===== 입찰공고문_한남대학교 정보보호 관리체계 ISMS 인증 컨설팅 제한경쟁입찰_최종.pdf =====
공고번호: 한남대 제2026-15호
일 반 용 역 입 찰 공 고
< 본 계약은 청렴계약(서약)제가 적용됩니다. >
본 계약은 「국가를 당사자로 하는 계약에 관한 법률」제5조2에 따른 청렴계약제가
적용됩니다. 입찰자는 반드시 입찰서 제출시 아래의 청렴계약서에 관한 내용을 숙지․
승낙하여야 하며, 동 내용을 위반한 경우 발주기관의 조치에 대하여 어떠한 이의도 제기
할 수 없습니다.
「국가계약에 관한 법률」제5조의2에 따라 본 입찰에 참여한 당사 대리인과 임직원은 입
찰․낙찰, 계약체결 또는 계약이행 등의 과정(준공․납품 이후를 포함한다)에서 아래 각
호의 청렴계약 조건을 준수할 것이며, 이를 위반할 때에는 입찰․낙찰을 취소하거나 계
약을 해제․해지하는 등의 불이익을 감수하고, 이에 민․형사상 이의를 제기하지 않을 것임을
약정합니다.
1. 금품․향응 등을 요구 또는 약속하거나 수수(授受)하지 않을 것이며, 관계공무원에게
금품, 향응 등을 제공한 경우에는 「국가를 당사자로 하는 계약에 관한 법률 시행령」
에 따른 부정당업자의 입찰참가자격 제한 처분을 받겠습니다.
2. 입찰가격의 사전 협의 또는 특정인의 낙찰을 위한 담합 등 공정한 경쟁을 방해하는 행
위시에는 「국가를 당사자로 하는 계약에 관한 법률 시행령」에따른 부정당업자의 입찰
참가자격 제한 처분을 받겠습니다.
3. 공정한 직무수행을 방해하는 알선․청탁을 통하여 입찰 또는 계약과 관련된 특정 정
보의 제공을 요구하거나 받는 행위를 하지 않겠습니다.
한남대학교 총무인사팀
1. 입찰사항
가. 입찰건명 : 한남대학교 정보보호 관리체계 ISMS 인증 컨설팅 제한경쟁입찰
나. 입찰방법 : 제한경쟁입찰, 협상에 의한 계약
다. 기초금액 : ￦93,800,000원(부가가치세 포함금액)
라. 사업기간 : 계약일로부터 6개월
마. 기타사항 : 공동계약불가
※ 기타 세부사항(제안요청서)은 수요기관 요청문서에 의하며 공고 게시물에 첨부된 제안요
청서를 반드시 확인하시기 바라며, 제안서 부분에 대해서는 해당 부서에 정확히 문의 후 투
찰하여 주시기 바랍니다.
※ 낙찰자 미계약시 입찰보증금을 납부해야 하며, 부정당업자로 제재를 받을 수 있습니다.
2. 입찰(개찰)일정 및 장소
가. 입찰일정
구 분 입찰일정 재입찰 일정 비 고
입찰설명회 제안요청서로 갈음함.
입찰등록 마감
입찰서류제출 마감
제안서 제출 마감
2026.11.16.(월) - 나라장터 제출
추후 공지 - 제출서류와 제출방법은
오전 10:00까지 공고문 하단 참조
제안서 설명회
및 평가
추후 안내
[입찰등록 마감 후 1주일 이내 시행]
입찰 마감 후
장소 시간 개별 통보
우선협상대상자
추후 안내 개별통보
선정 및 협상진행
※ 본교 사정에 의하여 상기 일정은 변경될 수 있음.
※ 제안서 평가시, 제안업체는 발표자료를 준비하여 제안서 설명회를 진행하여야 함.
※‘입찰 등록(투찰)’과 ‘제안서 및 입찰서류제출’은 별개이므로 각각 이행 후 입찰 담
당자에 확인 요망 (제출 방법은 하단의 제출서류 참고)
나. 입찰방식 : 전자입찰
다. 개찰장소 : 국가종합전자조달시스템(나라장터)
※ 제출기간 중에는 24시간 입찰서의 제출이 가능함
※ 전자입찰서의 제출여부는 나라장터 시스템의 ‘전자문서함-보낸문서함’에서 확인하여야 함
3. 입찰참가자격
가. 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제12조 및 동법 시행규칙 제
14조 규정에 의한 경쟁입찰 참가자격을 갖추어야 하며, 조달청 입찰참가자격등록
증 소지업체
나. 「국가를 당사자로 하는 계약에 관한 법률」 제27조 및 동법 시행령 제 76조(부정
당업자의 입찰참가자격 제한)에 해당되지 않은 업체
다. 국가를 당사자로 하는 계약에 관한 법률 시행령 제12조 및 동법 시행규칙 제14조
의 규정에 의한 입찰자격을 갖추고, 소프트웨어 진흥법에 의한 소프트웨어사업자
(업종코드: 1468) 및 정보보호산업의 진흥에 관한 법률에 의한 정보보호 전문 서
비스기업으로 신고한 업체(업종코드: 1542)
라. 수행 조직은 공고일 기준, 최근 2년 이내로 교육기관(대학 등)의 ISMS, ISMS-P 컨
설팅 용역 수행 실적을 보유하여야 함
4. 협상대상자 선정 및 협상기준
가. 각 평가위원의 기술능력 평가점수 중 최고점수와 최저점수를 제외한 나머지 점수
를 산술평균한 점수가 기술능력 평가분야 배점한도의 85%이상인 업체를 협상적격
자로 선정함.
나. 협상은 제안서 기술평가(90%)와 가격평가(10%)를 종합평가한 결과 고득점자순으로
함. 다만, 합산점수가 동일한 업체가 2개 업체 이상일 경우에는 기술능력 평가점
수가 높은 업체를 우선순위자로 하고, 기술능력 평가점수도 동일한 경우에는 기술
능력 세부평가항목 중 배점이 큰 항목에서 높은 점수를 얻은 업체를 우선 순위자
로 함.
다. 협상적격자가 없는 경우 재공고 입찰에 부칠 수 있음.
라. 기타사항은「협상에 의한 계약 체결기준」에 의함.
5. 제출서류
가. 제출마감 및 장소
❐ 제안서 제출자료와 입찰제출서류는 제출기한 내 나라장터를 통하여 온라
인으로 제출해야 함
❐ 제출기한 내에 미제출 시는 참여 의사가 없는 것으로 간주하여 제외함
❐ 제출기한 : 2026. 11. 16.(월) 10:00까지
❐ 제출방법 : 나라장터 온라인 제출(라. 서류 제출방법 참고)
❐ 문의사항 : 총무인사팀 정지연 042-629-7301
나. 제안서 제출 자료
1) 제안서 파일 1부
다. 입찰제출서류 목록
1) 나라장터에서 출력한 조달청 입찰참가자격 등록증 1부 (전체페이지)
2) 법인등기부등본 1부
3) 법인인감증명서와 사용인감계 각 1부
4) 사업자 등록증 1부
5) 소프트웨어사업자 컴퓨터관련서비스업 확인서(업종코드:1468) 및 정보보호 전문
서비스기업 지정서(업종코드: 1542) 1부
6) 서약서 1부
7) 개인정보수집·이용동의서 1부
8) 청렴이행서약서 1부
9) 기업신용평가서 원본 1부
라. 서류 제출방법: 나라장터 – 전자문서함 – 신규 비정형문서작성 – 수신자정보의
수신자검색및지정 – 수요기관 “한남대학교”의 정지연 지정 – 붙임문서 파일
첨부하여 송신 [발송 후 042-629-7301로 꼭 확인 요청]
6. 입찰무효
가. 「국가를 당사자로 하는 계약에 관한 법률 시행령』 제39조, 동법 제44조, 「(계약예규)
용역입찰유의서」 제12조에 해당하는 입찰은 무효임.
나. 본교에 입찰등록 및 구비서류를 제출하지 않은 업체
다. 낙찰자로 통지받은 일로부터 7일 이내에 계약을 체결하지 않은 경우(단, 업체의
특별한 사유를 본교가 허락한 경우 예외)
라. 시행규칙 제44조 및 용역입찰유의서 제12조에 정한 입찰무효 해당 여부 확인을
위하여 등록정보 확인을 위한 서류(법인등기부등본, 입찰대리인임을 확인할 수 있
는 서류, 관련되는 면허 등을 증명하는 서류 등)요청하는 경우, 낙찰대상자는 관
계서류를 발주기관으로 제출하여야 함.
7. 불공정행위 금지
가. 입찰자 또는 계약상대자(이하 이 조에서는 “입찰자 등”이라 한다)는 입찰․낙찰,
계약체결 또는 계약이행 등의 과정에서 입찰 및 계약의 공정한 질서를 저해하는 다음
각 호의 어느 하나에 해당하는 행위는 불가함.
1) 금품·향응 등의 공여·약속 또는 공여의 의사를 표시하는 행위
2) 입찰가격의 사전 협의 또는 특정인의 낙찰을 위한 담합 등 공정한 경쟁을 방해하는
행위
3) 공정한 직무수행을 방해하는 알선·청탁을 통하여 입찰 또는 계약과 관련된 특정 정
보의 제공을 요구하는 행위
4) 하수급인 또는 자재·장비업자의 계약상 이익을 부당하게 제한하는 행위
5) 그 밖에 입찰 및 계약 등 과정에서 공정한 경쟁을 저해하는 행위
나. 입찰자 등은 제1항 각 호에 따른 행위가 「국가를 당사자로 하는 계약에 관한 법
률」제5조의3 등 관계 법령에 위반되는 경우 해당 입찰․낙찰이 취소되거나 계약이
해지․해제될 수 있고, 입찰참가자격 제한 대상에 해당되는 경우「국가를 당사자로
하는 계약에 관한 법률」제27조 등 관계 법령에 따라 부정당업자로 입찰참가자격
제한처분을 받을 수 있음.
다. 계약담당자는 제1항 각 호의 위반행위를 확인하기 위하여 입찰자 등에게 관련 자
료제출을 요청할 수 있으며, 입찰자 등은 특별한 사정이 없는 한 적극협조하여야
함.
라. 입찰자 등은 계약담당자가 제1항 제2호 위반행위의 확인을 위하여 제3항에 따른
자료제출 요청에도 불구하고 협조를 하지 않는 경우 “부당한 공동행위 고발요청
기준”에 따라 불이익을 받을 수 있음.
8. 낙찰자 제출서류 : 추후 별도안내
가. 제출서류 목록
1) 일반용역계약서(나라장터 작성)
2) 기술지원확약서
3) 인지세납부확인서(나라장터)
4) 최종견적서
5) 기타 추후 요청 서류
나. 낙찰자 또는 계약상대자는 제안요청서에 명시된 바와 같이 주요 대상 장비에 대한
제조사 기술지원 확약서를 계약 후 7일 이내에 제출하여야 하며, 제출하지 않아 계
약이 해제된 경우 부정당업자로 입찰참가자격을 제한받을 수 있음.
다. 낙찰자는 계약체결 후 14일 이내에 유지보수 과업수행계획서, 착수계 및 체결한
계약일을 기준으로 대상 장비 지원업체와의 계약체결 관련서류를 제출하여 승인
받은 후 계약을 행하여야 함.
라. 물품공급 및 기술지원확약서의 발급은 기술지원사와 낙찰(예정)자 또는 계약상대
자간에 공정한 거래질서 등에 반하지 않는 범위 내에서 세부협약 등을 통해 이루
어지므로 입찰자는 제반조건 등을 확인해야하며, 확약서를 제출하지 못한 책임은
낙찰자 또는 계약상대자에게 있음.
9. 청렴계약 이행준수
가. 본 건은 청렴계약제 시행 대상임.
나. 입찰참가자는 서류 제출시 우리 대학의 서약서 및 청렴이행각서를 제출하여야 함.
10. 기타사항
가. 입찰참가자는 규격서, 특수조건, 국가를 당사자로 하는 계약에 관한 법률, 국가를
당사자로 하는 계약에 관한 법률 시행령, 국가를 당사자로 하는 계약에 관한 법률
시행규칙, 입찰유의서, 계약일반조건, 계약특수조건 등 입찰에 필요한 모든 사항을
자세히 알고 입찰에 참가하여야 하며, 숙지하지 못함으로 인한 책임은 입찰참가자
에게 있음.
나. 계약보증금 및 하자보증금은 국가를 당사자로 하는 계약에 관한 법률 시행령의
적용을 받음.
다. 입찰자는 본 공고서 및 제안요청서, 「국가를 당사자로 하는 계약에 관한 법률」,
동법 시행령 및 시행규칙, 기획재정부 계약예규 제280호 등 입찰에 필요한 모든
사항을 입찰 전에 숙지하여야 함. (※ 미숙지로 인한 책임은 입찰참가자에게 있
음.)
11. 문의사항
가. 규격 문의사항 : 시스템운영팀 장석진 (☎042-629-7702)
나. 입찰 문의사항 : 총무인사팀 정지연 (☎042-629-7301)
2026년 10월
한남대학교 총무인사팀
서 약 서
본인은 한남대학교『한남대학교 정보보호 관리체계 ISMS 인증 컨설팅 제한경쟁입찰』에
참여함에 있어서 아래의 사항을 확인하고 관련 법령과 귀 대학교의 공고내용에 동
의·수용함을 확약하오며, 귀 대학의 내부절차에 의한 조사· 평가수행상의 제반 결
정 등에 아무런 이의를 제기하지 않고 귀 대학교의 위원회의 결정에 따르며, 선정
제반 과정에서 성실한 자료제출과 제반협조에 성실히 임할 것을 서약합니다.
20 년 월 일
제안입찰참가신청자
상호 또는 명칭 :
대 표 자 : (인)
한남대학교 총장 귀하
개인정보(고유식별정보) 수집·이용 동의서
한남대학교에서는 정보주체와 계약 체결·이행을 위해 입찰참가자(대표 또는 대
리인)의 개인정보 및 고유식별정보를 아래와 같이 수집 · 이용하고자 합니다. 다음
의 사항에 대해 충분히 읽어보신 후 동의 여부를 체크, 서명하여 주시기 바랍니다.
본 동의를 거부하시는 경우에 한남대학교에서 진행하는 입찰에 참가하실 수 없음
을 알려드립니다.
▶ 개인정보 수집 및 이용 동의
수집·이용하려는 개인정보 이용기간 및
개인정보의 수집·이용 목적
개인정보의 항목 보유기간
입찰 결과 통보 제출 증빙문서 보존기한 완료
연락처, 이메일주소
(이메일 통보 혹은 휴대전화 고지) 시까지
대리인을 통한 입찰등록 또는
입찰 등록 대리인의 제출 증빙문서 보존기한 완료
계약체결의 경우 정당한 대리권
성명, 생년월일, 연락처 시까지
부여 확인 절차
동의 여부 확인
1. 입찰 결과 통보를 위한 개인정보 수집 및 이용 동의
□ 동의함 □ 동의하지 않음 □ 해당사항 없음
2. 대리권 확인을 위한 개인정보수집 및 이용 동의
□ 동의함 □ 동의하지 않음 □ 해당사항 없음
※ 본인은 본 『개인정보(고유식별정보)의 수집 · 이용 동의서』 내용을 읽고 명확히
이해하였으며, 이에 동의합니다.
20 . . .
성 명 : (인 또는 서명)
청렴계약이행 서약서
건명 : 한남대학교 정보보호 관리체계 ISMS 인증 컨설팅
당사는「부패 없는 투명한 기업경영과 공정한 행정」이 사회발전과 국가 경쟁력에 중요한 관건이 됨을 깊이 인식
하며, 국제적으로도 OECD뇌물방지 협약이 발효되었고 부패기업 및 국가에 대한 제재가 강화되는 추세에 맞추
어 청렴계약 취지에 적극 호응하여 한남대학교에서 발주하는 모든 공사, 물품, 용역 등의 입찰에 참여함에 있어
당사 임직원과 대리인은
1. 입찰가격의 유지나 특정인의 낙찰을 위한 담합을 하거나 다른 업체와 협정, 결의, 합의하여 입찰의 자유
경쟁을 부당하게 저해하는 일체의 불공정한 행위를 않겠습니다.
- 이를 위반하여 경쟁입찰에 있어서 특정인의 낙찰을 위하여 담합을 주도한 것이 사실로 드러날 경우 한남대학
교에서 발주하는 입찰에 입찰참가자격제한 처분을 받은 날로부터 2년 동안 참가하지 않겠으며
- 경쟁입찰에 있어서 입찰자간에 서로 상의하여 미리 입찰가격을 협정하거나 특정인의 낙찰을 위하여 담합을 한
사실이 드러날 경우 한남대학교에서 시행하는 입찰에 입찰참가자격 제한 처분을 받은 날로부터 1년동안 참여하
지 않고
- 위와 같이 담합등 불공정행위를 한 사실이 드러날 경우 독점규제 및 공정거래에 관한 법률에 따라 공정거래위
원회에 고발하여 과징금등을 부과토록 하는데 일체의 이의를 제기하지 않겠습니다.
2. 입찰․계약체결 및 계약이행 과정에서 관계직원에게 직․간접적으로 금품․향응 등의 부당한 이익을 제공하지 않
겠습니다.
- 이를 위반하여 입찰, 계약의 체결 또는 계약이행과 관련하여 관계직원에게 금품, 향응 등을 제공함으로써 입찰에
유리하게 되어 계약이 체결되었거나 계약이행 과정에서 편의를 받아 부실하게 시공 또는 제조한 사실이 드러날
경우에는 한남대학교 및 관련건의 수요기관이 시행하는 입찰에 입찰참가자격 제한 처분을 받은 날로부터 2년 동안
참가하지 않겠으며
- 입찰 및 계약조건이 입찰자 및 낙찰자에게 유리하게 되도록 하거나, 계약목적물의 이행을 부실하게 할 목적으
로 담당자에게 금품, 향응등을 제공한 사실이 드러날 경우에는 한남대학교 및 관련건의 수요기관이 시행하는
입찰에 입찰참가자격 제한 처분을 받은 날로부터 1년 동안 참가하지 않고
- 입찰, 계약체결 및 계약이행과 관련하여 담당자에게 금품, 향응 등을 제공한 사실이 드러날 경우에는 한남대학
교 및 관련건의 수요기관이 시행하는 입찰에 입찰참가자격제한 처분을 받은 날로부터 6개월 동안 참가하지 않
겠습니다.
3. 입찰, 계약체결 및 계약이행과 관련하여 관계직원에게 금품, 향응 등을 제공한 사실이 드러날 경우에는 계약체
결 이전의 경우에는 낙찰자 결정 취소, 계약이행 전에는 계약취소, 계약이행 이후에는 당해 계약의 전부 또는
일부계약을 해제 또는 해지하여도 감수하겠으며, 민․형사상 이의를 제기하지 않겠습니다.
4. 회사 임․직원이 관계 교직원에게 금품, 향응 등을 제공하거나 담합등 불공정 행위를 하지 않도록 하는 회사윤
리강령과 내부 비리 제보자에 대해서도 일체의 불이익처분을 하지 않는 사규를 제정토록 노력하겠습니다.
위 청렴계약 서약은 상호신뢰를 바탕으로 한 약속으로서 반드시 지킬 것이며, 낙찰자로 결정될 시 본 서약내용을 그
대로 계약특수조건으로 계약하여 이행하고, 입찰참가자격 제한, 계약해지 등 한남대학교의 조치와 관련하여 당사가
한남대학교를 상대로 손해배상을 청구하거나 당사를 배제하는 입찰에 관하여 민․형사상 어떠한 이의도 제기하지 않
을 것을 서약합니다.
20 . . .
서약자 상 호 :
대 표 자 : (인)
한남대학교 총장 귀하
===== 과업지시서_한남대학교 정보보호 관리 체계ISMS 인증 컨설팅 용역_최종.hwpx =====
한남대학교 정보보호 관리 체계(ISMS)
인증 컨설팅 용역 과업지시서
2026. 10. 한남대학교
목
차
Ⅰ. 사업 개요<hp:tab width="38324" leader="3" type="2"/> 3
1. 사업 내용<hp:tab width="37633" leader="3" type="2"/>
2. 추진 목표<hp:tab width="37633" leader="3" type="2"/>
3. 추진 배경 및 필요성<hp:tab width="32233" leader="3" type="2"/>
4. 사업 범위<hp:tab width="38233" leader="3" type="2"/>
5. 기대효과<hp:tab width="38833" leader="3" type="2"/>
Ⅱ. 과업 내용<hp:tab width="37724" leader="3" type="2"/> 6
시스템 및 기능 요구사항(CSR)<hp:tab width="26361" leader="3" type="2"/>
보안 요구사항(SER)<hp:tab width="32501" leader="3" type="2"/>
품질 요구사항(QUR)<hp:tab width="32001" leader="3" type="2"/>
제약사항 요구사항(COR)<hp:tab width="29685" leader="3" type="2"/>
프로젝트 관리 요구사항(PMR)<hp:tab width="26589" leader="3" type="2"/>
프로젝트 지원 요구사항(PSR)<hp:tab width="27037" leader="3" type="2"/>
별첨<hp:tab width="43328" leader="3" type="2"/> 0
1. 보안 관련 서식<hp:tab width="34633" leader="3" type="2"/>
Ⅰ.
사업 개요
1
사업 내용
가. 사업명 : 한남대학교 정보보호 관리 체계(ISMS) 인증 컨설팅 용역
나. 사업 기간 : 계약일로부터 6개월
다. 사업 예산 : 93,800,000원 (부가세 포함)
라. 입찰 방법 : 제한경쟁입찰
마. 계약 방법 : 협상에 의한 계약
2
추진 목표
관련 법령에 따른 정보보호 관리 체계 인증 의무를 이행하고, 정보보호 관리 체계 인증 기준에 부합하는 관리 체계를 구축·운영하여 정보보호 관리 체계 최초 인증 취득
인증 취득 이후에도 정보보호 관리 체계를 지속적으로 운영·개선할 수 있도록 담당자의 전문성과 대학의 자체 운영 역량 강화
대학의 주요 정보서비스 및 정보 자산에 대한 관리적·기술적·물리적 보호조치를 체계적으로 수립·운영하여 정보보호 수준을 향상하고 정보시스템의 안정적인 운영 기반 마련
3
추진 배경 및 필요성
학사·행정·입시 등 대학 주요 정보서비스의 안정적인 운영과 학생·교직원의 개인정보 및 주요 정보 자산 보호를 위한 체계적인 정보보호 관리 체계 수립 필요
지능화·고도화되는 사이버 위협과 정보보호 관련 법령 및 규제 요구사항에 효과적으로 대응하기 위해 관리적·기술적·물리적 보호조치에 대한 종합적인 진단 및 개선 필요
정보보호 관련 법령·고시 및 교육 분야 보안 요구사항을 준수하고, 정보보호 활동의 일관성과 지속성을 확보할 수 있도록 정책·지침·절차와 관리적·기술적·물리적 보호조치를 체계적으로 정비할 필요가 있음
관련 법령에 따른 정보보호 관리 체계 인증 의무를 이행하고, 대학 주요 정보서비스의 신뢰성과 안정성을 확보하기 위해 정보보호 관리 체계를 구축·운영하여 정보보호 관리 체계 인증 취득 필요
정보보호 관리 체계 최초 인증 취득 이후에도 정보보호 관리 체계를 지속적으로 운영·개선하고, 사후 심사에 체계적으로 대응하여 인증을 안정적으로 유지할 수 있도록 대학의 자체 역량 강화 필요
4
사업 범위
가. 사업 진행 세부
항목
세부 사항
정보보호
관리 체계 구축
‧ 정보보호 현황 분석 및 정보보호 관리 체계 인증 범위 정의
‧ 정보보호 관리 체계 인증 기준에 적합한 정보보호 수준 진단 및 개선 과제 도출
‧ 정보 자산 식별·분류 및 위험평가 수행
‧ 정보보호 정책·지침·절차 및 운영 서식 정비
‧ 정보보호 보호 대책 및 이행계획 수립
‧ 보호 대책 이행 지원 및 이행 결과 점검
‧ 정보보호 관리 체계 운영 및 증적 자료 확보 지원
‧ 정보보호 중장기 계획 수립
‧ 내부감사 및 경영진 검토 수행 지원
취약점 점검
‧ 서버·네트워크·DB·보안장비 등 정보시스템 취약점 점검 및 분석
‧ 인증 대상 웹 서비스 취약점 진단 및 모의해킹 수행 및 분석
‧ 정보보안 가이드(OWASP TOP10, 국정원 8대 취약점 등)를 통한 점검
‧ 진단 수행 시점의 최신 취약점 정보 및 국내외 기술적 취약점 진단
기준·보안 가이드 적용
‧ 진단 결과에 따른 위험 분석 현황 자료 및 개선 방안 제시
‧ 취약점 조치 지원 및 조치 결과에 대한 재점검 수행
‧ 기타 점검 결과에 따른 조치 지원
인증 획득 지원
‧ 정보보호 담당자·교직원 등 대상별 정보보호 교육 실시
‧ 정보보호 관리 체계 인증 심사 제출 자료 작성
‧ 인증 심사 준비, 증적 자료 검토 및 심사 대응 지원
‧ 인증 심사 결함 사항 개선 및 보완 자료 작성
‧ 최초 인증 결과 확정 시까지 심사 관련 제반 업무 지원
‧ 인증 취득 이후 정보보호 관리 체계 자체 운영 지원 및 사후 심사 대비 방안 수립
나. 인증 대상
- 학사 시스템 및 산학협력단 시스템
다. 정보시스템 현황
구분
대상 항목
수량
비고
시스템
서버 장비
5
네트워크 장비
8
보안 장비
8
DBMS
1
서비스
웹사이트
697+a+b
학사, 포탈, 수강신청, HAI시스템, 대표홈페이지(a), 산단 시스템(b)
단말기
업무 및 교육용 PC
4300
교내 PC 전체 수량
인력
시스템운영팀
6
※ 컨설팅 진행 및 인증 심사에 따라 대상시스템 수량, 서비스 수량, 인력 등은 조정될 수 있음
5
기대효과
정보보호 관리체계 인증 기준에 부합하는 관리적·기술적·물리적 보호조치를 체계적으로 수립·운영함으로써 대학의 전반적인 정보보호 수준을 향상하고 관련 법령에 따른 인증 의무 이행
정보자산에 대한 체계적인 위험평가와 정보시스템 취약점 진단·개선을 통해 보안위협을 사전에 식별·조치하고 침해사고 예방 및 대응 역량 강화
학사시스템 및 산학협력단 시스템의 정보 자산에 대한 기밀성·무결성·가용성을 확보하여 주요 정보서비스의 안정성과 연속성을 강화
정보보호 정책·지침·절차 등을 정비 및 관리체계 지속적인 운영을 통해, 인증 취득 이후에도 정보보호 관리 체계인증을 안정적으로 유지할 수 있는 자체 역량을 강화
Ⅱ.
과업 내용
1
일반 사항
본 사업은 한남대학교 학사시스템 및 산학협력단 시스템과 관련 정보 자산의 기밀성·무결성·가용성을 확보하고, 정보보호 관리 체계 구축, 위험평가, 취약점 진단 및 보호 대책 이행을 통해 대학의 정보보호 수준과 사이버 위협 대응 역량을 강화하여 정보보호 관리 체계 최초 인증을 취득하는 것을 목적으로 함
수행사는 본 과업지시서에 명시되지 않았더라도 ISMS 인증 취득을 위해 통상적으로 필요한 사항을 발주기관과 협의하여 과업에 반영하여야 하며, 관리 체계 구축·운영, 인증 심사 대응 및 결함 사항 보완 등 인증 취득에 필요한 업무를 성실히 수행하여야 함
수행사는 과업지시서에 제시된 요구사항을 충분히 분석하고 구체화하여 사업 수행 계획에 반영하여야 하며, 요구사항의 변경 또는 추가가 필요한 경우 발주기관과 사전에 협의하고 승인받아야 함
인증 여부는 인증기관의 심사 및 인증위원회의 심의 결과에 따라 결정되며, 수행사는 최초 인증 취득이 확정될 때까지 인증 심사 대응 및 결함 사항 보완을 지원하여야 함
컨설팅 기간 중 컨설팅 인력이 최소 3명 이상(8.00 man/month 이상) 상주하며 컨설팅 및 인증 취득에 필요한 업무를 수행할 수 있어야 함
2
과업 내용
가. 요구사항 구성
요구사항 구분
설명
개수
컨설팅 요구사항
(Consulting Requirement)
‧ 정보보호 관리체계 컨설팅 관련 요구사항을 세부적으로 기술함
9
보안 요구사항
(Security Requirement)
‧ 정보보호 관리체계 컨설팅과 관련된 보안 요구사항을 세부적으로 기술함
9
품질 요구사항
(Quality Requirement)
‧ 사업의 원활한 수행을 위해 관리가 필요한 품질 항목, 품질 평가 대상 및 목표에 관한 요구사항을 기술함
3
제약 요구사항
(Constraint Requirement)
‧ 사업 수행 시 준수해야 할 기술 표준, 관련 법령·제도, 작업 장소 및 계약조건 등의 제약사항을 기술함
8
프로젝트 관리 요구사항
(Project Management Requirement)
‧ 프로젝트의 원활한 수행을 위한 수행 조직, 일정, 보고, 산출물, 품질 및 검수 관리 등에 관한 요구사항을 기술함
7
프로젝트 지원 요구사항
(Project Support Requirement)
‧ 사업의 원활한 수행을 위한 교육, 기술이전, 하자보증 및 기타 지원사항에 관한 요구사항을 기술함
3
나. 요구사항 목록
구분
요구사항 고유번호
요구사항 명
컨설팅 요구사항
CSR-001
정보보호 관리 체계 인증 범위 정의
CSR-002
정보보호 수준 진단 및 개선안 도출
(정보보호 관리 체계 인증 기준 포함 지원)
CSR-003
정보보안 표준화
CSR-004
위험관리 및 취약점 분석
CSR-005
물리적 취약점 진단 및 개선
CSR-006
정보보호 관리 체계 사후 관리
CSR-007
정보보호 관리 체계 인증 획득 지원
CSR-008
정보보호 관리 체계 인증 획득 사후 관리
CSR-009
정보보호 중‧장기 마스터플랜 수립
보안 요구사항
SER-001
책임 및 보안 기본사항
SER-002
관리적 보안대책
SER-003
기술적 보안대책
SER-004
개인정보보호
SER-005
참여인력에 대한 보안관리
SER-006
보안요건
SER-007
사무실 보안관리
SER-008
온라인 보안관리
SER-009
기타 보안관리
품질 요구사항
QUR-001
품질보증 계획 및 이행
QUR-002
품질보증방안 수립
QUR-003
품질 관리 일반사항
제약 요구사항
COR-001
기본적인 제약사항 안내
COR-002
개인정보보호
COR-003
작업 장소 상호협의 결정
COR-004
지적재산권 소유 및 사용
COR-005
손해배상 책임
COR-006
사업 관련 공통 규정 준수
COR-007
계약의 해지
COR-008
소프트웨어 사용
프로젝트 관리 요구사항
PMR-001
시스템 시험 운영 관리
PMR-002
프로젝트 품질 관리 일반
PMR-003
산출물 관리계획
PMR-004
산출물 관리
PMR-005
산출물 관리
PMR-006
세부 산출물 관리계획
PMR-007
검수 및 검사
프로젝트 지원 요구사항
PSR-001
교육 및 기술지원
PSR-002
개발환경
PSR-003
기타사항
다. 요구사항 상세 내역
1) 컨설팅 요구사항(CSR : Consulting Requirement)
요구 사항 교유번호
CSR-001
요구사항 명칭
정보보호 관리체계 인증범위 정의
요구사항 분류
컨설팅 범위
요구사항 상세 설명
정의
정보보호 관리체계 구축 범위를 정의
세부 내용
‧ 학사시스템 및 산학협력단 시스템 관련 조직·업무·인력·시설 및 정보시스템 현황분석
‧ 정보시스템 보유 및 운영 현황 파악
- 서버, 네트워크 장비, 보안장비, DBMS, 웹사이트, 단말기 등 정보자산 식별 및 유형별 분류
- 식별된 정보자산별 소유자, 관리자, 위치, 용도 및 관련 서비스 파악
- 사용자 및 운영자 인터뷰를 통한 정보시스템 운영 현황 파악
- 정보자산별 중요도 평가를 위한 기초 자료 수집
‧ 외부 호스팅, 위탁운영 및 외부 시스템 연계 현황 파악
‧ 인증 대상 서비스와 관련된 조직·인력·시설·정보시스템 및 정보자산을 바탕으로 정보보호 관리체계 인증 범위 정의하고, 발주기관과의 협의를 통해 최종 확정
산출물
ISMS 인증 신청서
요구 사항 교유번호
CSR-002
요구사항 명칭
정보보호 수준 진단 및 개선안 도출
요구사항 분류
진단 및 개선
요구사항 상세 설명
정의
정보보호 관리 체계 인증 기준에 따라 정보보호 관리 체계의 구축·운영 현황을 진단하고 개선 과제를 도출
세부 내용
‧ 정보보호 관리체계 인증기준을 바탕으로 정보보호 수준진단 수행
- 정보보호 관리체계 인증기준별 관리체계 및 보호대책 이행 현황 분석
- 정보보호 정책·지침·절차 및 관련 운영서식의 적정성 검토
- 관련 법령·고시, 관계기관 지침 및 대학 내부 규정의 반영 여부 검토
‧ 인증기준별 충족 여부 및 미흡사항에 대한 차이분석(GAP Analysis) 수행
- 인증기준별 적합, 부분적합, 부적합 및 해당 없음 여부 분석
- 각 항목에 대한 판단 사유 및 적정성 검토
‧ 주요 문제점 및 개선 방향 도출
- 진단 결과를 토대로 인증기준별 미흡사항 및 개선과제 도출
- 개선과제별 보호대책 및 세부 이행방안 수립
- 정보보호 관리체계 명세서 작성
‧ 개선과제 이행 현황 점검 및 보완방안 제시
- 개선과제별 이행 여부와 조치 결과 점검
- 미이행 또는 미흡한 사항에 대한 원인 분석 및 보완방안 제시
- 보완조치 결과에 대한 최종 이행 여부 확인
산출물
정보보호 수준진단 결과보고서, 인증기준별 차이분석표, 개선과제 및 이행계획서, 이행점검 결과보고서
요구 사항 교유번호
CSR-003
요구사항 명칭
정보보안 표준화
요구사항 분류
정책 및 지침
요구사항 상세 설명
정의
환경분석을 통한 지침 개선
세부 내용
‧ 정보보호 정책ㆍ지침ㆍ절차 등 표준화
- 환경분석 및 진단 결과를 반영하여 정보보호 관련 문서 개선
‧ 기술적 취약점 조치를 위한 매뉴얼 제ㆍ개정
산출물
정보보호 정책, 표준, 절차, 가이드라인, 매뉴얼 등
요구 사항 교유번호
CSR-004
요구사항 명칭
위험관리 및 취약점 분석
요구사항 분류
인증 지원
요구사항 상세 설명
정의
인증을 위한 위험관리 및 취약점 분석
세부 내용
‧ 정보자산 식별 및 가치평가
‧ 정보자산 위험분석 및 위험도 산정
- 가치평가 및 위험평가는 학술정보원 내 모든 자산을 대상으로 함
‧ 정보자산 취약점 진단
- 어플리케이션, 서버, DB, 네트워크, 보안장비
- 취약점 진단은 모의해킹도 포함함
- 진단결과는 각 정보시스템 별 문서화(매뉴얼 포함)
- 조치완료 여부 확인을 위한 이행점검 실시
‧ 위험관리 방안 및 업무 프로세스 수립
‧ 보호대책 우선순위 선정 및 정보보호대책 이행과제 도출
‧ 정보시스템 안정성 및 흐름 분석
‧ 위험 식별 및 평가
- 위협, 취약성, 영향도 등을 고려한 위험평가 수행
- 목표 위험 수준(DoA : Degree of Assurance) 결정
‧ 위험처리 전략 수립
- 정보자산의 중요도에 대한 위험조치 계획 수립
- 단계별 대응 및 처리 절차 정립
- 자산별 복구 우선순위 및 지원 조직(인력) 수립
‧ 위험 제거 및 최적화 관리 방안 수립
산출물
자산분류표, 가치평가 및 위험분석 결과, 취약점 점검 결과보고서, 이행점검 결과보고서, 정보시스템 흐름 분석 결과, DoA 산정 결과, 위험 조치 계획서,
취약점별 위험 개선 방향 수립 및 가이드
요구 사항 교유번호
CSR-005
요구사항 명칭
물리적 취약점 진단 및 개선
요구사항 분류
인증 지원
요구사항 상세 설명
정의
물리적 보안시설 정의 및 진단 개선
세부 내용
‧ 물리적 시설 보안 취약점 진단
- 보호구역 설정 및 접근통제 대책의 적정성
- 접근통제 시스템 및 물리적 보안시스템의 적정성
- 물리적 취약점에 대한 위험도 분석
‧ 물리적 보안 취약점에 대한 개선 대책 수립
산출물
수준진단 결과서
요구 사항 교유번호
CSR-006
요구사항 명칭
정보보호 관리체계 사후 관리
요구사항 분류
인증 지원
요구사항 상세 설명
정의
지속적 관리를 위한 방안 제시
세부 내용
‧ 정보보호 관리체계 사후관리를 위한 절차 수립
- 정보보호 관련 법적 요구사항 반영 위한 절차 마련
- 정보보호 관리체계 준수여부 검토를 위한 체크리스트 작성
‧ 정보보호 관리체계 운영현황 관리
- 정보보호 관리체계 운영을 위한 수행업무 목록화ㆍ문서화
- 정보보호 관리체계 운영현황표 관리
- 운영현황을 지속적으로 관리할 수 있도록 절차 수립
- 정보보호 관리체계 운영 증적자료 취합 및 보완
‧ 정보보호 관리체계 운영여부 지속적 점검 절차 수립
산출물
운영 절차서, 체크리스트 등
요구 사항 교유번호
CSR-007
요구사항 명칭
정보보호 관리체계 인증 획득 지원
요구사항 분류
인증 지원
요구사항 상세 설명
정의
정보보호 관리체계 인증 획득을 위한 전반적인 지원
세부 내용
‧ 정보보호 관리체계 인증심사 수검 지원
- 심사 신청, 계약체결 등 행정사항 지원(인증심사료 및 제경비 포함)
- 증적자료 검토
- 인증심사 수검 및 미비사항 보완
- 최종 인증 획득 시 까지 심사관련 제반 사항 지원
※ 과업완료 후 진행되는 인증심사 수검지원
(제안서 내 지원 범위 및 인력계획 등 명시)
‧ 기타 정보보호 관리체계 구축 및 인증 획득을 위한 지속적 지원
- 본 제안요청서 요구사항에 기재된 내용 외 ISMS 구축 및 인증
획득을 위한 모든 사항에 업무지원 및 컨설팅 수행
산출물
정보보호 관리체계 명세서 등
요구 사항 교유번호
CSR-008
요구사항 명칭
정보보호 관리체계 인증 획득 사후관리
요구사항 분류
인증 지원
요구사항 상세 설명
정의
정보보호 관리체계 인증 후 사후 심사 관리를 위한 방안 제시
세부 내용
‧ 인증 획득 후 사후관리 및 교육지원
‧ 사후심사 대비 관리방안 수립
‧ 정보보호 관리체계 및 인증 관리를 위한 기술이전 방안 제시
‧ 인증 획득 후 1차 사후심사 추진 시 자문 수행
산출물
ISMS 인증 신청서
요구 사항 교유번호
CSR-009
요구사항 명칭
정보보호 중‧장기(3년) 마스터플랜 수립
요구사항 분류
인증 지원
요구사항 상세 설명
정의
정보보호 관리체계 유지를 위한 장기적 전략 수립
세부 내용
‧ 정보보호 관리체계 유지·강화를 위한 장기적인 정보보안 전략 수립
- 환경분석을 통해 도출된 시사점에서 개선 방향을 정립하고
현황분석을 통해 도출된 개선사항을 토대로 개선과제를 선정하여
정보보호 인프라 보안 체계를 수립
- 보안기술에 대한 동향 분석과 정책 동향, 선진사례 분석을 통해
주요 시사점 도출
산출물
정보보호 중장기 계획 등
2) 보안 요구사항(SER : Security Requirement)
요구 사항 교유번호
SER-001
요구사항 명칭
책임 및 보안 기본사항
요구사항 분류
보안
요구사항 상세 설명
정의
사업수행에 따른 정보보호 책임 및 보안지침 준수
세부 내용
‧ 사업 수행업체는 개인정보 및 정보보호와 관련하여 현행법을 준수해야 한다. 만약 현행법을 미준수하여 발생하는 문제에 대해 학교가 행정처분을 받을경우 구상권을 청구할 수 있음
‧ 사업수행업체는 사업수행에 있어 관리적 보안대책, 기술적인 보안대책 등 안전 및 보안관리 자체 계획을 수립하고 보안상 결격 사항이 없도록 조치하여야 함
‧ 보안 준수사항을 위반하여 발생하는 모든 민형사상 책임 및 그에 따른 유무형의 모든 손해배상에 대하여 책임져야 함
‧ 본사업은 국가계약법 시행령 및 시행규칙에 적용되며 시행령 제76조 (부정당 업자의 입찰 참가 자격 제한) 1항의 18호에 의거 누출금지정보의 범위는 같음
<누출금지 대상 정보>
① 학교 소유 전산시스템의 내ㆍ외부 IP주소 현황
② 세부 전산시스템 구성 현황 및 전산망 구성도
③ 사용자계정 및 패스워드 등 시스템 접근권한 정보
④ 전산시스템 취약점 분석 결과물
⑤ 용역사업 결과물 및 프로그램 소스코드
⑥ 암호자재 및 정보보호 시스템 도입현황
⑦ 정보보호 시스템 및 네트워크장비 설정 정버
⑧ ‘공공기관의 정보공개에 관한 법률’ 제9조 1항에 따라 비공개 대상 정보로 분류된 기관의 내부 문서
⑨ ‘개인정보보호법’ 의 개인정보
⑩ ‘보안업무규정’ 제4조의 비밀, 同 시행규칙 제16조3항에 따른 대외비
⑪ 기타 학교가 공개가 불가하다고 판단한 자료
‧ 누출금지 대상 정보 및 중요정보를 제공할 경우에는 자료 인계인수대장을 작성하고 무단 복사 및 외부 반출을 금지함.
‧ 사업수행업체는 외부PC(노트북 등) 반입 시 발주기관의 부서 내 보안 프로그램을 반드시 설치하여 내부 사용자 보안사항을 준수하여야 하고, 이를 목적 외 사용하거나 제3자에게 제공해서는 안 되며, 이를 위반시에는 모든 법적 책임을 져야 함
‧ 사업수행업체는 본사업과 관련하여 PC 등 저장매체를 포함하는 전산장비가 교체·폐기 등의 이유로 불용, 사업 종료 시 완전삭제 실시 또는 완전 파쇄 처리하고 그 결과를 발주처에게 제출하여야 함
‧ 사업수행업체는 본사업과 관련하여 습득한 정보를 누설하거나 이용해서는 아니 되며, 유지보수 행위를 통하여 취득한 사업내용에 대한 지식이나 기밀사항에 대하여도 승인 없이 이용하거나 누설하여서는 아니 되며, 이를 위반하였을 경우에는 계약기간을 불문하고 이에 대한 모든 법적 책임을 져야 함
‧ 사업수행업체는 사업수행에 있어 노트북, 휴대용 저장매체 등 관련장비는 반출,입시마다 악성코드 감염여부 및 누출금지정보에 대한 무단 반출여부를 점검해야 함
‧ 사업수행업체는 원칙적으로 승인되지 않은 인터넷을 사용하여서는 안 된다. 특히, 스마트폰, 와이파이 등 무선기기 및 인터넷을 사용하여 외부 무단 접속 및 자료유출 시 이로 인해 발생하는 법적 책임을 져야 함
‧ 본사업 관련 자료는 인터넷 웹하드, 웹메일 등 업무 목적 이외에는 외부에 저장 및 전송을 금지함
‧ 사업 착수 전, 투입될 인력은 보안 서약서를 작성 및 제출하여야 하며 내부 보안규정에 따라 필요한 일체의 보안 서류들을 제출하여야 함
‧ 사업수행업체는 자료 수집 시 지적재산권 여부를 확인하고 지적재산권 이용 동의서를 확보토록 하여야 함
‧ 사업수행업체는 과업에 따른 연구 내용 및 조사 자료는 물론, 과업 진행과정에서 취득 및 생성된 모든 자료를 타 용도로 사용하거나 외부에 공개 또는 반출하지 못하며 과업수행 도중 과실로 인한 일체의 보안 사고에 대하여 책임을 져야 함
‧ 사업수행업체가 원격지에서 사업을 수행할 경우 교육부 정보보안 지침에 따른 보안대책을 제시하여 서면동의를 받아야 함.
산출물
보안각서, 보안유지에 관한 각서, 확약서, 용역사업 보안 체크리스트
요구 사항 교유번호
SER-002
요구사항 명칭
관리적 보안 대책
요구사항 분류
보안
요구사항 상세 설명
정의
보안책임관 운영 및 참여인력 보안
세부 내용
‧ 참여인력 중 보안책임관을 지정하여 참여 인력에 대한 정보보안 및 개인정보보호관리를 수행하여야 한다.
‧ 본 사업에 참여하는 인원에 대하여 신원조회, 철저한 보안 교육 및 사업수행에 관련된 제반 보안대책을 마련해야 함
요구 사항 교유번호
SER-003
요구사항 명칭
기술적 보안 대책
요구사항 분류
보안
요구사항 상세 설명
정의
기술적 보안 대책
세부 내용
‧ 한남대학교의 정보보안지침을 준수
‧ 서버시스템 접근 시 관리자의 특정 IP만 허용토록 정책 설정
‧ 업무 및 사용자별 암호 부여 및 자료 접근 시 사용 권한의 차등 부여
‧ 업무담당자, 관리자 그룹으로 세분화하고 조회, 등록, 수정 권한 개별 설정
‧ 세션을 통한 사용자 로그인
‧ 일반 사용자의 관리자(root) 계정으로 접근 통제
‧ 시스템 접근기록(이용자 식별 정보, 서비스이용 정보 등)이 관리되어야 함
요구 사항 교유번호
SER-004
요구사항 명칭
개인정보보호
요구사항 분류
보안
요구사항 상세 설명
정의
개인정보보호를 위한 정책 준수
세부 내용
‧ 개인정보보호를 위한 개인정보보호법 및 시행령 등 제반 규정 준수
‧ 업무수행 목적 외 개인정보의 처리 및 제3자 제공 금지
‧ 개인정보의 기술적 관리적 보호조치 시행
‧ 수탁자가 준수해야 할 의무를 위반한 경우 손해배상 책임
‧ 비밀번호 등은 암호화하여 저장하고 전송 시 암호화 기술 적용
요구 사항 교유번호
SER-005
요구사항 명칭
참여인력에 대한 보안관리
요구사항 분류
보안
요구사항 상세 설명
정의
사업 전 기간에 걸친 참여 인원 통제 방안 수립 강구
세부 내용
‧ 계약 시
- 용역사업 자체 또는 투입되는 자료ㆍ장비 등에 대한 대외보안이 필요한 경우 보안의 범위 및 책임을 명확히 하기 위해 사업 수행 계약서와 별도로 비밀 유지계약서를 제출하도록 함
* 비밀 유지계약서에는 비밀정보의 범위, 보안 준수 상항, 위반시 손해배상 책임, 지적재산권 문제, 자료의 반환 등이 포함되도록 명시
- 용역사업 참여 인원은 계약업체 임의로 교체할 수 없도록 명시하고 신상 변동(해외여행 포함) 사항 발생 시 발주사에 즉시 보고 조치
- 계약업체가 사업에 대한 하도급 계약을 체결할 경우 本 사업계약 수준의 비밀 유지 조항을 포함하여 조치하도록 하여야 함
‧ 사업 착수 시
- 용역사업 수행 전 참여 인원에 대해 법률 또는 보안규정에 의한 비밀유지 의무 준수 및 위반 시 처벌내용 등에 대한 보안 교육을 실시하여야 함
‧ 사업 수행 시
- 계약업체에서는 개발 인력 중 1명(PM 등)을 사업 수행기간 보안 총괄자로 지정하여 보안관리에 적극 협조하도록 하여야 함
- 계약업체는 보안 인식 강화를 위해 월 1회 이상 자체 보안교육을 실시해야 함
‧ 사업 종료 시
- 계약업체는 발주사로부터 제공받는 장비, 서류 및 중간·최종산출물 등 모든 자료를 전량 반납하고 삭제하여야 함
요구 사항 교유번호
SER-006
요구사항 명칭
보안요건
요구사항 분류
보안
요구사항 상세 설명
정의
시스템 사업 전 기간에 걸쳐 인원, 문서, 전산 자료의 보안대책 강구
세부 내용
‧ 계약업체는 사업수행에 사용되는 인원, 문서, 장비 등의 보안관리 계획을 수립하여야 하며, 보안상 결격 사항이 없도록 조치하여야 함
‧ 계약업체는 사업 수행과정에서 취득한 자료와 정보에 관해서는 사업수행의 전후를 막론하고 발주사의 승인 없이 외부에 유출 또는 누설하여서는 아니됨
‧ 산출물은 인터넷 연결되지 않은 지정된 시스템(파일서버 등)에만 저장
‧ 비인가자에게 자료 제공‧대여‧열람 금지
‧ 전자우편을 이용할 경우 첨부 자료는 암호화하여 수‧발신하고, 전자우편을 이용한 대외비 이상 자료는 수‧발신 금지
‧ 계약업체는 사업 수행 중 인원, 문서 및 전산자료 보안 등을 준수하여야 함
요구 사항 교유번호
SER-007
요구사항 명칭
사무실 보안관리
요구사항 분류
보안
요구사항 상세 설명
정의
시스템 사업 전 기간에 걸친 업무공간에 대한 보안 방안 강구
세부 내용
‧ 계약업체는 사무실 또는 용역 업무를 수행하는 공간에 대해 보안점검을 정기적으로 실시해야 함
‧ 발주사 외부에서 사업을 수행하는 경우 사업수행 장소는 매체 및 장비 보안을 위하여 시건장치와 통제 가능한 공간을 활용해야 함
요구 사항 교유번호
SER-008
요구사항 명칭
온라인 보안관리
요구사항 분류
보안
요구사항 상세 설명
정의
컨설팅 기간 중 발생하는 데이터 통제 방안 수립으로 외부 유출 등 방지대책 강구
세부 내용
‧ 사업수행 관련자료 및 사업과정에서 생산된 모든 산출물은 계약업체의 개인 PC 등에 이를 보관할 수 없음
‧ 계약업체는 인터넷 이용 시 접속이 제한된 사이트 및 인터넷 파일공유사이트 등에 속을 시도하여서는 아니 되며, 사업수행 관련 자료는 인터넷, 웹하드 등 인터넷 자료공유사이트 및 개인 메일함에 저장을 금지함
‧ 정보시스템을 원격지에서 허가받지 않은 네트워크로 접속, 정비하는 것은 원칙적으로 금지하여야 함
‧ 사업수행기간 VPN를 통한 용역 통제시스템을 사용하여 사업을 수행하여야 하며 사업자의 보안점검(정기, 수시)을 받아야 함
요구 사항 교유번호
SER-009
요구사항 명칭
기타 보안관리
요구사항 분류
보안
요구사항 상세 설명
정의
이외 정의되지 않은 부분은 관련 법령 및 규정 적용
세부 내용
‧ 상기 내용 중 언급되지 않는 사항은 본교 보안지침 및 국가정보보안 기본지침, 교육부 정보보안 지침 등 관련 법령 및 규정 적용
3) 품질 요구사항(QUR : Quality Requirement)
요구 사항 교유번호
QUR-001
요구사항 명칭
품질보증 계획 및 이행
요구사항 분류
품질
요구사항 상세 설명
정의
사업 수행단계별 품질 방안 제시 및 활동 수행
세부 내용
‧ 사업 수행단계별 품질 관리 활동 계획수립 및 결과 제출
‧ 사업 산출물의 신뢰도 및 전문성, 품질 제고를 위한 활동 수행
‧ 요구사항 대비 산출물의 반영 여부를 추적할 수 있는 활동 수행
산출물
품질관리계획서, 품질 관리 결과서, 요구사항 추적 표
요구 사항 교유번호
QUR-002
요구사항 명칭
품질보증방안 수립
요구사항 분류
품질
요구사항 상세 설명
정의
사업 수행단계별 품질 방안 수립
세부 내용
‧ 사업수행 품질의 제고를 위하여 품질보증방안을 제시하고 발주자와 협의하여 사업을 수행하여야 함
‧ 사업추진 시 위험 요소 및 기회 요소들의 관리 방법, 발주자와의 의사 소통방안, 발주자의 정보보호 등 사전·사후통제 방안을 수립하여, 전사적 위험관리 수준을 제고하고, 사업추진 시 제반 품질보증 방안에 대해 제시하여야 함
산출물
사업수행계획서
요구 사항 교유번호
QUR-003
요구사항 명칭
품질관리 일반사항
요구사항 분류
품질 요구사항
요구사항 상세 설명
정의
품질 관리 준수사항 일반사항
세부 내용
‧ 본 사업 범위 외의 요인으로 인해 사업 결과에 영향이 있거나 예상되는 경우 원인과 해결방안을 발주기관에 제시하여 ISMS 인증과 관련된 문제가 해결될 수 있도록 적극 협조하여야 함
4) 제약사항 요구사항(COR : Constrains Requirement)
요구 사항 교유번호
COR-001
요구사항 명칭
기본적인 제약사항 안내
요구사항 분류
제약사항
요구사항 상세 설명
정의
하자담보책임 및 사업 진행에 관한 사항에 대한 제약 요구
세부 내용
‧ 하자담보책임은 사업을 종료한 날(사업에 대한 시험 및 검사를 수행하여 최종산출물을 인도한 할)로부터 1년 이내의 범위에 발생한 하자에 대하여 담보책임 진행하여야 함
‧ 본 사업수행은 제안서 및 계약서상에 명시된 인력이 반드시 참여하여야 하며, 불가피하게 인력 교체 사유가 발생 시 발주처와 협의해야 함
‧ 아래 사항에 대하여 사업수행업체는 발주처와 협의를 거쳐야 함
- 제안요청 내용에 명시된 내용 및 범위를 변경하여야 할 사항
- 제안요청 내용에 명시되지 않은 사항 중 과업에 필요한 사항
요구 사항 교유번호
COR-002
요구사항 명칭
개인정보보호
요구사항 분류
제약사항
요구사항 상세 설명
정의
정보보호 관리체계 인증 컨설팅 중 알게 된 개인/민감 정보에 대한 대책 마련
세부 내용
‧ 개인정보보호법 준수 및 개인정보/데이터 외부 유출방지 보안대책 제안
요구 사항 교유번호
COR-003
요구사항 명칭
작업 장소 상호협의 결정
요구사항 분류
제약사항
요구사항 상세 설명
정의
작업 장소 상호협의 결정
세부 내용
‧ 작업 장소 상호협의 시 제안요청서 내 명시된 보안 요구사항을 준수한 작업 장소를 제시할 수 있으며, 발주자는 제시된 작업 장소에 관하여 우선 검토 한다. 다만, 발주자는 업자가 제시한 작업 장소가 보안요구사항을 준수하지 못한 경우 거부할 수 있음
‧ 제안요청서에 명시한 보안요구사항 등을 준수하여 인증 컨설팅에 따른 구체적인 보안 관리대책(참여 인원, 장소 및 장비, 컨설팅 장소의 노트북·USB 등 휴대용 저장매체, 네트워크, 자료 등)을 제시하여야 함
요구 사항 교유번호
COR-004
요구사항 명칭
작업 장소 상호협의 결정
요구사항 분류
제약사항
요구사항 상세 설명
정의
작업 장소 상호협의 결정
세부 내용
‧ 작업 장소 상호협의 시 제안요청서 내 명시된 보안 요구사항을 준수한 작업 장소를 제시할 수 있으며, 발주자는 제시된 작업 장소에 관하여 우선 검토 한다. 다만, 발주자는 업자가 제시한 작업 장소가 보안요구사항을 준수하지 못한 경우 거부할 수 있음
‧ 제안요청서에 명시한 보안요구사항 등을 준수하여 인증 컨설팅에 따른 구체적인 보안 관리대책(참여 인원, 장소 및 장비, 컨설팅 장소의 노트북·USB 등 휴대용 저장매체, 네트워크, 자료 등)을 제시하여야 함
요구 사항 교유번호
COR-005
요구사항 명칭
손해배상 책임
요구사항 분류
제약사항
요구사항 상세 설명
정의
사업수행 추진에 따른 손해배상에 책임에 대한 제약 요구
세부 내용
‧ 사업자는 사업과 관련하여 기 운영 중인 시스템 취급 시 선량한 관리자로 의무를 다하여야 함
‧ 사업자의 부주의, 고의 또는 과실로 대상 시스템을 망실, 훼손한 것과 사고에 대하여 발주자에게 손해를 끼쳤을 경우 계약상대자는 그에 상응한 보상 또는 교환 등의 손해배상 책임을 짐
‧ 사업자는 업무 지연처리로 인하여 발주자에 피해가 발생 하였을 경우에는 이에 대한 손해배상의 책임을 짐
요구 사항 교유번호
COR-006
요구사항 명칭
사업 관련 공통 규정 준수
요구사항 분류
제약사항
요구사항 상세 설명
정의
사업수행 추진에 따른 손해배상에 책임에 대한 제약 요구
세부 내용
‧ 사업추진 기간 내 적용 법령 및 규정, 적용 표준 등에 변경 사항 발생 시 반영하여 컨설팅 사업 추진하여야 함.
요구 사항 교유번호
COR-007
요구사항 명칭
계약의 해지
요구사항 분류
제약사항
요구사항 상세 설명
정의
사업과 관련한 지장 초래의 경우 계약 해지
세부 내용
‧ 본교는 아래의 사항에 대하여는 계약의 전부 또는 일부를 해지할 수 있으며, 계약을 해지함에 있어 사업자는 어떠한 이의도 제기할 수 없음
- 본 계약을 수행함에 있어 소정의 성과를 기대하기 곤란하거나 업무를 수행할 능력이 없다고 판단된 경우
- 계약 내용을 이행하지 아니하여 업무에 상당한 지장을 초래한 경우
- 비밀 준수조건의 위반, 사업 중단 사유의 발생 등 불가피한 사정으로 인하여 계약을 해지할 필요가 있다고 본교가 인정할 경우
- 사업자 과실이 빈번하게 발생 되어 막대한 지장을 초래한 경우
요구 사항 교유번호
COR-008
요구사항 명칭
소프트웨어 사용
요구사항 분류
제약사항
요구사항 상세 설명
정의
사업 진행 시 정품 소프트웨어 사용
세부 내용
‧ 사업추진 기간 내 적용 법령 및 규정, 적용 표준 등에 변경 사항 발생 시 반영하여 컨설팅 사업 추진하여야 함.
5) 프로젝트 관리 요구사항(PMR : Project Management Requirement)
요구 사항 교유번호
PMR-001
요구사항 명칭
프로젝트 관리 일반사항
요구사항 분류
프로젝트 관리
요구사항 상세 설명
정의
과업 수행과 관련한 일반 사항 정의
세부 내용
‧ 과업 수행 장소는 본교와 상호 협의하여 결정하고 출입 통제 대책을 마련해야 함
‧ 과업 수행에 필요한 각종 물품(H/W, S/W, 소모품 등)은 계약 상대자가 확보하는 것을 원칙으로 함
요구 사항 교유번호
PMR-002
요구사항 명칭
프로젝트 조직 구성 및 관리
요구사항 분류
프로젝트 관리
요구사항 상세 설명
정의
프로젝트 조직 및 구성에 대한 사항 정의
세부 내용
‧ 투입인력은 본 사업과 유사한 프로젝트에 직접 참여한 경험이 있는 전문 기술 인력을 포함하여야 함
- 프로젝트 총괄 책임자(PM)은 특급 인력으로 15년 이상의 정보보호 컨설팅 경력을 보유하고 있고, ISMS 인증심사원 및 정보보안 관련자격증(정보보안기사, CISSP, CISA 등)을 보유 하고 있으며, 최근 5년간 3회 이상 유사한 프로젝트의 인증심사를 수행한 경력이 있는 자
- 참여 인력은 모두 교육기관(대학 등) ISMS 인증 컨설팅을 수행한 경력이 있는 자
- 모의해킹·취약점 진단인력은 취약점 진단 업무 경험이 5회 이상인 자
‧ 투입인력에 대한 자격, 경력, 유사 프로젝트 참여 실적을 상세하게 제시하여야 함
- 세부 인력에 대해 학교와 협의 필요
‧ 프로젝트 참여 인력에 대한 구성 및 월별 투입공수, 역할 및 책임을 제안서에 명시하여야 함
- 참여 인력에 대한 변경이 불가피한 경우에는 본교의 사전 승인을 얻어야 하며, 교체인력은 최소 5일 전에 투입되어 인계받아야 함
- 교체·대체인력은 참여 인력과 동급이상의 기술 등급 인력이어야 함
- 참여 인력이 부득이한 사유로 5일 이상 참여가 어려울 경우 동급 이상의 대체인력을 본교 승인하에 즉시 투입하여야 함
- 참여 인력 중에 본교에서 부적격자로 판단하여 교체를 요구할 경우, 즉시 교체 투입하여야 함
- 용역 기간 중 본 과업에 전담하는 인원은 발주기관의 동의 없이 타 업무에 종사시킬 수 없음
- 투입 인력은 반드시 제안사 소속이어야 함
※ 상주 인력 및 기간, 상주 위치는 발주기관과 협의하여 결정
‧ 수행 조직은 과학기술정보통신부가 지정한 '정보보호전문서비스기업' 자격 및 최근 2년 이내로 교육기관(대학 등)의 ISMS, ISMS-P(PIMS) 컨설팅 용역 수행 실적을 보유하여야 함
요구 사항 교유번호
PMR-003
요구사항 명칭
사업관리 방안 수립
요구사항 분류
프로젝트 관리
요구사항 상세 설명
정의
본 사업과 관련된 체계적 사업관리 방안 제시
세부 내용
‧ 위험관리, 품질관리, 일정관리, 자원관리, 형상관리 등 프로젝트 관리방법론을 통한 체계적 사업관리 방안을 제시
산출물
착수보고서
요구 사항 교유번호
PMR-004
요구사항 명칭
정시 및 수시보고
요구사항 분류
프로젝트 관리
요구사항 상세 설명
정의
본 사업과 관련된 체계적 보고
세부 내용
‧ 사업 진행에 대한 인력투입, 업무내용, 진척사항, 기타 특기사항을 기록한 업무일지를 작성ㆍ보고
- 주간, 월간 단위로 작성하여 제출
‧ 필요시 비정기적인 보고 요청에 대응
산출물
주간/월간 보고서
요구 사항 교유번호
PMR-005
요구사항 명칭
산출물 관리
요구사항 분류
프로젝트 관리
요구사항 상세 설명
정의
본 사업과 관련된 산출물 제출
세부 내용
‧ 각 단계 및 산출물 목록을 수행계획서(착수계)를 제시하여야 함
‧ 사업수행에 필요한 산출물의 일부는 본교에서 제공하는 서식을 준용함
‧ 사업자는 계약 후 10일 이내에 용역 수행계획서(착수계)를 작성하여 제출하여야 함
‧ 모든 산출물은 전자파일 형태로 버전관리 되어야 함
‧ 사업 기간 동안 취득한 모든 정보를 본교에 파일 등으로 제출
‧ 사업추진 과정에서 생산되는 제반 작업 단위별 산출물에 대해 작업 일정계획, 품질보증계획과 연계 및 산출물 종류, 주요 내용, 작성 및 제출 시기, 제출 부수 등을 제시해야 함
‧ 산출물 및 각종 안내서의 관리 방안 제시
‧ 제출하는 산출물 및 보고서 등은 발주자와 협의하여 관련 내용을 수록한 책자, USB 또는 DVD 형태로 제출해야 함 (부수는 본교와 협의하여 정함)
‧ 기타 ISMS 체계 구축과 인증과 관련하여 추가적인 산출물이 필요한 경우 추가할 수 있음
산출물
산출물 목록, 각 단계별 산출물, 착수/완료 보고서, ISMS 인증 제반 서류 일체
요구 사항 교유번호
PMR-006
요구사항 명칭
세부 산출물 관리 계획
요구사항 분류
프로젝트 관리
요구사항 상세 설명
정의
본 사업과 관련된 산출물 제출 시기 및 보고서
세부 내용
‧ 보고 계획
구분
대상자
시기
내 용
보고서
착수
보고
발주기관
관계자
계약 후 10일 이내
- 수행 조직 소개
- 수행 계획 보고
- 수행 방안 협의
착수 보고서
주간
보고
발주기관
관계자
매주 금요일
진척 현황
이슈 사항
예정 사항
주간 보고서
월간
보고
발주기관
관계자
매월 첫째 주 금요일
진척 현황
이슈 사항
예정 사항
월간 보고서
중간
보고
발주기관
관계자
사업 진척률 50% 시점
진척 현황
이슈 사항
예정 사항
중간 산출문 확인
중간 보고서
완료
보고
발주기관
관계자
완료 시점
-사업 수행종료에 따른 과업 내용 및 결과 확인
완료 보고서
※ 보고회 방법은 발주처와 협의 후 결정 하며(필요 시 협의 후 서면보고 대체가능) , 보고 시점은 상호협의하에 변경 가능
‧ 프로젝트 관리 산출물 및 사업유형별 산출물 제출 일정은 발주처와 협의ㆍ확정하여야 하며, 사업수행계획서에 명시 (산출물 명, 산출물 제출 일정 포함)하여야 함
‧ 본사업의 계약과 관련된 산출물은 다음과 같음
- 산출물 내역
사업 수행 기본 산출물
제출부수
제출시기
- 착수계, 사업수행계획서, 상세 추진일정표, 보안 서약서, 교육 결과서
각 1부
계약 후
10일 이내
- 정기, 수시, 이슈 사항 보고
1부
수시
- 사업 완료 보고서
1부
납품
완료 시
(최종본)
- 하자보수계획서 및 책임 각서
1부
- 지원 계획 및 비상 연락망
1부
- 교육 지원 계획서
1부
사업 종료전
- 보안 확약서 및 기타 보안 관련 서류
1부
사업 종료시
컨설팅 결과 산출물
제출부수
제출시기
- 정보보호 관리체계(ISMS) 인증범위 정의서, 정보서비스 자산목록
각 1부
완료 후 7일 이내
- 정보서비스 취약점 진단, 관리체계 GAP 분석보고서
- 정보서비스 위험평가 및 보호 대책서
- 정보보호 관리체계 운영현황/명세서
- 정보보호 중장기 계획 보고서
1부
- ISMS 인증 제반 서류 일체 (정보보안 정책/지침 등)
각 1부
인증 신청시
- 완료 보고서
1부
사업 종료시
- 정보보호 관리체계 인증 사후 심사 지원 계획서
1부
사업 종료시
※ 보고서 작성 중 항상 발주처와 긴밀한 협의를 하여야 함
※ 최종 산출물은 사업 종료(검수)전까지 확인되어야 함
산출물
산출물 목록, 각 단계별 산출물, 착수/완료 보고서, ISMS 인증 제반 서류 일체
요구 사항 교유번호
PMR-007
요구사항 명칭
검수 및 검사
요구사항 분류
프로젝트 관리
요구사항 상세 설명
정의
검수 관련 내용 확인
세부 내용
‧ 검수는 검수 요청서 접수일로부터 14일 이내에 실시
- 제안요청서, 제안서, 협상 결과, 계약서, 사업수행계획서 등과 일치하지 않을 경우 지체 없이 보완 후 재검수를 받아야 함
산출물
산출물 목록, 각 단계 별 산출물, 착수/완료 보고서
6) 프로젝트 지원 요구사항(PSR : Project Supply Requirement)
요구 사항 교유번호
PSR-001
요구사항 명칭
교육지원
요구사항 분류
프로젝트 지원 요구사항
요구사항 상세 설명
정의
교육 지원 요건
세부 내용
‧ 정보보호 및 개인정보보호 교육 계획 및 교육 실시
- 교육계획서에는 교육에 대한 목적 및 내용, 교육대상, 방법, 일정, 장소, 강사 등에 대한 상세사항이 포함되어야 함
- 대상별 교육실시 등 세부적인 내용은 대학과 협의
- 본교 자체 인증 역량을 최대화하기 위한 세부적인 교육 방안 포함
‧ 정보취급자를 대상으로 정보보호 및 개인정보보호 교육 실시
‧ 정보보호 관리체계 인증 심사 관련 담당자 교육 실시
- 취약점 진단 및 위헙분석 관련 교육
- 인증 심사 전 관련자 심사 증적 및 숙지사항 교육
‧ 유지관리를 위해 관제운영 인력에 대한 교육 실시
‧ 상주/비상주 용역업체에 대한 교육 실시
‧ 정보보호 및 개인정보보호 교육 결과 보고 (교육 서명 및 결과보고서)
산출물
교육계획서, 교육 자료
요구 사항 교유번호
PSR-002
요구사항 명칭
교육지원
요구사항 분류
프로젝트 지원 요구사항
요구사항 상세 설명
정의
교육 지원 요건
세부 내용
‧ 정보보호 및 개인정보보호 교육 계획 및 교육 실시
- 교육계획서에는 교육에 대한 목적 및 내용, 교육대상, 방법, 일정, 장소, 강사 등에 대한 상세사항이 포함되어야 함
- 대상별 교육실시 등 세부적인 내용은 대학과 협의
- 본교 자체 인증 역량을 최대화하기 위한 세부적인 교육 방안 포함
‧ 정보취급자를 대상으로 정보보호 및 개인정보보호 교육 실시
‧ 정보보호 관리체계 인증 심사 관련 담당자 교육 실시
- 취약점 진단 및 위헙분석 관련 교육
- 인증 심사 전 관련자 심사 증적 및 숙지사항 교육
‧ 유지관리를 위해 관제운영 인력에 대한 교육 실시
‧ 상주/비상주 용역업체에 대한 교육 실시
‧ 정보보호 및 개인정보보호 교육 결과 보고 (교육 서명 및 결과보고서)
산출물
하자보증 계획서
요구 사항 교유번호
PSR-003
요구사항 명칭
기타 지원 요구사항
요구사항 분류
프로젝트 지원 요구사항
요구사항 상세 설명
정의
기타 프로젝트 지원 요구사항
세부 내용
‧ 예기치 않은 여건의 변화로 용역 대상 업무에 대한 일부 변경 및 추가 요구 상황이 발생 할 경우에는 본교와 제안사가 상호 협의하여 변경
‧ 사업수행을 위한 필요 작업 장소 등을 상호 협의하여 정함
‧ 제안사는 작업 장소 상호협의 시 제안요청서 내 명시된 보안 요구사항을 준수한 작업 장소를 제시할 수 있으며, 작업 장소에 관하여 우선 검토하고, 제안사가 제시한 작업 장소가 보안 요구사항을 준수하지 못한 경우 거부할 수 있음.
‧ 각종 회의 자료, 착수/중간/완료 보고회 등의 유인물 제작은 제안사가 부담
‧ 사업수행과 관련하여 제안사의 과실로 우리 본교 정보자산에 이상이 발생할 경우 제안사가 모든 책임을 짐
‧ 계약서에 대하여 해석상의 이견이 있을 경우에는 상호 협의하여 조정하며, 특별히 명시되지 않은 사항은 일반 계약기준을 따름
‧ 제안사는 과업수행 중 발생하는 각종 산출물 및 생산 문서(보고서 포함)의 명세서와 필수 구성내역 등을 상세히 기술하여야 하며, 과업 수행 중 습득한 정보 및 산출물은 우리 본교에 귀속되고 정보 누출의 경우 제안사가 법적 책임을 짐
‧ 검수 후 3개월간 발생한 하자에 대하여 신속히 조치 가능한 방안을 별도 수립하여 제안
‧ 기타 본 제안요청서에 명시하지 않았더라도 동 사업과 연관된 법령, 지침, 내규 등을 모두 준수하여야 함
산출물
사업수행계획서
3
부록
(별첨 1) 보안서약서(업체대표용) 보 안 서 약 서 (업체대표용)
본인은 20 년 월 일부로 한남대학교
관련
업무를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.
1. 본인은 한남대학교
관련하여 업무 중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정한다.
2. 본인은 이 기밀을 누설함이 한남대학교 에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나 공개하지 아니한다.
3. 본인이 이 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.
4. 본인은 한남대학교
통한 업무 수행 시 발생하는 위반사항에 대하여 모든 책임을 부담한다.
20 년 월
일
서약자
업체명 직위 생년월일 성명 (서명)
서약집행자
(담당)
소속 직위 생년월일 성명 (서명) (별첨 2) 보안서약서(참여직원용) 보 안 서 약 서 (참여직원용)
본인은 20 년 월 일부로 한남대학교
관련
업무를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.
1. 본인은 한남대학교
관련하여 업무 중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정한다.
2. 본인은 이 기밀을 누설함이 한남대학교 에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나 공개하지 아니한다.
3. 본인이 이 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.
20 년 월
일
서약자
업체명 직위 생년월일 성명 (서명)
서약집행자
(담당)
소속 직위 생년월일 성명 (서명) (별첨 3) 보안확약서 보 안 확 약 서
본인은 귀 기관과 계약한 한남대학교
사업의 수행을 완료함에 있어, 다음 각 호의 보안사항에 대한 준수 책임이 있음을 서약하며 이에 확약서를 제출합니다.
1. 본 업체(단체)는 업체(단체) 및 사업 참여자가 사업수행 중 지득한 모든 자료를 반납 및 파기하였으며, 지득한 정보에 대한 유출을 절대 금지하겠습니다.
2. 본 업체(단체)는 하도급업체에 대해 상기 항과 동일한 보안사항 준수 책임을 확인하고 보안확약서 제출받았으며, 하도급업체가 위의 보안사항을 위반할 경우에 주사업자로서 이에 동일한 법적책임을 지겠습니다.
3. 본 업체(단체)는 상기 보안사항을 위반할 경우에 귀 기관의 사업에 참여 제한 또는 기타 관련 법규에 따른 책임과 손해배상을 감수하겠습니다.
20
년
월
일
서약업체(단체) 대표
소
속 :
직
급 :
성
명 :
(인) 한남대학교 총장 귀하
[붙임 4] 사업 보안특약 조항
사업 보안특약 조항
① 사업자는 한남대학교의 보안정책을 위반하였을 경우 [붙임 5]의 사업자 보안위규 처리 기준에 따라 위규자 및 관리자를 행정조치하고 [붙임 6]의 보안 위약금을 한남대학교에 납부한다.
② 사업자는 사업 수행에 사용되는 문서ㆍ인원ㆍ장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 ‘누출금지 대상정보’에 대한 보안관리계획을 착수계에 기재하여야 하며, 해당 정보 누출 시 한남대학교는 국가를 당사자로 하는 계약에 관한 법률 시행령 제76조에 따라 사업자를 부정당업체로 등록한다.
③ 사업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업완료 후에도 이를 외부에 유출해서는 안되며, 사업종료 시 담당자의 입회하에 완전 폐기 또는 반납해야 한다.
④ 계약 시행일로부터 종료 후 30일이 결과하는 날까지의 기간 중에 발주기관의 정기또는 수시 보안점검(불시 점검 포함)을 수행할 수 있다.
⑤ 사업자는 사업 최종 산출물에 대해 정보보안전문가 또는 전문 보안점검 도구를 활용하여 보안취약점을 점검, 도출된 취약점에 대한 개선을 완료하고 그 결과를 제출해야 한다.
(별첨 5) 사업자 보안위규 처리기준
사업자 보안위규 처리기준
구분
위규사항
처리기준
심 각
1. 비밀 및 대외비 급 정보 유출 및 유출시도
가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출
나. 개인정보·신상정보 목록 유출
2. 정보시스템에 대한 불법적 행위
가. 관련 시스템에 대한 해킹 및 해킹시도
나. 시스템 구축 결과물에 대한 외부 유출
다. 시스템 내 인위적인 악성코드 유포
◦사업참여 제한
(부정당업체 등록)
◦위규자 및 직속 감독자 등 중징계
◦재발 방지를 위한 조치계획 제출
◦위규자 대상 특별 보안교육 실시
중 대
1. 비공개 정보 관리 소홀
가. 비공개 정보를 책상 위 등에 방치
나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용
다. 개인정보․신상정보 목록을 책상 위 등에 방치
라. 기타 비공개 정보에 대한 관리소홀
2. 사무실ㆍ보호구역 보안관리 허술
가. 통제구역 출입문을 개방한 채 퇴근 등
나. 인가되지 않은 작업자의 내부 시스템 접근
다. 통제구역 내 장비·시설 등 무단 사진촬영
3. 전산정보 보호대책 부실
가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반
나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신
다. 개발·유지관리 시 원격작업 사용
라. 저장된 비공개 정보 패스워드 미부여
마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장
바. 외부용 PC를 업무망에 무단 연결 사용
사. 보안관련 프로그램 강제 삭제
아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)
◦위규자 및 직속 감독자 등 중징계
◦재발 방지를 위한 조치계획 제출
◦위규자 대상 특별 보안교육 실시
보 통
1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀
가. 주요 현안ㆍ보고자료를 책상위 등에 방치
나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용
2. 사무실 보안관리 부실
가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근
나. 출입키를 책상위 등에 방치
3. 보호구역 관리 소홀
가. 통제ㆍ제한구역 출입문을 개방한 채 근무
나. 보호구역내 비인가자 출입허용 등 통제 미실시
4. 전산정보 보호대책 부실
가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근
나. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근
다. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여
라. PC 비밀번호를 모니터옆 등 외부에 노출
마. 비인가 보조기억매체 무단 사용
◦위규자 및 직속 감독자 등 경징계
◦위규자 및 직속 감독자 사유서 /경위서 징구
◦위규자 대상 특별 보안교육 실시
경 미
1. 업무 관련서류 관리 소홀
가. 진행중인 업무자료를 책상 등에 방치, 퇴근
나. 복사기ㆍ인쇄기 위에 서류 방치
2. 근무자 근무상태 불량
가. 각종 보안장비 운용 미숙
나. 경보ㆍ보안장치 작동 불량
3. 전산정보 보호대책 부실
가. PC내 보안성이 검증되지 않은 프로그램 사용
나. 보안관련 소프트웨어의 주기적 점검 위반
◦위규자 서면ㆍ
구두 경고 등
문책
◦위규자 사유서
경위서 징구
(별첨 6) 보안 위약금 부과 기준 보안 위약금 부과 기준
1. 위규 수준별로 A~D 등급으로 차등 부과
구분
위규 수준
A급
B급
C급
D급
위규
심각 1건
중대 1건
보통 2건 이상
경미 3건 이상
위약금
비중
부정당업자 등록
총 사업비의 20%
총 사업비의 10%
총 사업비의 5%
* 위약금 규모는 기관별 사업규모에 따라 조정
* 위규 수준은 [별첨 5] 참고
2. 보안 위약금은 다른 요인에 의해 상쇄, 삭감이 되지 않도록 부과
* 보안사고는 1회의 사고만으로도 그 파급력이 큰 것을 감안하여 타 항목과 별도 부과
3. 사업 종료시 지출금액 조정을 통해 위약금 정산
(별첨 7) 제공자료 관리 확인서
제공자료 관리 확인서
연번
제공정보명
제공사유
제공기간
매 체
인계자
인수자
삭제 및 회수 확인
1
2 3 4 5 6 7 8
본인은 한남대학교
관련
업무를 수행함에 있어 위 제공 자료의 인수·인계 및 삭제·회수 조치를 수행하였음을 확인 하며 상기 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 처벌 및 불이익이 발생 할 수 있음을 인지하였습니다.
20 년 월
일
사 업 자 업체명 직위 생년월일 성명 (서명) 담 당 자 소속 직위 생년월일 성명 (서명)
(별첨 8) 정보화 기기 반·출입 관리 확인서
용역업체 정보화 기기 반·출입 관리 확인서
연번
전산장비 구분
사용자
용도
반입
반출
담당자
반출 확인
1
통합정보시스템
관리_1
용역1
25.11.23
26.11.30
홍길동
2 3 4 5 6 7 8
본인은 한남대학교
관련
업무를 수행함에 있어 위 정보화 기기의 반입 및 반출(회수) 조치를 수행하였음을 확인 하며 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 처벌 및 불이익이 발생할 수 있음을 인지하였습니다.
20 년 월
일
사 업 자 업체명 직위 생년월일 성명 (서명) 담 당 자 소속 직위 생년월일 성명 (서명)
(별첨 9) 용역 사업 산출물 및 자료 파기 확인서 (사업 대표자)
용역 사업 산출물 및 자료 파기 확인서
본인은 귀 기관과 계약한 한남대학교
용역 사업의 수행을 완료함에 있어, 사업 산출물 및 관련 자료의 보안조치(파기)를 완료하였음을 서약하며 이에 확인서를 제출합니다.
구분
상세
파기대상
예) 원격접속 VPN 계정 3 식, 네트워크 구성도 1식(문서)
파기사유
예) 정보화 용역사업 완료에 따른 사업 산출물 및 관련 자료 파기
파기일자
예) 2025.05.30
파기방법
예) 문서 파쇄 및 원격 접속 계정 삭제 처리
파기상세
예) 원격접속 VPN 계정 : 사용기간 종료에 따른 자동 회수 처리
네트워크 구성도 : 문서 파쇄 진행
기타(특이사항)
상기와 같이 사업 산출물 및 관련 자료가 안전하게 파기되었음을 확인하였으며 이 사실과 다르게 자료 미파기 및 이로 인한 자료 유출 등의 사고가 발생 시 관련 법규에 따른 책임과 손해배상을 감수하겠습니다.
20
년
월
일
사업자(단체) 대표
소
속 :
직
급 :
대표이사
성
명 :
(인) 한남대학교 총장 귀하
(별첨 10) 용역업체 보안 교육 결과서
용역업체 보안 교육 결과서
업체는
년도 발주기관(기관명 :
)의 정보화 사업(사업명 : 한남대학교
)(을)를 수행함에 있어 용역사업 수행 기간 동안 용역 사업 참여 인력이 준수해야 할 보안 사항에 대한 보안 교육을 수료하였으며 그 결과를 제출하는 바입니다.
□ 교육 이수 결과
번호
업체명
소속팀 및 직위
이름
전화번호
E-mail
확인
(서명)
1
2 3 4 5
(별첨 11) 개인정보 수집·이용 동의서
개인정보 수집․이용에 대한 동의서
본인은 한남대학교
용역사업 참여를 위해서 본인에 대한 심사를 실시할 필요가 있다는 제반사항을 이해하고, 이를 위해 '개인정보 보호법' 등에 의해 보호되고 있는 본인에 관한 각종 정보자료를 ‘동법 제23조 단서 및 제15조’에 따라 담당기관이 수집 및 이용하는 데 동의합니다.
또한 본인이 서명날인한 동의서의 복사본은 한남대학교
용역수행을 위해 필요한 다양한 자료 수집 및 이용의 편의를 위해서 원본과 동일하게 유효하다는 것을 인정합니다.
20
년
월
일
❑ 동의자 본인
▪ 성
명
(서명) ▪ 생년월일 ▪ 자택전화 ▪ 휴대전화 ▪ e-mail
▪ 직
장
▪ 직
위
▪ 직장전화 ▪ 연락가능 팩스
한남대학교 총장 귀하
<hp:tab width="4000" leader="0" type="1"/>
용역 사업 수행을 위해 수집 및 이용되는 정보자료의 범위
▫ 개인정보의 수집․이용목적 : 유지보수 용역사업 참여 및 진행에 대한 심사
▫ 수집하려는 개인정보의 항목 : 유지보수 용역사업 참여 및 진행에 필요한 개인의 인적사항
- 성명, 생년월일, 소속기관명, 직급/직위, 연락처 및 제반사항
▫ 개인정보의 보유 및 이용기간 : 유지보수 용역사업 계약일로부터 5년
- 개인정보 수집 및 이용 목적이 달성되면 해당 개인정보는 즉시 파기
- 단, 법력 및 규정, 또는 별도의 협의에 의해 해당 서류의 보존이 필요한 경우 보존기간 연장
▫ 귀하는 개인정보 보호법 제15조 제2항 제4호에 따라 개인정보를 수집 및 이용에 관하여 거부할 수 있으며, 동의 거부에 따른 유지보수 용역사업 참여 제한 등 불이익이 있을 수 있음
(별첨 12) 누출금지 대상정보 범위 누출금지 대상정보 범위
1. 기관 소유 정보시스템의 내ㆍ외부 IP주소 현황
2. 세부 정보시스템 구성현황 및 정보통신망 구성도
3. 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보
4. 정보통신망 취약점 분석·평가 결과물
5. 사업 결과물 및 프로그램 소스코드
6. 국가용 보안시스템 및 정보보호시스템 도입 현황
7. 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보
8.「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서
9.「개인정보보호법」제2조제1호의 개인정보
10.「보안업무규정」제4조의 비밀 및 동 시행규칙 제7조 제3항의 대외비
11. 업무시스템 DB 및 내부 업무 자료
12. 그 밖에 각급기관의 장이 공개가 불가하다고 판단한 자료
(별첨 13) 보안관리 세부 이행사항
보안관리 세부 이행사항
■ 참여 인력에 대한 보안관리
① 사업 착수 시
- 사업 참여인원 및 업체 대표명의 보안서약서를 제출하여야 한다.
- 계약업체는 용역사업 수행 전 참여인원에 대해 법률 또는 보안규정, 지침에 의한 비밀유지의무 준수 및 위반 시 처벌내용 등에 대한 보안교육을 실시하여야 한다.
② 사업 수행 시
- 계약업체는 보안인식 강화를 위해 주기적으로 자체 보안교육을 실시해야 하며, 대학이 요구하는 보안교육에 참석하여야 한다.
- 사업 참여인원은 용역사업자가 임의로 교체할 수 없으며, 부득이한 사유로 교체하여야 하는 경우(해외여행 포함) 발생 시 시스템운영팀에 즉시 보고
- 용역사업과 관련한 보안관리 책임은 용역업체 대표에게 있으며, 대표는 용역사업 전반의 보안업무를 수행하는 ‘보안관리책임자’를 지정
▪ 보안관리책임자는 용역사업과 관련된 인원ㆍ장비ㆍ자료에 대한 보안업무 및 사업과 관련된 하도급업체의 보안관리 전반을 총괄
③ 사업 종료 시
- 계약업체는 대학으로부터 제공받는 장비, 서류 및 중간ㆍ최종산출물 등 모든 자료를 전량 대학에 반납하고 삭제하여야 한다.
▪ 복사본 등 별도 보관 금지
- 노트북ㆍ보조기억매체 등 전자적으로 기록된 자료는 「교육부 정보보안 기본지침」제39조 제4항의 규정에 의한 '정보시스템 저장매체 불용처리 지침에 의한 저장매체·자료별 삭제방법에 따라 삭제 후 반출
- 계약업체는 사업관련 자료를 보유하고 있지 않으며 이를 위반시 향후 법적 책임이 있음을 포함한 “대표자용 보안확약서” 및 “참여자용 보안 확약서”를 작성하여 한남대학교에 제출하여야 한다. 또한 전산 담당자는 보안조치 내용을 확인 후 ‘보안조치 확인서’를 작성하여야 한다.
■ 문서 및 전산자료에 대한 보안관리
① 보안업무규정시행세칙에 의거 정보통신망 구성도, 정보시스템 구성도, IP 현황, 용역사업 산출물 및 개인정보 등은 비밀, 대외비 또는 비공개 자료로 분류하여 관리해야 한다.
② 계약업체는 비공개자료 중 출력물 형태로 제공받는 자료에 대해서는 ‘제공자료(정보) 관리대장’을 작성하여 인계자(발주부서 담당자)와 인수자(용역업체 보안관리책임자)가 직접 서명한 후 인계ㆍ인수해야 한다.
③ 발주부서가 계약업체에 제공한 내부 자료는 복사ㆍ외부반출을 금지하며, 내부자료 중 비공개 자료는 매일 퇴근 시 발주부서에 반납토록 하며, 비밀문서를 제외한 일반문서는 시건장치가 된 보관함에 보관하여야 한다.
④ 용역사업 관련자료 및 사업과정에서 생산된 모든 산출물은 발주 부서의 파일서버에 저장하거나 발주부서 담당자가 지정한 PC에 저장ㆍ관리하여야 한다.
⑤ 계약업체가 업무상 필요에 의해 부득이하게 외부에서 전자우편 등으로 대학과 자료 송수신이 필요한 경우에는 암호화 등의 보안대책을 마련하여 수발신해야 한다.
다만, 대학 보안업무규정에 의한 비공개 자료, 대외비 자료 및 비밀자료는 전자우편으로 수ㆍ발신을 금지한다.
⑥ 계약업체는 인터넷 이용 시 접속이 제한된 사이트 및 인터넷 파일공유(P2P)사이트 등에 접속을 시도하여서는 아니 되며, 사업수행 관련 자료는 인터넷, 웹하드 등 인터넷 자료공유사이트 및 개인 메일함에 저장을 금지한다.
⑦ 사업수행으로 생산되는 산출물 및 기록은 발주부서장의 허가 없이 무단 제공ㆍ대여ㆍ열람을 금지한다.
■ 사무실 및 장비에 대한 보안관리
① 용역사업 수행 장소는 시건장치와 통제가 가능한 사무실을 사용한다.
② 발주부서 담당자는 용역업체 사무실에 대한 정기적인 보안점검을 실시하여야 한다.
③ 반입된 노트북ㆍPC는 사업 종료시까지 반출 금지하며, 다만 부득이하게 외부 반출이 필요한 경우에는 최소한의 장비만 반출승인하고 자료유출에 대비한 발부부서 담당자의 보안조치를 실한 후 반출하여야 한다.
④ 계약업체는 용역사업에 이용되는 노트북ㆍPC에 백신 등의 자체 PC보안프로그램 및 대학에서 제공하는 자료유출방지 등을 위한 PC보안프로그램을 설치하여야 한다.
⑤ 계약업체는 노트북 및 PC에 전원기동(CMOS) 패스워드, 윈도우 로그인 패스워드, 화면 보호기(10분 간격) 패스워드를 영문자 및 숫자가 조합된 9글자이상으로 설정하여야 한다.
■ 내ㆍ외부망 접근시 보안관리
① 용역사업 수행시 발주기관의 전산망 이용이 필요한 경우
- 사업 참여인원에 대한 사용자 계정(ID)은 하나의 그룹으로 등록하고 계정별로 정보시스템 접근권한을 부여한다.
- 계정별로 부여된 접속권한은 불 필요시 곧바로 권한을 해지하거나 계정 폐기
- 계약업체는 정보시스템 사용자 계정(ID) 이용시, 부여된 권한 이외의 접근을 하여서는 아니되며, 부여된 패스워드는 임의 변경 및 타인에게 알려서는 아니된다.
- 발주기관의 전산망을 사용하는 계약업체의 노트북ㆍPC는 인터넷 연결을 금지한다. 다만, 사업 수행 상 필요한 경우에는 계약업체의 보안관리책임자가 직접 요청하고, 발주부서 담당자는 필요성이 인정될 경우 특정 노트북ㆍPC을 지정하고 정보시스템실의 보안담당자에게 필요한 사이트만 접속토록 요청하여야 한다.
② 시스템 유지보수 및 관제는 원격관리를 금지한다.
■ 보조저장매체 제한
❍ 계약업체는 USB 등 이동식 보조저장매체를 대학 내외로 반ㆍ출입 할 수 없다. 다만, 분임보안담당관이 그 필요성을 인정한 경우에는 「보안업무규정 등」반출입 절차에 따라 반출ㆍ입 할 수 있다.
■ 기타
❍ 상기 내용 중 언급되지 않은 사항은 「보안업무규정」, 「교육부 정보보안 기본지침」,「국가정보보안 기본치침」등 관계법령 및 규정을 적용한다.