===== AWS Bedrock 및 AI통합 포털 구축 관련 입찰공고.hwp =====
입 찰 공 고
※ 우리 원 홈페이지 및 조달청 나라장터에 공고
1. 입찰에 부치는 사항
□ 입찰건명 : AWS Bedrock 및 AI통합 포털 구축
□ 입찰 및 계약 방법 : 일반경쟁입찰 및 협상에 따른 계약
□ 세부사항 : 제안요청서 참고 2. 입찰참가자격
□ 「부가가치세법」에 따라 해당 사업에 관한 사업자등록증을 교부받은 자
3. 입찰등록 및 제안서 접수
□ 2026. 11. 17. 11:30까지 금융보안원 IT정보부*로 직접 방문 등록
* 주소 : 경기도 용인시 수지구 대지로 132
※ 입찰참가자는 예정가격 산정을 위한 자료(견적서)를 입찰등록 마감일로부터 3영업일 전까지 담당자에게 이메일([email protected])로 제출하여야 하며, 요청 시 거래실례가 자료를 추가로 제출하여야 함
※ 향후 세부일정은 등록업체에 한하여 별도 통보함
4. 계약대상자 선정 방법 □ 제안요청서 참조 5. 유의사항
□ 입찰참가자는 제안요청서 등 입찰에 필요한 제반 사항을 사전에 열람, 숙지하여 동 내용을 승낙하는 조건으로 입찰에 응하여야 하며, 이를 소홀히 하여 발생한 책임은 금융보안원이 지지 않음
□ 입찰참가자는 금융보안원에서 정한 보안정책을 준수하여야 하며, 이를 위반할 경우 보안특약에 따라 조치되어도 이의를 제기할 수 없음(세부내용은 제안요청서 참고)
6. 기타
□ 입찰보증금과 귀속에 관한 사항, 입찰참가 신청서류와 입찰 무효에 관한 사항, 그 밖에 입찰과 관련하여 필요한 사항은 제안요청서 참고
7. 문의처
□ (입찰) IT정보부 02)3495-9162, (사업) IT정보부 02)3495-9171
위와 같이 공고합니다. 2026년 11월 6일 금융보안원 IT정보부장
===== AWS Bedrock 및 AI통합 포털 구축 관련 입찰공고.pdf =====
입 찰 공 고
※ 우리 원 홈페이지 및 조달청 나라장터에 공고
1. 입찰에 부치는 사항
□ 입찰건명 : AWS Bedrock 및 AI통합 포털 구축
□ 입찰 및 계약 방법 : 일반경쟁입찰 및 협상에 따른 계약
□ 세부사항 : 제안요청서 참고
2. 입찰참가자격
□ 「부가가치세법」에 따라 해당 사업에 관한 사업자등록증을 교부받은 자
3. 입찰등록 및 제안서 접수
□ 2026. 11. 17. 11:30까지 금융보안원 IT정보부*로 직접 방문 등록
* 주소 : 경기도 용인시 수지구 대지로 132
※ 입찰참가자는 예정가격 산정을 위한 자료(견적서)를 입찰등록 마감일로부터 3영업일 전까지
담당자에게 이메일([email protected])로 제출하여야 하며, 요청 시 거래실례가 자료를 추가로
제출하여야 함
※ 향후 세부일정은 등록업체에 한하여 별도 통보함
4. 계약대상자 선정 방법
□ 제안요청서 참조
5. 유의사항
□ 입찰참가자는 제안요청서 등 입찰에 필요한 제반 사항을 사전에 열람, 숙지하여
동 내용을 승낙하는 조건으로 입찰에 응하여야 하며, 이를 소홀히 하여 발생한
책임은 금융보안원이 지지 않음
□ 입찰참가자는 금융보안원에서 정한 보안정책을 준수하여야 하며, 이를 위반할
경우 보안특약에 따라 조치되어도 이의를 제기할 수 없음(세부내용은 제안
요청서 참고)
6. 기타
□ 입찰보증금과 귀속에 관한 사항, 입찰참가 신청서류와 입찰 무효에 관한 사항,
그 밖에 입찰과 관련하여 필요한 사항은 제안요청서 참고
7. 문의처
□ (입찰) IT정보부 02)3495-9162, (사업) IT정보부 02)3495-9171
위와 같이 공고합니다.
2026년 11월 6일
금융보안원 IT정보부장
===== AWS Bedrock 및 AI통합 포털 구축 관련 제안요청서.hwp =====
제 안 요 청 서 2026. 11. 금융보안원 IT정보부
- 목
차 -
1. 도입 대상 2. 주요계약조건 3. 추진일정 4. 제출서류 5. 업체 선정 방법 6. 유의사항 <붙임> 1. 최소구비요건 1부 2. 보안특약 1부 3. 안전보건특약 1부 4. 제안서 양식 1부 5. 입찰참가신청서 양식 1부 6. 기술(제안서)평가 항목 1부 7. 가격입찰서 양식 1부 1. 도입 대상
구
분
최소구비요건 AWS Bedrock 및 AI통합 포털 구축 <별첨1> 참고 2. 주요계약조건
◯ `27년 6월 30일까지 시스템 구축을 완료할 것
◯ 지체상금 : 지체일수 1일당 총 계약금액의 1000분의 1.5 해당 금액
◯ 클라우드 서비스 계약기간은 1년으로 하고 동일 조건으로 1년 단위 자동 갱신이 가능하며, 별도의 의사표시가 없을 경우 자동 갱신함
◯ 계약보증금 : 계약금액의 10%(이행보증보험증권) 이상
◯ 하자보증 및 무상 보수정비 기간 : 인수일로부터 1년이 되는 월의 말일
◯ 계약업체는 월 1회 이상 장애예방점검 및 보수정비 방문 서비스를 제공하고, 장애 발생 시 4시간 이내 장애복구를 완료하여야 하며 4시간 이내에 장애복구를 하지 못하였을 때에는 별도 협의한 금액을 현금으로 납부하여야 함
◯ 공급기기(제3자 공급 S/W 포함)에 대해 무상 보수정비기간 내에 기기 운영에 필요한 각종 패치, 이전 설치, 기술지원 등이 필요한 경우 별도의 추가 비용 없이 무상 지원할 것
◯ 공급기기의 이전이 필요한 경우 별도의 추가 비용 없이 무상 지원할 것
◯ 무상 보수정비 기간 만료에 따라 금융보안원이 필요 시 계약업체에 금융보안원 또는 금융보안원의 통합보수정비 사업자와 유상 보수정비계약 체결을 요구할 수 있으며 계약업체는 이에 응하여야 함
◯ 사업수행인력 명단을 제출하고 사업관리자(PM), 각 분야별로 유사 사업경험 및 적용방법론에 익숙한 자로 할 것
◯ 제안 기기에 대하여 원 제조사의 라이선스 정책에 대한 상세 자료를 제출하여야 하며, 원 제조사의 라이선스 정책에 부합하지 않는 제안에 따라 발생하는 모든 책임은 계약업체에서 부담할 것
◯ 제안 기기에서 기간제 라이선스가 포함되는 경우 제안하는 라이선스 기간을 제안서에 명확히 기재할 것
◯ 계약업체는 검사 요청 시 라이선스 증서 등 공급 S/W 관리에 필요한 제반 서류를 제출할 것
◯ 계약업체가 본 계약의 이행과 관련하여 지적재산권 등 제3자의 권리를 침해한 경우 계약업체는 그에 대해서 금융보안원을 면책하고 계약업체가 피 침해자의 손해를 배상할 것
◯ 금융보안원에서 정한 보안 정책을 준수할 것(“<별첨2> 보안특약” 참고)
◯ 계약업체는 금융보안원이 요구하는 관련 산출물을 작성하여 제공할 것
◯ 계약은 금융보안원이 제시하는 계약서에 의해 체결할 것
◯ 주요계약조건은 계약 체결 시 금융보안원 내부 사정 등에 따라 변경될 수 있음
※ 클라우드컴퓨팅서비스 관련 주요계약조건
◯ 클라우드컴퓨팅서비스가 제공되는 물리적 위치를 도로명 주소를 기반으로 명시할 것(시ㆍ군 단위까지 기재하고, 금융당국 요청 시 세부 위치 별도 제출)
◯ 클라우드컴퓨팅서비스(LLM제외)가 제공되는 물리적 위치는 국내에 설치되어야 함
◯ 클라우드컴퓨팅서비스가 제공되는 전산실 내에 무선통신망이 설치되어있지 않음을 증명할 수 있는 서류를 제출해야 함
◯ 클라우드컴퓨팅서비스 업무의 재위탁 또는 재위탁 변경에 대해 금보원의 사전 동의를 받을 것
◯ 금보원의 감독당국 혹은 금보원의 내외부 감사인에 의한 조사ㆍ접근(현장방문 포함)을 수용할 것
◯ 금융당국은 계약업체(클라우드사업자 포함)를 대상으로 감독ㆍ검사를 수행할 수 있음
◯ 금융당국 및 금보원이 정한 내ㆍ외부 감사인은 계약업체(클라우드사업자 포함)에게 내부 감사 보고서 제출을 요구할 수 있고, 계약업체(클라우드사업자 포함)는 이에 응해야 함
◯ 금융당국 및 금보원이 정한 내ㆍ외부 감사인은 감독ㆍ검사 및 감사 수행 또는 인증ㆍ감사 보고서 검토 결과 지적된 사항에 대해 지체 없이 조치할 것을 요구할 수 있음
◯ 계약의 파기 또는 종료, 기타 위탁업무의 원활한 이행이 어려운 경우에 대비하여 해당 위탁업무의 이전 및 반환 등에 관한 사항을 명기
◯ 위탁 및 위탁업무 관련 준거법을 준수하고 자율규제에 대해 적극 협조할 것
◯ 금보원이 수립한 업무 연속성계획 및 안전성 확보 조치 방안의 이행을 위해 적극 협조 및 지원해야 함
◯ 금보원의 비상대응훈련(재해복구전환훈련 포함), 취약점 분석ㆍ평가, 침해사고 대응훈련 수행 시, 적극 지원할 것
◯ 계약업체(클라우드사업자 포함)는 관리하는 영역(인프라 등)에 대해 매년 제3자로부터 취약점 분석ㆍ평가를 수행하고 조치하였음을 금보원에 통지할 것(금융당국 요청 시 세부 수행 결과를 제출)
◯ 금보원은 보안사고 발생 등 필요 시 계약업체(클라우드사업자 포함)에 추가적인 취약점 점검수행 등을 요구할 수 있음
◯ 제공하는 클라우드컴퓨팅서비스를 모니터링할 수 있도록 지원할 것
◯ 클라우드컴퓨팅서비스를 통해 전송되는 정보에 대한 정보보호의 의무는 계약업체에 있으며, 모든 정보 전송 시 암호화 기술을 적용하여야 함
◯ 수사목적, 법적 분쟁 발생 등에 따른 해외 관계당국 또는 해외의 제3자에 대한 정보 제공 관련 법령에 대해서 사전에 파악하여 금융당국 및 금보원에 보고할 것, 또한 해당 법령에 따라 정보제공이 요구되는 경우 실제로 정보를 제공하기 이전에 금융당국 및 금보원에 통지하고, 관계국의 법령, 국가간 상호협정 등에서 정한 적법한 절차에 따라 처리할 것
◯ 클라우드컴퓨팅서비스 업무의 재위탁 시 계약업체(클라우드사업자 포함)는 재수탁자에 대한 관리ㆍ감독 의무가 있음
◯ 클라우드컴퓨팅서비스 업무의 재위탁 또는 재위탁 변경 시, 보안리스크 증가 등 금보원의 서비스에 악영향을 미칠 수 있는 경우, 금보원은 원위탁자와의 계약을 해지할 수 있음
◯ 계약업체(클라우드사업자 포함)가 업무 재위탁 시 발생한 금보원의 손해에 대해서는 계약업체가 배상할 책임이 있음
◯ 금보원의 요청에 따라 계약업체(클라우드사업자 포함)는 정보제공(내부의 영업상 중요정보 포함)의 책임이 있음
◯ 금보원은 클라우드컴퓨팅서비스를 통해 발생한 데이터의 소유권 및 지식재산권을 가짐
◯ 계약업체(클라우드사업자 포함)는 본 서비스와 관련된 고객정보의 보호 및 비밀유지의 의무가 있음
◯ 클라우드컴퓨팅서비스의 업무연속성을 확보하기 위해 백업시스템을 확보하고 비상계획을 수립하여야 함
◯ 계약업체(클라우드사업자 포함)는 시스템 업데이트 등 불가피한 사유로 일정기간 동안 서비스를 중지해야 할 경우 사전에 금보원과 협의해야 함
◯ 해킹, 천재지변 등 예상하지 못한 사유로 정상적인 서비스제공이 중단되는 경우 지체 없이 금보원에 통지해야 함
◯ 해킹, 천재지변 등 예상하지 못한 사유로 장애가 10분 이상 지속된 경우, 진행상황 파악을 위한 연락 담당자를 지정하고 정확한 장애원인 분석 및 재발방지 대책을 마련하여 금보원에 제공하여야 함
◯ 계약업체(클라우드사업자 포함)는 장애, 재해, 파업, 테러 등으로 서비스 지연 또는 중단이 발생할 경우 신속하게 복구하고 대응할 수 있는 절차 및 체계를 마련하여 금보원에 통지하고 이를 준수할 것
◯ 사고 발생 후, 사고 조사 및 피해 복구에 적극 협조해야 함(사고 원인 분석을 위한 자료 제출, 현장 조사, 인력 지원, 피해 확산 및 재발 방지를 위한 조치 등)
◯ 분쟁으로 인한 소송이 제기되는 경우 관할 법원은 금보원의 주소지 관할 법원으로 함, 당사자 일방이 외국사업자인 경우에는 대한민국 법원이 국제 재판관할권을 가짐
◯ 리스크 관리와 관련하여 계약 당사자들 간의 협의로 역할, 책임 범위, 손해배상 및 계약해지 관련 사항을 명시함
◯ 금보원의 클라우드서비스 전환 및 종료 관련 절차에 적극 협조할 것
◯ 계약업체(클라우드사업자 포함)는 금보원의 클라우드서비스 이전 및 전환, 서비스 종료 시 서비스 중단 없이 정보를 안전하게 금보원에 반환하도록 데이터 이전을 지원할 것
◯ 계약업체(클라우드사업자 포함)는 데이터 이전이 발생할 경우, 충분한 시간을 금보원에 제공하고 데이터 삭제 이전에 금보원의 서면 확인을 받아야 함
◯ 계약업체(클라우드사업자 포함)는 데이터 이전이 완료되거나 서비스가 종료될 경우 금보원의 정보를 복구 불가능한 방법으로 완전히 파기하고, 파기 확인서를 제출하여 정보의 파기여부를 확인 받아야 함
◯ 계약업체(클라우드사업자 포함)의 사정에 의해 서비스가 종료되는 경우, 계약업체는 다른 클라우드서비스 제공자로의 이전 등 대안을 마련하여 금보원에 제출해야 함
◯ 금보원은 클라우드서비스의 전환 및 종료 절차에 대한 모의훈련을 주기적으로 실시할 것을 요구할 수 있음
◯ 계약업체(클라우드사업자 포함)의 관련 법령, 계약상 의무 위반 등으로 인해 사용자에게 손해가 발생하는 경우, 금보원이 계약업체(클라우드사업자 포함)와 연대하여 배상책임을 부담하며, 계약업체(클라우드사업자 포함)의 귀책사유가 있는 경우에는 금보원이 계약업체(클라우드사업자 포함)에게 구상권을 행사할 수 있음
◯ 계약업체(클라우드사업자 포함)의 관련 법령, 계약상 의무 위반 등의 귀책사유가 있는 경우 금보원은 계약의 해지여부와 관계없이 계약업체(클라우드사업자 포함)에게 손해배상을 청구할 수 있으며 금보원은 위약금 없이 즉시 계약을 해지할 수 있음
◯ 본 계약에 포함되지 않은 사항은 우리원 “금융분야 클라우드컴퓨팅서비스 이용가이드”의 내용을 준용함
3. 추진일정
◯ 제안서 접수 : 2026. 11. 17. 11:30까지 금융보안원 IT정보부로 직접 방문 제출
◯ 기술(제안서)평가 및 협상대상자 선정 : 2026. 11월 중
◯ 협상실시 : 협상 개시 통보일로부터 15일 이내
◯ 계약체결 : 협상 성립 후 10영업일 이내
* 상기 일정은 금융보안원 내부 사정에 따라 변경될 수 있음
4. 제출서류
◯ 입찰참가신청서(금융보안원 소정 양식) 1부
◯ 입찰보증금 또는 이행보증보험증권 1부 ◯ 사업자등록증 사본(원본대조필) 1부 ◯ 인감증명서(법인/개인) 1부 ◯ 국세 및 지방세 완납증명서 각 1부
◯ 제안서 6부 및 제안서 내용 포함 CD 또는 USB(PDF 파일) 2매
◯ 가격입찰서 1부(밀봉 날인) ◯ 서비스명세서* 1부
* 제안시점 기준 외부에 공개된 제품의 CSP 공시가격 및 제안사 제안가격을 포함하여야 하며, 금번 사업에서 필요로 하는 제품군은 반드시 포함할 것 (별첨8 참고)
5. 업체 선정 방법 가. 평가 구성
기술(제안서)평가는 80점, 입찰가격 평가는 20점으로 함
나. 기술(제안서)평가
◯ 대상업체 : 입찰참가자격, 주요계약조건 및 최소구비요건 충족 업체
◯ 제안서 설명 : 제안사별 30분(발표 20분, 질의응답 10분)
◯ 평가방법 : 입찰참가업체의 제안서를 기준으로 평가위원이 평가
◯ 통과기준 : 평가 결과가 아래 두 조건을 모두 충족하는 경우
― 각 평가항목별 점수가 모두 70점(100점 기준) 이상일 것
― 가중치(평가부문, 평가항목)를 반영한 최종 평가점수가 68점(80점 기준) 이상일 것
다. 기술(제안서)평가 점수 산정
◯ 각 평가항목은 100점 만점을 기준으로 상대 평가하며, 상대평가 시 우열을 가리기 어려운 경우 동일 점수를 부여할 수 있으며, 기술능력 수준에 따른 평가점수 범위를 아래와 같이 정함
구 분 평가점수 우수 (S) 100 ~ 85점 이상 보통 (A) 85점 미만 ~ 70점 이상 저조 (B) 70점 미만 ~ 0
◯ 평가위원의 각 평가항목별 평가점수 평균에 항목별 가중치를 적용․합산하고 평가부문별 가중치를 적용하여 제안업체의 기술평가 점수를 산정(소수점 넷째 자리에서 반올림)
* 기술(제안서)평가 세부항목은 <별첨5>기술(제안서) 평가항목 참조
라. 입찰가격 평가 ◯ 대상업체: 기술평가를 통과한 입찰참가업체 ◯ 평가방법
- 입찰가격을 추정가격의 100분의 80 이상으로 입찰한 자에 대한 평가
① 평점 = 입찰가격평가배점한도 × (최저입찰가격 ÷ 당해입찰가격)
② 최저입찰가격 : 유효한 입찰자중 최저입찰가격으로 하되, 최저입찰가격이 추정가격의 100분의 60미만일 경우에는 100분의 60으로 계산
③ 당해입찰가격 : 당해 평가대상자의 입찰가격
④ 입찰가격 평가 시 사업예산으로 하는 경우에는 추정가격에 부가가치세를 포함하여 적용하고, 예정가격을 작성한 경우에는 추정가격을 예정가격으로 적용
- 입찰가격을 추정가격의 100분의 80 미만으로 입찰한 자에 대한 평가
① 평점 = 입찰가격평가배점한도 × (최저입찰가격 ÷ 추정가가격의80%상당가격)
+ [2×((추정가가격의80%상당가격 – 당해입찰가격) ÷
(추정가가격의80%상당가격 – 추정가가격의60%상당가격))]
② 최저입찰가격 : 유효한 입찰자중 최저입찰가격으로 하되, 최저입찰가격이 추정가격의 100분의 60미만일 경우에는 100분의 60으로 계산
③ 당해입찰가격 : 당해 평가대상자의 입찰가격으로 하되, 입찰가격이 추정가격의 100분의 60미만일 경우에는 배점한도의 30%에 해당하는 평점
④ 입찰가격 평가 시 사업예산으로 하는 경우에는 추정가격에 부가가치세를 포함하여 적용하고, 예정가격을 작성한 경우에는 추정가격을 예정가격으로 적용
※ 입찰가격 평점산식에 의한 계산결과 소수점이하의 숫자가 있는 경우에는 소수점 넷째자리에서 반올림하여 셋째자리까지 계산
◯ 입찰가격
― 공급금액(AWS Bedrock 및 AI포털 구축비 시스템 구축비주1), 연간 클라우드 서비스 예상 이용료주2), 부가세 포함)
주1) AWS Bedrock 및 AI 포털 구축비는 검수 완료전까지 구축에 필요한 비용 일체(구축기간 동안의 클라우드 이용료 포함)
주2) 클라우드 서비스 예상 이용료는 MSP관리 비용을 포함해야 하며 시스템 구축 및 검수 완료 이후 정상운영 시점으로부터 1년 예상 이용료 기준
마. 협상대상자 선정 및 협상 실시
◯ 제안업체 중 기술(제안서)평가 결과점수가 기술평가 통과기준을 충족하는 업체를 협상대상자로 선정
◯ 협상대상자의 기술평가 점수와 입찰가격평가 점수를 합산한 점수가 높은 업체부터 제안내용 및 가격 등을 대상으로 협상을 실시
※ 다만, 합산점수가 동일한 업체가 2인 이상일 경우에는 기술(제안서)평가 결과점수가 높은 업체를 우선으로 하며, 기술(제안서)평가 결과점수도 동일한 경우에는 기술(제안서)평가 세부평가항목 중 배점이 큰 항목에서 높은 점수를 얻은 업체를 우선함
바. 기 타 기술평가 결과의 세부내용과 협상가격은 비공개 6. 유의사항 가. 입찰보증금
입찰보증금은 입찰금액의 5/100 이상의 자기앞수표, 현금, 보증보험증권으로 납부하여야 함
※ 입찰보증금을 보증보험으로 납부 시
∙ 보증기간의 초일 : 입찰참가신청서 제출마감일 전일 또는 이전
∙ 보증기간의 만료일 : 입찰참가신청서 제출마감일 다음날로부터 40일 이후
∙ 금융보안원 사업자등록번호 : 658-82-00028
나. 낙찰자 서류제출
◯ 낙찰자는 낙찰 후 10영업일 이내에 계약에 필요한 제반서류를 제출하여야 하고 금융보안원 요구시점에 계약을 체결하지 않을 경우 계약을 포기한 것으로 간주하며 입찰보증금은 금융보안원에 귀속됨
◯ 제반서류 : 법인 등기사항증명서(법인인 경우), 계약이행보증금, 원 공급자 이행보증 확약서, 대표자 신원보증서 등
※ 계약이행보증금을 이행보증보험증권으로 납부 시 보증 기간
∙ 보증 기간의 초일 : 계약 체결일 또는 이전일
∙ 보증 기간의 만료일 : 계약 종료일(설치기한) 이후
다. 가격입찰서의 작성 및 제출
◯ 사용되는 인감은 입찰참가신청서 제출 시 신고한 인감과 동일하여야 함
◯ 입찰가격란에는 부가가치세를 포함한 금액을 아라비아숫자와 한글로 병행 기재하여야하며, 아라비아숫자와 한글 금액이 상이할 경우 한글금액을 입찰가격으로 간주함
◯ 입찰서는 1인 1통만 제출함
◯ 입찰서 제출 시에는 아래와 같이 봉함 후 날인하여 제출함
전 면 후 면 제( )차 입찰서 재중 입찰업체명
◯ 한번 제출한 입찰서는 취소, 철회, 교환 또는 변경할 수 없음
라. 입찰무효 ◯ 입찰참가자격이 없는 자가 행한 입찰
◯ 소정일시까지 소정의 입찰보증금을 납부하지 아니하고 행한 입찰
◯ 동일사항에 동일인이 2통 이상의 입찰서를 제출한 입찰
◯ 대리권이 없는 자가 행한 입찰
◯ 입찰금액의 중요한 부분이 불분명하거나 입찰자의 기명날인 또는 봉인이 누락된 입찰
◯ 담합하거나 타인의 참가 또는 업무진행을 방해한 경우
◯ 입찰보증금의 한도를 초과한 입찰
◯ 기타 금융보안원 입찰조건 등에 위배된 입찰
마. 기타
◯ 입찰참가업체는 계약업체 선정 추진과정 상의 각 단계에서 필요한 제반 구비서류를 금융보안원이 요구하는 시점에 제출할 것
◯ 제안서는 제안서 양식에 준하여 제반내용이 빠짐없이 포함되도록 작성할 것
◯ 제안서 작성 시 이용된 각종자료 및 문헌 등의 근거자료를 반드시 첨부할 것
◯ 기술평가 항목에 대한 제안내용 작성 시 해당내역을 빠짐없이 작성하여야 함
◯ 제안서의 내용은 명확한 용어를 사용하여 표현하여야 하며, “~할 수도 있다” 등의 모호한 표현이 있는 경우는 부정적인 의미로 간주함
◯ 제안서는 제안요청서의 내용(주요계약조건 및 최소구비요건 등)을 “반드시” 충족하여야 함
◯ 금융보안원이 요청한 사항 이외에 제안업체가 중요하다고 생각하는 내용은 별도 기술하고 근거자료를 첨부함
◯ 금융보안원은 필요시 추가 자료를 요청할 수 있으며 제출된 자료는 제안서와 동일한 효력을 가짐
◯ 제안서의 내용은 낙찰자로 선정된 후 계약서에 별도 명시되지 않더라도 계약서와 동일한 효력을 가지므로 실현 가능한 범위 내에서 구체적이고 명확하게 작성하여야 함
◯ 제안서의 내용이 허위 또는 이행 불가능한 내용으로 작성된 사실이 발각될 경우 제안업체는 그에 따른 모든 책임을 져야하며, 이로 인한 금융보안원의 대금지급 불이행에 대하여 일체의 손해배상 청구 및 이의를 제기할 수 없음
◯ 제출된 제안서는 금융보안원의 별도요청 또는 승낙이 없는 한 일체 수정, 추가 또는 대체할 수 없음
◯ 입찰 시 담합 등 불공정거래행위 업체는 추후 금융보안원이 실시하는 입찰에서 참가자격을 제한하며 관계당국에 고발조치 함
◯ 금융보안원 예정가격, 계약금액 및 평가세부결과 등은 일체 공개하지 않으며 제안업체는 이에 대하여 이의를 제기할 수 없음. 다만, 입찰참여업체 모두가 찬성할 경우 계약금액을 공개할 수 있음
◯ 금융보안원의 내부 사정 또는 국가정책 등의 변경으로 본 제안요청서나 낙찰관련 내용의 일부 또는 전부가 변경되거나 취소되는 경우에도 제안업체는 이의를 제기하지 아니하며 일체의 손해배상 청구권을 행사할 수 없음
◯ 계약대상자가 계약상의 의무를 이행하지 아니하여 발생하는 모든 문제는 계약대상자가 책임지며 계약보증금은 금융보안원에 귀속됨
◯ 금융보안원은 프로젝트 추진과 관련하여 필요하다고 인정되는 경우 제안업체와 협의하여 제안서의 내용을 일부 조정할 수 있음
◯ 제안서 작성에 소요되는 비용은 제안업체의 부담이며 제출된(책자형태) 제안서는 일체 반환하지 않음
◯ 대금지금방법 및 시기는 금융보안원의 내부기준을 따름
◯ 본 제안요청서에서 규정하지 아니한 사항은 금융보안원 관련 규정 및 관련 법령을 준용함
◯ 제안요청서의 내용에 대하여 이견이 있을 경우, 금융보안원의 해석에 따라야함
바. 문의처
(입찰) IT정보부 02)3495-9162, (사업) IT정보부 02)3495-9171
<붙임1> 최소구비요건 □ 요구사항 목록 요구사항 분류 고유번호 요구사항 명칭 가. 사업 수행 요구사항 (Project Requirement) PRR-001 사업 수행계획 수립 PRR-002 현행 환경 분석 및 상세 설계 PRR-003 구축·시험·전환 계획 수립 나. AWS 클라우드 구축 요구사항
(Cloud Infrastructure Req)
CIR-001 Amazon Bedrock 엔드포인트 구성 CIR-002 업무용·시스템용 VPC 분리 CIR-003
기관 내부 AI 포털과 AWS의 RAG 환경 간 VPN 사설 연결
CIR-004 관리자 접근 통제와 데이터 암호화 CIR-005 통합 모니터링·운영 점검 및 장애 통보 CIR-006 가용성·백업·복구 및 자원 확장 CIR-007 AWS 영역 내 RAG 환경 구축 CIR-008 자료 반환·삭제 및 이용 종료 처리 CIR-009 개발·시험·운영 자원 분리 다. AI 플랫폼 기능 요구사항
(AI Platform Requirement)
AIF-001
기관 내부 AI 포털과 AI Gateway 2세트 구축 및 AWS 연계
AIF-002 AI 모델 연결·선택 및 캐싱 AIF-003 AI 요청 처리와 처리 이력 조회 AIF-004 RAG 자료 등록·조회·검색·권한 관리 AIF-005 AI Agent 생성·승인·배포·실행 관리 AIF-006 기관 내부 AI 포털의 대화 및 답변 기능 AIF-007 파일 첨부·분석·업로드 관리 AIF-008
사용자별 Amazon Bedrock 사용 현황 및 예상 이용료 안내
AIF-009 대화 공유·참여자 초대·담당자 이관 AIF-010 기관 내부 AI 포털의 사용자·관리자 화면 AIF-011 감사 기록·채팅 열람·통계 및 보관 관리 AIF-012 AI 입력·출력 보안 검사와 가드레일 AIF-013 AI 자료 보호와 이용 통제 AIF-014
관리자용 Amazon Bedrock 사용량·이용료·한도 관리
라. 시스템 연계 요구사항
(System Integration Requirement)
SIR-001 AD 로그인·조직·사용자·권한 연계 SIR-002 DRM 문서 처리 연계 SIR-003
기관 내부 AI Gateway의 업무 서버용 API와 토큰 관리
SIR-004 MCP 서버·도구 연계 SIR-005 AWS·AI 플랫폼 로그의 보안 관제 연계 SIR-006 서버 보안 제품 설치·연계 SIR-007 승인된 인터페이스와 파일 전송 통제 마. 보안 요구사항 (Security Requirement) SER-001 사업 보안 관리 계획 수립 SER-002 참여 인력 보안 관리 SER-003 사업 자료 보호와 반출입 통제 SER-004 작업장·장비·저장 매체 보안 SER-005 계정·원격 접속·외부 서비스 통제 SER-006 개발·배포 보안 관리 SER-007 취약점 점검 및 보완 SER-008 보안 사고 보고와 대응 SER-009 사업 종료 보안 조치 바. 시험 및 전환 요구사항
(Test and Transition Requirement)
TTR-001 기능 및 시스템 연계 시험 TTR-002 성능·용량·부하 시험 TTR-003 검수 전 보안·취약점 시험 TTR-004 요구사항·결함·검수 관리 TTR-005 운영 전환·복구·초기 안정화 사. 사업 관리 요구사항
(Project Management Requirement)
PMR-001 일정·이슈·위험·변경 관리 PMR-002 산출물 작성·제출·승인 PMR-003 관리자·사용자 교육과 매뉴얼 PMR-004 제품·버전·라이선스 관리 PMR-005 운영 인계와 기술 이전 PMR-006 초기 안정화·하자 보수 및 서비스 수준 관리 □ 세부 요구사항 가. 사업 수행 요구사항 고유번호 PRR-001 요구사항 분류 사업 수행 요구사항 요구사항 명칭 사업 수행계획 수립 요구사항상세설명 세부 내용 □ 시스템 도입ㆍ구축
◦ 금융보안원에서 제안하는 요구사항을 모두 만족해야 하며, ‘27년 6월 30일까지 납품(도입ㆍ구축)을 완료해야 함
□ 사업 수행 계획서 작성
◦ 계약 후 2주 이내에 본 사업의 수행을 위한 사업자는 사업수행계획서를 제출하여야 한다.
◦ 사업수행 계획서에는 사업목표, 구축범위, 추진일정, 수행 조직과 역할, 산출물, 품질·보안·시험·위험 관리방안을 포함해야 한다.
□ 사업 수행 인력 조건
◦ 프로젝트 인력의 개발 능력이 현저히 떨어지는 등 정상적인 프로젝트 수행이 어렵다고 판단되어 금융보안원이 요청하는 경우 해당 프로젝트 인력을 즉시 교체해야 한다.
◦ 프로젝트 인력은 프로젝트 진행 시 죽전 사옥 등 금융보안원이 지정한 장소에 상주해야 한다.
◦ 프로젝트 인력을 변경할 경우 금융보안원과 사전에 협의한 후 인수인계를 수행하여야 한다.
고유번호 PRR-002 요구사항 분류 사업 수행 요구사항 요구사항 명칭 현행 환경 분석 및 상세 설계 요구사항상세설명 세부 내용 □ 구축에 필요한 항목 목록화
◦ 금융보안원이 제공하는 현행 시스템, 내부 네트워크, 사용자·조직, 데이터, 연계 대상과 보안 정책을 확인 및 정리하여 설계 전 확정이 필요한 항목은 목록으로 작성해야 한다.
◦ 금융보안원 내부 네트워크에 구축하는 AI 포털과 AI Gateway와 AWS 서울 리전에 구축하는 RAG·Amazon Bedrock 연계 영역을 구분하여 설계해야 한다.
◦ 질문, 문서 등록, 자료 검색, DRM 처리, 업무 서버 API와 로그 전송의 연결경로, 권한, 보안과 데이터 저장 위치를 설계서에 포함시키고 확인해야 한다.
고유번호 PRR-003 요구사항 분류 사업 수행 요구사항 요구사항 명칭 구축·시험·전환 계획 수립 요구사항상세설명 세부 내용
◦ 환경 구축, 제품 설치, 설정, 연계, 데이터 준비, 시험, 사용자 검수, 운영 전환과 안정화의 순서, 담당자, 일정과 완료 기준을 포함한 실행 계획을 수립해야 한다.
◦ 기능·성능·보안 시험, 요구사항 검수, 운영 전환, 실패 시 복구와 초기 안정화의 진행 조건과 완료 기준을 계획에 포함하여 금융보안원의 승인을 받아야 한다.
◦ 각 요구사항의 구현 위치, 확인 방법, 제출할 증빙과 완료 책임자를 계획에서 확인 가능해야 한다.
나. AWS 클라우드 구축 요구사항 고유번호 CIR-001 요구사항 분류 AWS 클라우드 구축 요구사항 요구사항 명칭 Amazon Bedrock 엔드포인트 구성 요구사항상세설명 세부 내용
◦ RAG 자료의 저장·관리 위치를 서울 리전으로 구성해야 하며, 서비스별 데이터 저장·처리 위치와 엔드포인트 구성 현황을 정리하여 금융보안원에 제출해야 한다.
고유번호 CIR-002 요구사항 분류 AWS 클라우드 구축 요구사항 요구사항 명칭 업무용·시스템용 VPC 분리 요구사항상세설명 세부 내용
◦ 하나의 AWS 계정안에 용도별(업무용, 시스템용) VPC를 각각 1개씩 총 2개 구성하고, 금융보안원의 승인없이 별도의 AWS 계정이나 추가 VPC를 구성하지 않아야 한다.
◦ 두 VPC의 네트워크, 접속경로와 보안 정책을 용도별로 분리하고 금융보안원이 승인한 연계 경로를 제외한 VPC 간 통신과 자원 접근을 차단해야 한다. 업무용 AI 포털은 업무용 VPC만 이용하고 시스템용 AI 포털은 시스템용 VPC만 이용하도록 연결해야 한다.
고유번호 CIR-003 요구사항 분류 AWS 클라우드 구축 요구사항 요구사항 명칭
기관 내부 AI 포털과 AWS의 RAG 환경 간 VPN 사설 연결
요구사항상세설명 세부 내용
◦ AI 포털과 AI Gateway를 금융보안원 내부 네트워크에 설치하고, 및 외부 인터넷을 차단하여야한다.
◦ AWS의 RAG와 Amazon Bedrock 연계 영역을 외부에서 직접 접속할 수 없는 사설 환경으로 구성해야 한다.
◦ 사용자와 업무 서버는 내부 AI 포털 또는 AI Gateway를 통해서만 AWS의 AI 서비스를 이용해야 한다.
◦ 금융보안원의 내부 네트워크와 AWS 사이에 업무용·시스템용 VPN을 각각 구성해야 한다.
◦ VPN 요구사항 - 도입 수량 : 2식
- VPN은 검증필 암호모듈을 탑재되고, 본 원에서 기 운용중인 VPN(AXGATE社)과 안전한 터널 방식을 사용하여 연결을 지원할 것
* 10/100/1000Base-T 6 Port, 1G Combo 2 Port 지원 등
- 방화벽 정책 적용이 가능할 것 고유번호 CIR-004 요구사항 분류 AWS 클라우드 구축 요구사항 요구사항 명칭 관리자 접근 통제와 데이터 암호화 요구사항상세설명 세부 내용
◦ 금융보안원 내부 네트워크와 AWS 사이의 통신 및 AWS 서비스 간 통신구간은 암호화를 지원해야 한다.
◦ AWS에 저장하는 자료는 암호화하여 저장하여야 한다.
※ RAG 자료, 검색 자료, 임시 자료와 백업 자료 등
◦ AWS 관리 화면과 AI 포털 관리자 화면에 개인별 계정, 다중 인증, 최소 권한과 승인된 IP 제한을 적용하여야 한다.
◦ 시스템은 API 키, 비밀번호와 연동 비밀 정보를 암호화하여 보관하고 화면과 로그에 비밀 정보 원문을 표시하지 않아야 한다.
◦ 관리자는 해당 정보의 만료, 교체와 폐기 상태를 관리해야 한다.
고유번호 CIR-005 요구사항 분류 AWS 클라우드 구축 요구사항 요구사항 명칭 통합 모니터링·운영 점검 및 장애 통보 요구사항상세설명 세부 내용
◦ 시스템은 AWS, VPN, AI 포털, AI Gateway, RAG와 외부 연계 서비스의 상태를 상시 확인하고 장애, 성능 저하와 연계 실패를 탐지하여 담당자에게 통보해야 한다.
◦ 관리자는 확인할 항목, 장애 기준, 알림 대상과 통보 방법을 설정하고, 시스템은 장애 발생부터 정상화까지의 처리 내역을 기록해야 한다.
◦ AWS 운영 상태, 장애 발생 등의 월간 운영보고서를 금융보안원에 제출해야 한다.
◦ 시스템 변경 또는 서비스 중단이 예상되는 경우 금융보안원과 사전에 협의를 진행하고, 예기치 않은 장애가 발생한 경우 진행 상황, 복구 결과와 재발 방지 대책을 금융보안원에 통보해야 한다.
고유번호 CIR-006 요구사항 분류 AWS 클라우드 구축 요구사항 요구사항 명칭 가용성·백업·복구 및 자원 확장 요구사항상세설명 세부 내용
◦ AWS 서비스별 복구 목표 시간과 데이터를 복구할 기준 시점을 제시하여 승인을 받아야 한다.
◦ AI 플랫폼의 데이터와 설정, RAG 원문·등록정보·권한정보 및 복구에 필요한 자료에 대해 정기 백업 기능을 제공하여야 한다.
◦ 백업 주기, 보존 기간, 보관 위치, 접근 권한과 복구 확인 방법은 금융보안원의 승인을 받아야 한다.
◦ 이용자와 처리량 증가에 대응하여 필요한 AWS 자원 확장을 지원하여야 한다.
고유번호 CIR-007 요구사항 분류 AWS 클라우드 구축 요구사항 요구사항 명칭 AWS 영역 내 RAG 환경 구축 요구사항상세설명 세부 내용
◦ 승인된 문서를 저장하고 검색할 수 있는 RAG 환경을 AWS 서울 리전에 구축해야 한다.
◦ 금융보안원 내부 AI 포털은 RAG 자료를 등록·조회·수정·삭제하고 검색할 수 있는 관리 기능을 제공해야 한다.
◦ 시스템은 RAG 문서 등록 요청과 검색 요청을 VPN 사설 경로를 통해 AWS로 전달하고 현재 사용자 권한으로 접근할 수 있는 검색결과만 금융보안원 내부 AI Gateway로 반환해야 한다.
◦ 시스템은 사용자·부서·팀·서비스별 권한을 적용하여 허용되지 않은 RAG 자료가 검색결과, 답변, 인용과 원문 열람에 포함되지 않도록 해야 한다.
고유번호 CIR-008 요구사항 분류 AWS 클라우드 구축 요구사항 요구사항 명칭 자료 반환·삭제 및 이용 종료 처리 요구사항상세설명 세부 내용
◦ 시스템은 금융보안원이 승인한 관리자가 AWS와 AI 플랫폼에 저장된 자료를 재사용 가능한 형식으로 내보낼 수 있게 하고, 내보낸 자료의 범위, 요청자, 승인자, 처리 시각과 처리 결과를 기록해야 한다.
◦ 시스템은 서비스 이용 종료 또는 금융보안원에서의 삭제 요청이 있을 경우 승인된 범위의 원본, 사본, 임시파일과 캐시를 삭제하고, 백업 자료는 승인된 보존 기간이 끝난 후 삭제하여야 한다.
◦ 삭제 시 대상, 처리 결과와 미삭제 사유를 금융보안원에 제출해야 한다.
고유번호 CIR-009 요구사항 분류 AWS 클라우드 구축 요구사항 요구사항 명칭 개발·시험·운영 자원 분리 요구사항상세설명 세부 내용
◦ 하나의 AWS 계정과 업무용·시스템용 VPC 총 2개 범위에서 개발·시험·운영에 필요한 자원과 데이터를 구분해야 한다.
◦ 개발·시험에 실제 개인정보와 업무 자료를 사용하지 않아야 한다. 시험 자료가 필요한 경우 금융보안원의 승인을 받고 마스킹 처리와 삭제 절차를 적용해야 한다.
다. AI 플랫폼 기능 요구사항 고유번호 AIF-001 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭
기관 내부 AI 포털과 AI Gateway 2세트 구축 및 AWS 연계
요구사항상세설명 세부 내용
◦ 금융보안원 내부 네트워크에 업무용 AI 포털과 AI Gateway 1세트와 시스템용 AI 포털과 AI Gateway 1세트를 각각 구축해야 한다.
◦ AI 포털이 영구 소프트웨어가 아닌 경우, 사업 검수 완료 후부터 최소 5년 이상이 가능하도록 제공해야 한다.
◦ AI 포털은 사용자가 대화, 파일 첨부, RAG, AI Agent와 사용 현황 기능을 지원하고, AI Gateway는 사용자의 요청과 업무 서버 API 요청에 인증, 권한, 사용 한도 제한 기능을 지원해야 한다.
◦ 내부 사용자와 업무 서버는 AI 포털 또는 AI Gateway를 통해서만 AWS의 RAG 환경과 Amazon Bedrock을 이용 지원해야 한다.
고유번호 AIF-002 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭 AI 모델 연결·선택 및 캐싱 요구사항상세설명 세부 내용
◦ 시스템은 요청과 첨부 자료의 보안 등급을 확인하여 Amazon Bedrock으로 보낼 수 있는지 판단하고 전송할 수 없는 자료는 금융보안원 내부 AI 모델로 처리하거나 차단해야 한다.
◦ 시스템은 요청 종류, 자료의 보안 등급, 응답속도와 Amazon Bedrock 예상 이용료를 고려하여 사용할 AI 모델과 처리 환경을 자동으로 선택해야 한다.
◦ 시스템은 관리자가 허용한 사용자만 AI 모델을 직접 선택할 수 있게 하고 그 외 사용자에게는 자동선택을 적용해야 한다.
◦ 시스템은 AI 모델이 응답하지 않거나 오류가 발생하면 관리자가 정한 횟수만큼 동일한 모델로 재시도하고, 계속 실패하면 사용자 또는 업무시스템에 실패 사유를 알려야 한다.
◦ 관리자는 AI 모델의 제공자, 버전, 용도, 사용 한도, Amazon Bedrock 이용료와 운영 상태를 한 곳에서 조회·관리하고 사용을 중지할 수 있어야 한다.
◦ 시스템은 공통 지시문, 업무별 지시문과 운영정책의 변경 이력을 보관하고 이전 버전으로 복구할 수 있도록 지원하여야 한다.
◦ 시스템은 Amazon Bedrock 이용료를 절감할 수 있도록, 지시문, 대화 내용과 참고 자료가 반복 전달될 때 프롬프트 캐싱 기능을 사용하여 응답 시간을 줄일 수 있도록 지원하여야 하며, 관리자가 확인할 수 있는 방안(적용모델, 캐시사용량, 이용료 등)을 제시하여야 한다.
◦ 시스템은 사용자·부서·보안 등급이 다른 자료가 서로 재사용되지 않도록 해야 한다.
고유번호 AIF-003 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭 AI 요청 처리와 처리 이력 조회 요구사항상세설명 세부 내용
◦ 시스템은 대화 답변을 생성되는 순서대로 표시해야 하고, 처리 시간이 긴 요청은 작업번호, 진행상태, 시작시각, 취소 가능 여부와 완료결과를 조회할 수 있게 해야 한다.
◦ 업무시스템은 연결되는 AI 모델이 변경되어도 API 주소와 요청·응답 형식을 바꾸지 않고 계속 이용할 수 있게 하고, AI 모델마다 다른 입력항목, 응답항목과 오류 형식은 AI Gateway에서 업무시스템이 사용하는 공통 형식으로 변환할 수 있도록 지원하여야 한다.
◦ 시스템은 사용자의 질문이나 업무 서버의 API 호출을 접수할 때 요청번호를 발급하고 사용자 화면 또는 API 응답에 표시하고, 관리자가 요청번호를 검색하여 사용한 AI 모델, 검색한 내부 자료, 수행한 보안 검사, 최종 처리 결과, 오류가 발생한 단계와 재처리 결과를 한 화면에서 확인할 수 있는 기능을 제공하여야 한다.
◦ 시스템은 실패한 요청을 관리자가 다시 실행할 수 있게 하고, 최초 요청과 재실행 결과는 서로 구분하여 기록되어야 한다.
고유번호 AIF-004 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭 RAG 자료 등록·조회·검색·권한 관리 요구사항상세설명 세부 내용
◦ 관리자는 금융보안원 내부 AI 포털에서 RAG 지식 모음과 문서를 등록·조회·수정·삭제할 수 있어야 하며, 등록된 문서의 목록과 본문 미리보기, 자료명, 원본 파일명, 소유 부서, 보안 등급, 등록자, 등록·변경 시각, 처리 상태, 버전과 적용 권한을 확인할 수 있어야 한다. 또한, 관리자는 조건별 검색과 일괄 등록·권한 변경·삭제를 수행할 수 있어야 한다.
◦ 시스템은 내부 AI 포털에서 접수한 RAG 문서를 DRM 처리와 보안 검사 후 해당 AWS VPC의 RAG 환경에 등록해야 하고, 실제 RAG 자료와 검색 환경은 AWS에 저장해야 한다. 관리자는 문서별 등록 진행 상태와 실패 사유를 확인하고 실패한 문서를 다시 처리할 수 있어야 한다.
◦ 시스템은 원본문서의 등록·변경·삭제 내용을 검색결과에 반영하고 삭제된 자료가 다시 사용되지 않도록 해야 한다.
◦ 시스템은 관리자가 RAG 자료의 검색, 답변 사용, 원문 열람, 다운로드와 관리 권한을 사용자·부서·팀·AD 그룹별로 설정할 수 있는 기능을 제공하고, 부서이동·휴직·퇴직 시 이전 소속의 권한을 60초 이내에 회수할 수 있는 기능을 제공하여야 한다.
◦ 시스템은 업무용 RAG와 시스템용 RAG의 자료와 권한을 분리하고 저장된 자료를 암호화해야 한다.
◦ 시스템은 RAG 문서를 등록하기 전과 관리자가 설정한 주기에 따라 악성코드 검사를 실시하고, 문제가 발견된 자료는 검색과 답변에서 제외하고 담당자에게 통보해야 한다.
◦ 시스템은 RAG 자료의 위변조 여부를 정기적으로 확인하고 이상이 발견되면 해당 자료의 사용을 차단한 후 승인된 자료로 복구해야 한다.
고유번호 AIF-005 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭 AI Agent 생성·승인·배포·실행 관리 요구사항상세설명 세부 내용
◦ 관리자가 AI Agent를 생성·복사·수정·중지·삭제하고 현재 운영 상태를 확인할 수 있는 기능을 제공하여야 한다.
◦ 관리자가 AI Agent별 담당 부서, 관리자, 승인자와 공개 범위를 설정하고 조회·수정·승인·실행 권한을 구분할 수 있는 기능을 제공하여야 한다.
◦ 관리자는 AI Agent가 사용할 AI 모델, 지시문, 내부 자료와 MCP 도구를 지정하고 허용된 항목만 사용하게 할 수 있는 기능을 제공하여야 한다.
◦ 시스템은 AI Agent 설정을 버전별로 보관하고 승인 후 배포하며 문제가 발생하면 이전 버전으로 복구할 수 있는 기능을 제공하여야 한다.
◦ 시스템은 AI Agent를 정해진 일정, 업무 이벤트 또는 API 호출로 실행하고 같은 요청이 중복 실행되지 않게 할 수 있는 기능을 제공하여야 한다.
◦ 사용자는 AI Agent의 실행상태를 조회하고 가능한 작업을 취소·재실행할 수 있는 기능을 제공하고, 시스템은 실패 사유를 제공해야 한다.
◦ 시스템은 AI Agent가 사용하는 API 토큰과 비밀번호를 안전하게 보관하고 화면과 로그에 원문을 표시하지 않도록 해야 한다.
◦ 시스템은 AD의 부서이동·휴직·퇴직 정보를 반영하여 AI Agent 관리 권한과 연결된 내부 자료·MCP·비밀 정보 접근 권한을 즉시 회수해야 한다.
◦ 관리자는 AI Agent 실행 건별로 사용한 모델, 지시문, 내부 자료, 도구, 처리시간, Amazon Bedrock 이용료와 실패단계를 확인할 수 있어야 한다.
고유번호 AIF-006 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭 기관 내부 AI 포털의 대화 및 답변 기능 요구사항상세설명 세부 내용
◦ 시스템은 금융보안원 내부 네트워크에서 접속하는 AI 포털을 통해 사용자가 자연어로 질문하고 앞선 대화 내용을 이어서 추가 질문할 수 있게 해야 한다.
◦ 외부 인터넷에서는 AI 포털에 직접 접속할 수 없게 해야 한다.
◦ 시스템은 사용자가 로그인 후 AI 포털에서 새 대화를 만들고 제목변경, 검색, 보관과 삭제를 수행할 수 있게 해야 한다. 다른 사용자의 대화는 공유 또는 초대 권한이 없는 경우 표시하지 않아야 한다.
◦ 사용자는 답변 생성을 중지하거나 다시 생성할 수 있어야 한다. 시스템은 이전 답변과 새 답변을 구분하여 보관해야 한다.
◦ AI 포털은 금융보안원 내부 AI Gateway를 통해 AWS에 구축된 해당 용도의 RAG 환경과 Amazon Bedrock을 호출해야 한다. 사용자의 웹브라우저가 AWS의 RAG 환경과 Amazon Bedrock에 직접 연결되지 않도록 해야 한다.
◦ 시스템은 사용자가 접근할 수 있는 AWS의 RAG 자료만 답변에 사용해야 한다. 답변에 사용한 자료명, 최신 반영 시점과 인용 위치를 표시하고 사용자가 권한 범위에서 원문을 확인할 수 있게 해야 한다.
◦ 사용자는 개인 지시문을 저장·변경·삭제할 수 있어야 한다. 시스템은 개인 지시문에 비밀번호, API 키와 개인정보를 입력하거나 저장하지 않도록 경고하고 정책에 따라 차단해야 한다.
◦ 시스템은 답변을 복사하거나 파일로 저장할 때 한글, 표, 출처와 보안표시가 유지되게 해야 한다.
◦ 사용자는 답변의 오류, 유해성 또는 부정확한 근거를 신고할 수 있어야 한다. 관리자는 신고 내용, 처리 상태와 조치 결과를 관리해야 한다.
◦ 시스템은 금융보안원이 지정한 PC 운영 환경과 웹브라우저에서 AI 포털의 사용자 및 관리자 기능을 정상 제공해야 한다. 화면 크기가 달라져도 주요 메뉴, 입력창, 표와 알림이 잘리거나 겹치지 않아야 한다.
◦ 시스템은 대화가 길어질 경우 컨텍스트 압축 기능을 제공하여야 한다.
고유번호 AIF-007 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭 파일 첨부·분석·업로드 관리 요구사항상세설명 세부 내용
◦ 시스템은 실제 업로드 되는 파일의 확장자 및 파일 형식을 확인하고, 관리자가 업로드할 수 있는 확장자를 제한할 수 있는 기능을 제공하여야 한다.
◦ 관리자는 파일 1개당 용량, 한 번에 올릴 수 있는 파일 수와 전체 용량을 설정할 수 있어야 하며, 시스템은 제한을 초과한 파일을 차단해야 한다.
◦ 관리자는 사용자·부서·서비스별로 서로 다른 파일 업로드 제한을 적용하고 공통 차단정책을 우회하지 못하게 해야 한다.
◦ 시스템은 파일 형식, 용량과 개수를 업로드 전에 확인하고 차단된 파일을 저장하거나 분석하지 않도록 해야 한다. 허용된 파일도 저장·분석 전에 악성코드를 검사하고 문제가 발견되면 처리를 차단하여 사용자와 관리자에게 사유를 알려야 한다.
◦ 관리자는 특정 사용자가 업로드할 수 있는 확장자를 관리할 수 있어야 하며, 이때 공통적으로 설정된 제한 파일 확장자보다 우선시 하여야 한다.
고유번호 AIF-008 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭
사용자별 Amazon Bedrock 사용 현황 및 예상 이용료 안내
요구사항상세설명 세부 내용
◦ 시스템은 사용자·부서·서비스별 Amazon Bedrock 호출 횟수, 사용량과 이용료 한도를 설정하고 초과 요청을 차단해야 한다.
◦ 사용자는 본인에게 적용되는 개인·부서·팀별 Amazon Bedrock 호출 횟수, 사용량, 이용료 한도, 현재 이용료, 남은 한도와 초기화 일시를 조회할 수 있어야 한다. 조회 기간과 서비스별 사용 내역을 확인할 수 있어야 하며 다른 조직의 정보는 볼 수 없도록 해야 한다.
◦ 시스템은 사용자가 요청을 보내기 전에 질문, 예상 답변과 첨부 파일 분량에 따른 Amazon Bedrock 예상 이용료를 계산해야 한다. 예상 이용료와 함께 적용 모델, 단가 적용일, 입력·출력 사용량 산정값과 실제 이용료가 달라질 수 있다는 안내를 표시해야 한다.
고유번호 AIF-009 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭 대화 공유·참여자 초대·담당자 이관 요구사항상세설명 세부 내용
◦ 시스템은 사용자가 대화 전체 또는 선택한 질문·답변을 특정 사용자와 공유할 수 있는 기능을 제공하여야 한다. 공유자는 열람 범위, 참여 가능 여부와 공유 기간을 설정하고 공유 취소가 가능하여야 한다.
◦ 시스템은 사용자가 진행 중인 대화에 다른 사용자를 초대하여 같은 대화에서 이어서 질문할 수 있게 해야 한다. 초대받은 사용자는 부여된 권한 범위에서만 이전 대화와 이후 대화를 확인해야 한다.
◦ 시스템은 사용자가 처리 중인 대화를 특정 담당자에게 이관할 수 있게 해야 한다. 이관받은 담당자는 기존 질문·답변과 허용된 첨부 자료를 확인하고 같은 대화에서 후속 처리를 수행할 수 있어야 한다.
◦ 시스템은 공유·초대·수락·취소·이관 내역을 기록해야 한다. 참여자가 접근할 수 없는 첨부 파일, RAG 자료와 인용 원문은 표시하지 않고 권한이 회수되면 기존 링크와 대화에서도 즉시 접근을 차단해야 한다.
고유번호 AIF-010 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭 기관 내부 AI 포털의 사용자·관리자 화면 요구사항상세설명 세부 내용
◦ 시스템은 로그인 시 사용자 검증을 위한 인증 방식을 적용하여야 한다. (인증방식은 AD 기반 ID/PWD 인증방식을 지원하여야 한다.)
◦ 시스템은 금융보안원 내부 네트워크에 설치된 AI 포털에서 사용자 화면과 관리자 화면을 제공해야 한다. 사용자와 관리자의 역할에 따라 이용 가능한 메뉴와 기능을 구분하여 표시해야 한다.
◦ 사용자는 본인에게 허용된 대화, AWS의 RAG 자료, AI Agent, Amazon Bedrock 사용량과 이용료 정보만 조회해야 한다. 관리자는 모델, 사용자·부서·팀·권한, API, RAG, AI Agent, MCP, 가드레일과 사용 현황 등을 관리 화면에서 조회하고 설정할 수 있어야 한다.
◦ 시스템은 금융보안원이 지정한 웹브라우저에서 주요 기능이 정상적으로 동작하고 사용자가 쉽게 이용할 수 있는 화면을 제공해야 한다.
◦ 관리자는 관리자 화면에 접속할 수 있는 내부 IP 주소와 주소 대역을 설정해야 한다. 시스템은 실제 접속 IP를 확인하여 허용되지 않은 접속을 로그인 전에 차단하고 접속 시각, 사용자, IP와 차단 사유를 기록해야 한다.
◦ 시스템은 관리자 로그인과 사용자·권한·자료·API 토큰·보안 정책 등 중요 설정을 변경할 때 추가 확인을 받아야 한다. AD 장애 시에는 사전에 승인된 비상 관리자 계정만 허용된 내부 IP에서 사용할 수 있게 하고 사용 즉시 보안 담당자에게 통보하며 전체 이용 내역을 기록해야 한다.
고유번호 AIF-011 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭 감사 기록·채팅 열람·통계 및 보관 관리 요구사항상세설명 세부 내용
◦ 시스템은 로그인·로그아웃·접속 실패, 사용자·부서·팀·그룹·역할·권한 변경, RAG 자료 등록·변경·삭제, API 토큰과 주요 정책·설정 변경을 수행자, 시각, 접속 IP, 대상, 변경 전·후 값, 처리 결과와 실패 사유 등을 기록하고, 조회할 수 있도록 하여야 한다.
◦ AI 요청에 따른 요청자, 요청번호, 사용 모델, RAG·AI Agent·MCP 사용 여부, 가드레일 처리 결과와 성공·실패 여부 등을 기록 및 조회할 수 있도록 하여야 하며, 임의로 수정하거나 삭제하지 못하게 해야 한다.
◦ 관리자는 사용자의 채팅기록을 열람하기 전에 업무상 목적과 구체적인 사유를 입력해야 한다. 시스템은 사유를 입력하지 않은 열람을 제한하고 열람자, 대상 사용자, 열람 범위, 열람 사유와 열람 시각을 기록하여야 하며, 기록은 조회 가능하도록 하고, 임의 수정 또는 삭제하지 못하도록 하여야 한다.
◦ 시스템은 승인된 감사 담당자에게 지정된 범위의 조회전용 권한만 부여해야 한다. 개인정보, 인증 정보와 원문은 기본적으로 가리고 다운로드 제한, 열람기록, 권한 승인·회수와 정기점검을 적용해야 한다.
◦ 시스템은 부서·서비스·모델별 Amazon Bedrock 호출량, 사용량, 이용료, 응답 시간, 오류와 차단 현황을 조회하고 보고서로 내보낼 수 있게 해야 한다.
◦ 시스템은 장애, Amazon Bedrock 이용료 한도, 보안 차단, AD 동기화 실패와 인증 정보 만료를 지정된 담당자에게 알리고 발생 시각, 수신자와 처리 결과를 기록해야 한다.
◦ 관리자는 대화, 첨부 파일, RAG 검색 자료, 임시 자료와 로그의 보관기간을 자료 종류별로 설정해야 한다. 시스템은 보관기간이 지나면 승인된 삭제 기준에 따라 삭제하고 처리 결과를 기록해야 한다.
고유번호 AIF-012 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭 AI 입력·출력 보안 검사와 가드레일 요구사항상세설명 세부 내용
◦ 시스템은 AI 입·출력 검사를 위한 복수의 가드레일 연동을 제공하여야 한다.
◦ AI 가드레일에 의해 전송 정보가 차단될 경우 해당 사유를 사용자에게 알리고 기록하여야 한다.
고유번호 AIF-013 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭 AI 자료 보호와 이용 통제 요구사항상세설명 세부 내용
◦ AI 플랫폼은 질문, 답변, 첨부 파일, RAG 자료와 이용 기록을 저장하거나 전송할 때 암호화해야 하며, 암호키의 생성, 사용, 교체, 만료와 폐기 이력을 관리해야 한다.
◦ AI 플랫폼은 개인정보와 중요 정보를 업무에 필요한 최소 범위로 처리하기 위해 화면과 로그에는 필요한 범위만 표시하고 조회·수정·삭제·다운로드와 권한변경 이력을 보존해야 한다.
◦ Amazon Bedrock과 금융보안원 내부 AI 모델의 설정을 확인하여 질문, 답변, 첨부 파일, RAG 자료와 이용 기록이 모델 학습, 서비스 개선, 광고 또는 다른 고객 지원에 사용되지 않도록 하며, 관리자는 적용 상태와 설정 변경 이력을 조회할 수 있어야 한다.
고유번호 AIF-014 요구사항 분류 AI 플랫폼 기능 요구사항 요구사항 명칭
관리자용 Amazon Bedrock 사용량·이용료·한도 관리
요구사항상세설명 세부 내용
◦ 시스템은 Amazon Bedrock의 호출량, 사용량, 현재 이용료와 예상 이용료를 조회할 수 있게 해야 한다.
◦ 관리자는 사용자·부서·팀·서비스별 Amazon Bedrock 사용량과 이용료 한도를 설정하고, 한도 소진 전 알림 기준을 여러 단계로 설정할 수 있어야 한다.
◦ 시스템은 각 단계, 한도 도달 및 초과 시 현재 사용량, 한도, 예상 소진 시점과 대상 조직·서비스를 담당자에게 알리고 초과 요청을 차단해야 한다.
라. 시스템 연계 요구사항 고유번호 SIR-001 요구사항 분류 시스템 연계 요구사항 요구사항 명칭 AD 로그인·조직·사용자·권한 연계 요구사항상세설명 세부 내용
◦ 시스템은 AD의 사용자 ID, 이름, 부서, 팀, 직위, 재직 상태 등을 자동으로 가져와 최신 상태로 유지해야 하고, 관리자는 사용자와 조직 정보의 마지막 동기화 시각, 처리 결과와 오류 내역을 조회할 수 있어야 한다.
◦ 시스템은 금융보안원의 AD 계정으로 사용자와 관리자가 별도 회원가입 없이 로그인할 수 있게 하고, AD에서 사용중지·휴직·퇴직 처리된 계정의 로그인을 즉시 차단해야 한다.
◦ 관리자는 AD와 연계된 사용자, 부서, 팀과 그룹을 검색하고 조직 계층, 책임자, 구성원, 재직 상태, 서비스 이용 상태와 최근 로그인 시각을 조회 기능을 제공하여야 한다.
◦ 관리자는 역할별 조회·등록·변경·삭제·승인·운영 권한과 접근 가능한 메뉴, AI 기능, RAG 자료와 AI Agent 범위를 설정해야 하며, 해당 역할을 사용자·부서·팀과 AD 그룹에 부여가 가능하도록 하여야 한다.
◦ 시스템은 AD에서 부서이동·조직개편·겸직·휴직·퇴직 정보를 받은 후 60초 이내에 변경된 조직과 권한을 반영해야 한다. 이전 소속의 서비스, RAG, AI Agent와 자료 접근 권한을 회수하고 기존 로그인, 대화, 검색결과와 원문 링크에도 변경된 권한을 적용해야 한다.
◦ 관리자는 로그인 실패 허용 횟수, 접속 일시 제한, 미사용 자동 로그아웃 시간, 최대 접속 시간과 동시 접속 허용 기준을 설정 할 수 있어야 하며, 관리자는 특정 사용자의 접속을 즉시 종료할 수 있어야 한다.
◦ 시스템은 사용자·조직·역할·권한의 변경 전·후 값, 변경 시각, 처리 결과와 실패 사유를 기록하고 동기화 실패 시 담당자에게 즉시 통보해야 한다. 동기화에 실패한 동안에는 새 권한이나 확대된 권한을 부여하지 않도록 제한하고,복구 후 누락된 변경사항을 다시 반영할 수 있도록 하여야 한다.
고유번호 SIR-002 요구사항 분류 시스템 연계 요구사항 요구사항 명칭 DRM 문서 처리 연계 요구사항상세설명 세부 내용
◦ 업무시스템 서버에 금융보안원에서 사용중인 DRM 모듈을 도입·설치하고 서버 OS에서 동작하도록 구성해야 한다.
* Fasoo FED-N Server-Packager SDK 2식
◦ AI 플랫폼은 해당 연동모듈을 이용하여 현재 사용자에게 열람 권한이 있는 문서만 DRM 해제를 요청하고 해제된 내용을 문서분석과 RAG 등록 절차로 전달해야 한다.
◦ DRM 해제 또는 권한 확인에 실패한 문서는 저장·분석·등록하지 않고 실패 사유를 사용자에게 알려야 한다.
◦ 시스템은 임시 해제본을 처리 후 삭제하고 요청자, 대상문서, 성공·실패 결과와 처리 시각을 기록해야 한다.
고유번호 SIR-003 요구사항 분류 시스템 연계 요구사항 요구사항 명칭
기관 내부 AI Gateway의 업무 서버용 API와 토큰 관리
요구사항상세설명 세부 내용
◦ 관리자는 금융보안원 내부 AI Gateway에서 API의 이름, 용도, 담당 부서, 주소, 버전과 운영 상태를 등록하고 사용을 중지할 수 있어야 한다.
◦ 업무 서버 등에서 API를 호출할 수 있도록 구성하여야 하며, AWS의 RAG 환경과 Amazon Bedrock에 직접 접속되지 않도록 하여야 한다.
◦ 시스템은 업무 서버별 API 이용목적, 담당자, 사용환경, 필요기능과 사용 기간을 신청받고 승인된 범위만 허용해야 한다.
◦ 관리자는 업무 서버용 API 토큰의 시작일과 종료일을 설정해야 하며 시스템은 만료 전에 알리고 종료일이 지나면 자동으로 차단해야 한다.
◦ 시스템은 개발·시험·운영 용도별로 API 토큰을 구분하여 발급하고 교체·정지·회수된 토큰을 즉시 사용할 수 없게 해야 한다. API 토큰의 원문은 최초 발급 시에만 표시하고 저장할 때에는 원문을 확인할 수 없는 방식으로 보호해야 한다.
◦ 관리자는 API 토큰별로 사용할 수 있는 API와 AI 모델, 호출량과 Amazon Bedrock 이용료 한도를 설정해야 한다.
◦ 관리자는 API의 이전 버전과 새 버전의 병행 기간과 종료일을 설정하고 이용자에게 전환일정을 안내해야 한다.
◦ 시스템은 API 주소, 요청·응답항목, 인증방법, 오류코드, 요청 크기, 처리 제한시간, 호출량 제한과 호출방법을 문서로 제공하고 시험호출을 지원해야 한다. 관리자는 업무 서버별 요청 크기, 처리 제한시간과 호출량 제한을 설정할 수 있어야 한다.
◦ 시스템은 같은 요청 번호가 반복 전달되면 동일한 등록·실행을 중복 처리하지 않아야 하며 장시간 작업의 취소와 결과통보를 지원해야 한다.
◦ 시스템은 업무 서버가 사용자 화면을 거치지 않고 금융보안원 내부 AI Gateway API를 통해 AI 질문, AWS의 RAG 지식 모음과 문서의 등록·조회·수정·삭제·검색, AI Agent 실행·상태 조회·결과 조회를 요청할 수 있게 해야 한다.
◦ 시스템은 금융보안원 내부 AI Gateway에서 인증, 권한, 가드레일, 사용 기간, 호출량과 Amazon Bedrock 이용료 한도를 적용한 후 승인된 요청만 VPN 사설 경로를 통해 AWS의 RAG 환경과 Amazon Bedrock으로 전달해야 한다. 호출자, 요청 내용, 처리 결과와 실패 사유를 기록해야 한다.
◦ 시스템은 API 토큰과 호출 IP를 함께 확인하여 관리자가 등록한 내부 업무 서버 IP에서만 API 호출을 허용해야 한다. 모든 업무 서버 연계 API는 HTTPS로만 제공하고 HTTP 호출을 차단해야 한다.
고유번호 SIR-004 요구사항 분류 시스템 연계 요구사항 요구사항 명칭 MCP 서버·도구 연계 요구사항상세설명 세부 내용
◦ 관리자는 승인된 주소와 인증 방식만 사용하여 MCP 서버를 등록·변경·중지해야 한다. 시스템은 암호화된 통신으로 연결 상태를 확인하고 장애 또는 미승인 서버를 자동으로 차단해야 한다.
◦ 관리자는 MCP 도구별로 조회·등록·변경·삭제 권한, 입력 범위, 호출 횟수와 실행 시간을 설정해야 한다. 시스템은 입력값과 반환 자료를 검사하고 위험한 작업은 실행 전에 승인받도록 해야 한다.
◦ 시스템은 MCP 연결에 사용하는 개인·공용 인증 정보를 구분하여 안전하게 보관하고 만료·교체·회수를 관리해야 한다.
고유번호 SIR-005 요구사항 분류 시스템 연계 요구사항 요구사항 명칭 AWS·AI 플랫폼 로그의 보안 관제 연계 요구사항상세설명 세부 내용
◦ 시스템은 AWS와 금융보안원 내부 AI 포털과 AI Gateway에서 발생한 보안 및 운영 로그를 금융보안원이 승인한 경로를 통해 기존 통합 보안 관제 시스템으로 전달하도록 구성해야 한다.
◦ 관련 시스템의 시간을 동일한 기준으로 맞춰 로그 발생 순서를 확인할 수 있게 해야 한다.
◦ 로그 전송에 실패하면 임시 보관 후 자동으로 다시 전송하고 누락이 발생하면 담당자에게 알려야 한다.
◦ 로그는 최소 1년 또는 금융보안원 정책과 관련 법령에서 정한 기간 중 더 긴 기간 동안 보관하고 위변조 방지 기준을 적용해야 한다.
고유번호 SIR-006 요구사항 분류 시스템 연계 요구사항 요구사항 명칭 서버 보안 제품 설치·연계 요구사항상세설명 세부 내용
◦ AI 플랫폼 관련 서버에 아래 보안솔루션을 설치를 지원해야 한다.
- AhnLab EDR 2.0 : 4식 - AhnLab V3 EPP(1년) : 4식
- Hiware 서버 접근 통제(SAC) : 4식
- RedCastle (9core 이상) : 4식
◦ VPN 장비와 서버 보안 제품의 보안적합성 검증 대상 여부를 확인해야 하며, 검증 대상인 경우 금융보안원의 검토와 신청에 필요한 제품 정보, 인증 서류, 구성 정보와 보완자료를 제공해야 한다.
고유번호 SIR-007 요구사항 분류 시스템 연계 요구사항 요구사항 명칭 승인된 인터페이스와 파일 전송 통제 요구사항상세설명 세부 내용
◦ 시스템 연계 대상별 송신·수신 주체, 연계 자료, 전송주기, 통신방식, 인증, 암호화, 장애처리와 책임범위를 정의하여 금융보안원의 승인을 받아야 한다.
◦ 시스템은 승인되지 않은 데이터베이스 직접연결과 임의 API 연결을 차단하고 파일 전송 연계에는 악성코드 검사, 실제 파일 형식 확인, 전송승인과 전송 기록 관리를 적용해야 한다.
마. 보안 요구사항 고유번호 SER-001 요구사항 분류 보안 요구사항 요구사항 명칭 사업 보안 관리 계획 수립 요구사항상세설명 세부 내용
◦ 사업 착수 시 수행 조직과 업무별 보안책임, 참여 인력 관리, 자료·장비·계정 통제, 작업장 보안, 취약점 점검, 보안 사고 대응과 사업 종료 조치를 포함한 보안 관리 계획을 수립하여 금융보안원의 승인을 받아야 한다.
◦ 사업에 적용되는 법령, 금융분야 인공지능 보안 안내서, 클라우드 이용 관련 가이드와 금융보안원 보안 정책의 준수항목, 담당자, 이행방법과 확인자료를 보안 관리 계획에 포함해야 하며, 관련 법령이나 가이드가 변경되면 그 내용을 금융보안원에 알리고 영향이 있는 요구사항과 운영절차에 반영해야 한다.
고유번호 SER-002 요구사항 분류 보안 요구사항 요구사항 명칭 참여 인력 보안 관리 요구사항상세설명 세부 내용
◦ 사업 참여 인력에게 착수 전 보안 서약과 보안 교육을 실시하고 사업 기간 중 정기적으로 보안 교육을 반복해야 한다.
◦ 참여 인력 명단, 담당 업무와 접근 권한을 관리해야 하며, 주요 참여 인력을 변경하려면 금융보안원과 사전에 협의하고 업무·자료·권한을 인수인계해야 한다.
◦ 참여 인력이 변경되거나 사업에서 철수하면 해당 계정과 출입·자료 접근 권한을 즉시 회수하여 변경 내역을 금융보안원에 제출해야 한다.
고유번호 SER-003 요구사항 분류 보안 요구사항 요구사항 명칭 사업 자료 보호와 반출입 통제 요구사항상세설명 세부 내용
◦ 금융보안원에서 제공받거나 사업 중 생성한 문서, 설정정보, 계정정보, 소스코드, 로그와 시험 자료를 금융보안원이 승인한 공용 저장 장소에서만 보관하고 개인 PC에는 저장하지 않도록 해야 한다.
◦ 금융보안원의 사전승인 없이 해당 자료를 복사·촬영·출력·이메일 전송하거나 외부 저장소에 보관하지 않도록 하고 자료 수령·사용·반출·반환·파기 내역을 기록해야 한다.
고유번호 SER-004 요구사항 분류 보안 요구사항 요구사항 명칭 작업장·장비·저장 매체 보안 요구사항상세설명 세부 내용
◦ 사업 작업장 출입을 승인된 참여 인력으로 제한하고 작업용 PC와 서버에 화면잠금, 악성코드 방지, 보안 패치와 저장자료 암호화를 적용해야 한다.
◦ 개발용 장비의 인터넷 접속을 차단하고 외부 참여 인력에게 승인된 전용 장비를 사용하도록 해야 한다. 개인장비와 승인되지 않은 USB 등 이동식 저장 매체의 사용을 금지하고 장비·저장 매체의 반입, 반출과 폐기 내역을 관리해야 한다.
고유번호 SER-005 요구사항 분류 보안 요구사항 요구사항 명칭 계정·원격 접속·외부 서비스 통제 요구사항상세설명 세부 내용
◦ 참여 인력별 계정을 사용하고 담당 업무에 필요한 최소 권한만 부여해야 한다.
◦ 원격 접속은 금융보안원이 승인한 기간, 사용자, 단말, IP와 접속 방식으로 제한하고 접속·작업 기록을 남겨야 하며 금융보안원의 승인 없이 개인 이메일, 메신저, 생성형 AI와 외부 파일 공유 서비스를 사업 자료 처리에 사용하지 않도록 해야 한다.
고유번호 SER-006 요구사항 분류 보안 요구사항 요구사항 명칭 개발·배포 보안 관리 요구사항상세설명 세부 내용
◦ 추가 개발 프로그램과 연계모듈에 안전한 코딩기준을 적용하고 소스코드와 배포파일의 버전을 관리해야 한다.
◦ 소스코드에 비밀번호, API 키와 인증 정보를 직접 입력하지 않아야 하며 사용한 외부 라이브러리의 취약점과 라이선스를 점검해야 한다.
◦ 운영 반영 전에는 소스코드와 배포파일의 취약점·악성코드를 점검하고 승인, 백업과 이전 버전 복구 절차를 수행해야 한다.
고유번호 SER-007 요구사항 분류 보안 요구사항 요구사항 명칭 취약점 점검 및 보완 요구사항상세설명 세부 내용
◦ 운영 전과 주요 변경 후 구축한 제품, AWS 설정과 연계구간의 취약점을 확인하고 발견된 문제를 조치해야 한다.
◦ 금융보안원이 수행하는 정기 또는 추가 보안점검에 필요한 계정, 대상목록, 구성 정보와 로그를 제공하고 지적사항을 정해진 기한 내에 보완해야 한다.
고유번호 SER-008 요구사항 분류 보안 요구사항 요구사항 명칭 보안 사고 보고와 대응 요구사항상세설명 세부 내용
◦ 자료 유출, 악성코드 감염, 계정도용, 무단접속, 장비 분실과 보안 정책 위반을 발견하면 즉시 금융보안원에 지체없이 보고하고 추가 피해를 막기 위한 차단조치를 수행해야 하며, 관련 로그와 증거를 보존하고 원인, 영향 범위, 조치 결과와 재발 방지 대책을 제출해야 한다.
◦ 운영 전과 금융보안원이 정한 주기에 따라 재해복구·비상대응·침해사고 대응훈련을 수행하거나 금융보안원이 실시하는 훈련을 지원해야 한다. 훈련 결과와 개선조치 내역을 금융보안원에 제출해야 한다.
고유번호 SER-009 요구사항 분류 보안 요구사항 요구사항 명칭 사업 종료 보안 조치 요구사항상세설명 세부 내용
◦ 사업 종료 또는 참여 종료 시 금융보안원 자료와 사본을 반환하거나 금융보안원의 승인을 받아 복구할 수 없도록 삭제해야 한다.
◦ 사업자는 참여 인력 계정과 원격 접속 권한을 회수하고 설치한 임시 도구, 시험 계정과 작업 파일을 제거한 후 대표자와 참여 인력의 보안 확약을 포함한 반환·삭제·권한 회수 결과를 금융보안원에 제출해야 한다.
바. 시험 및 전환 요구사항 고유번호 TTR-001 요구사항 분류 시험 및 전환 요구사항 요구사항 명칭 기능 및 시스템 연계 시험 요구사항상세설명 세부 내용
◦ 사용자 기능, 관리자 기능, AI 포털, AI Gateway, AWS의 RAG 환경, Amazon Bedrock과 외부 연계 기능이 요구사항에 따라 동작하는지 시험해야 한다.
◦ 시스템은 내부에서 접수된 질문과 API 요청이 VPN 사설 경로를 통해 해당 AWS VPC에서 처리되고 결과가 다시 내부로 반환되는지 확인해야 한다. 사용자와 업무 서버가 AWS에 직접 접속할 수 없는지도 확인해야 한다.
◦ 주요 기능과 연계 시험의 예상결과, 실제결과와 조치내용을 기록하고 실패항목은 보완 후 재시험해야 한다.
◦ 시험에는 AD 부서 이동·휴직·퇴직에 따른 권한 회수, RAG 등록·조회·수정·삭제·검색과 권한별 검색결과, DRM 처리, ZIP·위장 확장자·용량초과 파일의 저장 전 차단, 관리자 IP 제한, 채팅기록 열람 사유 입력, API 토큰 기간·허용 IP·HTTPS, 대화 공유·초대·이관, AI Agent·MCP·가드레일, Amazon Bedrock 예상 이용료·한도·알림 기능을 포함해야 한다.
고유번호 TTR-002 요구사항 분류 시험 및 전환 요구사항 요구사항 명칭 성능·용량·부하 시험 요구사항상세설명 세부 내용
◦ 주요 서비스별 동시 사용자 수, 응답 시간, 처리량, 자원 사용률과 복구 성능의 목표값을 제안서에 제시하고 상세 설계 단계에서 금융보안원의 승인을 받아야 한다.
◦ AWS, AI 플랫폼, 금융보안원이 제공하는 내부 AI 모델 환경, AD와 DRM 사이의 연결 성능을 금융보안원이 승인한 환경과 기준으로 통합 시험해야 한다. 가드레일을 적용한 상태에서 응답 시간과 처리량을 측정하고 승인된 목표값을 충족하는지 확인해야 한다.
고유번호 TTR-003 요구사항 분류 시험 및 전환 요구사항 요구사항 명칭 검수 전 보안·취약점 시험 요구사항상세설명 세부 내용
◦ 운영 개시 전 금융보안원에서 실시한 AWS 설정, AI 플랫폼, 서버, VPN과 연계구간의 보안 설정, 접근 통제, 취약점 결과 등을 조치해야 한다.
◦ 서비스 이용에 영향을 주는 보안 문제는 검수 전에 조치하고 금융보안원의 확인을 받아야 한다.
고유번호 TTR-004 요구사항 분류 시험 및 전환 요구사항 요구사항 명칭 요구사항·결함·검수 관리 요구사항상세설명 세부 내용
◦ 검수 전에 시험대상, 방법, 일정, 참여자와 합격기준을 포함한 검수시험 계획을 제출해야 한다. 금융보안원이 시험에 참여하거나 재시험을 요청하는 경우 사업자는 발견된 결함을 보완한 후 재시험해야 한다.
◦ 각 요구사항을 설계, 구현, 시험과 검수 결과에 연결하여 이행 여부를 확인해야 한다. 시험에서 발견된 결함은 중요도, 담당자, 조치기한과 재시험 결과를 관리하고 서비스 이용에 영향을 주는 중요 결함은 검수 전에 조치해야 한다.
고유번호 TTR-005 요구사항 분류 시험 및 전환 요구사항 요구사항 명칭 운영 전환·복구·초기 안정화 요구사항상세설명 세부 내용
◦ 서비스 개시 후 금융보안원과 협의한 안정화 기간 동안 오류와 성능 저하를 집중 점검하고 발견된 문제를 조치해야 한다.
사. 사업 관리 요구사항 고유번호 PMR-001 요구사항 분류 사업 관리 요구사항 요구사항 명칭 일정·이슈·위험·변경 관리 요구사항상세설명 세부 내용
◦ 구축 일정, 수행 항목, 산출물, 담당자와 완료 기준을 관리하고 주간 진행현황을 금융보안원에 보고해야 한다.
◦ 지연, 이슈와 위험이 발생하면 영향, 대응 방안과 처리 상태를 기록하고 중요한 사항은 정기보고를 기다리지 않고 금융보안원에 지체없이 알려야 한다.
◦ 요구사항 또는 설계 변경은 변경 사유, 영향 범위, 일정·비용 영향과 승인 결과를 관리하고 회의와 의사결정 결과를 회의록으로 남겨야 한다.
고유번호 PMR-002 요구사항 분류 사업 관리 요구사항 요구사항 명칭 산출물 작성·제출·승인 요구사항상세설명 세부 내용
◦ 산출물 목록, 작성시점, 검토자와 승인절차를 관리하고 변경된 설계와 설정을 최종 산출물에 반영해야 하며, 사업수행계획서를 계약 후 2주내 제출해야 한다
◦ 사업수행계획서, 요구사항 정의서와 추적표, 전체 구성도, 내부 네트워크 구성도, AWS 구성도, 데이터 흐름도, 보안 설계서, 화면, 데이터 설계서, API·AD·DRM·로그·MCP 연계 명세서, 기능·성능·보안 시험 계획서와 결과서, 백업·복구 시험 결과서, 운영 전환 계획서, 참여인력 보안서약서, 월간 운영보고서, 보안교육 결과, 취약점 점검 결과, 재해복구·침해사고 대응훈련 결과와 운영 매뉴얼 등을 작성하여 정해진 시점에 금융보안원의 승인 또는 확인을 받아야 한다.
◦ 구성도와 데이터 흐름도에는 내부 AI 포털과 AI Gateway, VPN 사설 연결, AWS 업무용·시스템용 VPC, RAG와 Amazon Bedrock의 배치위치와 주요 처리경로를 표시해야 한다.
◦ 구축내용, 시험·검수 결과, 발생문제와 조치 결과를 정리한 완료보고서를 사업 종료 전에 제출해야 한다.
고유번호 PMR-003 요구사항 분류 사업 관리 요구사항 요구사항 명칭 관리자·사용자 교육과 매뉴얼 요구사항상세설명 세부 내용
◦ 시스템 운영자, 관리자와 일반 사용자를 대상으로 구축 시 역할별 교육을 실시하고 운영 기간에는 연 1회 이상 무상 교육을 제공해야 한다.
◦ 교육대상, 일정, 내용, 방법, 교육환경, 교육 자료와 결과확인 방법을 포함한 교육계획서를 교육 전에 제출해야 한다.
◦ 실제 구축 화면을 기준으로 관리자 매뉴얼과 사용자 매뉴얼을 작성·제공해야 하며, 관리자 매뉴얼에는 계정·권한, RAG, 모델, API, AI Agent, MCP, 가드레일, 모니터링, 장애와 백업·복구 절차를 포함해야 한다.
◦ 처음 사용하는 사용자와 운영자가 매뉴얼만으로 주요 기능과 운영절차를 수행할 수 있는지 확인하고 부족한 내용을 보완해야 한다.
고유번호 PMR-004 요구사항 분류 사업 관리 요구사항 요구사항 명칭 제품·버전·라이선스 관리 요구사항상세설명 세부 내용
◦ 구축에 사용한 상용제품, 오픈소스, 라이브러리와 AWS 서비스의 제품명, 공급자, 버전, 라이선스, 사용범위, 기술 지원 종료일과 갱신조건을 목록으로 관리해야 한다. 사업에 필요한 상용제품의 라이선스와 구독은 금융보안원과 협의한 운영 기간 동안 중단 없이 유효하도록 확보해야 한다.
◦ 구축 시점에 기술 지원이 가능한 안정된 버전을 사용해야 한다. 제조사의 제품 로드맵, 판매 종료일, 기술 지원 종료일과 보안패치 정책을 확인하여 제출하고 계약 및 운영 예정 기간 중 지원 종료가 예상되면 영향과 대응 방안을 금융보안원에 제공해야 한다.
◦ 오픈소스 라이선스의 고지, 저작권, 소스공개와 재배포 조건을 확인하고 이행내역을 제출해야 한다. 시스템에는 보안업데이트와 취약점 조치가 가능한 구성 요소만 사용해야 한다.
◦ 버전 업그레이드와 패치 적용 전에 영향분석, 기능·보안 시험, 백업과 이전 버전 복구계획을 수립해야 한다.
고유번호 PMR-005 요구사항 분류 사업 관리 요구사항 요구사항 명칭 운영 인계와 기술 이전 요구사항상세설명 세부 내용
◦ 계정, 네트워크, 보안 설정, 제품설정, 백업, 관리자·사용자 매뉴얼, 연계 명세서, 교육 자료와 별도 개발한 소스코드, 스크립트, 설정 자료 및 배포 자료를 포함한 최종 인계 목록을 작성하여 금융보안원의 확인을 받아야 한다.
◦ 운영 담당자가 서비스 기동·중지, 계정·권한 관리, 백업·복구, 보안 정책 변경, 모니터링과 장애 초기 조치를 직접 수행할 수 있도록 기술 이전과 인계 시험을 수행해야 한다.
고유번호 PMR-006 요구사항 분류 사업 관리 요구사항 요구사항 명칭 초기 안정화·하자 보수 및 서비스 수준 관리 요구사항상세설명 세부 내용
◦ 서비스 개시 후 최소 1개월의 초기 안정화 기간을 운영해야 한다. 해당 기간 동안 AWS, VPN, AI 플랫폼, RAG와 연계 서비스의 오류, 성능 저하와 보안 문제를 집중 점검하고 발견된 문제를 조치해야 한다.
◦ 검수 완료일로부터 1년 동안 구축한 시스템의 결함 수정, 보안 패치, 장애 복구와 운영에 필요한 기술 지원을 추가 비용 없이 제공해야 한다.
◦ 시스템 가용성, 장애 통보, 초기 대응, 복구와 기술 지원에 관한 목표값, 측정방법과 보고주기를 금융보안원과 협의하여 정하고 이행현황을 관리해야 한다.
◦ 장애의 접수부터 처리 완료까지의 진행상태와 조치 결과를 기록하고 금융보안원에 보고해야 한다.
◦ 검수 완료 후 클라우드 서비스 이용 및 운영·관리 관련 서비스 수준 지표를 제안하고, 계약 체결 이후 상호 협의하여 서비스 수준 협약(SLA)을 체결하여야 한다.
* 서비스 수준 협약(SLA) 체결 시 보안 서비스수준협약을 포함할 것
◦ 서비스 수준 지표는 평가항목, 측정지표 등을 구체적으로 제시할 것
◦ (구축 단계) 본 사업 착수일부터 최종 검수 완료(합격)일까지 개발, 테스트, 데이터 이관, 시범 운영 등 시스템 구축 과정에서 발생하는 모든 클라우드 인프라 이용료(CSP 서비스 비용, 네트워크 트래픽 비용, 솔루션 라이선스 비용 등 일체)는 수행사(사업자)가 전액 부담하여야 한다.
◦ (운영 전환 단계) 본 사업의 최종 검수 완료(인수 완료) 익일부터 발생하는 클라우드 인프라 이용료는 금융보안원이 부담한다.
◦ (계정 및 이관) 사업자는 검수 완료 즉시 금융보안원 명의의 클라우드 계정 및 빌링(과금) 체계로 인계·전환하여야 하며, 행정적·기술적 지연 등 수행사의 귀책으로 인하여 추가 발생한 비용은 수행사가 부담한다.
<붙임2> 보 안 특 약
1. “계약업체”는 본 계약과 관련하여 알게 된 사항을 “금융보안원”의 승인 없이 제3자에게 유출하거나 다른 목적으로 사용하여서는 아니 되며, “계약업체”의 고용인에 대하여도 “금융보안원”이 요구하는 보안사항을 준수하도록 관리하여야 한다.
2. “계약업체”는 본 계약 이행 과정에서 취득한 자료와 정보에 관하여 계약 이행 중은 물론 계약 완료 후에도 이를 외부에 유출해서는 아니 되며, 본 계약 종료 시 “금융보안원”담당자의 입회하에 완전 폐기 또는 반납하여야 한다.
3. “계약업체”는 본 계약 이행 과정에서 취득한 자료와 정보(계약 이행에 사용되는 장비 및 <붙임1>의 유출금지 대상 정보 포함)를 유출할 경우 “금융보안원”은 “계약업체”를 부정당업체로 등록하여 입찰참여를 제한할 수 있다.
4. “계약업체”는 “금융보안원”이 보안 취약점의 보완을 요청하는 경우 동 취약점에 대한 개선을 완료하고 그 결과를 제출하여야 한다.
5. “계약업체”의 고용인이 <붙임2>의 보안위규 처리기준에서 정한 위규행위를 한 경우 “금융보안원”과 “계약업체”는 <붙임2>의 보안위규 처리기준에서 정한 처리기준에 따라 조치하며, “계약업체”는 <붙임3>의 보안위약금 부과기준에서 정한 바에 따라 금융보안원에 보안위약금을 현금으로 납부하여야 한다. 이 경우 보안위약금은 위약벌로서 “금융보안원”의 손해배상 청구에 영향을 미치지 아니한다.
첨 부 : 1. 유출금지 대상 정보 2. 보안위규 처리기준 3. 보안위약금 부과기준 [첨부1] 유출금지 대상 정보
1. 금보원 및 금보원 사원기관 소유 정보시스템의 내․외부 IP주소 현황
2. 세부 정보시스템 구성현황 및 정보통신망 구성도
3. 사용자계정․비밀번호 등 정보시스템 접근권한 정보
4. 취약점 분석․평가 관련 자료
5. 계약 중간·최종 결과물 및 관련 프로그램 소스코드
6. 금보원 보안시스템 및 정보보호시스템 도입 현황
7. 침입차단시스템․방지시스템(IPS) 등 정보보호제품 및 라우터․스위치 등 네트워크 장비 설정 정보
8. 「개인정보 보호법」 제2조 제1호의 개인정보
9. 비밀 및 대외비 자료
10. 그 밖에 금보원이 공개가 불가하다고 판단한 자료
[첨부2] 보안위규 처리기준 위규 수준 위 규 행 위 처리기준 심각
- <별첨1>의 유출금지 대상 정보 유출
- 시스템 구축 결과물이나 정보시스템에 대한 구조,
데이터베이스 등의 정보 유출
개인정보, 전자금융거래정보 등 중요정보 유출 및 유출시도
- 비공개 도안․설계도면 등의 정보 유출 내부 시스템에 대한 해킹 및 해킹시도
인가되지 않은 시스템 및 DB에 접근 및 접근시도
인위적인 악성코드 유포
기타 금융보안원 담당자가 “심각”에 해당되는 것으로 판단하는 사항
- 진행중인 계약
해지 및 입찰
참여제한
위규자 형사 고발
위규자 및 직속 감독자 등 중징계 (면직 포함) 요구
재발방지를 위한 조치계획 제출 위규자 대상 특별 보안교육 실시 중대
- 계약업무수행을 위해 금융보안원이 제공한 중요 업무 자료를 책상 위 등에 방치
- 계약업무수행을 위해 금융보안원이 제공한 중요 업무
자료를 휴지통․폐지함 등에 유기 또는 이면지 활용
- 개인정보․전자금융거래정보 등의 정보 및 업무자료를 책상 위 등에 방치 또는 업무용 단말기에 무단 저장
- 인가되지 않은 작업자의 내부 시스템 접근
- 통제구역 및 제한구역내 장비․시설 등 무단 사진촬영
- 업무망 및 인터넷망 분리의 우회 및 우회시도
- 인가되지 않은 휴대용 보조기억매체(USB 등)의 무단 반입․사용
- 인터넷 자료공유사이트 또는 개인 메일을 활용하여
사업 관련 자료 수발신
- 인터넷용PC에 금융보안원 업무 관련 자료의 저장
- 노트북, 태블릿PC 등을 무단 반입하여 업무용도로 사용
- 금융보안원이 설치한 단말기 보안프로그램의 삭제 및 우회 시도
- 외주용역 단말기의 무단 반출 및 반출시도
- 시스템개발 시 테스트데이터가 아닌 실 업무데이터 사용
- 인가되지 않은 무선 네트워크 구축 및 접속
기타 금융보안원 담당자가 “중대”에 해당되는 것으로 판단하는 사항
- 위규자 및 직속
감독자 등
중징계 - 재발방지를 위한 조치계획 제출 - 위규자 대상 특별 보안교육 실시 구분 위 규 사 항 처리기준 보통
- 캐비넷․서류함․책상 서랍 등을 개방한 채 퇴근
금융보안원 출입증의 분실 인가되지 않은 사이트에 무단 접속 PC를 켜 놓고 퇴근 - 단말기 패스워드 및 화면보호조치 미적용
- 서버 및 PC접속 비밀번호를 모니터 옆 등 외부에 노출
- 금융보안원 업무자료 등을 직원 승인 없이 열람, 복사, 인쇄
- 인가되지 않은 프로그램의 개발 및 사용
기타 금융보안원 담당자가 “보통”에 해당되는 것으로 판단하는 사항
- 위규자 및 직속
감독자 등 경징계
- 위규자 및 직속
감독자 사유서/
경위서 징구
- 위규자 대상 특별 보안교육 실시 경미 - 복사기․인쇄기 위에 서류 방치
- 단말기 접속 패스워드를 “1111”등 유추하기 쉬운 값으로 부여하여 사용
- 외주용역 관련 교육에 특별한 사유 없이 불참
금융보안원 출입증의 책상위 등 방치 보안점검표 미기재
기타 금융보안원 담당자가 “경미”에 해당되는 것으로 판단하는 사항
- 위규자 서면․ 구두 경고 등 조치
- 위규자 및 직속
감독자 사유서/
경위서 징구 [첨부3] 보안위약금 부과기준 1. 보안위약금 부과기준은 다음과 같다. 구분 위규 수준 A급 B급 C급 D급 심각 1건 중대 1건 보통 2건 이상 경미 3건 이상 보안 위약금 계약금액 × 20% 및 부정당업체 등록 계약금액 × 10% 계약금액 × 5% 계약금액 × 2.5%
2. 보안 위약금은 위약벌로서 본 계약에 의한 손해배상에 영향을 받지 않음
3. 계약기간중 발생한 위규건별 위약금액을 합산하여 계약종료 시 지출금액 조정을 통해 위약금을 정산함
<붙임3> 안 전 보 건 특 약
1. “계약업체”(이하 “수급인”이라 한다)는 소속 근로자 및 제3자 등의 산업재해 예방을 위해 중대재해처벌법, 산업안전보건법 등 기타 안전보건 관련 법령에 따른 안전보건조치를 충실히 이행하여야 하며, 사단법인 금융보안원(이하 “금융보안원”이라 한다)이 안전보건 관련 점검 요청 및 안전보건 관련 서류제출을 요청할 경우 적극 협조하여야 한다.
2. “수급인”은 산업안전보건법에 따른 안전보건관리체계를 구축하고, 본 사업을 수행하는 장소에서 적절한 안전보건관리를 수행하여야 한다.
3. “수급인”은 산업안전보건법에 의거 본 사업에 참여하는 소속 근로자에 대한 정기교육, 채용시의 교육, 작업내용 변경시의 교육, 특별교육 등을 실시하여야 한다. 또한, “금융보안원”은 관계법령에 따라 “수급인” 특별교육의 실시/확인을 점검할 수 있으며, “수급인”은 이에 따른 시정명령을 준수하여야 한다.
4. “수급인”은 유해 위험요인을 발굴하고 위험성을 감소시키기 위한 실행을 지속적으로 해야 하며, 이와 같은 위험성평가 등을 실시한 후 그 결과 및 개선대책을 “금융보안원”에게 통지하여야 한다.
5. “수급인”은 산업안전보건법에 따라 선임된 안전보건총괄책임자의 직무수행에 협조하여야 하고, 법령에 근거하여 실시하는 안전보건협의체 참석, 순회점검, 합동안전보건점검, 유해요인의 개선대책 실시에 적극 협조하여야 한다.
6. “수급인”은 산업안전보건법에 따라 제공받은 안전, 보건정보를 숙지하여 작업에 임하여야 한다.
<붙임4>
※ 본 제안서 양식을 참고하여 제안요청서의 요건 등에 적합하게 작성할 것
제안서 양식 1. 제안요지
※ 제안업체의 제안배경 및 제안요지 등을 중심으로 간략하게 기술
2. 회사소개 가. 연혁(소재지 명시) ― 설립일 ― 최근 3년간 매출액 ― 자본금 규모 ― 신용평가 등급 ― 기타 회사소개에 필요한 사항 나. 조직 및 인원
― 조직(전국적인 지원조직에 대해서도 명기할 것)
― 인력구조(전체인력 중심) ― 기술인력 보유 현황 다. 주요사업 및 주력분야
※ 제안사업 관련 제안사의 기술력을 제시할 것
라. 제안사업관련 주요사업실적
※ 기관명, 적용업무, 공급시기, 투입인력규모, 구축기간
3. 제안시스템 소개
※ 제안시스템(H/W 및 S/W)에 대해 아래항목 중 해당사항 및 기타 필요한 내용(관리방안 등)을 형식에 상관없이 제안시스템별로 구분하여 최대한 상세히 기술할 것
가. 모델명 나. 특징 및 장점 다. 제안 장비의 시장점유율 및 기술동향 라. 제안시스템 Life Cycle ※ H/W 및 S/W Life Cycle
※ 발표 시기, 단종시기(계획), 지원중단시기(계획), 장비 파손 시 대책 등
마. 시스템 구조
※ H/W 및 S/W 구성도, 부품별 기능 등을 상세히 설명
바. 시스템 성능
※ 성능측정치는 해당 장비에 적용되는 일반적인 성능측정단위를 기준으로 제시
※ 성능 계산법에 대해 상세히 설명하고 객관적인 자료를 제시
사. 시스템 확장성
※ 시스템 구성요소 중 확장 가능한 모든 요소에 대해 상세히 설명
아. 시스템 안정성, 보안성 자. 제안시스템의 장애 시 장애진단․복구방법
※ 진단 및 복구 Tool, 소요시간, 지원인력 및 기술지원 방안 등
차. 라이선스 정책
※ 일반 라이선스 정책 및 확장(추가구매), 백업시스템의 라이선스 지원 정책 등에 대하여 상세히 기술할 것
카. 제안시스템 단종 시 지원방안
※ 시스템 인수 후 5년 이내 제안 H/W 및 S/W 단종 시 지원방안 등
타. 기타(위의 사항에 언급되지 않은 사항 중 중요사항)
4. 시스템 구성 방안
※ 제안 시스템이 설치될 환경을 다각도로 분석하여 합리적인 구성 방안을 제시
※ 제안 시스템 설치, 이용, 패치, 업그레이드, 이전 설치 등과 관련된 라이선스 정책을 최대한 상세히 기술할 것(원 제조사의 라이선스 정책에 부합하지 않는 제안에 따라 발생하는 모든 책임은 계약업체에서 부담함)
5. 제안 시스템 품목명세 제 품 명 모 델 명
내
용 ( 기능요약 )
수량 6. 지원 사항 및 기타 가. 인력지원
※ 구축 시 투입 인력 및 구축 완료 후 안정화 시까지 단계별로 투입 인력 등 명시(상주, 비상주 구분 포함)
※ 구축 완료 후, 안정화, 기술지원 주체 및 범위 등에 대해 자세히 기재할 것
나. 교육지원
※ 제반기술 전달 방안, 개발자, 운영자 및 사용자 교육방안 등
※ 별도 연수 프로그램(과정명, 대상, 회수, 기간 등)을 포함하여 기재할 것
다. 도서지원 ※ 매뉴얼(제목, 수량), 정기간행물 등 라. 보수정비 지원방안
※ 보수정비범위(예방정비 및 장애정비 등), 계획, 절차, 수행인력 구성방안 등을 포함하여 상세히 기재할 것
마. 하자보증 방법 ― 하자보증 주체 ― 긴급을 요하는 하자정비 대책 ― 하자보증 및 보수정비 기술요원 보유현황 바. 보안대책
※ 본 프로젝트 관련 문서, 인원, 장비 등에 대한 물리적, 관리적, 기술적 보안대책 및 누출금지 대상 정보에 대한 보안 관리계획 등을 반드시 작성(“<별첨2> 보안특약 참고”)
사. 기타 지원사항 7. 주요계약조건 및 최소구비요건 충족 여부
※ 제안요청서 상에 명시된 주요계약조건 및 최소구비요건에 대해 세부항목별로 충족 여부를 표시하여 표 형태로 반드시 작성할 것
(예시) 구분 세부 내용 충족여부 (O, X) 주요계약조건 ◯ ◯ 최소구비요건 ◯ ◯ 8. 제안서 평가 관련 항목 요약
※ 제안서평가 항목과 관련된 내용을 요약하여 반드시 작성할 것
(예시) 평가부문 평가항목
평
가
기
준
관련 페이지 A A-1 관련된 모든 페이지 번호 표시 A-2 B B-1 B-2 <붙임5> 입 찰 참 가 신 청 서 입찰건명 AWS Bedrock 및 AI통합 포털 구축 입찰보증금
◯ 보증금액 : 금
원정 (￦
)
◯ 보증금률 :
%
◯ 납부방법 : 이행보증보험증권 사용인감 본 입찰에 사용할 인감을 다음과 같이 신고합니다. 대리인
본 입찰과 관련한 일체의 권한을 아래의 대리인에게 위임합니다.
(인) 성명 : 주민등록번호 : □□□□□□-□XXXXXX
본인은 금융보안원의 입찰공고 및 제안요청서 등 제반 사항을 모두 승낙하오며, 아래 붙임 서류를 구비하여 입찰 참가를 신청합니다.
붙 임 : 1. 이행보증보험증권 1부 2. 사업자등록증 사본(원본대조필) 1부 3. 인감증명서(법인/개인) 1부 4. 국세 및 지방세 완납 증명서 각 1부
5. 제안서 6부 및 제안서 내용 포함 CD 또는 USB(PDF 파일) 2매
6. 가격입찰서 1부(밀봉 날인)
2026년
월
일
업체(법인)명 : 사업자등록번호 :
대표자 :
(인) ＊인감(법인/개인) 날인
금융보안원 IT정보부장 귀중 <붙임6> 기술(제안서)평가 항목 평가부문 평가항목
평
가
기
준
프로젝트 전략 사업 이해도
사업 특성 및 목표에 대한 충분한 분석과 이해를 바탕으로 효과적이고 일관성 있는 전략과 방안을 제시하고 있는지를 평가한다.
추진전략
대내외 업무환경 및 위험요소 등을 고려하여 합리적이고 현실적인 프로젝트 추진 전략을 제시하는지를 평가한다.
일정계획
사업수행에 필요한 활동을 도출하여 정확한 활동 기간의 산정과 도출된 활동 간의 배열이 합리적인지, 각 활동에 적정 자원이 배분되어 있는지 등을 평가한다.
기밀보안
금융보안원에서 정한 보안정책(보안특약)을 준수하여 문서, 인력, 장비 등에 대한 보안 계획이 적절히 수립되어 있는지 등을 평가한다.
기능성 기능구현 완전성
최소구비요건, 제안요청서 등에서 요구하는 규격을 충족하고 필요한 기능을 안정적으로 제공하고 있는지를 평가한다.
상호 운용성
구축 시스템과 운영 소프트웨어가 원활하게 연동(데이터 교환, 인터페이스 요구 충족 등) 가능한지를 평가한다.
사용성 이용 편의성
사용자가 편리하게 이용할 수 있도록 일관되고 통합된 인터페이스를 제공하고 사용자의 요구에 맞게 화면구조 변경 등이 용이한지 여부를 평가한다.
상태파악 용이성
사용자가 수행하는 작업의 진행 상태를 쉽게 파악할 수 있는 화면 또는 기능 제공 여부를 평가한다.
학습 용이성
도움말, 매뉴얼 등을 통해 제품 기능 정보를 제공하여 학습이 용이한지 여부를 평가한다.
유지 보수성 업데이트 용이성
제품의 기능 또는 성능 향상을 위한 업데이트가 용이한지 여부를 평가한다.
운영 효율성
시스템 확장 또는 효율적 운영이 가능하도록 필요한 환경설정 및 구성 변경 등이 용이한지 여부를 평가한다.
교육훈련
시스템 개발, 운영 및 관리자 등을 위해 제공 및 지원하는 각종 교육훈련의 방법, 내용, 일정 및 조직 등에 대해 평가한다.
<붙임7> 가 격 입 찰 서 입 찰 명 AWS Bedrock 및 AI통합 포털 구축 제안가격 (부가세포함) 공 급 금 액
금
원정
(￦
)
※ 제안하는 공급금액은 AWS Bedrock 및 AI 포털 구축비(구축비, 라이선스 포함), 클라우드 서비스 예상 이용료(MSP관리 포함)를 포함해야 하며, 클라우드 서비스 예상 이용료는 구축 완료 이후 1년 기준으로 작성
금융보안원의 입찰공고에 따라 상기와 같이 가격을 제안합니다.
붙 임 : 제안가격 산출 세부내역서 1부
2026년
월
일
업체(법인)명 : 사업자등록번호 :
대표자 :
(인)
금융보안원 IT정보부장 귀하
※ 제안가격 산출 세부내역서를 포함하여 밀봉 날인 후 제출 (클라우드 서비스 예상 이용료 세부내역서에서 제시하는 가격은 별도 제출하는 서비스명세서(별첨8 양식)의 제안사 할인가격 및 제안사 할인율을 반드시 동일하게 적용할 것)
<붙임8> 서비스명세서(예시) 제품군 항목 상세 항목 사양 단위 클라우드 서비스 가격 (원, 부가세포함) vCPU RAM (GB) Disk (GB) 기타 CSP 공시가격 제안사 할인가격 제안사 할인율 (%) 컴퓨팅 머신 일반 가상 서버 (Linux Server) 가상 서버 A 1 1 64 1대/월 가상 서버 B 2 4 128 ... ... ... ... ... ... ... ... 일반 가상 서버 (Windows Server) 가상 서버 A 1 1 64 1대/월 가상 서버 B 2 4 128 ... ... ... ... ... ... ... ... DB 서버 가상 서버 A 4 16 256 1대/월 가상 서버 B 8 32 512 ... ... ... ... 스토 리지 가상 디스크 HDD 예) 볼륨당 최대 IOPS: ○○ 100GB/월 SSD ... 보안 웹방화벽
예) OWASP 핵심 규칙 집합 기반 사용자 정의 규칙 지원
100GB/월 백업 예) VM 백업 (Daily Backup) 1서버 /월 방화벽 ... 1대/월 백신 ... 1식/월 네트 워크 로드 밸런서 L7로드밸런서 예) HTTP, HTTPS 지원 100GB/월 L4로드밸런서 예) TCP 지원 100GB/월 퍼블릭 고정 IP 주소 IPv4 퍼블릭 고정 주소 1개/월 네트워크 사용 요금 클라우드 Outbound 통신 요금 1TB/월 클라우드 Inbound 통신 요금 무료 무료 무료 - VPN 서비스
예) IPSec, Site to Site와 Site to Point 지원
1연결/월 관리/지원 서비스
예) Standard, 24x7 모니터링, 이슈/장애 처리, 월 정기 점검
%
※ 위 표에 분류되지 않은 항목은 대분류 항목에 맞게 추가하여 기재하고, 해당사항이 없는 경우 N/A로 표시할 것
※ 클라우드 서비스 가격 관련 사항
◦ CSP 공시가격(CSP가 외부에 공개한 제품의 가격)은 CSP 공시가격 정책 및 환율 변동, 컴퓨팅 리스스·사용량 변동, 네트워크 트래픽 증감 등에 따라 변동될 수 있음
- 단, CSP 공시가격이 변동되더라도 입찰 참가 시 제출하는 서비스명세서의 제안사 할인율은 동일하게 적용하여 제안사 할인가격을 산정함
◦ 제품군별 제안사 할인율은 동일하게 적용하여야 하며, 서비스명세서에 명시되지 않은 자원을 증설하는 경우, 해당 제품군 증설 시점의 CSP 공시가격에 동일한 제안사 할인율을 적용하여 제안사 할인가격을 산정함