===== [공고문] 2026년 KAIST 안전관리통합시스템 유지관리 사업.hwp =====
참고번호: 262017호
용역 입찰 공고 1. 입찰에 부치는 사항
가. 용 역 명 : 2026년 KAIST 안전관리통합시스템 유지관리 사업
나. 용역내역 : 제안요청서 참조 다. 용역기간 : 계약일로부터 12개월 라. 계약방법 : 제한경쟁 / 총액계약
마. 예산금액 : 95,000,000원 (V.A.T 포함)
바. 낙찰방법 : KAIST 협상에 의한 계약
사. 추정가격 : 86,363,636원 2. 사업설명회(없음) 3. 제안입찰 참가자격
가. 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제12조 및 같은 법 시행규칙 제14조에 따른 경쟁입찰 참가자격을 갖춘 자
나. 「국가를 당사자로 하는 계약에 관한 법률」 제27조 및 같은 법 시행령 제76조에 따른 입찰참가자격 제한을 받고 있지 않은 자
다. 「소프트웨어 진흥법」 제58조에 따른 소프트웨어사업자로서 국가종합전자조달시스템에 컴퓨터관련서비스사업(업종코드: 1468)으로 등록한 자
라. 「중소기업제품 구매촉진 및 판로지원에 관한 법률」 제4조제2항 및 같은 법 시행령 제2조의2제1항제1호에 따른 소기업 또는 소상공인으로서, 유효한 중소기업확인서(소기업·소상공인)를 보유한 자
마. 「중소기업제품 구매촉진 및 판로지원에 관한 법률」 제9조 및 같은 법 시행령 제10조에 따라 다음 세부품명에 대한 직접생산확인증명서를 입찰서 제출마감일 전일까지 발급받아 유효기간 내에 있는 자
세부품명: 정보시스템유지관리서비스 및 정보시스템개발서비스
세부품명번호: 8111189901, 8111159901
바. 공동수급 및 하도급은 허용하지 않음.
4. 입찰방법 : KAIST 협상에 의한 계약
(https://share.google/HyQm9aSpLDo8MrjGE)
5. 제안서 작성 및 제출 가. 제안서 작성방법 : 제안요청서 참조
나. 제안서 제출처 : 우리대학 구매팀(대전 유성구 대학로 291 KAIST E-14건물 4층)
다. 제안서 제출 마감일시 : 2026년 11월 2일(월) 14:00까지
- 방문에 의한 접수만 가능하며 우편접수는 불가함.
라. 제출 서류
- 제안서 제출 공문서(입찰참가신청서 포함) 1부(대표자 날인)
- 제안서가 포함된 USB 2개(USB에 회사명 기재 필)
- 가격제안서 1부(세부 산출내역 포함, 별도 밀봉 날인 제출)
- 제안서 및 제안요약서 인쇄본 총 6부 (1부 기명, 5부 무기명)
- 제출자가 대표자가 아닌 경우 위임장 및 재직증명서 각 1부(신분증 필참)
- 조달청 경쟁입찰참가자격 등록증 1부(나라장터 출력)
- 사업자등록증 및 통장사본 1부 - 법인등기부등본 1부 (법인에 한함) - 법인인감증명서 및 사용인감계 1부 - 소프트웨어 사업자 관리확인서 사본 1부
- 신용평가 등급 증빙서(미제출 시, 평가에서 가장 낮은 등급으로 처리)
- 중소기업 확인서 및 직접생산증명서 1부 - 관련 서약서 각 1부 6. 제안평가회 : 발표평가 진행 - 개찰 이후 7일 이내(별도 유선 통보) - 자세한 사항은 사업부서 안내에 따름 7. 입찰참가 신청 및 입찰보증금
가. 제안업체는 제안서 제출 시 입찰참가신청서를 작성 제출하여야 합니다.
나. 입찰보증금은 입찰참가신청서 입찰보증금란을 작성하고 날인하는 것으로 갈음하며, 낙찰자가 소정의 기일까지 정당한 사유 없이 계약을 체결하지 않을 시에는 동 보증금을 낙찰자에게 청구합니다.
8. 협상 우선대상자 선정방법
기술평가 결과점수를 제안서 평가결과 기술능력평가 점수가 기술능력평가 분야 배점한도의 85%이상(68점)인 자를 협상적격자로 선정하며, 협상순서는 합산점수의 고득점 순에 의하여 결정한다. 합산점수가 동일한 제안자가 2인 이상일 경우에는 기술능력 평가점수가 높은 제안자를 선순위자로 하고, 기술능력 평가점수도 동일한 경우에는 기술능력의 세부평가항목 중 배점이 큰 항목에서 높은 점수를 얻은 자를 선순위자로 한다.
(제안서평가 = 기술평가(80)+가격평가(20))
9. 협상절차
결정된 협상순위에 따라 선순위 협상대상자와 협상을 하며, 1순위 협상대상자와 협상이 종료되는 경우 차순위 협상대상자와는 협상절차를 진행하지 않는다.
다만, 선순위 협상대상자와 협상이 성립되지 않으면 동일한 기준과 절차에 따라 순차적으로 차순위 협상적격자와 협상을 실시한다.
10. 청렴계약
가. 본 계약은 청렴계약(서약)제가 적용됩니다.
나. 입찰에 참여한 자는 모두 국가계약법시행령 제4조의2에 따라 “청렴계약서(서약서)”를 제출한 것으로 간주합니다.
다. 입찰에 참여하는 자는 한국과학기술원 협력업체 행동강령(홈페이지-입찰/구매란)을 숙지하고 준수하여야 하며, 계약 체결 시 ‘협력업체 행동강령 준수 서약서’를 제출하여야 합니다.
11. 유의사항
가. 본 용역 관련하여 공고문과 붙임 서류(제안요청서, 과업지시서 등)의 내용이 서로 다른 경우에는 공고문의 내용이 우선 적용됩니다.
나. 입찰참가자는 제안요청서, 용역입찰유의서-기획재정부 계약예규, 계약일반조건, 특수조건 등을 사전에 숙지하고 입찰에 응하기 바라며, 미 숙지로 인한 책임은 입찰자에게 있습니다.
다. 입찰에 제출되는 서류가 사본일 경우에는 “사실과 상위 없음”확인 또는 “원본 대조필”날인 후 제출하여야 합니다.
라. 입찰에 참가하여 낙찰자로 선정된 업체는 낙찰 후 7일 이내에 계약을 체결하여야 하며 이를 이행 하지 못하는 경우에는 낙찰을 무효로 하며 입찰보증금은 우리대학에 귀속 됩니다.
마. 입찰 및 계약 관련 부패행위나 불공정행위 등이 발생한 경우에는 한국과학기술원 신문고(www.kaist.ac.kr → 홈페이지 하단 감사실 신문고) 또는 청탁관리자([email protected])에게 신고하여 주시기 바랍니다.
바. 제안서 작성 및 심사 등에 관한 사항은 KAIST 안전팀 윤석노(☎042-350-4142), 기타 입찰진행에 따른 사항은 우리대학 구매팀 임정빈(☎042-350-2331)에게 문의하시기 바랍니다.
사. 최근 우리 원 담당자를 사칭한 피싱 사례가 급증하고 있어 이메일 및 메시지 확인 시 각별한 주의를 당부드립니다.
- 공식 도메인 안내: 우리 원 담당자의 공식 이메일 도메인은 @kaist.ac.kr입니다.
- 피싱 식별 방법: 위 도메인 외에 다른 주소(예: .com, .net, 유사 도메인 등)로 발송된 메일은 모두 피싱(사칭)입니다.
한국과학기술원 총장 【별지】퇴직자 영입현황 확인서 퇴직자 영입현황 확인서 □ 공고번호 : □ 입찰건명 :
1. 한국과학기술원 퇴직자(퇴직 후 2년이 경과하지 아니한 자)가 당사에 대표이사 또는 임직원으로 (□ 근무를 하고, □ 근무를 하지 않고) 있습니다.
※ 상기 박스(□)에 체크(√)하고, 근무를 하는 경우 아래 표 작성
성
명
소
속
퇴직당시 직위 퇴직당시 근무부서 퇴직일
2. 상기 입찰에 있어 위에 제출한 내용은 사실이며, 만약 사실과 다를 경우(축소, 누락 포함)에는 부정당업자로 입찰참가자격 제한조치 등의 불이익 처분을 받더라도 일체의 이의를 제기하지 아니할 것을 확약하고 이에 확인서를 제출합니다.
년
월
일
회 사 명 :
대 표 자 :
(인)
한국과학기술원 총장 귀하
===== [공고문] 2026년 KAIST 안전관리통합시스템 유지관리 사업.pdf =====
참고번호: 262017호
용역 입찰 공고
1. 입찰에 부치는 사항
가. 용 역 명 : 2026년 KAIST 안전관리통합시스템 유지관리 사업
나. 용역내역 : 제안요청서 참조
다. 용역기간 : 계약일로부터 12개월
라. 계약방법 : 제한경쟁 / 총액계약
마. 예산금액 : 95,000,000원 (V.A.T 포함)
바. 낙찰방법 : KAIST 협상에 의한 계약
사. 추정가격 : 86,363,636원
2. 사업설명회(없음)
3. 제안입찰 참가자격
가. 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제12조 및 같은 법 시행규칙 제
14조에 따른 경쟁입찰 참가자격을 갖춘 자
나. 「국가를 당사자로 하는 계약에 관한 법률」 제27조 및 같은 법 시행령 제76조에 따
른 입찰참가자격 제한을 받고 있지 않은 자
다. 「소프트웨어 진흥법」 제58조에 따른 소프트웨어사업자로서 국가종합전자조달시스
템에 컴퓨터관련서비스사업(업종코드: 1468)으로 등록한 자
라. 「중소기업제품 구매촉진 및 판로지원에 관한 법률」 제4조제2항 및 같은 법 시행령
제2조의2제1항제1호에 따른 소기업 또는 소상공인으로서, 유효한 중소기업확인서(소기
업·소상공인)를 보유한 자
마. 「중소기업제품 구매촉진 및 판로지원에 관한 법률」 제9조 및 같은 법 시행령 제10
조에 따라 다음 세부품명에 대한 직접생산확인증명서를 입찰서 제출마감일 전일까지 발
급받아 유효기간 내에 있는 자
세부품명: 정보시스템유지관리서비스 및 정보시스템개발서비스
세부품명번호: 8111189901, 8111159901
바. 공동수급 및 하도급은 허용하지 않음.
4. 입찰방법 : KAIST 협상에 의한 계약
(https://share.google/HyQm9aSpLDo8MrjGE)
5. 제안서 작성 및 제출
가. 제안서 작성방법 : 제안요청서 참조
나. 제안서 제출처 : 우리대학 구매팀(대전 유성구 대학로 291 KAIST E-14건물 4층)
다. 제안서 제출 마감일시 : 2026년 11월 2일(월) 14:00까지
- 방문에 의한 접수만 가능하며 우편접수는 불가함.
라. 제출 서류
- 제안서 제출 공문서(입찰참가신청서 포함) 1부(대표자 날인)
- 제안서가 포함된 USB 2개(USB에 회사명 기재 필)
- 가격제안서 1부(세부 산출내역 포함, 별도 밀봉 날인 제출)
- 제안서 및 제안요약서 인쇄본 총 6부 (1부 기명, 5부 무기명)
- 제출자가 대표자가 아닌 경우 위임장 및 재직증명서 각 1부(신분증 필참)
- 조달청 경쟁입찰참가자격 등록증 1부(나라장터 출력)
- 사업자등록증 및 통장사본 1부
- 법인등기부등본 1부 (법인에 한함)
- 법인인감증명서 및 사용인감계 1부
- 소프트웨어 사업자 관리확인서 사본 1부
- 신용평가 등급 증빙서(미제출 시, 평가에서 가장 낮은 등급으로 처리)
- 중소기업 확인서 및 직접생산증명서 1부
- 관련 서약서 각 1부
6. 제안평가회 : 발표평가 진행
- 개찰 이후 7일 이내(별도 유선 통보)
- 자세한 사항은 사업부서 안내에 따름
7. 입찰참가 신청 및 입찰보증금
가. 제안업체는 제안서 제출 시 입찰참가신청서를 작성 제출하여야 합니다.
나. 입찰보증금은 입찰참가신청서 입찰보증금란을 작성하고 날인하는 것으로 갈음하며,
낙찰자가 소정의 기일까지 정당한 사유 없이 계약을 체결하지 않을 시에는 동 보증금을
낙찰자에게 청구합니다.
8. 협상 우선대상자 선정방법
기술평가 결과점수를 제안서 평가결과 기술능력평가 점수가 기술능력평가 분야 배점한
도의 85%이상(68점)인 자를 협상적격자로 선정하며, 협상순서는 합산점수의 고득점 순
에 의하여 결정한다. 합산점수가 동일한 제안자가 2인 이상일 경우에는 기술능력 평가
점수가 높은 제안자를 선순위자로 하고, 기술능력 평가점수도 동일한 경우에는 기술능력
의 세부평가항목 중 배점이 큰 항목에서 높은 점수를 얻은 자를 선순위자로 한다.
(제안서평가 = 기술평가(80)+가격평가(20))
9. 협상절차
결정된 협상순위에 따라 선순위 협상대상자와 협상을 하며, 1순위 협상대상자와 협상
이 종료되는 경우 차순위 협상대상자와는 협상절차를 진행하지 않는다.
다만, 선순위 협상대상자와 협상이 성립되지 않으면 동일한 기준과 절차에 따라 순차
적으로 차순위 협상적격자와 협상을 실시한다.
10. 청렴계약
가. 본 계약은 청렴계약(서약)제가 적용됩니다.
나. 입찰에 참여한 자는 모두 국가계약법시행령 제4조의2에 따라 “청렴계약서(서약서)”를
제출한 것으로 간주합니다.
다. 입찰에 참여하는 자는 한국과학기술원 협력업체 행동강령(홈페이지-입찰/구매란)을
숙지하고 준수하여야 하며, 계약 체결 시 ‘협력업체 행동강령 준수 서약서’를 제출
하여야 합니다.
11. 유의사항
가. 본 용역 관련하여 공고문과 붙임 서류(제안요청서, 과업지시서 등)의 내용이 서로 다른
경우에는 공고문의 내용이 우선 적용됩니다.
나. 입찰참가자는 제안요청서, 용역입찰유의서-기획재정부 계약예규, 계약일반조건, 특수
조건 등을 사전에 숙지하고 입찰에 응하기 바라며, 미 숙지로 인한 책임은 입찰자에
게 있습니다.
다. 입찰에 제출되는 서류가 사본일 경우에는 “사실과 상위 없음”확인 또는 “원본
대조필”날인 후 제출하여야 합니다.
라. 입찰에 참가하여 낙찰자로 선정된 업체는 낙찰 후 7일 이내에 계약을 체결하여야
하며 이를 이행 하지 못하는 경우에는 낙찰을 무효로 하며 입찰보증금은 우리대학
에 귀속 됩니다.
마. 입찰 및 계약 관련 부패행위나 불공정행위 등이 발생한 경우에는 한국과학기술원
신문고(www.kaist.ac.kr → 홈페이지 하단 감사실 신문고) 또는 청탁관리자
([email protected])에게 신고하여 주시기 바랍니다.
바. 제안서 작성 및 심사 등에 관한 사항은 KAIST 안전팀 윤석노(☎042-350-4142), 기타
입찰진행에 따른 사항은 우리대학 구매팀 임정빈(☎042-350-2331)에게 문의하시기
바랍니다.
사. 최근 우리 원 담당자를 사칭한 피싱 사례가 급증하고 있어 이메일 및 메시지 확인
시 각별한 주의를 당부드립니다.
- 공식 도메인 안내: 우리 원 담당자의 공식 이메일 도메인은 @kaist.ac.kr입니다.
- 피싱 식별 방법: 위 도메인 외에 다른 주소(예: .com, .net, 유사 도메인 등)로 발
송된 메일은 모두 피싱(사칭)입니다.
한국과학기술원 총장 【별지】퇴직자 영입현황 확인서
퇴직자 영입현황 확인서
□ 공고번호 :
□ 입찰건명 :
1. 한국과학기술원 퇴직자(퇴직 후 2년이 경과하지 아니한 자)가 당사에 대
표이사 또는 임직원으로 (□ 근무를 하고, □ 근무를 하지 않고) 있습니다.
※ 상기 박스(□)에 체크(√)하고, 근무를 하는 경우 아래 표 작성
성
명 소 속 퇴직당시 직위 퇴직당시 근무부서 퇴직일
2. 상기 입찰에 있어 위에 제출한 내용은 사실이며, 만약 사실과 다를 경우
(축소, 누락 포함)에는 부정당업자로 입찰참가자격 제한조치 등의 불이익
처분을 받더라도 일체의 이의를 제기하지 아니할 것을 확약하고 이에
확인서를 제출합니다.
년
월
회 사 명 :
대 표 자 :
한국과학기술원 총장 귀하 (인) 일
===== [제안요청서]_2026년 KAIST 안전관리통합시스템 유지관리 사업.hwp =====
제 안 요 청 서 사 업 명 2026년 KAIST 안전관리통합시스템 유지관리 사업 주관기관 한국과학기술원 2026. 10. 연락처 계약부서 구매팀 임정빈 Tel: 042-350-2331
E-Mail: [email protected]
담당부서 안전팀 윤석노 Tel: 042-350-4142
E-Mail: [email protected]
목 차 Ⅰ. 사업개요 1. 사업내용 3p 2. 추진배경 및 필요성 3p
3. 주요 사업범위
4p
Ⅱ. 사업 관련 일반 정보 1. 유지관리 대상 5p Ⅲ. 사업범위 및 내용 1. 요구사항 목록 6p 2. 유지관리 수행 요구사항 7p
3. 유지관리 인력 요구사항
9p
4. 프로젝트 관리 요구사항 9p 5. 프로젝트 지원 요구사항 11p 6. 보안 요구사항 12p Ⅳ. 사업수행 일반조건 1. 일반사항 27p 2. 기타사항 28p 3. 산출물의 제출 31p Ⅴ. 제안 안내 1. 입찰방식 32p 2. 추진일정 32p 3. 제안업체 자격요건 32p 4. 사업자 선정 및 평가 33p 5. 제안서 평가기준 35p 6. 입찰 계약조건 35p Ⅵ. 제안서 작성 1. 제안서 전제조건 및 법적효력 39p 2. 제안서 작성 방법 39p 3. 제안서 유의사항 40p 4. 제출서류 41p 5. 제출방법 및 제안서 설명회 41p 6. 제안서 보안유지 42p 7. 제안서 목차 및 작성방법 42p 제안 관련 서식 45p 보안 관련 서식 51p Ⅰ 사업개요 1. 사업내용
o 사 업 명 : 2026년 KAIST 안전관리통합시스템 유지관리 사업
o 주관부서 : 안전팀 o 사업기간 : 계약일로부터 12개월
o 사업금액 : 95,000,000원(부가세 포함)
o 계약방법 : 한국과학기술원 계약 업무 요령에 따름
o 지급방법 : 유지보수비의 산정 기간은 계약일로부터 1개월 단위로 하며 당월의 유지보수비 청구에 필요한 서류를 갖추어 당월 유지보수 완료 후 지급
2. 추진배경 및 필요성
o 안전관리통합시스템 서비스의 원활한 운영을 위한 유지관리 수행
구 분 주요기능/범위 안전팀 홈페이지
안전팀 소개, 매뉴얼, 게시판, 검색엔진 관리
연구실 안전관리
연구실현황, 안전점검, 유해인자 취급 및 관리대장, 특수건강진단, 위험물 청산, 연구실 사고관리, 사전유해인자 위험분석, 연구실 안전환경개선 지원사업 등
연구실 안전교육 - 교육대상자 및 교육콘텐츠 관리
- Lab Safety Orientation, 개인보호구선정평가
- 교육현황, 교육일정, 교육이수확인 관리
- 온,오프라인 안전교육 수강 및 수료증 출력 등
가스/화학물질 이력관리 - 고압가스용기의 입고 및 출고 관리 - 화학물질 재고, 입고, 출고 물질관리 산업안전
작업 및 시설물 현황, 작업환경측정, 안전보건 자료, 산업안전보건교육, 위험성평가, 산업재해 현황 관리
안전보건경영시스템
추진현황, 안전보건목표 관리, 안전보건관리 평가
모바일 안전관리시스템 가스 주문, 일상점검, 안전교육 등 관리 알림 발송
카카오톡 연동 및 SMS, 이메일 발송 기능 관리
시스템 관리 관리자 기능 관리 3. 주요 사업범위
o 대상 서비스 점검, 장애 예방 및 장애 조치
- 프로그램 업그레이드, 소스 수정 등 개선 작업
- 장애 발생 시 신속한 장애 처리
- Database 및 프로그램의 주기적인 백업
o 시스템 오류에 대한 사전 예방과 사후 조치를 통해 안정적인 시스템 운영
o 사용자 업무처리 절차의 변경에 따른 기능변경, 추가, 보완, 폐기, 사용 방법의 개선, 문서 보완 등의 소프트웨어 개선
o 안전관리통합시스템을 편리하게 사용하고 활용할 수 있도록 유지 및 관리
- 기술적 발전에 대응하기 위한 변경
- 효율적인 알고리즘으로의 수정 또는 기능상의 보완
- 소스코드의 설명을 충실하게 함
- 프로그램을 이해하기 쉽고 변경 등이 용이하게 함
Ⅱ 사업 관련 일반 정보 1. 유지관리 대상 구분 주요내용 비고 Software
o Language : Java (JDK1.8 이상)
o Web/WAS : Nginx1.30.3/Tomcat9.0.119
o Database : PostgreSQL o UI : Nexacro Neo o 기타 : MySuit Report Service o 안전관리 포털 및 검색엔진 관리 o 연구실 안전관리 o 연구실 안전교육 o 가스 / 화학물질 관리 o 특수건강검진 관리 o 안전관리 마이페이지 o 모바일 서비스 (연구실 안전관리) o 안전관리 서비스 공통 o 안전관리 현황(레포트 포함) o 윤리 및 안전교육 연계
o 특수건강검진 정보 연계 (카이스트 클리닉)
o 법제처 연동 관리 o MSDS 연계 o 산업안전 관리 o 안전보건경영시스템 관리
o 한국과학기술원 기준정보, 인사정보,
학사정보, 연구과제정보 연계
Ⅲ 사업범위 및 내용 1. 요구사항 목록 분류 고유번호 요구사항 명칭 유지관리 수행 요구사항 (MAR) MAR-001 유지관리 대상 및 범위 MAR-002 정기 예방점검 MAR-003 점검항목 MAR-004 장애조치 유지관리 인력 요구사항 (MHR) MHR-001 유지관리 인력 요구사항 프로젝트관리 요구사항 (PMR) PMR-001 대가청구 PMR-002 지체상금 PMR-003 인수인계 PMR-004 개인정보보호 관리 프로젝트 지원 요구사항 (PSR) PSR-001 기술지원 범위 PSR-002 교육훈련 보안 요구사항 (SER) SER-001 일반 준수사항 SER-002 참여인원 보안관리 SER-003 자료 보안관리 SER-004 작업장소 및 장비 보안관리 SER-005 내·외부 망 접근 보안관리 SER-006 소프트웨어(웹 포함) 개발 보안 SER-007 개인정보보호 및 보안대책 SER-008 사업 보안관리 2. 유지관리 수행 요구사항 요구사항 분류 유지관리 수행 요구사항 (MAR) 요구사항 고유번호 MAR-001 요구사항 명칭 유지관리 대상 및 범위 요구 사항 상세 설명 정의 유지관리 대상 및 범위 세부 내용
o 한국과학기술원 안전관리통합시스템 서비스 유지관리
o 장애 발생 시 즉각적인 대응을 위한 비상연락망 구축
o 기술 향상을 위한 관련 시스템 교육 지원
o 계약 종료일까지 차기 유지관리 담당자가 선정되지 못할 경우 본 과업의 계약을 연장할 수 있으며 비용은 본 계약의 단가를 적용함
관련 요구사항 요구사항 분류 유지관리 수행 요구사항 (MAR) 요구사항 고유번호 MAR-002 요구사항 명칭 정기 예방점검 요구 사항 상세 설명 정의 정기 예방점검 세부 내용
o 정기 예방점검은 월 1회 이상 실시하고, 점검 결과 보고서를 제출
※ 정기 예방점검 이외의 점검 필요시 추가로 요청할 수 있음
o 정기 예방점검 시 운영상 장애를 초래하지 않는 시간을 이용하여 실시
o 로그 분석을 통한 장애 발생 요인 제거
o 대상 서비스의 장애 예방을 위해 주기적으로 작동상태를 모니터링
관련 요구사항 요구사항 분류 유지관리 수행 요구사항 (MAR) 요구사항 고유번호 MAR-003 요구사항 명칭 점검항목 요구 사항 상세 설명 정의 점검항목 세부 내용 o 안전관리통합시스템 서비스 점검 및 개발 - 정상 서비스 여부 확인 - 프로그램 오류 여부 확인 - 서비스와 관련된 이상 유무 확인
- 프로그램 수정이 필요할 경우 담당자 협의 후 진행
관련 요구사항 요구사항 분류 유지관리 수행 요구사항 (MAR) 요구사항 고유번호 MAR-004 요구사항 명칭 장애조치 요구 사항 상세 설명 정의 장애조치 방안 세부 내용
o 장애 발생 시 장애처리 요건에 따라 정상복구 하여야 하며, 이를 위한 방안 제시
- 장애처리 지연으로 본원의 서비스 및 정상적인 업무에 지장을 초래한 경우에는 장애처리 요건(지체상금)에 규정한 금액을 배상하여야 함
o 장애 발생 시 즉각적인 조치가 이루어질 수 있는 유지관리 체계와 야간 및 공휴일의 장애에 대비하여 비상 대응 체계가 수립되어 있어야 하며, 이를 위한 방안 제시
o 장애 발생 시 1시간 이내 착수하고 3시간 이내에 장애처리 완료해야 함
o 근무시간 외(토, 일요일, 공휴일 포함)에 장애발생 시에도 즉각적인 조치 체계 구축
※ 장애조치에 소요된 일체의 금액은 업체가 부담함
관련 요구사항 3. 유지관리 인력 요구사항 요구사항 분류 유지관리 인력 요구사항 (MHR) 요구사항 고유번호 MHR-001 요구사항 명칭 수행 인력 요구사항 요구 사항 상세 설명 정의 수행 인력 요구사항 세부 내용
o 유지관리 인력의 퇴사, 휴가, 출장 등의 사유로 교체 시에는 기존 유지관리 인력과 동등한 레벨의 인력을 투입 시켜야함. 교체 사유가 발생할 시에는 사전에 본원과 협의하여 결정
관련 요구사항 4. 프로젝트 관리 요구사항 요구사항 분류 프로젝트관리 요구사항 (PMR) 요구사항 고유번호 PMR-001 요구사항 명칭 대가청구 요구 사항 상세 설명 정의 대가청구 세부 내용
o 유지관리비는 월 단위로 계산하며 계약업체는 유지관리비 청구에 필요한 서류를 구비하여 매월 말일까지 유지관리 내역서와 함께 본원에 청구하여야 함
※ 유지관리 기간이 1개월 미만의 경우 일할 계산(30일 기준)
관련 요구사항 요구사항 분류 프로젝트관리 요구사항 (PMR) 요구사항 고유번호 PMR-002 요구사항 명칭 지체상금 요구 사항 상세 설명 정의 지체상금 세부 내용
o 계약업체는 장애통보를 받은 후 1시간 이내에 현장에 도착 후 3시간 이내에 정상 복구를 못한 경우 월 정기 유지관리비에서 지체상금을 공제하며, 지체상금은 월 유지관리료 × 지체시간 × 2.5/1000에 해당하는 금액을 당월 유지관리료에서 상계 처리함
관련 요구사항 요구사항 분류 프로젝트관리 요구사항 (PMR) 요구사항 고유번호 PMR-003 요구사항 명칭 인수인계 요구 사항 상세 설명 정의 인수인계 세부 내용
o 계약업체는 원활한 업무 인수를 통하여 본 시스템 운영에 장애가 없도록 유지관리 개시일 이전에 인수를 완료하여야 함
(동 기간의 유지관리비는 지급하지 아니함)
o 유지관리 개시 15일(최소) 이전부터 인수에 착수함을 원칙으로 함. 단, 유지관리 계약 체결일로부터 유지관리 개시일까지가 15일 미만인 경우 계약 체결 익일부터 인수에 착수하여야 함
o 본원과 계약기간 만료 시 원활한 업무 인계를 위하여 신의와 성실에 입각하여 차기 유지관리업체에 인계하여야 함
o 본 시스템의 안정적 운영에 문제가 발생될 우려가 있을경우 본원의 요구에 따라 계약 만료일로부터 15일(최대)까지 지원하여야 함(동 기간의 비용은 지급하지 아니함)
o 계약업체는 본 계약의 해지 또는 계약 만료 후에도 차기 유지관리 업체(한국과학기술원 담당자)가 선정되어 유지관리를 수행할 수 있을 때까지 유지관리를 수행하여야 함. 이에 따른 대가는 계약 해지 또는 계약 만료 이전의 유지관리 대가 지급 기준에 준용함
관련 요구사항 요구사항 분류 프로젝트관리 요구사항 요구사항 고유번호 PMR-004 요구사항 명칭 개인정보보호 관리 요구 사항 상세 설명 정의 개인정보보호 관리 세부 내용
o 수행사에서 개인정보처리시스템에 접근하여 유지관리를 수행해야 할 경우 개인정보의 안전성 확보조치 기준에 의거하여 관련 서류를 사업수행계획서와 함께 제출하여야 함
- 표준 개인정보처리 위탁계약서 : 한국과학기술원-수행사
- 수탁자 교육 실시 : 연 1회, 표준 개인정보처리위탁 계약서에
연 1회로 명시(행정안전부 교육 수강 등)
- 수탁자 정기 점검 : 월 정기 점검 시 한국과학기술원 양식을
이용하여 점검서와 같이 제출 관련 요구사항 5. 프로젝트 지원 요구사항 요구사항 분류 프로젝트 지원 요구사항(PSR) 요구사항 고유번호 PSR-001 요구사항 명칭 기술지원 범위 요구 사항 상세 설명 정의 기술지원 범위 세부 내용
o 계약업체가 유지관리 수행을 통해 습득한 기술 및 노하우는 본원에 기술지원 및 기술이전 하여야 함
o 본 계약과 관련된 H/W 및 S/W의 확장/교체/변경 및 시스템 연계 등에 대한 기술을 요하는 사항에 대하여 계약업체는 적극 지원하여야 함
o 솔루션(UI/UX 툴 등)은 개발 및 운영시스템에 적용하고 해당 소프트웨어의 라이센스를 제공함
- 사용 중인 모든 라이센스에 대해 명시적으로 정리하여 월간보고서로 제출함
o 계약업체는 기타 관련 분야의 기술에 대한 정보 제공과 기술 자문에 응하여야 함
관련 요구사항 요구사항 분류 프로젝트 지원 요구사항(PSR) 요구사항 고유번호 PSR-002 요구사항 명칭 교육훈련 요구 사항 상세 설명 정의 교육훈련 세부 내용
o 계약업체는 제조사 등에서 개설하는 교육 정보를 본원에 제공하며 그 중 본원에서 요청하는 교육을 받을 수 있도록 지원해야 함(계약업체 직접 수행 가능)
o 본원 관리자를 대상으로 유지관리, 장애유형별 조치방법 등에 관한 교육을 의무적으로 지원해야 함
관련 요구사항 6. 보안 요구사항 요구사항 분류 보안 요구사항 (SER) 요구사항 고유번호 SER-001 요구사항 명칭 일반 준수사항 요구 사항 상세 설명 정의 일반 준수사항 세부 내용
o 사업 착수 시점부터 종료시점까지 「국가정보보안지침」(국정원) 및 「정보보안 기본지침」(과학기술정보통신부), 「정보보안지침」(한국과학기술원) 등(이하 보안법규정)을 준수하여야 하며, 이를 위반하였을 경우 보안위규 처리기준에 따라 관련자에 대하여 조치하고 보안위약금 부과기준에 따라 손해배상 책임을 져야 한다.
o 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제76조 제2항 제3호 다목에 따른 정보통신망 또는 정보시스템 구축 및 유지보수 등의 계약 이행과정에서 정보통신망 또는 정보시스템에 허가 없이 접속하거나 무단으로 정보를 수집할 수 있는 비인가 프로그램을 설치하거나 그러한 행위에 악용될 수 있는 정보통신망 또는 정보시스템의 약점을 고의로 생성 또는 방치하는 행위 등을 금지한다. 또한 계약기간(하자 보증기간을 포함한다) 내에 발생한 보안 취약점 등에 대해서 개선 조치하여야 한다.
o 계약업체는 사업수행에 사용되는 인원, 장비, 자료 등에 대하여 물리적, 관리적, 기술적 보안대책 및 <표1>의 ‘누출금지정보’에 대한 보안관리 계획을 사업제안서에 기재하여야 하며, 해당 정보 누출 시 <표2>의 국가계약법시행령 관련조항에 의거, 해당업체는 부정당업자로 등록되어 용역사업 입찰 참가자격이 제한됨을 숙지하고 위의 사항을 준수 및 보안상 결격사항이 없도록 조치하여야 한다.
<표1> 누출금지정보 한국과학기술원 정보보안지침 제17조 제2항 ① 정보시스템 내ㆍ외부 IP주소 현황
② 정보시스템 구성 현황 및 정보통신망 구성도
③ 사용자의 계정ㆍ비밀번호 등 정보시스템 접근권한 정보
④ 정보통신망 또는 정보시스템 취약점 분석․평가 결과물
⑤ 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당)
⑥ 암호자재, 암호가 주 기능인 제품 및 정보보호시스템 도입ㆍ운용 현황
⑦ 정보보호시스템 및 네트워크장비 설정 정보
⑧ 「공공기관의 정보공개에 관한 법률」 제9조제1항에 따라 비공개 대상 정보로 분류된 해당 기관의 내부문서
⑨ 「개인정보보호법」 제2조제1호에 따른 개인정보
⑩ 「보안업무규정」 제4조의 비밀 및 「보안업무규정 시행규칙」 제16조 제3항에 따른 대외비
⑪ 그 밖에 한국과학기술원이 공개가 불가하다고 판단한 자료
※ 사업기간 중 공개불가 자료 발생 시 상호 합의하에 추가할 수 있음
<표2> 보안사항 위반에 따른 추후 입찰 참여에 대한 제재조치
한국과학기술원 정보보안지침 제33조 제2항
○ 계약업체는 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제76조 제2항 제3호 규정을 위반하여 <표1>의 누출금지 정보를 무단으로 누출할 경우 아래와 같이 입찰 참가자격이 제한된다.
‣ 정보 누출 횟수가 2회 이상인 경우 : 6개월
‣ 정보 누출 횟수가 1회인 경우 : 3개월
‣ 상기 이외의 경우에는 관련기관 및 상위 법률에 따른다.
○ 보안 위반에 대한 처리는 사업자 보안위규 처리 기준과 보안 위약금 부과 기준에 따른다.
o 계약업체는 사업수행 과정에서 취득한 자료와 정보에 관해서 사업수행의 전후를 막론하고 한국과학기술원의 승인 없이 외부에 유출 또는 누설하여서는 아니 되며, 사업 종료 시에는 완전 폐기 또는 반납하여야 한다.
o 과학기술정보통신부 및 국가정보원의 보안성 검토 결과에 따른 보안가이드를 준수하여야 하며, 사업수행 중 인원·자료·장비 등에 대한 아래의 보안 요구사항을 준수하여야 한다. 기타 사항은 한국과학기술원 정보보안지침에서 정하는 바에 따른다.
관련 요구사항 요구사항 분류 보안 요구사항 (SER) 요구사항 고유번호 SER-002 요구사항 명칭 참여인원 보안관리 요구 사항 상세 설명 정의 참여인원 보안관리 세부 내용
o 계약업체는 한국과학기술원의 정보화, 정보보호, 보안컨설팅, 시스템 구축 등을 용역사업 수행 시 사업 책임자와 협조하여 다음 각호의 사항을 포함한 보안대책을 수립, 이행하여야 한다.
가. 계약 시
- 용역사업 자체 또는 투입되는 자료·장비 등에 대한 대외보안이필요한 경우 보안의 범위 및 책임을 명확히 하기 위해 사업수행계약서와 별도로 SER-008에서 명시하는 보안서류를 작성해야 한다.
- 사업수행 인원은 계약업체 임의로 교체할 수 없으며 부득이한
사유로 신상변동사항(해외여행 포함) 발생 시 한국과학기술원에
즉시 보고해야 한다.
- 계약업체가 사업에 대한 하도급 계약을 체결할 경우 본 사업
계약 수준의 비밀유지 조항을 포함토록 해야 한다.(하도급 계
약에 대해서는 반드시 사업담당자와의 사전 협의 이후 실시
한다) 나. 사업 착수 시
- 계약업체 대표자 및 사업참여자에 대해서 친필서명이 들어간
보안서약서를 제출하도록 한다.
- 계약업체는 용역사업 수행 전 참여인원에 대해 보안법규정에
의한 비밀유지의무 준수 및 위반 시 처벌내용 등에 대한 교
육을 실시하여야 하며 완료 후 정보보안교육 확인서를 사업
담당자에 제출하여야 한다.
※ 그 밖에 보안관리가 필요하다고 판단되는 사항이나 국가
정보원장이 보안조치를 권고하는 사항 및 <표1>, <표2>에
대한 교육 병행
- 반입하는 장비에 대해 장비반입확인서를 제출하여야 한다.
- 단말기/서버/보안장비/네트워크장비 등 전산장비 및 S/W 납품
시 출처, 유통경로 및 제작자가 명확하지 않은 응용프로그램(
백도어, 악성코드 등 비인가 SW)이 설치되어 있는지 확인하여
전산장비 보안 체크리스트 혹은 해당 내용을 포함한 검수확인
서를 제출하여야 한다. 다. 사업수행 시
- 계약업체는 사업참여자의 보안의식 강화를 위해 수시로 자체
정보보안교육을 수행하고, 한국과학기술원이 요구하는 보안교육
에 의무 참석하여야 한다.
- 계약업체에서는 한국과학기술원 상주인력 중 1명(PM 등)을
한국과학기술원 사업수행 기간 보안책임자로 지정하여 한국
과학기술원 보안관리에 적극 협조하도록 하여야 한다.
- 사업수행 시 반입되는 모든 시스템은 시건장치로 시건하고
Key는 사업담당자가 관리한다.
- 사업수행 시 반입되는 모든 시스템은 반입, 반출 시 사업담당
자의 사전 승인을 거쳐야 하며 관련 관리대장을 작성하여야
한다. 1) 서버, PC, 노트북 등 정보시스템
(반입시) ①장비반입확인서, ②정보시스템 반출입대장,
③정보시스템 관리대장
(반출시) ①자료완전삭제확인서, ②정보시스템 반출입대장,
③정보시스템 관리대장
2) 휴대용 저장매체(USB, 외장하드, CD 등)
(반입시) 휴대용 저장매체 관리대장
(반출시) ①자료완전삭제확인서, ②휴대용 저장매체관리 대장
- 사업수행 중 취득한 계정정보 등의 전자화를 금지한다.
- 정보시스템 유지관리 수행 시에는 정보시스템 유지관리 절차서
에 따라 이행하여야 한다. 라. 사업 종료 시
- 계약업체는 한국과학기술원으로부터 제공받은 장비, 서류 및
중간·최종산출물 등 모든 자료를 전량 한국과학기술원에
반납하고 삭제하여야 한다. ※ 자료 복사본 등 별도 보관 금지
- 계약업체에서 업무수행 상 반입한 노트북·휴대용 저장매체 등
전자기록 저장매체를 통한 비공개자료 유출 방지를 위해 안전
성을 검증한 삭제 S/W로 완전삭제 또는 포맷 조치, 자성소거
후 자료완전삭제확인서를 제출한 뒤 반출하여야 한다.
- 계약업체는 사업 관련 자료 회수 및 삭제조치 후에 업체가 산
출물의 복사본 등 사업 관련 자료를 보유하고 있지 않으며 이
를 위반한 경우 향후 법적 책임이 있음을 포함한 업체대표 및
사업참여자의 보안확약서를 한국과학기술원에 제출하여야 한다.
※ 이 밖에 보안서류는 SER-008 참고 관련 요구사항 요구사항 분류 보안 요구사항 (SER) 요구사항 고유번호 SER-003 요구사항 명칭 자료 보안관리 요구 사항 상세 설명 정의 자료 보안관리 세부 내용
o 사업수행 과정에서 취득, 생산되는 정보, 산출물 및 기록은 사업수행 중에는 물론 사업 완료 후에도 이를 외부에 반출해서는 아니 된다.
가. 자료 보안 일반
- <표1>에 해당하는 사항은 비공개자료로 분류, 관리해야 한다.
- <표1>의 자료 등 비공개자료 열람이 필요한 경우 반드시 인계
자와 인수자가 직접 서명한 후 인계·인수해야 하며 자료 인계·
인수 대장에 기록 관리한다.
- 사업수행으로 생산되는 산출물 및 기록은 정보보안담당관이 인
가하지 않은 자에게 제공·대여·열람을 금지한다.
- 계약업체는 비공개자료 출력 시에는 출력물에 출력자, 출력일시
등을 표시하여야 한다.
- 계약업체가 비공개자료를 자체 보관·관리 시에는 지정된 별도
캐비닛(이하“비공개자료 캐비닛”이라 한다)에 보관·관리해야
한다.
- 계약업체는 비공개자료 캐비닛에 보관·관리되는 비공개자료의
목록을 현행화하여 관리해야 한다.
- 상주 사업의 경우 비공개자료는 매일 퇴근 시 반납하여야 하며,
비밀문서를 제외한 일반문서는 제공된 사무실의 시건장치가 있
는 보관함에 보관하여야 한다.
- 신규 장비 구축 시에는 제조사에 의해 설정된 패스워드를 관리
자가 즉시 변경하여 보안사고 취약 요소를 제거해야 한다.
- 신규 장비 구축 후 구 장비 폐기 시에는 저장 자료를 완전히
삭제한 후 폐기해야 한다. 나. 온라인 보안관리
- 계약업체가 업무상 필요에 의해 부득이하게 외부에서 전자우편
등으로 한국과학기술원과 자료 송수신이 필요한 경우에는 한국
과학기술원 전자우편을 이용(자사메일 사용금지)하며, 첨부자료
암호화 후 수·발신해야 한다. 다만, 한국과학기술원 정보보안지
침에 의한 비공개자료, 대외비 및 비밀자료는 전자우편을 통한
수·발신을 금지한다.
※ 사업담당자의 사전 승인 없이 업체 메일 사용할 경우, 보안
정책 위반으로 간주한다.
- 사업 관련 자료는 인터넷 웹하드·P2P 등 인터넷 자료공유
사이트 및 개인 메일함, 상용메신저 사용·저장을 금지한다.
- 사업수행 관련자료 및 사업과정에서 생산된 모든 산출물은
정보보안담당관이 지정한 PC 등 한국과학기술원 파일서버(반드
시 인터넷과 분리)에 저장 관리해야 하며 계정관리 및 계정별
접근권한 부여 등을 통하여 접근을 제한하여야 한다. 상기 산
출물은 계약업체의 개인 PC 등에 보관할 수 없다.
- 계약업체가 비공개자료 생성 시에는 통합파일서버의 비공개자
료 폴더에 저장해야 하며, 업무별로 지정된 사용자만이 접속
가능하도록 접근권한을 제한해야 한다.
o 사업 종료 후 생산된 최종산출물은 자료 인계·인수 대장과 함께 발주기관에 제출하고, PC 완전삭제 등 보안조치를 통해 사업관련 산출물(중간산출물 포함)을 모두 삭제해야 한다.
관련 요구사항 요구사항 분류 보안 요구사항 (SER) 요구사항 고유번호 SER-004 요구사항 명칭 작업장소 및 장비 보안관리 요구 사항 상세 설명 정의 작업장소 및 장비 보안관리 세부 내용
o 사업을 수행하는 장소(이하 작업장소)는 CCTV·시건장치 등 비인가자 출입통제 대책이 마련된 사무실을 사용하여야 한다.
o 작업장소에서 사용하는 모든 정보시스템에 대하여 정보시스템 관리대장을 작성하고 변경사항에 대해 현행화하여야 한다.
o 계약업체는 휴대용 저장매체(USB, 외장하드 등)의 사용을 금지하며 산출물 저장 등 불가피한 경우 사업담당자의 승인하에 휴대용 저장매체 관리대장에 등록 후 사용한다.
o 계약업체는 작업장소에 대하여 용역사업 보안점검 리스트에 따른 보안점검을 정기적으로 실시해야 하며, 결과에 대한 사업담당자의 확인 및 개선 조치 요구에 따라야 한다.
o 계약업체는 노트북 및 PC에 전원기동(CMOS) 패스워드, 운영체제 로그인 패스워드, 화면보호기(10분 간격) 등을 설정하여야 하며, 패스워드는 영문자·숫자·특수문자가 조합된 10자리 이상으로 설정하여야 한다.
o 계약업체는 용역사업에 이용되는 노트북, PC 등에 바이러스 백신 정품 S/W를 설치하고, 자동 업데이트, 실시간 점검을 수행하는지 수시로 점검하여야 한다.
o 상주 용역사업의 경우 아래 사항을 추가로 따라야 한다.
- 사업수행 중 계약접체 전산장비 반출은 가능한 금지하되 불가
피한 경우 사업 담당자 통제 하에 저장자료 완전 삭제 및 승
인 후 반출한다.
- 작업장소의 PC에 대하여 한국과학기술원에서 제공하는 PC 보
안프로그램을 모두 설치하여야 한다.
- 작업장소의 PC에 대하여 월1회 ‘내PC보안점검’ 수행여부를 확
인하고 수행결과 미흡사항에 대해 즉시 개선 조치하여야 한다.
- PC 보안프로그램은 임의로 삭제해서는 아니 되며, PC를 포맷
할 경우엔 정보보안담당관에게 사전 승인을 받아야 한다.
- 계약업체는 PC, 노트북 및 USB 등 휴대용 저장매체를 한국과
학기술원 내·외로 반출·입 할 수 없다. 단, 한국과학기술원 정
보보안담당관이 그 필요성을 인정한 경우에 한하여 반출·입 절
차에 따라 반·출입할 수 있다.
- 정보시스템(휴대용 저장매체 포함)을 외부에 반출·입하는 경우
반입 시에는 악성코드 감염 여부를, 반출 시에는 자료 무단반
출 여부를 확인하고 정보시스템 반·출입 대장에 기록하여야 한
다.
- 사업 참여자의 비인가 휴대용 저장매체(USB, CD/DVD, 스마트
폰, 태블릿 PC, MP3 등)가 작업장소 내 정보시스템에 연결되
는 것을 기술적으로 차단하고, 월1회 정상동작 여부를 점검·조
치하여야 한다.
- 부득이하게 CD-RW 등의 보조기억매체를 사용할 때는 정보보
안담당관의 승인하에 제한된 PC에서만 사용하여야 한다.
- 사업수행 중 상주인력 및 작업장소에 대한 정보보안주무부서의
보안점검을 받아야 하며, 적발된 보안 미흡 사항에 대해 시정
하여야 한다.
o 원격지 작업을 수행하는 사업의 경우 아래 사항을 추가로 따라야 한다.
- 계약업체가 발주기관 이외 장소(원격지)에서 작업을 수행하고자
요청할 때는 작업장소에 대한 보안 요구사항 등을 포함한 관리
적, 기술적 보안대책을 수립해야 한다.
- 작업장소 내 정보시스템의 인터넷 연결이 불가피한 경우, 사전
협의 후 사업담당자의 보안통제하에 인터넷 연결이 가능하다.
- 원격지 작업이 필요한 경우, 사전에 사업담당자 및 정보보안담
당관의 승인을 거쳐 진행하는 것이 원칙이며 사전 협의 시 원
격 작업 보안 증빙을 제출해야 한다. - 증빙자료 내 필첨 사항
① 작업장소 비인가자 출입통제 : 출입문 앞 CCTV 사진
② 독립 공간 증빙 : 출입문의 OO수행장소 표기 등
③ 시건장치가 탑재된 사무실 출입문 사진 : 도어락 등
④ 사업 관련 관리대장 사진: 작업장소 출입 관리대장, 정보시스템 반출·입 대장, 정보시스템
관리대장, 휴대용 저장매체 관리대장, 자료 인계·인수 대장 등
⑤ 사업에 사용하려는 모든 PC, 노트북 사진
⑥ 시건장치가 탑재된 서류보관함 사진
- 정보시스템 HDD의 비인가 반출을 방지하기 위하여 봉인 표를
부착하여 주기적으로 점검하여야 하며, 작업장소를 기준으로
반출·입 되는 모든 정보시스템(휴대용 저장매체 포함)은 반드시
정보시스템 반출·입 대장에 기록해야 한다.
※ 정보시스템 및 저장매체 등 반입 시 바이러스 백신 프로그램
으로 악성코드 감염여부를 확인하고 반출 시 사업부서장의 확
인 하에 포맷하여 반출하여야 한다.
- 작업장소의 승인된 노트북, USB 등 휴대용 저장매체를 퇴근 시
확인하여 무단반출을 차단하여야 한다.
- 사업담당자는 보안대책을 수립한 후에 정보보안담당관의 승인
을 받아야 한다.
- 사업담당자는 계약업체의 원격지 작업과 관련한 보안대책 이행
여부를 정기 또는 수시로 점검(불시점검 포함)해야 하며, 점검
결과를 정보보안담당관에게 통보해야 한다. 관련 요구사항 요구사항 분류 보안 요구사항 (SER) 요구사항 고유번호 SER-005 요구사항 명칭 내·외부 망 접근 보안관리 요구 사항 상세 설명 정의 내·외부 망 접근 보안관리 세부 내용
o 계약업체 사용 전산망은 기관 보안장비 등을 활용하여 한국과학기술원 업무망과 분리 구성하고 업무상 필요한 서버에만 제한적 접근을 허용한다.
o 작업장소는 업무망과 인터넷망을 분리하고, PC는 업무망과 인터넷망을 혼용해서는 안 되며, 인터넷은 국가정보통신망을 사용하여야 한다.
o 한국과학기술원 내부망에 대한 접속은 반드시 기관의 승인을 득한 후 사용하여야 한다.
- 사업장 PC는 기본적으로 인터넷 연결을 금지하며 사업수행에
필요한 원내 사이트만을 접속할 수 있다. 단, 불가피하게 인터
넷 사용이 필요한 경우는 보안책임자가 인터넷 사용 신청서를
작성하여 정보보안담당관의 승인을 득한 후 방화벽 등 보안장
비의 통제하에 사용하여야 한다.
- 계약업체는 인터넷 이용 시 접속이 제한된 사이트 및 인터넷
파일공유사이트 등에 접속을 시도하여서는 아니 된다.
※ P2P, 웹하드 등 인터넷 자료공유사이트 접속 및 상용메일,
메신저 사용 등은 허용이 불가하며 기술적으로 차단된다.
o 사업참여자가 한국과학기술원 정보시스템에 접근하는 경우 상주 용역 계정관리 대장을 통해 사업참여자 계정에 대한 기록 관리한다.
- 계약업체는 정보시스템 사용자계정 이용 시 부여된 권한 이외
의 접근을 하여서는 아니 되며, 부여된 패스워드는 임의 변경
및 타인에게 알려서는 아니 된다.
- 정보시스템 관리, 개인정보 및 중요정보 관리 등의 특수 목적을
위해 사용하는 계정 및 권한은 최소한으로 부여하고 별도로 식
별·통제하여야 한다.
- 정보시스템과 개인정보 및 중요정보에 접근하는 사용자계정의
등록·이용·삭제 및 접근권한의 부여·변경·삭제 이력을 남기고 주
기적으로 검토하여 적정성 여부를 점검하여야 한다.
- 사용자계정은 하나의 그룹으로 등록하고 계정별로 접근권한을
차등 부여하되 기관 내부문서의 접근은 금지하여야 한다.
- 계정별로 부여된 접근권한은 불필요 시 즉시 권한을 해지하거
나 계정을 폐기하여야 한다.
- 계정별 패스워드는 보안정책(숫자, 영문자, 특수문자 등을 혼합
하여 9자리 이상)에 부합되어야 하며 사업담당자가 별도로 기
록 관리하여 변경이력을 수시로 확인한다.
o 정보시스템을 원격지에서 네트워크로 접속, 정비하는 것은 원칙적으로 금지한다. 단, 부득이한 경우 보안대책 마련 후 정보보안담당관의 승인을 득하여 한시적으로 사용한다.
※ 한국과학기술원에서 제공하는 VPN 외에는 사용 불가(상용
VPN 제품(팀뷰어 등) 사용 불가)
o 서버, 네트워크, 보안장비 등 정보시스템 접속 로그기록은 1년 이상 보관해야 한다.
- 로그 기록 필수 포함사항
① 접속자, 정보시스템·응용프로그램 등 접속대상
② 로그온·오프, 자료의 열람·출력 등 작업 종류 및 시간
③ 접속 성공·실패 등 작업 결과 ④ 전자우편 사용 등 외부발송 정보 등 관련 요구사항 요구사항 분류 보안 요구사항 (SER) 요구사항 고유번호 SER-006 요구사항 명칭 소프트웨어(웹 포함) 개발 보안 요구 사항 상세 설명 정의 소프트웨어(웹 포함) 개발 보안 세부 내용 o 아래 보안지침을 준수하여 개발한다.
- ‘전자정부법’, ‘행정기관 및 공공기관 정보시스템 구축·운영지침’
- ‘소프트웨어 개발 보안 가이드’, ‘소프트웨어 보안약점 진단가이드’, ‘공
개SW를 활용한 소프트웨어 개발보안 점검가이드’
- ‘국가 정보보안 기본지침 제27조(소프트웨어 개발보안) ~ 제30조(누출
금지정보 유출 시 조치)’, ‘국가 클라우드 컴퓨팅 보안 가이드라인’
o 소프트웨어를 개발하고자 하는 경우 전자정부 표준 개발 프레임워크의 적용을 우선적으로 고려한다.
o 사용자 인증 및 접근제어는 한국과학기술원에서 제공하는 개발 환경에 따른다.
o 데이터의 손실 및 위변조 발생 시 데이터 복구를 신속하게 수행할 수 있는 체계를 제공한다.
o 소프트웨어 버전관리를 위한 형상관리시스템(SCM등)은 인가된 사용자만이 소스 프로그램에 접근할 수 있도록 접근통제한다.
o 시스템 관리자, 개인정보 취급 및 관리자 등이 중요(개인정보 포함) 정보시스템에 접속 시, ID/PW 방식 이외에도 OTP·PKI·생체인식 등 다중 인증방식 도입을 고려한다.
o 비대면 정보화 용역사업의 경우 관리적·기술적 보안대책을 수립·시행한다.
- ‘국가·공공기관 용역업체 보안관리 가이드라인 제3장’ 준용한다.
o 홈페이지·응용프로그램에 대하여 분기별 1회 관리자 패스워드를 변경하여야 한다.
o 홈페이지에 개인정보 노출방지를 위한 보안조치를 마련한다.
o 계약업체는 구축 대상시스템 및 개발영역의 어플리케이션에 대해 한국인터넷진흥원(KISA)의 ‘정보시스템 구축단계별 정보보호 가이드라인’을 준수하여야 하며, 구축 정보시스템에 대하여 정보보호전문회사 또는 정보보호전문가가 참여한 취약점 점검과 모의해킹을 실시해야 한다.
※ 정보보호전문가 자격은 정보보호 관련학과 석사이상 학위, 3년 이상 정보보안업무경력 또는 CISSP, CISA, SIS, 정보보안기사 등 국내외 정보보호 공인자격증을 취득한 사람이어야 한다.
o 제조사의 서비스 지원이 종료된 운영체제는 사용중지 또는 업그레이드 조치해야 한다.
o 소스코드 작성 시 소프트웨어 개발보안(시큐어코딩)을 적용하고 신규 및 변경 구축된 홈페이지/응용프로그램은 실제 운영 이전에 취약점 점검 및 조치를 반드시 수행하여야 한다.
- 운영서버와 개발서버는 분리하고, 실 데이터는 개발서버에 저장 및 보
관하지 않도록 조치하여야 한다.
- 사용자 및 관리자가 이용하는 파일 업·다운로드 기능 구현 시, 불필요
한 파일 형식을 제한한다. (exe, jsp, asp, php, cmd 등)
- 개발사 설정 초기 패스워드는 반드시 안전한 암호로 변경·운용한다.
- 관리자페이지는 내부망의 지정된 IP에서만 접근하도록 통제한다.
- HTTP 메소드 중 GET·POST를 제외한 PUT·DELETE 등 불필요한 메소
드는 사용을 금지한다.
- 시스템 내 변조파일에 대하여 주기적으로 무결성을 검증한다.
- 글쓰기 기능이 있는 웹페이지를 구축할 경우 반복적 글쓰기(댓글) 공격
을 제한할 수 있는 대응 방안(CAPTCHA 등)을 마련한다.
- 개인정보 및 인증정보 등 중요정보 송·수신 시, 웹 서버와 클라이언트
간 모든 구간 암호화 통신(HTTPS) 적용을 통한 선제적 보안 강화를
수행한다.
1) 반드시 TLS 1.3을 적용한다.(TLS 1.3은 TLS 1.2의 키 교환·인증·
암호화·해시 알고리즘의 불안정 항목을 제거하였으며 연결 속도가
보다 향상됨)
2) 웹보안인증서(SSL) 적용 필수 웹사이트
가. 개인정보를 취급하는 모든 웹사이트(내·외부망 모두 해당)
나. 회원가입 및 로그인이 없는 경우에도 주문, 결제, 상담, 글쓰기,
게시판 등 이용 시 개인정보를 입력하는 웹사이트
3) 대민서비스를 위한 웹사이트의 경우, 포털 검색 시 웹사이트 세부
주소로 직접 접속이 가능하므로 SSL 적용 후 반드시 HTTPS로 리
다이렉션 하도록 해야 한다.
‣ 해당 안전조치를 하지 않을 경우, 법 위반에 따른 손해배상 책임
이 있다.
- 사용자 인증정보 보안 : 사용자 인증정보, 패스워드 등 보안이
요구되는 정보를 소스코드에 직접 하드코딩 하지 않아야 하며,
클라이언트 스크립트(Client side script, Javascript, VB script
등)에 보안상 취약한 비즈니스 로직 및 데이터를 취급하지 않아
야 한다. - 로그이력관리
1) 시스템은 어플리케이션과 WAS 및 DB 레벨에서 로그가 남을
수 있도록 한다.(모든 사용자의 서비스 접근 및 데이터 변경이력을
로그로 관리해야 한다)
2) 로그는 최소 1년 이상 백업을 유지한다.
3) 로그는 비 인가된 자에 의해 수정될 수 없도록 구축한다.
- CC인증서 또는 성능평가 결과확인서를 획득한 소스코드 보안약점 진단
도구를 사용하여 소스코드 내 잔존 취약점을 제거해야 한다.
- 개발 완료 후 반드시 운영 전에 정보시스템 및 웹 취약점 점검 수행
및 보완하고, 이후에도 연 1회 이상 점검 및 조치해야 한다. 점검항목
은 정보시스템 점검표 및 웹 취약점 점검표를 참고·사용할 수 있다.
1) 취약점 점검 및 조치 보고서는 다음과 같은 항목이 포함되어야
한다. 가. 점검 대상 시스템 정보 나. 점검 계획, 방법(도구 정보 포함) 다. 점검 인원, 시간 라. 점검영역
마. 점검결과 요약(소프트웨어 개발보안 적용여부 포함)
바. 각 시스템의 취약점 및 위험성 상세내용
사. 모의해킹 결과보고서 또는 취약점 조치 및 결과보고서(사업종
료 전 정보보안담당관에게 점검결과를 제출하여 검토 완료 후
이상이 없을 때 사업이 종료된다)
2) 한국과학기술원 취약점 진단 수행결과에 대한 조치결과 보고서를 제출
해야 한다. 관련 요구사항 요구사항 분류 보안 요구사항 (SER) 요구사항 고유번호 SER-007 요구사항 명칭 개인정보보호 및 보안대책 요구 사항 상세 설명 정의 개인정보보호 및 보안대책 세부 내용
o ‘개인정보 안전성 확보조치 기준’, ‘개인정보보호법’ 등 관련 규정을 반드시 준수하여야 한다.
o 사업수행 시 계약업체에게 개인정보처리를 위탁할 경우, 표준 개인정보처리위탁 계약서를 참고하여 계약 시 반드시 개인정보처리위탁계약을 체결해야 한다.
o 개인정보 처리업무를 위탁받아 처리하는 사업자는 개인정보의 안전성 확보에 필요한 기술적·관리적·물리적 안전조치를 마련한다.
o 사업자는 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 아니 된다.
o 사업자는 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 즉시 파기하거나 발주기관에 반납하여야 한다.
o 발주기관은 사업자의 개인정보 처리현황에 대하여 실태를 점검하여 시정을 요구할 수 있으며, 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 교육할 수 있다.
o 홈페이지 등 웹서비스 구축·고도화 시
- 회원가입, 로그인, 로그아웃 등 개인정보를 송수신하는 구간에 암호화
적용(SSL 등)한다.
- 관리자페이지는 외부에 노출되지 않도록 IP접근제어를 필수적으로
하며, 2차 인증 기능을 반드시 구현한다.
- 로그인 이후 일정시간 뒤 자동 로그아웃이 되는 타임아웃 기능을
구현한다.
- 권한이 있는 회원만 게시글을 작성할 수 있도록 한다.
- 게시글 내 개인정보 노출 방지를 위한 기술을 적용한다.(비밀글 기능)
- 비밀번호 입력 시 마스킹 처리되도록 구현한다.
- 기타 개인정보 관련 지침에서 요구하는 로그인/회원관리 관련 기능을
구현한다.
- 주민번호를 대체할 수 있는 수단으로 가입 및 관리 되도록 설계,
구현되어야 한다.
가. 가상식별코드(공공 I-PIN, 핸드폰 인증 등) 활용
o 정보시스템에 개인정보를 보유할 경우에는 수집되는 모든 개인정보를 암호화하여야 한다.(패스워드는 일방향 암호화, 개인정보는 반드시 안전한 암호화 알고리즘(SHA-2 이상급)을 사용한다)
o 개인정보 유출 시도 혹은 사고 발생 시 신속한 대응이 가능하도록 발주기관에서 요구하는 모든 사고 수습 관련 업무를 수행하여야 한다.(유출경로 확인, 확인된 유출경로 차단, 유출된 개인정보 파악 등)
o 개인정보취급자에 대한 관리·감독(접근권한 관리, 통제 등 포함)과 보안서약서 징구 및 정기적 교육(연 1회 이상)을 실시한다.
o 정보주체에게 별도 동의를 받았거나 법령에 근거하는 경우에만 민감정보를 포함한 개인정보 파일 수집을 허용한다.
o 개인정보취급자의 접속기록 위·변조 및 도난 예방 정책을 마련한다.
- 개인정보취급자의 접속기록은 최소 1년 이상 보관·관리한다.
- 접속기록 필수 포함사항 ① 계정 ② 접속 일시
③ 접속지 정보(단말기 정보 또는 서버의 IP 등 접속 주소)
④ 처리한 정보주체 정보 ⑤ 수행 업무
- 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정
보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년
이상 보관·관리한다.
o 정보보호시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 운영절차를 수립·이행하고 시스템별 정책적용 현황을 관리해야 한다.
- 외부기관과 서비스 연계 시, 정보보호시스템에서 불필요한 서비
스를 차단한다.(필요 시, 일방향 통신으로 제한)
o 시스템에 대한 불법 침입을 탐지하기 위한 실시간 보안관제 실시 및 정보보호시스템, CCTV, 정보시스템 등의 장비에 대해 표준시각으로 동기화 조치하여야 한다.
o 서버(OS 포함)·네트워크·정보보호 시스템에 대한 주기적인 관리
자 패스워드 변경(분기 1회) 및 보안 취약점 진단·조치한다.
- 제조사가 설정한 초기 패스워드는 반드시 안전한 암호로 변경·운용한
다.
- 관리자페이지는 내부망의 지정된 IP에서만 접근하도록 통제한다.
관련 요구사항 요구사항 분류 보안 요구사항 (SER) 요구사항 고유번호 SER-008 요구사항 명칭 사업 보안관리 요구 사항 상세 설명 정의 사업 보안관리 세부 내용
o 수행사는 사업수행 시 각 단계에 따라 보안 요구사항과 관련된 아래의 산출물들을 발주사 사업담당자에게 제출해야 한다.
※ 사업 성격(유형)에 따라 산출물이 다를 수 있으며, 사업을 수
행하는데 있어 해당 사항이 없는 경우 제출하지 않아도 됨
ex) 휴대용 저장매체를 사용하지 않는 경우 휴대용 저장매체
관리대장 생략 가능 [ 비상주 용역사업 ] 구분 목적 산출물 상세 서식 비고 착수 참여인원 보안관리 - 보안서약서 서식 1 정보보안교육 확인서 서식 2 개인정보 관리 표준 개인정보처리위탁 계약서 서식 11 개인정보 처리 위탁시 상시 정보시스템 반출·입 및 현황관리 정보시스템 반출·입 대장❈ 서식 6 참여인원 전산장비 현황표 서식 7 참여인원 정보시스템 접근권한 기록부 서식 12 권한 부여 시 비상주 용역사업 현장실사 체크리스트 서식 13 연 1회 수행 휴대용 저장매체 관리 휴대용 저장매체 관리대장 서식 8 휴대용 저장매체 사용 시 자료 인계·인수 자료 인계·인수 대장 서식 9 종료 (완료) 정보시스템 보안 전산장비 검수 체크리스트 붙임 1~6 전산장비 납품 포함 시 소프트웨어 개발 보안 웹 취약점 점검 및 조치 보고서 자유 양식 별첨 3 참고 보안요구사항 검수 용역완료 검수조서❈❈ 서식 5 정보 누출 방지 보안확약서 서식 3 자료 완전삭제 확인서 서식 4 [ 상주 용역사업 ] 구분 목적 산출물 상세 서식 비고 착수 참여인원 보안관리 - 보안서약서 서식 1 정보보안교육 확인서 서식 2 개인정보 관리 표준 개인정보처리위탁 계약서 서식 11 개인정보 처리 위탁시 상시 정보시스템 반출·입 및 현황관리 정보시스템 반출·입 대장❈ 서식 6 참여인원 전산장비 현황표 서식 7 참여인원 정보시스템 접근권한 기록부 서식 12 권한 부여 시 상주 용역사업 보안점검 기록부 서식 13 매월 수행 자료 인계·인수 자료 인계·인수 대장 서식 9 인터넷 허용 인터넷 사용 신청서 서식 10 인터넷 사용 시 종료 (완료) 정보시스템 보안 전산장비 검수 체크리스트 붙임 1~6 전산장비 납품 포함 시 소프트웨어 개발 보안 웹 취약점 점검 및 조치 보고서 자유 양식 별첨 3 참고 보안요구사항 검수 용역완료 검수조서❈❈ 서식 5 정보 누출 방지 보안확약서 서식 3 자료 완전삭제 확인서 서식 4
o 산출물은 각 단계에 맞춰 제출해야 하며, 사업 완료 시 모든 산출물이 제출 완료되어야 한다.
o 수행사는 사업을 수행하면서 발생하는 보안과 관련된 산출물들은 비공개 자료로 분류하여 관리해야 하며, 담당자에게 제출하기 전까지 잠금장치를 통해 보관해야 한다.
o 산출물들은 기본적으로 첨부된 서식을 사용하며, 증빙자료 등 추가할 내용이 필요한 경우 발주사와 협의하여 서식을 추가하거나 수정할 수 있다.
관련 요구사항 Ⅳ 사업수행 일반조건 1. 일반사항 가. 법규에 의한 시행
1) 본 과업 상 필요한 법규는 정부가 제정 공표한 관계법규 및 용역규정에 준하여 시행함
2) 한국과학기술원법 및 원규에 의거하여 시행함
나. 감독관의 승인
1) 수행업체는 계약체결 후 사업수행 전에 과업 수행을 위한 착수계 및 현장 대리 인계를 제출하여 한국과학기술원의 설명과 지시를 받아야 하며 감독관의 승인을 받아야 함
다. 결정권
1) 한국과학기술원과 수행업체가 과업내용 해석상 상이한 의견을 가졌을 경우 양자 간의 협의에 의하여 결정하되 결정권은 한국과학기술원이 가짐
라. 명시되지 않은 사항
1) 과업 내용에 명시되지 않은 사항이라도 경미하거나 통상의 관계되는 사항은 감독관의 지시에 따라 사업을 수행함
2) 각 시스템의 구축 및 운용을 위하여 필수적인 사항은 규격이 명시되어 있지 않더라도 과업내역에 포함함
마. 승인
1) 본 사업의 수행 혹은 완료 시 작성되는 각종 산출물은 한국과학기술원의 승인을 얻어야 하고 승인받아 작성된 산출물이라 할지라도 내용의 과오 및 기술상 결함에 대해 보완해야 함
바. 자문
1) 수행업체는 필요시 한국과학기술원의 자문위원과 협의하여 기술자문단을 운영하고 수시로 과업 수행에 필요한 자문을 받을 수 있음
2) 한국과학기술원은 자문위원 중에서 비상근 전문위원을 선정하여 수행업체에 대하여 과업 수행을 지도 및 감독하게 할 수 있음
3) 본 사업을 수행함에 있어 필요한 경우 분야별 전문가와 합동으로 행할 수 있으며, 다양한 의견수렴을 위해서 토론회 등을 한국과학기술원과 협의하여 개최할 수 있음
4) 자문위원 운영과 관련하여 집행되는 경비는 수행업체가 지급함
사. 지식재산권
1) 용역수행과 관련한 모든 산출물의 저작권에 대한 권리는 한국과학기술원과 사업자가 공동으로 소유함을 원칙으로 하되, 세부사항은 협의하여 결정함
2) License 정책은 추후 협의하여 결정함
2. 기타사항 가. 사업 추진방향
1) 사업의 효과성을 높이기 위해 한국과학기술원의 업무 프로세스를 표준화하고 효율화하여야 함
2) 도출된 시스템의 설계안은 향후 연동될 타 시스템과의 연동 표준을 명확히 하여야만 함
나. 사업 수행기간
1) 다음과 같은 경우에는 한국과학기술원의 승인을 얻어 기간을 연장함
가) 천재지변 등 불가항력으로 사업수행에 지장이 생겼을 때
나) 설계변경 또는 한국과학기술원의 사유로 사업기간의 연장이 불가피할 때
다. 사업수행 조직
1) 한국과학기술원과 협의 없이 임의로 프로젝트 총괄 책임자/사업관리자(PM)를 변경할 수 없다.
2) 본 사업 수행에 필요한 작업장소, 설비 및 기타 작업환경은 「행정기관 및 공공기관 정보시스템 구축·운영 지침」 제41조 및 「용역계약일반조건」 제52조에 따라 발주기관과 계약상대자가 상호 협의하여 결정하며 사업 수행 인력은 상호 협의한 장소에 상주하여 업무를 수행하는 것을 원칙으로 하되, 보안 요건 준수 등 상주를 요하지 않는 업무 및 분야에 대해서는 발주기관과의 협의를 통해 원격근무(비상주)를 병행할 수 있다.
3) 사업 참여 인력에 대해 사업 참여 서약서를 작성 제출한다.
라. 국내외 선진사례 조사
1) 국내 및 국외기관 또는 대학의 유사 업무 사례를 분석하여 한국과학기술원에 적합한 서비스 구축 방안을 도출하여야 함
2) 필요할 경우 국내·외 선진사례 시찰 및 조사를 수행할 수 있음
마. 보안통제 1) 개발 장소는 보안 통제되어야 함
2) 관계자 외 출입통제, 외부유출 금지문서는 보안 관리하여야 함
3) 관련 자료 및 문서가 외부에 노출되지 않도록 문서함을 관리하여야 함
4) 사업 완료 후 대여 자료를 반환하고 기타자료는 폐기함
5) 데이터의 기밀보호 및 복제를 금지함
6) 한국과학기술원의 승인이 없는 한 관련 자료는 사용금지 및 자료의 제3자 제공을 금지함
7) 한국과학기술원의 정당한 시정지시를 부당히 여기거나 이행하지 않을 경우 계약위반으로 인한 일방적 해지사유가 될 수 있음
바. 사업추진 보고 1) 착수보고서 가) 계약일로부터 14일 이내 제출
나) 과업지시에 대한 시스템 구축 방향, 세부 공정계획, 일정별 추진사항, 사업수행자 명단, 사업 추진체계, 산출물 등 구체적인 사업수행계획서 제출
2) 월간보고
가) 사업수행기간의 매월 유지보수 결과서 제출
나) 사업진행 공정상 핵심공정의 결과가 도출되는 시점을 발주자와 협의하여 선정함
3) 최종보고 가) 사업종료일로부터 14일 이전에 시행 나) 최종 성과물에 대한 종합보고
4) 한국과학기술원 또는 사업자의 요청과 합의에 의하여 각 보고 및 검토회의를 개최 또는 생략(보고서 대체)할 수 있음
사. 사업 장애요소의 제거 및 예방 1) 이슈제기
가) 사업의 성패를 좌우하는 핵심적인 사안의 결정을 요할 경우에 발주자에게 이슈를 제기하고 이에 대한 회의를 정식으로 요청할 수 있음
나) 이슈의 제기는 사업진행의 효율성 및 효과성을 위하여 주기적으로 모아서 처리하는 것을 원칙적으로 함. 단, 매우 긴급한 사안일 경우 즉각적인 처리를 요청할 수 있음
다) 이슈의 제기는 발주자 측의 총괄 PM이나 사업관리팀에 요청함
2) 문제 제기
가) 사업의 치명적인 장애요소가 발생하였을 경우 발주자에게 문제를 제기하고 이에 대한 회의 또는 해결을 정식으로 요청할 수 있음
나) 문제의 제기는 사업진행의 효율성 및 효과성을 위하여 주기적으로 모아서 처리하는 것을 원칙으로 함. 단, 매우 긴급한 사안일 경우 즉각적인 처리를 요청할 수 있음
3) 문제의 제기는 발주자 측의 총괄 PM에게만 할 수 있음
아. 하도급 제도
본 사업은 하도급을 불허하는 사업임
자. 과업심의위원회
1) (과업내용 확정 심의 여부) 본 사업은 「소프트웨어 진흥법」 제50조에 따른 과업내용 확정을 위하여 과업심의위원회를 ( ✔ )개최 또는 ( )미개최 한 사업임
2) (과업내용 변경) 본 사업은 「소프트웨어 진흥법」 제50조, 같은 법 시행령 제47조 제1항 제2호, 제3호에 따른 과업내용 변경 및 그에 따른 계약금액·계약기간 조정이 필요한 경우, 계약상대자는 국가기관등의 장에게 소프트웨어사업 과업변경요청서를 제출하여 과업심의위원회 개최를 요청할 수 있으며, 국가기관등의 장은 과업심의위원회 개최요청에 대해서 특별한 사정이 없으면 수용해야 함
3. 산출물의 제출
가. 산출물의 종류와 규격은 계약 후 1개월 이내 한국과학기술원과 협의하여 결정하여야 함
나. 모든 산출물 제출 시 대외비로 분류하며, 일련번호를 기록하여 제출함
다. 최종산출물은 계약종료 7일 전까지 제출함
라. 해당 산출물이 공정 일정 기준으로 4주를 초과하는 시점까지 미제출일때 계약을 해지할 수 있다.
Ⅴ 제안 안내 1. 입찰방식
가. 예산금액: 95,000,000원(부가세 포함)
나. 입찰방식: 기술 및 가격 평가를 통한 공개경쟁입찰
다. 계약방식: KAIST 협상에 의한 계약 2. 추진일정
가. 입찰공고: 한국과학기술원 구매팀 일정 및 공고 방식을 따름
나. 입찰 및 계약: 공고서 참조 다. 사업기간: 공고서 참조 3. 제안업체 자격요건
가. 본 사업의 수행이 가능한 업체로서 다음 요건을 모두 갖춘 사업자
1) 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제12조 및 동법 시행규칙 제14조에 의한 경쟁 입찰의 참가자격을 갖춘 업체
2) 「국가를 당사자로 하는 계약에 관한 법률」 제27조 및 같은법 시행령 제76조에 따른 입찰참가자격 제한을 받고 있지 않은 업체
3) 「소프트웨어 진흥법」 제58조에 따른 소프트웨어사업자로서 국가종합전자조달시스템에 컴퓨터관련서비스사업(업종코드: 1468)으로 등록한 업체
4) 「중소기업제품 구매촉진 및 판로지원에 관한 법률」 제4조제2항 및 같은 법 시행령 제2조의2제1항제1호에 따른 소기업 또는 소상공인으로서, 「중소기업 범위 및 확인에 관한 규정」에 따라 발급된 유효한 중소기업확인서(소기업·소상공인)를 보유한 업체
5) 「중소기업제품 구매촉진 및 판로지원에 관한 법률」 제9조에 따라 다음 세부 품명에 대한 직접생산확인증명서를 입찰서 제출마감일 전일까지 발급받아 유효기간 내에 있는 업체
. 정보시스템유지관리서비스 (세부품명번호: 8111189901)
. 정보시스템개발서비스 (세부품명번호: 8111159901)
나. 입찰참가신청에 필요한 구비서류를 제출한 업체
다. 공동수급 및 하도급 불가 4. 사업자 선정 및 평가 가. 선정방법
1) 기본방침: 객관적이고 공정한 기준과 절차를 적용하여 경쟁에 의한 우수사업자 선정
2) 적용규정
가) 국가를 당사자로 하는 계약에 관한 법률, 시행령, 규칙
나) 소프트웨어 진흥법, 시행령, 시행규칙
다) 「조달청 협상에 의한 계약 제안서평가 세부기준」
라) 「행정기관 및 공공기관 정보시스템 구축·운영 지침」
마) 「소프트웨어 기술성 평가기준 지침」(과학기술정보통신부 고시)을 바탕으로 사업의 특성 및 내용 등을 고려하여 평가항목 및 항목별 배점을 조정함
바) 「협상에 의한 계약체결기준」(기획재정부 계약예규)에 따라 평가 점수를 산출함
사) 「중소 소프트웨어사업자의 사업 참여 지원에 관한 지침」(과학기술정보통신부 고시) 제2조(사업금액의 하한) [별표 1] 기준에 적합한 자
3) 입찰방식: 기술 및 가격평가를 통한 공개경쟁입찰
4) 낙찰자 선정방식: 협상에 의한 계약체결 가) 기술과 가격에 대한 종합평가를 실시함
나) 기술평가 비중을 100분의 80으로 하고, 가격평가 비중은 100분의 20으로 함
나. 사업 설명회
1) 사업설명회는 별도로 실시하지 않으며 공고된 제안요청서 열람으로 갈음함
다. 기술평가 및 제안 설명회
1) 제안서 내용 검토를 위해 추후 한국과학기술원이 지정하는 장소에서 제안서와 관련된 설명회를 실시함
2) 제안업체, 설명방법 및 구체적인 일정은 한국과학기술원에서 별도로 정하여 통보함
3) 제안 설명시간은 1개 업체당 발표 20분, 질의응답 10분을 기준으로 하고 제안 설명회 참석은 제안 업체당 5명 이내로 하며, 제안 설명에 필요한 장비 등은 직접 설치하여 사용할 수 있음
4) 제안 설명회에 참가하지 않는 업체는 제안평가에서 불이익이 있음
5) 제안서 평가점수는 각 평가위원의 각 제안서 평가점수 중에서 최저 및 최고점수를 제외한 후 산술평균하여 산출함. 단, 최저 또는 최고점수가 2개 이상일 때에는 이 중 하나만 제외함
6) 평가점수를 계산한 결과 소수점 이하의 숫자가 있는 경우에는 소수점 둘째 자리에서 반올림함
7) 제안서 설명은 사업 책임자(PM)가 직접 발표해야 하며, 사업 책임자(PM)가 발표하지 않을 경우 제안서만으로 평가함
8) 기술평가 결과점수를 제안서 평가결과 기술능력평가 점수가 기술능력평가 분야 배점 한도의 85%(68점/80점 만점) 이상인 자를 협상적격자로 선정함
9) 제안업체는 평가결과에 대해 일체의 이의를 제기할 수 없음
라. 우선협상대상자 선정
1) 선정된 협상대상후보자에 대하여 가격평가를 실시하여 기술평가점수와 가격평가점수를 합한 종합평가점수의 고득점 순으로 협상대상자를 선정하며, 협상대상후보자 중 가장 점수가 높은 제안사를 우선협상 대상자로 선정함
2) 종합평가점수=100점(기술평가점수: 80점, 가격평가점수: 20점)
3) 동점자가 있을 경우는 기술평가점수가 높은 업체를 선정(기술평가점수가 동일한 경우 정량적 평가배점 점수가 높은 업체를 선정)
4) 사업자 선정결과는 서면으로 개별통보하며, 미선정 업체에 대한 통보는 생략
5. 계약방식
가. 한국과학기술원 계약업무요령 제16조를 적용함
나. KAIST 협상에 의한 계약
다. 계약체결의 경우 국가를 당사자로 하는 계약에 관한 법률 및 동법 관련 규정에 의한 계약의 일반조건과 특수조건 등의 일반원칙에 따름
라. 종합평가 최고 득점자와 우선적으로 수의계약을 의뢰하고 계약이 되지 않은 경우 종합평가점수 2순위와 동등한 방법으로 계약을 의뢰함
마. 우선순위 업체와 협상에 의하여 합의가 이루어지면 하 순위 업체와의 협상을 생략함
바. 평가에 대한 세부사항을 비공개로 함을 원칙으로 함. 따라서 제안서를 제출하는 사업자는 제안업체 선정 및 계약 등에 관한 최종결정에 이의를 제기하지 않겠다는 의사표시로 간주함
사. 계약과 관련 절차를 나열하면 다음과 같음
1) 제안요청서 배부 → 제안서 접수 → 제안 설명회(상황에 따라 실시) → 우선협상대상 업체 선정 → 협상실시 → 계약업체 선정 및 계약체결
※ 한국과학기술원 계약업무요령 제 16조: http: //rule.kaist.ac.kr → 원규집 → 원규1(규정) → 제 8편 회계 관련 → 계약업무요령 참조
6. 제안서 평가기준 가. 평가기준 일반사항
1) 「소프트웨어 기술성 평가기준 지침」(과학기술정보통신부 고시) 및 「조달청 협상에 의한 계약 제안서평가 세부기준」을 준수하여 제안서 기술평가를 진행함.
2) 기술평가와 가격평가를 실시하여 종합평가점수로 산출하며, 기술 및 가격 제안서 평가비중은 다음과 같음
가) 종합평가점수 산출 = 기술평가 점수 + 가격평가 점수
나) 기술평가(80%) 다) 가격평가(20%)
3) 평가위원이 평가한 서류는 외부에 공개하지 않으며 이에 대해 참가업체는 이의를 제기할 수 없음
4) 제안 참가업체가 평가위원과 접촉한 사실이 증명되면 해당 업체는 심사에서 제외됨
5) 제안서에 기재된 내용 이외의 자료는 평가대상에서 제외됨
6) 기술평가 세부기준 및 평가위원 명단, 평가 작업 등은 공정성과 관련하여 공개하지 않음
7. 입찰 계약조건
가. 사업수행을 위하여 필요한 장소는 상호 협의하여 정하며, 한국과학기술원에 요청 시 제공 가능하며 설비 등 기타 작업환경은 상호 협의하여 결정함
나. 본 사업의 계약목적물에 대한 지식재산권 귀속은 계약 당사자 간 공동으로 소유함
다. 본 사업을 통해 개발되는 S/W는 용역계약일반조건 제56조(계약목적물의 지식재산권 귀속 등)에 따라 타 기관과 공동 활용할 계획 없음
라. 평가항목 및 배점표 구분 평가항목 평가요소 배점 기술 평가 (정량) (10) 경영상태 및 수행실적 (10) 경영상태
신용정보이용및보호에관한법률에 의거한 공인 신용평가등급 확인서(조달청 기준표 준용).
5 투입인력
사업수행 전담 투입 인력(PM 및 상주/비상주 인력)의 한국소프트웨어산업협회(KOSA) SW기술자 등급 및 유지보수 경력
5 기술 평가 (정성) (70) 전략 및 방법론 (20) 사업이해도
사업의 특성 및 목표에 부합하는 사업전략을 제시하고 있는지 평가
업무분석체계의 명확성 10 추진 전략
- 개발업무 수행 시 일정 및 위험요소를 고려하여 얼마나 타당한 추진 전략을 수립하였는지 평가
적용 기술
사업에서 적용하고자 하는 기술이 향후 확장성을 고려하였는지, 현실적으로 실현 가능한지 여부를 평가
10 개발 방법론
- 사업에 적정한 개발 방법론이 제시되었는지 평가
실제 적용 사례 및 경험을 바탕으로 단계별 산출물이 제시되었는지 여부를 평가
기술 및 기능 (20) 시스템 요구사항
요구 규격을 충족하는 장비 제안 여부와 현 시스템과의 인터페이스 및 확장 가능성 여부를 평가
도입 장비의 설치 및 공급 계획, 유지관리에 대한 방안이 구체적으로 기술되어 있는가를 평가
10 기능 요구사항
기능 요구사항·기대사항·제약사항 등을 파악한 후 구현 방안이 구체적으로 기술되어 있는지 평가
제안한 방안 및 기술이 적용 가능한지 평가 보안 요구사항
요구사항 및 시스템 분석을 바탕으로 보안 요구사항의 적용 방안이 구체적으로 기술되었는지 평가
데이터 요구사항
데이터 요구사항 분석을 바탕으로 데이터 전환계획 및 검증 방법, 데이터 오류 발생 시 처리 방안이 구체적으로 제시되어 있는지 평가
10 시스템 운영 요구사항
시스템 운영 요구사항에 맞는 운영 절차 및 방법을 제시하였는지 평가
운영 중 비상사태 발생 시 대응 방안이 구체적으로 제시되고 있는지 평가
제약사항
목표 시스템의 설계, 구축, 운영과 관련하여 제약조건을 충족시키기 위한 구체적인 구현 방안 및 테스트 방안이 수립되었는지 평가
성능 및 품질 (10) 성능 요구사항
요구 성능 충족을 위한 구현 및 테스트 방안이 구체적으로 기술되어 있는지, 이를 위한 방법론 및 분석도구가 기술되어 있는지 평가
제안한 방안 및 기술을 통해 성능 요구사항을 충족시킬 수 있는지 평가
10 품질 요구사항
제공되는 개발도구 및 구현방안, 테스트 방안 등이 품질 요구사항에 부합되는지 평가
분석·설계·구현·테스트 등 각 단계별 품질 요구사항 점검 및 검토 방안이 구체적으로 계획되어 있는가를 평가
프로젝트 관리 (10) 관리 방법론
일정관리, 사업위험(이슈) 관리, 보안관리, 산출물의 형상·문서 관리 등 사업수행에 필요한 관리 방법론이 구체적으로 제시되어 있는지를 평가
문제 발생시 보고 체계 및 위험관리 방안이 구체적으로 제시되어 있는지 평가
10 일정 계획
사업수행에 필요한 수행기간과 세부일정이 구체적으로 제시되었는지 평가
각 활동에 필요한 일정 계획이 적절히 수립되어있는지 평가
개발 장비
개발에 필요한 개발환경의 구성이 구체적으로 제시되었는지 평가
라이센스 등의 문제가 없는지 여부 평가 프로젝트 지원 (10) 교육훈련
시스템 공급자가 시스템 운영 및 관리자를 위해 필요한 각종 교육훈련의 방법, 내용, 일정 등을 구체적으로 제시하였는지 평가
5 유지관리
시스템 공급자가 제시하는 유지관리 계획, 조직, 절차, 범위 및 기간과 이와 관련된 기타의 활동 및 그 제한사항에 대해 평가
기밀보안
사업 추진 동안 악영향을 미치는 일련의 불순 활동들로부터 기밀을 보호함과 동시에 원활한 사업의 수행을 보장하기 위한 체계 및 대책에 대해 평가
5 비상대책
시스템 공급자가 안정적인 시스템 운영을 위해 필요한 각종 백업/복구 및 장애대응 대책을 구체적으로 제시하였는지 평가
기술 평가 소계 80 가격 평가 (20) 가격제안(20) - 협상에 의한 계약체결 기준에 의함 20 합계 100 마. 기술평가점수 산출방법 및 세부 평가기준 1) 기술평가점수 산출방법 가) 기술평가 수행방식은 아래와 같음
o 정량적 기술평가: 조달청 「협상에 의한 계약 제안서평가 세부기준」 및 「한국소프트웨
어산업협회(KOSA) SW기술자 등급 및 유지보수 경력」에 따른 평가
o 정성적 기술평가: 한국과학기술원에서 자체 기술평가위원회를 구성하여 평가
나) 제안서 설명회 및 정성적 평가일시 및 장소는 상호 협의하여 결정함
다) 기술평가위원회는 발주부서를 제외한 한국과학기술원 전문가로 구성
라) 제안사는 정량적 기술평가 요약표 및 평가항목별 제안내용 조견표를 작성 제출
2) 정량적 평가 세부기준
가) 경영상태: 조달청 「협상에 의한 계약 제안서평가 세부기준」 제9조 제3항 제1호 및 [별표
8]을 준용한 공공 SW 사업 경영상태(신용평가등급, 5점 만점) 표준 배점표 기준에 따라
평가함.(신용정보관리업체에서 발급한 공공입찰용 신용평가등급 확인서 기준)
o 1등급 계열: 배점의 100%(5.0점) o 2등급 계열: 배점의 95%(4.75점) o 3등급 계열: 배점의 90%(4.5점)
o 4등급 계열 이하: 배점의 70%(3.5점)
나) 투입인력 자격 및 경력: 사업수행 전담 투입 인력(PM 및 상주/비상주 인력)의 「한국소프트웨
어산업협회(KOSA) SW기술자 등급 및 유지보수 경력」에 따라 평가함.
o 특급/고급기술자 및 해당 분야 경력 충족: 5.0점
o 중급기술자 이상 구성: 4.0점 o 초급기술자 위주 구성: 3.0점 3) 정성적 평가 세부기준
가) 「소프트웨어 기술성 평가기준 지침」(과학기술정보통신부 고시)에 따른 기술제안서 평가항목 및 배점한도를 적용하며 주관적 평가는 모든 평가부문에 대해 상대평가를 실시함.
나) 각 평가항목은 5등급 내외를 기준으로 기술제안서별로 절대 또는 상대평가하며, 상대평가 시 우열을 가리기 어려운 경우에는 동일한 점수를 부여할 수 있음
다) 등급별 점수 환산 기준 등급 A B C D E 점수비율 100% 90% 80% 70% 60%
※ 평가항목, 부분별 배점한도는 평가위원회에서 심의 의결을 거쳐 조정될 수 있음
바. 가격평가
1) 입찰가격을 추정가격의 100분의 80 이상으로 입찰한 자에 대한 평가
가)
나) 최저입찰가격: 유효한 입찰자 중 최저입찰가격
다) 당해입찰가격: 당해 평가대상자의 입찰가격
라) 입찰가격 평가 시 사업예산으로 하는 경우에는 추정가격에 부가가치세를 포함하여 적용하고, 예정가격을 작성한 경우에는 추정가격을 예정가격으로 적용
2) 입찰가격을 추정가격의 100분의 80 미만인 입찰한 자에 대한 평가
※
* 최저입찰가격: 유효한 입찰자 중 최저입찰가격
* 당해입찰가격: 당해 평가대상자의 입찰가격으로 하되, 입찰가격이 추정가격의 100분의 60 미만일 경우에는 100분의 60으로 계산
* 입찰가격 평가 시 사업예산으로 하는 경우에는 추정가격에 부가가치세를 포함하여 적용하고, 예정가격을 작성한 경우에는 추정가격을 예정가격으로 적용
3) 입찰가격 평점산식에 의한 계산결과 소수점 이하의 숫자가 있는 경우에는 소수점 다섯째자리에서 반올림함
Ⅵ 제안서 작성 제안서 전제조건 및 법적효력
본 사업은 한국과학기술원의 전체 캠퍼스를 대상으로 함
제안서에 제시된 내용 및 공사의 요구에 의하여 수정 및 보완, 변경된 제안내용은 계약서에 명시하지 않더라도 계약서와 동일한 효력을 가짐
계약서에 명시된 경우에는 계약서가 우선함
제안서에 대한 해석상의 문제가 있을 경우 상호 협의하여 조정하며, 협의가 되지 않을 경우 한국과학기술원의 해석을 우선함
사업기간에 산출되는 모든 자료는 한국과학기술원에 귀속되며, 제안업체는 본 사업을 이행함에 있어서 발생하는 저작권 및 사용권, 특허 등의 문제발생에 대하여 일체의 책임을 져야 함
제안업체가 협력업체를 활용하는 경우에는 반드시 제안서에 기재하여야 본 사업의 협력업체로 인정되며, 추후 협력업체 변경 및 신규지정은 한국과학기술원의 승인을 득해야 함
제안업체의 제안내용에 대한 확인, 검증이 필요한 경우 제안업체에 입증자료를 요구할 수 있으며, 입증자료를 제출하지 못할 경우 불가능한 것으로 판단함
계약업체는 사업 수행 기간 동안 습득한 지식이나 자료를 제3자에게 공개 또는 제공할 수 없음
제안서 작성 방법 제안서 작성방법
“붙임 1”의 서식에 맞추어 작성하되 필요하다고 판단되는 내용은 추가할 수 있음
사용 용지는 A4 규격 용지를 사용함
제안서는 제본 및 양면인쇄가 가능하며, 가로와 세로형식은 자유롭게 선택할 수 있음
마이크로소프트의 오피스 제품을 사용하여 작성할 것을 권장하며, 한글과 컴퓨터의 한컴오피스로도 작성할 수 있음
제안서는 각 페이지마다 일련번호를 부여하여 쉽게 참조할 수 있도록 하며, 분량은 다음과 같음
주관적 제안서: A4, 200page(단면) 이내 권장, 제본은 자유롭게 함
A4지 규격의 전자문서(pdf)로 작성을 권고합니다.
제안서 작성서식은 한국과학기술원이 지정한 서식에 맞추어 작성함
제안서는 한국어 작성을 원칙으로 하나, 전문용어에 한하여 영문약어를 사용할 시 약어 표를 제공하여야 함
제안서 작성 시 가능한 여러 안을 제시할 수 있으나 반드시 각각의 안에 대한 장/단점을 기재하고, 1안을 채택하여 그에 대한 명확한 이유를 명시하여야함
제안 내용은 꼭 필요한 사항 위주로 명료하게 작성하여야 하며, 불확실한 용어의 사용 및 추상적인 표현은 하지 말아야 함. 따라서 제안내용 중 ‘사용가능하다.’, ‘동의한다.’,‘할 수 있다.’, ‘고려한다.’ 등의 불명확한 표현은 불가능한 것으로 간주함
제안내용의 근거자료 및 참고자료 등을 첨부하여야 하며, 특히 기술적 검증이 필요한 자료에 대해서는 가능한 공인검증 자료를 제출하여야함
제안내용에 대한 확인 및 검증이 필요하다고 판단될 경우 한국과학기술원에서 제안 사에 입증자료를 요구할 수 있으며, 입증자료를 제출하지 못할 경우 불가능한 것으로 판단함
본 제안서 내용의 해석과 관련하여 한국과학기술원은 그 최종적인 권한을 가지며 제안서의 소유권은 한국과학기술원에 있음
한국과학기술원의 요청이 없는 한 제안업체는 제안서 제출마감 이후 제안서 내용에 대한 어떠한 첨삭이나 변경도 할 수 없음
제안서와 기타 구비서류를 검토하여 미비업체는 상황에 따라 보완지시, 실격처리, 감점처리 등의 조치를 취하여 그 결과를 기술평가 점수에 반영할 수 있음
제안서를 허위 또는 예상으로 작성해서는 안 되며 모든 기재사항은 객관적으로 입증 가능해야 함. 만일 허위로 작성한 사실이 발견될 시에는 감점 또는 제안서를 무효처리함
제안서의 내용은 명확한 용어로 표현하고, 계량화가 가능한 것은 계량화하여야 함
제안서 USB 제출 시 평가위원이 검색하기 용이하도록 제작해야하며, 제안서와 동일한 내용으로 제출함
기타 필요하다고 판단되는 보조 자료는 별도로 제출할 수 있음
제안서는 명시된 제출기한 내에 접수 장소에 직접 제출해야 하며, 우편접수는 불가함
제출된 제안서는 반환되지 않으며, 제안을 위해 소요되는 일체의 비용은 제안사가 부담함
제안서 및 제안서와 관련되어 제출된 모든 문서는 업체의 이익을 보호하기 위하여 외부에 공개하지 않는 것을 원칙으로 함
필요시 본 제안요청서 내용 외의 것을 추가로 제안할 수는 있으나, 한국과학기술원 제반 관련 법규/지침 등을 준수하여 제안하여야 함
3. 제안 유의사항
가. 정부조치나 한국과학기술원의 환경변화로 본 제안서의 일부 또는 전부가 변경되거나 취소되는 경우에도 제안업체는 이의를 제기하지 못함
나. 제안서 평가는 한국과학기술원의 평가기준에 의하여 평가하며, 제안업체는 기술평가 결과에 대해 일체의 이의를 제기할 수 없고 세부적인 평가항목 및 결과는 공개하지 않음
다. 계약 성립 후, 한국과학기술원에 의하여 사업총괄 책임자 및 수행인원의 자질에 대해 문제가 있어 변경 요구를 청할 경우 사업자는 이에 응해야 함
라. 계약 성립 후, 제안서의 내용이 허위로 작성한 사실이 발견되거나 제안된 내용을 충족시키지 못할 경우 제안업체는 일체의 손해배상책임을 져야 함
4. 제출서류 가. 제안서 제출공문서 1부 나. 제안서 6부(기명 1부, 무기명 5부) 다. 제안서 내용이 수록된 USB 2개
라. 가격제안서 1부(산출내역서 포함 / 제안서 제출 당일 봉인 날인하여 별도 제출)
마. 대리인이 제출하는 경우, 위임장 및 재직증명서 각 1부
사. 계약 후 제출서류
1) 입찰에 참가하여 낙찰자로 선정된 업체는 계약 후 10일 이내에 착수계를 작성하여 한국과학기술원에 제출하여야 함
2) 계약 시: 보안 및 비밀유지각서, 보안서약서
5. 제출방법 및 제안서 설명회 가. 제출방법 1) 제안서 공고에 따름 2) 제출 장소 및 문의처
가) 주소: 대전광역시 유성구 대학로 291, 한국과학기술원 구매팀(E14 건물, 4층)
나) 제출부서 연락처: 구매팀(임정빈, 042-350-2331, [email protected])
다) 사업부서 연락처: 안전팀(윤석노, 042-350-4142, [email protected])
3) 제출방법
가) 제안서는 공문을 첨부하여 제출하며, 반드시 대표자 또는 법인의 직인을 날인해야 함
나) 제안서는 우편접수할 수 없으며, 직접 방문하여 접수해야 함
다) 기일 내에 제출하지 않는 경우 제안 의사가 없는 것으로 간주함
라) 기술제안서, 가격제안서, 입찰증빙서류를 분리하여 제출해야 함
나. 제안서 설명회
1) 개찰후, 7일이내에 제안서 설명회를 위한 일정을 제안업체에 사전 통보함
2) 발표시점에 제안서에 기재되지 않은 내용을 추가적으로 발표할 수 없으며, 제안서에 명시되지 않은 내용을 발표할 경우 사회자가 이의를 제기할 수 있음
3) 발표순서는 한국과학기술원에서 정하는 임의 순서로 진행함
6. 제안서 보안유지
가. 제안업체는 본 프로젝트와 관련하여 취득한 모든 자료를 대외비로 취급하여야 하며, 절대로 외부에 유출 또는 다른 용도로 사용되지 않도록 하여야 함
나. 제안업체가 제출한 제안서 및 관련 자료는 외부에 공개하지 않음을 원칙으로 함
7. 제안서 목차 및 작성방법 가. 제안서 목차 Ⅰ. 일반현황
1. 입찰자 일반현황: 입찰자의 일반현황, 주요 연혁, 자본금, 매출액
* 동일ㆍ유사사업실적 등은 “해당 평가항목”란에 작성
2. 해당 사업의 수행조직 및 업무분장 3. 해당 사업의 핵심투입인력 및 이력사항 Ⅱ. 전략 및 방법론 1. 사업 이해도 2. 추진전략 3. 적용기술 4. 표준 프레임워크 적용 5. 개발 방법론 Ⅲ. 기술 및 기능 1. 시스템 장비구성 요구사항 2. 기능 요구사항 3. 보안 요구사항 4. 데이터 요구사항 5. 시스템 운영 요구사항 6. 제약사항 Ⅳ. 성능 및 품질 1. 성능 요구사항 2. 품질 요구사항 3. 인터페이스 요구사항 4. 테스트 요구사항 Ⅴ. 프로젝트 관리 1. 관리방법론 2. 관리역량 3. 일정계획 4. 개발장비 Ⅵ. 프로젝트지원 1. 품질보증 2. 시험운영 3. 교육훈련 4. 유지관리 5. 기밀보안 6. 비상대책 Ⅶ. 그 밖의 사항 나. 세부 작성지침 항 목 작 성 방 법 Ⅰ. 일반현황 1. 제안사 일반사항
제안사의 일반현황 및 주요 연혁, 최근 3년간의 자본금 및 부문별 매출액, 실적 등을 명료하게 제시하여야 한다. [붙임 1, 2호 서식]
2. 제안사의 조직 및 업무분장
제안사(컨소시엄 포함)의 조직 및 업무분장 현황을 제시하여야 한다.
Ⅱ. 전략 및 방법론 1. 사업 이해도
제안사는 해당사업의 제안요청 내용을 명확하게 이해하고 본 제안의 목적, 범위, 전제조건 및 제안의 특징 및 장점을 요약하여 기술하여야 한다. 목표시스템 구성도 및 구성 체계를 제시하여야 한다.
2. 추진전략
제안사는 사업을 효과적으로 수행하기 위한 추진전략을 제시하여야 한다.
3. 적용기술
제안사는 사업수행을 위한 주요 적용기술 및 세부개발방법론, 적용기술의 실현가능성 등을 제시하여야 한다. 대상 업무별 개발방안(통합/연계 범위 관련 적절한 방안 제시 등), Prototype 구현 등 개발에 대한 전반적인 방안을 제시한다.
4. 개발방법론
업무개발에 적용할 방법론 절차 및 기법의 활용방안을 제시하여야 하며, 적용방법론의 경험을 기술한다.
개발방법론에 따라 제출할 산출물의 종류 및 내역, 제출시기를 기술한다.
Ⅲ. 기술 및 기능 1. 기능 요구사항
방법론 및 분석도구를 통하여 구체적인 내용으로 분석하고 구현 방안이 구체적인 기술, 제안한 방안 및 기술의 적용방안을 제시하여야 한다.
2. 보안 요구사항
보안요구사항 및 시스템과의 관련성을 분석하고 적용할 보안기술, 표준, 제안방안 등을 구체적으로 제시하여야 한다.
3. 데이터 요구사항
데이터 구축, 전환 계획 및 검증 방법, 에러 데이터 처리 방법에 대해 구체적인 내용을 제시하여야 한다.
4. 제약사항
제약조건을 충족시키기 위한 구체적인 구현 방안 및 테스트 방안을 제시하여야 한다.
Ⅳ. 성능 및 품질 1. 성능 요구사항
구현하고자 하는 기능을 통해 요구 성능이 충족되도록 방법론 및 분석 도구, 구현 및 테스트 방안을 구체적으로 제시하여야 한다.
2. 품질 요구사항
분석·설계 등 각 단계별 품질 요구사항의 점검 및 검토 방안을 구체적으로 제시하여야 한다.
3. 인터페이스 요구사항
시스템 인터페이스의 타 시스템과의 연계 방안과 사용자 편의성을 고려한 사용자 인터페이스의 구현방안을 구체적으로 제시하여야 한다.
Ⅴ. 프로젝트 관리 1. 관리방법론
사업위험, 사업진도, 사업수행 시 보안을 관리하는 방법, 사업수행 성과물이나 산출물의 형상 및 문서를 관리하는 방법 등을 구체적으로 제시하여야 한다.
※ 분리발주 사업이 있는 경우, 분리발주사업자와의 구체적인 협력방안 제시
2. 일정계획
사업수행에 필요한 활동을 도출하여 정확한 활동 기간, 자원 등을 제시하여야 한다.
Ⅵ. 프로젝트 지원 1. 품질보증
조직, 방법, 절차 등 해당 사업의 수행을 위한 품질보증 방안을 제시하여야 한다.
※ 국제 소프트웨어 개발 프로세스 품질인증 획득여부 등 사업자 품질보증 능력을 기술
2. 시험운영
대상 업무별 단위시험, 통합시험 등에 대한 전반적인 방안을 제시하여야 하고 개발완료 후 시스템의 이용 및 관리운영에 관한 전반적인 방안을 제시한다.
3. 교육훈련
사용자, 관리자 등 시스템의 이용대상자별로 구분하여 교육훈련 방법, 내용, 교육일정, 교육훈련 조직 등을 상세히 제시하여야 한다.
4. 유지관리
하자보수 계획, 조직, 절차, 범위 및 기간과 이와 관련된 기타의 활동 등을 종합적으로 제시하여야 한다.
5. 기밀보안
기밀보안 체계 및 대책, 저작권 존중여부 명시, 시스템 보안성 확보방안과 개인정보보호 대책을 제시하여야 한다.
6. 비상대책
안정적인 시스템 운영을 위하여 백업/복구 및 장애대응 대책을 제시하여야 한다.
Ⅶ. 그 밖의 사항 1. 그 밖의 사항
상기항목에서 제시되지 않은 기타 내용을 기술한다.
제안 관련 서식 [제1호 서식] 일반현황 및 연혁
회
사
명
대 표 자
사
업
분
야
주
소
전
화
번
호
회 사 설 립 년 도
년
월
해당부문 종사기간
년
월 ∼
년
월 (
년
개월)
주요연혁 [제2호 서식] 자본금 및 매출액 (최근 3년) (단위 : 천원)
구
분
M-2년도 M-1년도 M년도 자 본 금 매 출 액 OO 부문 OO 부문 OO 부문 OO 부문 OO 부문 합 계 주요사업실적
사
업
명
사 업 기 간 계 약 금 액 발 주 처 비 고
※ 현재 수행중인 사업도 포함하여 연도순으로 기재하며, 제안과제와 유관한 것만 기재한다.
※ 하도급은 발주처가 승인한 경우에 한하여 작성하며 비고란에 원도급회사를 기재한다.
※ 공동도급계약일 경우에는 계약금액란에 제안사의 지분만을 기재한다.
※ 사업별 사용 개발방법론을 비고에 기재한다.
※ 한국소프트웨어산업협회에서 발급하는 이행실적확인서를 가능한 활용.
※ 실적을 확인할 수 있는 실적증명서, 계약서 등의 증거서류제출, 확인이 불가능한 실적은 인정하지 않음.
※ 실적증명자료는 붙임으로 첨부하여야 하며 실적증명첨부서류에 페이지를 명시하여 주요사업실적 비고란에 페이지를 표시하여야 함.
[제3호 서식] 업무수행조직 및 인원현황 1. 제안사의 조직 및 인원현황 2. 본 사업 수행조직 및 인원현황 사업책임자 직위,성명,기술등급 부문 부문 부문 부문 직위,성명, 기술등급 직위,성명, 기술등급 직위,성명, 기술등급 직위,성명, 기술등급 참고사항) 1. 부문별 책임자를 명시
2. 부문별 기술자 기재순서는 평가시참고가 될 수 있도록 역할 및 지위, 기술등급 순으로 기재한다.
[제4호 서식] 입 찰 참 가 신 청 서
※아래사항 중 해당되는 경우에만 기재하시기 바랍니다.
처리기간
즉
시
신 청 인 상호/법인명칭 법인등록번호
주
소
전 화 번 호
대
표
자
주민등록번호 입찰 개요 입찰공고번호 제안요청설명회일자 입 찰 건 명 입 찰 보 증 금
납
부
- 보증금율：
%
- 보 증 액： 금
원정 (￦
)
납부면제 및 지급확약 - 사유： 공고문 제7항
- 본인은 낙찰 후 계약 미체결시 귀 대학에 낙찰금액에 해당하는 소정의
입찰보증금을 현금으로 납부할 것을 확약합니다.
(인)
대 리 인 ․ 사 용 인 감 본 입찰에 관한 일체의 권한을 다음의 자에게 위임합니다. 성명： 주민등록번호： 본 입찰에 사용할 인감을 다음과 같이 신고합니다.
사용인감：
(인)
본인은 위의 번호로 공고(지명통지)한 귀 대학의 일반(제한,지명)경쟁입찰에 참가하고자 귀대학
에서 정한 공사(물품구매, 용역)입찰공고사항 및 입찰유의서 등을 모두 승낙하고 붙임서류를 첨부하
여 입찰 참가신청을 합니다.
붙임서류： 기타 공고로서 정한 서류
2026 년
월
일
신청인：
(인)
한국과학기술원 총장 귀하 [제5호 서식] 가 격 제 안 서
사 업
명
사 업 기 간
계약일로부터
개월
제 안 금 액
일금
원(\
)(부가세 포함)
구
분
금
액
비
고
용 역 비 제 경 비
합
계
부가세 포함 제안 금액 부가세 포함 상기 금액으로 가격 제안서를 제출합니다. 붙임 : 금액산출 근거표
년
월
일
제안업체
주
소 :
상
호 :
대표자명 :
직인
사업자등록번호 : 한국과학기술원 귀하 별표1 보안 관리 서식 사업 착수 시 [서식1] 보안서약서 [서식2] 정보보안교육 확인서 [서식11] 표준 개인정보처리위탁 계약서 사업 종료 시 [서식3] 보안확약서 [서식4] 자료 완전삭제 확인서 [서식5] 용역완료 검수조서 사업 수행 시(상시) [서식6] 정보시스템 반출·입 대장 [서식7] 참여인원 전산장비 현황표 [서식8] 휴대용 저장매체 관리대장 [서식9] 자료 인계·인수 대장 [서식10] 인터넷 사용 신청서
[서식12] 참여인원 정보시스템 접근권한 기록부
[서식13] 상주 용역사업 보안점검 기록부
[서식13] 비상주 용역사업 현장실사 체크리스트
별표2 전산장비 검수 체크리스트 [붙임1] 보안장비 체크리스트 [붙임2] 네트워크장비 체크리스트 [붙임3] 서버 체크리스트(유닉스 계열) [붙임4] 서버 체크리스트(윈도우 계열) [붙임5] DBMS 체크리스트
[붙임6] 단말기 체크리스트(PC, 노트북, 태블릿 등)
별표3 참고 자료 [별첨1] 정보시스템 유지관리 절차서 [별첨2] 누출금지 정보의 범위 [별첨3] 웹 취약점 점검표 [별첨4] 사업자 보안위규 처리기준 [별첨5] 보안 위약금 부과 기준 [서식1] 시작 시 보 안 서 약 서
본인은 20 년
월
일 한국과학기술원과 계약 체결한
사업을 수행함에 있어 다음 사항을 준수할 것을 서약합니다.
1. 본인은 본 사업을 수행함에 있어 계약서, 과업지시서(제안요청서/시방서) 및 사업 수행 제반 보안사항을 철저히 이행할 것임은 물론 사업수행 전에 사업참여자로서 보안교육을 받겠습니다.
2. 본인은 사업 제반 자료 및 복사본 등 사업산출물을 반출 및 보관, 외부에 누설 또는 도용하지 않을 것이며 이를 어길 시 관련 법규에 의거한 처벌을 받음은 물론 당사업자 및 본인에 대한 어떠한 제재조치에도 이의를 제기하지 않을 것입니다.
3. 한국과학기술원에서 지정한 “누출금지 정보” 및 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제76조제2항제3호의 내용을 숙지하여 이에 위배 시 동 조항에 의거 당사업자를 부정당업자로 지정하여 입찰참가를 제한함에 이의를 제기하지 않음과 민․형사상의 책임이 전적으로 당사업자 및 본인에게 있음을 각서합니다.
4. 본인이 납품·설치만을 수행할 경우에도 수행업무 범위와 무관한 불법행위를 일절 금할 것이며 이의 사항을 위반하거나 기밀을 누설할 경우 정보통신망 이용촉진 및 정보보호에 관한 법률 제48조 및 기타 관련 법률에 의거하여 민·형사상의 책임이 전적으로 본인에게 있음을 엄숙히 서약합니다.
20
.
.
.
참여인력 서약자 연명부 연번 소속 담당업무 성명 직책 서명 1 2 3 4 5 한국과학기술원 총장 귀하 [서식2] 시작 후 1개월 이내 정보보안교육 확인서 사업명 사업기간 교육담당자 (발주기관) 소 속 성 명 서 명 본 사업을 진행하는 KAIST의 사업부서명 본 사업을 진행하는 사업담당자 (인) *사업담당자 서명 작성 교육일시 20XX.XX.XX 14:00~15:00
*교육은 용역사업 개시 후 1개월 이내에 실시해야 함
교육내용 보안 요구사항 전반
- 누출금지 대상정보 및 정보 누출 시 부정당업자 제재조치
- 사업자 보안위규 처리기준 및 보안 위약금 부과 기준
- 자료 인계·인수 대장 기록 및 전산장비 반출·입 통제
사진 3. 용역업체 교육자료를 활용하여 사업담당자가 용역업체를 대상으로
교육을 진행한 실제 현장 사진 (혹은 온라인 미팅 캡쳐사진)
참석자 명단 연 번 소 속 (업체명) 직급 성 명 서 명 1 2 3 4 5 [서식3] 종료 시 보 안 확 약 서
본인은 귀 기관과 계약한
사업의 수행을 종료함에 있어, 다음 각호의 보안사항에 대한 준수 책임이 있음을 서약합니다.
1. 본 업체는 업체 및 사업참여자가 사업수행 중 득한 모든 자료를 반납 및 파기하여 복사본 등 본 사업 제반 자료를 보유하고 있지 않음을 각서하며 득한 정보에 대한 유출을 절대 엄금하겠습니다.
2. 본 업체는 하도급 업체에 대해 상기 항과 동일한 보안사항 준수 책임을 확인 및 보안확약서를 징구하였으며, 하도급 업체가 위의 보안사항을 위반할 경우 주사업자로서 그와 동일한 법적책임을 지겠습니다.
3. 본 업체는 상기 보안 준수사항을 위반할 경우 귀 기관의 사업에 참여 제한 또는 기타 관련 법규에 따른 책임과 손해배상을 감수하겠습니다.
년
월
일
서약업체 대표
소
속 :
직
급 :
성
명 :
(서명)
한국과학기술원 총장 귀하 [서식4] 종료 시
* 사업 수행 중 자료가 저장된 전산장비의 반출이 불가피한 경우 포함
자 료 완 전 삭 제 확 인 서 1. 사 업 명 : 2. 대상장비 : 3. 사 용 자 : 4. 삭 제 일 : 5. 자료완전삭제 증빙 < 삭제 대상 >
용역사업에 활용되는 전산장비(PC·노트북 등) 전부
(전산장비별로 확인서 작성 필요) < 증빙 방법 - 택1 > 1) 포맷 실시
2) 사업자료 저장 경로에서 데이터 유 → 무로 증빙
보안책임자 : 용역업체 PM
(인)
사업담당자 : 사업부서 담당자 (인)
사업책임자 : 사업부서장
(인)
[서식5] 종료 시 용역완료 검수조서 1. 용 역 명 : 2. 계 약 번 호 : 3. 계 약 자 : 계약업체 대표자명 4. 계약년월일 :
5. 계 약 금 액 : 금
원정(￦
)
6. 용역수행기간 : 7. 완료년월일 :
위 용역의 완료 검사를 실시한 결과, 과업지시서(제안요청서)대로 용역이 완료
(OO% 수행)되었음을 확인함.
년
월
일
조서 작성자 : 사업 담당자명
(인)
[서식6] 상시
* 용역사업에 활용되는 장비 반출‧입시마다 작성
정보시스템 반출⋅입 대장 □ 사업명: OOO 사업 □ 보안조치
① BIOS 암호설정 ② 운영체제 암호설정 ③ 화면보호기 설정
④ 최신 백신으로 악성코드 감염 여부 점검 ⑤ 자료 무단반출 여부 확인 ⑥ 자료 완전 삭제
* 반출‧입이 없는 경우에도 표에 “내역 없음” 기입하여 제출
* 용역사업에 활용되는 장비를 사업부서에서 제공하고 반‧출입을 원칙적으로 금지하는 경우, 미제출 사유를 별도의 텍스트 파일에 작성하여 제출
장비명 관리번호 (시리얼번호) 신청자 반출⋅입 사유 반출⋅입 일시 (입⋅출 구분) 보안조치 사업 담당자 (서명) 노트북 s111-001-113 (5004829800055) OOO 세미나 발표 20XX.00.00 00:00(출) ⑤ OOO (인) PC OO-OO-OO OOO 인터넷 자료열람 20XX.00.00 00:00(입) ①,②, ③,④ OOO (인) PC OO-OO-OO OOO 시스템 개발용 20XX.00.00 00:00(입) ①,②, ③,④ OOO (인) USB 외주_OOO_일반_0001 (10KAIS20250000XX) OOO 사업 종료 20XX.00.00 00:00(출) ⑥ OOO (인) [서식7] 상시
* 용역사업에 활용되는 장비 대상(사업부서 제공 장비, 용역업체 장비 전부 기재)
참여인원 전산장비 현황표 □ 사업명: OO사업 □ 사업담당자: OOOOO팀 OOO (인) 연번 소속 취급자 성명 종류 (서버ㆍPC 등) IP주소 관리번호 사용 시작일 1 길동정보통신 (공용) PC 143.OOO.O.OO OO사업-01 24.12.1. 2 길동정보통신 홍길동 PC 143.XXX.X.XX OO사업-02 24.12.1. 3 길동정보통신 김영희 노트북 143.OOO.O.OX OO사업-03 24.12.1. 4 길동정보통신 (공용) 서버 143.000.0.000 OO사업-04 25.3.3. [서식8] (비상주 용역만 해당) 휴대용 저장매체 관리대장 □ 사업명: OO사업 □ 사업담당자: OOOOO팀 OOO (인) 연번 관리번호 (S/N) 매체형태 등록일자 취급자 불용처리일자 불용처리방법 (재사용 용도) 비고 1 10KAIS20250000XX 외장하드 2 10KAIS20250000XX USB 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 [서식9] 상시 자료 인계·인수 대장 □ 사업명: 구분 일시 자료명(형태) 인계자 인수자 소속 이름 소속 이름 1 2024.6.3. 09:00 OO시스템 접근 계정정보(hwp) OOOOO팀 OOO (인) 길동정보통신 홍길동 (인) 2 2024.7.18. 15:15 정보통신망 구성도(실물자료) OOOOO팀 OOO (인) 길동정보통신 홍길동 (인) 3 2024.12.2. 14:25
OO홈페이지 취약점 점검 및 조치 결과보고서(PDF)
길동정보통신 홍길동 (인) OOOOO팀 OOO (인) 4 2024.12.21. 14:25 OO 프로그램 소스코드 원본(USB) 길동정보통신 홍길동 (인) OOOOO팀 OOO (인) 5 6 7 8 9
※ 보안 요구사항에 명시한 누출금지 대상정보를 인계·인수할 경우, 해당 정보 인계자 및 인수자가 직접 서명 후 인계‧인수하고, 사업 종료 시 관련 자료 전부 회수
※ 아래의 경우, 회수일자 및 회수자란에 ‘-’, 비고란에 ‘미회수 사유’ 기입
- 사업 종료 전에 정보보안팀 요청으로 제출하는 경우(정보보안팀 요청에 의한 선제출)
- 사업 내용 및 수행사의 변동 없이, 계속 추진하는 운영‧유지보수 사업(계속되는 유지보수 사업)
회수일자 20XX.XX.XX. 회수자 OOOO팀 OOO (인) 비고 [서식10] (상주 용역만 해당) * 인원 변동 시마다 작성 필요 인터넷 사용 신청서 □ 사업명: OO사업
□ 사업담당자: KAIST 소속으로 본 사업을 신청한 담당자 성함
□ 보안책임자: 용역업체명 OOO(PM) N0. 소속(업체명) 사용자 IP 인터넷 허용 기간 신청 사유 1 길동정보통신 홍길동 143.XXX.X.XX 24.12.1.~25.11.30. 원활한 과업 수행 2 길동정보통신 (공용) 143.OOO.O.OO 24.12.1.~25.11.30. 원활한 과업 수행 3 길동정보통신 김영희 143.OOO.O.OX 25.12.1.~25.11.30. 원활한 과업 수행 □ 인터넷 사용 보안정책
P2P·웹하드 등 인터넷 자료공유사이트 접속 및 상용 메일·메신저 사용은 불가하며 기술적으로 차단됨
접속이 제한된 사이트 및 인터넷 파일공유사이트 등에 접속을 시도하지 않음
인터넷 허용 PC 사용자는 인터넷 사용을 오·남용하지 않으며, 오·남용으로 인한 보안사고 발생 시 모든 책임을 지게 됨
정보보안담당관의 승인을 통해 인터넷 사용을 허가하나, 「보안지침 변경·감사 지적·취약점 노출·사이버 공격 피해·보안사고 발생」 등 사안에 따라 정보보안 주무부서에서 사용자 및 사업부서에 사전 고지 없이 승인을 철회할 수 있음
20XX. XX. XX. 용역사업책임자 사업부서장 (인) 정보보안담당관 김진형 (인) [서식11]
본 표준 개인정보처리위탁 계약서는 「개인정보 보호법」제26조제1항에 따라 위탁계약에 있어 개인정보 처리에 관하여 문서로 정하여야 하는 최소한의 사항을 표준적으로 제시한 것으로서, 위탁계약이나 위탁업무의 내용 등에 따라 세부적인 내용은 달라질 수 있습니다.
개인정보 처리 업무를 위탁하거나 위탁업무에 개인정보 처리가 포함된 경우에는 본 표준 개인정보처리위탁 계약서의 내용을 위탁계약서에 첨부하거나 반영하여 사용하실 수 있습니다.
표준 개인정보처리위탁 계약서(안)
한국과학기술원 KAIST _________ (이하 “갑”이라 한다)과 △△△(이하 “을”이라 한다)는 “갑”의 개인정보 처리업무를 “을”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.
제1조 (목적) 이 계약은 “갑”이 개인정보처리업무를 “을”에게 위탁하고, “을”은 이를 승낙하여 “을”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.
제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는「개인정보 보호법」, 같은 법 시행령 및 시행규칙, 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회고시 제2023-6호) 및 「표준 개인정보 보호지침」(개인정보보호위원회고시 제2024-1호)에서 정의된 바에 따른다.
제3조 (위탁업무의 목적 및 범위) “을”은 계약이 정하는 바에 따라 (
) 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.
각호의 업무 예시 : 고객만족도 조사 업무, 회원가입 및 운영 업무, 사은품 배송을 위한 이름, 주소, 연락처 처리 등
1. 2.
제4조 (위탁업무 기간) 이 계약서에 의한 개인정보 처리업무의 기간은 다음과 같다.
계약 기간 : 20oo년 o월 o일 ~ 20oo년 o월 o일
제5조 (재위탁 제한) ① “을”은 “갑”의 사전 승낙을 얻은 경우를 제외하고 “갑”과의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.
② “을”이 다른 제3의 회사와 수탁계약을 할 경우에는 “을”은 해당 사실을 계약 체결 7일 이전에 “갑”에게 통보하고 협의하여야 한다.
제6조 (개인정보의 안전성 확보조치) “을”은 「개인정보 보호법」의 관련 조항 및 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회고시 제2023-6호)에 따라 개인정보의 안전성 확보에 필요한 기술적․관리적 조치를 취하여야 한다.
제7조 (개인정보의 처리제한) ① “을”은 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.
② “을”은 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보 보호법 시행령」 제16조 및 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회고시 제2023-6호)에 따라 즉시 파기하거나 “갑”에게 반납하여야 한다.
③ 제2항에 따라 “을”이 개인정보를 파기한 경우 지체없이 “갑”에게 그 결과를 통보하여야 한다.
제8조 (수탁자에 대한 관리·감독 등) ① “갑”은 “을”에 대하여 다음 각 호의 사항을 감독할 수 있으며, “을”은 특별한 사유가 없는 한 이에 응하여야 한다.
1. 개인정보의 처리 현황 2. 개인정보의 접근 또는 접속기록 3. 개인정보 접근 또는 접속 대상자
4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항
② “갑”은 “을”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이행하여야 한다.
③ “갑”은 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 ( )회 “을”을 교육할 수 있으며, “을”은 이에 응하여야 한다
「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2023-6호) 및 「개인정보 보호법」 제26조에 따라 개인정보처리자 및 취급자는 개인정보보호에 관한 교육을 의무적으로 시행하여야 한다.
④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “갑”은 “을”과 협의하여 시행한다.
제9조 (정보주체 권리보장) ① “을”은 정보주체의 개인정보 열람, 정정·삭제, 처리 정지 요청 등에 대응하기 위한 연락처 등 민원 창구를 마련해야 한다.
제10조 (개인정보의 파기) ① “을”은 제4항의 위탁업무기간이 종료되면 특별한 사유가 없는 한 지체 없이 개인정보를 파기하고 이를 “갑”에게 확인받아야 한다.
제11조 (손해배상) ① “을” 또는 “을”의 임직원 기타 “을”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁 받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “을” 또는 “을”의 임직원 기타 “을”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “갑” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “을”은 그 손해를 배상하여야 한다.
② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “갑”이 전부 또는 일부를 배상한 때에는 “갑”은 이를 “을”에게 구상할 수 있다.
본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “갑”과 “을”이 서명 또는 날인한 후 각 1부씩 보관한다.
20 . . . 갑 ○○시 ○○구 ○○동 ○○번지
성
명 :
(인)
을 ○○시 ○○구 ○○동 ○○번지
성
명 :
(인)
[서식12] 참여인원 정보시스템 접근권한 기록부
□ 사업명: ㅇㅇㅇ □ 사업담당자: ㅁㅁㅁ □ 정보시스템 접근권한 보안대책 체크리스트 ○
1. 용역직원에게 권한이 제한된 사용자계정을 부여하는가?
* 정보시스템에 중대한 영향을 끼칠 수 있는 슈퍼관리자 계정 제공 금지
* 사용자계정은 하나의 그룹으로 등록하고 계정별 정보시스템 접근권한 차등 부여
○ 2. 작업에 대한 보안 통제를 수행하는가?
* 시스템 설치 운영체제 중요설정 변경 등 필요시 보안담당자 통제하에 작업
* 사업담당자는 내부 서버 및 네트워크장비에 대한 접근기록을 수시로 확인
○
3. 용역직원에게 부여한 계정에 대한 로그 관리 정책을 준수하는가?
* 사업담당자가 수시로 용역 부여 계정에 접속하여 저장된 자료와 작업이력 확인
* 시스템에 대한 접근·작업·정책변경 등 작업이력 1년 이상 보관
○
4. 계정별로 부여된 접속권한은 불필요시 곧바로 권한을 해지하거나 계정을 폐기하는가?
* 계약종료 등 변동사항 발생 시 해당 사용자계정을 삭제하거나 부여된 접근권한을 회수
□ 용역직원별 정보시스템 접근권한 업체명 성명 출발지 IP 목적지 IP (시스템명 또는 장비명) 계정명 권한 계정 유효기간 계정 폐기일 [서식13] 상주 용역사업 보안점검 기록부 사업명 사업기간 사업담당자 OOOOO팀 OOO □ 점검항목 ※ 매월 점검·조치 실시 Ⅰ. 사업수행 PC·노트북 보안 ① OS 암호 및 화면보호기 설정 ② OS 및 응용프로그램 최신상태 유지 ③
정품 백신 프로그램 자동 업데이트 및 실시간 검사 기능 사용
④
인터넷 허용 PC의 경우 상용메일, P2P, 웹하드, 메신저 접속 차단
⑤ 내PC보안점검 프로그램 안전도 100% 달성 Ⅱ. 관리대장 최신화 여부 ⑥
참여인원 전산장비 현황표, 정보시스템 반출·입 대장
⑦ 자료 인계·인수 대장 ⑧ 참여인원 정보시스템 접근권한 기록부 Ⅲ. 중요정보 노출 여부 ⑨
공개된 장소에 계정 정보 등 중요정보 포함한 메모지 부착
⑩ 누출금지 자료 방치
□ 점검결과 ※ 위규사항 적발 시, 사업자 보안위규 처리기준에 따라 조치
점검일자 24.12.5. 25.1.16. 25.2.8. 25.3.21. 위규사항 없음 ⑨ 없음 없음 조치결과 - (보통) 위규자 대상 특별 보안교육 실시 - - 점검실시 사업책임자 사업책임자 사업책임자 사업책임자 □ 재발방지대책
25.1.16. 위규자 및 용역업체에 보안위약금 부과기준 주지, 익월 불시 보안점검 수행
[서식13] 비상주 용역사업 현장실사 체크리스트 ※ 연 1회 이상 실시
순번 점검항목 주요 점검사항 확인방법 양호 미흡 1 사업장에 대한 물리적 보안관리
- 사업장 및 정보시스템을 보호하기 위한 물리적 장치(CCTV, 잠금장치 등) 설치 여부
현장 확인 2 사업장 비인가자 출입 및 접근 통제
- 사업과 관련이 없는 방문자에 대한 정보시스템 설치장소 출입제한 및 방문기록 유지 여부
출입관리대장 3 용역사업 보안관리 조직
- 사업 수행 중 보안관리를 위한 조직 편성 및 참여인력 현행화
보안서약서 4 참여인원에 대한 보안교육 실시
- 용역사업 개시 후 1개월 이내 보안교육 실시 여부(발주기관의 용역사업 담당자가 교육 실시)
정보보안교육 확인서 5 독립적인 개발망 운용
유지보수 사업을 수행하는 정보시스템이 인터넷망 또는 다른 사업을 수행하는 정보시스템과 분리 구축 여부
정보통신망 구성도 6 지정된 단말기를 통한 시스템 접속
유지보수 시스템에 대한 접속은 콘솔 또는 지정된 단말기(고정IP)에서만 접속허용 여부
시스템 접근제어 정책 7 사업관련 자료 및 산출물 관리
사업관련 자료 및 사업과정에서 생산된 산출물이 보안책임자(PM)가 지정한 PC(인터넷과 분리)에 저장·관리 및 접근권한에 따른 접근제어 여부
현장 확인 8
용역사업 책임자(또는 보안관리 책임자)의 용역사업 인원·장비·자료·네트워크 등에 대한 점검 실시
- 사업 수행에 필요한 인원, 주요 장비에 대한 정기적 점검기록 보관 여부
시스템 점검 대장 9 소프트웨어 개발보안 절차 적용 여부 확인
- 보안 약점 진단도구를 활용하여 소스코드 내 잔존 취약점 제거
- 개발한 소프트웨어의 코드 및 리소스 파일 등에 대한 무결성 검증
형상관리시스템에 인가된 사용자만 접근 허용 진단도구 활용 증적 10
정보시스템(PC·서버·저장매체 등) 반출·입 시 절차 준수 및 보안조치 여부 확인
- 정보시스템 반출입대장 작성 및 사업담당자 서명 여부
정보시스템 반출입대장 11
휴대용 저장매체 통제 및 사용 여부 기록/관리 확인
휴대용 저장매체 관리대장 및 사용 기록 작성 여부
휴대용 저장매체 관리대장 12 용역PC에 누출금지 대상정보 저장 여부 확인 개발자 PC에 보안상 민감한 정보 보관 여부 현장 확인 13
웹 서버 등 정보시스템(서버, 네트워크, 정보보호시스템 등) 접근 계정, 패스워드 보안정책 관리
- 서버, 네트워크 장비 등에 대한 계정 및 패스워드 변경 내역 기록 여부
시스템 계정 및 패스워드 관리대장 14
웹 서버 등 정보시스템(서버, 네트워크, 정보보호시스템 등) 작업 내역 및 로그 확인
- 서버, 네트워크 장비 등에 대한 작업내역 및 로그 보관 여부
작업 대장 및 로그 기록 15 DB 시스템 내 민감정보 저장 여부 확인
DB 시스템 내 민감정보(사용자 정보, 기관에 대한 주요 정보) 제한 사용 여부
현장 확인 16 최종 산출물 반납
사업완료 후 생산된 최종 산출물이 인수인계서 통해 반납 및 사업관련 산출물 삭제에 대한 대표자명의 확약서 제출 여부
자료인계인수대장, 자료완전삭제확인서
2026.
.
.
확인자 (소속) KAIST 부서명
(직급) 행정원
(성명) OOO
(인)
[별표2] 전산장비 검수 체크리스트 [붙임1] 보안장비 체크리스트
(부서 : ㅇㅇ팀
확인자: 홍길동 (서명) )
분 류 구 분
점
검
항
목
점검여부 (O,X) 비고 계정관리 1 기본(Default) 패스워드, 계정 변경 2 패스워드 복잡도 설정 3 암호화된 패스워드 사용 4 사용자, 명령어별 권한 업무별 차등부여 5 로그인 실패횟수 5회 이하 제한 접근관리 6 VTY ACL 설정 : 담당자만 허용 7 Session Timeout 설정 8
보안장비 접속 시, HTTPS, SSH 등 암호화 접속 활용
패치관리 9 최신 보안패치 및 벤더 권고사항 적용 로그관리 10 NTP 서버 연동(실시간 동기화) 기능관리 11
최소한의 서비스만 제공(All Deny 기본)
12 장비 사용량 정기점검 13 불필요한 SNMP 중지 14
SNMP 사용 시, 유추 불가한 Community String 설정
기타 15 비인가 SW(백도어, 악성코드 등) 설치여부
*참고 : 한국인터넷진흥원 주요정보통신기반시설_기술적_취약점_분석ㆍ평가_방법_상세가이드
- 해당사항이 없을 경우, 비고란에 [해당없음] 기재
- 검수 및 보안설정 완료 후 체크리스트 작성
[붙임2] 네트워크장비 체크리스트
(부서 : ㅇㅇ팀
확인자: 홍길동 (서명) )
분 류 구 분
점
검
항
목
점검여부 (O,X) 비고 계정관리 1 기본(Default) 패스워드, 계정 변경 2 패스워드 복잡도 설정 3 암호화된 패스워드 사용 4 사용자, 명령어별 권한 업무별 차등부여 5 로그인 실패횟수 5회 이하 제한 접근관리 6 VTY ACL 설정 : 담당자만 허용 7 Session Timeout 설정 8
보안장비 접속 시, HTTPS, SSH 등 암호화 접속 활용
패치관리 9 최신 보안패치 및 벤더 권고사항 적용 로그관리 10 NTP 서버 연동(실시간 동기화) 기능관리 11
최소한의 서비스만 제공(All Deny 기본)
12 장비 사용량 정기점검 13 불필요한 SNMP 중지 14
SNMP 사용 시, 유추 불가한 Community String 설정
기타 15 비인가 SW(백도어, 악성코드 등) 설치여부
*참고 : 한국인터넷진흥원 주요정보통신기반시설_기술적_취약점_분석ㆍ평가_방법_상세가이드
- L2급 이하 장비(L2, AP 등)는 해당사항이 없을 경우 비고란에 [해당없음] 기재
- 장비 설치 완료 후 체크리스트 작성 [붙임3] 서버 체크리스트(유닉스 계열)
(부서 : ㅇㅇ팀
확인자: 홍길동 (서명) )
분 류 구 분
점
검
항
목
점검여부 (O,X) 비고 계정관리 1 root 계정 원격 접속 제한 2
패스워드 보안설정 (복잡도, 최소길이, 사용기간, 파일보호, 세션타임)
3 계정 잠금 임계값 설정 서비스 관리 4
root 홈, 패스 디렉터리 권한 및 패스 설정
5 파일 및 디렉터리 소유자 설정(홈 포함) 6 파일 소유자 권한 설정
/etc/passwd, /etc/services 소유자 root, 권한 644 이하
/etc/shadow 소유자 root, 권한 400 이하
/etc/hosts, /etc/inetd.conf 소유자 root, 권한 600 이하
/etc/syslog.conf 소유자 root(bin,sys가능), 권한 640 이하
7
SUID, SGID, Sticky bit 설정 파일 점검
8
사용자, 시스템 시작파일 및 환경파일 소유자 및 권한 설정
9 world writable 파일 점검 10
/dev에 존재하지 않는 device 파일 점검
11
$HOME/.rhosts, hosts.equiv 사용 금지
12 접속 IP 및 포트 제한 13 UMASK 설정 관리 14 서비스 비활성화
(Finger, Anonymous FTP, r계열, NFS, automountd, RPC, NIS, TFTP, talk, ntalk, SMTP, 웹서비스 디렉토리 리스팅, Dos 공격에 취약한 서비스)
15 SSH 원격접속 허용 16 cron 파일 소유자 및 권한설정 17 (NFS사용 시) NFS 접근 통제 18 automountd 제거 19 (NIS 사용 시) NIS, NIS+ 점검 20 [Sendmail 사용 시]
Sendmail 버전 점검 ,스팸 메일 릴레이 제한,일반사용자의 Sendmail 실행 방지
21 [DNS 서버 구축 시]
DNS 보안 버전 패치, DNS Zone Transfer 설정
22 웹서비스 보안설정
(웹 프로세스 권한 제한, 상위 디렉토리 접근 금지, 불필요한 파일 제거, 링크 사용 금지, 파일 업로드 및 다운로드 제한, 영역의 분리, 정보 숨김)
패치관리 23
최신 보안패치 및 벤더 권고사항 적용(OS, 웹서비스)
기타 24 비인가 SW(백도어, 악성코드 등) 설치여부
*참고 : 한국인터넷진흥원 주요정보통신기반시설_기술적_취약점_분석ㆍ평가_방법_상세가이드
- 예외사유 존재 시, 비고란에 예외사유 기재. 검수 및 보안설정 완료 후 체크리스트 작성
[붙임4] 서버 체크리스트(윈도우 계열)
(부서 : ㅇㅇ팀
확인자: 홍길동 (서명) )
분 류 구 분
점
검
항
목
점검여부 (O,X) 비고 계정관리 1
Administrator 계정 이름 변경 또는 보안성 강화
2
Guest 계정 비활성화 및 불필요한 계정 제거
3 계정 잠금 관련 보안설정(임계값, 기간설정) 4
패스워드 관련 보안설정(암호길이, 사용기간, 복잡도)
5 해독가능한 암호화를 사용하여 암호저장 해제 6 관리자 그룹에 최소한의 사용자 포함 서비스 관리 7 공유 권한 및 사용자 그룹 설정 8 하드디스크 기본 공유 제거 9 불필요한 서비스 제거 10 IIS 관련 점검 및 보안설정
(서비스 구동 점검, 디렉토리 리스팅 제거, CGI 실행 제한, 상위 디렉토리 접근 금지, 불필요한 파일 제거, 웹프로세스 권한 제한, 링크사용 금지, 파일 업로드 및 다운로드 제한, DB연결 취약점 점검, 가상 디렉토리 삭제, 데이터파일 ACL, 미사용 스크립트 매핑 제거, Exec 명령어 쉘 호출 진단, WebDAV 비활성화, 버전정보 숨김)
11 NetBIOS 바인딩 서비스 구동 점검 12 (FTP 사용 시)
서비스 구동 점검 및 FTP 디렉토리 접근권한 설정,
Anonymous FTP 금지, FTP 접근제어 설정
13 DNS Zone Tranfer 설정 14
RDS(Remote Data Services) 제거 또는 접근제어솔루션 사용
패치관리 15 최신 서비스팩 및 HOT FIX 적용 16 백신 프로그램 업데이트 로그관리 17 로그의 정기적 검토 및 보고 18 원격으로 엑세스 할 수 있는 레지스트리 경로 보안관리 19 백신프로그램 설치 20 SAM 파일 접근통제 설정 21
(전산실 등 통제구역 외 설치할 경우) 화면보호기 설정
22 로그온 하지 않고 시스템 종료 불허 23 원격 시스템에서 강제로 시스템 종료 불허 24
보안감사를 로그할 수 없는 경우 즉시 시스템 종료 해제
25 SAM 계정과 공유의 익명 열거 불허 26 Autologon 기능 제어 27
(전산실 등 통제구역 외 설치할 경우) 이동식 미디어 포맷 및 꺼내기 불허
28 디스크 볼륨 암호화 설정 29 비인가 SW(백도어, 악성코드 등) 설치여부
*참고 : 한국인터넷진흥원 주요정보통신기반시설_기술적_취약점_분석ㆍ평가_방법_상세가이드
- 예외사유 존재 시, 비고란에 예외사유 기재. 검수 및 보안설정 완료 후 체크리스트 작성
[붙임5] DBMS 체크리스트
(부서 : ㅇㅇ팀
확인자: 홍길동 (서명) )
분 류 구 분
점
검
항
목
점검여부 (O,X) 비고 계정관리 1 기본 계정 패스워드 및 권한 변경 2
데이터베이스 불필요 계정 제거 또는 잠금 설정 후 사용
3 패스워드 사용기간 및 복잡도 설정 4
데이터베이스 관리자 권한을 꼭 필요한 계정 및 그룹에 허용
접근관리 5 DB 서버로의 원격 접속 제한 6
DBA 이외의 비인가 사용자 시스템 테이블에 접근할 수 없도록 설정
7 오라클 DB인 경우, 리스너의 패스워드 설정 8 일정 횟수 로그인 실패 시 잠금정책 설정 9
데이터베이스 주요 파일(설정파일, 패스워드 파일 등)에 접근권한 설정
옵션관리 10
응용프로그램 또는 DBA 계정의 Role이 Public으로 설정되지 않도록 조정
11
OS_ROLES, REMOTE_OS_AUTHENTICATION, REMOTE_OS_ROLES를 FALSE로 설정
패치관리 12 데이터베이스에 대해 최신 보안패치 적용 13
DBMS에 대한 기본적인 감사 로그 저장 정책 적용
(로그인 실패, 권한, 객체 등에 대한 감사 설정)
기타 14 비인가 SW(백도어, 악성코드 등) 설치여부
*참고 : 한국인터넷진흥원 주요정보통신기반시설_기술적_취약점_분석ㆍ평가_방법_상세가이드
- 해당사항이 없을 경우, 비고란에 [해당없음] 기재
- 검수 및 보안설정 완료 후 체크리스트 작성
[붙임6]
단말기 체크리스트 (PC, 노트북, 태블릿 등)
(부서 : ㅇㅇ팀
확인자: 홍길동 (서명) )
분 류 구 분
점
검
항
목
점검여부 (O,X) 비고 계정관리 1 CMOS 설정 2
Defalut 계정, 윈도우 계정 패스워드 설정
3 잠금화면 설정 4 최대 패스워드 사용 기간 정책 패치관리 5 보안 업데이트 가능한 OS 설치
(Windows 7 이하 등 보안 지원 중단된 OS 금지)
6 최신버전 업데이트
(OS, 한글 및 Office 등 편집프로그램, V3 등 백신)
기타 7
부서/연구실 내 정보시스템 관리대장 기재 확인
8
비인가 HW 부착여부 확인(백도어HW, 도청장치 등)
육안으로만 확인 9 비인가 SW, 백도어 설치여부 10 정품 SW 사용여부 11 외부인력에 의한 설치 시 보안서약서 징구
*참고 : 한국인터넷진흥원 주요정보통신기반시설_기술적_취약점_분석ㆍ평가_방법_상세가이드
- 맥북, 태블릿 등으로 예외사유 발생 시, 비고란에 예외사유 기재
- 검수 및 보안설정 완료 후 체크리스트 작성
[별표3] 참고 자료 [별첨1] 정보시스템 유지관리 절차서 구분 내 용 비고 유지관리 인력 확인 투입인력 보안서약서 작성
(단, 유효 계약기간 내에 기관과 업체대표가 상호 작성한 보안서약서가 존재하는 경우는 제외)
유지관리 작업내용 보고 및 대응 당해 작업계획 및 내용을 담당자에게 보고
계획서에는, 일시, 작업자 인적사항, 작업목적, 작업소요시간, 시스템 혹은 서비스에 끼칠 영향을 반드시 포함
담당자는 보고내용을 확인하고, 품질, 형상관리, 비즈니스 중요도에 따른 리스크 대처방안을 최대한 확보
작업내역 승인 담당자는 작업계획의 최종승인 여부를 결정 작업환경
작업자는 유지관리 수행 장소에 담당자와 함께 이동
통제구역에서의 유지관리 시, 작업자는 통제구역 출입대장을 작성
작업자는 통제구역 외부로의 시스템 반출·입 시 정보자산 반출·입 대장을 작성
당해 작업은 담당자 입회를 원칙으로 하되, 지속적 입회가 어려운 경우 작업자는 주요 시스템 변경작업, SW/HW 형상의 변경작업, 리스크 발생이 예상되는 작업 시 담당자에게 사전 통보 후 진행
작업종결
작업자는 작업의 완료 및 수행 작업의 로그위치를 담당자에게 통보
작업자는 당해 작업과 관련 발생한 모든 산출물을 담당자에게 보고 및 인계
담당자와 작업자는 당해 작업의 목적완수를 확인하고, 수행 작업과 관련한 특이사항이 없는 경우 작업을 종결
[별첨2] 누출금지 정보의 범위
① 한국과학기술원 정보시스템, 정보자산의 내ㆍ외부 IP주소 현황
② 세부 정보시스템, 정보자산의 제조사, 제품버전, 구성현황 및 정보통신망 구성도
③ 정보시스템의 환경파일 등 구성정보
④ 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보
⑤ 정보통신망 취약점 분석ㆍ평가 결과물 ⑥ 용역사업 결과물 및 프로그램 소스코드
⑦ 국가용 보안시스템 및 정보보호시스템 도입 현황
⑧ 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보
⑨ 「공공기관의 정보공개에 관한 법률」 제9조제1항에 따라 비공개 대상 정보로 분류된 한국과학기술원의 내부문서
⑩ 「개인정보보호법」 제2조 제1호의 개인정보
⑪ 「보안업무규정」제4조의 비밀, 동 시행규칙 제16조제3항의 대외비
⑫ 그 밖에 한국과학기술원이 공개가 불가하다고 판단한 자료
※ 사업기간 중 공개불가 자료가 발생 시 상호 협의하여 추가 할 수 있음
[별첨3] 웹 취약점 점검표 구분 점 검 항 목 점검결과 1 버퍼 오버플로우 2 포맷스트링 3 LDAP 인젝션 4 운영체제 명령 실행 5 SQL 인젝션 6 SSI 인젝션 7 XPath 인젝션 8 디렉터리 인덱싱 9 정보 누출 10 악성 콘텐츠 11 크로스사이트 스크립팅 12 약한 문자열 강도 13 불충분한 인증 14 취약한 패스워드 복구 15 크로스사이트 리퀘스트 변조(CSRF) 16 세션 예측 17 불충분한 인가 18 불충분한 세션 만료 19 세션 고정 20 자동화 공격 21 프로세스 검증 누락 22 파일 업로드 23 파일 다운로드 24 관리자 페이지 노출 25 경로 추적 26 위치 공개 27 데이터 평문 전송 28 쿠키 변조
※ 참고 : 한국인터넷진흥원, 주요정보통신기반시설_기술적_취약점_분석_평가_방법_상세가이드
[별첨4] 사업자 보안위규 처리기준 구분
위
규
사
항
처 리 기 준 심각
1. 비밀 및 대외비 급 정보 유출 및 유출시도
가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출
나. 개인정보·신상정보 목록 유출
다. 비공개 항공사진·공간정보 등 비공개 정보 유출
2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포 ◦사업참여 제한 ◦위규자 및 직속 감독자 등 중징계 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시 중대 1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치
나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용
다. 개인정보․신상정보 목록을 책상 위 등에 방치
라. 기타 비공개 정보에 대한 관리소홀
마. 참여인원에 대한 보안서약서 미징구 및 교육 미실시
2. 사무실(작업장) 보안관리 허술 가. 출입문을 개방한 채 퇴근 등
나. 인가되지 않은 작업자의 내부 시스템 접근
다. 통제구역 내 장비·시설 등 무단 사진촬영
3. 전산정보 보호대책 부실
가. 업무망 인터넷망 혼용사용, USB 등 보조기억매체 기술적 통제 미흡
나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신
다. 개발·유지관리 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여
마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장
바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제
아. 제공된 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)
자. 바이러스 백신 정품 S/W 미설치 ◦위규자 및 직속감독자 등 중징계 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시 보통
1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀
가. 주요 현안ㆍ보고자료를 책상위 등에 방치
나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용
다. 중요정보에 대한 자료 인수․인계 절차 미 이행
2. 사무실 보안관리 부실
가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근
나. 출입키를 책상위 등에 방치 3. 보호구역 출입 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무
나. 보호구역내 비인가자 출입허용 등 통제 불순응
4. 전산정보 보호대책 부실
가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근
나. 네이트온 등 비인가 메신저 무단 사용
다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근
라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여
마. PC 비밀번호를 모니터옆 등 외부에 노출
바. 비인가 보조기억매체 무단 사용
사. 정보시스템 반입시 바이러스 백신 미검사 또는 반출시 자료 삭제 미확인
아. 바이러스 백신 최신 업데이트 또는 정밀점검 미실시
◦위규자 및 직속 감독자 등 경징계 ◦위규자 및 직속 감독자 사유서/경위서 징구 ◦위규자 대상 특별보안교육 실시 경미 1. 업무 관련서류 관리 소홀
가. 진행중인 업무자료를 책상 등에 방치, 퇴근
나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실
가. PC내 보안성이 검증되지 않은 프로그램 사용
나. 보안관련 소프트웨어의 주기적 점검 위반 다. PC 월1회 보안 점검 미이행 ◦위규자 서면ㆍ구두 경고 등 문책 ◦위규자 사유서/경위서 징구 ※ 사업자 보안위규 처리 절차 경위 확인 ▶ 보안위규 처리기준에 따라 조치 ▶ 재발 방지 대책 ▶ 보안조치 이행여부 점검 [별첨5] 보안 위약금 부과 기준 1. 수준별 차등 부과 구분 위규 수준 A급 B급 C급 D급 위규 심각 1건 중대 1건 보통 2건 이상 경미 3건 이상 위약금 비중 부정당업자 등록 건당 500만원 300만원 100만원
- A급은 국가계약법 시행령 제76조에 따라 부정당업자로 지정하여 입찰참가 제한
- 위약금 규모는 사업 규모에 따라 조정하되, 위 기준금액을 하한 금액으로 적용
- 위규 구분은 [사업자 보안위규 처리기준] 참고
2. 보안 위약금은 다른 요인에 의해 상쇄·삭감이 되지 않도록 함
- 보안사고는 1회의 사고만으로도 그 파급력이 큰 것을 감안하여 타 항목과 별도
부과
3. 사업 종료 시 지출금액 조정을 통해 위약금 정산