과 업 지 시 서 과 업 명 2026년 인공지능 기반 통합위험선별 모델 개발 사업 개인정보 영향평가 주관기관 관 세 청 2026. 7. 담당 관세국경 위험관리센터 과 장 정지은 TEL : 042-481-1160 FAX :
042-530-7739 사무관 조주성 TEL : 042-481-3225 관
세
청 관세국경위험관리센터 목
차 1. 사업안내 가. 사업개요 3 나 . 입찰 참가자격 기준 3 다 . 추진배경 및 필요성 4 라. 사업범위 4 2. 사업 추진계획 가. 추진체계 8 나. 추진일정 9 3. 과업지시 내용 가. 개인정보 영향평가 대상 사업 10 나. 상세 지시사항 11 [붙임] 과업지시서 관련 서식 28 [별첨 1] 용역사업 보안 특약 [별첨 2] 누출금지 대상정보 [별첨 3] 사업자 보안위반 처리기준
[별첨 4] 보안 위약금 부과 기준 [별첨 5] 수탁업체 개인정보보호 준수 사항 [별첨 6] 관세청 표준 산출물 목록 1. 사업 안내 가. 사업개요 □ 사업명 : 2026년 인공지능 기반 통합위험선별 모델 개발 사업 개인정보영향평가
□ 사업기간 : 계약일로부터 90일 □ 사업금액 : 42,669천원(부가세 포함) □ 입찰방법 : 수의계약(2인이상 견적제출), 전자견적
나. 입찰 참가자격 기준 □ 본 제안 사업을 수행 가능한 업체로 다음 요건을 모두 갖춘 사업자이어야 함
○
「개인정보 보호법」제33조 및「개인정보법 시행령」제37조, 제38조에 따라 개인정보 영향평가 기관으로 선정(지정)되어 본 계약 체결일까지 해당 자격을 유지하고 있는 사업자 ※ 개인정보 영향평가에 관한 고시 제2조의 3에 의거, 개인정보 보호위원회가 지정한 기관 적용 ○
국가종합전자조달시스템 입찰참가자격등록규정에 의하여 반드시 조달청 나라장터에 입찰마감일 전일까지 개인정보 영향평가기관(업종코드:6525)으로 입찰참가자격을 등록한 업체이어야 함 ○
「국가를 당사자로하는 계약에 관한 법률」제27조 및 동법 시행령 제 76조(부정당업자의 입찰참가자격 제한)에 해당되지 않은 업체 ○
「중소기업기본법」제2조에 따른 소기업자 또는 「소상공인 보호 및 지원에 관한 법률」 제2조에 따른 소상공인으로서 「중소기업 범위 및 확인에 관한 규정」에 따라 발급된 <소기업·소상공인 확인서>를 소지한 자 □ 전문성 확보 및 보안 통제 등을 위해 공동수급 및 하도급은 불허함 □ 기타, 자세한 사항은 입찰 공고문에 따름 다. 추진 배경 및 필요성 □ 「개인정보 보호법」제33조와 「개인정보 보호법 시행령」 제35조 및 개인정보 영향평가에 관한 고시(개인정보보호위원회고시 제2025-7호)에 의해 개인정보 영향평가 실시 □ 2026년 인공지능 기반 통합위험선별 모델 개발 사업의 개인정보 영향 평가를 수행하여 개인정보보호 수준 및 관련 법령에 대해 법적 준거성을 확보 ○
잠재 위험식별ㆍ침해요인 분석ㆍ취약점에 대한 개선방안 도출ㆍ불필요한 개인정보 보유 제거ㆍ개인정보 취급 프로세서 개선 등 □ 개인정보보호 관련 법령의 의무 준수사항 점검과 미비 사항을 보완하여 개인정보 관리체계 및 유출 예방 강화 □ 개인정보 침해위험요인과 위험요소에 대한 분석 및 개선사항 조치를 통한 개인정보 침해 예방 라. 사업범위 □ 2026년 인공지능 기반 통합선별모델 개발 사업을 통해 구축될 개인정보 파일에 대하여 개인정보 관리의 적정성과 위험요인 분석 및 개선방안 제시 □ 영향평가 수행 계획 수립 ○
영향평가 목적, 평가대상 및 범위, 평가주체(영향평가팀), 평가기간, 평가절차(방법), 주요 평가사항, 평가기준 및 항목, 자료수집 및 분석 계획 등을 포함하는 영향평가 수행계획 수립 □ 개인정보 영향도 및 흐름 분석 ○
내·외부 정책자료(내부관리계획 등), 평가대상 시스템 관련 자료, 업무담당자 인터뷰 및 현장실사를 통해 개인정보 처리업무 현황을 분석 ○
개인정보 처리업무별 개인정보 항목에 대한 중요도 평가를 위해 개인정보 영향도 등급표 작성 및 등급표에 따른 영향도 평가 ○
개인정보 수집, 저장, 파기 등 개인정보 처리 단계별 개인정보 흐름 분석, 흐름표와 흐름도, 정보시스템 구조도 및 정보시스템 목록 작성 □ 개인정보 침해요인 도출 및 위험도 산정 ○
개인정보 관리 체계, 개인정보 처리단계별 보호 조치 등 평가항목별 점검 ○
개인정보 처리 현황, 위험 요소 등을 분석하여 개인정보 침해 위험요인 도출 ○
개인정보 처리 업무의 중요도(개인정보 영향도), 침해요인 발생 가능성, 법률에 규정된 의무사항 등을 종합적으로 고려하여 위험도 산정 □ 기술적, 관리적 개선방안 제시 ○
관련 법령, 지침 등을 반영한 기술적, 관리적 개선방안 도출 ○
개인정보 침해사고 예방을 위한 안전한 개인정보 처리 방법, 기술적 보호 조치 등 개선방안 수립 및 제시 □ 영향평가서 및 요약본 작성 ○
영향평가 수행 과정 전반(사전준비단계, 평가결과 등)을 담은 영향평가서와 이를 요약 정리한 요약본 작성 □ 개인정보 영향평가 이행점검 ○
대상사업 수행사가 개인정보 영향평가 결과 및 개선계획에 따라 필요한 사항을 반영하였는지 이행실적 점검․확인 □ 개인정보 영향평가 수행안내서(2025.10., 개인정보보호위원회)에 따른 개인정보 영향평가 수행
○
주요 수행 범위
- 개인정보 영향평가 대상 업무 대상 정보시스템 개인정보파일 및 업무 비 고 통합위험선별 수출신고서 등 세부내용은 영향평가 과정에서 확인
○
개인정보 영향평가 평가영역 및 세부분야 평가영역 평가분야 세부 분야 I. 대상기관 개인정보보호관리체계 1.1 개인정보 보호 조직 개인정보보호책임자의 지정 개인정보보호책임자 역할수행 1.2 개인정보 보호 계획 내부관리계획 수립 개인정보보호 연간계획 수립 1.3 개인정보 침해대응 침해사고 신고 방법 안내 유출사고 대응 1.4 정보주체권리보장 정보주체 권리보장 절차 수립 정보주체 권리보장 방법 안내 II. 대상시스템의개인정보보호관리체계 2.1 개인정보취급자 관리 개인정보취급자 지정 개인정보취급자 관리ㆍ감독 2.2 개인정보파일 관리 개인정보파일대장 관리 개인정보파일 등록 2.3 개인정보처리방침 개인정보처리방침의 공개 개인정보처리방침의 작성 2.4 공공시스템 내부 관리계획 공공시스템 내부 관리계획 수립 III. 개인정보 처리단계별 보호조치 3.1 수집 개인정보 수집의 적합성 동의 받는 방법의 적절성 3.2 보유 보유기간 산정 3.3이용ㆍ제공 개인정보 제공의 적합성 목적 외 이용ㆍ제공 제한 제공시 안전성 확보 3.4 위탁 위탁사실 공개 위탁 계약 수탁사 관리ㆍ감독 3.5 파기 파기 계획 수립 분리보관 계획 수립 파기대장 작성 IV.대상시스템의기술적 보호조치 4.1 접근권한 관리 계정 관리 인증 관리 권한 관리 4.2 접근통제 접근통제 조치 인터넷 홈페이지 보호조치 업무용 모바일기기 보호조치 4.3 개인정보의 암호화 저장시 암호화 전송시 암호화 4.4 접속기록의 보관 및 점검 접속기록 보관 접속기록 점검 접속기록 보관 및 백업 4.5 악성프로그램 등 방지 백신 설치 및 운영 보안업데이트 적용 4.6 물리적 접근방지 출입통제 절차 수립 반출ㆍ입 통제 절차 수립 4.7 개인정보의 파기 안전한 파기 4.8 기타 기술적 보호조치 개발 환경 통제 개인정보처리화면 보안 출력시 보호조치 4.9개인정보처리구역보호 보호구역지정 V.대상시스템의 기술적 보호조치 5.1 고정형 영상정보 처리기기 고정형 영상정보 처리기기 설치 운영계획 수립 고정형 영상정보 처리기기설치시 의견수렴 고정형 영상정보 처리기기 설치 안내 고정형 영상정보 처리기기 사용 제한 고정형 영상정보 처리기기 설치 및 관리에 대한 위탁 5.2 이동형 영상정보 처리기기 영상정보 촬영 및 안내 영상정보 촬영 사용제한 영상정보 촬영 및 관리에 대한 위탁 5.3 생체인식정보 원본정보 보관시 보호조치 5.4 위치정보 개인위치정보 수집 동의 개인위치정보 제공시 안내사항 5.5 가명정보 가명정보의 처리 가명정보의 안전조치의무 등 5.6 자동화된 결정 자동화된 결정에 대한 정보주체의 권리 등 5.7 인공지능(AI) AI 시스템 학습 및 개발 AI 시스템 운영 및 관리
※
현황분석에 따라 제외되는 평가항목은
발주기관과 협의하여 제외 등 조정할 수 있음
2. 사업 추진계획 가. 추진체계
□ 추진체계도 사업추진 총괄 관세청 관세국경위험관리센터장 실무 총괄 대상사업 수행업체 개인정보영향평가 수행기관
관세국경위험관리 센터 담당자 등
시스템 개발업체
개인정보영향평가 수행기관
□ 추진주체별 역할 조직명 주요 역할 사업추진 총괄 ▪개인정보영향평가 추진 총괄 ▪개인정보영향평가에 따른 중요 의사결정 실무 총괄 ▪개인정보영형평가 실무적인 관리 및 중요사항 보고 ▪개인정보영향평가 위한 제반 행정사항의 관리 대상사업 수행업체 ▪개인정보영향평가 관련 요청자료 제공, 업무설명 등 협조 ▪개인정보영향평가 개선방안 이행 개인정보영향평가 수행기관 ▪개인정보영향평가 계획수립, 자료수집 및 분석, 개선계획 수립,
영향평가서 작성 등 영향평가 수행 ▪개인정보영향평가 개선방안 이행 점검 등 나. 추진일정 구분 추진일정 M M+1 M+2 1. 개인정보 영향평가 수행
- 착수 및 계획수립
- 자료 수집
- 개인정보 흐름 및 침해요인 분석
- 개선계획 수립
- 영향평가서 작성 2. 개인정보영향평가 이행
- 개선방안 이행
- 이행 점검
- 최종 완료보고
* 상기 추진일정은 대상사업의 추진일정에 따라 추후 변경될 수 있음
3. 과업지시 내용 가. 개인정보 영향평가 대상 사업 □ 사업 개요
○
사업명: 2026년 인공지능 기반 통합위험선별 모델 개발
○
사업기간: 2026.6.8. ∼ 2027.1.4. □ 사업 주요 내용
○
학습데이터 구축
- 수출입 등 내 외부 데이터를 수집하여 데이터 정제, 라벨링, 학습 데이터셋 구성, 품질 분석 등 절차를 통해 모델 학습에 적합한 데이터 구축
○
스케줄 기반 자동화 학습기능 및 AI 선별모델 개발
- 주기적으로 데이터 수집, 데이터 전처리, 모델 학습, 성능지표 생성 등 자동화 학습하는 기능 개발
- 머신러닝 및 딥러닝 알고리즘을 단독 또는 혼합하여 3개 이상의 AI 선별 모델 후보군 생성, 학습 후 성능평가 등 비교를 통해 최종 모델 결정 및 개발
○
AI 선별모델 관리기능 개발
- 임계치 조정, 선별량 제어, 모델 저장, 배포 등 관리 기능 개발
○
AI 실시간 AI 선별기능 개발
- AI 선별모델을 활용하여 수출통관 시 우범성을 실시간으로 예측하는 기능 개발
○
AI 선별 건 동적 착안사항 개발
- AI 선별 결과와 판단근거(주요 기여 요인 등) 결과 내용을 설명하는 동적 착안 사항을 제공하는 기능 개발
○
업무현황 통계 관리기능 개발
- 각종 현황에 대한 통계자료를 항목별, 기간별(연도별, 월별, 일별) 등으로 조회할 수 있는 기능 개발 나. 상세 지시사항 □ 지시사항 요약 수행활동 (분류기준) 고유번호 개수 개인정보 영향평가 요구사항 ( P rivacy impact A ssessment R equirement) PAR 7 보안 요구사항 ( SE curity R equirement) SER 11 제약사항 ( CO nstraint R equirement) COR 2 프로젝트 관리 요구사항 ( P roject M anagement R equirement) PMR 12 프로젝트 지원 요구사항 ( P roject S upport R equirement) PSR 2 합 계 34
□ 지시사항 목록표 순번 구분 요구사항 고유번호 요구사항 명칭 1 개인정보 영향평가 PAR-001 개인정보 영향평가 일반사항 2 PAR-002 개인정보 영향평가 자료 분석 3 PAR-003 개인정보 흐름 분석 4 PAR-004 개인정보 침해요인 분석 5 PAR-005 개선계획 수립 6 PAR-006 개인정보 영향평가서 작성 7 PAR-007 개인정보 영향평가 이행 점검 8 보안 SER-001 정보보안 계획 수립 및 실행 9 SER-002 외부PC 반입 10 SER-003 사업관련 자료 보안방안 11 SER-004 PC 보안관리 12 SER-005 관리적 보안 13 SER-006 물리적 보안 14 SER-007 개인정보처리 위탁 업무 계약 체결 15 SER-008 스마트 기기에 대한 보안 조치 의무 시행 16 SER-009 정보보안 관리 실태 평가 등 지원 17 SER-010 참여인력 보안서약 및 책임 18 SER-011 시건장치 19 제약사항 COR-001 관련 법률 및 규정 준수 20 COR-002 기타 사업 추진과 관련된 표준 준수 21 프로젝트관리 PMR-001 사업수행조직 22 PMR-002 일정 관리 23 PMR-003 정기 및 비정기 보고와 위험관리 방안 제시 24 PMR-004 인력교체 25 PMR-005 지원 및 자문 조직의 구성 26 PMR-006 정보화사업관리시스템을 이용한 사업관리 27 PMR-007 정보화관리 교육 이수 의무 준수 28 PMR-008 일정계획 29 PMR-009 검사 30 PMR-010 신원조사 31 PMR-011 보고서 제출 32 PMR-012 작업장소 상호 협의 33 프로젝트지원 PSR-001 개인정보 영향평가 교육 34 PSR-002 하자보수 일반 ※ 요구사항에 기술되는 각종「지침·고시 등 관련규정」은 기술내용과 상관없이 가장 최근 것을 준용함
1) 개인정보 영향평가 요구사항(Privacy impact Assessment Requirement) 지시사항 분류 개인정보 영향평가 지시사항 고유번호 PAR-001 지시사항 명칭 개인정보 영향평가 일반사항 지시사항상세설명 정의 개인정보 영향평가에 관한 일반사항 세부내용 ㅇ 사업범위에 해당되는 개인정보 처리 시스템을 대상으로 영향평가 수행 ㅇ 관리적⋅기술적 보호조치 적정성 및 법적 의무사항 준수여부 등 확인 ㅇ “개인정보 영향평가에 관한 고시” 및 “개인정보 영향평가 수행 안내서” 등을 준용하여 사업 수행 ㅇ 개인정보보호 관리체계의 적정성 분석과 개선방안 수립 - 기관의 개인정보보호 조직, 개인정보보호 추진계획, 개인정보 보호 방침, 개인정보 위탁 및 제공 시 안전조치, 개인정보 침해대응, 개인정보 처리구역 보호 등의 분석 및 개선방안 제시 - 대상시스템의 개인정보 취급자, 취급 내용, 보유기간 등의 적정성 및 개선방안 제시 ㅇ 개인정보 처리단계별 보호의 적정성 분석 및 조치방안 마련 - 개인정보 수집, 저장 및 보유, 이용 및 연계․제공, 파기단계에 이르는 각 단계별 보호조치의 적정성 분석 ㅇ 개인정보보호 점검결과에 따른 개선방안 및 후속조치방안 마련 - 개인정보보호 관련 법규 위반사항에 대한 개선방안 마련 등 - 개인정보영향평가 결과에 따른 시스템 개선방안 도출 산출정보 개인정보 영향평가 수행계획서 등 관련 지시사항 지시사항 분류 개인정보 영향평가 지시사항 고유번호 PAR-002 지시사항 명칭 개인정보 영향평가 자료 분석 지시사항상세설명 정의 개인정보 영향평가를 위한 자료 수집 및 분석에 관한 사항 세부내용 ㅇ 제안사는 기관 내∙외부 개인정보 보호 정책 환경과 개인정보 영향평가 대상 사업 관련 자료를 수집하고 분석하여야 함 개인정보보호 관련 법률·고시·수행안내서 등에 준하여 수집 및 분석 - 기관 내부 개인정보 보호 체계, 규정, 개인정보 보호 정책, 정보시스템을 통해 수집되는 개인정보 양과 범위, 정보시스템 구조와 연계 정보 등
※ 개인정보보호 관련 법규 준수 여부 평가(법령, 지침, 가이드라인, 훈령 등) 대상 시스템 관련 자료 분석: 추진배경, 추진목표, 사업 개요 및 화면 설계서, 인터페이스 정의서, 메뉴 구조도 등에 대한 검토 분석 산출정보 개인정보 영향평가 결과보고서(평가 자료 분석서) 관련 지시사항 지시사항 분류 개인정보 영향평가 지시사항 고유번호 PAR-003 지시사항 명칭 개인정보 흐름 분석 지시사항상세설명 정의 정보시스템 내 개인정보 흐름 분석에 관한 사항 세부내용 ㅇ 제안사는 개인정보 영향평가 대상 시스템의 개인정보 처리 업무별 개인정보 영향도를 평가하여야 함 ㅇ 제안사는 개인정보 수집, 연계, 저장, 이용, 파기 등 개인정보 처리 업무의 개인정보 흐름을 분석하고, 개인정보 처리 현황을 명확하게 알 수 있도록 흐름표와 흐름도를 작성하여야 함 ㅇ 제안사는 개인정보 처리 시스템과 내∙외부 연계 시스템 등 관련 인프라 구성 현황을 파악하여 개인정보 처리 시스템에 대한 보호 대책의 적정성을 검토하고 효과적인 침해 요인 분석 및 위험도 산정이 가능 하도록 정보보호 시스템 목록을 작성하여야 함 산출정보 개인정보 영향평가 결과보고서(개인정보 흐름표, 흐름도) 관련 지시사항 지시사항 분류 개인정보 영향평가 지시사항 고유번호 PAR-004 지시사항 명칭 개인정보 침해요인 분석 지시사항상세설명 정의 개인정보 침해요인 분석에 관한 사항 세부내용 ㅇ 제안사는 개인정보 보호 조치사항을 파악하여 침해요인을 분석하기 위한 평가항목, 기준 등을 수립하여야 함 ㅇ 제안사는 개인정보 흐름 분석, 개인정보 보호 조치 현황에 대한 평가를 기반으로 개인정보 침해요인을 분석하여야 함 - 침해요인은 유사 침해사고 사례, 대상 시스템과 업무의 특성을 반영하여 작성, 법률 위반 사항에 대해서는 별도 표기 필요 ㅇ 개인정보 처리 업무의 중요도(개인정보 영향도), 침해요인 발생 가능성, 법률에 규정된 의무사항 등을 종합적으로 고려하여 위험도를 산정하여야 함 산출정보 개인정보 영향평가 결과보고서(침해요인 목록, 위험도 산정 결과) 관련 지시사항 지시사항 분류 개인정보 영향평가 지시사항 고유번호 PAR-005 지시사항 명칭 개선계획 수립 지시사항상세설명 정의 개선계획 수립에 관한 사항 세부내용 ㅇ 제안사는 개인정보 침해요인을 제거하기 위한 개선방안을 제시하여야 함 - 개선방안은 위험도의 우선순위에 따라 발주기관이 수용 가능한 수준을 정하여 단기, 중∙장기로 구분하여 구체적으로 제시 - 발주기관 및 개인정보 영향평가 대상 시스템 환경을 고려한 최적의 개선방안을 상세하게 제시 ㅇ 제안사는 도출된 개선방안을 토대로 발주기관의 예산, 인력, 사업 일정 등을 고려하여 개선계획을 수립하여야 함 - 위험평가 결과를 참고하여 위험도가 높은 순서의 개선방안을 먼저 실행하는 방향으로 개선계획표 작성 - 발주기관에서 개선계획 이행 시 즉시 활용할 수 있도록 구체적이고 효과적인 방안을 제시하되, 과제 이행이 도움이 되는 관련 사례가 있는 경우 함께 제시 ㅇ 제안사는 개인정보보호위원회 집중관리시스템에 적용되는 법령을 검토하여 개선계획을 수립 및 지원방안 제시 - 사업 수행과정 및 종료 이후에 필요한 기술사항 및 지원방안, 계획 등 제시 산출정보 개인정보 영향평가 결과보고서(개선계획표, 개선계획서) 관련 지시사항 지시사항 분류 개인정보 영향평가 지시사항 고유번호 PAR-006 지시사항 명칭 개인정보 영향평가서 작성 지시사항상세설명 정의 개인정보 영향평가서 작성에 관한 사항 세부내용 ㅇ 제안사는 개인정보 영향평가의 모든 과정에서 생산한 산출물을 종합 정리하여 개인정보 영향평가 보고서를 작성하여야 함 - 「개인정보 영향평가에 관한 고시」 별지 제12호 서식에 따라 ‘개인정보 영향평가서 개요’를 작성하여 영향평가서에 포함하여야 함 - 개인정보 영향평가서 외에 요약본을 반드시 작성하여야 함 - 잔존 위험이나, 이해관계자 간의 의견충돌이 있는 경우 발주자와의 협의 및 공식 의사결정 과정을 거쳐 개인정보보호 목표수준을 설정하여야 함 - 영향평가서는 발주자의 최종 검토‧승인을 거쳐 제출하여야 함 - 개인정보보호종합지원시스템(intra.privacy.go.kr)에 보고서 및 요약본 제출 지원 산출정보 개인정보 영향평가서 결과보고서(요약본 포함) 관련 지시사항 지시사항 분류 개인정보 영향평가 지시사항 고유번호 PAR-007 지시사항 명칭 개인정보 영향평가 이행 점검 지시사항상세설명 정의 개인정보 영향평가 이행 점검에 관한 사항 세부내용 ㅇ 대상 사업자가 협의한 일정대로 개인정보 영향평가 결과물에 대한 개선방안을 이행하였는지에 대해 이행점검을 하여야 함 ㅇ 발주자 협의에 따라 이행점검을 실시하며, 이행점검 계획, 방법 및 결과보고서를 제출하여야 함 ㅇ 이행점검 수행 방법은 제안사가 개선 요구한 사항의 반영 여부를 점검하는 등 발주자와 협의하여 진행함 산출정보 개인정보 영향평가 이행점검 결과보고서 관련 지시사항
2) 보안 요구사항(Security Requirement) 지시사항 분류 보안 지시사항 고유번호 SER-001 지시사항 명칭 정보보안 계획 수립 및 실행 지시사항상세설명 정의 정보보안 계획 및 방안 제시 세부내용 ㅇ 사업수행기간 중 보안 관련법규를 준수하고 대외 보안유지에 적극 협조하여야 함 - 사업 수행기간 중 중요 데이터 등 정보 누출에 대비하여 구체적인 정보보호계획 및 방안을 제시 ㅇ 제안업체는 보안규정 준수 대상에 대해서 관세청 정보보안업무에 관한 훈령을 숙지하고 수행해야 함 - 보안규정 준수대상 : 문서, 시스템 및 통신, 인력, 시설보안 등 - 보안규정 준수대상에 대해 보안관리 계획을 수립하고 보안상 결격사항이 없도록 조치 - 저작권 보호 방안을 제시하고, 저작권을 침해할 수 있는 S/W 및 문서를 보유하거나 본 사업을 위해 사용할 수 없음 ㅇ 기밀 유출 방지를 위한 체계 및 대책 방안 수립 - 사무실 출입관리, 문서보안관리, PC 및 파일서버 관리 등 산출정보 관련 지시사항 지시사항 분류 보안 지시사항 고유번호 SER-002 지시사항 명칭 외부PC 반입 지시사항상세설명 정의 외부 정보화 기기 반입 시 신고 및 보안 통제 세부내용 ㅇ 외부PC(노트북 등) 반입시 발주자의 보안 프로그램을 반드시 설치하여 내부 사용자 보안사항을 준수해야 함 ㅇ 사업기간 내 사용되는 모든 개발용 PC, 노트북 등 정보화기기의 사용 현황을 발주기관에 신고관리해야 함 ㅇ 사업수행사가 사용하는 노트북PC 등은 임의로 인터넷 연결을 금지함 ㅇ 정보시스템을 외부로 반출할 경우 사전에 발주기관 정보보안담당관의 통제를 받아야 함 산출정보 관련 지시사항 지시사항 분류 보안 지시사항 고유번호 SER-003 지시사항 명칭 사업관련 자료 보안방안 지시사항상세설명 정의 사업관련 자료 외부 유출 금지 세부내용 ㅇ 제안사는 사업수행과 관련한 인원, 문서, 장비, 자료 등의 보안관리 계획을 수립하여야 하며, 보안상 결격사항이 없도록 조치하여야 함 ㅇ 사업관련 자료는 인터넷 웹하드, 웹메일 등 외부에 저장 및 전송을 금지해야 함 산출정보 관련 지시사항 지시사항 분류 보안 지시사항 고유번호 SER-005 지시사항 명칭 관리적 보안 지시사항상세설명 정의 관리적 보안 개념 정의 세부내용 ㅇ 인적, 물적 자원에 대한 보안정책 및 지침을 수립 · 적용하고, 사업 참여자에 대한 초기 보안교육 및 수시 보안 진단 실시 ㅇ 사업참여 인력에 대한 보안관리는‘국가정보보안기본지침’의 정보시스템 위탁운영 보안관리 및 용역업체 보안관리(국가정보원)를 반드시 준수 ㅇ 본사업의 참여인력은 신원이 확실한 자이어야 하며, 보안 누설로 인한
법규위반 시 법에 의하여 처벌됨 ㅇ 제안사는 유지관리와 관련하여 알게 된 모든 사항에 대하여 계약 기간 전/후 및 장소를 불문하고 수요기관의 승인 없이 외부에 누설 하거나 다른 용도로 이용할 수 없으며, 이를 준수하지 아니하여 발생하는 모든 민형사상 책임은 제안사에 있음 ㅇ 보안관리 책임자를 지정하고, 프로그램 소스코드 및 관련 S/W의 유출을 방지하기 위해 디스크, USB, 출력물을 별도 관리 - 본 사업기간 중 취득한 정보 및 자료는 사업종료 후 전량 반납 또는 파기하여야 하며, 기관의 승인 없이 외부에 공개 또는 제공 금지 - 사업수행 인력을 대상으로 보안서약서 징구 및 주기적인 보안교육 실시 등 보안관리 철저 - 계약 체결 후 보안점검을 실시하고, 미흡한 부분은 즉시 시정 ㅇ 기타 보안 준수 사항
* 공유자원에 대한 접근제어가 사용권한에 따라 이루어지도록 관리 - 비밀번호 길이 및 사용주기를 제한하고 불필요한 디폴트 계정을 삭제하는 등 서버 사용자 및 비밀번호 관리 - 발주처의 요구에 따른 사용자 PC 백신 프로그램 설치, 정기적 바이러스 및 해킹도구 검사 실시 - 비공개, 대외비 자료 및 비밀자료는 전자우편으로 수·발신 금지, 인터넷 이용 시 접속 제한사이트 및 파일공유 사이트 접속금지 - 노트북 및 PC에 전원기동(CMOS) 비밀번호, 윈도우 로그인 비밀번호 , 화면보호기(10분 간격) 비밀번호를 영문자 및 숫자가 조합된 9글자 이상으로 설정하고 주기적으로 변경 실시 - 시스템이나 파일이 피해를 입더라도 최근에 백업한 시점의 내용으로 복구할 수 있는 백업정책 수립 및 실행 - 인터넷 PC에 업무자료 보관 금지 산출정보 관련 지시사항 지시사항 분류 보안 지시사항 고유번호 SER-004 지시사항 명칭 PC 보안관리 지시사항상세설명 정의 PC 보안관리 개념 정의 세부내용 ㅇ 사업자PC의 유지 관리 및 보안관리 업무 수행 - 운영체제 및 소프트웨어에 대한 최신 패치 및 업그레이드 수행 ㅇ 노트북은 시건장치가 있어야 함 ㅇ 용역업체 노트북 PC 반입시 최신 백신으로 하고 사업 종료시까지 반출 금지 - 반출시 보안담당관 통제하에 저장자료를 완전 삭제 및 승인 후 반출 ㅇ USB 등 보안대책 - “USB메모리 등 휴대용 저장매체 보안관리 지침” 준수 - 보안 USB 에이전트 설치 의무, 비인가 USB 사용금지 ㅇ 무선인터넷 차단 조치 - 개발 사무실내 무선인터넷 사용금지 및 무선인터넷 차단 조치 ㅇ 유지관리 업체 직원이 작업 시 휴대용 저장장치 소지를 금지토록 하고, 담당 공무원 입회감독 실시 산출정보 관련 지시사항 지시사항 분류 보안 지시사항 고유번호 SER-006 지시사항 명칭 물리적 보안 지시사항상세설명 정의 물리적 보안 개념 정의 세부내용 ㅇ 사업수행 장소는 관세청과 협의하여 사업수행에 지장이 없고, 시건장치와 출입통제가 가능한 공간으로 마련하여야 하며, 필요 물품은 사업자의 비용 부담으로 준비하여야 한다. ㅇ 제안사는 사업을 수행하는 공간에 대해 관세청이 요구하는 일정 기준의 점검 기준을 충족하여야 하며, 이에 따른 정기적인 보안 점검을 실시하고 그 결과를 제출하여야 한다. ㅇ 생성된 문서는 별도의 시건장치가 있는 공간에 안전하게 보관하여야 하며 폐기되는 문서는 반드시 문서 세단기를 이용하여 폐기하여야 한다. ㅇ PC 및 보조기억매체는 관세청의 보안담당관의 승인하에 반출ㆍ입하여야 한다. ㅇ 사업 수행 시 용역업체의 PC는 관세청 내부망과 인터넷망을 반드시 분리하여 사용하여야 하며, 한 대의 PC로 2개 이상의 망을 번갈아 가며 사용할 수 없음 산출정보 관련 지시사항 지시사항 분류 보안 지시사항 고유번호 SER-007 지시사항 명칭 개인정보처리 위탁 업무 계약 체결 지시사항상세설명 정의 개인정보처리 위탁 업무 계약 체결 개념 정의 세부내용 ㅇ 개인정보보호법 및 동법 시행령에 따라 개인정보의 안정성 확보에 필요한 관리적·기술적 조치를 취해야 한다. ㅇ 운영 사업자 및 사업 추진 시 개인정보 처리
업무가 포함되는 사업을 수행하는 경우 [붙임] ‘표준 개인정보처리 위탁 계약서’를 제출하여야 한다. 산출정보 관련 지시사항 지시사항 분류 보안 지시사항 고유번호 SER-008 지시사항 명칭 스마트 기기에 대한 보안 조치 의무 시행 지시사항상세설명 정의 스마트 기기에 대한 보안 조치 의무 사항 제시 세부내용 ㅇ 사 업 수행 투입인력 및 방문자는 소지 중인 스마트 기기를 통한 업무자 료
불법 유출을 사전에 차단하기 위한 보안스티커를 제작·부착하여야 한다. - 출·퇴근 시 카메라 렌즈 부분에 부착하고 확인 - 사업별 관리책임자 지정 및 책임 부여, 관리 감독 ㅇ 모든 스마트 기기 카메라에 보안스티커(가로 2cm * 세로 1cm)를 아래 도안을 준수하여 제작하여 부착하여야 한다.
[보안스티커 도안] 산출정보 관련 지시사항 지시사항 분류 보안 지시사항 고유번호 SER-009 지시사항 명칭 정보보안 관리 실태 평가 등 지원 지시사항상세설명 정의 정보보안 관리 실태 평가 등 지원 개념 정의 세부내용 ㅇ 용역업체는 정보보안 관리 실태 평가를 위해 필요한 인력 및 제반사항등을 지원 ㅇ 외주용역 사업에 참여하는 업체 직원에 대해 작업수행 과정에서 취득한 기밀누설 방지를 위한 서약서 징구 및 보안교육 ㅇ 용역업체 직원이 기관 내부전산망 이용이 필요한 경우, 사업 참여 인원에 대한 사용자 계정(ID)은 하나의 그룹으로 등록하고 계정별로 정보시스템 접근권한 차등 부여 - 계정별로 부여된 접속권한은 불필요시 곧바로 권한을 해지 또는 계정 페지 ㅇ 용역업무 수행과정에서의 보안관리 실태 수시 현장점검 실시 - 휴대용 저장매체, 전산장비 무단반입, 내부자료 보관유무 확인 - 인 터넷(이메일, P2P, 메신저 등)을 통한 내부정보 무단 유출여부 확인 산출정보 관련 지시사항 요구사항 분류 보안 요구사항 고유번호 SER-010 요구사항 명칭 참여인력 보안서약 및 책임 요구사항 상세설명 정의 보안서약서 제출 및 보안 준수 세부내용 ㅇ 사업 수행 시 프로젝트 팀 내부에 정보보안 책임자 및 담당자를 정해 보안업무를 관리하도록 하고, 인력에 대한 주기적인 보안교육 등 철저한 보안관리 대책을 제시하여야 함 ㅇ 사업수행 중 인지하거나 습득하게 된 관세청 관련 지식, 제공받은 자료, 기타 산출물이 외부로 유출되지 않도록 하여야 하며, 자료 인수인계대장을 비치·관리하여야 함. 단, 부득이 자료 반출이 필요한 경우 담당공무원의 승인을 받아 발주처의 자료전송시스템을 사용하여야함 (대상정보 유출 시 국가 계약법에 따라 부정당업자 등록 처분 등 해당 법령에서 정한 규정에 의해 처벌받을 수 있으므로 주의하여야 함)
※ [별첨] ‘누출금지 대상정보’ 참고 ㅇ 본 사업을 수행하기 위해 사용하는 전산장비(PC, 모니터, 주변기기, 저장매체 등)는 사전 허가를 득하고 사용해야 하며, 임의로 반출
하거나 폐기할 수 없으며, 노트북 등 PC관련 전산장비는 반입·반출시 마다 정보보안담당관의 입회하에 악성코드 감염여부·자료 폐기 및 반출입 여부를 확인 받아야 한다. ㅇ 본 사업에 참여하는 모든 직원은 사업수행 단계에서 별도 양식에 의한 배상책임 등이 명시된 [붙임] ‘보안서약서(용역업체 직원용)’을 제출해야 한다. ㅇ 용역업체 대표자는 사업수행 단계에서 [붙임] ‘보안서약서(용역업체 대표용)’, [붙임] ‘표준 개인정보처리 위탁 계약서’를 제출하여야 하며, 사업종료 단계에서는 [붙임] 보안확약서를 제출하여야 한다. ㅇ 기타, 매월 보안점검 실시 등 관세청에서 권고하는 보안조치 사항을 준수 이행하여야 한다. - 관세청의 보안정책을 위반하였을 경우 사업자의 보안 위규 처리 기준에 따라 위규자와 관리자에 대한 행정조치를 이행하고 보안위규에 따른 보안위약금을 관세청장에게 납부 - 제안업체는 사업수행과정에서 취득한 자료와 정보에 대해서 수행과정 중은 물론 사업완료 후에도 승인 없이 외부에 유출해서는 안됨 산출정보 관련요구사항 지시사항 분류 보안 지시사항 고유번호 SER-011 지시사항 명칭 시건장치 지시사항상세설명 정의 중요자료 및 노트북의 시건장치 부착 세부내용 ㅇ 정보시스템 사업과 관련한 중요자료 및 비공개자료는 2중 시건장치가 있는 장소에 보관하여야 함 ㅇ 노트북은 시건장치가 있어야 함 산출정보 관련 지시사항
3) 제약사항(Constraint Requirement) 지시사항 분류 제약사항 지시사항 고유번호 COR-001 지시사항 명칭 관련 법률 및 규정 준수 지시사항상세설명 정의 관련 법률 및 규정 준수 사항 정의 세부내용 ㅇ 용역수행시 관련 법률과 제반 규정을 준수하여 사업을 수행하여야 함 - 「행정기관 및 공공기관 정보시스템 구축·운영 지침(행정안전부 고시)」에 규정된 사항을 준수하여야 함 - 개인정보를 처리함에 있어 「개인정보보호법」 등 관련법규 및 규정을 준수하여야 하여야 함 ㅇ 표준운영 체계, 절차 및 보안체계, 정책 등 각종 서식에 대하여 관세청 지침이나, 기존 표준체계에 따르되, 표준이 없으면 표준 형식을 정의하고 관세청 승인을 득한 후 형식에 맞게 작성 산출정보 관련 지시사항 지시사항 분류 제약사항 지시사항 고유번호 COR-002 지시사항 명칭 기타 사업 추진과 관련된 표준 준수 지시사항상세설명 정의 기타 사업 추진과 관련된 표준 준수 사항 정의 세부내용 ㅇ 본 용역의 수행 중 불가항력적인 사유 및 부득이한 사유 등으로 당초
공정대로 시행이 어려울 경우 관세청의 승인을 얻어 공정기간을 연기 하거나 조정 ㅇ 본 용역의 수행 중 용역범위에 증감이 발생하거나 기타 관세청이 필요하다고 인정할 경우에는 상호 합의하에 사업내용을 조정 ㅇ 용역수행자는 본 과업성과의 품질을 높이고 보증하는데 최선을 다 해야 하며, 성과물의 품질 향상을 위해 관세청의 지시를 성실히 이행 산출정보 관련 지시사항
4) 프로젝트 관리 요구사항(Project Management Requirement) 지시사항 분류 프로젝트 관리 지시사항 고유번호 PMR-001 지시사항 명칭 사업수행조직 지시사항상세설명 정의 사업수행조직 개념 정의 세부내용 ㅇ 제안사는 사업의 성공적인 추진을 위해 투입될 조직 및 인원 현황을 제시하고 조직별, 작업 단위별 업무 분장 내역을 제시하여야 함 ㅇ 사업관리자(PM)는 정규 직원이어야 하며 본 사업을 총괄 할 수 있는 전문 인력이어야 함 - 가급적 공고일 기준 최근 5년 이내 개인정보 영향평가 관련 PM(사업관리자) 경험이 있어야 함 ㅇ 수행인력은 「개인정보 영향평가에 관한 고시」 제5조의 수행인력 자격 충족 ㅇ 제안사는 투입인력의 개인정보 영향평가 자격을 확인할 수 있는 서류를 제안서에 포함하여 제출
- 영향평가 자격증명은 한국인터넷진흥원에서 발급한 개인정보 영향평가전문인력 인증서(반드시 사업종료일까지 자격이 만료되지 않음을 증명할 수 있어야 함)를 제출 ㅇ 제안사 는 투입인력이 주관사업자 소속임을 증명할 수 있는 고용보험 가입사실 확인서를 제출 ㅇ 본 용역 수행에 있어 자격 미달, 근무태도 불량, 기술 능력 부족 등으로 판단될 경우에는 해당 기술 인력의 교체를 요구할 수 있으며, 사업자는 특별한 사유가 없는 한 해당 기술 인력(동급이상의 인력으로)을 즉시 교체 ㅇ 공동 수급 형태로 제안할 경우 주사업자와 부사업자 간의 업무 수행
범위 및 책임 관계를 상세히 정의하고 주 사업자의 조직 운영 방안을 제시하여야 함 ㅇ 프로젝트 추진일정(WBS)에 따른 전체 투입인력의 솔루션별, 업무분야별 수행자 및 역할투입 시점과 상주기간(투입율) 명시 ㅇ 투입된 인력은 내부 규정을 준수하여야 하고, 관세청 승인 없이 임의로 변경할 수 없음 ㅇ 모든 투입인력은 상주를 원칙으로 하며, 비상주 인력에 대해서는 투입공수에서 제외함 산출정보 사업수행계획서 관련 지시사항 지시사항 분류 프로젝트 관리 지시사항 고유번호 PMR-002 지시사항 명칭 일정 관리 지시사항상세설명 정의 일정 관리 - 사업수행계획서 제출 및 일정관리 개념 정의 세부내용 ㅇ 사업수행계획서 제출 - 법정기일 이내 제안요청서, 제안서, 협상내용 등을 기준으로 누락사항 없이 사업수행계획서를 상세하게 작성·제출 하고 착수보고를 하여야 함 ㅇ 사업 일정 관리 - 사업착수 시점부터 사업수행 진척 사항을 계획과 실적을 비교하여 주, 월간 보고를 관리도구로 보고하고 산출물을 납품하여야 함 - 주사업자의 사업관리자(PM)가 모든 일정관리 및 품질관리 수행 - 상세 일정계획은 최초 제출한 WBS를 기준으로 하며, 변경시 관세청에 사전보고 하여야 함 - 세부 활동별 요구분석, 업무범위, 추진일정, 품질관리, 의사소통관리 , 위험 및 이슈관리, 투입인력관리, 보안 관리방안 등 상세 사업관리 방안 등을 포함하여야 함 산출정보 사업수행계획서 관련 지시사항 지시사항 분류 프로젝트 관리 지시사항 고유번호 PMR-003 지시사항 명칭 정기 및 비정기 보고와 위험관리 방안 제시 지시사항상세설명 정의 정기 및 비정기 보고와 위험관리 방안 제시 세부내용 ㅇ 일정을 수립하여 해당 일정에 맞게 보고회를 실시하여야 함 - 착수, 중간, 완료, 월간, 비정기 보고회(필요시) 실시 - 주요 내용이 누락되지 않도록 작성 ㅇ 발생 가능한 위험요소들을 유형별로 구분하여 제시하고, 유형별 대처 방안을 제시하여야 함 산출정보 주간/월간 보고서, 착수/중간/완료 보고서 관련 지시사항 지시사항 분류 프로젝트 관리 지시사항 고유번호 PMR-004 지시사항 명칭 인력교체 지시사항상세설명 정의 인력교체 개념 정의 세부내용 ◦ 사업 착수 시 제안한 투입인력은 발주자의 동의 없이 사업자 임의로 변경할 수 없음 ◦일반용역계약 특수조건 제7조(인력의 교체) 일반조건 제11조제2항(지방자치단체 일반조건 제5절 "2")에 따라 수요기관에서 기술자의 교체를 요청하거나 계약상대자의 사정으로 기술자 교체가 필요한 경우 계약상대자는 사전에 해당 용역의 이행에 필요한 자격 유무를 확인할 수 있는 서류(자격증, 이력서 등)를 수요기관에 제출하고 적격 여부를 서로 협의하여 교체 여부를 결정함. (소프트웨어사업 계약 및 관리감독에 관한 지침 제18조에 따라 '기능점수 방식 또는 서비스수준협약 방식' 산정 부분 제외) ◦인력 교체는 관세청과 사전협의 후 교체 7일전에 관세청의 승인을 받아야 하며 인수인계 기간은 7일 이상으로 함 ◦ 인력 교체 기간 동안 발생하는 업무의 안정화 및 품질저하 방지대책을
제시해야 하고, 인계·인수 기간 동안 교체인력에 대한 인건비는 사업자 부담으로 처리하여야 하며, 투입공수에서 제외함 ◦ 참여 인원 중 발주기관이 인력 교체를 요구하는 경우에는 교체하여야 함
* 인력 변경 시 정보화사업관리시스템에 변동사항을 입력해야 함 산출정보 사업수행계획서 관련 지시사항 지시사항 분류 프로젝트 관리 지시사항 고유번호 PMR-005 지시사항 명칭 지원 및 자문 조직의 구성 지시사항상세설명 정의 지원 및 자문 조직의 구성 사항 정의 세부내용 ㅇ 추진조직 외에 본 사업을 성공적으로 수행할 수 있도록 지원 또는 자문조직의 구성을 제시할 수 있으나, 수행 역할과 결과물이 명확해야 함 산출정보 사업수행계획서 관련 지시사항 지시사항 분류 프로젝트 관리 지시사항 고유번호 PMR-006 지시사항 명칭 정보화사업관리시스템을 이용한 사업관리 지시사항상세설명 정의 정보화사업관리시스템을 이용한 사업관리 방안 제시 세부내용 ㅇ 관세청의 정보시스템 사업과 관련된 모든 산출물은 정보화사업관리 시스템을 통해 관리되어야 함. - 착수보고서(기술공정예정표 포함), 사업 산출물, 사업 관련 보고문서, 완료보고서, 월간·주간보고, 회의록 등 ㅇ 프로젝트 착수에서 종료까지의 모든 활동 내역을 관리해야 하며, 관련
산출물은 정보화사업관리시스템 운영자, 사업담당자의 승인을 득하여 관리하여야 함 산출정보 관련 지시사항 지시사항 분류 프로젝트 관리 지시사항 고유번호 PMR-007 지시사항 명칭 정보화관리 교육 이수 의무 준수 지시사항상세설명 정의 정보화관리 교육 이수 의무 준수 제시 세부내용 ㅇ 사업자는 계약 후 14일 이내 관세청 정보화관리 업무에 대한 교육과정을 이수하여야 함 - 교육신청은 사업관리자(PM)가 정보화사업 담당자 에 요청해야 함 - 정보화관리 업무 개요 - 정보화사업관리시스템 사용 방법(계정 생성 및 권한 부여) - 관세청 정보화관리 표준 제공(표준산출물 등) - 관세청 보안 준수 요건 등 산출정보 관련 지시사항 지시사항 분류 프로젝트 관리 지시사항 고유번호 PMR-008 지시사항 명칭 일정계획 지시사항상세설명 정의 일정계획 제시 세부내용 ㅇ 사업을 기간 내에 완수하기 위한 개발 단계별 추진일정 및 세부 활동
내용 등이 포함된 개발 일정계획을 제시하여야 함 ㅇ 일정계획을 정보화사업관리시스템이 아닌 별도 문서로 관리하는 경우 수행일정(WBS)는 계획, 소요일, 가중치, 진척율(실적/계획), 실적과 관련된 항목이 포함되어야 함 산출정보 사업수행계획서 관련 지시사항 지시사항 분류 프로젝트 관리 지시사항 고유번호 PMR-009 지시사항 명칭 검사 지시사항상세설명 정의 검사 요건 세부내용 ㅇ 검사는 완료보고서 접수일로부터 14일 이내에 실시 - 제안요청서, 제안서, 협상 결과, 계약서, 사업수행계획서 등과 일치하지 않을 경우 지체 없이 보완 후 재검사를 받아야 함 ※ 해당내용을 정보화사업관리시스템에 모두 등록해야 함 산출정보 관련 지시사항 지시사항 분류 프로젝트 관리 지시사항 고유번호 PMR-010 지시사항 명칭 신원조사 지시사항상세설명 정의 신원조사 실시 세부내용 ㅇ 발주기관에서 사업자 선정 후 투입인력에 대해 신원조사를 실시할 경우 이에 응하여야 하며, 조사결과 결격사유가 없어야 함 산출정보 관련 지시사항 지시사항 분류 프로젝트 관리 지시사항 고유번호 PMR-011 지시사항 명칭 보고서 제출 지시사항상세설명 정의 보고서 제출 개념 정의 세부내용 ㅇ 착수보고서 - 용역 계약 후 프로젝트를 수행을 위한 계획, 일정 등을 명시한 착수 보고서를 투입인력별 보안서약서와 함께 계약일로부터 10일 이내에 제출하여야 함 ㅇ 사업추진 주요 산출물은 「개인정보 영향평가 수행안내서」 및 제안요청서의 산출정보 내용을 따름 ㅇ 프로젝트 관리 산출물 제출일정은 발주기관과 협의·확정 하여야 하며, 사업수행계획서에 명시(산출물명, 산출물 제출일정 포함)하여야 함 ※ 사업자는 과업이 완료되기 15일 전에 보고서의 초안을 발주기관에 제출하여 심의를 받고, 수정사항에 대해서는 보완토록 함 ※ 사업자는 보고서 작성 중에 항상
…(이하 생략 — 전문은 첨부파일 참조)