AI서비스와 공공서비스 연계 기반 구축 개인정보 영향평가

「AI서비스와 공공서비스 연계 기반 구축」

개인정보 영향평가 제안요청서

2026. 9.

담당

인공지능정부본부

AI정부혁신성과팀

팀장 김진욱

053-230-1661

oohs11@nia.or.kr

수석 엄나래

053-230-1670

nraum@nia.or.kr

목 차

Ⅰ. 과업 개요 1

1. 추진배경 및 필요성 1

2. 과업내용 2

3. 추진체계 및 역할 3

Ⅱ. 과업 안내사항 4

1. 과업내용 4

2. 영향평가 방법 및 절차 7

3. 추진일정(안) 8

4. 일반사항 8

5. 상세요구사항 10

Ⅲ. 준수사항 22

1. 일반사항 22

2. 참여인력 관리 22

3. 보고서 및 산출관리 23

4. 준공 및 정산 23

5. 보안준수사항 23

Ⅳ. 제안서 작성 안내 25

1. 제안서의 효력 25

2. 제안서 제출 안내 25

3. 제안서 작성 지침(권고사항) 25

4. 유의사항 26

5. 제안서 작성 목차 28

Ⅴ. 제안 안내 29

1. 제안조건 29

2. 협상 적격자 선정 방법 및 절차 32

3. 제안서 평가방법 33

[붙임 1] 용역사업 보안특약 사항 35

[붙임 2] 사업자 보안위규 처리기준 등 36

[붙임 3] 용역사업 대표자 보안 서약서 42

[붙임 4] 참여인원 보안 서약서 43

[붙임 5] 대표 명의의 보안확약서 44

[참고 1] 공정거래 준수 안내 45

[참고 2] NIA 국가 인공지능 사업추진 윤리원칙 47

[참고 3] 이해충돌방지 및 청렴계약 안내문 48

Ⅰ

과업 개요

1. 추진 배경 및 필요성

가. 추진배경

○「개인정보 보호법」제33조와 「개인정보 보호법 시행령」제35조 및 개인정보 영향평가에 관한 고시(행정안전부고시 제2020-4호)에 의해 개인정보 영향평가 실시

○「AI서비스와 공공서비스 연계 기반 구축」사업의 개인정보 영향평가를 수행하여 개인정보보호 수준 및 관련 법령에 대해 법적 준거성을 확보

- 잠재 위험식별ㆍ침해요인 분석ㆍ취약점에 대한 개선방안 도출ㆍ불필요한 개인정보 보유 제거ㆍ개인정보 취급 프로세서 개선 등 추진

○ 개인정보보호 관련 법령의 의무 준수사항 점검과 미비 사항을 보완하여 개인정보 관리체계 및 유출 예방 강화

○ 개인정보 침해위험요인과 위험요소에 대한 분석 및 개선사항 조치를 통한 개인정보 침해 예방

나. 필요성

○ 시스템 구축 단계에서 개인정보 유출 등 위험요소를 식별 보완함으로써, 개인정보주체의 권리를 보장하는 방안 마련 필요

○ 개인정보 영향평가 전문기관에 의한 개인정보 영향도 분석과 취약점 진단ㆍ결과 반영을 통해, 시스템 보안성 강화 및 개인정보 침해사고를 사전 예방 하기 위한 대책 필요

2. 과업내용

○ 과 업 명 : AI서비스와 공공서비스 연계 기반 구축 개인정보 영향평가

○ 소요예산 : 28,790,005원(부가가치세 포함)

○ 과업범위 : 대상사업*의 개인정보 영향평가 수행

* R26BK01604637-000, AI서비스와 공공서비스 연계 기반 구축 참고

○ 선정방식 : 제한경쟁입찰

○ 참가자격

- 개인정보 보호법 제33조(개인정보영향평가)에 의한 행정안전부장관이 지정한 기관으로서, 국가종합전자조달시스템 입찰참가자격등록규정에 의하여 조달청에 "개인정보 영향평가기관"업종(정보통신, 업종코드 : 6525)으로 입찰참가를 등록한 업체

※ 개인정보 영향평가기관으로서 공고일 전일부터 입찰일(낙찰자는 계약체결일까지) 해당 자격을 계속 유지하여야 함

- 「중소기업기본법」 제2조에 따른 중소기업자 또는 「소상공인 보호 및 지원에 관한 법률」 제2조에 따른 소상공인으로서 「중소기업 범위 및 확인에 관한 규정」에 따라 발급된 중소기업ㆍ소상공인확인서를 소지한 자(입찰마감일 전일까지 발급된 것으로 유효기간 내에 있어야 함)

※ <중소기업 소상공인 확인서>는 중소기업공공구매 종합정보망에서 확인하며 확인이 되지 않을 경우 입찰참가 자격이 없음

※ 제안업체는 상기의 조건을 모두 충족하여야 하며, 이는 공동수급업체 모두에게 적용됨. 단, 상기의 조건은 입찰공고일을 기준으로 하며, 낙찰일(낙찰자는 계약체결일)까지 동 자격을 유지하여야 함

※ 공동수급체는 나라장터를 이용하여서만 구성하여야 함

3. 추진체계 및 역할

○대상시스템 개발 및 구축 추진조직

사업총괄/관리

협조기관

•행정안전부 공공지능데이터분석서비스혁신과

•과기정통부 디지털융합촉진과

국가정보자원관리원

구축 협의체

주관기관

• 중앙행정기관

• 행정·공공기관

민간 AI 서비스 제공업체

한국지능정보사회진흥원

디지털서비스팀AI정부혁신성과팀

클라우드 서비스 제공/운영 사업자(CSP/MSP), SaaS 사업자

사업자

지능형 업무관리 플랫폼 사업자

범정부 초거대 AI 공통기반AI서비스와 공공서비스 연계 기반 구축 구현 사업 수행사

○역할

조직

역할

행정안전부

공공지능데이터분석과,

과학기술정보통신부

디지털융합촉진과공공서비스혁신과

• 사업추진 기본방향 및 정책 사항 결정

• 사업추진 총괄 지원

• 예산 확보 및 사업 출연

• 인공지능·행정업무·인프라 등 지식·경험 공유

• 정책·기술적 자문 및 협의·조정 수행

구축 협의체

• 타 행정기관: 기관별 AI 서비스 Zone 협의(개방기관) 행정·공공기관 : 공공서비스 제공기관

• (수요기관) 민간 AI 서비스 제공 업체기업 : 생성형 AI 비즈니스 영역 협의민간 AI 서비스 연계기관

한국지능정보사회진흥원

디지털서비스팀AI정부혁신성과팀

(주관기관)

• 사업계획 수립 및 제안 요청서 작성

• 범정부 초거대 AI 공통기반 플랫폼 구축AI서비스와 공공서비스 연계 기반 구축 사업 관리·검수

• 각종 산출물, 사업완료보고서 및 결과 평가

국가정보자원관리원

(인프라)

• 인프라(HW 등) 도입 및 설치

개인정보 영향평가

• 개인정보 침해요인 평가 및 안전한 관리방안 마련

• 사업 관련 사업자가 수행할 필요가 있는 업무 등

용역수행업체

(사업자)

• 범정부 초거대 AI 공통기반 플랫폼 구축AI서비스와 공공서비스 연계 기반 구축 사업 수행

• 사업 수행에 따른 각종 보고

• 운영교육 및 기술전수

• 시험운영 및 시험운영 동안의 안전성 보장

• 사업 관련 사업자가 수행할 필요가 있는 업무 등

Ⅱ

과업 안내사항

1. 과업내용

○ ‘AI서비스와 공공서비스 연계 기반 구축’의 개인정보보호 관리체계의 적정성 분석

- ‘AI서비스와 공공서비스 연계 기반 구축’의 개인정보보호 조직, 개인정보 보호계획, 개인정보 처리방침, 개인정보 파일관리 등에 대한 적정성

- ‘AI서비스와 공공서비스 연계 기반 구축’ 개인정보관리, 개인정보 처리내용 공개, 개인정보 침해대응 등에 대한 적정성

○ 개인정보 처리단계별 보호의 적정성 분석

- 개인정보 수집, 저장, 보유, 이용 및 연계․제공, 파기에 이르기까지 각 단계별 보호조치에 대한 분석

- 개인정보 처리 위탁 및 제공 시 안전조치 적절성

○ 개인정보 기술적 보호조치 현황의 적정성 분석

- 개인정보처리시스템 관련 접근권한, 접근통제, 암호화, 접속기록, 악성코드 대응 현황의 적정성 검토

○ 특정 IT 기술 활용(인공지능 시스템 등)에 따른 추가 평가지표의 수립 및 및 분석

- AI서비스와 공공서비스 연계 기반 구축에 사용된 학습 시스템 및 데이터, 인공지능 시스템 운영 및 관리 등의 적정성 검토

○ 기타 관련 법령에 따라 수행이 필요한 부분 등 분석

※ 기타 관련 법령: 개인정보 보호법, 정보통신망 이용촉진 및 정보보호 등에 관한 법률, 위치정보의 보호 및 이용 등에 관한 법률, 인공지능 발전과 신뢰 기반 조성 등에 관한 기본법 등

○ 영향평가 결과에 따른 개선계획 수립 및 개선조치 기술지원

- 개인정보 흐름 및 개인정보 침해요인 분석, 위험평가를 실시 후 도출된 개인정보 침해요소에 대해 관련 법규, 지침 등 관련 내용을 반영하여 개선방안 및 개선계획 수립

- 개선조치에 대한 기술지원 및 반영 검토, 개인정보보호교육 지원

- 개인정보보호 관련 기술 및 개인정보보호 법률적 이슈사항 자문

○ 개인정보 영향평가 평가영역 및 세부분야

평가영역

평가분야

세부 분야

I. 대상기관

개인정보보호 관리체계

1.1. 개인정보보호 조직

개인정보보호책임자의 지정

개인정보보호책임자 역할수행

1.2. 개인정보보호 계획

내부관리계획 수립

개인정보보호 연간계획 수립

1.3. 개인정보 침해대응

침해사고 신고 방법 안내

유출사고 대응

1.4. 정보주체권리보장

정보주체 권리보장 절차 수립

정보주체 권리보장 방법 안내

Ⅱ. 대상시스템의 개인정보보호 관리체계

2.1. 개인정보취급자 관리

개인정보취급자 지정

개인정보취급자 관리ㆍ감독

2.2. 개인정보파일 관리

개인정보파일 대장 관리

개인정보파일 등록

2.3. 개인정보처리방침

개인정보처리방침의 공개

개인정보처리방침의 작성

2.4. 공공시스템 내부 관리계획

공공시스템 내부 관리계획 수립

Ⅲ.개인정보

처리단계별 보호조치

3.1. 수집

개인정보 수집의 적합성

동의 받는 방법의 적절성

3.2. 보유

보유기간 산정

3.3. 이용·제공

개인정보 제공의 적합성

목적 외 이용ㆍ제공 제한

제공시 안전성 확보

3.4. 위탁

위탁사실 공개

위탁 계약

수탁사 관리ㆍ감독

3.5. 파기

파기 계획 수립

분리보관 계획 수립

파기대장 작성

Ⅳ.대상시스템의 기술적 보호조치

4.1. 접근권한 관리

계정 관리

인증 관리

권한 관리

4.2. 접근통제

접근통제 조치

인터넷 홈페이지 보호조치

업무용 모바일기기 보호조치

4.3. 개인정보의 암호화

저장시 암호화

전송시 암호화

4.4. 접속기록의 보관 및 점검

접속기록 보관

접속기록 점검

접속기록 보관 및 백업

4.5. 악성프로그램등 방지

백신 설치 및 운영

보안업데이트 적용

4.6. 물리적 접근방지

출입통제 절차 수립

반출ㆍ입 통제 절차 수립

4.7. 개인정보의 파기

안전한 파기

4.8. 기타 기술적 보호조치

개발 환경 통제

개인정보 처리화면 보안

출력시 보호조치

4.9. 개인정보 처리구역 보호조치

보호구역지정

Ⅴ. 특정 IT 기술

활용 시 개인정보

보호

5.1. 고정형 영상정보 처리기기

고정형 영상정보 처리기기 설치 운영계획 수립

고정형 영상정보 처리기기 설치 시 의견수렴

고정형 영상정보 처리기기 설치 안내

고정형 영상정보 처리기기 사용 제한

고정형 영상정보 처리기기 설치 및 관리에 대한 위탁

5.2 이동형 영상정보 처리기기

영상정보 촬영 및 안내

영상정보 촬영 사용제한

영상정보 촬영 및 관리에 대한 위탁

5.3 생체인식정보

원본정보 보관 시 보호조치

5.4 위치정보

개인위치정보 수집 동의

개인위치정보 제공 시 안내사항

5.5 가명정보

가명정보의 처리

가명정보의 안전조치의무 등

5.6 자동화된 결정

자동화된 결정에 대한 정보주체의 권리 등

5.7 인공지능(AI)

AI 시스템 학습 및 시스템 개발

AI 시스템 운영 및 관리

※ 개인정보 영향평가 기관의 현황분석에 따라 본 사업에서 제외되는 평가항목은 발주기관과 협의하여 제외 등 조정할 수 있음

2. 영향평가 방법 및 절차

○ 문서 확인, 인터뷰, 현장방문을 통한 실사 등의 방법을 병행

○ 개인정보 영향평가 대상 사업에 적용되는 개인정보보호 관련 법령ㆍ지침 및 가이드라인ㆍ내부지침 등 관련 정책 분석

○ 개인정보의 종류ㆍ성질, 정보주체의 수, 개인정보의 흐름 및 개인정보 침해 요인 분석, 위험평가 실시

○ 개인정보보호 관련 법령, 지침 등 관련 내용을 반영한 개선방안 및 개선계획 수립

[그림] 개인정보 영향평가 수행 절차

※ 평가방법 및 절차는 「개인정보 영향평가 수행 안내서」(‘25.10)에 따라 수행

- 사업 수행 전 개인정보 영향평가 수행 안내서가 신규로 발행될 경우 해당 안내서를 기준으로 영향평가 수행 필요

※ 개인정보 영향평가에 관한 고시(행정안전부고시 제2024-10호)」및「개인정보의 안전성 확보조치 기준 고시(행정안전부고시 제2023-6호)」준수

3. 추진 일정(안)

○ 계약일로부터 ~ ‘26.12.23.까지(약2.5개월)이며, 대상사업(AI서비스와 공공서비스 연계 기반 구축)의 일정에 따라 계약기간 내 과업 수행

※ 계약일은 개인정보 영향평가 대상사업의 추진일정에 맞춰 변경될 수 있음

추진 내용

추진일정

M

□ 사전분석

․ 역할 정의

․ 평가계획 수립

□ 개인정보 영향평가

․ 평가자료 수집 및 분석

․ 개인정보흐름 분석

․ 침해요인 분석

□ 평개결과 정리

․ 개선계획 수립

․ 영향평가 보고서 작성 및 제시

4. 일반사항

○「개인정보 영향평가에 관한 고시(개인정보보호위원회고시 제2024-10호, 시행 2024.10.31)」와「개인정보의 안전성 확보조치 기준 고시(개인정보보호위원회고시 제2023-6호, 시행 2023. 9. 22.)」및『개인정보 영향평가 수행안내서』를 준수해야 함

○ 과업지시서에 명시되지 않은 사항은 발주기관 및 통합사업자와 협의․조정하도록 하며 본 사업 진행상 불가피하거나 마땅히 시행하여야 할 경미한 사항은 본 계약에 포함된 것으로 간주함

○ 본 사업의 목표달성을 위해 필요하다고 판단되는 추가적인 진단 및 방안 등을 제안할 수 있으며, 추가적인 제안 및 구현에 대한 모든 비용은 제안사가 부담함

- 사업 내용이 변경될 경우 사업변경절차에 따라 상호 협의하여 결정하며, 제안서 작성 시 제안요청서 요구사항에 명시되지 않았으나 주관사업자 판단으로 추가되어야 할 요구사항에 대해서는 별도 표시하여 추가 작성 가능

○ 제안사는 과업지시서에 기술된 요구사항을 기반으로 제안하되, 업무분석단계에서 보다 창의적인 방법으로 요구사항을 해석하고, 정제하여 사업에 반영

- 사업기간 중 본 과업지시서에 기술한 업무 외에 수요기관과의 상호협의에 따라 변동 가능

○ 본 사업에 대한 과업을 수행하면서 알게 된 사업과 관련된 모든 사항은 외부로 유출하거나 인용 불가함

- 배포된 과업지시서는 작성 목적 외 사용 및 제공 금지

- 사업 관련 정보(문서, 현황 등)는 수요기관의 승인 없이 외부에 공개 또는 제공 금지

- 과업 수행 중은 물론 사업 완료 후에도 비밀 준수

- 과업지시서 작성 시 열람한 대외비 자료 및 사업 수행 중 취득한 자료의 외부유출 문제 발생 시 사업자가 모든 민․형사상 책임을 지고 배상해야 함

○ 산출물에 포함된 주관기관과 관련된 주요 정보(대외비, 민감정보 등)는 본 사업 이외에 활용을 금지하며, 해당 정보를 본 사업 이외에 활용하였을 경우 사업자가 모든 민․형사상 책임을 지고 배상해야 함

○ 사업참여 인력은 본 사업의 개인정보 영향평가 현장점검 기간 동안 기 수행 중이거나 제안 중인 타 사업 일정과 중복될 수 없음

○ 본 사업은 단독 또는 공동계약(공동이행방식만 허용)으로 참여할 수 있음

○ 공동수급의 경우 공동수급업체 구성원은 국가를 당사자로 하는 계약에 관한 법률 시행령 제12조 및 동법 시행규칙 제14조 규정에 저촉되지 않아야 하며, 입찰참가자격을 충족하여야 함

○ 본 사업은 제안사가 직접 수행함을 원칙으로 함(하도급 불가)

5. 상세요구사항

○ 요구사항 총괄표

요청사항 구분

약자

설 명

요구사항수

컨설팅 요구사항

CSR

Customer Service Request

89

보안 요구사항

SER

Security Requirement

4

품질 요구사항

QUR

Quality Requirement

2

제약사항

COR

Constraint Requirement

1

프로젝트 관리 요구사항

PMR

Project Management Requirement

2

프로젝트 지원 요구사항

PSR

Project Support Requirement

2

합 계

19 20

○ 요구사항목록

요구사항

고유번호

요구사항 명칭

컨설팅 요구사항

CSR-001

개인정보 영향평가 일반사항

CSR-002

개인정보 영향평가 계획 수립

CSR-003

개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석

CSR-004

개인정보 영향평가 수행 요구사항 – 개인정보파일 분석

CSR-0045

개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인

CSR-0056

개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출

CSR-0067

개인정보 영향평가 수행 요구사항 – 개선 계획 수립

CSR-0078

개인정보 영향평가 수행 요구사항 – 영향평가 보고서 작성

CSR-0089

영향평가 이행점검 요구사항개인정보 영향평가 수행 요구사항 – 이행점검

보안 요구사항

SER-001

공통 보안요구사항

SER-002

사업 착수시 보안요구사항

SER-003

사업 수행시 보안요구사항

SER-004

사업 완료시 보안요구사항

품질 요구사항

QUR-001

품질관리 및 보증 방안

QUR-002

산출물 관리

제약사항

COR-001

계약의 일반사항 및 계약 이행 조건

프로젝트 관리 요구사항

PMR-001

사업수행 관리 및 업무보고 요구사항

PMR-002

사업수행 조직구성

프로젝트 지원 요구사항

PSR-001

교육계획 수립

PSR-002

개인정보 영향평가 보완 지원

○ 상세 요구사항

- 컨설팅 요구사항(CSR)

요구사항 고유번호

CSR-001

요구사항 명칭

개인정보 영향평가 일반사항

요구사항 분류

컨설팅 요구사항

응낙수준

필수

요구사항

세부내용

정의

영향평가 일반사항

세부

내용

◦‘범정부 초거대AI 공통기반 구현AI서비스와 공공서비스 연계 기반 구축’사업 대상으로 영향평가를 수행 (이하 ‘대상사업’)

◦관리적⋅기술적 보호조치의 적정성 및 법적 의무사항 준수여부 등을 확인하여야 함

◦「개인정보 영향평가에 관한 고시」 및 「공공기관 개인정보 영향평가 수행안내서」 등을 준용하여 사업을 수행하여야 함

◦개인정보보호 관리체계의 적정성 분석과 개선방안 수립을 수행하여야 함

- 기관의 개인정보보호 조직, 개인정보보호 추진계획, 개인정보보호방침, 개인정보 위탁 및 제공 시 안전조치, 개인정보 침해대응, 개인정보 처리구역 보호 등의 분석 및 개선방안 제시

- 대상시스템의 개인정보 취급자, 취급 내용, 보유기간 등의 적정성 및 개선방안 제시

◦개인정보 처리단계별 보호의 적정성 분석 및 조치방안을 마련하여야 함

- 개인정보 수집, 저장 및 보유, 이용 및 연계ㆍ제공, 파기단계에 이르는 각 단계별 보호조치의 적정성 분석

◦개인정보보호 점검결과에 따른 개선방안 및 후속조치방안을 마련하여야 함

- 개인정보보호 관련 법규 위반사항에 대한 개선방안 마련 등

- 개인정보영향평가 결과에 따른 시스템 개선방안 도출

* 개선방안 및 후속조치방안은 조치가 가능하도록 상세히 제시(내부정책자료의 경우 초안, 양식 제공 등의 컨설팅 지원)되어야 함

산출정보

요구사항 고유번호

CSR-002

요구사항 명칭

개인정보 영향평가 수행 요구사항 – 개인정보 영향평가 계획 수립

요구사항 분류

컨설팅 요구사항

응낙수준

필수

요구사항

세부내용

정의

개인정보 영향평가팀 구성 및 운영계획 수립

세부

내용

◦ 개인정보영향평가팀 구성 방안 및 운영계획 수립

- 평가하고자 하는 사업 자체에 대한 이해와 개인정보보호 관련 법제 및 정책ㆍ전략 수립, 기술ㆍ시스템 분석 및 정보보안(Security) 등의 광범위하고 다양한 전문지식과 정보를 보유한 기관 내 유관 부서, 사업을 구축하는 업체(개발용역업체), 외부 전문가(필요 시) 등으로 팀을 구성

- 영향평가팀에 참여하는 부서 및 유관기관 담당자의 역할 및 책임 배분

※ 역할 및 책임 배분 시 담당자의 업무를 명확히 정의하고 업무의 중복을 가급적 지양할 것

◦ 효율적인 평가 수행을 위한 영향평가 수행계획 수립

◦ 개인정보 영향평가 계획 수립

- 평가목적, 평가대상 및 범위, 평가주체(평가팀), 평가기간, 평가절차(방법), 주요 평가사항, 평가기준 및 항목, 자료 수집 및 분석 계획 등을 포함

산출정보

개인정보 영향평가팀 운영계획서, 개인정보 영향평가 수행 계획서, 개인정보 영향평가 지표(안)

요구사항 고유번호

CSR-003

요구사항 명칭

개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석

요구사항 분류

컨설팅 요구사항

응낙수준

필수

요구사항

세부내용

정의

내부 정책 평가자료의 수집 및 분석

세부

내용

◦ 개인정보보호 관련 기관 내부 정책 환경 분석의 적절성 확보

◦ 개인정보 영향평가를 위한 내부 정책 자료의 수집 및 분석

- (조직·체계 자료) 기관 내 개인정보보호방침, 개인정보 관리계획, 직제표, 개인정보 보호규정, 정보보안 규정 등의 분석

- (인적 통제·교육 자료) 개인정보 관련 조직 내 업무 분장표 및 직급별 업무 권한 현황, 정보시스템의 접근 권한에 대한 내부 규정, 시스템 운영자 및 정보취급자에 대한 교육계획, 위탁 업체 관리 규정 등의 분석

- (정보보안 자료) 방화벽 등 침입차단시스템 및 백신프로그램 도입 현황, 기존 유사 시스템 구조도 등의 분석

◦ 개인정보보호 관련 기관 외부 정책 환경 분석의 적절성 확보

◦ 개인정보 영향평가를 위한 외부 정책 자료의 수집 및 분석

- 공공기관에 공통적으로 해당되는 일반 정책 자료의 분석

- 대상사업에 한해 제한적으로 적용되는 특수 정책 자료의 분석(ex : 인공지능(AI) 보안 안내서(2025년 10월).pdf

- 개인정보보호 관련 법규 준수 여부 평가(법령, 지침, 가이드라인, 훈령 등)

◦ 대상사업 분석의 적절성 확보

◦ 대상사업 관련 자료의 수집 및 분석

- (사업수행자료) 사업추진 계획서, 제안요청서, 과제 수행 계획서, 요구사항 정의서, 업무매뉴얼 등의 분석

- (외부연계) 위탁 계획서, 연계 계획서 등의 분석

- (개발산출물) 시스템 설계서, 요건 정의서, 업무 흐름도, 기능 정의서, Data Flow Diagram, 테이블 정의서, 화면 설계서, 메뉴 구조도 등의 분석

산출정보

평가자료 분석서

요구사항 고유번호

CSR-004

요구사항 명칭

개인정보 영향평가 수행 요구사항 – 개인정보파일 분석

요구사항 분류

컨설팅 요구사항

응낙수준

필수

요구사항

세부내용

정의

대상 정보시스템을 통해 처리되는 개인정보파일의 식별

세부

내용

◦ 대상 정보시스템을 통해 처리되는 개인정보파일의 구분 및 정의

- 대상 정보시스템 운영 시 예상되는 개인정보파일을 관련 산출물 분석 및 담당자 인터뷰 등을 통해 식별

- 식별된 개인정보파일에는 개인정보파일 운영목적, 운영근거, 개인정보항목, 개인정보 보유기간, 개인정보 제3자 제공, 현황, 담당부서 등이 식별되어야 함

산출정보

개인정보파일 개요서

요구사항 고유번호

CSR-0054

요구사항 명칭

개인정보 영향평가 수행 요구사항 – 개인정보 처리 흐름 분석확인

요구사항 분류

컨설팅 요구사항

응낙수준

필수

요구사항

세부내용

정의

평가대상 업무 현황 분석 자료 검토, 평가대상 업무 흐름도 작성, 개인정보 흐름도 작성, 개인정보 흐름표 작성, 정보시스템 구조도 및 정보보호 시스템 목록 작성

세부

내용

◦ 대상사업을 면밀히 분석하고 업무를 정의하여, 해당 사업을 통해 처리되는 업무 중 개인정보 취급이 수반되는 업무를 도출

◦ 개인정보 처리업무 현황 분석 자료 검토

- 대상 정보시스템 개발 관련 산출물 분석 및 담당자 인터뷰 등을 통해 수행

- (영향평가 업무명) 영향평가 대상시스템에서 개인정보가 취급되는 업무를 주요 업무단위로 기재

- (취급 개인정보) 평가 업무명 단위로 취급되는 개인정보 기재

- (개인정보 영향도) 취급개인정보의 중요도에 따라 영향도를 산정

※ 개인정보 처리업무 현황 분석으로 도출된 업무별로 개인정보 취급 업무 흐름표 작성할 것

◦ 도출된 개인정보 취급 업무별로 개인정보 취급 업무표의 개인정보 취급 업무별 세부 업무절차를 작성

◦ 개인정보 처리업무 흐름도 작성

- 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성

※ 개인정보 업무 흐름도는 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계 기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성할 것

◦ 개인정보 취급 단계별로 취급되는 개인정보 현황 및 처리 내역 등을 용이하게 식별 할 수 있도록 개인정보 흐름표를 작성

◦ 개인정보를 취급 업무별로 개인정보의 수집·보유·이용/제공·파기로 구분하여 구체적으로 작성

◦ 개인정보 흐름표 작성

- 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성

※ 개인정보 흐름표에는 업무명을 기반으로 개인정보의 수집·보유·이용/제공-파기에 이르는 Life-Cycle 별 현황 등을 기재하여 개인정보의 흐름을 한눈에 이해할 수 있도록 작성할 것

◦ 개인정보 취급이 수반되는 업무별로 개인정보의 수집·보유·이용/제공·파기되는 개인정보의 흐름을 한 눈에 파악할 수 있도록 개인정보 흐름도를 작성

◦ 개인정보 흐름도 작성

- 개인정보와 관련한 업무를 기재하고, 업무와 관련하여 개인정보 취급과 관련한 담당자 및 담당부서, 정보주체 등을 포함하여 기재

- 개인정보를 취급하는 관련업무, 취급과 관련하여 사용되는 매체(PC, 노트북, 신청서 등의 문서)와 수집한 개인정보를 처리할 때 관련한 IT시스템(DB, 웹서버 등)을 표시하고 각 요소들 간의 이동 시 전송되는 개인정보 항목을 기재

※ 개인정보 흐름도는 개인정보를 취급 업무별로 개인정보 흐름표를 기준으로 수집ㆍ보유ㆍ이용/제공ㆍ파기 등의 생명주기를 기반으로 해당 업무처리자 및 시스템의 구성사항을 고려하여 구체적으로 작성할 것

◦ 정보시스템 구조도 작성

◦ 정보보호 기술적·물리적·관리적 보안 메커니즘 목록 작성

※ 방화벽, 침입탐지시스템과 같은 보안 메커니즘을 포함하여 전송 데이터 암호화, DB 암호화 등 개인정보보호를 위한 기술적·물리적·관리적 보안 메커니즘의 타당성을 검토할 것

산출정보

개인정보 취급 업무흐름표 및 업무흐름도, 개인정보 현황표, 개인정보 처리업무 흐름도, 개인정보 흐름표 및 흐름도, 정보시스템 구조도 및 정보보호 시스템 목록

요구사항 고유번호

CSR-0065

요구사항 명칭

개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출

요구사항 분류

컨설팅 요구사항

응낙수준

필수

요구사항

세부내용

정의

◦ 평가 기준 수립 및 개인정보보호 조치 사항 파악을 위한 평가항목 작성

◦ 자료 분석, 현장 실사, 담당자 인터뷰 등을 통해 개인정보보호 조치 현황 파악

◦ 도출된 개인정보 침해 요소에 대한 위험도 산정

◦ 침해요소에 대한 위험 관리 방안 수립

세부

내용

◦ 「개인정보 영향평가 안내서」의 영향평가 항목을 기준으로 영향 평가영역을 구성

◦ 영향평가 기준 및 평가항목 수립

- 개인정보 취급 업무 및 개인정보 흐름이 다수 존재하는 경우에는 각 흐름별로 평가항목을 각각 작성

- 평가항목 외에도 관련 근거, 항목 설명, 확인 자료 등을 제시하여 작성

◦ 개인정보 조치사항 및 계획 등을 파악

◦ 평가기준 및 평가항목에 따라 자료분석, 현장실사, 담당자 및 취급자 대상 인터뷰를 통한 분석 수행

◦ 개인정보 흐름분석 시 도출된 업무 흐름표를 활용하여 개인정보 라이프 사이클별로 구분한 후, 위험요소별 개인정보 침해요인 분석

◦ 위험요소 분석 및 위험도 산정

- 자산별 침해요인 연계 개념도 작성

- 중요도와 취약점, 위협요소 등을 고려하여 위험요소 분석 및 위험도 산정

◦ 위험도의 우선순위에 따라 나열하여 해당 기관이 수용 가능한 수준을 정하여 단기, 중·장기로 구분하여 개선방안을 도출

산출정보

개인정보 평가 기준 및 평가항목 정의서, 개인정보 보호조치 현황 분석서, 개인정보 침해요인 위험도 산정표, 개인정보 침해요인별 개선방안표

요구사항 고유번호

CSR-0076

요구사항 명칭

개인정보 영향평가 수행 요구사항 – 개선 계획 수립

요구사항 분류

컨설팅 요구사항

응낙수준

필수

요구사항

세부내용

정의

개선 과제 도출 및 계획 수립

세부

내용

◦ 도출된 개인정보 침해요소 및 도출된 개선방안을 기반으로 개선 과제 도출

- 위험 요소를 제거하거나 최소화할 수 있는 대처 방안 마련

- 위험 요소 해결을 위해 유사 사례에 대한 벤치마킹 등을 수행

- 담당자(개인정보취급자)들이 취약 사항을 시정하기 위해 취해야 할 조치사항과 책임 사항 등을 마련

◦ 법적 쟁점사항 발생시 개인정보보호 관련 전문가 또는 변호사, 법학교수 등에 법률 자문

◦ 개선계획은 위험평가를 참고하여 위험도가 높은 순서의 개선방안을 먼저 실행하도록 개선계획표 작성

- 당해 기관 내 보안 조치 현황, 예산, 인력, 정보화 사업 일정 등을 고려

산출정보

개선과제 정의서, 개선계획표

요구사항 고유번호

CSR-0087

요구사항 명칭

개인정보 영향평가 수행 요구사항 – 영향평가 보고서 작성

요구사항 분류

컨설팅 요구사항

응낙수준

필수

요구사항

세부내용

정의

개인정보 영향평가 결과 보고서 작성 및 주요 이슈 사항 검토

세부

내용

◦ 개인정보 영향평가 결과서 작성

- 영향평가 전 과정 및 산출물을 정리하여 개선계획서, 영향평가서 등 결과 보고서 작성

- 「개인정보 영향평가에 관한 고시」 별지 제12호 서식에 따라‘개인정보 영향평가서 개요’를 작성하여 영향평가서에 포함

◦ 시스템 성능진단

- 신규 구축서비스 및 시스템에 대한 성능진단 실시 및 결과보고

◦ 보안취약점 점검

- 신규 구축 정보조회서비스 및 정보유통서비스 전반에 대한 취약점 진단을 실시하고, 주요 취약점에 대한 소스코드를 분석·검증

◦ 주요 이슈 사항 검토

- 잔존 위험이나 이해관계자 간의 의견 충돌이 있는 경우에는 최고의사 결정권자(기관장 등)를 토론에 참여시킴으로써 해당 사업의 중단·지속 여부 및 개인정보보호 정도에 대한 합의 도출

산출정보

개인정보 영향평가 결과 보고서, 개인정보 영향평가 요약본, 시스템 테스트결과서 (성능진단결과보고서), 보안취약점점검 결과보고서

요구사항 고유번호

CSR-009

요구사항 명칭

개인정보 영향평가 수행 요구사항 – 이행점검

요구사항 분류

컨설팅 요구사항

응낙수준

필수

요구사항

세부내용

정의

개인정보 영향평가 미흡사항에 대한 이행점검 및 지원에 관한 사항

세부

내용

❍ 시스템 구축 수행사가 협의한 일정대로 개인정보 영향평가 결과물에 대한 개선 방안을 이행하였는지에 대해 이행점검

❍ 이행점검 결과 미흡한 부분은 원인 등을 분석하여 계획대로 이행될 수 있도록 조치방안을 제시하고 개선이 완료될 때까지 지원하여야 함

- 개선사항으로 지적된 부분의 이행확인서를 개인정보보호위원회에 제출하기 전까지 해당 내용에 대한 사후검토 등 작성 지원

(기술 자문 및 조치방안 제시, 이행확인서 작성 지원)

❍ 수행기관은 개인정보영향평가 결과물을 개인정보보호위원회에 제출 후 지적된 사항에 대한 보완을 지원해야 함

산출정보

개인정보 영향평가 이행점검 게획서/결과서, 조치내역서

- 보안 요구사항(SER)

요구사항 고유번호

SER-001

요구사항 명칭

공통 보안요구사항

요구사항 분류

보안 요구사항

응낙수준

필수

요구사항

세부내용

정의

공통 보안

세부

내용

◦ 당해 업무수행 과정을 통하여 취득한 정보는 절대 외부에 누설, 유출해서는 안되며, 이를 위반한 경우에는 민·형사상 또는 관계법규에 따라 조치함

◦ 과업수행 인력의 전산실 출입 등 업무수행 시 발주자가 요구하는 보안관련 규정을 충실히 이행하여야 함

◦ 「개인정보 보호법」준수

◦ 대검찰청 정보보안업무지침 준수

◦ 기타 정보보호 관련 법규 및 지침 준수

- 행정기관 등 웹사이트 운영 가이드라인(행정안전부)

- 공공기관의 개인정보보호를 위한 기본지침(행정안전부)

◦ 참여인원 보안

- 참여인원은 보안서약서를 작성제출하고 임의교체 불가

- 보안의식 강화를 위한 주기적인 보안 교육 및 실태 점검

- 사업관련 자료 보유 불가, 사업수행으로 취득한 정보에 대한 외부유출, 누설금지 등 비밀유지의무 준수, 위반 시 관련 법령에 의한 처벌

- 사업 착수 시 대표명의 보안서약서, 완료 시 대표명의 확약서

◦ 자료보안

- PC 등 장비의 반출입에 대해 관리대장에 등록 및 관리

- 자료관리대장 작성, 시건장치가 된 보관함에 서류보관

- 비인가자에게 제공대여열람 금지

- 전자우편을 이용할 경우 참여인원의 회사메일 사용, 첨부자료 암호화하여 수발신, 대외비 이상은 전자우편을 이용한 자료 수발신 금지

- 본 사업과 관련이 있는 모든 기록 및 자료에 대하여 발주기관의 사전 승인 없이는 이용(반출, 인용, 공개 등 유･무형의 행위)할 수 없으며, 사업종료 시 완전 폐기 또는 반납하여야 하며, 발주기관에서 요구하는 보안사항을 철저히 준수하여야 한다.(미이행시 위약금 부과)

- 사업 수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 ‘누출금지 대상정보’에 대한 보안관리계획을 제안서에 기재하여야 하며, 해당 정보 누출 시 발주기관은 국가계약법 시행령 제76조에 따라 사업자를 부정당업체로 등록

산출정보

요구사항 고유번호

SER-002

요구사항 명칭

사업 착수시 보안요구사항

요구사항 분류

보안 요구사항

응낙수준

필수

요구사항

세부내용

정의

사업 착수시 보안

세부

내용

◦ 사업수행에 사용되는 문서, 인원, 장비 등에 대한 물리적, 관리적, 기술적 보안대책 및 보안관리 계획을 수립하여 용역에 투입되는 인력(대표자 포함)에 대한 보안서약서와 함께 제출하여야 하며, 해당 정보 누출시 주관기관은 「국가를 당사자로 하는 계약에 관한 법률」 시행령 제76조에 따라 해당 사업자를 부정당업체로 등록

◦ 투입인력에 대해 법률 또는 규정에 의한 비밀유지의무 준수 및 위반 시 처벌내용 등에 대한 보안교육 실시

산출정보

요구사항 고유번호

SER-003

요구사항 명칭

사업 수행시 보안요구사항

요구사항 분류

보안 요구사항

응낙수준

필수

요구사항

세부내용

정의

사업 수행시 보안

세부

내용

◦ 보안인식 강화를 위하여 주기적으로 자체 보안교육을 실시하여야 하며, 주관기관이 요구하는 보안교육에 참석해야 함

◦ 사업수행 중 주관기관의 보안정책을 위반하였을 경우, 위규자 및 관리자를 행정조치하고, 보안위약금을 주관기관에 납부하여야 함

◦ 과업수행을 위해 제공받은 내부자료에 대해 용역수행책임자(PM)는 “자료관리대장”을 작성하여, 인수인계시 직접 서명·관리해야 함

산출정보

요구사항 고유번호

SER-004

요구사항 명칭

사업 완료시 보안요구사항

요구사항 분류

보안 요구사항

응낙수준

필수

요구사항

세부내용

정의

사업 완료시 보안

세부

내용

◦ 사업 수행과정상 취득한 모든 자료와 정보는 사업수행 중은 물론, 사업완료 후에도 이를 유출해서는 안 되며, 사업종료 시 정보보안담당자 입회하에 반환, 소각 및 완전 폐기 등 필요한 조치 이행

◦ 사업 종료시, 사업수행업체의 노트북, PC 등은 포맷 후 반출

◦ 제공받은 제반자료, 장비, 서류와 중간ㆍ최종산출물 등을 전량 반납하고, 업체에 복사본 등 별도 보관은 금지한다.

산출정보

- 품질 요구사항(QUR)

요구사항 고유번호

QUR-001

요구사항 명칭

품질관리 및 보증 방안

요구사항 분류

품질 요구사항

응낙수준

필수

요구사항

세부내용

정의

품질관리 및 보증 방안

세부

내용

◦ 사업자는 최근의 자료를 이용하여야 하며, 지침 등에 저촉되지 않도록 함

◦ 사업자는 각종 과업을 신중히 검토하여야 하며, 그 정당성, 정확도 및 안정성 등에 섬세하고 세밀한 평가를 하여야 함

◦ 본 사업 수행목적으로 사용한 모든 공식자료 및 통계는 서면으로 그 근거를 제시하여야 함

◦ 사업자는 본 사업에 관련된 모든 보고서의 조사․분석된 사항과 정리된 자료의 출처, 연도, 참고사항 등과 분석 자료 등 이에 관련된 기타서류를 제출함

산출정보

요구사항 고유번호

QUR-002

요구사항 명칭

산출물 관리

요구사항 분류

품질 요구사항

응낙수준

필수

요구사항

세부내용

정의

품질관리(프로젝트 관리 관점)

세부

내용

◦ 선정된 사업자는 사업추진 과정에서 생산되는 제반 작업 단위별 산출물에 대하여 작업 일정계획 및 품질보증계획과 연계하여 산출물의 종류, 주요 내용, 작성 및 제출 시기, 제출 부수 등을 제시하여야 함

◦ 산출물 관리방안을 제시하여야 함

산출정보

산출물 관리계획서

- 제약사항(COR)

요구사항 고유번호

COR-001

요구사항 명칭

계약의 일반사항 및 계약 이행 조건

요구사항 분류

제약사항

응낙수준

필수

요구사항

세부내용

정의

계약의 일반사항 및 계약 이행 조건

세부

내용

◦ 사업자가 계약의무를 다하지 못하였을 경우 지연배상금은 「지방자치단체를 당사자로 하는 계약에 관한 법률 시행령」제90조(지연배상금), 「지방자치단체 입찰 및 계약 집행기준」용역계약 일반조건에 따름

◦ 사업자는 규정에 의한 분쟁이 발생 시, 분쟁 기간 중 용역의 수행을 중지할 수 없음

◦ 발주기관과 사업자가 상호협의 시에도 문제를 해결하지 못하고 부득이 소송할 필요가 있을 때에는 발주기관의 주소지 관할법원으로 함

◦ 본 계약에 정하지 아니한 사항이나 본 계약의 각 조항과 다른 사항을 특약할 경우에는 발주기관과 사업자가 따로 서면으로 합의함으로써 그 효력을 발생

◦ 손해배상 책임

- 계약업체는 사업 대상 시스템 취급 시 관리자로서의 의무를 충실히 시행

- 계약업체의 부주의, 고의 또는 과실로 대상 시스템을 망실, 훼손한 것과 사고에 대하여 손해를 끼쳤을 경우 계약업체는 그에 상응한 보상 또는 교환 등의 손해배상 책임을 짐

- 계약업체는 지연처리로 인하여 피해가 발생하였을 경우에는 이에 대한 손해배상 책임을 짐

- 계약업체는 본 사업기간동안 정보를 수집, 가공에 있어 위법 또는 부당한 방법을 사용해서는 안 되며, 발주자가 제공한 정보 및 자료와 관련하여 저작권법 및 기타관련법 등에 따른 권리 침해를 이유로 국내외의 제3자로부터 소송, 청구, 이의제기, 형사고소 등을 당한 경우에는 계약업체는 자신의 책임과 비용으로 주관기관(대검찰청)의 권리를 보호하며, 그에 따라 주관기관이 입은 일체의 손해를 배상해야 함

산출정보

- 프로젝트 관리 요구사항(PMR)

요구사항 고유번호

PMR-001

요구사항 명칭

업무보고 요구사항

요구사항 분류

프로젝트 관리

응낙수준

필수

요구사항

세부내용

정의

업무 보고 및 산출물 관리

세부

내용

◦ 계약일로부터 10일 이내 제출 서류

- 착수계

- 사업수행계획서(일정표/사업 목적 및 범위/산출물 목록 및 정의서/사업관리, 품질관리 방법 및 절차서/보안관리 계획/인력투입 계획/교육지원 계획/비상 연락체계/기타 사업 추진 시 고려사항 등 사업관련 내용을 상세하게 기술)

- 업체대표 및 참여인력에 대한 재직증명서, 보안서약서, 개인정보보호 서약서

- 개인정보처리위탁 계약서, 비밀유지 계약서, 외주 용역사업 보안특약서

◦ 협의된 양식에 의거 정기보고서(주간, 월간 등)를 작성/제출하고 업무보고를 실시하여야 한다.

◦ 사업 종료 7일 전까지 결과보고서(요약보고서 포함) 제출

- 대표자 보안 확약서, 교육자료 제출

◦ 사업 완료 후 이행점검 계획서(점검 후 이행점검 결과보고서) 제출

◦ 사업진행 중 착수보고회, 완료보고회를 개최하여야 하며 개최방법은 주관기관과 협의한다.

◦ 사업수행 중 발생하는 비정기적인 사안에 대해서 주관기관은 수시보고서 제출을 요구할 수 있다.

산출정보

사업수행계획서, 결과보고서, 정기보고서

요구사항 고유번호

PMR-002

요구사항 명칭

사업수행 조직구성

요구사항 분류

프로젝트 관리

응낙수준

필수

요구사항

세부내용

정의

사업수행 조직구성

세부

내용

◦ 본 사업을 수행할 추진 조직, 인력 구성 및 프로파일과 단계별 인력 투입계획 및 역할, 투입률 등을 제시하여야 하고, 투입인력의 기술 수준을 상세히 제시하여야 하며, 추후 인력은 본 기관의 동의 없이 사업자 임의로 변경할 수 없음

- 용역 수행 책임자(PM)는 반드시 주관사업자 소속이어야 한다.

- 특별한 사유가 없는 한 인력 교체는 불가하며, 불가항력 사유로 인력교체 필요 시 인력교체 안정화 및 품질저하방지대책을 제시해야 함

◦ 프로젝트 추진 일정에 따른 인력 투입계획을 제시하여야 함

◦ 참여인력은「개인정보 영향평가에 관한 고시 제5조(영향평가 수행인력 자격)」의 수행인력 자격을 갖추어야 함

◦ 사업자는 투입인력의 개인정보 영향평가 관련 자격 및 경력, 기술등급 등을 확인할 수 있는 서류(자격증 사본, 경력증명서 또는 소프트웨어산업협회의 SW기술자경력증명서 등)를 제안 시 제출해야 함

산출정보

- 프로젝트 지원 요구사항(PSR)

요구사항 고유번호

PSR-001

요구사항 명칭

교육계획 수립

요구사항 분류

프로젝트 지원

응낙수준

필수

요구사항

세부내용

정의

교육계획

세부

내용

◦ 개인정보 영향평가 결과물에 대한 사항을 전문가를 통해 담당자에게 교육을 실시하여야 함

◦ 사업수행기간 중 개인정보에 필요한 교육을 실시하며, 사업수행계획서에 교육계획서를 포함하여 제출하여야 함

- 전 직원 및 개인정보취급자 대상 교육

- 교육에 필요한 교재 및 소요경비는 업체가 부담

◦ 개인정보 영향평가 결과물로 주관기관의 업무 처리시 유의사항을 정리하여 직원교육용 자료를 제공하여야 함

◦ 사업종료 이후에도 추가적인 교육 요구 및 개인정보보호에 대한 자문 역할을 수행하여야 함

산출정보

교육계획서 및 교육자료

요구사항 고유번호

PSR-002

요구사항 명칭

개인정보 영향평가 보완 지원

요구사항 분류

프로젝트 지원

응낙수준

필수

요구사항

세부내용

정의

개인정보 영향평가 보완 지원

세부

내용

◦ 개인정보 영향평가 결과물을 행정안전부에 제출 후 지적된 사항에 대한 보완을 위하여 사업자는 지원체계, 인력을 제시하여야 함

- 행정안전부에 제출한 영향평가서에 대한 보완이 있을 경우 사업자는 추가비용 없이 영향평가서를 보완하여야 함

◦ 개인정보 영향평가 개선방안 이행 점검 내용을 필히 포함하여야 함

산출정보

개인정보 영향평가 보완자료

Ⅲ

준수사항

1. 일반사항

○ 용역사는 과업내용서 및 관련 법 규정에 의하여 수행함을 원칙으로 하며, 과업내용서의 문구, 용어의 해석과 과업의 범위 등에 대하여 발주기관과 의견을 달리하는 경우는 상호간 협의를 통해 정함

○ 본 과업 수행으로 인하여 제3자의 권리침해, 불법S/W 및 특허권 등 사용으로 법적․물질적 위반할 경우 용역사가 모든 책임을 짐

○ 계약 후 10일 이내에 다음사항이 포함된 착수계를 제출하여야 함

- 사업수행계획서 1부

- 보안관리 계획서(보안서약서 포함)

- 산출내역서 1부

- 참여인력 이력서 및 소프트웨어기술 경력증 또는 소프트웨어기술자 경력증명서 등 소프트웨어 경력 증빙자료

○ 과업 완료 7일 전에 최종보고서(안)을 발주처에 제출 협의 후 수정사항에 대해서는 즉시 보완토록 하고 보고서 작성과정에서 항상 발주처와 긴밀한 협의를 하여야 함

○ 본 과업 수행 상 특별한 사유가 없는 한 다음과 같은 행위가 발생하였을 때에는 계약위반 행위로 간주하여 관계규정에 의거 조치할 수 있음

- 발주기관의 지시사항을 기한 내에 이행하지 않을 때

- 계약기간 내에 과업을 충실히 완료할 능력이 없거나 현저하게 수행 공정이 미달될 때

- 용역사의 부주의로 인한 과실이 인정될 때

2. 참여인력 관리

○ 발주기관은 참여인력이 임무 수행에 있어 부적당하다고 판단되거나 태만하다고 인정될 때에는 해당요원의 교체를 요구할 수 있음

○ 참여인력을 부득이한 사유로 인하여 교체하고자 할 경우에는 반드시 사전에 발주기관의 승인을 득하여야 함

○ 참여인력은 반드시 동급이상의 기술자이어야 하며 인계인수를 위한 중복 투입기간(7일 이상)을 충분히 확보하여야 함

○ 본 사업의 투입인력은 업무일과시간의 100%를 통합사업자의 사업장에서 상주하여 개인정보영향평가를 실시하여야 함

3. 보고서 및 산출관리

○ 용역사는 다음의 보고체계를 갖추어 보고서를 제출하여야 함

구 분

보고서

시기

보고 내용

착수보고

사업수행계획서

계약 후

10일 이내

- 사업범위, 사업추진일정계획,

인력 투입계획, 보안관리계획 등

최종보고

최종보고서

사업종료전

7일 이내

- 사업수행내역 및 최종결과보고

수시 보고

수시 보고서

요구시

- 긴급 변경사항, 서면 요구사항

※ 발주기관과 용역사가 협의하여 보고회를 개회할 수 있으며 모든 성과품은 관련 원본파일을 포함하여 산출물 인쇄물 추가 요청 시 즉시 제출

4. 준공 및 정산

○ 본 과업이 정상적으로 종료되었을 경우, 용역사는 준공검사를 계약종료일까지 공문에 의해 제출

○ 발주기관은 과업비의 단가적용, 과업물량 및 정산에 대한 부당함이 발견되었을 경우에는 그에 해당하는 금액을 감액 또는 환불 가능

5. 보안준수사항

○ 용역사는 과업수행과정에서 취득한 정보, 참고자료, 산출물, 반․출입하는 각종 전산장비에 대해 주관기관이 규정하는 관리계획과 보안대책을 수립․시행하여야 함

○ 참여인력 전원 보안서약서를 작성하여 제출하고 서약내용을 반드시 준수하여야 함

6. 기타 유의사항

○ 제안사는 세부운영계획을 변경할 경우 과업 변경내용을 발주기관에 사전 통보하여 승인 후 추진

- 본 사업의 사업관리자(PM) 및 전담인력은 본 사업의 수행기간 동안 특별한 사정이 없는 한 변경할 수 없음

※ 변경이 필요한 경우에는 발주기관으로부터 반드시 사전승인 필요

○ 본 사업의 수행 결과물(계약목적물)에 대한 지식재산권은 발주기관과 계약상대자가 공동으로 소유

- 별도의 정함이 없는 한 지분은 균등한 것으로 정함

※ 다만, 계약예규 용역계약 일반조건 제 56조(계약목적물의 지식재산권 귀속 등)에 따라 개발의 기여도 및 계약목적물의 특수성(국가안전보장, 국방, 외교관계 등)을 고려하여 계약당사자간의 협의를 통해 지식재산권 귀속주체 등에 대해 공동소유와 달리 정할 수 있음

- 지식재산권의 타용도 및 상업적 활용 시 반드시 발주기관과 협의

○ 사업 추진 시 천재지변, 전염병(코로나바이러스감염증-19 등) 등 불가항력적인 상황에 따라, 과제의 전부 혹은 일부를 변경, 계약해제 또는 해지할 수 있음

- 과제를 변경하고자 할 경우 계약상대자와 상호 협의하여 재정경제부 계약예규 "용역계약일반조건" 제16조에 따라 계약을 변경할 수 있음

- 계약의 해제 또는 해지는 재정경제부 계약예규 “용역계약일반조건” 제30조에 따름

- 불가항력에 따른 손해가 발생한 경우에는 재정경제부 계약예규 “용역계약일반조건” 제24조에 따라 별도의 회계법인을 지정하여 손해 상황 조사‧확인한 후 용역금액을 변경하거나 손해액의 부담 등에 대하여 상호협의해야 함

○ 제안사가 국가를 당사자로 하는 계약에 관한 법률 제27조 및 같은법 시행령 등에 따른 부정당업자에 해당하는 사유가 발생할 경우, 제안사는 관련 법령에 따라 입찰참가자격 제한 등의 제재를 받을 수 있음

Ⅳ

제안서 작성 안내

1. 제안서의 효력

○ 제출된 제안서의 내용은 변경할 수 없으며, 계약체결 시 계약조건의 일부로 간주함

○ 제안서에 제시된 내용과 수정‧보완‧변경된 제안내용은 계약서에 명시되지 않더라도 계약서와 동일한 효력을 가짐. 단, 계약서 사항과 제안서의 내용이 상이한 경우에는 계약서 사항이 우선 적용됨

○ 추가 제안 및 자료는 제안서와 동일한 효력을 가지며, 제안서는 제안서 제출 이외의 다른 목적으로 사용되어서는 안됨

2. 제안서 제출 안내

○ 제안서 등 입찰 서류 제출 일정 및 방법은 입찰 공고문 참조

3. 제안서 작성 지침 (권고사항)

○ 제시된 목차 및 작성 지침을 준용하여 제안서를 작성하고, 제안요청서의 요구사항들이 제안서의 어느 부분에 기술되었는지 참조표를 제시해야 함

○ 제안서류 일체는 PDF파일 형식으로 제출하여야 하며, 총 용량은 300MB를 초과할 수 없음.

- 제안서 본문 내용(별지제외)은 100페이지 이내로 작성을 권고함

○ PDF파일은 최대 4개까지 제출가능하며, 제안서 내용에 대한 증빙파일 등은 기타서류로 병합하여 제출하여야 함

※ 제안서, 제안요약서, 기타서류 2부

○ 제안서 내용을 객관적으로 입증할 수 있는 관련 자료는 제안서의 별첨으로 제출하여야 함

○ 제안서의 내용은 “명확한 용어를 사용하여 표현”하여야 함. 예를 들어, ‘사용가능하다’, ‘할 수 있다’, ‘고려하고 있다’ 등과 같이 모호한 표현은 확인가능한 내용으로 기재하여야 하며, 계량화가 가능한 것은 계량화하여야 함

○ 상기 제안요청서에 기술되지 않았어도 본 사업을 추진하는데 있어 필수적이라고 판단되는 사항은 제안범위에 포함

○ 제안서의 구성 및 목차는 가능한 한 제안서 작성요령에 의해 작성하여야 하며, 증빙과 관련된 자료는 각 절에 첨부하여야 함

○ 작성 지침에 명시되지 않은 내용에 대한 추가적인 제안사항이 있는 경우, 해당항목에 포함 또는 별도의 항목을 추가하여 작성할 수 있으며, 또한 작성지침 항목 중 해당사항이 없는 경우는 해당 항목에 "해당 없음"으로 간략히 기술해야 함

○ 제안서의 모든 내용은 객관적으로 입증할 수 있어야 하며, 그 내용이 허위로 확인될 경우 또는 입증요구에 입증하지 못하는 경우는 평가 대상에서 제외됨

○ 제안내용을 보충하기 위하여 참고문헌 활용 시 참고문헌 목록을 첨부하고, 그 출처를 알 수 있도록 정확히 표기하여야 함

○ 제안요약서는 반드시 50페이지 이내로 작성하여 제출하여야 함

4. 유의사항

○ 제안요청서 및 입찰공고 등에 포함되지 않은 사항은 국가를 당사자로 하는 계약에 관한 법률, 협상에 의한 계약 체결 기준, 공동계약 운용요령 등 국가계약관련 법령을 준용함

○ 제출된 제안서에 기재된 내용은 사실과 일치하여야 하며, 수정, 추가 또는 대체할 수 없음

○ 발주기관은 제안내용에 대한 확인을 위하여 추가자료를 요청할 수 있으며, 이 경우 입찰참가자는 이에 응하여야 함

○ 수요기관은 제안서의 내용이 사실과 다른 경우 해당 제안사를 협상대상에서 제외할 수 있음

○ 계약 상의 사업을 수행함에 있어 부실, 조잡 또는 부당하게 하거나, 부정한 행위를 한 사업자는 향후 신규 사업의 참여에 제한을 받을 수 있음

○ 계약 후에도 제안서 내용이 허위로 작성한 사실이 발견되거나 제안된 내용을 충족 못시킬 경우 제안업체는 일체 손해배상 책임을 져야 함

○ 본 사업의 수행에 필요한 모든 비용은 가격입찰금액에 포함시켜야 함

○ 본 사업은 20억원 미만의 SW사업으로 제안서 보상대상 사업에서 제외

○ 과업내용 확정 심의 여부

- 본 사업은 「소프트웨어 진흥법」 제50조에 따른 과업내용 확정을 위하여 과업심의위원회를 ( )개최 또는 (✔)미개최한 사업임

○ 과업내용 변경

- 본 사업은 「소프트웨어 진흥법」제50조, 같은 법 시행령 제47조 제1항 제2호, 제3호에 따라 과업내용 변경 및 그에 따른 계약금액·계약기간 조정이 필요한 경우, 계약상대자는 국가기관등의 장에게 소프트웨어사업 과업변경요청서*를 제출하여야 하며, 국가기관등의 장은 과업심의위원회 개최 요청에 대해서 특별한 사정이 없으면 수용해야 함

※「소프트웨어사업 계약 및 관리감독에 관한 지침」별지 제8호서식 소프트웨어 과업변경 요청서를 작성하여 제출

5. 제안서 작성 목차

Ⅰ. 제안개요

1. 제안목적 및 배경

2. 제안범위(사업수행범위)

3. 사업 수행 방법론

4. 제안특징 및 장점

5. 기대효과

Ⅱ. 제안업체 일반

1. 일반 현황 및 연혁

2. 조직 및 인력

3. 주요 사업 내용

Ⅲ. 사업 수행 방안

1. 사업 이해

2. 상세 추진 전략

3. 영향평가 수행 방안

4. 산출물 관리 방안 (단계별 산출물 내역 및 제출 시기, 방안 등)

Ⅳ. 사업 관리

1. 사업 추진 체계

- 수행조직 및 업무분장, 조직운영 및 인력투입계획

※ 사업관리자(PM)의 기술‧전문성에 대하여 상세 기술 포함

2. 사업 추진 일정 계획

3. 기밀보안

※ 사업수행에 사용되는 문서, 인원, 장비 등에 대한 물리적‧관리적‧기술적 보안대책 및 <붙임1>의 ‘부정당업자 제재대상 누출금지 대상정보’에 대한 보안관리계획 포함

4. 보고 및 검토계획

Ⅴ. 사업 지원

1. 품질보증 방안

2. 교육훈련 방안

3. 기술이전 방안

4. 기술자문 방안

Ⅵ. 기타 지원 사항

1. 안전 및 보건관리, 재난관리 등 비상대책 수립 방안

2 기타사항(상기항목에서 제시되지 않은 추가내용을 기술)

※ 상기 제시된 제안목차를 기준으로 하고 목차에 제시되지 않은 제안내용 및 제안서 평가 관련 내용은 목차를 추가하거나 적절한 장절에 작성

Ⅴ

제안 안내

1. 제안조건

가. 입찰참가자격

○「국가를 당사자로 하는 계약에 관한 법률 시행령 제12조 및 동법 시행규칙 제14조」에 의한 경쟁 입찰 참가 자격을 갖춘 자로서, 아래 각 호에 모두 해당되는 자로 함

○ 입찰등록마감일 현재 부정당업체로 등록되어 있지 않은 자

※ 입찰자가 [국가를 당사자로 하는 계약에 관한 법률 시행령 제76조]에 해당하는 경우에는 일정 기간 동안의 입찰참가자격 제한조치를 받으며, 자료 유출 및 정보 누출시 관련법에 따라 부정당업체로 제재 받을 수 있음

○「국가종합전자조달시스템 입찰참가자격등록규정」에 의하여 반드시 입찰서 제출 마감일 전일까지 국가종합전자조달시스템(나라장터)에 개인정보 영향평가기관(업종코드 6525) 및 소프트웨어사업자(컴퓨터 관련 서비스 사업, 업종코드 1468)로 입찰참가 자격을 등록한 자

○「중소기업제품 구매촉진 및 판로지원에 관한 법률」시행령 제2조의 2(중소기업자와의 우선조달계약) 1호 및「소상공인 보호 및 지원에 관한 법률」제2조에 따른 중소기업/소상공인으로서「중소기업 범위 및 확인에 관한 규정」에 따라 중소벤처기업부에서 발급된 중소기업/소상공인확인서 를 소지한 자

※ 상기 ‘중소기업ㆍ소상공인확인서’가 중소기업제품 공공구매 종합정보망(http://www.smpp.go.kr)에서 확인이 안될 경우 입찰 참가자격이 없습니다.

○ 공동수급 관련사항 : 공동이행방식 허용

- 공동수급은 공동이행방식만 가능하며, 공동계약운용요령 상의 공동수급표준협정서(공동이행방식)는 G2B를 통해 등록

- 공동수급업체 구성원은 「국가를 당사자로 하는 계약에 관한 법률」 시행령 제12조 및 동법 시행규칙 제14조 규정에 저촉되지 않아야 함

- 공동수급체는 5개 이하로 구성, 공동수급체 구성원별 계약참여 최소지분율은 10% 이상으로 하여야 함(공동계약운영요령 제9조 제5항 참조)

- 입찰서 제출 이후 공동수급을 새롭게 구성하거나, 기존의 공동수급 구성을 변경할 수 없음

○ 본 사업은 전문성 확보를 위하여 제안사(공동수급의 경우 공동수급체 구성원 포함)가 직접 수행함을 원칙으로 함(하도급 불허)

○ 기타 사항은 입찰공고문 참조

나. 입찰서류 및 제안서 제출 안내

○ 제출서류 : 입찰공고문 참조

○ 제안서 제출 일정 및 방법 : 입찰공고문 참조

○ 제안요청설명회 : 실시하지 않음

다. 유의사항

○ 제출서류 및 제안서 내용이 부정‧허위로 작성된 것으로 판명되는 경우 계약체결 이전에는 무효, 계약체결 이후에는 계약을 해제 또는 해지함

○ 입찰에 참가하는 업체가 퇴직자 등 영입 현황확인서 등의 허위서류를 제출하는 경우에는 입찰 무효 또는 계약을 해제·해지 할 수 있음

○ 사업참여인력은 제안사(공동수급의 경우 공동수급체 구성원 포함)의 자사인력으로 구성해야 함

- 채용예정 인력인 경우에는 별도로 이를 명기하고, 계약체결 전까지 반드시 채용을 완료하여야 함

- 적법한 파견근로자는 자사인력으로 간주하나, 원 소속사를 반드시 명기함

○ 낙찰자로 결정된 이후에 수요기관의 승낙 없이 임의로 공동계약의 공동수급체 구성원을 변경할 수 없음

○ 입찰에 참가하고자 하는 자는 본 입찰 유의사항 및 입찰공고문, 국가를 당사자로 하는 계약에 관한 법률 등 본 입찰과 관련한 내용을 입찰 전에 완전히 숙지하였다고 간주하며 이를 숙지하지 못함으로 발생되는 책임은 입찰 참가자에게 있음

○ 입찰에 참고하고자 하는 자는 본 입찰과 관련하여 발주기관으로부터 배부 받은 입찰에 관한 서류 또는 각종 자료 및 입찰과정에서 얻은 정보를 당해 입찰 외의 목적으로 사용하여서는 아니 됨

2. 협상 적격자 선정 방법 및 절차

가. 적용규정

○ 「국가를 당사자로 하는 계약에 관한 법률, 동 시행령, 동 시행규칙」

○ 「협상에 의한 계약 체결 기준」

나. 협상적격자 및 협상순위의 선정

○ 제안서 평가결과 입찰가격이 해당 사업예산(예정가격을 작성한 경우에는 예정가격) 이하인 자로서 기술능력평가 점수가 기술능력 평가분야 배점한도의 85% 이상인 자를 협상적격자로 선정

○ 제출된 서류(제안서 포함)가 부정 또는 허위로 작성된 것으로 판명된 때에는 협상대상자 및 낙찰자 결정에서 제외함

○ 협상순서는 협상적격자의 기술능력평가 점수와 입찰가격평가 점수를 합산하여 합산점수의 고득점순에 따라 결정

○ 종합점수로 최고점수를 얻은 자가 복수일 경우 제안서 기술능력평가 점수가 높은 업체를 우선협상대상자로 선정하되, 기술능력 평가점수가 동일한 경우 기술능력 평가의 배점이 큰 세부평가항목에서 높은 점수를 얻은 자를 우선협상대상자로 선정함

○ 우선순위 협상대상자와 협상을 실시하며, 이 협상이 성립된 때에는 다른 협상적격자와 협상을 실시하지 아니함

○ 협상대상자와의 협상이 성립되지 않을 경우, 동일한 기준과 절차에 따라 순차적으로 차순위 협상적격자와 협상을 실시함

○ 모든 협상적격자와의 협상이 결렬될 경우에는 재공고 입찰에 부칠 수 있음

○ 기타사항은 「협상에 의한 계약체결기준」 (재정경제부 계약예규, 입찰공고일 현재용)에 의함

3. 제안서 평가방법

○ 기술능력 평가 및 입찰가격 평가

- 제안서 평가는 기술능력(90%)과 입찰가격(10%)을 종합적으로 평가

- 기술능력평가(90점)와 가격평가(10점) 결과를 합산하여 고득점 순으로 선정

※ 기술능력평가점수가 배점한도의 85%미만인 응찰자는 협상대상에서 제외

※ 재정경제부 계약예규 ｢협상에 의한 계약체결기준｣ 입찰가격 평점산식에 따름

○ 기술평가 방법 : 수요기관(한국지능정보사회진흥원)에서 실시

○ 기술평가 평가 방법 : 입찰공고서에 따름

○ 기술평가 적용규정

- 참여기관 선정․평가 세부운영지침(한국지능정보사회진흥원)

- 조달청 협상에 의한 계약 제안서평가 세부기준

- 협상에 의한 계약체결 기준(계약예규)

- 기타 규정되지 않은 사항은 관련법령에 의함

○ 본 사업은 「소프트웨어 기술성 평가기준 지침」 제4조제5항에 따른 차등점수제를 미적용한 사업임

○ 기술제안서 평가항목 및 배점한도

평가

항목

세부 평가항목

세부 평가기준

배점

전략 및

방법론

(25점)

사업

이해도

ㆍ사업의 특성 및 목표에 대해 주변 환경 분석

ㆍ업무내용의 연관관계 이해를 바탕으로 일관성 있는 방향과 전략을 제시

10

추진전략

ㆍ사업 수행 시 위험요소를 고려하여 창의적이며 타당한 대안 제시

5

사업수행 방법론

ㆍ사업에 적정한 방법론을 제시하였는지 제안 타당성 평가

ㆍ실제 적용 사례와 경험을 바탕으로 효율적인 단계별 활동 내용 구성

ㆍ산출물의 적정성 유지 기술과 경험을 적절히 활용 여부 평가

10

사업

수행

방안

(25점)

영향평가

방법론

ㆍ수행방안 및 방법론 제시

※ 추진체계, 추진전략, 구체적 계획 및 추진방안, 지원방안

ㆍ평가방법, 항목 등 영향평가체계의 적절성

ㆍ제안요청사항에 대한 수행방안의 적절성

15

산출물

관리

ㆍ제출할 산출물의 종류 및 내역, 제출시기의 적정성

ㆍ개선방안 및 후속조치방안의 구체성

10

사업

관리

(25점)

인력구성

ㆍ사업투입인력의 자질 및 경험, 숙련도, 법적요건 충족 등

ㆍ고급수행인력 투입비율 등 사업 수행에 필요한 적정 수준의 인력구성 여부

ㆍ사업관리자(PM)의 업무수행을 위한 기술자격, 보안 및 영향평가 수행경력 등 전문성 보유여부

15

일정계획

ㆍ사업수행에 필요한 활동 기간산정의 적절성

ㆍ활동간 배열의 합리성 및 투입자원의 적절성

5

기밀보안

ㆍ기밀 보호를 위한 관리계획의 적절성 및 제안요청서와의 부합성

5

사업

지원

(25점)

품질보증

ㆍ사업의 품질 보증을 위한 조직 및 방법

10

교육훈련

ㆍ교육훈련 조직, 일정, 방법, 내용의 적정성 및 구체성

5

기타사항

ㆍ사업 자문 등 지원체계 운영방안

ㆍ사업의 원활한 수행을 위해 제안한 사항의 적정성

5

안전 및

보건관리, 재난관리 등

ㆍ안전관리 매뉴얼의 현실성 및 관련자 교육계획의 적정성

ㆍ비상상황 및 재난 발생 시, 대응 방안의 적합성

ㆍ프로그램 전반 안전 관리 계획의 적절성

5

붙임 1

외주 용역사업 보안특약 사항

외주 용역사업 보안특약 사항

① 사업자는 국가 정보보안 기본지침 및 발주기관의 관련 보안규정을 위반하였을 경우 [붙임5-1]의 위규처리 기준에 따라 관련자를 행정조치하고 민․형사상의 손해배상을 포함한 모든 책임을 지며, [붙임5-2]의 보안 위약금을 한국지능정보사회진흥원에 납부한다.

② 사업자는 사업 수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 [붙임5-3]의 ‘누출금지 대상정보’와 [붙임5-4]의 ‘사업자 보안관리 준수사항’에 대한 보안관리 계획을 사업제안서(이행계약 등)에 기재하여야 하며, 해당 정보 누출 시 한국지능정보사회진흥원은 국가계약법 시행령 제76조에 따라 사업자를 부정당업체로 등록한다.

③ 사업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업 완료 후에도 이를 외부에 유출해서는 안 되며, 사업종료 시 행정안전부 정보보호담당자의 입회하에 완전 폐기 또는 반납해야 한다.

④ 계약 시행일로부터 종료 후 30일이 경과하는 날까지의 기간 중에 발주기관, 발주기관의 상급기관 등은 정기 또는 수시 보안점검(불시 점검 포함)을 수행할 수 있다

⑤ 사업자는 사업 최종 산출물에 대해 행정안전부의 승인을 받은 정보보호담당자 또는 보안 점검도구를 활용하여 보안 취약점을 점검, 도출된 취약점에 대한 개선을 완료하고 그 결과를 제출해야 한다.

[붙임2-1] 사업자 보안 위규 처리 기준

[붙임2-2] 보안 위약금 부과 기준

[붙임2-3] 누출금지 대상 정보

[붙임2-4] 사업자 보안관리 준수사항

붙임 2-1

사업자 보안 위규 처리 기준

구 분

위 규 사 항

처 리 기 준

심 각

(A급)

1. 비밀 및 대외비 급 정보 유출 및 유출시도

가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출

나. 개인정보·신상정보 목록 유출

다. 비공개 항공사진·공간정보 등 비공개 정보 유출

2. 정보시스템에 대한 불법적 행위

가. 관련 시스템에 대한 해킹 및 해킹시도

나. 시스템 구축 결과물에 대한 외부 유출

다. 시스템 내 인위적인 악성코드 유포

◦사업참여 제한

(부정당업체 등록)

◦위규자 및 직속

감독자 등 중징계

◦재발 방지를 위한 조치계획 제출

◦위규자 대상 특별 보안교육 실시

중 대

(B급)

1. 비공개 정보 관리 소홀

가. 비공개 정보를 책상 위 등에 방치

나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용

다. 개인정보․신상정보 목록을 책상 위 등에 방치

라. 기타 비공개 정보에 대한 관리소홀

2. 사무실ㆍ보호구역 보안관리 허술

가. 통제구역 출입문을 개방한 채 퇴근 등

나. 인가되지 않은 작업자의 내부 시스템 접근

다. 통제구역 내 장비·시설 등 무단 사진촬영

3. 전산정보 보호대책 부실

가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반

나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신

다. 개발·유지보수 시 원격작업 사용

라. 저장된 비공개 정보 패스워드 미부여

마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장

바. 외부용 PC를 업무망에 무단 연결 사용

사. 보안관련 프로그램 강제 삭제

아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)

◦위규자 및 직속

감독자 등 중징계

◦재발 방지를 위한 조치계획 제출

◦위규자 대상 특별 보안교육 실시

구 분

위 규 사 항

처 리 기 준

보 통

(C급)

1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀

가. 주요 현안ㆍ보고자료를 책상위 등에 방치

나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용

2. 사무실 보안관리 부실

가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근

나. 출입키를 책상위 등에 방치

3. 보호구역 관리 소홀

가. 통제ㆍ제한구역 출입문을 개방한 채 근무

나. 보호구역내 비인가자 출입허용 등 통제 미실시

4. 전산정보 보호대책 부실

가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근

나. 네이트온 등 비인가 메신저 무단 사용

다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근

라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여

마. PC 비밀번호를 모니터옆 등 외부에 노출

바. 비인가 보조기억매체 무단 사용

◦위규자 및 직속

감독자 등 중징계

◦위규자 및 직속 감독자 사유서 /경위서 징구

◦위규자 대상 특별 보안교육 실시

경 미

(D급)

1. 업무 관련서류 관리 소홀

가. 진행중인 업무자료를 책상 등에 방치, 퇴근

나. 복사기ㆍ인쇄기 위에 서류 방치

2. 근무자 근무상태 불량

가. 각종 보안장비 운용 미숙

나. 경보ㆍ보안장치 작동 불량

3. 전산정보 보호대책 부실

가. PC내 보안성이 검증되지 않은 프로그램 사용

나. 보안관련 소프트웨어의 주기적 점검 위반

◦위규자 서면ㆍ구두 경고 등 문책

◦위규자 사유서 /경위서 징구

붙임 2-2

보안 위약금 부과 기준

① 위규 수준별로 A ~ D 등급으로 차등 부과

구분

위규 수준

A급

B급

C급

D급

위규

심각 1건

중대 1건

보통 2건 이상

경미 3건 이상

위약금

비중

부정당업자 등록

건당 500만원

300만원

100만원

* 위규 수준은 별첨1 사업자 보안위규 처리기준 참고

② 보안 위약금은 다른 요인에 의해 상쇄, 삭감이 되지 않도록 부과한다.

* 보안사고는 1회의 사고만으로도 그 파급력이 큰 것을 감안하여 타 항목과 별도 부과

③ 사업 완료 시 지출금액 조정을 통해 위약금 정산한다.

붙임 2-3

누출금지 대상 정보

① 기관 소유 정보시스템의 내ㆍ외부 IP주소 현황

② 세부 정보시스템 구성현황 및 정보통신망구성도

③ 사용자계정 및 패스워드 등 정보시스템 접근권한 정보

④ 정보통신망 취약점 분석·평가 결과물

⑤ 용역사업 결과물 및 프로그램 소스코드

⑥ 국가용 보안시스템 및 정보보호시스템 도입현황

⑦ 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크장비 설정 정보

⑧「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상정보로 분류된 기관의 내부문서

⑨「개인정보 보호법」제2조제1호의 개인정보

⑩「보안업무규정」제4조의 비밀, 同 시행규칙 제7조제3항의 대외비

⑪ 그 밖의 발주자가 공개가 불가하다고 판단한 자료

붙임 2-4

사업자 보안관리 준수사항

① 참여 인력에 대한 보안관리

○ 보안서약서 등 제출

- 사업 참여인원에 대해 사업투입 전 자체 보안 교육 후, 보안서약서, 기본보안교육 내용을 제출해야 한다.

○ 보안교육 실시

- 사업자는 보안인식제고를 위해 주기적으로 자체 보안 교육을 하며, 한국지능정보사회진흥원이 요구하는 보안교육에 참석해야 한다.

○ 인력변동 관리

- 시스템 접근 권한을 승인받은 인력 또는 해당 인력의 업무 변동이 있는 경우, 해당 사유가 발생한 후 1일 내에 신고해야 한다.

② 자료․정보 등의 보안관리

○ 비밀 준수 대상 자료․정보

- 사업자는 아래의 자료나 정보(이하 “비밀정보”라 한다)에 대하여 비밀을 유지하여야 한다.

※ 한국지능정보사회진흥원이 본 사업의 이행을 위하여 사업자에게 서면 또는 구두 등의 방법으로 비밀에 해당한다고 고지하고 제공한 자료나 정보(DB정보, IP 정보, 상세 시스템 구성도 등)

※ 법령 또는 한국지능정보사회진흥원의 내규에 의하여 공개가 제한되거나 비밀을 유지해야 하는 자료나 정보(미공개 출원 정보, 개인정보, 비밀지정문서 등)

※ 사업자가 본 계약의 이행 중 한국지능정보사회진흥원이 제공한 비밀정보를 이용․가공하여 얻은 자료나 정보

○ 중요정보의 관리

- 사업자는 중요정보의 관리를 위하여 자료명, 인계자/인수자 서명이 포함된 자료 제공대장을 작성해야 한다.

- 인계받은 자료가 더 이상 필요없거나 사업이 종료되는 경우 자료를 반납 및 삭제한 후, 자료 제공대장에 기록 및 사업 담당부서에 제출한다.

③ 장소(사무실) 및 전산 장비․매체 보안관리

○ 사무실 보안 관리

- 사업자는 필요시 사무실 또는 용역업무를 수행하는 공간에 대해 일일 보안점검을 해야 하며, 한국지능정보사회진흥원 보안점검에 따른 지적사항 발생시 [별첨1]에 따른 벌칙 규정을 따른다.

○ 전산 장비․매체 보안 관리

- 사업자는 PC, 노트북 등 전산장비를 반․출입하는 경우, 다음 사항을 사전 확인, 조치해야 한다.

(단, 노트북은 불가피한 경우 한국지능정보사회진흥원의 승인을 득한 경우에만 반입 가능)

* 반입시 : PMS, 내 PC 지키미 등 PC 보안프로그램 설치 및 바이러스/악성코드 검사

* 반출시 : 저장 데이터 완전 삭제(한국지능정보사회진흥원 정보보안담당의 사전 확인 필요)

- 사업자는 보안USB 외의 기타 보조기억매체는 사용할 수 없으며, 보안USB 외에는 자료를 저장할 수 없다.

- 사업자는 전산 장비․매체를 승인권자 외의 사용자가 조작․탈취할 수 있도록 방치하면 안된다.

④ 정보시스템 접근 보안관리

○ 사업자는 정보시스템 사용자 계정 이용시 부여된 권한․목적 이외의 접근을 하면 안 되며, 승인된 사용자만 접근해야 한다.

○ 사업자는 공용계정을 사용하면 안되며, 사용하지 않는 계정은 주기적으로 삭제해야 한다.

○ 공유 폴더는 사용해서는 안 된다.

※ 상기 사업자 보안관리 준수사항 중 예외적 허용이 필요한 경우에는, 한국지능정보사회진흥원 정보보안담당에게 예외 허용사항에 대한 보안성 검토를 요청해야 한다.

※ 상기 보안요구는 원격지 개발장소를 포함한다.

붙임 3

용역사업 대표자 보안 서약서

보안 서약서

본인은 년 월 일부로 관련 용역사업(업무)을 수행함에 있어 다음사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은 한국지능정보사회진흥원 사업과 관련하여 업무 중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정한다.

2. 본인은 이 기밀을 누설함이 국가안전보장 및 국가이익에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나 공개하지 아니한다.

3. 본인이 이 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

4. 본인은 사업 수행시 본사 및 하도급업체로 인해 발생하는 위반사항에 대하여 모든 책임을 부담한다.

년 월 일

서 약 자 업 체 명 :

(업체 대표) 직 위 :

성 명 : (서명)

생 년 월 일 :

서약집행자 소 속 :

(NIA 직원) 직 위 :

성 명 : (서명)

생 년 월 일 :

붙임 4

참여인원 보안 서약서

보 안 서 약 서

본인은 년 월 일부로 (정보시스템 포함)과 관련한 업무(연구개발, 제작, 입찰, 기타)를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.

1. 나는 한국지능정보사회진흥원 사업(정보시스템 포함)과 관련된 소관업무가 국가기밀 사항임을 인정하고 제반 보안관계규정 및 지침을 성실히 준수한다.

2. 나는 이 기밀을 누설함이 국가이익을 침해할 수도 있음을 인식하고 재직 중은 물론 퇴직 후에도 알게 된 모든 기밀사항을 일체 타인에게 누설하지 아니한다.

3. 나는 기밀을 누설한 때에는 아래의 관계법규에 따라 엄중한 처벌을 받을 것을 서약한다.

가. 전자정부법 제35조(금지행위) 및 제76조(벌칙)

년 월 일

서약자 소속 직급 생년월일

직위 성 명 (서명)

서 약 소속 직급

집행자 직위 성 명 (서명)

붙임 5

대표 명의의 보안확약서

보 안 확 약 서

본인은 귀 기관과 계약한 사업의 수행을 완료함에 있어, 다음 각호의 보안사항에 대한 준수 책임이 있음을 서약하며 이에 확약서를 제출합니다.

본 업체(단체)는 업체(단체) 및 사업 참여자가 사업수행 중 지득한 모든 자료를 반납 및 파기하여 복사본 등 용역사업 관련 자료를 보유하지 않으며, 지득한 정보에 대한 유출을 절대 금지하겠습니다.

본 업체(단체)는 하도급업체에 대해 상기 항과 동일한 보안사항 준수 책임을 확인하고 보안확약서 징구하였으며, 하도급업체가 위의 보안사항을 위반할 경우에 주사업자로서 이에 동일한 법적책임을 지겠습니다.

본 업체(단체)는 상기 보안사항을 위반할 경우에 귀 기관의 사업에 참여 제한 또는 기타 관련 법규에 따른 책임과 손해배상을 감수하겠습니다.

년 월 일

서약업체(단체) 대표

소 속 :

직 급 :

성 명 : (서명)

한국지능정보사회진흥원장 귀하

참고 1

공정거래 준수 안내

< 한국지능정보사회진흥원 공정거래 준수 안내 >

한국지능정보사회진흥원은 자율적인 거래관행 개선, 공정한 거래․상생문화를 정착‧확산하도록 공정거래 자율준수 프로그램에 따라

아래의 내용을 준수합니다.

⑴ 적정한 사업 원가를 조사‧산정하고 절차에 따라 적정한 대가를 지급합니다.

⑵ 계약업체의 책임이 없는 사유로 사업변경, 사업기간 연장, 납품기일 지연 등이 발생하여 과업이 추가로 필요한 경우, 조건 및 비용에 대하여 계약업체와 충분히 협의하여 진행하겠습니다.

⑶ 사업의 특성, 작업환경 등 제반 여건을 고려하지 않고 관리비 등 ‘간접비’의 금액이나 총 계약금액에서 간접비가 차지하는 비중을 일률적으로 제한하는 행위를 하지 않습니다.

⑷ 계약업체의 이윤을 별도 항목으로 계상하지 않고 사업비의 각 항목에 포함하는 행위를 하지 않습니다.

⑸ 한국지능정보사회진흥원이 부담해야 할 행정절차, 민원해결, 환경관리 등에 관한 책임이나 그에 소요되는 비용을 계약업체에게 부담하는 행위를 하지 않습니다.

⑹ 천재지변, 매장 문화재 발견 등 계약시점에서 계약업체가 예측할 수 없는 사항에 관한 책임이나 비용을 계약업체에게 부담하는 행위를 하지 않습니다.

⑺ 사업 수행 또는 그 준비 과정에서 계약업체가 취득한 정보 · 자료 · 물건 등의 소유 · 사용에 관한 권리를 부당하게 한국지능정보사회진흥원에게 귀속하는 행위를 하지 않습니다.

⑻ 한국지능정보사회진흥원의 손해배상 책임을 관계법령 등에 규정된 기준에 비해 과도하게 경감하거나 계약업체의 손해배상 책임, 하자담보 책임 등을 과도하게 가중하는 행위를 하지 않습니다.

⑼ 계약상 의무 위반에 대한 계약업체의 이의제기, 분쟁조정신청, 손해배상청구 등을 제한하거나 계약내용 해석에 당사자 간 이견이 있는 경우 한국지능정보사회진흥원의 해석에 따르도록 하는 행위를 하지 않습니다.

⑽ 계약해제 · 해지사유 등을 정함에 있어 한국지능정보사회진흥원에 대해서는 민법, 국가계약법 등 관련법령에 따라 보장되는 수준보다 넓게 정하고, 계약업체에 대해서는 그 수준보다 좁게 정하는 행위를 하지 않습니다.

⑾ 계약업체가 계약상 의무의 이행을 지체한 경우 국가계약·지방계약법령 등에서 정한 수준 이상으로 지체상금을 부과하는 행위를 하지 않습니다.

⑿ 계약업체에게 제공하기로 한 장비, 시설 등의 인도가 지연되거나, 그 수량이 부족한 경우, 그 성능이 미달되는 경우 등 계약업체의 책임 없는 사유에 따라 추가로 발생하는 비용을 계약업체에게 부담하게 하는 행위를 하지 않습니다.

- 또는, 계약업체에게 제공한 장비, 시설 등이 계약업체의 책임 없는 사유로 멸실, 훼손된 경우에도 계약업체에게 그에 대한 책임, 또는 비용을 부담하게 하는 행위를 하지 않습니다.

⒀ 사업 수행 시 적정 사업 수행 기간을 확보하여 사업을 추진합니다.

⒁ 계약조건이나 계약금액 때문에 계약업체가 안전에 관한 법규를 준수하는 것이 어려운 경우 그 조건 및 비용의 보전을 협의하여 진행하겠습니다.

⒂ 법령에 위반되지 않는 범위 내에서 원칙적으로 공동도급을 통한 사업 수행을 권장합니다.

⒃ 하도급 계약을 통해 사업을 수행할 경우, 계약업체는 하도급법에서 정한 사항을 준수하여야 하며, 계약업체가 하도급법 위반하여 공정위 제재를 받는 경우, 향후 업체 선정 과정에 참고할 수 있습니다.

< 하도급법에 규정된 불공정행위 유형 >

‣ 하도급업체에 대한 ▲계약서 교부의무, ▲법정기한內 하도급대금 지급 의무, ▲공공기관으로부터 원도급대금을 조정받은 경우 그 비율만큼 하도급대금을 조정해줄 의무 등을 위반한 행위

‣ 하도급업체에 대한 ▲부당한 거래조건(특약) 설정, ▲하도급대금 부당 결정 · 감액, ▲부당한 위탁취소, ▲부당 반품, ▲기술자료 부당 요구, ▲기술유용, ▲경영간섭, ▲보복행위 등

⒄ 하도급대금이나 임금이 체불되지 않도록 하도급대금·노무비를 직접 지급하거나, 직접 지급효과가 있는 대금 직불시스템(하도급 지키미 이용 등)을 통해 대금을 지급합니다.

⒅ 한국지능정보사회진흥원은 사업 수행과정에서 느끼는 애로·불만사항을 제보할 수 있도록 온라인 및 오프라인 제보센터를 설치해 운영하고 있습니다.

< 한국지능정보사회진흥원 애로사항 등 익명제보시스템 (레드휘슬) 안내 >

1. 신고대상 및 내용

o NIA 임직원이 업체를 부당하게 대우하거나 불공정하게 업무를 처리하는 경우

o NIA 임직원이 그 지위 또는 권한을 남용하거나 법령을 위반하여 자기 또는 제3자의 이익을 도모하는 행위

o 기타 기업의 건의사항, 개선 또는 시정이 요구되는 사항

2. 신고요령 : 직접방문, 우편, 이메일(감사실장), 신고사이트 방문( www.redwhistle.org )

3. 신고 시 유의사항 : 신고자 및 신고내용은 비공개로 처리되나, 제보자의 인적사항(성명, 연락처 등)이 허위이거나, 불분명할 경우 접수 처리 불가

※ 당사자의 개인정보는 개인정보보호법 제3조(개인정보 보호 원칙)에 따라 공개되지 않으며, 민원처리 외의 다른 용도로 사용되지 않음

⒆ 탄소중립 및 에너지절약 실천을 위해 평가, 거래, 사업관리 전반에 Paperless 및 온라인시스템 활용 강화합니다. 특히 제안서 접수, 제안업체 평가 등 평가체계 전반을 온라인화 하고, 제안서 평가 전 과정을 Paperless화 합니다. 또한 사업관리 전반에 온라인 영상회의 시스템을 적극 활용합니다.

※ 사업자는 NIA가 제시하는 『사업장 안전보건관리 가이드』를 준수하여야 합니다.

참고 2

NIA 국가 인공지능 사업추진 윤리원칙

참고 3

이해충돌방지 및 청렴계약 안내문

이해충돌방지 및 청렴계약 안내문

본 입찰은 이해충돌 방지법 및 청탁금지법, 국가계약법에서 정한 사항을 준수하여 추진되며, 입찰․낙찰, 계약체결 또는 계약이행 등의 과정(준공․납품 이후를 포함)에서 아래의 사항에 대해 위반이 발생할 때에는 법률에 따라 처벌 및 부당이득의 환수, 입찰․낙찰 취소 등의 처분을 받을 수 있음을 알려드립니다.

1. 이해충돌방지법 5조(사적이해관계자 신고·회피 신청 의무) 및 14조(직무상 비밀 등 이용금지)에 근거, 공정한 사업 추진을 위해 본 사업과 관련된 정부위원회(공무수행사인), 사업심의위원 등의 이해충돌 및 직무상 비밀 이용 금지

2. 청탁금지법 5조(부정청탁의 금지)에 근거, 특정 개인ㆍ단체ㆍ법인이 계약의 당사자로 선정 또는 탈락되도록 하는 행위 등 직접 또는 제3자를 통하여 직무를 수행하는 공직자 등에게 부정청탁 금지

3. 국가계약법 5조 2(청렴계약)에 근거, 금품·향응(취업 제공) 등을 요구 또는 약속하거나 수수(授受)하는 행위, 입찰가격의 사전협의 또는 담합 등 공정경쟁을 방해하는 행위, 알선·청탁을 통하여 특정 정보의 제공을 요구하거나 받는 행위 금지