===== 공고문(2026년도 행정부서 홈페이지 보안 취약점 점검 용역).pdf =====
참조번호 : 262552
소액용역 수의계약 견적서 제출 안내 공고
1. 용역개요
가. 공 고 명 : 2027년도 행정부서 홈페이지 보안 취약점 점검 용역
나. 사업부서 : KAIST 정보보안팀
다. 용역기간 : 2027. 01. 01. ~ 2027. 12. 31.까지
라. 추정금액 : 39,500,000원(V.A.T 포함)
마. 예비가격 기초금액 : 38,700,000원(V.A.T 포함)
2. 견적서 제출방식
가. 나라장터를 통하여 총액으로 견적서를 제출하여야 합니다.
나. 수의(총액), 지역제한(대전광역시), 전자입찰, 총액입찰입니다.
다. 청렴계약제가 적용되는 용역으로 입찰자는 청렴계약서(서약서)를 제출하여야
합니다. 다만 나라장터를 이용하여 제출하는 경우에는 전자입찰서에‘청렴계약서
(서약서)’의 내용을 포함하고 있으므로 전자입찰서 제출로 청렴계약서(서약
서) 제출을 갈음합니다.
3. 견적서 제출 참가자격
가. 국가를 당사자로 하는 계약에 관한 법률시행령 제12조 및 동법 시행규칙 제
14조에서 정한 소정의 자격을 갖춘 업체로 입찰참가자격등록을 필하여야 합
니다.
나. 본 용역은 국가종합전자조달시스템(www.g2b.go.kr, 이하 G2B라 함)을 이용한 전
자입찰방식으로 집행되므로 G2B 입찰참가자격 등록업체만이 입찰에 참가할 수
있으며, 미자격자가 고의로 입찰에 참가, 국가계약법시행령 제76조 또는 입
찰에 관한 서류를 부정하게 행사한 자 또는 고의로 무효의 입찰을 한 자에
해당한다고 판단될 경우에는 관계규정에 따라 부정당업자로 제재할 수 있습
니다.
다.「국가종합전자조달시스템입찰참가자격등록규정」에 의하여 반드시 나라장터
(G2B)에 입찰서 제출 마감일 전일까지 소프트웨어사업자(컴퓨터관련서비스사
업, 업종코드 : 1468)로 입찰참가자격을 등록한 업체이어야 합니다.
라. 입찰공고일 기준 최근 3년 이내에 완료된 홈페이지(웹) 보안 취약점 점검
용역을 수행한 실적이 있는 업체이어야 합니다
※ 계약체결시 실적증빙서류를 제출하여야 하며, 미제출 시 낙찰자격이 박
탈됩니다.
마. 입찰공고일 전일부터 계약체결일까지 법인등기부상 본점 소재지(개인사업자
인 경우에는 사업자등록증 또는 관련 법령에 따른 허가·인가·면허·등
록·신고 등에 관련된 서류에 기재된 사업장의 소재지)를 계속 대전광역시
에 둔 자이어야 합니다.
바. 「중소기업기본법」제2조에 의한 소기업자로 「중소기업제품 구매촉진 및
판로지원에 관한 법률」시행령 제2조의2(중소기업자와 우선조달계약)에 따
라 “중소기업·소상공인 및 장애인기업 확인요령”에 의거 발급된「소기
업·소상공인 확인서」를 소지한 업체이어야 합니다.
사. 「중소기업제품구매촉진및판로지원에관한법률 제2조 제1호 가목에 따른 중소
기업으로 중소벤처기업부 공공구매 종합 정보망(SMPP)에 관련 기업 정보가
등록된 업체로서 입찰일 전일기준 유효기간 내에 있어야 합니다.
4. 현장설명
가. 별도의 현장설명은 없으며, 공고기간 중 과업지시서 열람으로 갈음합니다.
나. 과업지시서 등의 문의사항은 KAIST 정보보안팀(☎ 042-350-1391 / 변대철)(으)
로 문의하시기 바랍니다.
5. 견적서 제출 참가신청 및 입찰보증금
가. 입찰(견적서 제출) 참가자격이 있는 자가 3. 마호에 따라 입찰참가자격 등록
을 한 경우 입찰참가신청을 한 것으로 봅니다.
나. 입찰보증금은 입찰보증금 납부확약 내용이 명기된 입찰서 제출로 갈음하며,
낙찰자가 소정의 기일까지 정당한 사유 없이 계약을 체결치 않을 시에는 동
보증금은 우리원에 귀속합니다.
6. 견적서 제출
가. 이 입찰(견적서 제출)은 전자입찰로만 집행합니다.
나. 전자입찰은 ｢국가종합전자조달시스템 전자입찰특별유의서｣ 제7조 제1항 제
1-2호에 따라 나라장터 안전 입찰서비스를 이용하여 입찰서를 제출하여야 합
니다. 다만, 안전 입찰서비스 사용이 곤란한 자는 같은 항 제8호에 따라 예
외적으로 기존 웹방식으로 전자입찰서를 제출할 수 있습니다.
다. 견적서 제출기간 : 2026. 11. 12.(목) 11:00 ~ 2026. 11. 19.(목) 10:00
라. 견적서 제출 여부는 나라장터의 ‘전자문서함-보낸문서함’에서 확인하여야
합니다.
마. 입찰자는 전자입찰서 제출마감시간에 임박하여 입찰서를 제출하는 경우 입
찰서 및 내역서 암호화 과정 등에 다소 시간이 소요될 수 있으므로 충분한
시간을 갖고 입찰서를 제출하여 주시기 바랍니다.
바. 입찰자는 반드시 부가가치세를 포함하여 투찰하여야 하며, 낙찰자가 면세사
업자인 경우 낙찰금액에서 부가가치세 상당액을 차감한 금액을 계약금액으
로 합니다.
7. 공동계약(공동이행만 허용)
가. 공동수급체는 2개사 구성하여야, 모두 참가자격을 갖춘 업체이어야 합니다.
나. 대표업체는 대전광역시에 소재하고 지분율은 50% 이상이어야 합니다.
다. 협정서 제출기한 : 2026.11.18.(수) 18:00
8. 개찰
가. 개찰일시 : 2026. 11. 19.(목) 11:00
나. 개찰장소 : 국가종합전자조달시스템(나라장터)
9. 예정가격 및 계약상대자 결정
가. 본 용역은「(계약예규) 정부입찰·계약 집행기준」에 따라 예정가격의 88%
이상으로 견적서를 제출한 자 중 최저가격으로 견적서를 제출한 자를 계약
상대자로 결정합니다.
나. “가”호에 따라 계약상대자로 선정된 자가 계약예규 ｢정부입찰․계약 집행기
준｣ 제10조의2 제2항 각 호에 해당되는 경우에는 동 조항에 의거 차 순위 자를
계약상대자로 결정합니다.
다. 예정가격은 15개의 예비가격 중 4개를 추첨하여 산술평균한 가격으로 결정되
며, 예비가격 산출을 위한 기초금액은 전자입찰서 접수 개시 전까지 전자조달
시스템에 공개합니다.
라. 동일가격일 경우 전자조달시스템을 통한 자동 추첨으로 결정합니다.
마. 계약시 제출서류(입찰참가자격 증빙서류)
- 입찰참가자격 증빙서류[홈페이지(웹) 보안 취약점 점검 용역을 수행한 실적]
※ 사업수행실적은 실적증명서, 세금계산서 사본(원본대조필 날인), 계약서 사본(원본대
조필 날인) 등 증빙자료를 첨부하여 제출한 경우에 한해 인정
- 사업자등록증(해당업 등록증 포함)
- 법인등기부등본(개인사업자는 주민번호 뒷자리를 음영처리한 주민등록등본)
- 인감증명서(사용인감 사용시 사용인감계 포함).
- 국세 및 지방세 완납증명서,
- 건강장기요양보험료 납부증명서 또는 4대 사회보험료 완납증명서 1부
10. 「공직자의 이해충돌 방지법」제12조(수의계약 체결 제한 대상) 적용대상 입니다.
가. 이해충돌방지법 제12조 제1항 제1호~제9에 해당하는 사업자는 참가가 불가하오
니 반드시 해당여부를 확인 후 참가하시기 바랍니다.
※ 참가 시에는 공고서에 첨부된 [붙임] 양식(수의계약 체결 제한 여부 확인서)을
작성하여 제출하여야 합니다.
나. 이해충돌방지법 제12조 제1호 및 제2호에 해당하는 공직자는 아래와 같습니다.
¡ KAIST 고위공직자 : 배충식 총장
¡ 본 용역의 계약업무를 법령상·사실상 담당하는 소속 공직자
수요부서 계약부서
요청자 변대철 구매팀 이한권
계정책임자 김진형 구매팀장 양시정
사용책임자 김진형
11. 기타 유의사항
가. 예비가격기초금액과 개찰결과에 대한 정보는 나라장터 시스템의 ‘입찰정보
-용역-기초금액(공고현황-공고번호입력-검색-용역입찰공고 상세조회하단)과
개찰결과’에 게재됩니다.
나. 입찰(견적)에 참가하는 모든 업체는 공고내용, 과업지시서, 전자입찰특별유
의서 및 (G2B)이용 약관, 청렴계약이행을 위한 입찰특별유의서, 청렴계약이
행 특수조건 및 청렴계약이행 서약서의 내용을 숙지하고 입찰에 응하여야
하며, 미 숙지로 인한 책임은 입찰자에게 있습니다.
다. 전자입찰 참가 희망업체의 전산장비 준비부족 등의 사유로 인하여 전자입찰
등록 및 투찰이 곤란한 경우에는 투찰시간 마감 24시간 이전에 전자조달 콜
센터(☎1588-0800)에 문의하여 주시기 바라며, 문의를 하지 않아 발생되는
문제의 모든 책임은 입찰참가자에게 있습니다.
라. 입찰 및 계약 관련 부패행위나 불공정행위 등이 발생한 경우에는 한국과학
기술원 신문고(www.kaist.ac.kr → 홈페이지 하단 감사실 신문고) 또는 청탁
관리자([email protected])에게 신고하여 주시기 바랍니다.
마. 기타 용역내용에 관한사항은 KAIST 정보보안팀(☎ 042-350-1391 / 변대철),
입찰진행 관련 행정사항은 구매팀(☎042-350-2333/이한권)에 문의하시기 바
랍니다.
한국과학기술원 총장
【별지】퇴직자 영입현황 확인서
퇴 직 자 영 입 현 황 확 인 서
□ 공고번호 :
□ 입찰건명 :
1. 한국과학기술원 퇴직자(퇴직 후 2년이 경과하지 아니한 자)가 당사에 대
표이사 또는 임직원으로 (□ 근무를 하고, □ 근무를 하지 않고) 있습니다.
※ 상기 박스(□)에 체크(√)하고, 근무를 하는 경우 아래 표 작성
성 명 소 속 퇴직당시 직위 퇴직당시 근무부서 퇴직일
2. 상기 입찰에 있어 위에 제출한 내용은 사실이며, 만약 사실과 다를 경우
(축소, 누락 포함)에는 부정당업자로 입찰참가자격 제한조치 등의 불이익
처분을 받더라도 일체의 이의를 제기하지 아니할 것을 확약하고 이에
확인서를 제출합니다.
년 월 일
회 사 명 :
대 표 자 : (인)
한국과학기술원 총장 귀하
■ 공직자의 이해충돌 방지제도 운영지침 [별지 제10호 서식]
수의계약 체결 제한 여부 확인서
- 해당하는 [ ]에 √ 표시를 합니다. (1쪽)
발주기관 : KAIST 발주부서 : 구매팀 발주날짜
[ ] 공사 [●] 용역
발주자 발주내용(계약명): 2027년도 행정부서 홈페이지 보안 취약점 점검 용역
[ ] 물품 [ ] 기타
수의계약사유 : ‣ 국가계약법시행령 제26조 제1항 제5호 가목 수의계약 가능금액[●]
[ ] 개인 [ ] 법인
대표자 성명 회사명
계약상대자 [ ] 단체 [ ] 기타
(확인인) 연락처 주소
수의계약 체결 제한 확인사항
발주기관의 소속 고위공직자, 배우자, 고위공직자의 직계존속·비속
◯1
또는 생계를 같이하는 배우자의 직계존속·비속에 해당하는가?
[ ] 예 [ ] 아니오
[ ] 해당없음
계약 업무을 법령상·사실상 담당하는 공직자, 배우자, 공직자의 직계존속·비속 [ ] 예 [ ] 아니오
②
또는 생계를 같이하는 배우자의 직계존속·비속에 해당하는가? [ ] 해당없음
발주기관(산하기관)의 감독기관 소속 고위공직자, 배우자, 고위공직자의
[ ] 예 [ ] 아니오
◯3 직계존속·비속 또는 생계를 같이하는 배우자의 직계존속·비속에
[ ] 해당없음
해당하는가?
발주기관(자회사)의 모회사 소속 고위공직자, 배우자, 고위공직자의
[ ] 예 [ ] 아니오
◯4 직계존속·비속 또는 생계를 같이하는 배우자의 직계존속·비속에
[ ] 해당없음
해당하는가?
상임위원회 위원의 국회의원, 배우자, 국회의원의 직계존속·비속 [ ] 예 [ ] 아니오
◯5
또는 생계를 같이하는 배우자의 직계존속·비속에 해당하는가? [ ] 해당없음
공공기관을 감사 또는 조사하는 지방의회의 의원, 배우자, 의원의 직계존속·비속
◯6
또는 생계를 같이하는 배우자의 직계존속·비속에 해당하는가?
[ ] 예 [ ] 아니오
[●] 해당없음
◯1 부터 ◯6 까지 어느 하나에 해당하는 사람이 대표자인 법인 [ ] 예 [ ] 아니오
◯7
또는 단체에 해당하는가? [ ] 해당없음
◯1 부터 ◯6 까지 어느 하나에 해당하는 사람과 특수한 관계의
사업자(공직자, 배우자, 공직자의 직계존속·비속, 생계를 같이하는
배우자의 직계존속·비속이 단독으로 또는 합산하여 ◯1 발행주식 총수의 [ ] 예 [ ] 아니오
◯8
100분의 30 이상, ◯2 출자지분 총수의 100분의 30 이상, ◯3 자본금 [ ] 해당없음
총액의 100분의 50 이상을 소유하고 있는 법인 또는 단체)에
해당하는가?
「공직자의 이해충돌 방지법」제12조에 따른 수의계약 체결 제한에 대하여 위와 같이 확인합니다. 만약
위 사항이 사실과 다른 경우에는 어떠한 처벌이나 불이익도 감수할 것을 서약합니다.
2026년 월 일
업체명(법인): 계약상대자(확인인) 대표자 : (서명 또는 인)
210mm×297mm[일반용지 60g/㎡(재활용품)]
===== 과업지시서(행정부서 홈페이지 보안 취약점 점검 사업).hwp =====
2027년도 행정부서 홈페이지 보안 취약점 점검 사업
과 업 지 시 서 2026. 10 구분 부서 이름 전화번호 사업담당자 정보보안팀 변대철 042-350-1391 Ⅰ 과업개요
□ 사 업 명 : 2027년도 행정부서 홈페이지 보안 취약점 점검 사업
□ 사업부서 : 정보보안팀
□ 담 당 자 : 정보보안팀 변대철(1391)
□ 과업기간 : 2027.1.1 ~ 2027.12.31(1년)
□ 과업예산 : 39,500,000원(부가세 포함)
□ 과업범위 NO. 구분 업무 상세 1 정기점검 계획서 수립/서류 제출 - 점검 대상(홈페이지/서버) 협의 및 확정
- 37개 홈페이지/50개 서버에 대한 점검 일정 수립 (WBS)
투입인원 확정 및 보안서약서 및 비상연락망 제출
용역계약서 등 제반서류 일체 제출 (사업계획서)
2 정기/수시점검 실시
점검 전, 메일로 사전 안내 실시 (점검계획 안내문)
일정에 맞춰 정기/수시점검, 이행점검 실시
담당자 입회 하에 계획 인원 투입 및 점검 실시
정기점검 결과, 점검보고서 작성 후 유노출 방지를 위해 자료 삭제, 참여인원 보안관리
※ 과업 시, 과업지시서 내 [보안요구사항] 필히 준수
3 점검보고서 제출
점검결과 확인된 사항에 대해 점검보고서로 정리 (점검결과 보고)
담당자에게 확인서명을 받아 매월 제출
사업 종료 전 최종보고서 작성 후 담당자 확인서명을 받아 제출
Ⅱ 일 반 사 항
1. 본 과업지시서는 KAIST 행정부서 홈페이지(웹사이트, 서버)의 취약점 점검 및 모의해킹, 취약점 점검 결과에 대한 이력 관리에 대한 KAIST와 용역업체 간 용역 이행조건 및 제반사항에 있어 이행되어야 하는 세부 내용을 규정한다.
2. 사 업 명 : 2027년 행정부서 홈페이지 보안 취약점 점검 사업
3. 계약기간 : 2027.1.1 ∼ 2027.12.31(1년)
4. 과업 대상
가. KAIST 행정부서 홈페이지 및 서버 대상 보안 업무 수행 - 취약점 점검 및 모의해킹
(※ 진단범위: 주요정보통신기반시설 기술적 취약점 분석 평가 · 항목 참고)
진단대상 수량(식/개) 산출물 홈페이지/서버 홈페이지 서버 1) 진단결과 보고서(매월) 2) 최종보고서(계약완료 시) 37 50 나. 진단 홈페이지
* 홈페이지 상세 현황은 정보열람서약서를 작성한 후 방문열람 가능
(※ 매월 홈페이지/서버 진단대상은 정보보안팀 담당자와 협의 후 조정 가능)
5. 사업 참가 자격
○ 본 과업을 수행하기 위한 참가자격 조건은 아래사항을 모두 충족하는 업체이어야 함.
가. 「국가를 당사자로 하는 계약에 관한 법률」(이하 "국가계약법"이라 한다) 시행령 제12조 및 같은 법 시행규칙 제14조에 따른 경쟁입찰 참가자격을 갖춘 자로서, 같은 법 시행령 제76조에 따른 입찰참가자격 제한을 받고 있지 않은 자
나. 「소프트웨어 진흥법」 제58조에 따라 소프트웨어사업자(컴퓨터관련서비스사업, 업종코드: 1468)로 신고하고, 국가종합전자조달시스템(나라장터)에 해당 업종으로 입찰참가자격을 등록한 자
다. 「중소기업기본법」 제2조에 따른 중소기업자로서, 「중소기업제품 구매촉진 및 판로지원에 관한 법률」 및 같은 법 시행령에 따라 발급된 중·소기업·소상공인 확인서(전자입찰서 제출 마감일 전일까지 발급되고 유효기간 내에 있는 것)를 보유한 자
라. 본 사업은 「소프트웨어 진흥법」 제48조 및 「중소 소프트웨어사업자의 사업 참여 지원에 관한 지침」에 따라 대기업인 소프트웨어사업자의 참여가 제한되는 사업으로, 소프트웨어사업자 일반현황 관리확인서상 '공공 소프트웨어사업 입찰참여 제한금액'이 "없음"으로 확인되는 자
마. 입찰공고일 전일부터 계약체결일까지 법인등기부상 본점 소재지(개인사업자인 경우에는 사업자등록증 또는 관련 법령에 따른 허가·인가·면허·등록·신고 등에 관련된 서류에 기재된 사업장의 소재지)를 계속 대전광역시에 둔 자
바. 공고일 기준 최근 3년 이내에 완료된 홈페이지(웹) 보안 취약점 점검 용역 실적이 있는 자
사. 공동수급(컨소시엄) 입찰을 허용함(단, 지분율 50% 이상인 대표업체는 마.의 소재지 요건을 갖추어야 하며, 구성원은 마.를 제외한 가.~라.의 자격을 모두 갖추어야 함)
아. 본 과업은 하도급을 허용하지 않음 6. 유지보수 과업 수행에 관한 사항
: 계약업체는 “III. 보안점검 용역 수행 조건”을 준수하여 과업을 수행하여야 한다.
Ⅲ 보안점검 용역 수행 조건 1. 점검 구분
점검은 정기점검, 수시점검, 긴급지원으로 구분한다.
가. 정기점검
용역업체는 매월 1회 이상 점검 대상 홈페이지에 대하여 웹 취약점 점검 등 사전예방 점검을 실시하고, 그 결과를 해당 월 내에 발주기관에 보고하여야 한다.
나. 수시점검
용역업체는 정기점검 외에 발주기관이 요청하는 경우 수시점검을 실시하고, 그 결과를 발주기관에 보고하여야 한다.
다. 긴급지원
계약상대자는 침해사고 발생 또는 긴급지원 요청 시 요청을 받은 때부터 1시간 이내에 원격 또는 현장에서 대응하여야 하며, 점검 결과 및 조치사항을 발주기관에 보고하여야 한다.
2. 점검 및 지원 시간
가. 정기점검은 발주기관과 협의하여 정한 일정에 따라 실시한다.
나. 수시점검 및 긴급지원은 발주기관의 근무일 09:00~18:00에 발주기관의 요청(전화 또는 문서)에 따라 수행한다. 다만, 발주기관이 필요하다고 인정하는 경우에는 계약 당사자 간 협의하여 지원 시간을 조정할 수 있다.
3. 용역업체의 의무
가. 한국과학기술원은 용역업체 참여인력의 고의 또는 과실로 침해사고가 발생하거나 보안지침을 위반한 경우 해당 인력의 교체를 요구할 수 있으며, 용역업체는 정당한 사유가 없으면 이에 따라야 한다.
나. 용역업체는 정기점검 및 수시점검을 완료한 즉시 한국과학기술원 정보보안팀 담당자의 입회하에 점검 결과를 확인하고, 점검 결과보고서를 작성하여 담당자의 확인서명을 받아야 한다.
다. 정기점검, 수시점검 및 긴급지원에 소요되는 비용(웹 취약점 점검 및 이력관리 솔루션의 설치 및 업그레이드 비용을 포함한다)은 용역업체가 부담한다.
라. 용역업체는 계약체결일부터 10일 이내에 점검 수행계획서, 투입인력 현황, 비상연락망 등 계약서류에서 정한 서류를 한국과학기술원에 제출하여야 한다.
마. 용역업체는 과업 수행과 관련하여 취득한 한국과학기술원의 업무상 정보 및 점검 결과를 제3자에게 누설하거나 과업 외의 목적으로 사용하여서는 아니 된다.
바. 보안과 관련된 사항은 한국과학기술원의 정보보안지침 및 보안요구사항을 따르며, 용역업체는 한국과학기술원이 정한 보안서약서를 작성하여 제출하여야 한다.
4. 보안 요구사항 요구사항 분류 보안 요구사항 요구사항 고유번호 SER-001 요구사항 명칭 일반 준수사항 요구 사항 상세 설명 정의 일반 준수사항 세부 내용
○ 사업 착수 시점부터 종료시점까지 「국가정보보안지침」(국정원) 및 「정보보안 기본지침」(과학기술정보통신부), 「정보보안지침」(한국과학기술원) 등(이하 보안법규정)을 준수하여야 하며, 이를 위반하였을 경우 보안위규 처리기준에 따라 관련자에 대하여 조치하고 보안위약금 부과기준에 따라 손해배상 책임을 져야 한다.
○ 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제76조 제2항 제3호 다목에 따른 정보통신망 또는 정보시스템 구축 및 유지보수 등의 계약 이행과정에서 정보통신망 또는 정보시스템에 허가 없이 접속하거나 무단으로 정보를 수집할 수 있는 비인가 프로그램을 설치하거나 그러한 행위에 악용될 수 있는 정보통신망 또는 정보시스템의 약점을 고의로 생성 또는 방치하는 행위 등을 금지한다. 또한 계약기간(하자 보증기간을 포함한다) 내에 발생한 보안약점 등에 대해서 개선 조치하여야 한다.
○ 계약업체는 사업수행에 사용되는 인원, 장비, 자료 등에 대하여 물리적, 관리적, 기술적 보안대책 및 <표1>의 ‘누출금지정보’에 대한 보안관리 계획을 사업제안서에 기재하여야 하며, 해당 정보 누출 시 <표2>의 국가계약법시행령 관련조항에 의거, 해당업체는 부정당업자로 등록되어 용역사업 입찰 참가자격이 제한됨을 숙지하고 위의 사항을 준수 및 보안상 결격사항이 없도록 조치하여야 한다.
<표1> 누출금지정보 한국과학기술원 정보보안지침 제17조 제2항 ① 정보시스템 내ㆍ외부 IP주소 현황
② 정보시스템 구성 현황 및 정보통신망 구성도
③ 사용자의 계정ㆍ비밀번호 등 정보시스템 접근권한 정보
④ 정보통신망 또는 정보시스템 취약점 분석․평가 결과물
⑤ 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당)
⑥ 암호자재, 암호가 주 기능인 제품 및 정보보호시스템 도입ㆍ운용 현황
⑦ 정보보호시스템 및 네트워크장비 설정 정보
⑧ 「공공기관의 정보공개에 관한 법률」 제9조제1항에 따라 비공개 대상 정보로 분류된 해당 기관의 내부문서
⑨ 「개인정보보호법」 제2조제1호에 따른 개인정보
⑩ 「보안업무규정」 제4조의 비밀 및 「보안업무규정 시행규칙」 제16조 제3항에 따른 대외비
⑪ 그 밖에 한국과학기술원이 공개가 불가하다고 판단한 자료
※ 사업기간 중 공개불가 자료 발생 시 상호 합의하에 추가할 수 있음
<표2> 보안사항 위반에 따른 추후 입찰 참여에 대한 제재조치
한국과학기술원 정보보안지침 제33조 제2항
○ 계약업체는 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제76조 제2항 제3호 규정을 위반하여 <표1>의 누출금지 정보를 무단으로 누출할 경우 아래와 같이 입찰 참가자격이 제한된다.
‣ 정보 누출 횟수가 2회 이상인 경우 : 6개월
‣ 정보 누출 횟수가 1회인 경우 : 3개월
‣ 상기 이외의 경우에는 관련기관 및 상위 법률에 따른다.
○ 보안 위반에 대한 처리는 사업자 보안위규 처리 기준과 보안 위약금 부과 기준에 따른다.
○ 계약업체는 사업수행 과정에서 취득한 자료와 정보에 관해서 사업수행의 전후를 막론하고 한국과학기술원의 승인 없이 외부에 유출 또는 누설하여서는 아니 되며, 사업 종료 시에는 완전 폐기 또는 반납하여야 한다.
○ 과학기술정보통신부 및 국가정보원의 보안성 검토 결과에 따른 보안가이드를 준수하여야 하며, 사업수행 중 인원·자료·장비 등에 대한 아래의 보안 요구사항을 준수하여야 한다. 기타 사항은 한국과학기술원 정보보안지침에서 정하는 바에 따른다.
관련 요구사항 요구사항 분류 보안 요구사항 요구사항 고유번호 SER-002 요구사항 명칭 참여인원 보안관리 요구 사항 상세 설명 정의 참여인원 보안관리 세부 내용
○ 계약업체는 한국과학기술원의 정보화, 정보보호, 보안컨설팅, 시스템 구축 등을 용역사업 수행 시 사업 책임자와 협조하여 다음 각호의 사항을 포함한 보안대책을 수립, 이행하여야 한다.
가. 계약 시
- 용역사업 자체 또는 투입되는 자료·장비 등에 대한 대외보안이 필요한 경우 보안의 범위 및 책임을 명확히 하기 위해 사업수행계약서와 별도로 보안서약서 등 SER-008에서 명시한 보안서류를 작성해야 한다.
- 사업수행 인원은 계약업체 임의로 교체할 수 없으며 부득이한 사유로 신상변동사항(해외여행 포함) 발생 시 한국과학기술원에 즉시 보고해야 한다.
- 계약업체가 사업에 대한 하도급 계약을 체결할 경우 본 사업계약 수준의 비밀유지 조항을 포함토록 해야 한다.(하도급 계약에 대해서는 반드시 사업담당자와의 사전 협의 이후 실시한다)
나. 사업 착수 시
- 계약업체 대표자 및 사업참여자에 대해서 친필서명이 들어간 보안서약서를 제출하도록 한다.
- 계약업체는 용역사업 수행 전 참여인원에 대해 보안법규정에 의한 비밀유지의무 준수 및 위반 시 처벌내용 등에 대한 교육을 실시하여야 하며 완료 후 정보보안교육 확인서를 사업담당자에 제출하여야 한다.
※ 그 밖에 보안관리가 필요하다고 판단되는 사항이나 국가정보원장이 보안조치를 권고하는 사항 및 <표1>, <표2>에 대한 교육 병행
- 반입하는 장비에 대해 장비반입확인서를 제출하여야 한다.
- 단말기/서버/보안장비/네트워크장비 등 전산장비 및 S/W 납품 시 출처, 유통경로 및 제작자가 명확하지 않은 응용프로그램(백도어, 악성코드 등 비인가 SW)이 설치되어 있는지 확인하여 전산장비 보안 체크리스트 혹은 해당 내용을 포함한 검수확인서를 제출하여야 한다.
다. 사업수행 시
- 계약업체는 사업참여자의 보안의식 강화를 위해 수시로 자체 정보보안교육을 수행하고, 한국과학기술원이 요구하는 보안교육에 의무 참석하여야 한다.
- 계약업체에서는 한국과학기술원 상주인력 중 1명(PM 등)을 한국과학기술원 사업수행 기간 보안책임자로 지정하여 한국과학기술원 보안관리에 적극 협조하도록 하여야 한다.
- 사업수행 시 반입되는 모든 시스템은 시건장치로 시건하고 Key는 사업담당자가 관리한다.
- 사업수행 시 반입되는 모든 시스템은 반입, 반출 시 사업담당자의 사전 승인을 거쳐야 하며 관련 관리대장을 작성하여야 한다.
1) 서버, PC, 노트북 등 정보시스템
(반입 시) ①장비반입확인서, ②정보시스템 반출입대장, ③정보시스템 관리대장
(반출 시) ①자료완전삭제확인서, ②정보시스템 반출입대장, ③정보시스템 관리대장
2) 휴대용 저장매체(USB, 외장하드, CD 등)
(반입 시) 휴대용 저장매체 관리대장
(반출 시) ①자료완전삭제확인서, ②휴대용 저장매체 관리대장
- 사업수행 중 취득한 계정정보 등의 전자화를 금지한다.
- 정보시스템 유지관리 수행 시에는 정보시스템 유지관리 절차서에 따라 이행하여야 한다.
라. 사업 종료 시
- 계약업체는 한국과학기술원으로부터 제공받은 장비, 서류 및 중간·최종산출물 등 모든 자료를 전량 한국과학기술원에 반납하고 삭제하여야 한다.
※ 자료 복사본 등 별도 보관 금지
- 계약업체에서 업무수행 상 반입한 노트북·휴대용 저장매체 등 전자기록 저장매체를 통한 비공개자료 유출 방지를 위해 안전성을 검증한 삭제 S/W로 완전삭제 또는 포맷 조치, 자성소거 후 자료완전삭제확인서를 제출한 뒤 반출하여야 한다.
- 계약업체는 사업 관련 자료 회수 및 삭제조치 후에 업체가 산출물의 복사본 등 사업 관련 자료를 보유하고 있지 않으며 이를 위반한 경우 향후 법적 책임이 있음을 포함한 업체대표 및 사업참여자의 보안확약서를 한국과학기술원에 제출하여야 한다.
※ SER-008에서 명시한 보안서류를 사업 착수, 상시, 종료 시 작성하여 제출하여야 한다.
관련 요구사항 요구사항 분류 보안 요구사항 요구사항 고유번호 SER-003 요구사항 명칭 문서 및 전산자료 보안 요구 사항 상세 설명 정의 문서 및 전산자료 보안 세부 내용
○ 사업수행 과정에서 취득, 생산되는 정보, 산출물 및 기록은 사업수행 중에는 물론 사업 완료 후에도 이를 외부에 반출해서는 아니 된다.
가. 자료 보안 일반
- <표1>에 해당하는 사항은 비공개자료로 분류하여 관리해야 한다.
- <표1>의 자료 등 비공개자료 열람이 필요한 경우 반드시 인계자와 인수자가 직접 서명한 후 인계·인수해야 하며 자료 인계·인수 대장에 기록 관리한다.
- 사업수행으로 생산되는 산출물 및 기록은 정보보안담당관이 인가하지 않은 자에게 제공·대여·열람을 금지한다.
- 계약업체는 비공개자료 출력 시에는 출력물에 출력자, 출력일시 등을 표시하여야 한다.
- 계약업체가 비공개자료를 자체 보관·관리 시에는 지정된 별도 캐비닛(이하“비공개자료 캐비닛”이라 한다)에 보관·관리해야 한다.
- 계약업체는 비공개자료 캐비닛에 보관·관리되는 비공개자료의 목록을 현행화하여 관리해야 한다.
- 상주 사업의 경우 비공개자료는 매일 퇴근 시 반납하여야 하며, 비밀문서를 제외한 일반문서는 제공된 사무실의 시건장치가 있는 보관함에 보관하여야 한다.
- 신규 장비 구축 시에는 제조사에 의해 설정된 패스워드를 관리자가 즉시 변경하여 보안사고 취약 요소를 제거해야 한다.
- 신규 장비 구축 후 구 장비 폐기 시에는 저장 자료를 완전히 삭제한 후 폐기해야 한다.
나. 온라인 보안관리
- 계약업체가 업무상 필요에 의해 부득이하게 외부에서 전자우편 등으로 한국과학기술원과 자료 송수신이 필요한 경우에는 한국과학기술원 전자우편을 이용(자사메일 사용금지)하며, 첨부자료 암호화 후 수·발신해야 한다. 다만, 한국과학기술원 정보보안지침에 의한 비공개자료, 대외비 및 비밀자료는 전자우편을 통한 수·발신을 금지한다.
※ 사업담당자의 사전 승인 없이 업체 메일 사용할 경우, 보안정책 위반으로 간주한다.
- 사업 관련 자료는 인터넷 웹하드·P2P 등 인터넷 자료공유사이트 및 개인 메일함, 상용메신저 사용·저장을 금지한다.
- 사업수행 관련자료 및 사업과정에서 생산된 모든 산출물은 정보보안담당관이 지정한 PC 등 한국과학기술원 파일서버(반드시 인터넷과 분리)에 저장 관리해야 하며 계정관리 및 계정별 접근권한 부여 등을 통하여 접근을 제한하여야 한다. 상기 산출물은 계약업체의 개인 PC 등에 보관할 수 없다.
- 계약업체가 비공개자료 생성 시에는 통합파일서버의 비공개자료 폴더에 저장해야 하며, 업무별로 지정된 사용자만이 접속 가능하도록 접근권한을 제한해야 한다.
○ 사업 종료 후 생산된 최종산출물은 자료 인계·인수 대장과 함께 발주기관에 제출하고, PC 완전삭제 등 보안조치를 통해 사업관련 산출물(중간산출물 포함)을 모두 삭제해야 한다.
관련 요구사항 요구사항 분류 보안 요구사항 요구사항 고유번호 SER-004 요구사항 명칭 사무실 및 장비(매체)에 대한 보안관리 요구 사항 상세 설명 정의 사무실 및 장비(매체)에 대한 보안관리 세부 내용
○ 사업을 수행하는 장소(이하 작업장소)는 CCTV·시건장치 등 비인가자 출입통제 대책이 마련된 사무실을 사용하여야 한다.
○ 작업장소에서 사용하는 모든 정보시스템에 대하여 정보시스템 관리대장을 작성하고 변경사항에 대해 현행화하여야 한다.
○ 계약업체는 휴대용 저장매체(USB, 외장하드 등)의 사용을 금지하며 산출물 저장 등 불가피한 경우 사업담당자의 승인하에 휴대용 저장매체 관리대장에 등록 후 사용한다.
○ 계약업체는 작업장소에 대하여 용역사업 보안점검 리스트에 따른 보안점검을 정기적으로 실시해야 하며, 결과에 대한 사업담당자의 확인 및 개선 조치 요구에 따라야 한다.
○ 계약업체는 노트북 및 PC에 전원기동(CMOS) 패스워드, 운영체제 로그인 패스워드, 화면보호기(10분 간격) 등을 설정하여야 하며, 패스워드는 영문자·숫자·특수문자가 조합된 10자리 이상으로 설정하여야 한다.
○ 계약업체는 용역사업에 이용되는 노트북, PC 등에 바이러스 백신 정품 S/W를 설치하고, 자동 업데이트, 실시간 점검을 수행하는지 수시로 점검하여야 한다.
○ 계약업체는 PC, 노트북 및 USB 등 휴대용 저장매체를 한국과학기술원 내·외로 반출·입 할 수 없다. 단, 한국과학기술원 정보보안담당관이 그 필요성을 인정한 경우에 한하여 반출·입 절차에 따라 반·출입할 수 있다.
○ 사업 참여자의 비인가 휴대용 저장매체(USB, CD/DVD, 스마트폰, 태블릿 PC, MP3 등)가 작업장소 내 정보시스템에 연결되는 것을 기술적으로 차단하고, 월1회 정상동작 여부를 점검·조치하여야 한다.
- 부득이하게 CD-RW 등의 보조기억매체를 사용할 때는 정보보안담당관의 승인하에 제한된 PC에서만 사용하여야 한다.
○ 사업수행 중 사업인력 및 작업장소에 대한 정보보안주무부서의 보안점검을 받아야 하며, 적발된 보안 미흡 사항에 대해 시정하여야 한다.
○ 원격지 작업을 수행하는 사업의 경우 아래 사항을 추가로 따라야 한다.
- 계약업체가 발주기관 이외 장소(원격지)에서 작업을 수행하고자 요청할 때는 작업장소에 대한 보안 요구사항 등을 포함한 관리적, 기술적 보안대책을 수립해야 한다.
- 작업장소 내 정보시스템의 인터넷 연결이 불가피한 경우, 사전 협의 후 사업담당자의 보안통제하에 인터넷 연결이 가능하다.
- 원격지 작업이 필요한 경우, 사전에 사업담당자 및 정보보안담당관의 승인을 거쳐 진행하는 것이 원칙이며 사전 협의 시 원격 작업 보안 증빙을 제출해야 한다.
- 증빙자료 내 필첨 사항
① 작업장소 비인가자 출입통제 : 출입문 앞 CCTV 사진
② 독립 공간 증빙 : 출입문의 OO수행장소 표기 등
③ 시건장치가 탑재된 사무실 출입문 사진 : 도어락 등
④ 사업 관련 관리대장 사진 : 작업장소 출입 관리대장, 정보시스템 반출·입 대장, 정보시스템 관리대장, 휴대용 저장매체 관리대장, 자료 인계·인수 대장 등
⑤ 사업에 사용하려는 모든 PC, 노트북 사진
⑥ 시건장치가 탑재된 서류보관함 사진
- 정보시스템 HDD의 비인가 반출을 방지하기 위하여 봉인 표를 부착하여 주기적으로 점검하여야 하며, 작업장소를 기준으로 반출·입 되는 모든 정보시스템(휴대용 저장매체 포함)은 반드시 정보시스템 반출·입 대장에 기록해야 한다.
※ 정보시스템 및 저장매체 등 반입 시 바이러스 백신 프로그램으로 악성코드 감염여부를 확인하고 반출 시 사업부서장의 확인 하에 포맷하여 반출하여야 한다.
- 작업장소의 승인된 노트북, USB 등 휴대용 저장매체를 퇴근 시 확인하여 무단반출을 차단하여야 한다.
- 사업담당자는 보안대책을 수립한 후에 정보보안담당관의 승인을 받아야 한다.
- 사업담당자는 계약업체의 원격지 작업과 관련한 보안대책 이행 여부를 정기 또는 수시로 점검(불시점검 포함)해야 하며, 점검결과를 정보보안담당관에게 통보해야 한다.
관련 요구사항 요구사항 분류 보안 요구사항 요구사항 고유번호 SER-005 요구사항 명칭 내·외부 망 접근에 대한 보안관리 요구 사항 상세 설명 정의 내·외부 망 접근에 대한 보안관리 세부 내용
○ 계약업체 사용 전산망은 기관 보안장비 등을 활용하여 한국과학기술원 업무망과 분리 구성하고 업무상 필요한 서버에만 제한적 접근을 허용한다.
○ 작업장소는 업무망과 인터넷망을 분리하고, PC는 업무망과 인터넷망을 혼용해서는 안 되며, 인터넷은 국가정보통신망을 사용하여야 한다.
○ 한국과학기술원 내부망에 대한 접속은 반드시 기관의 승인을 득한 후 사용하여야 한다.
- 사업장 PC는 기본적으로 인터넷 연결을 금지하며 사업수행에 필요한 원내 사이트만을 접속할 수 있다. 단, 불가피하게 인터넷 사용이 필요한 경우는 보안책임자가 인터넷 사용 신청서를 작성하여 정보보안담당관의 승인을 득한 후 방화벽 등 보안장비의 통제하에 사용하여야 한다.
- 계약업체는 인터넷 이용 시 접속이 제한된 사이트 및 인터넷 파일공유사이트 등에 접속을 시도하여서는 아니 된다.
※ P2P, 웹하드 등 인터넷 자료공유사이트 접속 및 상용메일, 메신저 사용 등은 허용이 불가하며 기술적으로 차단된다.
○ 사업참여자가 한국과학기술원 정보시스템에 접근하는 경우 용역 계정관리 대장을 통해 사업참여자 계정에 대한 기록 관리한다.
- 계약업체는 정보시스템 사용자계정 이용 시 부여된 권한 이외의 접근을 하여서는 아니 되며, 부여된 패스워드는 임의 변경 및 타인에게 알려서는 아니 된다.
- 정보시스템 관리, 개인정보 및 중요정보 관리 등의 특수 목적을 위해 사용하는 계정 및 권한은 최소한으로 부여하고 별도로 식별·통제하여야 한다.
- 정보시스템과 개인정보 및 중요정보에 접근하는 사용자계정의 등록·이용·삭제 및 접근권한의 부여·변경·삭제 이력을 남기고 주기적으로 검토하여 적정성 여부를 점검하여야 한다.
- 사용자계정은 하나의 그룹으로 등록하고 계정별로 접근권한을 차등 부여하되 기관 내부문서의 접근은 금지하여야 한다.
- 계정별로 부여된 접근권한은 불필요 시 즉시 권한을 해지하거나 계정을 폐기하여야 한다.
- 계정별 패스워드는 보안정책(숫자, 영문자, 특수문자 등을 혼합하여 9자리 이상)에 부합되어야 하며 사업담당자가 별도로 기록 관리하여 변경이력을 수시로 확인한다.
○ 정보시스템을 원격지에서 네트워크로 접속, 정비하는 것은 원칙적으로 금지한다. 단, 부득이한 경우 보안대책 마련 후 정보보안담당관의 승인을 득하여 한시적으로 사용한다.
※ 한국과학기술원에서 제공하는 VPN 외에는 사용 불가(상용 VPN 제품(팀뷰어 등) 사용 불가)
○ 서버, 네트워크, 보안장비 등 정보시스템 접속 로그기록은 1년 이상 보관해야 한다.
- 로그 기록 필수 포함사항
① 접속자, 정보시스템·응용프로그램 등 접속대상
② 로그온·오프, 자료의 열람·출력 등 작업 종류 및 시간
③ 접속 성공·실패 등 작업 결과 ④ 전자우편 사용 등 외부발송 정보 등 관련 요구사항 요구사항 분류 보안 요구사항 요구사항 고유번호 SER-006 요구사항 명칭 소프트웨어(웹 포함) 개발 보안 준수 요구 사항 상세 설명 정의 소프트웨어(웹 포함) 개발 보안 준수 세부 내용 ○ 아래 보안지침을 준수하여 개발한다.
- ‘전자정부법’, ‘행정기관 및 공공기관 정보시스템 구축·운영지침’
- ‘소프트웨어 개발 보안 가이드’, ‘소프트웨어 보안약점 진단가이드’, ‘공개SW를 활용한 소프트웨어 개발보안 점검가이드’
- ‘국가 정보보안 기본지침 제27조(소프트웨어 개발보안) ~ 제30조(누출금지정보 유출 시 조치)’, ‘국가 클라우드 컴퓨팅 보안 가이드라인’
○ 소프트웨어를 개발하고자 하는 경우 전자정부 표준 개발 프레임워크의 적용을 우선적으로 고려한다.
○ 사용자 인증 및 접근제어는 한국과학기술원에서 제공하는 개발 환경에 따른다.
○ 데이터의 손실 및 위변조 발생 시 데이터 복구를 신속하게 수행할 수 있는 체계를 제공한다.
○ 소프트웨어 버전관리를 위한 형상관리시스템(SCM등)은 인가된 사용자만이 소스 프로그램에 접근할 수 있도록 접근통제한다.
○ 시스템 관리자, 개인정보 취급 및 관리자 등이 중요(개인정보 포함) 정보시스템에 접속 시, ID/PW 방식 이외에도 OTP·PKI·생체인식 등 다중 인증방식 도입을 고려한다.
○ 비대면 정보화 용역사업의 경우 관리적·기술적 보안대책을 수립·시행한다.
- ‘국가·공공기관 용역업체 보안관리 가이드라인 제3장’ 준용한다.
○ 홈페이지·응용프로그램에 대하여 분기별 1회 관리자 패스워드를 변경하여야 한다.
○ 홈페이지에 개인정보 노출방지를 위한 보안조치를 마련한다.
○ 계약업체는 구축 대상시스템 및 개발영역의 어플리케이션에 대해 한국인터넷진흥원(KISA)의 ‘정보시스템 구축단계별 정보보호 가이드라인’을 준수하여야 하며, 구축 정보시스템에 대하여 정보보호전문회사 또는 정보보호전문가가 참여한 취약점 점검과 모의해킹을 실시해야 한다.
※ 정보보호전문가 자격은 정보보호 관련학과 석사이상 학위, 3년 이상 정보보안업무경력 또는 CISSP, CISA, SIS, 정보보안기사 등 국내외 정보보호 공인자격증을 취득한 사람이어야 한다.
○ 제조사의 서비스 지원이 종료된 운영체제는 사용중지 또는 업그레이드 조치해야 한다.
- WINDOWS XP·VISTA·7·8·8.1, WINDOWS SERVER 2000·2003·2008
- CentOS 6.x 이하, RHEL 7.7 이하, AIX 7.1 TL4 이하, 7.2 TL2 이하 버전 등
○ 소스코드 작성 시 소프트웨어 개발보안(시큐어코딩)을 적용하고 신규 및 변경 구축된 홈페이지/응용프로그램은 실제 운영 이전에 취약점 점검 및 조치를 반드시 수행하여야 한다.
- 운영서버와 개발서버는 분리하고, 실 데이터는 개발서버에 저장 및 보관하지 않도록 조치하여야 한다.
- 사용자 및 관리자가 이용하는 파일 업·다운로드 기능 구현 시, 불필요한 파일 형식을 제한한다. (exe, jsp, asp, php, cmd 등)
- 개발사 설정 초기 패스워드는 반드시 안전한 암호로 변경·운용한다.
- 관리자페이지는 내부망의 지정된 IP에서만 접근하도록 통제한다.
- HTTP 메소드 중 GET·POST를 제외한 PUT·DELETE 등 불필요한 메소드는 사용을 금지한다.
- 시스템 내 변조파일에 대하여 주기적으로 무결성을 검증한다.
- 글쓰기 기능이 있는 웹페이지를 구축할 경우 반복적 글쓰기(댓글) 공격을 제한할 수 있는 대응 방안(CAPTCHA 등)을 마련한다.
- 개인정보 및 인증정보 등 중요정보 송·수신 시, 웹 서버와 클라이언트 간 모든 구간 암호화 통신(HTTPS) 적용을 통한 선제적 보안 강화를 수행한다.
1) 반드시 TLS 1.3을 적용한다.(TLS 1.3은 TLS 1.2의 키 교환·인증·암호화·해시 알고리즘의 불안정 항목을 제거하였으며 연결 속도가 보다 향상됨)
2) 웹보안인증서(SSL) 적용 필수 웹사이트
가. 개인정보를 취급하는 모든 웹사이트(내·외부망 모두 해당)
나. 회원가입 및 로그인이 없는 경우에도 주문, 결제, 상담, 글쓰기, 게시판 등 이용 시 개인정보를 입력하는 웹사이트
3) 대민서비스를 위한 웹사이트의 경우, 포털 검색 시 웹사이트 세부 주소로 직접 접속이 가능하므로 SSL 적용 후 반드시 HTTPS로 리다이렉션 하도록 해야 한다.
‣ 해당 안전조치를 하지 않을 경우, 법 위반에 따른 손해배상 책임이 있다.
- 사용자 인증정보 보안 : 사용자 인증정보, 패스워드 등 보안이 요구되는 정보를 소스코드에 직접 하드코딩 하지 않아야 하며, 클라이언트 스크립트(Client side script, Javascript, VB script 등)에 보안상 취약한 비즈니스 로직 및 데이터를 취급하지 않아야 한다.
- 로그이력관리
1) 시스템은 어플리케이션과 WAS 및 DB 레벨에서 로그가 남을 수 있도록 한다.(모든 사용자의 서비스 접근 및 데이터 변경이력을 로그로 관리해야 한다)
2) 로그는 최소 1년 이상 백업을 유지한다.
3) 로그는 비 인가된 자에 의해 수정될 수 없도록 구축한다.
- CC인증서 또는 성능평가 결과확인서를 획득한 소스코드 보안약점 진단도구를 사용하여 소스코드 내 잔존 취약점을 제거해야 한다.
- 개발 완료 후 반드시 운영 전에 정보시스템 및 웹 취약점 점검 수행 및 보완하고, 이후에도 연 1회 이상 점검 및 조치해야 한다. 점검항목은 정보시스템 점검표 및 웹 취약점 점검표를 참고·사용할 수 있다.
1) 취약점 점검 및 조치 보고서는 다음과 같은 항목이 포함되어야 한다.
가. 점검 대상 시스템 정보 나. 점검 계획, 방법(도구 정보 포함) 다. 점검 인원, 시간 라. 점검영역
마. 점검결과 요약(소프트웨어 개발보안 적용여부 포함)
바. 각 시스템의 취약점 및 위험성 상세내용
사. 모의해킹 결과보고서 또는 취약점 조치 및 결과보고서(사업종료 전 정보보안담당관에게 점검결과를 제출하여 검토 완료 후 이상이 없을 때 사업이 종료된다)
2) 한국과학기술원 취약점 진단 수행결과에 대한 조치결과 보고서를 제출해야 한다.
관련 요구사항 요구사항 분류 보안 요구사항 요구사항 고유번호 SER-007 요구사항 명칭 개인정보보호 및 보안대책 요구 사항 상세 설명 정의 개인정보보호 및 보안대책 세부 내용
○ ‘개인정보 안전성 확보조치 기준’, ‘개인정보보호법’ 등 관련 규정을 반드시 준수하여야 한다.
○ 사업수행 시 계약업체에게 개인정보처리를 위탁할 경우, 표준 개인정보처리위탁 계약서를 참고하여 계약 시 반드시 개인정보처리위탁계약을 체결해야 한다.
○ 개인정보 처리업무를 위탁받아 처리하는 사업자는 개인정보의 안전성 확보에 필요한 기술적·관리적·물리적 안전조치를 마련한다.
○ 사업자는 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 아니 된다.
○ 사업자는 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 즉시 파기하거나 발주기관에 반납하여야 한다.
○ 발주기관은 사업자의 개인정보 처리현황에 대하여 실태를 점검하여 시정을 요구할 수 있으며, 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 교육할 수 있다.
○ 홈페이지 등 웹서비스 구축·고도화 시
- 회원가입, 로그인, 로그아웃 등 개인정보를 송수신하는 구간에 암호화 적용(SSL 등)한다.
- 관리자페이지는 외부에 노출되지 않도록 IP접근제어를 필수적으로 하며, 2차 인증 기능을 반드시 구현한다.
- 로그인 이후 일정시간 뒤 자동 로그아웃이 되는 타임아웃 기능을 구현한다.
- 권한이 있는 회원만 게시글을 작성할 수 있도록 한다.
- 게시글 내 개인정보 노출 방지를 위한 기술을 적용한다.(비밀글 기능)
- 비밀번호 입력 시 마스킹 처리되도록 구현한다.
- 기타 개인정보 관련 지침에서 요구하는 로그인/회원관리 관련 기능을 구현한다.
- 주민번호를 대체할 수 있는 수단으로 가입 및 관리 되도록 설계, 구현되어야 한다.
가. 가상식별코드(공공 I-PIN, 핸드폰 인증 등) 활용
○ 정보시스템에 개인정보를 보유할 경우에는 수집되는 모든 개인정보를 암호화하여야 한다.(패스워드는 일방향 암호화, 개인정보는 반드시 안전한 암호화 알고리즘(SHA-2 이상급)을 사용한다)
○ 개인정보 유출 시도 혹은 사고 발생 시 신속한 대응이 가능하도록 발주기관에서 요구하는 모든 사고 수습 관련 업무를 수행하여야 한다.(유출경로 확인, 확인된 유출경로 차단, 유출된 개인정보 파악 등)
○ 개인정보취급자에 대한 관리·감독(접근권한 관리, 통제 등 포함)과 보안서약서 징구 및 정기적 교육(연 1회 이상)을 실시한다.
○ 정보주체에게 별도 동의를 받았거나 법령에 근거하는 경우에만 민감정보를 포함한 개인정보 파일 수집을 허용한다.
○ 개인정보취급자의 접속기록 위·변조 및 도난 예방 정책을 마련한다.
- 개인정보취급자의 접속기록은 최소 1년 이상 보관·관리한다.
- 접속기록 필수 포함사항 ① 계정 ② 접속 일시
③ 접속지 정보(단말기 정보 또는 서버의 IP 등 접속 주소)
④ 처리한 정보주체 정보 ⑤ 수행 업무
- 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보관·관리한다.
○ 정보보호시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 운영절차를 수립·이행하고 시스템별 정책적용 현황을 관리해야 한다.
- 외부기관과 서비스 연계 시, 정보보호시스템에서 불필요한 서비스를 차단한다.(필요 시, 일방향 통신으로 제한)
○ 시스템에 대한 불법 침입을 탐지하기 위한 실시간 보안관제 실시 및 정보보호시스템, CCTV, 정보시스템 등의 장비에 대해 표준시각으로 동기화 조치하여야 한다.
○ 서버(OS 포함)·네트워크·정보보호 시스템에 대한 주기적인 관리자 패스워드 변경(분기 1회) 및 보안 취약점 진단·조치한다.
- 제조사가 설정한 초기 패스워드는 반드시 안전한 암호로 변경·운용한다.
- 관리자페이지는 내부망의 지정된 IP에서만 접근하도록 통제한다.
관련 요구사항 요구사항 분류 보안 요구사항 요구사항 고유번호 SER-008 요구사항 명칭 사업 보안관리 요구 사항 상세 설명 세부 내용
○ 수행사는 사업수행 시 각 단계에 따라 보안 요구사항과 관련된 아래의 산출물들을 발주사 사업담당자에게 제출해야 한다.
※ 사업 성격(유형)에 따라 산출물이 다를 수 있으며, 사업을 수행하는데
있어 해당 사항이 없는 경우 제출하지 않아도 됨
ex) 휴대용 저장매체를 사용하지 않는 경우 휴대용 저장매체 관리대장
생략 가능 - 용역 사업 (비상주)
[ 비상주 용역사업 ] - 정보시스템 구축(개발), 유지보수, 컨설팅, 클라우드 등
구분 목적 산출물 상세 서식 비고 착수 참여인원 보안관리 - 보안서약서 서식 1 정보보안교육 확인서 서식 2 개인정보 관리 표준 개인정보처리위탁 계약서 서식 11 개인정보 처리 위탁시 상시 정보시스템 반출·입 및 현황관리 정보시스템 반출·입 대장❈ 서식 6 참여인원 전산장비 현황표 서식 7 참여인원 정보시스템 접근권한 기록부 서식 12 권한 부여 시 비상주 용역사업 현장실사 체크리스트 서식 13 연 1회 수행 휴대용 저장매체 관리 휴대용 저장매체 관리대장 서식 8 휴대용 저장매체 사용 시 자료 인계·인수 자료 인계·인수 대장 서식 9 종료 (완료) 정보시스템 보안 전산장비 검수 체크리스트 붙임 1~6 전산장비 납품 포함 시 소프트웨어 개발 보안 웹 취약점 점검 및 조치 보고서 자유 양식 별첨 3 참고 보안요구사항 검수 용역완료 검수조서❈❈ 서식 5 정보 누출 방지 보안확약서 서식 3 자료 완전삭제 확인서 서식 4
○ 산출물은 각 단계에 맞춰 제출해야 하며, 사업 완료 시 모든 산출물이 제출 완료되어야 한다.
○ 수행사는 사업을 수행하면서 발생하는 보안과 관련된 산출물들은 비공개 자료로 분류하여 관리해야 하며, 담당자에게 제출하기 전까지 잠금장치를 통해 보관해야 한다.
○ 산출물들은 기본적으로 첨부된 서식을 사용하며, 증빙자료 등 추가할 내용이 필요한 경우 발주사와 협의하여 서식을 추가하거나 수정할 수 있다.
IV 계약 특수 조건
제1조(적용범위) 이 계약특수조건은 한국과학기술원(이하 "발주기관"이라 한다)과 용역업체 간에 체결하는 「행정부서 홈페이지 보안 취약점 점검 사업」 계약에 적용한다.
제2조(계약기간) 계약기간은 별도의 해지통보가 없으면 과업지시서에 명시한 과업기간으로 한다.
제3조(보안관리) 용역업체는 과업 수행 시 [보안요구사항]에서 정한 보안 관련 사항을 준수하여야 한다.
제4조(보안위반 등) ① 용역업체는 계약 이행과정에서 다음 각 호의 행위를 하여서는 아니 된다.
1. [참고 2]의 누출금지 정보를 누출하는 행위
2. 정보통신망 또는 정보시스템에 허가 없이 접속하거나 무단으로 정보를 수집할 수 있는 비인가 프로그램을 설치하는 행위
3. 제2호의 행위에 악용될 수 있는 정보통신망 또는 정보시스템의 약점을 고의로 생성하거나 방치하는 행위
② 용역업체는 점검 완료 후 점검에 사용한 계정·도구·파일 등을 즉시 삭제하고, 점검 과정에서 취득한 정보를 외부에 누출하여서는 아니 된다.
③ 용역업체가 제1항 또는 제2항을 위반한 경우, 발주기관은 계약을 해지할 수 있으며 「국가를 당사자로 하는 계약에 관한 법률」 제27조, 같은 법 시행령 제76조 등 관계 법령에 따라 입찰참가자격 제한 등 필요한 조치를 할 수 있다.
제5조(지체상금 부과) ① 용역업체가 계약기간 내에 과업을 완료하지 못한 경우에는 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제74조 및 같은 법 시행규칙 제75조에 따라 계약금액에 지체상금률(1천분의 1.25)과 지체일수를 곱한 금액을 지체상금으로 납부하여야 한다.
② 천재지변 등 불가항력의 사유나 발주기관의 책임 있는 사유로 지체된 경우에는 해당 일수를 지체일수에서 제외한다.
③ 지체상금 총액은 계약금액의 100분의 30을 초과할 수 없다.
제6조(손해배상 책임) ① 용역업체는 고의 또는 과실로 보안준수사항을 위반하거나 과업 수행 중 발주기관에 손해를 끼친 경우 그 손해를 배상하여야 한다.
② 용역업체는 발주기관이 사전에 승인한 점검 대상·범위·일정을 벗어나 점검하여 서비스 장애 등이 발생한 경우 이를 즉시 복구 지원하고 그로 인한 손해를 배상하여야 한다.
③ 발주기관이 승인한 범위 내에서 정상적으로 점검하던 중 시스템 자체의 문제나 천재지변 등 불가항력의 사유로 손해가 발생한 경우에는 계약 당사자가 협의하여 처리한다.
제7조(계약해석) 이 계약에서 정하지 아니한 사항은 「국가를 당사자로 하는 계약에 관한 법률」 등 관계 법령 및 「용역계약일반조건」에 따른다.
제8조(계약의 해약ㆍ해지) 용역업체가 계약을 위반하거나 계약상 의무를 성실히 이행하지 아니하여 발주기관에 손해를 끼치거나 계약 목적을 달성하기 곤란하다고 인정되는 경우, 발주기관은 서면으로 7일 이상의 기간을 정하여 시정을 요구할 수 있으며, 용역업체가 그 기간 내에 시정하지 아니한 경우 계약을 해제 또는 해지할 수 있다.
제9조(관할법원) 이 계약과 관련한 분쟁이 계약 당사자 간 협의로 해결되지 아니하여 소송이 필요한 경우에는 발주기관 소재지를 관할하는 법원을 관할법원으로 한다.
별표1 보안 관리 서식 사업 착수 시 [서식1] 보안서약서 [서식2] 정보보안교육 확인서 [서식11] 표준 개인정보처리위탁 계약서 사업 종료 시 [서식3] 보안확약서 [서식4] 자료 완전삭제 확인서 [서식5] 용역완료 검수조서 사업 수행 시(상시) [서식6] 정보시스템 반출·입 대장 [서식7] 참여인원 전산장비 현황표 [서식8] 휴대용 저장매체 관리대장 [서식9] 자료 인계·인수 대장 [서식10] 인터넷 사용 신청서
[서식12] 참여인원 정보시스템 접근권한 기록부
[서식13] 상주 용역사업 보안점검 기록부
[서식13] 비상주 용역사업 현장실사 체크리스트
별표2 전산장비 검수 체크리스트 [붙임1] 보안장비 체크리스트 [붙임2] 네트워크장비 체크리스트 [붙임3] 서버 체크리스트(유닉스 계열) [붙임4] 서버 체크리스트(윈도우 계열) [붙임5] DBMS 체크리스트
[붙임6] 단말기 체크리스트(PC, 노트북, 태블릿 등)
별표3 참고 자료 [별첨1] 정보시스템 유지관리 절차서 [별첨2] 누출금지 정보의 범위 [별첨3] 웹 취약점 점검표 [별첨4] 사업자 보안위규 처리기준 [별첨5] 보안 위약금 부과 기준 [별표1] 보안 관리 서식 [서식1] 시작 시 보 안 서 약 서
본인은 20 년
월
일 한국과학기술원과 계약 체결한
사업을 수행함에 있어 다음 사항을 준수할 것을 서약합니다.
1. 본인은 본 사업을 수행함에 있어 계약서, 과업지시서(제안요청서/시방서) 및 사업 수행 제반 보안사항을 철저히 이행할 것임은 물론 사업수행 전에 사업참여자로서 보안교육을 받겠습니다.
2. 본인은 사업 제반 자료 및 복사본 등 사업산출물을 반출 및 보관, 외부에 누설 또는 도용하지 않을 것이며 이를 어길 시 관련 법규에 의거한 처벌을 받음은 물론 당사업자 및 본인에 대한 어떠한 제재조치에도 이의를 제기하지 않을 것입니다.
3. 한국과학기술원에서 지정한 “누출금지 정보” 및 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제76조제2항제3호의 내용을 숙지하여 이에 위배 시 동 조항에 의거 당사업자를 부정당업자로 지정하여 입찰참가를 제한함에 이의를 제기하지 않음과 민․형사상의 책임이 전적으로 당사업자 및 본인에게 있음을 각서합니다.
4. 본인이 납품·설치만을 수행할 경우에도 수행업무 범위와 무관한 불법행위를 일절 금할 것이며 이의 사항을 위반하거나 기밀을 누설할 경우 정보통신망 이용촉진 및 정보보호에 관한 법률 제48조 및 기타 관련 법률에 의거하여 민·형사상의 책임이 전적으로 본인에게 있음을 엄숙히 서약합니다.
20
.
.
.
참여인력 서약자 연명부 연번 소속 담당업무 성명 직책 서명 1 2 3 4 5 한국과학기술원 총장 귀하 [서식2] 시작 후 1개월 이내 정보보안교육 확인서 사업명 사업기간 교육담당자 (발주기관) 소 속 성 명 서 명 본 사업을 진행하는 KAIST의 사업부서명 본 사업을 진행하는 사업담당자 (인) *사업담당자 서명 작성 교육일시 20XX.XX.XX 14:00~15:00
*교육은 용역사업 개시 후 1개월 이내에 실시해야 함
교육내용 보안 요구사항 전반
- 누출금지 대상정보 및 정보 누출 시 부정당업자 제재조치
- 사업자 보안위규 처리기준 및 보안 위약금 부과 기준
- 자료 인계·인수 대장 기록 및 전산장비 반출·입 통제
사진 3. 용역업체 교육자료를 활용하여 사업담당자가 용역업체를 대상으로
교육을 진행한 실제 현장 사진 (혹은 온라인 미팅 캡쳐사진)
참석자 명단 연 번 소 속 (업체명) 직급 성 명 서 명 1 2 3 4 5 [서식3] 종료 시 보 안 확 약 서
본인은 귀 기관과 계약한
사업의 수행을 종료함에 있어, 다음 각호의 보안사항에 대한 준수 책임이 있음을 서약합니다.
1. 본 업체는 업체 및 사업참여자가 사업수행 중 득한 모든 자료를 반납 및 파기하여 복사본 등 본 사업 제반 자료를 보유하고 있지 않음을 각서하며 득한 정보에 대한 유출을 절대 엄금하겠습니다.
2. 본 업체는 하도급 업체에 대해 상기 항과 동일한 보안사항 준수 책임을 확인 및 보안확약서를 징구하였으며, 하도급 업체가 위의 보안사항을 위반할 경우 주사업자로서 그와 동일한 법적책임을 지겠습니다.
3. 본 업체는 상기 보안 준수사항을 위반할 경우 귀 기관의 사업에 참여 제한 또는 기타 관련 법규에 따른 책임과 손해배상을 감수하겠습니다.
년
월
일
서약업체 대표
소
속 :
직
급 :
성
명 :
(서명)
한국과학기술원 총장 귀하 [서식4] 종료 시
* 사업 수행 중 자료가 저장된 전산장비의 반출이 불가피한 경우 포함
자 료 완 전 삭 제 확 인 서 1. 사 업 명 : 2. 대상장비 : 3. 사 용 자 : 4. 삭 제 일 : 5. 자료완전삭제 증빙 < 삭제 대상 >
용역사업에 활용되는 전산장비(PC·노트북 등) 전부
(전산장비별로 확인서 작성 필요) < 증빙 방법 - 택1 > 1) 포맷 실시
2) 사업자료 저장 경로에서 데이터 유 → 무로 증빙
보안책임자 : 용역업체 PM
(인)
사업담당자 : 사업부서 담당자 (인)
사업책임자 : 사업부서장
(인)
[서식5] 종료 시 용역완료 검수조서 1. 용 역 명 : 2. 계 약 번 호 : 3. 계 약 자 : 계약업체 대표자명 4. 계약년월일 :
5. 계 약 금 액 : 금
원정(￦
)
6. 용역수행기간 : 7. 완료년월일 :
위 용역의 완료 검사를 실시한 결과, 과업지시서(제안요청서)대로 용역이 완료
(OO% 수행)되었음을 확인함.
년
월
일
조서 작성자 : 사업 담당자명
(인)
[서식6] 상시
* 용역사업에 활용되는 장비 반출‧입시마다 작성
정보시스템 반출⋅입 대장 □ 사업명: OOO 사업 □ 보안조치
① BIOS 암호설정 ② 운영체제 암호설정 ③ 화면보호기 설정
④ 최신 백신으로 악성코드 감염 여부 점검 ⑤ 자료 무단반출 여부 확인 ⑥ 자료 완전 삭제
* 반출‧입이 없는 경우에도 표에 “내역 없음” 기입하여 제출
* 용역사업에 활용되는 장비를 사업부서에서 제공하고 반‧출입을 원칙적으로 금지하는 경우, 미제출 사유를 별도의 텍스트 파일에 작성하여 제출
장비명 관리번호 (시리얼번호) 신청자 반출⋅입 사유 반출⋅입 일시 (입⋅출 구분) 보안조치 사업 담당자 (서명) 노트북 s111-001-113 (5004829800055) OOO 세미나 발표 20XX.00.00 00:00(출) ⑤ OOO (인) PC OO-OO-OO OOO 인터넷 자료열람 20XX.00.00 00:00(입) ①,②, ③,④ OOO (인) PC OO-OO-OO OOO 시스템 개발용 20XX.00.00 00:00(입) ①,②, ③,④ OOO (인) USB 외주_OOO_일반_0001 (10KAIS20250000XX) OOO 사업 종료 20XX.00.00 00:00(출) ⑥ OOO (인) [서식7] 상시
* 용역사업에 활용되는 장비 대상(사업부서 제공 장비, 용역업체 장비 전부 기재)
참여인원 전산장비 현황표 □ 사업명: OO사업 □ 사업담당자: OOOOO팀 OOO (인) 연번 소속 취급자 성명 종류 (서버ㆍPC 등) IP주소 관리번호 사용 시작일 1 길동정보통신 (공용) PC 143.OOO.O.OO OO사업-01 24.12.1. 2 길동정보통신 홍길동 PC 143.XXX.X.XX OO사업-02 24.12.1. 3 길동정보통신 김영희 노트북 143.OOO.O.OX OO사업-03 24.12.1. 4 길동정보통신 (공용) 서버 143.000.0.000 OO사업-04 25.3.3. [서식8] (비상주 용역만 해당) 휴대용 저장매체 관리대장 □ 사업명: OO사업 □ 사업담당자: OOOOO팀 OOO (인) 연번 관리번호 (S/N) 매체형태 등록일자 취급자 불용처리일자 불용처리방법 (재사용 용도) 비고 1 10KAIS20250000XX 외장하드 2 10KAIS20250000XX USB 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 [서식9] 상시 자료 인계·인수 대장 □ 사업명: 구분 일시 자료명(형태) 인계자 인수자 소속 이름 소속 이름 1 2024.6.3. 09:00 OO시스템 접근 계정정보(hwp) OOOOO팀 OOO (인) 길동정보통신 홍길동 (인) 2 2024.7.18. 15:15 정보통신망 구성도(실물자료) OOOOO팀 OOO (인) 길동정보통신 홍길동 (인) 3 2024.12.2. 14:25
OO홈페이지 취약점 점검 및 조치 결과보고서(PDF)
길동정보통신 홍길동 (인) OOOOO팀 OOO (인) 4 2024.12.21. 14:25 OO 프로그램 소스코드 원본(USB) 길동정보통신 홍길동 (인) OOOOO팀 OOO (인) 5 6 7 8 9 10
※ 보안 요구사항에 명시한 누출금지 대상정보를 인계·인수할 경우, 해당 정보 인계자 및 인수자가 직접 서명 후 인계‧인수하고, 사업 종료 시 관련 자료 전부 회수
※ 아래의 경우, 회수일자 및 회수자란에 ‘-’, 비고란에 ‘미회수 사유’ 기입
- 사업 종료 전에 정보보안팀 요청으로 제출하는 경우(정보보안팀 요청에 의한 선제출)
- 사업 내용 및 수행사의 변동 없이, 계속 추진하는 운영‧유지보수 사업(계속되는 유지보수 사업)
회수일자 20XX.XX.XX. 회수자 OOOO팀 OOO (인) 비고 [서식10] (상주 용역만 해당) * 인원 변동 시마다 작성 필요 인터넷 사용 신청서 □ 사업명: OO사업
□ 사업담당자: KAIST 소속으로 본 사업을 신청한 담당자 성함
□ 보안책임자: 용역업체명 OOO(PM) N0. 소속(업체명) 사용자 IP 인터넷 허용 기간 신청 사유 1 길동정보통신 홍길동 143.XXX.X.XX 24.12.1.~25.11.30. 원활한 과업 수행 2 길동정보통신 (공용) 143.OOO.O.OO 24.12.1.~25.11.30. 원활한 과업 수행 3 길동정보통신 김영희 143.OOO.O.OX 25.12.1.~25.11.30. 원활한 과업 수행 □ 인터넷 사용 보안정책
P2P·웹하드 등 인터넷 자료공유사이트 접속 및 상용 메일·메신저 사용은 불가하며 기술적으로 차단됨
접속이 제한된 사이트 및 인터넷 파일공유사이트 등에 접속을 시도하지 않음
인터넷 허용 PC 사용자는 인터넷 사용을 오·남용하지 않으며, 오·남용으로 인한 보안사고 발생 시 모든 책임을 지게 됨
정보보안담당관의 승인을 통해 인터넷 사용을 허가하나, 「보안지침 변경·감사 지적·취약점 노출·사이버 공격 피해·보안사고 발생」 등 사안에 따라 정보보안 주무부서에서 사용자 및 사업부서에 사전 고지 없이 승인을 철회할 수 있음
20XX. XX. XX. 용역사업책임자 사업부서장 (인) 정보보안담당관 김진형 (인) [서식11]
본 표준 개인정보처리위탁 계약서는 「개인정보 보호법」제26조제1항에 따라 위탁계약에 있어 개인정보 처리에 관하여 문서로 정하여야 하는 최소한의 사항을 표준적으로 제시한 것으로서, 위탁계약이나 위탁업무의 내용 등에 따라 세부적인 내용은 달라질 수 있습니다.
개인정보 처리 업무를 위탁하거나 위탁업무에 개인정보 처리가 포함된 경우에는 본 표준 개인정보처리위탁 계약서의 내용을 위탁계약서에 첨부하거나 반영하여 사용하실 수 있습니다.
표준 개인정보처리위탁 계약서(안)
한국과학기술원 KAIST _________ (이하 “갑”이라 한다)과 △△△(이하 “을”이라 한다)는 “갑”의 개인정보 처리업무를 “을”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.
제1조 (목적) 이 계약은 “갑”이 개인정보처리업무를 “을”에게 위탁하고, “을”은 이를 승낙하여 “을”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.
제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는「개인정보 보호법」, 같은 법 시행령 및 시행규칙, 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회고시 제2023-6호) 및 「표준 개인정보 보호지침」(개인정보보호위원회고시 제2024-1호)에서 정의된 바에 따른다.
제3조 (위탁업무의 목적 및 범위) “을”은 계약이 정하는 바에 따라 (
) 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.
각호의 업무 예시 : 고객만족도 조사 업무, 회원가입 및 운영 업무, 사은품 배송을 위한 이름, 주소, 연락처 처리 등
1. 2.
제4조 (위탁업무 기간) 이 계약서에 의한 개인정보 처리업무의 기간은 다음과 같다.
계약 기간 : 20oo년 o월 o일 ~ 20oo년 o월 o일
제5조 (재위탁 제한) ① “을”은 “갑”의 사전 승낙을 얻은 경우를 제외하고 “갑”과의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.
② “을”이 다른 제3의 회사와 수탁계약을 할 경우에는 “을”은 해당 사실을 계약 체결 7일 이전에 “갑”에게 통보하고 협의하여야 한다.
제6조 (개인정보의 안전성 확보조치) “을”은 「개인정보 보호법」의 관련 조항 및 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회고시 제2023-6호)에 따라 개인정보의 안전성 확보에 필요한 기술적․관리적 조치를 취하여야 한다.
제7조 (개인정보의 처리제한) ① “을”은 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.
② “을”은 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보 보호법 시행령」 제16조 및 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회고시 제2023-6호)에 따라 즉시 파기하거나 “갑”에게 반납하여야 한다.
③ 제2항에 따라 “을”이 개인정보를 파기한 경우 지체없이 “갑”에게 그 결과를 통보하여야 한다.
제8조 (수탁자에 대한 관리·감독 등) ① “갑”은 “을”에 대하여 다음 각 호의 사항을 감독할 수 있으며, “을”은 특별한 사유가 없는 한 이에 응하여야 한다.
1. 개인정보의 처리 현황 2. 개인정보의 접근 또는 접속기록 3. 개인정보 접근 또는 접속 대상자
4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항
② “갑”은 “을”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이행하여야 한다.
③ “갑”은 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 ( )회 “을”을 교육할 수 있으며, “을”은 이에 응하여야 한다
「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2023-6호) 및 「개인정보 보호법」 제26조에 따라 개인정보처리자 및 취급자는 개인정보보호에 관한 교육을 의무적으로 시행하여야 한다.
④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “갑”은 “을”과 협의하여 시행한다.
제9조 (정보주체 권리보장) ① “을”은 정보주체의 개인정보 열람, 정정·삭제, 처리 정지 요청 등에 대응하기 위한 연락처 등 민원 창구를 마련해야 한다.
제10조 (개인정보의 파기) ① “을”은 제4항의 위탁업무기간이 종료되면 특별한 사유가 없는 한 지체 없이 개인정보를 파기하고 이를 “갑”에게 확인받아야 한다.
제11조 (손해배상) ① “을” 또는 “을”의 임직원 기타 “을”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁 받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “을” 또는 “을”의 임직원 기타 “을”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “갑” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “을”은 그 손해를 배상하여야 한다.
② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “갑”이 전부 또는 일부를 배상한 때에는 “갑”은 이를 “을”에게 구상할 수 있다.
본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “갑”과 “을”이 서명 또는 날인한 후 각 1부씩 보관한다.
20 . . . 갑 ○○시 ○○구 ○○동 ○○번지
성
명 :
(인)
을 ○○시 ○○구 ○○동 ○○번지
성
명 :
(인)
[서식12] 참여인원 정보시스템 접근권한 기록부
□ 사업명: ㅇㅇㅇ □ 사업담당자: ㅁㅁㅁ □ 정보시스템 접근권한 보안대책 체크리스트 ○
1. 용역직원에게 권한이 제한된 사용자계정을 부여하는가?
* 정보시스템에 중대한 영향을 끼칠 수 있는 슈퍼관리자 계정 제공 금지
* 사용자계정은 하나의 그룹으로 등록하고 계정별 정보시스템 접근권한 차등 부여
○ 2. 작업에 대한 보안 통제를 수행하는가?
* 시스템 설치 운영체제 중요설정 변경 등 필요시 보안담당자 통제하에 작업
* 사업담당자는 내부 서버 및 네트워크장비에 대한 접근기록을 수시로 확인
○
3. 용역직원에게 부여한 계정에 대한 로그 관리 정책을 준수하는가?
* 사업담당자가 수시로 용역 부여 계정에 접속하여 저장된 자료와 작업이력 확인
* 시스템에 대한 접근·작업·정책변경 등 작업이력 1년 이상 보관
○
4. 계정별로 부여된 접속권한은 불필요시 곧바로 권한을 해지하거나 계정을 폐기하는가?
* 계약종료 등 변동사항 발생 시 해당 사용자계정을 삭제하거나 부여된 접근권한을 회수
□ 용역직원별 정보시스템 접근권한 업체명 성명 출발지 IP 목적지 IP (시스템명 또는 장비명) 계정명 권한 계정 유효기간 계정 폐기일 [서식13] 상주 용역사업 보안점검 기록부 사업명 사업기간 사업담당자 OOOOO팀 OOO □ 점검항목 ※ 매월 점검·조치 실시 Ⅰ. 사업수행 PC·노트북 보안 ① OS 암호 및 화면보호기 설정 ② OS 및 응용프로그램 최신상태 유지 ③
정품 백신 프로그램 자동 업데이트 및 실시간 검사 기능 사용
④
인터넷 허용 PC의 경우 상용메일, P2P, 웹하드, 메신저 접속 차단
⑤ 내PC보안점검 프로그램 안전도 100% 달성 Ⅱ. 관리대장 최신화 여부 ⑥
참여인원 전산장비 현황표, 정보시스템 반출·입 대장
⑦ 자료 인계·인수 대장 ⑧ 참여인원 정보시스템 접근권한 기록부 Ⅲ. 중요정보 노출 여부 ⑨
공개된 장소에 계정 정보 등 중요정보 포함한 메모지 부착
⑩ 누출금지 자료 방치
□ 점검결과 ※ 위규사항 적발 시, 사업자 보안위규 처리기준에 따라 조치
점검일자 24.12.5. 25.1.16. 25.2.8. 25.3.21. 위규사항 없음 ⑨ 없음 없음 조치결과 - (보통) 위규자 대상 특별 보안교육 실시 - - 점검실시 사업책임자 사업책임자 사업책임자 사업책임자 □ 재발방지대책
25.1.16. 위규자 및 용역업체에 보안위약금 부과기준 주지, 익월 불시 보안점검 수행
[서식13] 비상주 용역사업 현장실사 체크리스트 ※ 연 1회 이상 실시
순번 점검항목 주요 점검사항 확인방법 양호 미흡 1 사업장에 대한 물리적 보안관리
- 사업장 및 정보시스템을 보호하기 위한 물리적 장치(CCTV, 잠금장치 등) 설치 여부
현장 확인 2 사업장 비인가자 출입 및 접근 통제
- 사업과 관련이 없는 방문자에 대한 정보시스템 설치장소 출입제한 및 방문기록 유지 여부
출입관리대장 3 용역사업 보안관리 조직
- 사업 수행 중 보안관리를 위한 조직 편성 및 참여인력 현행화
보안서약서 4 참여인원에 대한 보안교육 실시
- 용역사업 개시 후 1개월 이내 보안교육 실시 여부(발주기관의 용역사업 담당자가 교육 실시)
정보보안교육 확인서 5 독립적인 개발망 운용
유지보수 사업을 수행하는 정보시스템이 인터넷망 또는 다른 사업을 수행하는 정보시스템과 분리 구축 여부
정보통신망 구성도 6 지정된 단말기를 통한 시스템 접속
유지보수 시스템에 대한 접속은 콘솔 또는 지정된 단말기(고정IP)에서만 접속허용 여부
시스템 접근제어 정책 7 사업관련 자료 및 산출물 관리
사업관련 자료 및 사업과정에서 생산된 산출물이 보안책임자(PM)가 지정한 PC(인터넷과 분리)에 저장·관리 및 접근권한에 따른 접근제어 여부
현장 확인 8
용역사업 책임자(또는 보안관리 책임자)의 용역사업 인원·장비·자료·네트워크 등에 대한 점검 실시
- 사업 수행에 필요한 인원, 주요 장비에 대한 정기적 점검기록 보관 여부
시스템 점검 대장 9 소프트웨어 개발보안 절차 적용 여부 확인
- 보안 약점 진단도구를 활용하여 소스코드 내 잔존 취약점 제거
- 개발한 소프트웨어의 코드 및 리소스 파일 등에 대한 무결성 검증
형상관리시스템에 인가된 사용자만 접근 허용 진단도구 활용 증적 10
정보시스템(PC·서버·저장매체 등) 반출·입 시 절차 준수 및 보안조치 여부 확인
- 정보시스템 반출입대장 작성 및 사업담당자 서명 여부
정보시스템 반출입대장 11
휴대용 저장매체 통제 및 사용 여부 기록/관리 확인
휴대용 저장매체 관리대장 및 사용 기록 작성 여부
휴대용 저장매체 관리대장 12 용역PC에 누출금지 대상정보 저장 여부 확인 개발자 PC에 보안상 민감한 정보 보관 여부 현장 확인 13
웹 서버 등 정보시스템(서버, 네트워크, 정보보호시스템 등) 접근 계정, 패스워드 보안정책 관리
- 서버, 네트워크 장비 등에 대한 계정 및 패스워드 변경 내역 기록 여부
시스템 계정 및 패스워드 관리대장 14
웹 서버 등 정보시스템(서버, 네트워크, 정보보호시스템 등) 작업 내역 및 로그 확인
- 서버, 네트워크 장비 등에 대한 작업내역 및 로그 보관 여부
작업 대장 및 로그 기록 15 DB 시스템 내 민감정보 저장 여부 확인
DB 시스템 내 민감정보(사용자 정보, 기관에 대한 주요 정보) 제한 사용 여부
현장 확인 16 최종 산출물 반납
사업완료 후 생산된 최종 산출물이 인수인계서 통해 반납 및 사업관련 산출물 삭제에 대한 대표자명의 확약서 제출 여부
자료인계인수대장, 자료완전삭제확인서
2026.
.
.
확인자 (소속) KAIST 부서명
(직급) 행정원
(성명) OOO
(인)
[별표2] 전산장비 검수 체크리스트 [붙임1] 보안장비 체크리스트
(부서 : ㅇㅇ팀
확인자: 홍길동 (서명) )
분 류 구 분
점
검
항
목
점검여부 (O,X) 비고 계정관리 1 기본(Default) 패스워드, 계정 변경 2 패스워드 복잡도 설정 3 암호화된 패스워드 사용 4 사용자, 명령어별 권한 업무별 차등부여 5 로그인 실패횟수 5회 이하 제한 접근관리 6 VTY ACL 설정 : 담당자만 허용 7 Session Timeout 설정 8
보안장비 접속 시, HTTPS, SSH 등 암호화 접속 활용
패치관리 9 최신 보안패치 및 벤더 권고사항 적용 로그관리 10 NTP 서버 연동(실시간 동기화) 기능관리 11
최소한의 서비스만 제공(All Deny 기본)
12 장비 사용량 정기점검 13 불필요한 SNMP 중지 14
SNMP 사용 시, 유추 불가한 Community String 설정
기타 15 비인가 SW(백도어, 악성코드 등) 설치여부
*참고 : 한국인터넷진흥원 주요정보통신기반시설_기술적_취약점_분석ㆍ평가_방법_상세가이드
- 해당사항이 없을 경우, 비고란에 [해당없음] 기재
- 검수 및 보안설정 완료 후 체크리스트 작성
[붙임2] 네트워크장비 체크리스트
(부서 : ㅇㅇ팀
확인자: 홍길동 (서명) )
분 류 구 분
점
검
항
목
점검여부 (O,X) 비고 계정관리 1 기본(Default) 패스워드, 계정 변경 2 패스워드 복잡도 설정 3 암호화된 패스워드 사용 4 사용자, 명령어별 권한 업무별 차등부여 5 로그인 실패횟수 5회 이하 제한 접근관리 6 VTY ACL 설정 : 담당자만 허용 7 Session Timeout 설정 8
보안장비 접속 시, HTTPS, SSH 등 암호화 접속 활용
패치관리 9 최신 보안패치 및 벤더 권고사항 적용 로그관리 10 NTP 서버 연동(실시간 동기화) 기능관리 11
최소한의 서비스만 제공(All Deny 기본)
12 장비 사용량 정기점검 13 불필요한 SNMP 중지 14
SNMP 사용 시, 유추 불가한 Community String 설정
기타 15 비인가 SW(백도어, 악성코드 등) 설치여부
*참고 : 한국인터넷진흥원 주요정보통신기반시설_기술적_취약점_분석ㆍ평가_방법_상세가이드
- L2급 이하 장비(L2, AP 등)는 해당사항이 없을 경우 비고란에 [해당없음] 기재
- 장비 설치 완료 후 체크리스트 작성 [붙임3] 서버 체크리스트(유닉스 계열)
(부서 : ㅇㅇ팀
확인자: 홍길동 (서명) )
분 류 구 분
점
검
항
목
점검여부 (O,X) 비고 계정관리 1 root 계정 원격 접속 제한 2
패스워드 보안설정 (복잡도, 최소길이, 사용기간, 파일보호, 세션타임)
3 계정 잠금 임계값 설정 서비스 관리 4
root 홈, 패스 디렉터리 권한 및 패스 설정
5 파일 및 디렉터리 소유자 설정(홈 포함) 6 파일 소유자 권한 설정
/etc/passwd, /etc/services 소유자 root, 권한 644 이하
/etc/shadow 소유자 root, 권한 400 이하
/etc/hosts, /etc/inetd.conf 소유자 root, 권한 600 이하
/etc/syslog.conf 소유자 root(bin,sys가능), 권한 640 이하
7
SUID, SGID, Sticky bit 설정 파일 점검
8
사용자, 시스템 시작파일 및 환경파일 소유자 및 권한 설정
9 world writable 파일 점검 10
/dev에 존재하지 않는 device 파일 점검
11
$HOME/.rhosts, hosts.equiv 사용 금지
12 접속 IP 및 포트 제한 13 UMASK 설정 관리 14 서비스 비활성화
(Finger, Anonymous FTP, r계열, NFS, automountd, RPC, NIS, TFTP, talk, ntalk, SMTP, 웹서비스 디렉토리 리스팅, Dos 공격에 취약한 서비스)
15 SSH 원격접속 허용 16 cron 파일 소유자 및 권한설정 17 (NFS사용 시) NFS 접근 통제 18 automountd 제거 19 (NIS 사용 시) NIS, NIS+ 점검 20 [Sendmail 사용 시]
Sendmail 버전 점검 ,스팸 메일 릴레이 제한,일반사용자의 Sendmail 실행 방지
21 [DNS 서버 구축 시]
DNS 보안 버전 패치, DNS Zone Transfer 설정
22 웹서비스 보안설정
(웹 프로세스 권한 제한, 상위 디렉토리 접근 금지, 불필요한 파일 제거, 링크 사용 금지, 파일 업로드 및 다운로드 제한, 영역의 분리, 정보 숨김)
패치관리 23
최신 보안패치 및 벤더 권고사항 적용(OS, 웹서비스)
기타 24 비인가 SW(백도어, 악성코드 등) 설치여부
*참고 : 한국인터넷진흥원 주요정보통신기반시설_기술적_취약점_분석ㆍ평가_방법_상세가이드
- 예외사유 존재 시, 비고란에 예외사유 기재. 검수 및 보안설정 완료 후 체크리스트 작성
[붙임4] 서버 체크리스트(윈도우 계열)
(부서 : ㅇㅇ팀
확인자: 홍길동 (서명) )
분 류 구 분
점
검
항
목
점검여부 (O,X) 비고 계정관리 1
Administrator 계정 이름 변경 또는 보안성 강화
2
Guest 계정 비활성화 및 불필요한 계정 제거
3 계정 잠금 관련 보안설정(임계값, 기간설정) 4
패스워드 관련 보안설정(암호길이, 사용기간, 복잡도)
5 해독가능한 암호화를 사용하여 암호저장 해제 6 관리자 그룹에 최소한의 사용자 포함 서비스 관리 7 공유 권한 및 사용자 그룹 설정 8 하드디스크 기본 공유 제거 9 불필요한 서비스 제거 10 IIS 관련 점검 및 보안설정
(서비스 구동 점검, 디렉토리 리스팅 제거, CGI 실행 제한, 상위 디렉토리 접근 금지, 불필요한 파일 제거, 웹프로세스 권한 제한, 링크사용 금지, 파일 업로드 및 다운로드 제한, DB연결 취약점 점검, 가상 디렉토리 삭제, 데이터파일 ACL, 미사용 스크립트 매핑 제거, Exec 명령어 쉘 호출 진단, WebDAV 비활성화, 버전정보 숨김)
11 NetBIOS 바인딩 서비스 구동 점검 12 (FTP 사용 시)
서비스 구동 점검 및 FTP 디렉토리 접근권한 설정,
Anonymous FTP 금지, FTP 접근제어 설정
13 DNS Zone Tranfer 설정 14
RDS(Remote Data Services) 제거 또는 접근제어솔루션 사용
패치관리 15 최신 서비스팩 및 HOT FIX 적용 16 백신 프로그램 업데이트 로그관리 17 로그의 정기적 검토 및 보고 18 원격으로 엑세스 할 수 있는 레지스트리 경로 보안관리 19 백신프로그램 설치 20 SAM 파일 접근통제 설정 21
(전산실 등 통제구역 외 설치할 경우) 화면보호기 설정
22 로그온 하지 않고 시스템 종료 불허 23 원격 시스템에서 강제로 시스템 종료 불허 24
보안감사를 로그할 수 없는 경우 즉시 시스템 종료 해제
25 SAM 계정과 공유의 익명 열거 불허 26 Autologon 기능 제어 27
(전산실 등 통제구역 외 설치할 경우) 이동식 미디어 포맷 및 꺼내기 불허
28 디스크 볼륨 암호화 설정 29 비인가 SW(백도어, 악성코드 등) 설치여부
*참고 : 한국인터넷진흥원 주요정보통신기반시설_기술적_취약점_분석ㆍ평가_방법_상세가이드
- 예외사유 존재 시, 비고란에 예외사유 기재. 검수 및 보안설정 완료 후 체크리스트 작성
[붙임5] DBMS 체크리스트
(부서 : ㅇㅇ팀
확인자: 홍길동 (서명) )
분 류 구 분
점
검
항
목
점검여부 (O,X) 비고 계정관리 1 기본 계정 패스워드 및 권한 변경 2
데이터베이스 불필요 계정 제거 또는 잠금 설정 후 사용
3 패스워드 사용기간 및 복잡도 설정 4
데이터베이스 관리자 권한을 꼭 필요한 계정 및 그룹에 허용
접근관리 5 DB 서버로의 원격 접속 제한 6
DBA 이외의 비인가 사용자 시스템 테이블에 접근할 수 없도록 설정
7 오라클 DB인 경우, 리스너의 패스워드 설정 8 일정 횟수 로그인 실패 시 잠금정책 설정 9
데이터베이스 주요 파일(설정파일, 패스워드 파일 등)에 접근권한 설정
옵션관리 10
응용프로그램 또는 DBA 계정의 Role이 Public으로 설정되지 않도록 조정
11
OS_ROLES, REMOTE_OS_AUTHENTICATION, REMOTE_OS_ROLES를 FALSE로 설정
패치관리 12 데이터베이스에 대해 최신 보안패치 적용 13
DBMS에 대한 기본적인 감사 로그 저장 정책 적용
(로그인 실패, 권한, 객체 등에 대한 감사 설정)
기타 14 비인가 SW(백도어, 악성코드 등) 설치여부
*참고 : 한국인터넷진흥원 주요정보통신기반시설_기술적_취약점_분석ㆍ평가_방법_상세가이드
- 해당사항이 없을 경우, 비고란에 [해당없음] 기재
- 검수 및 보안설정 완료 후 체크리스트 작성
[붙임6]
단말기 체크리스트 (PC, 노트북, 태블릿 등)
(부서 : ㅇㅇ팀
확인자: 홍길동 (서명) )
분 류 구 분
점
검
항
목
점검여부 (O,X) 비고 계정관리 1 CMOS 설정 2
Defalut 계정, 윈도우 계정 패스워드 설정
3 잠금화면 설정 4 최대 패스워드 사용 기간 정책 패치관리 5 보안 업데이트 가능한 OS 설치
(Windows 7 이하 등 보안 지원 중단된 OS 금지)
6 최신버전 업데이트
(OS, 한글 및 Office 등 편집프로그램, V3 등 백신)
기타 7
부서/연구실 내 정보시스템 관리대장 기재 확인
8
비인가 HW 부착여부 확인(백도어HW, 도청장치 등)
육안으로만 확인 9 비인가 SW, 백도어 설치여부 10 정품 SW 사용여부 11 외부인력에 의한 설치 시 보안서약서 징구
*참고 : 한국인터넷진흥원 주요정보통신기반시설_기술적_취약점_분석ㆍ평가_방법_상세가이드
- 맥북, 태블릿 등으로 예외사유 발생 시, 비고란에 예외사유 기재
- 검수 및 보안설정 완료 후 체크리스트 작성
[별표3] 참고 자료 [별첨1] 정보시스템 유지관리 절차서 구분 내 용 비고 유지관리 인력 확인 투입인력 보안서약서 작성
(단, 유효 계약기간 내에 기관과 업체대표가 상호 작성한 보안서약서가 존재하는 경우는 제외)
유지관리 작업내용 보고 및 대응 당해 작업계획 및 내용을 담당자에게 보고
계획서에는, 일시, 작업자 인적사항, 작업목적, 작업소요시간, 시스템 혹은 서비스에 끼칠 영향을 반드시 포함
담당자는 보고내용을 확인하고, 품질, 형상관리, 비즈니스 중요도에 따른 리스크 대처방안을 최대한 확보
작업내역 승인 담당자는 작업계획의 최종승인 여부를 결정 작업환경
작업자는 유지관리 수행 장소에 담당자와 함께 이동
통제구역에서의 유지관리 시, 작업자는 통제구역 출입대장을 작성
작업자는 통제구역 외부로의 시스템 반출·입 시 정보자산 반출·입 대장을 작성
당해 작업은 담당자 입회를 원칙으로 하되, 지속적 입회가 어려운 경우 작업자는 주요 시스템 변경작업, SW/HW 형상의 변경작업, 리스크 발생이 예상되는 작업 시 담당자에게 사전 통보 후 진행
작업종결
작업자는 작업의 완료 및 수행 작업의 로그위치를 담당자에게 통보
작업자는 당해 작업과 관련 발생한 모든 산출물을 담당자에게 보고 및 인계
담당자와 작업자는 당해 작업의 목적완수를 확인하고, 수행 작업과 관련한 특이사항이 없는 경우 작업을 종결
[별첨2] 누출금지 정보의 범위
① 한국과학기술원 정보시스템, 정보자산의 내ㆍ외부 IP주소 현황
② 세부 정보시스템, 정보자산의 제조사, 제품버전, 구성현황 및 정보통신망 구성도
③ 정보시스템의 환경파일 등 구성정보
④ 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보
⑤ 정보통신망 취약점 분석ㆍ평가 결과물 ⑥ 용역사업 결과물 및 프로그램 소스코드
⑦ 국가용 보안시스템 및 정보보호시스템 도입 현황
⑧ 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보
⑨ 「공공기관의 정보공개에 관한 법률」 제9조제1항에 따라 비공개 대상 정보로 분류된 한국과학기술원의 내부문서
⑩ 「개인정보보호법」 제2조 제1호의 개인정보
⑪ 「보안업무규정」제4조의 비밀, 동 시행규칙 제16조제3항의 대외비
⑫ 그 밖에 한국과학기술원이 공개가 불가하다고 판단한 자료
※ 사업기간 중 공개불가 자료가 발생 시 상호 협의하여 추가 할 수 있음
[별첨3] 웹 취약점 점검표 구분 점 검 항 목 점검결과 1 버퍼 오버플로우 2 포맷스트링 3 LDAP 인젝션 4 운영체제 명령 실행 5 SQL 인젝션 6 SSI 인젝션 7 XPath 인젝션 8 디렉터리 인덱싱 9 정보 누출 10 악성 콘텐츠 11 크로스사이트 스크립팅 12 약한 문자열 강도 13 불충분한 인증 14 취약한 패스워드 복구 15 크로스사이트 리퀘스트 변조(CSRF) 16 세션 예측 17 불충분한 인가 18 불충분한 세션 만료 19 세션 고정 20 자동화 공격 21 프로세스 검증 누락 22 파일 업로드 23 파일 다운로드 24 관리자 페이지 노출 25 경로 추적 26 위치 공개 27 데이터 평문 전송 28 쿠키 변조
※ 참고 : 한국인터넷진흥원, 주요정보통신기반시설_기술적_취약점_분석_평가_방법_상세가이드
[별첨4] 사업자 보안위규 처리기준 구분
위
규
사
항
처 리 기 준 심각
1. 비밀 및 대외비 급 정보 유출 및 유출시도
가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출
나. 개인정보·신상정보 목록 유출
다. 비공개 항공사진·공간정보 등 비공개 정보 유출
2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포 ◦사업참여 제한 ◦위규자 및 직속 감독자 등 중징계 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시 중대 1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치
나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용
다. 개인정보․신상정보 목록을 책상 위 등에 방치
라. 기타 비공개 정보에 대한 관리소홀
마. 참여인원에 대한 보안서약서 미징구 및 교육 미실시
2. 사무실(작업장) 보안관리 허술 가. 출입문을 개방한 채 퇴근 등
나. 인가되지 않은 작업자의 내부 시스템 접근
다. 통제구역 내 장비·시설 등 무단 사진촬영
3. 전산정보 보호대책 부실
가. 업무망 인터넷망 혼용사용, USB 등 보조기억매체 기술적 통제 미흡
나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신
다. 개발·유지관리 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여
마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장
바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제
아. 제공된 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)
자. 바이러스 백신 정품 S/W 미설치 ◦위규자 및 직속감독자 등 중징계 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시 보통
1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀
가. 주요 현안ㆍ보고자료를 책상위 등에 방치
나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용
다. 중요정보에 대한 자료 인수․인계 절차 미 이행
2. 사무실 보안관리 부실
가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근
나. 출입키를 책상위 등에 방치 3. 보호구역 출입 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무
나. 보호구역내 비인가자 출입허용 등 통제 불순응
4. 전산정보 보호대책 부실
가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근
나. 네이트온 등 비인가 메신저 무단 사용
다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근
라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여
마. PC 비밀번호를 모니터옆 등 외부에 노출
바. 비인가 보조기억매체 무단 사용
사. 정보시스템 반입시 바이러스 백신 미검사 또는 반출시 자료 삭제 미확인
아. 바이러스 백신 최신 업데이트 또는 정밀점검 미실시
◦위규자 및 직속 감독자 등 경징계 ◦위규자 및 직속 감독자 사유서/경위서 징구 ◦위규자 대상 특별보안교육 실시 경미 1. 업무 관련서류 관리 소홀
가. 진행중인 업무자료를 책상 등에 방치, 퇴근
나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실
가. PC내 보안성이 검증되지 않은 프로그램 사용
나. 보안관련 소프트웨어의 주기적 점검 위반 다. PC 월1회 보안 점검 미이행 ◦위규자 서면ㆍ구두 경고 등 문책 ◦위규자 사유서/경위서 징구 ※ 사업자 보안위규 처리 절차 경위 확인 ▶ 보안위규 처리기준에 따라 조치 ▶ 재발 방지 대책 ▶ 보안조치 이행여부 점검 [별첨5] 보안 위약금 부과 기준 1. 수준별 차등 부과 구분 위규 수준 A급 B급 C급 D급 위규 심각 1건 중대 1건 보통 2건 이상 경미 3건 이상 위약금 비중 부정당업자 등록 건당 500만원 300만원 100만원
- A급은 국가계약법 시행령 제76조에 따라 부정당업자로 지정하여 입찰참가 제한
- 위약금 규모는 사업 규모에 따라 조정하되, 위 기준금액을 하한 금액으로 적용
- 위규 구분은 [사업자 보안위규 처리기준] 참고
2. 보안 위약금은 다른 요인에 의해 상쇄·삭감이 되지 않도록 함
- 보안사고는 1회의 사고만으로도 그 파급력이 큰 것을 감안하여 타 항목과 별도
부과
3. 사업 종료 시 지출금액 조정을 통해 위약금 정산