과 업 지 시 서

사 업 명	저작권 등록시스템 개인정보 영향평가
주관부서	분쟁조정본부 등록임치팀

2024. 4.

【 목 차 】

Ⅰ. 사업개요

1. 사업개요	1

2. 추진배경 및 목적	1

3. 사업내용	2

Ⅱ. 현황

1. 업무현황	3

2. 운영현황	4

Ⅲ. 추진방안

1. 추진목표	5

2. 추진체계	5

3. 추진방안	6

Ⅳ. 세부사업내용	7

1. 대상시스템	7

2. 개인정보 영향평가	7

3. 개인정보 영향평가 수행내용	9

Ⅴ. 산출물	12

Ⅵ. 추진일정	12

Ⅶ. 과업수행 지침	13

1. 일반사항	13

2. 전담조직 및 인원구성	13

3. 행정사항	13

4. 계약의 취소 또는 해지	14

Ⅷ. 붙임 문서	15

1. 영향평가의 평가영역 및 평가분야	15

2. 별첨 서식	17

Ⅰ		사업개요

1. 사업개요

o 사 업 명 : 저작권 등록시스템 개인정보 영향평가

o 사업기간 : 계약체결일 ∼ 3개월

o 사업금액 : 32,000,000원(부가세포함)

o 계약방법 : 수의계약(2인이상 견적 제출)

o 참가자격

- ‘개인정보보호법 제33조’에 의거 개인정보보호위원회로부터 개인정보 영향평가 기관으로 지정된 업체

* 개인정보 영향평가기관(업종코드 6525)으로서 공고일 전일부터 입찰일(낙찰자는 계약체결일까지) 해당 자격을 계속 유지하여야 함

* 본 사업은 공동수급 및 하도급을 불허함

* ‘중소기업기본법’ 제2조제2항에 따른 소기업 또는 ‘소상공인기본법’ 제2조에 따른 소상공인으로 중소벤처기업부 고시 ‘중소기업 범위 및 확인에 관한 규정’에 따라 발급된 소기업‧소상공인확인서(계약체결일까지 발급된 것으로 유효기간 내에 있어야 함)를 소지한 업체

o 대상시스템 : 저작권 등록시스템

2. 추진배경 및 목적

o (추진배경) 개인정보보호법(제33조(개인정보 영향평가) 및 동법 시행령 제35조(개인정보 영향평가의 대상)) 시행으로 공공기관의 개인정보 영향평가 의무화

	<개인정보 영향평가의 대상>
• 5만명 이상의 정보주체에 관한 민감정보 또는 고유식별정보 • 공공기관 내부 또는 외부 개인정보파일과 연결 결과 50만명 이상의 개인 정보가 포함된 개인정보파일 • 100만명 이상의 개인정보가 포함된 개인정보파일

- 공공기관 개인정보 보호 수준 평가 제도 운영

* 공공기관 개인정보 보호수준 평가제를 ’23.3.15부터 시행(개인정보보호위원회)

o (목적) 저작권 등록시스템의 개인정보에 미치는 영향을 사전에 분석하고 개선방안을 마련하여 개인정보 침해사고를 사전에 예방

3. 사업내용

o 개인정보 보호체계의 분석 및 개선방안 수립

o 개인정보 처리단계별 보호 및 기술적, 관리적, 물리적 보호 분석

o 개인정보 영향평가 결과에 따른 개선방안 수립

* 등록 신청 등 서비스, 등록업무 별로 구체적 개선사항 및 개선방법 도출

o ‘개인정보 영향평가 수행 안내서’에 정의된 내용, 평가방법 및 절차 수행

* 개인정보 영향평가 결과 설계‧개발 시 반영(개인정보 영향평가에 관한 고시, 개인정보보호위원회 제9조의2)

* 개인정보 영향평가 수행 안내서(개인정보보호위원회, 2020.12)

<개인정보 영향평가 절차(영향평가 수행 안내서)>

Ⅱ		현황

1. 업무현황

o 저작권 등록

- 저작권 등록(저작권법 제53조)

- 저작권 권리변동 등록(저작권법 제54조)

- 저작권 등록사항 변경 등록(저작권법 제55조의3)

※ 일반저작권, 컴퓨터프로그램, 저작인접권, 데이터베이스, 출판권, 저작권 배타적발행권 등

ㅇ 연도별 등록처리 현황

(단위 : 건, 2023.12.31. 기준)

연도 종류		1987 ～2016	2017	2018	2019	2020	2021	2022	2023	계
저작물	어문	43,223	4,155	4,481	4,858	5,907	6,242	6,331	6,367	81,564
	음악	14,798	2,085	2,229	2,037	2,610	2,647	2,781	2,823	32,010
	연극	426	126	55	123	73	124	140	69	1,136
	미술	88,177	11,325	13,403	16,149	21,237	24,247	22,515	24,342	221,395
	건축	2,853	74	66	67	89	96	71	59	3,375
	사진	18,784	1,114	1,123	1,238	1,492	2,817	3,918	2,663	33,149
	영상	12,827	1,159	2,098	1,943	1,915	2,643	2,275	2,327	27,187
	도형	6,195	484	466	704	992	1,064	1,575	733	12,213
	편집	23,512	3,566	2,985	3,060	4,423	5,708	4,908	5,679	53,841
	2차적저작물	8,437	492	623	1,353	1,456	1,397	1,024	2,783	17,565
	프로 그램	267,912	15,180	16,210	15,198	18,650	17,779	17,689	18,747	387,365
저 작 인접물	방송	-	-	-	-	1	-	-	-	1
	실연	260	6	33	5	4	49	68	17	442
	음반	6,581	700	1,077	236	2,897	332	3,083	3,160	18,066
데이터 베이스		828	157	70	92	139	215	310	251	2,062
합 계		494,813	40,623	44,919	47,063	61,885	65,360	66,688	70,020	891,371

2. 운영현황

o 저작권 등록시스템 운영현황

- 저작권등록시스템은 대민서비스, 업무서비스, 시스템관리 등으로 구성

• (대민서비스) 민원인에게 저작권 등록 신청, 진행현황 조회, 등록증 출력 등의 기능을 제공

• (업무지원 및 시스템관리) 등록업무 담당자에게 등록접수, 보완요청, 등록부 작성, 사후관리 등의 기능과 시스템 운영자에게 공지사항 관리, 이용권한 관리 등의 기능을 제공

Ⅲ		추진방안

1. 추진목표

o 개인정보처리시스템(저작권 등록시스템)이 개인 및 조직에 미치는 개인정보 침해 요인을 파악하고 개선방안을 수립․적용하여 침해사고를 예방

o 효과적인 대응방안을 수립하여 등록시스템의 안정성 및 신뢰성 제고

2. 추진체계

o 추진체계도

			문화체육관광부
			한국저작권위원회
계약관리			사업주관			사업협력
경영지원팀			등록임치팀			정보기술팀
자문위원			주관사업자			외부 사업자

o 추진 주체별 역할

구 분	역 할	비 고
주관부서	o 사업계획 수립, 사업관리, 결과보고
경영지원팀	o 사업 입찰, 선정, 계약체결
정보기술팀	o 개인정보 총괄관리부서 역할
자문위원	o 개인정보 관련 자문의견 제시 등
외부 사업자	o 개인정보 영향평가 기술지원 등
주관사업자	o 영향평가 수행, 사업 산출물 작성 등

3. 추진방안

o 사업 관리 방안

- 주관기관, 주관사업자, 사업협력, 외부 사업자 등 실무자들로 영향평가팀을 구성, 주․월간 정기회의를 개최하여 진행 상황 점검 및 향후 계획을 수립

- 주관사업자는 작업 진도와 그밖에 필요한 사항을 주별, 월별로 주관기관에 보고하여야 하고 위원회의 요구가 있을 경우 별도의 진행상황을 보고할 수 있음

- 사업수행을 위하여 필요한 장소 및 설비 기타 작업환경을 상호 협의하여 결정

o 품질보증 방안

- 주관기관과 주관사업자는 수행되는 품질보증 활동이 프로젝트 기간에 지속적으로 단계별, 공정별로 세부적인 품질보증 활동을 실시하도록 정기적으로 점검함

o 교육 방안

- 개인정보 영향평가 방법과 개인정보보호에 관련된 제반사항에 대해 위원회의 업무 담당자 및 관련 담당자에게 지식이 이전될 수 있도록 필요한 교육을 실시

Ⅳ		세부사업내용

1. 대상시스템(저작권 등록시스템)

o 저작권 등록시스템 개요

- 온라인‧오프라인 저작권 등록신청, 저작권 등록 관리, SW연구개발 성과 등록신청, 증명서 발급, 수수료 납부 등의 서비스를 제공해 주는 시스템

* 저작권법 제53조, 저작권법 제54조, 저작권법 제55조의3, 저작권법 시행규칙 제6조의2

o 등록시스템 구성

- (대민서비스) 민원인에게 저작권 등록신청, 진행현황 조회, 등록증 출력 등의 기능을 제공

- (등록 업무처리) 등록업무 담당자에게 등록접수, 보완요청, 등록부 작성, 사후관리 등의 기능 제공

- (시스템 관리) 공지사항 관리, 이용권한 관리 등의 기능을 제공

o 개인정보 보유현황(2023. 12월 기준)

- (개인정보파일명) 저작권 등록시스템 DB(약 89만건)

2. 개인정보 영향평가

o 개인정보 영향평가 수행계획 수립 및 영향평가 자료 수집·분석

o 개인정보 관리체계와 처리단계 별 보호조치의 분석

- 개인정보보호방침, 개인정보 위탁 및 제공 시 안전조치, 개인정보 침해대응, 개인정보 처리구역 보호 등

- 개인정보 수집, 저장 및 보유, 이용 및 연계․제공, 파기단계에 이르기까지 각 단계별 보호조치

o 개인정보 흐름, 관리의 적정성 및 침해요인 분석

- 저작권 등록 단계별 개인정보 흐름 분석 등

※ 개인정보 흐름 분석 시 개인정보를 처리하는 등록 업무담당자 의견수렴을 통해 세부사항 도출

o 개인정보 영향평가 결과에 따른 개선방안 수립

- 도출된 문제점별, 등록 서비스 별로 구체적 개선사항, 개선방법 도출

o 개인정보보호 교육 및 기술지원

- 취급자, 담당자 등 대상별 개인정보보호 교육 지원 및 개선방안에 대한 기술지원

※ ‘개인정보 영향평가 수행 안내서’ 절차에 따라 수행(제2절 영향평가 수행단계)

단계		주요 수행 내용
영향평가계획 수립		ㅇ 평가계획 수립 ㅇ 평가팀 구성
영향평가 실시	평가자료 수집 및 분석	ㅇ 내부 및 외부 자료 분석 ㅇ 대상시스템 관련 자료 분석
	개인정보 흐름 분석	ㅇ 개인정보 처리 업무 현황 분석 ㅇ 개인정보 흐름표 및 흐름도 작성 ㅇ 시스템 구조도 작성
	개인정보 침해요인 분석 및 도출	ㅇ 평가항목 작성 ㅇ 개인정보 보호조치 현황 분석 ㅇ 개인정보 침해요인 도출 ㅇ 개인정보 위험도 산정 및 평가 ㅇ 침해요인별 개선과제 도출 ㅇ 위험관리계획 수립
영향평가 결과 정리	개선계획 수립	ㅇ 개선사항 도출 ㅇ 세부 개선계획 수립
	영향평가서 작성	ㅇ 영향평가서 작성 ㅇ 영향평가서 품질 검토 ㅇ 영향평가 보고서 제출 등

3. 개인정보 영향평가 수행내용

가. 영향평가계획 수립

o ‘개인정보 영향평가에 관한 고시’ 및 ‘개인정보 영향평가 수행안내서’기준 개인정보 영향평가 수행을 위한 영향평가 수행계획서 작성

- 평가목적, 평가대상 및 범위, 평가주체(영향평가팀), 평가기간, 평가절차(방법), 주요평가사항, 평가기준 및 항목, 자료수집 및 분석계획 등을 반영해 사업주관부서와 협의하여 작성 후 협조부서· 외부 사업자 등과 공유

※ 주요 산출물 : 영향평가 수행계획서

나. 평가자료 수집 및 분석

o 내부 정책자료, 외부 정책자료, 대상시스템 관련 자료

단계	내부 정책자료	외부 정책자료	대상시스템 관련 자료
수집대상 자료	ㅇ 기관 내 개인정보 보호 및 정보 보안 체계·규정 ㅇ 기관 내 개인정보 취급자 및 조직 현황 ㅇ 위탁업체 등에 대한 내부 관리 규정 등	ㅇ 개인정보 보호법 및 관련 지침 등 ㅇ 평가대상 사업 추진 근거 법률 등	ㅇ 사업수행 계획서 ㅇ 메뉴 구조도 ㅇ 보안시스템 구조도 ㅇ 인터페이스 정의서 등

o 문서 확인, 인터뷰, 현장 방문 등의 방법을 병행

- 개인정보보호 관련 법규 및 지침과 해당 기관 내부규정 현황을 파악하고 당해 사업을 이해·분석하기 위해 필요한 자료 취합 및 분석

※ 관련 자료가 없을 경우 사업주관 및 협조부서 협의 후 신규 자료 생성 혹은 유사 자료로 대체

다. 개인정보 흐름 분석

o 수집된 자료를 통해 영향평가 대상시스템의 개인정보 흐름을 분석하고, 개인정보 처리 업무에 대한 구체적 분석 및 평가 수행

- (개인정보 처리 업무표) 개인정보를 처리하는 모든 업무를 주요 업무단위로 기재

- (개인정보 처리 업무흐름도) 개인정보 처리 업무표를 기반으로 평가대상 업무현황 분석을 통해 개인정보를 처리하는 업무별로 업무흐름도 작성

- (개인정보 흐름표) 개인정보 처리 업무별로 개인정보의 수집, 보유, 이용·제공, 파기로 구분하여 개인정보 흐름표 작성

- (개인정보 흐름도) 개인정보 흐름표를 기반으로 대상시스템의 개인정보 흐름을 총괄적으로 표현한 ‘총괄 개인정보 흐름도’와 ‘업무별 개인정보 흐름도’ 작성

- (정보시스템 구조도) 정보 보안 인프라를 포함한 전송 데이터 암호화, DB암호화 등 개인정보 보호를 위한 관리적·기술적·물리적 보안의 타당성 검토

※ 주요 산출물 : 개인정보 처리 업무표, 개인정보 처리업무흐름도, 개인정보 흐름표, 개인정보 흐름도, 정보시스템 구조도(네트워크 환경 보안 취약점 분석) 및 정보 보호시스템 목록 등

라. 개인정보 침해요인 분석 및 도출

o 영향평가 항목을 기반으로 평가를 수행하여 개인정보 보호조치 현황 및 침해요인 도출

- 침해요인에 대한 위험평가를 통해 위험도 산정

o ‘개인정보 보호법 시행령 제38조제1항’의 평가기준 참조 및 ‘개인정보 영향평가 수행 안내서’의 예시를 준용해 영향평가 영역과 항목 구성

※ 평가항목은 관련 법·제도의 개정사항을 반영해야 하며, 대상 시스템 및 사업의 특성 등에 따라 점검항목 추가·삭제·변경 등 탄력적으로 구성

- 평가 기준 항목에 따라 자료 분석, 현장 및 시스템 실사, 담당자 인터뷰 등을 통해 개인정보 침해요인 도출 및 위험도 산정

- (위험도 산정) 법적 준거성 등 개인정보 보호 영역의 특성이 반영된 영향평가 사업자의 자체 위험분석 방법론을 활용하여 위험도 산정

단계	내 용
평가기준	ㅇ ‘개인정보 보호법 시행령’ 제38조제1항제1호~4호 1. 해당 개인정보파일에 포함되는 개인정보의 종류ㆍ성질, 정보주체의 수 및 그에 따른 개인정보 침해의 가능성 2. 법 제24조제3항, 제25조제6항 및 제29조에 따른 안전성 확보 조치의 수준 및 이에 따른 개인정보 침해의 가능성 3. 개인정보 침해의 위험요인별 조치 여부 4. 그 밖에 법 및 이 영에 따라 필요한 조치 또는 의무 위반 요소에 관한 사항
평가영역	ㅇ ‘개인정보 영향평가에 관한 고시’ 별표 5. 개인정보 영향평가의 평가영역 및 평가분야 Ⅰ. 대상기관 개인정보 보호 관리체계 Ⅱ. 대상시스템의 개인정보 보호 관리체계 Ⅲ. 개인정보 처리단계별 보호조치 Ⅳ. 대상시스템의 기술적 보호조치 Ⅴ. 특정 IT기술 활용시 개인정보 보호

※ 주요 산출물 : 영향평가 항목 및 점검 결과서, 위험관리계획 등

마. 계선계획 수립

o 개인정보 침해요소에 대한 침해 요인별 위험도 측정 결과를 토대로 저작권 등록시스템 자원을 고려하여 개선방안 도출 및 개선 계획 수립

- (개선방안 도출) 위험도 우선순위에 따라 침해요인별 상세 개선방안 및 수행시기를 구체적으로 제시

- (개선계획 수립) 도출된 개선방안을 기반으로 보안조치 현황, 예산, 인력 등을 고려해 개선방안을 실행하도록 개선 계획표 작성, 도출된 개선과제에 대하여 실질적인 개선이 가능 하도록 우선순위를 고려하여 상세 개선방안 제시

※ 주요 산출물 : 개선조치 계획서(개선 계획표, 상세개선방안 등)

바. 영향평가서 작성

o 영향평가 산출물 등 모든 절차, 내용, 결과 등을 정리 및 취합하여 최종 영향평가서(개인정보 보호위원회 제출용 포함) 작성

- 영향평가서는 추진체계에 따른 담당자 등을 대상으로 설명

※ 주요 산출물 : 영향평가서

<영향평가서 항목>

단계		주요 내용
표지		ㅇ 대상 사업명, 날짜, 사업 수행 부서 등 기재
영향평가서 개요		ㅇ ‘개인정보 영향평가에 관한 고시’ 별지 7호 서식에 따른 개인정보 영향평가서 개요 작성
요약		ㅇ 영향평가에 대한 간략한 요약, 획득한 결론과 개선 사항들을 요약된 형태로 기술
목차		ㅇ 영향평가서의 주요 장과 절, 그리고 이들이 수록된 페이지 번호를 명시
Ⅰ. 추진개요	1.사업(시스템)명	ㅇ 대상사업(시스템)명 기재
	2.추진경과	ㅇ 평가팀 구성 등 영향평가 시작∼종료시점까지 주요 경과 기술
	3. 개인정보파일 개요	ㅇ 영향평가 대상시스템에서의 분석된 개인정보파일에 대한 내용 기술
Ⅱ. 개인정보 흐름분석	필요성 검토 결과	ㅇ 필요성 검토 결과 기재
	2. 개인정보 처리업무표 및 업무흐름도	ㅇ 전체 업무 중 개인정보와 관련한 업무흐름
	3. 개인정보 흐름표	ㅇ 개인정보 흐름표 제시 및 설명
	4. 개인정보 흐름도	ㅇ 개인정보 흐름도 제시 및 설명
	5. 시스템 구조도	ㅇ 대상사업의 시스템 구조도 제시
Ⅲ. 영향평가 결과	대상기관 개인정보보호 관리체계	ㅇ 각 분야별 조치 현황 및 침해 요인 기술
	2. 대상시스템의 개인정보보호 관리체계
	3. 개인정보 처리단계별 보호조치
	4. 대상시스템의 기술적 보호조치
	5. 특정 IT기술 활용시 개인정보 보호조치
Ⅳ. 위험평가	위험평가 개요	ㅇ 위험평가 개요 기술
	2. 위험평가 결과	ㅇ 위험평가 결과 기술
	3. 개선방안 도출	ㅇ 도출된 개선사항 정리
	4. 개선계획 수립	ㅇ 도출된 개선사항의 이행계획 수립
Ⅴ. 총평		ㅇ 개인정보 영향평가에 대한 총평 기술

사. 개선사항 이행 기술지원

o 주요 개선사항에 대해 개선 조치 여부 확인 및 사업 완료 후 필요한  부분에 대해 기술지원(협의)

아. 기타

o 개인정보 영향평가 관련 법․제도 준수

- 개인정보보호법․시행령, 개인정보 영향평가에 관한 고시

- 개인정보 영향평가 수행 안내서(개인정보보호위원회, 2020.12)

o 개인정보보호 관련 이슈사항 자문

- 개인정보보호 관련 이슈사항 발생 시 자문 수행

Ⅴ		산출물

종류	시기	부수	비고
사업수행계획서*	계약 후 14일 이내	1부
보고서	주간 보고서(매주) 월간 보고서(매월) 수시 보고서(수시)	1부
개인정보 영향평가 결과보고서	사업 완료 시	2부 (CD/USB/외장하드 등 1매)
기타 산출물	사업 완료 시	1부 (CD/USB/외장하드 등 1매)

* 사업수행계획서 포함 : 개인정보처리위탁계약서, 비밀유지계약서, 참여인력 관련 서류(재직증명서, 경력증명서, 개인정보영향평가 전문인력 인증서, 클린행정 협조서),  보안서약서(수행인력, 대표자) 등

Ⅵ		추진일정

세부 일정		추진일정
		3월	4월	5월	6월	7월
사업 계획 수립 및 업체 선정	사업 기본계획 수립
	사업자 선정 및 계약체결
사업 수행	사업 착수 및 현황분석
	개선과제 도출
	개선방안 수립
사업완료 및 결과보고

Ⅶ		과업수행 지침

1. 일반사항

o 용역수행자는 신의성실의 원칙아래 최선의 노력을 기울여야 하며, 계약기간 이내에 사업을 완료함

o 수행과정에서 여건변동 또는 위원회의 불가피한 사정에 의하여 내용의 일부를 변경할 때에 위원회는 이의 보완 및 변경을 요구할 수 있으며, 수행자는 이를 위원회와 협의하여 보완, 요청 기일 내에 제출하여야 함

o 본 용역수행 과정에서 수행사가 제3자에게 피해를 주었을 경우에는 수행사가 그 피해 일체를 부담하여야 함

o 위원회는 다음 각 호의 사유로 용역기간이 연장되어야 한다고 판단될 때에는 계약기간을 연장할 수 있음

- 천재지변 또는 이에 준하는 상황이 발생하였을 때

- 과업수행도중 여건변화 등 사유 발생시

- 단, 이 경우 양사간 협의에 의하여 일정을 조정할 수 있음

2. 전담조직 및 인원구성

o 용역수행자는 과업별 업무특성에 적합한 전담조직 및 인원을 구성하여 유기적 업무 추진체계를 통해 사업수행업무를 통합 관리하여야 함

o 용역수행 인력이 부적합하다고 판단하여 위원회가 교체요구 시 특별한 사유 없이 이를 거부할 수 없음

o 제출한 용역참여자 명단과 관련 용역참여자의 교체 시 위원회의 승인을 득해야 함

3. 행정사항

o 용역수행자는 위원회로부터 대여․제공  받은 제반 자료는 본 계약의 목적 외에는 사용하지 아니함

o 용역수행자는 용역수행 중 취득한 자료를 유출해서는 아니 됨

o 용역수행자는 주관기관의 보안요청사항을 준수하여야 함

4. 계약의 취소 또는 해지

o 본 계약의 해약조건은 다음과 같이 하고 용역업체는 이에 대한 이의를 제기할 수 없으며 손해를 완전 보상하여야 함

- 본 계약을 수행함에 있어 계약내용이나 과업지침을 위반하였을 때

- 성실한 과업이행을 하지 않아 계약목적의 달성이 어려울 때

- 과업수행 성과 또는 능력이 현저히 부족하여 추진단이 사업목적 달성이 어렵다고 판단할 경우

- 기타 본 과업을 계속 수행할 수 없는 상황이 발생될 때

Ⅷ		붙임 문서

1. 영향평가의 평가영역 및 평가분야

■ 개인정보 영향평가에 관한 고시 [별표 5]
개인정보 영향평가의 평가영역 및 평가분야 (제9조~제11조 관련)
			(제1쪽)
평가 영역	평가 분야	세부 분야
I. 대상기관 개인정보보호 관리체계	1. 개인정보 보호 조직	개인정보보호책임자의 지정
		개인정보보호책임자 역할수행
	2. 개인정보 보호 계획	내부관리계획 수립
		개인정보보호 연간계획 수립
	3. 개인정보 침해대응	침해사고 신고 방법 안내
		유출사고 대응
	4. 정보주체권리보장	정보주체 권리보장 절차 수립
		정보주체 권리보장 방법 안내
II. 대상시스템의 개인정보보호 관리체계	5. 개인정보취급자 관리	개인정보취급자 지정
		개인정보취급자 관리ㆍ감독
	6. 개인정보파일 관리	개인정보파일대장 관리
		개인정보파일 등록
	7. 개인정보처리방침	개인정보처리방침의 공개
		개인정보처리방침의 작성
III. 개인정보처리단계별 보호 조치	8. 수집	개인정보 수집의 적합성
		동의 받는 방법의 적절성
	9. 보유	보유기간 산정
	10.이용ㆍ제공	개인정보 제공의 적합성
		목적 외 이용ㆍ제공 제한
		제공시 안전성 확보
	11. 위탁	위탁사실 공개
		위탁 계약
		수탁사 관리ㆍ감독
	12. 파기	파기 계획 수립
		분리보관 계획 수립
		파기대장 작성

			(제2쪽)
IV. 대상시스템의 기술적 보호 조치	13. 접근권한 관리	계정 관리
		인증 관리
		권한 관리
	14. 접근통제	접근통제 조치
		인터넷 홈페이지 보호조치
		업무용 모바일기기 보호조치
	15. 개인정보의 암호화	저장시 암호화
		전송시 암호화
	16. 접속기록의 보관 및 점검	접속기록 보관
		접속기록 점검
		접속기록 보관 및 백업
	17. 악성프로그램 등 방지	백신 설치 및 운영
		보안업데이트 적용
	18. 물리적 접근방지	출입통제 절차 수립
		반출ㆍ입 통제 절차 수립
	19. 개인정보의 파기	안전한 파기
	20. 기타 기술적 보호조치	개발 환경 통제
		개인정보처리화면 보안
		출력시 보호조치
	21.개인정보처리구역보호	보호구역지정
V. 특정 IT기술 활용시 개인정보 보호	22. CCTV	CCTV 설치시 의견수렴
		CCTV 설치 안내
		CCTV 사용 제한
		CCTV 설치 및 관리에 대한 위탁
	23. RFID	RFID 이용자 안내
		RFID 태그부착 및 제거
	24. 바이오정보	원본정보 보관시 보호조치
	25. 위치정보	개인위치정보 수집 동의
		개인위치정보 제공시 안내사항

2. 별첨 서식

<별첨 서식1-1> 클린행정 협조서

<별첨 서식1-2> 보안서약서(대표자용)

<별첨 서식1-3> 보안서약서(직원용)

<별첨 서식1-4> 표준 개인정보처리위탁 계약서(안)

<별첨 서식1-5> 개인정보 위탁 보안서약서(예시)

<별첨 서식1-6> 비밀유지계약서

<별첨 서식2-1> 누출금지 대상정보

<별첨 서식2-2> 사업자 보안위규 처리기준

<별첨 서식2-3> 보안 위약금 부과 기준

[별첨 서식1-1]

접수번호 :      호

클린행정 협조서

맑고 깨끗하며 최고의 클린행정서비스를 제공하고자 노력하는 귀 기관의 노력에 적극적으로 협조할 것임을 다음과 같이 다짐합니다.

Ⅰ. 관계법령이나 규정에 저해되는 일체의 불공정한 행위는 물론, 어떠한 압력이나 청탁도 행사하지 않겠습니다.

Ⅰ. 담당직원에게 금품이나 선물, 향응이나 접대 등을 제공하지 않겠습니다.

Ⅰ. 위와 같은 귀 기관의 클린행정 노력에 적극 협조․동참 하겠습니다.

202 .     .    .

서약자 :            (서명)

한국저작권위원회 위원장 귀하

[별첨 서식1-2]

보안 서약서(대표자용)

본인은    년   월   일부로                  관련 용역사업(업무)을 수행함에 있어 다음사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은              관련 업무 중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정하고 제반 보안 관계 규정 및 지침을 성실히 수행한다.

2. 본인은 이 기밀을 누설함이 국가안전보장 및 국가이익에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 재직 중은 물론 퇴직 후에도 일체 누설하거나 공개하지 아니한다.

3. 본인이 이 기밀을 누설하거나 관계 규정을 위반한 때에는 관련     법령 및 계약에 따라 어떤 처벌 및 불이익도 감수한다.

4. 본인은 사업수행 중 취득한 모든 자료를 반납 및 파기하며, 복사본 등 용역사업 관련 자료를 보유하지 않고, 취득한 정보를 절대 유출하지 않는다.

5. 본인은 하도급 업체에 대해 동일한 보안사항 준수토록 하며, 하도급업체로 인해 발생하는 위반사항에 대하여 모든 책임을 부담한다.

6. 본인은 상기 보안사항을 위반할 경우에 귀 기관의 사업에 참여 제한 또는 기타 관련 법규에 따른 책임과 손해배상을 감수하겠습니다.

202  년      월      일

서약자      업   체   명 :

직        위 :
성        명 :             (서 명)

[별첨 서식1-3]

보안서약서(직원용)

본인은 한국저작권위원회(이하 “위원회”)의 협력사(외주용역, 프리랜서, 파트타이머 등) 직원으로 써, 금번                       사업을 수행함에 있어, 본 서약서가 근무기간 뿐 아니라 퇴직 후에도 적용될 수 있음을 인식하고 있으며 위원회의 규정을 준수하고 업무와 관련하여 지득한 모든 사항에 대하여 일체 누설하지 않을 것이며, 이로 인한 문제 발생 시 책임을 다할 것임을 서약합니다.

1. 나는 위원회로부터 취득한 모든 정보를 업무에 한해 이용할 것이며, 위원회의 보호대상 정보를 회사 내 보관치 않겠다.

2. 나는 상대가 누구이건 간에 알 필요가 없는 자에게 직무상 알게 된 위원회 정보를 누설하지 않을 것이다.

3. 나는 명백히 허가 받지 않은 정보나 시설에 접근하지 않으며, 위원회 관련 업무를 수행할 때에는 지정되고 허가된 데이터 처리시설 및 설비만을 이용할 것이다.

4. 나는 업무와 관련한 정보의 수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기 및 그 밖에 이와 유사한 일체의 행위에 대하여 위원회의 규정과 통제절차를 준수할 것이다.

5. 나는 나에게 할당된 사용자 ID, 패스워드, 출입증을 타인과 공동 사용하거나 관련 정보를 누설하지 않겠다.

6. 나는 위원회로부터 제공받은 정보자산(서류, 사진, 영상, 전자파일, 저장매체 등)을 무단변조, 복사, 훼손, 분실 등으로 부터 안전하게 관리하겠으며 승인 받지않은 프로그램 정보저장 매체를 사용하지 않겠다.

7. 나는 PC, 서버, 응용 및 데이터에 대한 보안진단 및 점검을 수행, 조치하겠다

8. 나는 퇴직 시 위원회에서 제공받은 위원회 소유 모든 정보자산을 반드시 반납할 것이며, 퇴직 후에도 퇴직 전의 모든 정보는 물론이고 비밀 등 기타 누설됨으로 인하여 회사에 손해가 될 수 있는 각종 정보에 대하여는 일체 누설하지 않겠다.

상기 사항을 숙지하고 이를 성실히 준수할 것을 동의하며 서약서의 보안사항을 위반하였을 경우에는 관련 법령에 의한 민/형사상의 책임 이외에도, 회사의 사규나 관련 규정에 따른 징계조치 등 어떠한 불이익도 감수할 것이며 회사에 끼친 손해에 대해 지체 없이 변상/복구할 것을 서약합니다.

20   년    월    일

소 속 :

직 위 :

성 명 :                 (인)

[별첨 서식1-4]

표준 개인정보처리위탁 계약서(안)

한국저작권위원회(이하 “위탁자”이라 한다)와               (이하 “수탁자”이라 한다)는 “위탁자”의 개인정보 처리업무를 “수탁자”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁 계약을 체결한다.

제1조 (목적) 이 계약은 “위탁자”가 개인정보처리업무를 “수탁자”에게 위탁하고, “수탁자”는 이를 승낙하여 “수탁자”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 개인정보 보호법, 동법 시행령 및 시행규칙, 「개인정보의 안전성 확보조치 기준」,「표준 개인정보 보호지침」에서 정의된 바에 따른다.

제3조 (위탁업무의 목적, 기간 및 범위) “수탁자”는 계약이 정하는 바에 따라           (             )을 목적으로 (    년  월  일부터 ~    년  월  일까지) 다음의 개인정보 처리 업무를 수행한다.

각호의 업무 예시 : 고객만족도 조사 업무, 회원가입 및 운영 업무, 사은품 배송을 위한 이름, 주소, 연락처 처리 등

1.

2.

제4조 (재위탁 제한) ① “수탁자”는 “위탁자”의 사전 승낙을 얻은 경우를 제외하고 “위탁자”와의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “수탁자”가 다른 제3의 회사와 수탁계약을 할 경우에는 “수탁자”는 해당 사실을 계약 체결 7일 이전에 “위탁자”에게 통보하고 협의하여야 한다.

제5조 (개인정보의 안전성 확보조치) “수탁자”는 개인정보 보호법 제23조제2항, 제24조제3항 및 제29조, 동법 시행령 제21조, 제30조 및 「개인정보의 안전성 확보조치 기준」에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 및 물리적 조치를 취하여야 한다.

제6조 (개인정보의 처리제한) ① “수탁자”는 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “수탁자”는 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보 보호법」시행령 제16조, 「개인정보의 안전성 확보조치 기준」에 따라 지체없이 파기하거나 “위탁자”에게 반납하여야 한다.

③ 제2항에 따라 “수탁자”가 개인정보를 파기한 경우 지체없이 “위탁자”에게 그 결과를 통보하여야 한다.

제7조 (수탁자에 대한 관리·감독 등) ① “위탁자”는 “수탁자”에 대하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속현황

3. 개인정보 접근 또는 접속 대상자

4. 목적 외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “위탁자”는 “수탁자”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이행하여야 한다.

③ “위탁자”는 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 2회 이상 “수탁자”를 교육하거나 교육하도록 지시할 수 있으며, “수탁자”는 이에 응하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “위탁자”는 “수탁자”와 협의하여 시행한다.

제8조 (정보주체 권리보장) “수탁자”는 정보주체의 개인정보 열람, 정정·삭제, 처리 정지 요청 등에 대응하기 위한 연락처 등 민원 창구를 마련하여야 한다.

제9조 (개인정보의 파기) “수탁자”는 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 지체없이 파기하거나 반납하여야 하며 이를 “위탁자”에게 확인받아야 한다.

제10조 (손해배상) ① “수탁자” 또는 “수탁자”의 임직원,“수탁자”의 수탁자가 이 계약에 의하여 수탁 또는 재수탁 받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “수탁자” 또는 “수탁자”의 임직원, “수탁자”의 수탁자 귀책사유로 인하여 이 계약이 해지되어 “위탁자” 또는 개인정보주체, 제3자에게 손해가 발생한 경우 “수탁자”는 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체, 제3자에게 발생한 손해에 대하여 “위탁자”가 전부 또는 일부를 배상한 때에는 “위탁자”는 이를 “을”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “위탁자”와 “수탁자”가 서명 또는 날인한 후 각 1부씩 보관한다.

20  .  .  .

위탁자 주 소 : 기관(회사)명 : 대표자 성명 : (인)	수탁자 주 소 : 기관(회사)명 : 대표자 성명 : (인)

[별첨 서식1-5]

개인정보 위탁 보안서약서(예시)

① 수탁업체 대표용

개인정보 취급위탁(제공) 계약 보안 서약서

(이하 “수주자”이라 한다)는 한국저작권위원회(이하 “발주자”이라 한다)의 개인정보 취급 위탁 업무수행에 따른 정보 및 개인정보취급 시스템(DBMS)의 안전한 보호를 위해 아래 각 호의 사항을 준수한다.

1. 수주자는 발주자의 정보보호 규정을 준수하며 발주자가 취급위탁한 개인정보(정보 및 정보시스템)을 안전하게 사용․관리하며, 개인정보의 보호를 위해 다음의 사항을 준수한다.

1) 발주자의 정보보호 규정 및 개인정보보호 관련 법규의 준수

2) 업무상 알게된 개인정보에 관한 비밀 유지

3) 제공받은 목적 외 제공 금지

4) 제공받거나 허가받은 개인정보 취급 업무 및 취급권한의 제3자 공유 금지

5) 취급업무의 종료 시 파기 등 의무사항의 이행

6) 발주자의 규정 및 관련 법규의 미준수 또는 관리소홀로 인해 발생한 개인정보 사고에 대한 책임 부담

2. 수주자는 발주자의 업무 수행을 위해 담당하는 직원에 대하여 책임을 진다.

3. 수주자는 발주자의 사전 승인을 받지 못한 프로그램 및 정보기기는 발주자의 업무와 관련하여 사용하지 않는다.

4. 수주자는 발주자의 정보보호 정책과 반하는 행위로 야기되는 문제에 대해 민․형사상 책임을 진다.

이를 상기 숙지하고 성실히 준수할 것을 서약합니다.

202 년 월 일
수탁업체 대표:	(인)

② 수탁업체 직원용

개인정보 취급위탁(제공) 보안 서약서

본인은 한국저작권위원회(이하 “위원회”)의 협력사(외주용역, 프리랜서, 파트타이머 등) 직원으로 위원회의 금번 사업을 수행함에 있어, 본 서약서가 사업 기간뿐만 아니라 사업 완료 이후에도 적용될 수 있음을 인식하고 있으며 사업과 관련하여 알게 된 모든 정보에 대하여 위원회의 위탁업무에 한해 이용하며 일체 누설하지 않을 것이며, 이로 인한 문제 발생 시 책임을 다할 것임을 서약합니다.

1. 나는 위원회의 위탁업무와 관련한 개인정보의 처리(수집, 생성, 기록, 저장, 보유, 가공, 편집, 검색, 출력, 정정, 복구, 이용, 제공, 공개, 파기 및 그 밖에 이와 유사한 일체의 행위)에 대하여 위원회의 규정과 통제절차를 준수할 것이다.

2. 나는 위원회의 위탁업무로 알게 된 정보를 무단변조, 복사, 훼손, 분실 등으로 부터 안전하게 관리하겠으며 승인 받지 않은 프로그램, 저장 매체를 사용해 업무를 하지 않겠다.

3. 나는 명백히 허가 받지 않은 위원회의 정보, 시스템, 시설에 접근하지 않으며, 허가 없이는 임의로 어떠한 작업도 수행하지 않고 허가된 처리 시설 및 설비만을 이용할 것이다.

4. 나는 나에게 할당된 시스템의 사용자 ID, 패스워드 및 전자파일의 정보를 타인과 공유하거나 누설하지 않겠다.

5. 나는 금번 사업 종료 시 위원회에서 취득한 모든 정보(산출물에 대한 복사본 및 관련 자료 등)를 보유하지 않을 것이며, PC·노트북·휴대용 저장매체 등에 남아있는 자료는 복구가 불가능하도록 완전삭제 하겠다.

6. 퇴직 후에도 위원회의 모든 정보는 물론이고 영업비밀 등 기타 누설됨으로 인하여 위원회에 손해가 될 수 있는 각종 정보에 대하여 일체 누설하지 않겠다.

상기 사항을 숙지하고 이를 성실히 준수할 것을 동의하며 서약서의 보안사항을 위반하였을 경우에는 “개인정보보호법”, “정보통신망이용촉진 및 정보보호 등에 관한 법률”, “부정경쟁 방지 및 영업비밀보호에 관한 법률” 등 관련법령에 의한 민/형사상의 책임 이외에도, 위원회의 사규나 관련 규정에 따른 징계조치 등 어떠한 불이익도 감수할 것이며 위원회에 끼친 손해에 대해 지체 없이 변상/복구할 것을 서약합니다.

202 년   월   일

소 속 :

사 번 :

직 위 :

성 명 :              (인)

[별첨 서식1-6]

표준 비밀유지 계약서(안)

한국저작권위원회(이하 “발주자”라고 한다)와           (이하 “계약상대자”라고 한다)는 다음과 같이 비밀유지계약을 체결한다.

제1조 (목적) 이 계약은 발주자가             사업(이하 “본 용역”)과 관련하여 자료·장비 등에 대한 내용(신규 포함)을 “계약상대자”에게 제공하는바, “발주자”가 제공한 자료·장비 등에 대해 “계약상대자”에게 비밀유지 의무를 부과하고자 본 계약을 체결한다.

제2조 (비밀정보) ① “비밀정보”라 함은 본 계약의 체결 전후 또는 직접 혹은 간접을 묻지 않고, 본 용역을 위해 “발주자”가 구두, 서면 또는 기타 방법으로 제공한 일절의 유용한 경영상 또는 기술상의 정보를 말한다. 비밀정보의 범위는 다음 각호와 같다.

1. “발주자”소유 정보시스템의 내ㆍ외부 IP주소 현황

2. 정보시스템 구성 현황 및 정보통신망 구성도

3. 개별사용자의 계정·비밀번호 등 시스템 접근권한 정보

4. 정보통신망 또는 정보시스템 취약점 분석·평가 결과물

5. 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당)

6. 암호자재, 암호가 주 기능인 제품 및 정보보호시스템 도입ㆍ운용 현황

7. 정보보호시스템 및 네트워크장비 설정 정보

8.「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 위원회의 내부문서

9.「개인정보 보호법」제2조제1호에 따른 개인정보

10.「보안업무규정」제4조에 따른 비밀 및 동규정 시행규칙 제16조제3항에 따른 대외비

11. 그 밖에 위원회에서 공개가 불가하다고 판단한 자료

② 다음 각호에 해당하는 정보는 비밀정보에 해당하지 아니한다.

1. “발주자”의 제공이 있기 전부터 이미 공지 또는 공개의 사실이었던 정보

2. “발주자”의 제공이 있기 전, 이미 “계약상대자”가 보유하고 있었던 사실을 서면으로 증명가능한 정보

③ 비밀정보에 대한 소유권은 “발주자”가 계속 보유한다.

제3조 (유효기간) “계약상대자”는 본 계약의 유효기간과 관계없이 제공받은 “발주자”의 비밀정보 보호의무를 진다.

제4조 (비밀정보의 사용금지) “계약상대자”는 “발주자”의 비밀정보를 본 용역을 위해서만 사용하여야 하며, 타 목적을 위해서 사용하여서는 아니된다.

제5조 (비밀유지) ① “계약상대자”는 본 용역을 수행함에 있어 인지하게 된 “발주자”의 비밀정보를 사전서면에 의한 승낙없이 제3자에게 누설하여서는 아니된다.

② “계약상대자”는 본 용역에 관한 계약사실 및 내용을 제3자에게 누설하여서는 아니된다.

③ “계약상대자”는 본 용역을 위해 필요한 자에게만 비밀정보를 취급할 수 있게 하며, 해당하는 자는 본 계약에 규정하는 의무와 같은 의무를 부담하게 하여야 한다.

제6조 (자료 등의 관리) ① “계약상대자”는 모든 비밀정보를 엄중히 보관하며 “발주자”의 허락없이는 복제 등 기타 비밀을 누설할 염려가 있는 행위를 할 수 없다.

② “계약상대자”는 “발주자”가 제공한 비밀정보와 비밀정보에 기초하여 작성된 일체의 자료(허가를 받아 복사한 사본을 포함)를 신중한 주위를 가지고 관리·보관하여야 한다.

③ “계약상대자”는 “발주자”의 요구가 있을 경우, “발주자”로부터 제공받은 비밀정보와 비밀정보에 기초하여 작성한 일체의 자료(허가를 받아 복사한 사본을 포함)를 반환하여야 한다.

제7조 (손해배상) ① “계약상대자”는 본 계약에서 정하는 각 규정을 위반하여 “발주자”에게 손해를 입힌 경우에는 일체의 손해를 배상하여야 한다.

② 하도급 및 재하도급의 경우 하수급인 및 재하수급인의 비밀정보의 비밀유지 의무 위반에 대해서도 “계약상대자”는 동일한 책임을 부담한다. 단 불가항력의 사유로 비밀정보의 비밀유지 의무를 위반한 경우 “계약상대자”는 불가항력의 사유를 증명함으로써 “발주자”의 손해배상 청구에 대한 책임을 면할 수 있다.

제8조 (정보의 지식재산권) ① 본 용역의 이행에 의해 발생한 산출물 및 결과물(개발된 SW 모듈 포함)의 소유권 및 지식재산권은 공동으로 소유한다.

② 제1항에도 불구하고 보안 관련 산출물 및 결과물의 소유권, 지식재산권 및 2차적저작물작성권은 “발주자”가 소유한다.

제9조 (정보의 회수) “발주자”가 제공한 자료·장비·서류·기타 당해 계약과 관련된 정보의 반환을 요청하는 경우 “계약상대자”는 정보의 원본 및 사본(수정물도 포함)을 남기지 않고 모두 “발주자”에게 반환하여야 한다. 반환에 발생하는 비용은 “계약상대자”가 부담하기로 한다.

제10조 (계약기간) ① 본 계약의 기간은 본 용역의 계약기간과 동일하며, 양 당사자의 합의에 따라 단축 또는 연장될 수 있다.

② 전항의 계약기간에도 불구하고 비밀유지의무는 제5조에 따른다.

제11조 (양도 등의 금지) “계약상대자”는 본 계약의 권리 및 의무의 일부 또는 전부를 제3자에게 양도, 하도급, 담보제공 등 일체의 처분행위를 할 수 없다.

제12조(계약의 변경) 본 계약의 내용은 “발주자”와 “계약상대자”간의 서면 합의에 의해서만 유효하게 변경 또는 수정될 수 있다.

제13조(준용규칙) 본 계약서에 명시되지 아니하거나 해석상 이견이 있는 사항은 “발주자”와 “계약상대자”의 본 용역 관련 계약서 및 국가를 당사자로 하는 계약에 관한 법령, 기획재정부 계약예규 등 관련 법령 및 규정을 준용한다.

제14조 (효력) 본 계약은 계약 체결 시부터 효력을 발휘한다. 다만, 본 비밀유지계약서를 체결한 일자와 용역계약을 체결한 일자가 다를 경우 용역계약을 체결한 일자에 발효되기로 한다.

제15조 (관할) 본 계약과 관련하여 발생하는 법적 분쟁의 해결은 “발주자” 소재지의 관할 법원에 의한다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “발주자”와 “계약상대자”의 서명 또는 날인한 후 각 1부씩 보관한다.

202 .  .  .

발주자 성 명 : (인)	계약상대자 성 명 : (인)

[별첨 서식2-1]

<누출금지 대상정보>

1. 해당 기관의 정보시스템 내ㆍ외부 IP주소 현황

2. 정보시스템 구성 현황 및 정보통신망 구성도

3. 개별사용자의 계정ㆍ비밀번호 등 정보시스템 접근권한 정보

4. 정보통신망 또는 정보시스템 취약점 분석ㆍ평가 결과물

5. 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당)

6. 암호자재, 암호가 주 기능인 제품 및 정보보호시스템 도입ㆍ운용 현황

7. 정보보호시스템 및 네트워크장비 설정 정보

8.「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 해당 기관의 내부문서

9.「개인정보보호법」제2조제1호에 따른 개인정보

10.「보안업무규정」제4조에 따른 비밀 및 ｢보안업무규정 시행규칙｣ 제16조제3항에 따른 대외비

11. 그 밖에 해당 기관의 장이 공개가 불가하다고 판단한 자료

[별첨 서식2-2]

사업자 보안위규 처리기준

구 분	위 규 사 항	처 리 기 준
심 각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	◦사업참여 제한 (부정당업체 등록) ◦위규자 및 직속 감독자 퇴출 등 중징계 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별 보안교육 실시
중 대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·유지보수 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	◦위규자 및 직속 감독자 감봉 및 인사고과 반영 등 중징계 ◦위규자 및 직속감독자 사유서/경위서 징구(2회 이상 퇴출) ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별 보안교육 실시

구 분	위 규 사 항	처 리 기 준
보 통	1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 관리 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 네이트온 등 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여 마. PC 비밀번호를 모니터옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	◦자체내규 의거 경징계 등 문책 또는 인사고과 반영 ◦위규자 및 직속 감독자 사유서 / 경위서 징구 (2회 이상 적발시 당사자 퇴출) ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시
경 미	1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	◦자체내규 의거 인사고과 반영 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시

※ 사업자 보안위규 처리 절차

경위 확인	▶	보안위규 처리기준에 따라 조치	▶	재발방지 대책	▶	보안조치 이행여부 점검

[별첨 서식2-3]

보안 위약금 부과 기준

1. 위규 수준별로 A~D 등급으로 차등 부과

구분	위규 수준
	A급	B급	C급	D급
위규	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
위약금 비중	부정당업자 등록	500만원 이하 or 계약금액의 2% 이내	300만원 이하 or 계약금액의 1% 이내	100만원 이하 or 계약금액의 0.5% 이내

* 위규 수준은 <별첨 서식2-2> 참고

2. 보안 위약금은 다른 요인에 의해 상쇄, 삭감이 되지 않도록 부과

* 보안사고는 1회의 사고만으로도 그 파급력이 큰 것을 감안하여 타 항목과 별도 부과

3. 사업 종료 시 지출금액 조정을 통해 위약금 정산