통합문화이용권(문화누리카드)

개인정보 영향평가 용역

과업지시서

2023. 08.

한국문화예술위원회

목      차

Ⅰ. 용역 개요	2

Ⅱ. 사업 개요	3

Ⅲ. 세부 과업 내용(제안 요청 내용)	4

Ⅳ. 제출서류 서식	19

Ⅰ		용역 개요

1. 과 업 명 : 통합문화이용권(문화누리카드) 개인정보 영향평가 용역

2. 과업기간 : 계약체결일로부터 2개월

3. 제안배경 및 과업목적

ㅇ 개인정보보호법 제33조(개인정보 영향평가) 및 동법 시행령 제35조(개인정보 영향평가의 대상)에 의거, 통합문화이용권(문화누리카드) 시스템의 개인정보 영향평가 필요

- 통합문화이용권(문화누리카드) 시스템 개인정보 보유량은 약 300만건으로 개인정보 영향평가 수행 대상

ㅇ 2018년 이후 개인정보 영향평가를 수행하지 않아서 시스템에 대한 전반적인 개인정보 보호체계를 점검·개선하여 개인정보 침해사고를 예방

4. 과업범위 : 과업 세부 내용 참조

5. 용역 참가 자격 : 국가를 당사자로 하는 계약에 관한 법률(이하 ‘국가계약법’) 시행령 제12조 및 국가계약법시행규칙 제14조 규정에 의한 자격 및 「국가종합전자조달시스템 입찰참가자격등록규정」에 의하여 반드시 나라장터(G2B)에 입찰서 제출마감일 전까지 개인정보 영향평가기관(업종코드 : 6525)으로 입찰참가자격을 등록한 자 및 「개인정보보호법」 시행령 제37조에 따른 개인정보영향평가기관으로 지정된 업체

Ⅱ		사업 개요

1. 사업목적 : 문화예술·여행·체육활동 지원으로 소외계층 삶의 질 향상 및 문화격차 완화

2. 사업내용

ㅇ 사업기간 : 2023년 1~12월

- 발급 : 2023.2.1.~11.30 / 이용 : 발급일~2023.12.31

ㅇ 지원대상 : 6세 이상 기초생활수급자 및 차상위계층 (2017.12.31.이전출생자)

ㅇ 지원내용 : 전국 문화예술·관광·체육 관련 가맹점에서 이용가능한 ‘문화누리카드’ 발급 (1인당 연 11만원 지원)

‧ 문화 : 도서, 음악, 영화, TV, 공연, 전시, 공예, 사진관, 문화체험 등

‧ 관광 : 교통수단(철도, 시외/고속버스, 국내항공, 여객선, 렌터카), 여행사, 관광명소, 휴양림/캠핑장, 동‧식물원, 온천, 체험관광, 테마파크, 숙박

‧ 체육 : 스포츠관람, 체육용품, 체육시설

ㅇ 추진근거 : 문화예술진흥법 제15조의4, 국정과제 56. “일상이 풍요로워지는 보편적 문화복지 실현”

ㅇ 추진주체 : 문화체육관광부, 한국문화예술위원회, 광역·기초자치단체 및 17개 시·도 지역주관처

* 후원 : 기획재정부 복권위원회

3. 추진체계

Ⅲ		세부 과업 내용(제안 요청 내용)

1. 제안요청 개요

ㅇ 요구사항 요약

분류기준	세부 내용	항목
컨설팅 요구사항 (CSR, Consulting Requirement)	사업의 업무 효율성과 생산성을 높이는 정보시스템을 갖추고 운영할 수 있도록 제반사항을 지원하는 요구사항을 기술	8
보안 요구사항 (SER, Security Requirement)	- 정보 자산의 기밀성과 무결성을 확보하기 위해 목표 시스템의 데이터 및 기능, 운영 접근을 통제하기 위한 요구사항을 기술	4
품질 요구사항 (QUR, Quality Requirement)	- 목표 사업의 원활한 수행 및 운영을 위해 관리가 필요한 품질 항목, 품질 평가 대상 및 목표에 대한 요구사항을 기술	2
제약사항 (COR, Constraint Requirement)	- 목표시스템 설계, 구축, 운영과 관련하여 사전에 파악된 기술·표준·업무·법제도 등 제약조건 등을 파악하여 기술	1
프로젝트 관리 요구사항 (PMR, Project Management Requirement)	- 프로젝트의 원활한 수행을 위한 관리 방법 및 추진 단계별 수행방안에 대한 요구사항을 기술	2
프로젝트 지원 요구사항 (PSR, Project Support Requirement)	- 프로젝트의 원활한 수행을 위해 필요한 지원사항 및 방안에 대한 요구사항을 기술	2
합 계		19

※ 제안업체는 제안요청서에 기술된 요구사항을 모두 포함하여 제안하되, 업무분석 단계에서 보다 창의적인 방법으로 요구사항을 해석하고 정제하여 사업에 반영하여야 함

2. 요구사항 목록표

분류기준	요구사항ID	요구사항 명
컨설팅 요구사항	CSR-001	개인정보 영향평가 일반사항
	CSR-002	개인정보 영향평가 계획 수립
	CSR-003	개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석
	CSR-004	개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인
	CSR-005	개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출
	CSR-006	개인정보 영향평가 수행 요구사항 – 개선 계획 수립
	CSR-007	개인정보 영향평가 수행 요구사항 – 영향평가 보고서 작성
	CSR-008	영향평가 이행점검 요구사항
보안 요구사항	SER-001	공통 보안 요구사항
	SER-002	사업 착수시 보안 요구사항
	SER-003	사업 수행시 보안 요구사항
	SER-004	사업 완료시 보안 요구사항
품질 요구사항	QUR-001	품질관리 및 보증 방안
	QUR-002	산출물 관리
제약사항	COR-001	계약의 일반사항 및 계약 이행 조건
프로젝트 관리 요구사항	PMR-001	사업수행 관리 및 업무보고 요구사항
	PMR-002	사업수행 조직구성
프로젝트 지원 요구사항	PSR-001	교육계획 수립
	PSR-002	하자보수 계획

3. 요구사항 상세표

3.1 컨설팅 요구사항(CSR, Consulting Requirement)

요구사항 분류		컨설팅 요구사항 (CSR, Consulting Requirement)	응낙수준	필수
요구사항 고유번호		CSR-001
요구사항 명칭		개인정보 영향평가 일반사항
요구사항 상세설명	정의	영향평가 일반사항
	세부 내용	◦통합문화이용권(문화누리카드) 사업 대상으로 영향평가를 수행 (이하 ‘대상사업’) ◦관리적⋅기술적 보호조치의 적정성 및 법적 의무사항 준수여부 등을 확인하여야 함 ◦「개인정보 영향평가에 관한 고시」 및 「공공기관 개인정보 영향평가 수행안내서」 등을 준용하여 사업을 수행하여야 함 ◦개인정보보호 관리체계의 적정성 분석과 개선방안 수립을 수행하여야 함 - 기관의 개인정보보호 조직, 개인정보보호 추진계획, 개인정보보호방침, 개인정보 위탁 및 제공 시 안전조치, 개인정보 침해대응, 개인정보 처리구역 보호 등의 분석 및 개선방안 제시 - 대상시스템의 개인정보 취급자, 취급 내용, 보유기간 등의 적정성 및 개선방안 제시 ◦개인정보 처리단계별 보호의 적정성 분석 및 조치방안을 마련하여야 함 - 개인정보 수집, 저장 및 보유, 이용 및 연계ㆍ제공, 파기단계에 이르는 각 단계별 보호조치의 적정성 분석 ◦개인정보보호 점검결과에 따른 개선방안 및 후속조치방안을 마련하여야 함 - 개인정보보호 관련 법규 위반사항에 대한 개선방안 마련 등 - 개인정보영향평가 결과에 따른 시스템 개선방안 도출 * 개선방안 및 후속조치방안은 조치가 가능하도록 상세히 제시(내부정책자료의 경우 초안, 양식 제공 등의 컨설팅 지원)되어야 함
산출정보

요구사항 분류		컨설팅 요구사항 (CSR, Consulting Requirement)	응낙수준	필수
요구사항 고유번호		CSR-002
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 영향평가 계획 수립
요구사항 상세설명	정의	개인정보 영향평가팀 구성 및 운영계획 수립
	세부 내용	◦ 개인정보영향평가팀 구성 방안 및 운영계획 수립 - 평가하고자 하는 사업 자체에 대한 이해와 개인정보보호 관련 법제 및 정책ㆍ전략 수립, 기술ㆍ시스템 분석 및 정보보안(Security) 등의 광범위하고 다양한 전문지식과 정보를 보유한 기관 내 유관 부서, 사업을 구축하는 업체(개발용역업체), 외부 전문가 등으로 팀을 구성 - 영향평가팀에 참여하는 부서 및 유관기관 담당자의 역할 및 책임 배분 ※ 역할 및 책임 배분 시 담당자의 업무를 명확히 정의하고 업무의 중복을 가급적 지양할 것 ◦ 효율적인 평가 수행을 위한 영향평가 수행계획 수립 ◦ 개인정보 영향평가 계획 수립 - 평가목적, 평가대상 및 범위, 평가주체(평가팀), 평가기간, 평가절차(방법), 주요 평가사항, 평가기준 및 항목, 자료 수집 및 분석 계획 등을 포함
산출정보		개인정보 영향평가팀 운영계획서, 개인정보 영향평가 계획서

요구사항 분류		컨설팅 요구사항 (CSR, Consulting Requirement)	응낙수준	필수
요구사항 고유번호		CSR-003
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석
요구사항 상세설명	정의	내부 정책 평가자료의 수집 및 분석
	세부 내용	◦ 개인정보보호 관련 기관 내부 정책 환경 분석의 적절성 확보 ◦ 개인정보 영향평가를 위한 내부 정책 자료의 수집 및 분석 - (조직·체계 자료) 기관 내 개인정보보호방침, 개인정보 관리계획, 직제표, 개인정보 보호규정, 정보보안 규정 등의 분석 - (인적 통제·교육 자료) 개인정보 관련 조직 내 업무 분장표 및 직급별 업무 권한 현황, 정보시스템의 접근 권한에 대한 내부 규정, 시스템 운영자 및 정보취급자에 대한 교육계획, 위탁 업체 관리 규정 등의 분석 - (정보보안 자료) 방화벽 등 침입차단시스템 및 백신프로그램 도입 현황, 기존 유사 시스템 구조도 등의 분석 ◦ 개인정보보호 관련 기관 외부 정책 환경 분석의 적절성 확보 ◦ 개인정보 영향평가를 위한 외부 정책 자료의 수집 및 분석 - 공공기관에 공통적으로 해당되는 일반 정책 자료의 분석 - 대상사업에 한해 제한적으로 적용되는 특수 정책 자료의 분석 - 개인정보보호 관련 법규 준수 여부 평가(법령, 지침, 가이드라인, 훈령 등) ◦ 대상사업 분석의 적절성 확보 ◦ 대상사업 관련 자료의 수집 및 분석 - (사업수행자료) 사업추진 계획서, 제안요청서, 과제 수행 계획서, 요구사항 정의서, 업무매뉴얼 등의 분석 - (외부연계) 위탁 계획서, 연계 계획서 등의 분석 - (개발산출물) 시스템 설계서, 요건 정의서, 업무 흐름도, 기능 정의서, Data Flow Diagram, 테이블 정의서, 화면 설계서, 메뉴 구조도 등의 분석
산출정보		평가자료 분석서

요구사항 분류		컨설팅 요구사항 (CSR, Consulting Requirement)	응낙수준	필수
요구사항 고유번호		CSR-004
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인
요구사항 상세설명	정의	평가대상 업무 현황 분석 자료 검토, 평가대상 업무 흐름도 작성, 개인정보 흐름도 및 흐름표 작성, 정보시스템 구조도 및 정보보호 시스템 목록 작성
	세부 내용	◦ 대상사업을 면밀히 분석하고 업무를 정의하여, 해당 사업을 통해 처리되는 업무 중 개인정보 취급이 수반되는 업무를 도출 ◦ 개인정보 처리업무 현황 분석 자료 검토 - 대상 정보시스템 개발 관련 산출물 분석 및 담당자 인터뷰 등을 통해 수행 - (영향평가 업무명) 영향평가 대상시스템에서 개인정보가 취급되는 업무를 주요 업무단위로 기재 - (취급 개인정보) 평가 업무명 단위로 취급되는 개인정보 기재 - (개인정보 영향도) 취급개인정보의 중요도에 따라 영향도를 산정 ※ 개인정보 처리업무 현황 분석으로 도출된 업무별로 개인정보 취급 업무 흐름표 작성할 것 ◦ 도출된 개인정보 취급 업무별로 개인정보 취급 업무표의 개인정보 취급 업무별 세부 업무절차를 작성 ◦ 개인정보 처리업무 흐름도 작성 - 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성 ※ 개인정보 업무 흐름도는 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계 기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성할 것 ◦ 개인정보 취급 단계별로 취급되는 개인정보 현황 및 처리 내역 등을 용이하게 식별 할 수 있도록 개인정보 흐름표를 작성 ◦ 개인정보를 취급 업무별로 개인정보의 수집·보유·이용/제공·파기로 구분하여 구체적으로 작성 ◦ 개인정보 흐름표 작성 - 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성 ※ 개인정보 흐름표에는 업무명을 기반으로 개인정보의 수집·보유·이용/제공-파기에 이르는 Life-Cycle 별 현황 등을 기재하여 개인정보의 흐름을 한눈에 이해할 수 있도록 작성할 것 ◦ 개인정보 취급이 수반되는 업무별로 개인정보의 수집·보유·이용/제공·파기되는 개인정보의 흐름을 한 눈에 파악할 수 있도록 개인정보 흐름도를 작성 ◦ 개인정보 흐름도 작성 - 개인정보와 관련한 업무를 기재하고, 업무와 관련하여 개인정보 취급과 관련한 담당자 및 담당부서, 정보주체 등을 포함하여 기재 - 개인정보를 취급하는 관련업무, 취급과 관련하여 사용되는 매체(PC, 노트북, 신청서 등의 문서)와 수집한 개인정보를 처리할 때 관련한 정보시스템(DB, 웹서버 등)을 표시하고 각 요소들 간의 이동 시 전송되는 개인정보 항목을 기재 ※ 개인정보 흐름도는 개인정보를 취급 업무별로 개인정보 흐름표를 기준으로 수집ㆍ보유ㆍ이용/제공ㆍ파기 등의 생명주기를 기반으로 해당 업무처리자 및 시스템의 구성사항을 고려하여 구체적으로 작성할 것 ◦ 정보시스템 구조도 작성 ◦ 정보보호 기술적·물리적·관리적 보안 메커니즘 목록 작성 ※ 방화벽, 침입탐지시스템과 같은 보안 메커니즘을 포함하여 전송 데이터 암호화, DB 암호화 등 개인정보보호를 위한 기술적·물리적·관리적 보안 메커니즘의 타당성을 검토할 것
산출정보		개인정보 취급 업무흐름표 및 업무흐름도, 개인정보 처리업무 흐름도, 개인정보 흐름표 및 흐름도, 정보시스템 구조도 및 정보보호 시스템 목록

요구사항 분류		컨설팅 요구사항 (CSR, Consulting Requirement)	응낙수준	필수
요구사항 고유번호		CSR-005
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출
요구사항 상세설명	정의	◦ 평가 기준 수립 및 개인정보보호 조치 사항 파악을 위한 평가항목 작성 ◦ 자료 분석, 현장 실사, 담당자 인터뷰 등을 통해 개인정보보호 조치 현황 파악 ◦ 도출된 개인정보 침해 요소에 대한 위험도 산정 ◦ 침해요소에 대한 위험 관리 방안 수립
	세부 내용	◦ 「공공기관 개인정보 영향평가 안내서」의 영향평가 항목을 기준으로 영향 평가영역을 구성 ◦ 영향평가 기준 및 평가항목 수립 - 개인정보 취급 업무 및 개인정보 흐름이 다수 존재하는 경우에는 각 흐름별로 평가항목을 각각 작성 - 평가항목 외에도 관련 근거, 항목 설명, 확인 자료 등을 제시하여 작성 ◦ 개인정보 조치사항 및 계획 등을 파악 ◦ 평가기준 및 평가항목에 따라 자료분석, 현장실사, 담당자 및 취급자 대상 인터뷰를 통한 분석 수행 ◦ 개인정보 흐름분석 시 도출된 업무 흐름표를 활용하여 개인정보 라이프 사이클별로 구분한 후, 위험요소별 개인정보 침해요인 분석 ◦ 위험요소 분석 및 위험도 산정 - 자산별 침해요인 연계 개념도 작성 - 중요도와 취약점, 위협요소 등을 고려하여 위험요소 분석 및 위험도 산정 ◦ 위험도의 우선순위에 따라 나열하여 해당 기관이 수용 가능한 수준을 정하여 단기, 중·장기로 구분하여 개선방안을 도출
산출정보		개인정보 평가 기준 및 평가항목 정의서, 개인정보 보호조치 현황 분석서, 개인정보 침해요인 위험도 산정표, 개인정보 침해요인별 개선방안표

요구사항 분류		컨설팅 요구사항 (CSR, Consulting Requirement)	응낙수준	필수
요구사항 고유번호		CSR-006
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개선 계획 수립
요구사항 상세설명	정의	개선 과제 도출 및 계획 수립
	세부 내용	◦ 도출된 개인정보 침해요소 및 도출된 개선방안을 기반으로 개선 과제 도출 - 위험 요소를 제거하거나 최소화할 수 있는 대처 방안 마련 - 위험 요소 해결을 위해 유사 사례에 대한 벤치마킹 등을 수행 - 담당자(개인정보취급자)들이 취약 사항을 시정하기 위해 취해야 할 조치사항과 책임 사항 등을 마련 ◦ 법적 쟁점사항 발생시 개인정보보호 관련 전문가 또는 변호사, 법학교수 등에 법률 자문 ◦ 개선계획은 위험평가를 참고하여 위험도가 높은 순서의 개선방안을 먼저 실행하도록 개선계획표 작성 - 당해 기관 내 보안 조치 현황, 예산, 인력, 정보화 사업 일정 등을 고려
산출정보		개선과제 정의서, 개선계획표

요구사항 분류		컨설팅 요구사항 (CSR, Consulting Requirement)	응낙수준	필수
요구사항 고유번호		CSR-007
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 영향평가 보고서 작성
요구사항 상세설명	정의	개인정보 영향평가 결과 보고서 작성 및 주요 이슈 사항 검토
	세부 내용	◦ 개인정보 영향평가 결과서 작성 - 영향평가 전 과정 및 산출물을 정리하여 개선계획서, 영향평가서 등 결과 보고서 작성 ◦ 시스템 성능진단 - 시스템에 대한 성능진단 실시 및 결과보고 ◦ 보안취약점 점검 - 신규 구축 정보조회서비스 및 정보유통서비스 전반에 대한 취약점 진단을 실시하고, 주요 취약점에 대한 소스코드를 분석·검증 ◦ 주요 이슈 사항 검토 - 잔존 위험이나 이해관계자 간의 의견 충돌이 있는 경우에는 최고의사 결정권자(기관장 등)를 토론에 참여시킴으로써 해당 사업의 중단·지속 여부 및 개인정보보호 정도에 대한 합의 도출
산출정보		개인정보 영향평과 결과 보고서, 시스템 테스트결과서 (성능진단결과보고서), 보안취약점점검 결과보고서

요구사항 분류		컨설팅 요구사항 (CSR, Consulting Requirement)	응낙수준	필수
요구사항 고유번호		CSR-008
요구사항 명칭		영향평가 이행점검 요구사항
요구사항 상세설명	정의	개인정보 영향평가 후속조치에 따른 이행점검
	세부 내용	◦ 사업 완료 후 대상사업의 개인정보 영향평가 결과물에 대한 개선방안 이행여부 점검 ◦ 이행점검 계획, 방법 및 결과보고서 제출 - 행안부 개인정보보호종합지원시스템(intra.privacy.go.kr) 등재를 위한 보고서 작성 및 등록지원 ◦ 개인정보 영향평가의 전반적인 내용과 수행에 따른 개선사항은 대상기관의 담당자가 조치를 취할 수 있도록 지원하여야 하며, 사업완료 후에라도 개선 완료 될 때까지 기술 지원 ◦ 개인정보영향평가 결과물을 개인정보보호위원회에 제출 후 지적된 사항에 대한 보완을 위하여 수행기관 지원 ◦ 대상기관이 개선사항으로 지적된 부분의 이행확인서를 개인정보보호위원회에 제출하기 전까지 해당 내용에 대한 기술자문 및 이행점검 확인서 작성 지원에 응하여야 함 - 개인정보 영향평가서를 제출한 날로부터 1년 이내에 영향평가 이행점검 확인서를 수요기관에 제출하여야 함
산출정보		조치내역서, 개인정보 영향평가 이행점검 확인서

3.2 보안 요구사항(SER, Security Requirement)

요구사항 분류		보안 요구사항 (SER, Security Requirement)	응낙수준	필수
요구사항 고유번호		SER-001
요구사항 명칭		공통 보안요구사항
요구사항 상세설명	정의	공통 보안
	세부 내용	◦ 당해 업무수행 과정을 통하여 취득한 정보는 절대 외부에 누설, 유출해서는 안되며, 이를 위반한 경우에는 민·형사상 또는 관계법규에 따라 조치함 ◦ 과업수행 인력의 전산실 출입 등 업무수행 시 발주자가 요구하는 보안관련 규정을 충실히 이행하여야 함 ◦ 「개인정보 보호법」 준수 ◦ 기관 정보보안업무지침 준수 ◦ 기타 정보보호 관련 법규 및 지침 준수 - 행정기관 등 웹사이트 운영 가이드라인(행정안전부) - 공공기관의 개인정보보호를 위한 기본지침(행정안전부) ◦ 참여인원 보안 - 참여인원은 보안서약서를 작성□제출하고 임의교체 불가 - 보안의식 강화를 위한 주기적인 보안 교육 및 실태 점검 - 사업관련 자료 보유 불가, 사업수행으로 취득한 정보에 대한 외부유출, 누설금지 등 비밀유지의무 준수, 위반 시 관련 법령에 의한 처벌 - 사업 착수 시 대표명의 보안서약서, 완료 시 대표명의 확약서 ◦ 자료보안 - PC 등 장비의 반□출입에 대해 관리대장에 등록 및 관리 - 자료관리대장 작성, 시건장치가 된 보관함에 서류보관 - 비인가자에게 제공□대여□열람 금지 - 전자우편을 이용할 경우 참여인원의 회사메일 사용, 첨부자료 암호화하여 수□발신, 대외비 이상은 전자우편을 이용한 자료 수□발신 금지 - 본 사업과 관련이 있는 모든 기록 및 자료에 대하여 발주기관의 사전 승인 없이는 이용(반출, 인용, 공개 등 유･무형의 행위)할 수 없으며, 사업종료 시 완전 폐기 또는 반납하여야 하며, 발주기관에서 요구하는 보안사항을 철저히 준수하여야 한다.(미이행시 위약금 부과) - 사업 수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 ‘누출금지 대상정보’에 대한 보안관리계획을 제안서에 기재하여야 하며, 해당 정보 누출 시 발주기관은 국가계약법 시행령 제76조에 따라 사업자를 부정당업체로 등록
산출정보

요구사항 분류		보안 요구사항 (SER, Security Requirement)	응낙수준	필수
요구사항 고유번호		SER-002
요구사항 명칭		사업 착수시 보안요구사항
요구사항 상세설명	정의	사업 착수시 보안
	세부 내용	◦ 사업수행에 사용되는 문서, 인원, 장비 등에 대한 물리적, 관리적, 기술적 보안대책 및 보안관리 계획을 수립하여 용역에 투입되는 인력(대표자 포함)에 대한 보안서약서와 함께 제출하여야 하며, 해당 정보 누출시 주관기관은 「국가를 당사자로 하는 계약에 관한 법률」 시행령 제76조에 따라 해당 사업자를 부정당업체로 등록 ◦ 투입인력에 대해 법률 또는 규정에 의한 비밀유지의무 준수 및 위반 시 처벌내용 등에 대한 보안교육 실시
산출정보

요구사항 분류		보안 요구사항 (SER, Security Requirement)	응낙수준	필수
요구사항 고유번호		SER-003
요구사항 명칭		사업 수행시 보안요구사항
요구사항 상세설명	정의	사업 수행시 보안
	세부 내용	◦ 사업수행에 사용되는 문서, 인원, 장비 등에 대한 물리적, 관리적, 기술적 보안대책 및 보안관리 계획을 수립하여 용역에 투입되는 인력(대표자 포함)에 대한 보안서약서와 함께 제출하여야 하며, 해당 정보 누출시 주관기관은 「국가를 당사자로 하는 계약에 관한 법률」 시행령 제76조에 따라 해당 사업자를 부정당업체로 등록 ◦ 투입인력에 대해 법률 또는 규정에 의한 비밀유지의무 준수 및 위반 시 처벌내용 등에 대한 보안교육 실시
산출정보

요구사항 분류		보안 요구사항 (SER, Security Requirement)	응낙수준	필수
요구사항 고유번호		SER-004
요구사항 명칭		사업 완료시 보안요구사항
요구사항 상세설명	정의	사업 완료시 보안
	세부 내용	◦ 사업 수행과정상 취득한 모든 자료와 정보는 사업수행 중은 물론, 사업완료 후에도 이를 유출해서는 안 되며, 사업종료 시 정보보안담당자 입회하에 반환, 소각 및 완전 폐기 등 필요한 조치 이행 ◦ 사업 종료시, 사업수행업체의 노트북, PC 등은 포맷 후 반출 ◦ 제공받은 제반자료, 장비, 서류와 중간ㆍ최종산출물 등을 전량 반납하고, 업체에 복사본 등 별도 보관은 금지한다.
산출정보

3.3 품질 요구사항(QUR, Quality Requirement)

요구사항 분류		품질 요구사항 (QUR, Quality Requirement)	응낙수준	필수
요구사항 고유번호		QUR-001
요구사항 명칭		품질관리 및 보증 방안
요구사항 상세설명	정의	품질관리 및 보증 방안
	세부 내용	◦ 사업자는 최근의 자료를 이용하여야 하며, 지침 등에 저촉되지 않도록 함 ◦ 사업자는 각종 과업을 신중히 검토하여야 하며, 그 정당성, 정확도 및 안정성 등에 섬세하고 세밀한 평가를 하여야 함 ◦ 본 사업 수행목적으로 사용한 모든 공식자료 및 통계는 서면으로 그 근거를 제시하여야 함 ◦ 사업자는 본 사업에 관련된 모든 보고서의 조사․분석된 사항과 정리된 자료의 출처, 연도, 참고사항 등과 분석 자료 등 이에 관련된 기타서류를 제출함
산출정보

요구사항 분류		품질 요구사항 (QUR, Quality Requirement)	응낙수준	필수
요구사항 고유번호		QUR-002
요구사항 명칭		산출물 관리
요구사항 상세설명	정의	품질관리(프로젝트 관리 관점)
	세부 내용	◦ 선정된 사업자는 사업추진 과정에서 생산되는 제반 작업 단위별 산출물에 대하여 작업 일정계획 및 품질보증계획과 연계하여 산출물의 종류, 주요 내용, 작성 및 제출 시기, 제출 부수 등을 제시하여야 함 ◦ 산출물 관리방안을 제시하여야 함
산출정보		산출물 관리계획서

3.4 제약사항(COR, Constraint Requirement)

요구사항 분류		제약사항 (Constraint Requirement)	응낙수준	필수
요구사항 고유번호		COR-001
요구사항 명칭		계약의 일반사항 및 계약 이행 조건
요구사항 상세설명	정의	계약의 일반사항 및 계약 이행 조건
	세부 내용	◦ 사업자가 계약의무를 다하지 못하였을 경우 지연배상금은 「지방자치단체를 당사자로 하는 계약에 관한 법률 시행령」제90조(지연배상금), 「지방자치단체 입찰 및 계약 집행기준」용역계약 일반조건에 따름 ◦ 사업자는 규정에 의한 분쟁이 발생 시, 분쟁 기간 중 용역의 수행을 중지할 수 없음 ◦ 발주기관과 사업자가 상호협의 시에도 문제를 해결하지 못하고 부득이 소송할 필요가 있을 때에는 발주기관의 주소지 관할법원으로 함 ◦ 본 계약에 정하지 아니한 사항이나 본 계약의 각 조항과 다른 사항을 특약할 경우에는 발주기관과 사업자가 따로 서면으로 합의함으로써 그 효력을 발생 ◦ 손해배상 책임 - 계약업체는 사업 대상 시스템 취급 시 관리자로서의 의무를 충실히 시행 - 계약업체의 부주의, 고의 또는 과실로 대상 시스템을 망실, 훼손한 것과 사고에 대하여 손해를 끼쳤을 경우 계약업체는 그에 상응한 보상 또는 교환 등의 손해배상 책임을 짐 - 계약업체는 지연처리로 인하여 피해가 발생하였을 경우에는 이에 대한 손해배상 책임을 짐 - 계약업체는 본 사업기간동안 정보를 수집, 가공에 있어 위법 또는 부당한 방법을 사용해서는 안 되며, 발주자가 제공한 정보 및 자료와 관련하여 저작권법 및 기타관련법 등에 따른 권리 침해를 이유로 국내외의 제3자로부터 소송, 청구, 이의제기, 형사고소 등을 당한 경우에는 계약업체는 자신의 책임과 비용으로 주관기관의 권리를 보호하며, 그에 따라 주관기관이 입은 일체의 손해를 배상해야 함
산출정보

3.5 프로젝트 관리 요구사항(PMR, Project Management Requirement)

요구사항 분류		프로젝트 관리 요구사항(Constraint Requirement)	응낙수준	필수
요구사항 고유번호		PMR-001
요구사항 명칭		계약의 일반사항 및 계약 이행 조건
요구사항 상세설명	정의	업무 보고 및 산출물 관리
	세부 내용	◦ 계약일로부터 10일 이내 제출 서류 - 착수계 - 사업수행계획서(일정표/사업 목적 및 범위/산출물 목록 및 정의서/사업관리, 품질관리 방법 및 절차서/보안관리 계획/인력투입 계획/교육지원 계획/비상 연락체계/기타 사업 추진 시 고려사항 등 사업관련 내용을 상세하게 기술) - 업체대표 및 참여인력에 대한 재직증명서, 보안서약서, 개인정보보호 서약서 - 개인정보처리위탁 계약서, 비밀유지 계약서, 외주 용역사업 보안특약서 ◦ 협의된 양식에 의거 정기보고서(주간, 월간 등)를 작성/제출하고 업무보고를 실시하여야 한다. ◦ 사업 종료 7일 전까지 결과보고서(요약보고서 포함) 제출 - 대표자 보안 확약서, 하자보수 계획서, 교육자료 제출 ◦ 사업 완료 후 이행점검 계획서(점검 후 이행점검 결과보고서) 제출 ◦ 사업진행 중 착수보고회, 완료보고회를 개최하여야 하며 개최방법은 주관기관과 협의한다. ◦ 사업수행 중 발생하는 비정기적인 사안에 대해서 주관기관은 수시보고서 제출을 요구할 수 있다.
산출정보		사업수행계획서, 결과보고서, 정기보고서

요구사항 분류		프로젝트 관리 요구사항(Constraint Requirement)	응낙수준	필수
요구사항 고유번호		PMR-002
요구사항 명칭		사업수행 조직구성
요구사항 상세설명	정의	사업수행 조직구성
	세부 내용	◦ 본 사업을 수행할 추진 조직, 인력 구성 및 프로파일과 단계별 인력 투입계획 및 역할, 투입률 등을 제시하여야 하고, 투입인력의 기술 수준을 상세히 제시하여야 하며, 추후 인력은 본 기관의 동의 없이 사업자 임의로 변경할 수 없음 - 용역 수행 책임자(PM)는 반드시 주관사업자 소속이어야 한다. - 특별한 사유가 없는 한 인력 교체는 불가하며, 불가항력 사유로 인력교체 필요 시 인력교체 안정화 및 품질저하방지대책을 제시해야 함 ◦ 프로젝트 추진 일정에 따른 인력 투입계획을 제시하여야 함 ◦ 참여인력은「개인정보 영향평가에 관한 고시 제5조(영향평가 수행인력 자격)」의 수행인력 자격을 갖추어야 함 ◦ 사업자는 투입인력의 개인정보 영향평가 관련 자격 및 경력, 기술등급 등을 확인할 수 있는 서류(자격증 사본, 경력증명서 또는 소프트웨어산업협회의 SW기술자경력증명서 등)를 제안 시 제출해야 함 ◦ 용역 수행에 있어 자격미달, 근무태도 불량, 기술능력 부족 등으로 판단될 경우에는 해당 기술 인력의 교체를 요구할 수 있으며, 사업자는 특별한 사유가 없는 한 해당 기술 인력을 즉시 교체하여야 하며 인력 교체 시 동급이상의 인력으로 교체하여야 함
산출정보

3.6 프로젝트 지원 요구사항(PSR, Project Support Requirement)

요구사항 분류		프로젝트 지원 요구사항(Project Support Requirement)
요구사항 고유번호		PSR-001
요구사항 명칭		교육계획 수립
요구사항 상세설명	정의	교육계획
	세부 내용	◦ 개인정보 영향평가 결과물에 대한 사항을 전문가를 통해 담당자에게 교육을 실시하여야 함 ◦ 사업수행기간 중 개인정보에 필요한 교육을 실시하며, 사업수행계획서에 교육계획서를 포함하여 제출하여야 함 - 전 직원 및 개인정보취급자 대상 교육 - 교육에 필요한 교재 및 소요경비는 업체가 부담 ◦ 개인정보 영향평가 결과물로 주관기관의 업무 처리시 유의사항을 정리하여 직원교육용 자료를 제공하여야 함 ◦ 사업종료 이후에도 추가적인 교육 요구 및 개인정보보호에 대한 자문 역할을 수행하여야 함
산출정보		교육계획서, 교육자료

요구사항 분류		프로젝트 지원 요구사항(Project Support Requirement)
요구사항 고유번호		PSR-002
요구사항 명칭		하자보수계획
요구사항 상세설명	정의	하자보수계획
	세부 내용	◦ 무상하자보수기간은 검수일로부터 1년으로 하며, 하자보수 방안을 상세하게 제시하여야 함 - 하자보증 이행으로 발생하는 모든 비용은 제안사가 부담 ◦ 개인정보 영향평가 결과물을 행정안전부에 제출 후 지적된 사항에 대한 보완을 위하여 사업자는 지원체계, 인력을 제시하여야 함 - 행정안전부에 제출한 영향평가서에 대한 보완이 있을 경우 사업자는 추가비용 없이 영향평가서를 보완하여야 함 ◦ 사업 완료 후 도출된 취약점 개선 완료 시까지 자문을 수행하여야 함 - 개인정보 영향평가 개선방안 이행 점검 내용을 필히 포함하여야 함
산출정보		하자보수 계획서

IV		제출서류 서식

○ [서식 1] 청렴이행 계약서

○ [서식 2] 수행조직 및 업무분장

○ [서식 3] 수행인력 이력사항

○ [서식 4] 정보 비공개 동의서

[서식 제 1호] 청렴계약 이행 계약서

청렴계약 이행 서약서

당사는 부패 없는 투명한 기업경영과 공정한 행정이 사회발전과 국가 경쟁력에 중요한 관건이 됨을 깊이 인식하며, 청렴계약제 시행 취지에 적극 호응하여 한국문화예술위원회에서 시행하는 <통합문화이용권(문화누리카드) 본인인증 서비스> 사업에 참여함에 있어 당사 및 하도급 업체의 임직원과 대리인은 다음 사항을 철저히 준수할 것을 확약합니다.

1. 입찰가격의 유지나 특정인의 낙찰을 위한 담합을 하거나 다른 업체와 협정,결의 합의하여 입찰의 자유경쟁을 부당하게 저해하는 일체의 불공정한 행위를 않겠습니다.

이를 위반하여 경쟁입찰에 있어서 특정인의 낙찰을 위하여 담합을 주도한 것이 사실로 드러날 경우, 한국문화예술위원회에서 발주하는 입찰에 입찰참가자격제한 처분을 받은 날로부터 2년 동안 참가하지 않겠으며, 경쟁입찰에 있어서 입찰자 간에 서로 상의하여 미리 입찰가격을 협정하거나 특정인의 낙찰을 위하여 담합을 한 사실이 드러날 경우, 한국문화예술위원회에서 발주하는 입찰에 입찰참가자격제한 처분을 받은 날로부터 1년 동안 참여하지 않고, 위와같이 담합 등 불공정위원회에 발주 관서가 고발하여 과징금 등을 부과토록 하는데 이의를 제기하지 않겠습니다.

2. 입찰, 계약체결 및 계약이행 과정에서 관계직원에게 직․간접적으로 금품․향응 등의 뇌물이나 부당한 이익을 제공하지 않겠습니다.

이를 위반하여 입찰, 계약의 체결 또는 계약이행과 관련하여 관계직원에게 뇌물을 제공함으로써 입찰에 유리하게 되어 계약이 체결되었거나 시공 중 편의를 받아 부실하게 시공한 사실이 드러날 경우, 한국문화예술위원회에서 발주하는 입찰에 입찰참가자격제한처분을 받은 날로부터 2년 동안 참가하지 않겠으며 입찰 및 계약조건이 입찰자 및 낙찰자에게 유리하게 되도록 하거나, 계약목적물의 이행을 부실하게 할 목적으로 관계직원에게 뇌물을 제공한 사실이 드러날 경우, 한국문화예술위원회에서 발주하는 입찰에 입찰참가자격제한 처분을 받는 날로부터 1년 동안 참가하지 않겠습니다.

3. 입찰, 계약체결 및 계약이행과 관련하여 관계직원에게 뇌물을 제공한 사실이 드러날 경우, 계약체결 이전의 경우에는 낙찰자결정 취소, 공사착공 전에는 계약취소, 공사착공 이후에는 위원회에서 전체 또는 일부계약을 해지하여도 감수하고 민․형사상 이의를 제기하지 않겠습니다.

4. 회사 임직원이 관계직원에게 뇌물을 제공하거나 담합 등 불공정 행위를 하지 않도록 하는 회사윤리강령과 내부비리 제보자에 대해서도 일체의 불이익 처분을 하지 않는 사규를 제정토록 노력하겠습니다.

5. 본건 관련 하도급계약체결 및 이행에 있어서 하도급자로부터 금품을 수수하거나 부당 또는 불공정한 행위를 하지 않겠습니다.

위 청렴계약이행서약은 상호신뢰를 바탕으로 한 약속으로서 반드시 지킬 것이며, 낙찰자로 결정될 시, 본 서약내용을 그대로 계약특수조건으로 계약하여 이행하고, 입찰참가자격제한, 계약해지 등 한국문화예술위원회의 조치와 관련하여 당사가 한국문화예술위원회을 상대로 손해배상을 청구하거나 당사를 배제하는 입찰에 관하여 민․형사상 이의를 제기하지 않을 것을 서약합니다.

2023.    .    .

서약자 회사명 :                     대표자명 :         (인)

한국문화예술위원회 위원장 귀하

[서식 제 2호] 수행조직 및 업무분장

총괄 책임자(PM)

○○부문	○○부문	○○부문	○○부문

업무 분장

구분	주요 기능	세부 수행역할	담당 구분
			인원수	담당자
총괄	o 사업수행 책임 총괄
		o
		o
		o
		o
		o
		o

※ 부문별 책임자 명시

※ 부문별 참여인원은 평가 시 참고할 수 있도록 직위 순으로 기재

[서식 제 3호] 수행 인력 이력 사항

수행 인력 이력 사항

성 명			소 속			직 책		연 령	세
참여인력 등급						근무경력 및 기술경력		년 개월
학술연구용역기준 ( ) SW기술자 기준 ( ) 엔지니어링기술자 기준 ( ) 기타 ( )						자 격 증
본사업 참여임무								목표투입공수

경 력 사 항
사 업 명	참여기간 (년 월～년 월)	담당업무 및 직위	발주처

※ ｢파견근로자보호 등에 관한 법률」 등에 의한 파견근로자인 경우에는 파견업체명과 원소속사를 함께 명기하여야 함  (예시) 업체명 (원소속사명)

※ 근무 경력확인서, 기술 경력확인서는 「소프트웨어 진흥법 시행규칙」 제13조(소프트웨어기술자의 경력 등 확인 절차 등)에 근거하여 근무 경력확인서 및 기술 경력확인서를 사용자(대표자) 또는 소프트웨어 사업 발주자 확인을 받아 제출(소프트웨어기술자 경력관리기관의 소프트웨어 기술경력증명서 또는 기타 경력을 증빙할 수 있는 서류로도 제출 가능)

※ 자격증, 경력 및 수행업무와 관련된 사항을 증명할 수 있는 자료를 붙임으로 첨부하여야 하며, 첨부되지 않은 자료에 대하여는 인정하지 않음

※ 참여인력이 대표사 또는 공동수급업체 인원인 경우에는 재직증명서를 붙임으로 첨부하고, 그 외 인력(채용예정인력 등)은 추후 추가 협상과정에서 발주기관의 요청이 있을 시 증빙자료를 제출해야 함

※ 참여인력 평가 심사기준일은 입찰서 제출 마감일 전일로 하며 입찰서 제출마감일 이후 발생신고 또는 수정된 자료는 평가에서 제외됨

※ 입찰자가 하도급 계약할 경우는 하도급 예정자의 기술자 등급별 인원 현황만 제출하고 하도급 예정자에 대한 증빙서류는 제출하지 않음

[서식 제 4호] 정보 비공개 동의서

정보  비공개  동의서

본인은 귀 한국문화예술위원회의 “통합문화이용권(문화누리카드) 본인인증 서비스” 사업과 관련하여 취득한 업무내용에 대하여 제3자에게 일체 누설하지 않겠으며 귀 한국문화예술위원회가 정한 보안사항을 철저히 준수할 것을 동의합니다.

2023   .   .

상 호(법인명)  :

주         소 :

대    표    자 :                       (인)

사업자등록번호 :

한국문화예술위원회 위원장 귀하