실태 및 인터넷 연결 PC에 개발ㆍ유지보수 관련 자료 보관여부 등의 수시점검

ㅇ 네트워크 대역 분리, 방화벽 정책 설정 등을 통해 용역망을 기관망과 분리하고 정보보호 솔루션 설치ㆍ업데이트 등 필요 서비스만 허용

ㅇ 개발자 계정의 정보시스템 접속권한을 업무별로 차등부여하고 불필요시 즉각 권한해지 및 계정을 폐기토록 조치

ㅇ 용역업체의 비인가 휴대용 저장매체(외장하드, USB 등) 사용을 금지하고 USB 포트는 포트락, 보안스티커 등으로 물리적으로 봉인

ㅇ 용역업체 인력이 무단으로 비인가 노트북, 휴대용 무선AP 등 정보통신기기를 반입하지 않도록 보안점검 주기적 수행

ㅇ 전산망 구성도 등 용역업체에 제공하는 자료는 관리대장을 작성, 보안담당관 및 업체 관리책임자가 직접 서명한 후 인계ㆍ인수

ㅇ 용역업체 원격접속은 최소한으로 하고 사용시 VPN 활용 및 접속PC IP를 지정하여 통제토록 하며 접근ㆍ활동기록은 최소 1년 이상 보관

※ 원격으로 시스템 개발ㆍ운용 시 불시 보안점검을 통해 자료유출 등 위해요소 확인

ㅇ 지정된 단말기에서만 접속 및 해당 단말기에 대한 접근인원 통제

ㅇ 지정 단말기는 온라인 용역 통제시스템 접속 전용으로 운용하고 다른 목적의 인터넷 접속은 차단

ㅇ 사업종료 후 회수하는 자료는 국가정보원장이 안정성을 확인한 검증필 완전삭제 프로그램을 활용하여 삭제하고 확약서 징구 철저

ㅇ 기타 국가정보원장이 배포한「국가ㆍ공공기관 용역업체 보안관리 가이드라인」에서 제시된 온라인 개발에 관련된 보안대책의 준수

7		기타 준수 사항

□ 보안준수 사항 위반으로 발생하는 모든 민·형사상 책임 및 그에 따른 유·무형의 손해배상에 대해 용역사업자 책임임을 사업발주 시 고지한다.

□ 계약체결시 [별첨 1] 외주 용역사업 보안특약 조항을 포함하여야 한다.

□ 용역사업자는 국립민속박물관 정보보안 규정 및 보안정책 위반시 “사업자 보안 위규처리 기준”(별표1)에 따라 위규자 및 관리자를 행정조치하고 “보안 위약금 부과 기준”(별표2)에 따라 우리기관에 위약금을 납부함을 사업발주 시 고지한다.

□ 용역사업자는 사업수행 시 참여직원에 대해 보안담당관을 지정하고 보안책임을 명확히 규정한다.

□ 용역사업자는 사업에 참여하는 업체 직원에 대해, 작업수행 과정에서 취득한 기밀누설 방지를 위한 서약서 징구·신원확인 등 보안조치를 실시한다.

□ 용역업무 수행과정에서의 다음과 같은 보안관리실태를 점검한다.

ㅇ 휴대용 통신·저장매체·전산장비 무단반입 및 내부자료 보관유무

ㅇ 인터넷을 통한 내부정보 무단 유출 여부 확인

□ 하도급 계약을 체결하는 경우에도 용역사업자와 동일한 비밀유지계약을 체결해야 한다.

□ 우리기관 정보보안 규정 준수 및 상기 언급되지 않은 사항은 다음의 보안지침을 준수한다.

ㅇ 국가 정보보안 기본지침(국가정보원, 2020. 7.)

ㅇ 국가․공공기관 용역업체 보안관리 가이드라인(국가정보원, 2020. 10.)

ㅇ 홈페이지 개인정보 노출방지 안내서(개인정보보호위원회, 2020.12.)

ㅇ 소프트웨어 개발보안 가이드(행정안전부 발간등록번호

11-1311000-000330-10, 2019.11.29.)

ㅇ 소프트웨어 보안약점 진단가이드(행정안전부 발간등록번호

11-1311000-000395-14, 2019.6.)

ㅇ 공개SW를 활용한 소프트웨어 개발보안 점검가이드(행정안전부, 2019.6.)

※ 보안취약점 점검 결과 자료는 대외비 이상으로 관리한다.

ㅇ 문화체육관광부 개인정보보호지침(문화체육관광부 훈령 제443호, 2021. 4. 15.)

ㅇ 시스템 개발·운영자를 위한 개인정보보호 가이드라인(행정안전부, 2018. 6.)

ㅇ 개인정보의 안전성 확보조치 기준(행정안전부 고시 제2019-47호, 2019.6.7.)

ㅇ 위 지침 외에도 정부가 제정․공포한 관계 제 법규(지침)

Ⅵ. 입찰 안내사항

1		입찰방식

□ 기본방침 : 객관적이고 공정한 기준과 절차를 적용하여 경쟁에 의한 우수 사업자 선정

□ 입찰참가자격

ㅇ「국가를 당사자로 하는 계약에 관한 법률 시행령」 제12조(경쟁입찰의 참가자격) 및 동법 시행규칙 제14조(입찰참가자격요건의 증명) 규정에 의한 경쟁입찰 참가자격을 갖추어야 하며, 조달청 입찰참가자격등록증 소지업체이여야 함

ㅇ 입찰 등록 마감일 기준,「국가를 당사자로 하는 계약에 관한 법률  시행규칙」제76조의 규정에 의한 부정당업자의 입찰참가자격 제한을 받는 자는 제외

ㅇ 사업자는 「소프트웨어진흥법」에 의한 소프트웨어사업자(컴퓨터관련서비스사업 : 1468)로 등록되어 있는 업체

※ 제안 업체는 「소프트웨어진흥법」 제24조(소프트웨어사업자의 신고)와 동법 시행령 제14조(소프트웨어사업자의 활용)에 따라야 하며, 최근년도 결산신고 된 SW사업자신고확인서를 제출서류에 포함하여야 함

ㅇ 사업자는 중소기업자간 경쟁일 경우, 중소기업제품 구매촉진 및 판로지원에 관한 법률에 의한 중소기업자로서「중소기업자간 경쟁제품 직접생산확인기준」(중소기업청 고시)에 따라 직접생산확인증명서(정보시스템유지관리서비스)를 제출(입찰참가등록 마감일 이전 발행된 것, 유효기간 내)

ㅇ 본 사업은 하도급 불허함.

ㅇ 기타 공고서에 따름.

□ 유의사항

ㅇ「소프트웨어진흥법」제48조(중소 소프트웨어사업자의 사업참여 지원)에 따른 「대기업인 소프트웨어사업자가 참여할 수 있는 사업금액의 하한」을 준수하여야 함

- 본 사업은 총예산 20억 미만 사업으로 소프트웨어진흥법 제48조(중소 소프트웨어사업자의 사업참여 지원)에 따라 대기업 및 중견기업의 참여가 불가함

ㅇ (과업내용 변경) 본 사업은 「소프트웨어 진흥법」 제50조, 같은 법 시행령 제47조 제1항 제2호, 제3호에 따른 과업내용 변경 및 그에 따른 계약금액·계약기간 조정이 필요한 경우, 계약상대자는 국가기관등의 장에게 소프트웨어사업 과업변경요청서*를 제출하여야 함

* 「소프트웨어사업 계약 및 관리감독에 관한 지침」 별지 8호 서식 참조

2		제안서 평가 방법

□ 제안서 평가 원칙

ㅇ 제안서 평가는 「소프트웨어 기술성 평가기준」(과학기술정보통신부 고시 제2020-100호, 2020.12.24.)을 준용함.

ㅇ 행정기관 및 공공기관 정보시스템 구축․운영 지침 제18조에 의거, 평가비율은 기술평가 90%와 가격평가 10%로 하며, 기술평가점수와 가격평가점수를 합산하여 종합평가점수를 산출함.

ㅇ 기술평가항목 및 배점기준은 “3. 기술평가기준”에 의함

ㅇ 기술평가위원회는 국립민속박물관이 선정한 3인 이상 5인 이내의 평가위원으로 구성하고, 각 평가위원의 점수를 산술평균하여 90점 만점으로 환산하며, 기술능력평가 분야 배점한도의 85% 이상인 자를 협상적격자로 선정함.

ㅇ 평가점수 결과는 소수점 다섯째 자리에서 반올림함.

□ 우선협상대상자 선정 및 계약체결

ㅇ 협상대상자 중 기술평가점수와 가격평가점수를 합한 점수가 1위인 우선협상대상자로 선정하여 기타 지원조건 등을 협상

ㅇ 입찰 및 낙찰방식에 관하여는 ｢국가를 당사자로 하는 계약에 관한 법률｣과 이에 근거한 관련 규정 등을 따름.

3		기술평가기준

□ 제안서 평가항목 및 배점한도 (총 배점 90점)

평가 부문	평가 항목	평가기준	평가요소	배점한도
전략 및 방법론 (25)	사업 이해도	사업의 특성 및 목표에 부합하는 사업전략을 제시하고 있는가를 평가한다.	․개발목표 및 내용의 이해도 ․문제파악의 정확성 ․업무분석체계의 명확성	10
	추진전략	개발업무 수행 시 위험요소를 고려하여 얼마나 창의적이며 타당한 대안을 제시할 수 있는지 평가한다.	․추진전략의 창의성 ․추진전략의 타당성	10
	적용기술	사업에서 적용하고자 하는 기술이 기존 운영 장비의 유지보수에 현실적으로 실현 가능하게 제시되어 있는지를 평가한다.	․기술의 실현가능성 ․적용기술의 최신성	5
기술 및 기능 (30)	시스템 장비구성 이해도	현재 운용중인 장비에 대한 이해도 및 운영시 야기될 수 있는 문제점, 적절한 해결 방안 등 유지보수에 대해 방안이 구체적으로 기술되어 있는가를 평가한다.	․현 운영장비의 이해도 ․현 운영장비의 유지보수 지원 가능성	6
	보안 요구사항	현 시스템 분석을 바탕으로 보안 요구사항의 적용 방안이 구체적으로 기술되었는지 평가한다.	․보안요구사항 분석 및 방안의 타당성 ․보안요구사항 분석의 적정성	6
	데이터요구사항	현 누적 데이터 및 향후 수집 데이터 분석을 바탕으로 관리 방안 및 데이터 오류 발생 시 처리 방안이 구체적으로 제시되어 있는지를 평가한다.	․데이터 관리 방법의 타당성 ․데이터 오류 발생시 처리방안의 적정성	6
	시스템운영 요구사항	시스템 운영 요구사항에 맞는 운영 절차 및 방법을 제시하였는지 평가한다. 또한 운영 중 비상사태 발생 시 대응방안이 구체적으로 제시되고 있는지를 평가한다.	․시스템 운영요구사항의 충족도 ․시스템 운영요구사항 대응책의 타당성	6
	제약사항	시스템 운영과 관련하여 제약조건을 충족시키기 위한 구체적인 구현 방안 및 테스트 방안이 수립되었는지 평가한다.	․제약사항 문제파악의 정확성 ․제약사항의 충족도 ․제약사항의 대응 방안의 적정성	6
프로 젝트 관리 (15)	관리 방법론	일정관리, 사업위험(이슈) 관리, 보안관리 등 사업수행에 필요한 관리 방법론이 구체적으로 제시되어 있는지를 평가한다. 또한 문제 발생 시 보고 체계 및 위험관리 방안이 구체적으로 제시되어 있는지 평가한다.	․일정관리 방안의 적정성 ․위험관리 방안의 적정성 ․보안관리 방안의 적정성 ․문제발생시 위험관리방안의 적정성	5
	일정계획	사업수행에 필요한 수행기간과 세부일정이 구체적으로 제시되었는지 평가한다.	․수행기간과 세부일정의 적정성	5
	개발장비	시스템 운영에 필요한 환경 구성이 구체적으로 제시되었는지 평가하고, 라이선스 등의 문제가 없는지 여부를 평가한다.	․사업자의 참여 준비성 ․장비 보유현황 및 확보방안	5
프로 젝트 지원 (20)	유지관리	시스템 공급자가 제시하는 유지관리 계획, 절차, 범위 및 기간과 이와 관련된 기타의 활동 및 그 제한사항에 대해 평가한다.	․유지관리 계획의 적정성 ․유지관리 절차의 적정성	5
	커뮤니 케니션	국립민속박물관 사업 담당자의 운영 시스템 이해도 증진을 위한 정보 제공 방법, 사업 수행을 위한 협의 방식 및 절차 등에 대하여 총괄적으로 평가한다.	․사업추진 의지의 적극성 ․사업 관련 전문성 및 전문인력	5
	기밀보안	사업 추진 동안 악영향을 미치는 일련의 불순 활동들로부터 기밀을 보호함과 동시에 원활한 사업의 수행을 보장하기 위한 체계 및 대책에 대하여 평가한다.	․기밀보안 체계의 적정성 ․기밀보안 대책의 확신성	5
	비상대책	시스템 공급자가 안정적인 시스템 운영을 위해 제시하는 각종 백업/복구 및 장애대응 대책에 대하여 평가한다.	․백업/복구 대책 ․장애대응 대책	5
계				90

4		제출서류

ㅇ 제안서 1부(온라인 제출)

- 제공 서식을 활용하여 제안사 일반사항 및 동 사업 추진 계획을 자유롭게 기술

- 기술평가와 관련된 증빙서류는 제안서에 합본하여 제출

ㅇ 기타 사항은 입찰공고에서 별도로 정한 바에 의함

5		제안서 제출 일정 및 방법

ㅇ 제안서 제출 일정 등은 공고서 참고

Ⅶ. 서식 및 별첨(참고) 자료

[별지 제1호 서식] 제안사 일반현황 및 연혁

제안사 일반현황 및 연혁

회 사 명		대 표 자
사 업 분 야
주 소
전 화 번 호			FAX
회 사 설 립 년 도	년 월
해당부문 종사기간	년 월 ～ 년 월 ( 년 개월)
□ 주요연혁 □ 인원현황 □ 조직도

※  기술평가위원 제공 자료에서는 회사명과 대표자 주소 등의 정보 삭제 예정

[별지 제2호 서식] 자본금 및 매출액 (최근 3년), 주요 사업실적

자본금 및 매출액 (최근 3년)

(단위 : 백만원)

구 분		M-2년도	M-1년도	M년도
총 자 산
자 기 자 본
유 동 부 채
고 정 부 채
유 동 자 산
당기 순이익
매출액	⃝⃝부문
	⃝⃝부문
	⃝⃝부문
	⃝⃝부문
	계
자기자본비율 [당기순이익/자기자본]
자기자본순이익율
유 동 비 율

※ 결산 공고된 대차대조표 및 손익계산서 제안서에 첨부

주요 사업실적

사 업 명	사 업 기 간	계 약 금 액	발 주 처	비 고

※ 연도순으로 기재하며, 제안과제와 유사하거나 동일한 업무영역이나 사업형태에 관한 것만 기재한다. 단, 현재수행중인 사업은  비고란에 현재수행중임을 명시한다.

※ 한국소프트웨어산업협회에서 발급하는 이행실적확인서를 가능한 활용.

※ 실적을 확인할 수 있는 실적증명서, 계약서 등의 증거서류제출, 확인이 불가능한 실적은 인정하지 않음

※ 실적증명자료는 붙임으로 첨부하여야 하며 실적증명첨부서류에 페이지를 명시하여 주요사업실적 비고란에 페이지를 표시하여야 함

[별지 제3호 서식] 서약서

서     약     서

국립민속박물관에서 추진하는 「2022 국립민속박물관 어린이박물관 홈페이지 유지보수」 용역 입찰에 참여한 당사는 국립민속박물관의 제안요청서를 성실히 준수하고 제반규정의 위반과 지시, 지침 및 조정 불이행 등에 따른 불이익을 감수할 것이며, 제안서의 제출, 심사, 낙찰, 계약 결과 등에 대하여 어떠한 이의 없이 귀 관의 결정에 따를 것을 확약하고 이 서약서를 제출합니다.

2021년     월      일

업 체 명:

성    명:                     (인)

생년월일:

국립민속박물관장 귀하

[별지 제4호 서식] 개인정보 이용 동의서

개인정보 수집･이용･제공 동의서
업체명	성명	생년월일	동의 여부	서명
			□ 동의 / □ 거부
			□ 동의 / □ 거부
			□ 동의 / □ 거부
			□ 동의 / □ 거부
			□ 동의 / □ 거부
위 사람은 「2022 국립민속박물관 어린이박물관 홈페이지 유지관리」용역의 입찰과 관련하여, 아래와 같이 본인 개인정보의 수집･이용･제공에 동의합니다. 가. 수집･이용･제공 목적 - 국립민속박물관이 수행하는「국립민속박물관 어린이박물관 상설전시1 실감형 콘텐츠 제작 용역」입찰 참여에 따른 입찰서류 확인, 기술평가위원회 개최 정보, 입찰관련 정보 안내 등 나. 수집･이용･제공하는 개인정보의 항목 - 입찰참가 신청 제출자의 성명, 직위, 주소, 생년월일, 전화번호, 전자우편 등 - 참여인력의 성명, 소속/직책, 경력, 생년월일 등 다. 개인정보의 보유 및 이용･제공기간 - 본 동의서가 작성된 때로부터 원 입찰참가 서류 관리를 위한 보유기간까지 라. 동의를 거부할 권리와 거부에 따른 불이익 - 본인은 상기 개인정보의 수집에 대하여 거부할 권리를 보유하고 있음을 인지하고 있음 - 거부에 따른 불이익 : 계약체결 대상에서 제외 2021년 월 일 국립민속박물관장 귀하

[별지 제5호 서식] 청렴계약이행서약서

청렴계약이행서약서

당사는 「부패 없는 투명한 기업경영과 공정한 행정」이 사회발전과 국가 경쟁력에 중요한 관건이 됨을 깊이 인식하며, 국제적으로 OECD 뇌물방지 협약이 발효되었고 부패기업 및 국가에 대한 제재가 강화되는 추세에 맞추어 청렴계약 취지에 적극 호응하여 국립민속박물관에서 시행하는 「2022 국립민속박물관 어린이박물관 홈페이지 유지보수」 용역 입찰에 참여함에 있어 당사 및 하도급업체(하도급업체와 직․간접적으로 업무를 수행한 자 포함)의 임직원과 대리인은

1. 입찰가격의 유지나 특정인의 낙찰을 위한 담합을 하거나 다른 업체와 협정, 결의, 합의하여 입찰의 자유경쟁을 부당하게 저해하는 일체의 불공정한 행위를 않겠습니다. 이를 위반하여 경쟁입찰에 있어서 입찰가격을 서로 상의하여 미리 입찰가격협정을 주도하여 낙찰을 받은 자는 국립민속박물관에서 발주하는 입찰에 입찰참가자격제한 처분을 받는 날부터 2년 동안 참가하지 않겠으며, 경쟁입찰에 있어서 특정인의 낙찰을 위하여 담합을 주도한 자는 국립민속박물관에서 발주하는 입찰에 입찰참가자격제한 처분을 받는 날부터 1년 동안 참가하지 않고, 입찰자간에 서로 상의하여 미리 입찰자격을 협정하거나 특정인의 낙찰을 위하여 담합하는 자는 국립민속박물관에서 발주하는 입찰에 입찰참가자격제한 처분을 받는 날부터 6월 동안 참가하지 않으며, 위와 같이 담합 등 불공정행위를 한 사실이 드러날 경우 독점규제 및 공정거래에 관한 법률에 따라 공정거래위원회에 발주관서가 고발하여 과징금 등을 부과토록 하는데 이의를 제기하지 않겠습니다.

2. 입찰, 계약체결․계약이행 과정(준공 이후도 포함)에서 관련 재단 임·직원에게 직․간접적으로 금품․향응 등의 뇌물이나 부당한 이익을 제공하지 않겠으며, 이를 위반하였을 때에는 다음 각호 각목의 1에 해당하는 기간 동안 국립민속박물관에서 시행하는 입찰에 참가하지 않겠습니다.

1) 입찰․낙찰․계약체결 또는 계약이행(준공이후도 포함)과 관련하여

가. 1억원 이상의 뇌물이나 부당한 이익을 제공 : 2년

나. 1천만원 이상 1억원 미만의 뇌물이나 부당한 이익을 제공 : 1년 6월

다. 1천만원 미만의 뇌물이나 부당한 이익을 제공 : 1년

2) 입찰 또는 낙찰자의 결정과 관련하여

가. 1억원 이상의 뇌물이나 부당한 이익을 제공 : 1년 미만

나. 1천만원 이상 1억원 미만의 뇌물이나 부당한 이익을 제공 : 9월

다. 1천만원 미만의 뇌물이나 부당한 이익을 제공 : 6월

3. 입찰, 계약체결, 계약이행과 관련하여 관계 공무원에게 뇌물을 제공한 사실이 드러날 경우에는 계약체결 이전의 경우에는 낙찰자결정 취소, 공사착공 전에는 계약취소, 공사착공 이후에는 발주처에서 전체 또는 일부 계약을 해지하여도 감수하고 민․형사상 이의를 제기하지 않겠습니다.

4. 회사 임․직원이 관련 국립민속박물관 직원에게 뇌물을 제공하거나 담합 등 불공정 행위를 하지 않도록 하는 회사윤리강령과 내부비리 제보자에 대하여도 일체의 불이익처분을 하지 않는 사규를 제정토록 노력하고 업체의 임․직원(하도급업체나 하도급업체와 직․ 간접적으로 업무수행 하는 자를 포함)과 대리인이 관련 재단 임·직원에게 뇌물을 제공하거나 담합 등 불공정 행위를 하지 않도록 하는 업체윤리강령과 내부비리 제보자에 대하여도 일체의 불이익 처분을 하지 않는 사규를 제정하도록 적극 노력하고, 제보된 위반 사항에 대하여 뇌물을 제공하거나 담합 등 불공정한 행위가 있는 것으로 판명된 경우 뇌물 제공한 업체는 입찰에 참가하지 않겠습니다.

5. 본건 입찰, 계약체결, 계약이행, 준공과 관련하여 국립민속박물관에서 요구하는 자료제출, 서류 열람, 현장확인 등 활동에 적극 협조하겠습니다.

6. 본건 관련 하도급 계약체결 및 이행에 있어서 법령에 위반되는 하도급(일괄 하도급, 무면허 하도급, 재하도급)을 하지 않겠으며, 하도급자로부터 금품을 수수하거나 부당 또는 불공정한 행위를 하지 아니하겠습니다.

위 청렴계약이행서약은 상호 신뢰를 바탕으로 한 약속으로써 반드시 지킬 것이며, 낙찰자로 결정될 시 본 계약내용을 그대로 계약특수조건으로 계약하여 이행하고, 입찰 참가자격제한, 계약해지 등 국립민속박물관의 조치와 관련하여 당사가 국립민속박물관을 상대로 손해배상을 청구하거나 당사를 배제하는 입찰에 관하여 민․형사상 이의를 제기하지 않을 것을 서약합니다.

2021년      월      일

업체명:

대표자: ○  ○  ○ (서명 또는 날인)

※ 인감증명서의 인감을 날인함    ↟

국립민속박물관장 귀하

- 별 첨 (참 고) -

[별첨1] 온라인 개발 및 유지보수시 보안대책 조항

① 용역업체가 발주기관 이외 장소(이하 “원격지”라 한다)에서 개발 작업을 수행하고자 요청할 경우 용역업체 작업장소에 대한 보안요구사항 등을 포함한 관리적ㆍ기술적 보안대책을 수립ㆍ시행하여야 하며, 이 경우 정보화사업담당관은 보안대책을 수립한 후 정보보안담당관의 승인을 받고, 해당 정보화사업담당관의 보안통제 하에 인터넷에 연결할 수 있다

② 원격지에서 유지보수를 함에 있어 각급기관의 장이 필요하다고 판단하고, 용역업체가 다음 각 호에 따른 보안대책에 서면으로 동의하는 경우에 한하여, 각급기관의 장은 용역업체에게 소관 정보시스템(보안ㆍ네트워크장비는 제외)에 대하여 인터넷을 통한 온라인 유지보수를 허용할 수 있다.

③ 원격지 개발 및 유지보수에서 각급기관의 장이 필요하다고 판단하고 용역업체가 아래의 보안대책에 서면으로 동의하는 경우에 한하여, 용역업체에게 원격지에서 인터넷을 통해 발주기관 정보시스템에 온라인 접속한 상태의 개발 및 유지보수 작업을 허용할 수 있다.

ㅇ 지정된 단말기에서만 접속 및 해당 단말기에 대한 접근인원 통제

ㅇ 지정 단말기는 온라인 용역 통제시스템 접속 전용으로 운용하고 다른 목적의 인터넷 접속은 차단

ㅇ 발주기관내 온라인 용역 통제시스템을 경유하여 개발 및 유지보수에 필요한 정보시스템에 접속하는 등 소통구간 보호ㆍ통제

ㅇ 접속사실이 기록된 로그기록을 1년 이상 보관

ㅇ 계약 시행일로부터 종료 후 30일이 경과하는 날까지의 기간 중에 발주기관, 발주기관의 상급기관 및 국가정보원장의 정기 또는 수시 보안점검(불시 점검을 포함한다) 수검

ㅇ 기타 국가정보원장이 배포한「국가ㆍ공공기관 용역업체 보안관리 가이드라인」에서 제시된 온라인 개발에 관련된 보안대책의 준수

[별첨2] 개인정보처리위탁 계약서 (계약시 작성)

표준 개인정보처리위탁 계약서(안)

OOO(이하 “갑”이라 한다)과 △△△(이하 “을”이라 한다)는 “갑”의 개인정보 처리업무를 “을”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.

제1조 (목적) 이 계약은 “갑”이 개인정보처리업무를 “을”에게 위탁하고, “을”은 이를 승낙하여 “을”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 개인정보보호법, 동법 시행령 및 시행규칙, 「표준 개인정보 보호지침」(안전행정부 예규 제45호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적, 기간 및 범위) “을”은 계약이 정하는 바에 따라 ( 사 업 명 )을 목적으로 (0000년 00월 00일부터 ~ 0000년 00월 00일까지) 다음의 개인정보 처리 업무를 수행한다.

각호의 업무 예시 : 고객만족도 조사 업무, 회원가입 및 운영 업무, 사은품 배송을 위한 이름, 주소, 연락처 처리 등

1.

2.

제4조 (재위탁 제한) ① “을”은 “갑”의 사전 승낙을 얻은 경우를 제외하고 “갑”과의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “을”이 재위탁받은 수탁회사를 선임한 경우 “을”은 당해 재위탁계약서와 함께 그 사실을 즉시 “갑”에 통보하여야 한다.

제5조 (개인정보의 안전성 확보조치) “을”은 개인정보보호법 제29조, 동법 시행령 제30조 및 개인정보의 안전성 확보조치 기준 고시(안전행정부 고시 제2011-43호)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제6조 (개인정보의 처리제한) ① “을”은 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안된다.

② “을”은 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보보호법」시행령 제16조에 따라 즉시 파기하거나 “갑”에게 반납하여야 한다.

③ 제2항에 따라 “을”이 개인정보를 파기한 경우 지체없이 “갑”에게 그 결과를 통보하여야 한다.

제7조 (수탁자에 대한 관리·감독 등) ① “갑”은 “을”에 대하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속현황

3. 개인정보 접근 또는 접속 대상자

4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “갑”은 “을”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이행하여야 한다.

③ “갑”은 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 (  )회 “을”을 교육할 수 있으며, “을”은 이에 응하여야 한다.

「개인정보 안전성 확보조치 기준 고시」(안전행정부 고시 제2011-43호) 에 따라 개인정보처리자 및 취급자는 1년에 1회 이상 개인정보보호에 관한 교육을 의무적으로 시행하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “갑”은 “을”과 협의하여 시행한다.

제8조 (손해배상) ① “을” 또는 “을”의 임직원 기타 “을”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “을” 또는 “을”의 임직원 기타 “을”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “갑” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “을”은 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “갑”이 전부 또는 일부를 배상한 때에는 “갑”은 이를 “을”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “갑”과 “을”이 서명 또는 날인한 후 각 1부씩 보관한다.

0000년 00월 00일

갑 ○○시 ○○구 ○○동 ○○번지 성 명 : (인)	을 ○○시 ○○구 ○○동 ○○번지 성 명 : (인)

[별첨2] 개인정보처리위탁 보안서약서 (계약시 작성)

개인정보 위탁 보안서약서(예시)

① 수탁업체 대표용

개인정보 취급위탁(제공) 계약 보안 서약서

(이하 “을”이라 한다)는                회사(주) (이하 “갑”이라 한다)의 개인정보 취급 위탁 업무수행에 따른 정보 및 개인정보취급 시스템(DBMS)의 안전한 보호를 위해 아래 각 호의 사항을 준수한다.

1. 을은 갑의 정보보호 규정을 준수하며 갑이 취급위탁한 개인정보(정보 및 정보시스템)을 안전하게 사용․관리하며, 개인정보의 보호를 위해 다음의 사항을 준수한다.

1) 갑의 정보보호 규정 및 개인정보보호 관련 법규의 준수

2) 업무상 알게된 개인정보에 관한 비밀 유지

3) 제공받은 목적 외 제공 금지

4) 제공받거나 허가받은 개인정보 취급 업무 및 취급권한의 제3자 공유 금지

5) 취급업무의 종료시의 파기 등 의무사항의 이행

6) 갑의 규정 및 관련 법규의 미준수 또는 관리소홀로 인해 발생한 개인정보 사고에 대한 책임 부담

2. 을은 갑의 업무 수행을 위해 담당하는 직원에 대하여 책임을 진다.

3. 을은 갑의 사전 승인을 받지 못한 프로그램 및 정보기기는 갑의 업무와 관련하여 사용하지 않는다.

4. 을은 갑의 정보보호 정책과 반하는 행위로 야기되는 문제에 대해 민․형사상 책임을 진다.

이를 상기 숙지하고 성실히 준수할 것을 서약함

00OO년 OO월 OO일
수탁업체 대표:	(인)

② 수탁업체 직원용

개인정보 수탁 사업자 서약서

본인은 (주)                 (이하 “회사”)의 협력사(외주용역, 프리랜서, 파트타이머 등) 직원으로 개인정보취급자로써, 금번 사업(용역, 프로젝트 등)을 수행함에 있어, 본 서약서가 근무기간 뿐 아니라 퇴직 후에도 적용될 수 있음을 인식하고 있으며 회사규정을 준수하고 업무와 관련하여 지득한 모든 사항에 대하여 일체 누설하지 않을 것이며, 이로 인한 문제 발생 시 책임을 다할 것임을 서약합니다.

1. 나는 회사로부터 취득한 모든 개인정보를 위탁업무에 한해 이용할 것이며, 타기업의 보호대상 정보를 회사 내 보관치 않겠다.

2. 나는 상대가 누구이건 간에 알 필요가 없는 자에게 직무상 알게 된 회사 혹은 제3자의 개인정보를 누설하지 않을 것이다.

3. 나는 명백히 허가 받지 않은 정보나 시설에 접근하지 않으며, 회사관련 업무를 수행할 때에는 사내에서 지정되고 허가된 데이터 처리시설 및 설비만을 이용할 것이다.

4. 나는 업무와 관련한 개인정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기 및 그 밖에 이와 유사한 일체의 행위에 대하여 회사의 규정과 통제절차를 준수할 것이다.

5. 나는 나에게 할당된 사용자 ID, 패스워드, 출입증, 개인정보 처리시스템을 타인과 공동 사용하거나 관련정보를 누설하지 않겠다.

6. 나는 회사로부터 제공받은 개인정보자산(서류, 사진, 영상, 전자파일, 저장매체 등)을 무단변조, 복사, 훼손, 분실 등으로 부터 안전하게 관리하겠으며 승인 받지 않은 프로그램 정보저장 매체를 회사 내에서 사용하지 않겠다.

7. 나는 퇴직 시 회사에서 제공받은 회사소유 모든 정보자산을 반드시 반납할 것이며, 퇴직 후에도 퇴직전의 모든 고객 정보는 물론이고 영업비밀 등 기타 누설됨으로 인하여 회사에 손해가 될 수 있는 각종 정보에 대하여는 일체 누설하지 않겠다.

상기 사항을 숙지하고 이를 성실히 준수할 것을 동의하며 서약서의 보안사항을 위반하였을 경우에는 “개인정보보호법”, “정보통신망이용촉진 및 정보보호 등에 관한 법률”, “부정경쟁 방지 및 영업비밀보호에 관한 법률” 등 관련법령에 의한 민/형사상의 책임 이외에도, 회사의 사규나 관련 규정에 따른 징계조치 등 어떠한 불이익도 감수할 것이며 회사에 끼친 손해에 대해 지체 없이 변상/복구할 것을 서약합니다.

00OO년 OO월 OO일

소 속 :

사 번 :

직 위 :

성 명 :        (인)

[별첨3] 보안서약서 (계약시 작성)

보  안  서  약  서

본인은   년   월   일부로 2022 국립민속박물관 어린이박물관 홈페이지 유지보수 사업과 관련한 개발업무를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.

1. 나는 국립민속박물관 어린이박물관 홈페이지 유지보수 사업과 관련된 소관업무가 기밀 사항임을 인정하고 제반 보안관계규정 및 지침을 성실히 수행한다.

2. 나는 이 기밀을 누설함이 국가이익을 침해할 수도 있음을 인식하고 재직 중은 물론 퇴직 후에도 알게 된 모든 기밀사항을 일체 타인에게 누설하지 아니한다.

3. 나는 기밀을 누설한 때에는 아래의 관계법규에 따라 엄중한 처벌을 받을 것을 서약한다.

가. 전자정부법 제35조(금지행위) 및 제76조(벌칙)

년     월     일

서약자    소속        직급      생년월일

직위      성    명              인

서  약    소속        직급

집행자                직위      성    명              인

[별첨4] 보안확약서 (계약시 작성)

보 안 확 약 서

본인은 귀 기관과 계약한 2022국립민속박물관 어린이박물관 홈페이지 유지보수 사업의 수행을 완료함에 있어, 다음 각 호의 보안사항에 대한 준수 책임이 있음을 서약하며, 이에 확약서를 제출합니다.

1. 본 업체는 업체 및 사업 참여자가 사업수행 중 취득한 모든 자료를 반납 및 파기하여 복사본 등 용역사업 관련 자료를 보유하지 않으며, 취득한 정보에 대한 유출을 절대 금지하겠습니다.

2. 본 업체는 하도급업체에 대해 상기 항과 동일한 보안사항 준수 책임을 확인하고 보안확약서를 징구하였으며, 하도급업체가 위의 보안사항을 위반할 경우에 주사업자로서 이에 동일한 법적 책임을 지겠습니다.

3. 본 업체는 상기 보안사항을 위반할 경우에 귀 기관의 사업에 참여 제한 또는 기타 관련 법규에 따른 책임과 손해배상을 감수하겠습니다.

년     월      일

서약업체 대표

소    속 :

직    급 :

성    명 :                         (서명)

국립민속박물관장 귀하

[별첨5] 비밀유지계약서 (계약시 작성)

비밀유지계약서

○○○○○(이하 “발주자”)와 ○○○○○(이하 “계약상대자”)는 다음과 같이 비밀유지계약을 체결한다.

제1조(계약의 목적)

발주자는 “○○○○○ 용역” (이하 “본 용역”)사업과 관련하여 자료·장비 등에 대한 내용(신규 포함)을 계약상대자에게 제공하는바, 발주자가 제공한 자료·장비 등에 대한 대외보안이 필요함에 계약상대자에게 비밀유지 의무를 부과하고자 본 계약을 체결한다.

제2조(정의)

1. “발주자”라 함은 ○○○○○ 기관을 말한다.

2. “계약상대자”라 함은 발주자와 본 용역계약을 체결한 업체를 말한다.

3. “본 용역”이라 함은 본 용역계약에 해당하는 사업을 말한다.

4. “비밀정보”란 발주자가 비밀 및 대외비로 분류된 자료와 본 계약에 표기된 중요한 자료·장비를 말한다.

5. “정보시스템”은 발주자의 업무처리 및 의사결정을 지원하기 위한 정보를 수집·검색·처리·저장하는 관련 요소들의 집합을 말한다.

제3조(비밀정보의 범위)

① 발주자의 본 용역 사업을 위한 비밀정보의 범위는 다음과 같다.

1. 해당 기관의 정보시스템 내ㆍ외부 IP주소 현황

2. 정보시스템 구성 현황 및 정보통신망 구성도

3. 개별사용자의 계정ㆍ비밀번호 등 정보시스템 접근권한 정보

4. 정보통신망 또는 정보시스템 취약점 분석ㆍ평가 결과물

5. 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당)

6. 암호자재 및 정보보호시스템 도입ㆍ운용 현황

7. 정보보호시스템 및 네트워크장비 설정 정보

8.「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 해당 기관의 내부문서

9.「개인정보보호법」제2조제1호에 따른 개인정보

10.「보안업무규정」제4조에 따른 비밀 및 ｢보안업무규정 시행규칙｣ 제16조제3항에 따른 대외비

11. 그 밖에 해당 기관의 장이 공개가 불가하다고 판단한 자료

제4조(비밀정보의 사용용도 제한)

계약상대자는 본 용역 사업을 수행하기 위해 발주자가 제공하거나 생성된 비밀정보에 대하여 발주자의 본 사업을 위해서만 사용되어야 한다.

제5조(비밀정보의 제공)

본 용역 사업 수행을 위해 계약상대자가 발주자로부터 제공받은 비밀정보를 제3자에게 제공해야 할 경우 반드시 발주자의 사전 서면 동의를 얻어야 한다.

제6조(비밀정보의 비밀유지 의무)

계약상대자는 당해 계약을 통하여 얻은 비밀정보를 계약 이행의 전후를 막론하고 계약 종료후에도 제3자에게 공개, 제공 또는 누출(누설)할 수 없다. 단 발주자의 사전 서면 동의를 받은 경우는 제외한다.

제7조(손해배상의 책임)

① 계약상대자는 본 계약상 비밀정보의 비밀유지 의무를 위반함으로써 발주자에게 손해를 가한 경우에는 발주자는 손해금액 및 법정 비용을 계약상대자에게 손해배상을 청구할 수 있다.

② 계약상대자의 임직원이 한 행위에 대해서도 전항을 적용한다.

③ 하도급 및 재하도급의 경우 하수급인 및 재하수급인의 비밀정보의 비밀유지 의무 위반에 대해서도 계약상대자는 동일한 책임을 부담한다. 단 불가항력의 사유로 비밀정보의 비밀유지 의무를 위반한 경우 계약상대자는 불가항력의 사유를 증명함으로써 발주자의 손해배상 청구에 대한 책임을 면할 수 있다.

제8조(정보의 지적재산권)

① 본 용역 사업의 이행에 의해 발생한 산출물 및 결과물(개발된 SW 모듈 포함)의 소유권 및 지적재산권은 공동으로 소유한다.

② 제1항에도 불구하고 보안관련 산출물 및 결과물의 소유권, 지적재산권 및 2차적저작물작성권은 발주가 소유한다.

제9조(정보의 회수)

발주자가 제공한 자료·장비·서류·기타 당해 계약과 관련된 정보의 반환을 요청하는 경우 계약상대자는 정보의 원본 및 사본(수정물도 포함)을 남기지 않고 모두 발주자에게 반환하여야 한다. 반환에 발생하는 비용은 계약상대자가 부담하기로 한다.

제10조(계약기간)

① 본 계약의 기간은 본 용역(사업)의 계약기간과 동일하며, 양 당사자의 합의에 따라 단축 또는 연장될 수 있다.

② 전항의 계약기간에도 불구하고 비밀유지의무는 제6조에 따른다.

제11조(양도 등의 금지)

계약상대자는 본 계약의 권리 및 의무의 일부 또는 전부를 제3자에게 양도, 하도급, 담보제공 등 일체의 처분행위를 할 수 없다.

제12조(계약의 변경)

본 계약의 내용은 발주자와 계약상대자 간의 서면 합의에 의해서만 유효하게 변경 또는 수정될 수 있다.

제13조(준용규칙)

본 계약서에 명시되지 아니하거나 해석상 이견이 있는 사항은 발주자와 계약상대자의 본 용역 사업 관련 계약서 및 국가를 당사자로 하는 계약에 관한 법령, 기획재정부 회계예규 등 관련 법령 및 규정을 준용한다.

제14조(계약의 효력)

본 계약은 당사자가 계약서에 적법하게 서명 또는 기명, 날인하여 계약을 체결한 날로부터 발효된다. 다만, 본 비밀유지계약서를 체결한 일자와 용역계약을 체결한 일자가 다를 경우 용역계약을 체결한 일자에 발효되기로 한다.

20  년    월     일

[별 첨] 외주 용역사업 보안특약 조항

(발주자) ○○○○○

주 소:

대 표:                  (인)

(계약상대자) ○○○○○

주 소:

대 표:

[별첨5-1] 외주 용역사업 보안특양 조항

① 사업자는 보안정책을 위반하였을 경우 [별표1]의 위규처리 기준에 따라 위규자 및 관리자를 행정조치하고 [별표2]의 보안 위약금을 납부한다.

② 사업자는 사업 수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 [별표3]의 ‘누출금지 대상정보’에 대한 보안관리 계획을 사업제안서에 기재하여야 하며, 해당 정보 누출 시 국가계약법 시행령 제76조에 따라 사업자를 부정당업체로 등록한다.

③ 사업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업 완료 후에도 이를 외부에 유출해서는 안 되며, 사업종료 시 정보보안담당자의 입회하에 완전 폐기 또는 반납해야 한다.

④ 전자기록 저장매체는 국가정보원장이 안전성을 검증한 삭제 S/W로 완전 삭제 후 반출하여야 한다.

⑤ 사업자는 사업 최종 산출물에 대해 정보보안전문가 또는 전문보안 점검도구를 활용하여 보안 취약점을 점검, 도출된 취약점에 대한 개선을 완료하고 그 결과를 제출해야 한다.

⑥ 사업자는 용역사업 참여인원에 대해 용역업체 임의로 교체할 수 없으며, 신상변동(해외여행 포함) 발생시 용역사업 발주기관에 즉시 보고해야 한다.

[별표 1] 사업자 보안위규 처리기준

[별표 2] 보안 위약금 부과 기준

[별표 3] 누출금지 대상 정보

[별표 1] 사업자 보안위규 처리기준

사업자 보안위규 처리기준

구 분	위 규 사 항	처 리 기 준
심각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	◦사업참여 제한 ◦위규자 및 직속 감독자 교체 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시
중대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실․보호구역 보안관리 허술 가. 통제구혁 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·유지보수 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	◦위규자 및 직속 감독자 교체 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시

구 분	위 규 사 항	처 리 기 준
보통	1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 출입 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 불순응 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 네이트온 등 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여 마. PC 비밀번호를 모니터옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	◦위규자 및 직속 감독자 사유서 /경위서 징구 ◦위규자 대상 특별보안교육 실시
경미	1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	◦위규자 서면ㆍ구두 경고 등 문책 ◦위규자 사유서 / 경위서 징구

※ 사업자 보안위규 처리 절차

경위 확인	▶	보안위규 처리기준에 따라 조치	▶	재발방지 대책	▶	보안조치 이행여부 점검

[별표 2] 보안위약금 부과 기준

보안 위약금 부과 기준

1. 위규 수준별로 A~D 등급으로 차등 부과

구분	위규 수준
	A급	B급	C급	D급
위규	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
위약금 비중	부정당업자 등록	계약금액의 2% 이내	계약금액의 1% 이내	계약금액의 0.5% 이내

* 사업자 보안위규 처리 기준은 [별표1] 참고

2. 보안 위약금은 다른 요인에 의해 상쇄, 삭감이 되지 않음

3. 사업 완료시 또는 매월 계약금액 지출시, 지출금액 조정을 통해 위약금 정산

[별표 3] 누출금지 대상 정보

누출금지 대상정보

1. 해당 기관의 정보시스템 내·외부 IP주소 현황

2. 정보시스템 구성 현황 및 정보통신망 구성도

3. 개별사용자의 계정·비밀번호 등 정보시스템 접근 권한 정보

4. 정보통신망 또는 정보시스템 취약점 분석·평가 결과물

5. 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당)

6. 암호자재 및 정보보호시스템 도입·운용 현황

7. 정보보호시스템 및 네트워크장비 설정 정보

8. 공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 해당 기관의 내부문서

9. 「개인정보보호법」제2조제1호에 따른 개인정보

10. 「보안업무규정」제4조에 따른 비밀 및 ｢보안업무규정 시행규칙｣ 제16조제3항에 따른 대외비

11. 그 밖에 해당 기관의 장이 공개가 불가하다고 판단한 자료