삼육대학교

개인정보영향평가

제안요청서

(통합정보시스템)

2018. 1.

	목 차
Ⅰ. 사업안내 2 1. 개요 2 2. 사업목적 2 3. 추진배경 및 필요성 2 4. 사업범위 3 5. 기대효과 3 Ⅱ. 개인정보현황 4 1. 하드웨어 구성 및 서버운영현황 4 2. 개인정보처리시스템 현황 4 Ⅲ. 사업수행계획 5 1. 개인정보 영향평가 추진일정 5 2. 개인정보 영향평가 방법 및 절차 5 3. 관리체계별 개인정보영향평가 역할 6 Ⅳ. 사업추진내용 7 1. 추진목표 7 2. 추진방향 7 3. 과업 내용 7 Ⅴ . 제안요청 내용 9 1. 요구 사항 9 2. 요구 사항 목록 9 Ⅵ. 사업자 선정 11 1. 제안 자격 11 2. 사업자 선정 방법 11 3. 제안서 평가와 협상 낙찰자 선정 11 Ⅷ. 제안 안내 사항 12 1. 일반 사항 13 2. 제안 시 전제 조건 13 3. 제안서 등록 및 구비 서류 14 #. 별첨 제안서 서식 및 요구사항 상세

I. 사업안내

1. 개 요

□ 사 업 명 :『개인정보영향평가 용역』

□ 사업기간 : 착수일로부터 3개월

□ 입찰방식 : 일반경쟁입찰

□ 사업자선정방식 : 협상에 의한 계약

2. 사업목적

1) 삼육대학교의 개인정보 관리체계를 분석하여, 보다 체계적인 개인정보 관리체계를 수립 합.

2) 전문가의 객관적인 개인정보보호 관리실태 점검을 통해 개인정보보호 기반을 수립 함.

3) 개인정보보호법 의무사항을 효과적으로 준수하기 위하여 삼육대학교 개인정보보호 현황 및 실태를 조사, 분석하고, 하여 운용중인 개인정보처리시스템에 대한 개인정보 영향평가를  통해 사전에 개인정보 침해 요인을 파악하고 개선방안을 수립, 적용하여 침해사고를 사전에 예방하는데 목적으로 함.

3. 추진배경 및 필요성

1) 「개인정보보호법」제33조 및 「개인정보보호법 시행령」제35조에서 공공기관이 일정 규모이상의 개인정보 파일을 운영하는 경우 개인정보 영향평가를 의무적으로 수행하도록 하고 있음.

※ 2011년 9월 30일 개인정보보호법 시행 당시 개인정보파일을 구축 또는 운영하고 있는 공공기관의 장은 5년 이내에 해당 파일에 대한 개인정보영향평가를 실시한 후 행정자치부 장관에 제출하도록 하고 있음

2) 개인정보보호법 제정에 따라 교육과학분야의 법률도 일부 개정되어 실시하고 있음.

연번	법령	개정조항
1	고등교육법 시행령	제73조(고유식별정보의 처리)
2	유아교육법 시행령	제34조의 2(민감정보 및 고유식별정보의 처리)
3	평생교육법 시행령	제14조(학습계좌의 운영) 제6항
4	취업 후 학자금 상환 특별법 시행령	제45조의 2(고유식별정보의 처리)
5	한국장학재단 설립 등에 관한 법률	제50조(자료제출의 요청) 제3항
6	학점 인정 등에 관한 법률 시행령	제19조의2(고유식별정보의 처리)
7	한국장학재단 설립 등에 관한 법률 시행령	제36조의 2(고유식별정보의 처리)

3) 개인정보를 활용하는 신규 정보시스템의 도입, 기존 정보시스템 고도화 및 운영 시 개인정보에 미치는 영향에 대한 사전조사, 예측, 검토를 통해 개선방안 도출 필요.

4) 정보주체의 개인정보 침해가 우려되는 경우 그 위험요인의 분석과 개선 사항 도출을 위한 영향평가 사업 필요.

5) 본 대학교에서 운용중인 개인정보처리시스템에 대한 개인정보 영향평가를 통해 사전에 개인정보 침해 요인을 파악하고 개선방안을 수립, 적용하여 침해사고를 사전에 예방하기 위함.

6) 개인정보처리시스템에 대한 개인정보보호 관련 법‧제도 요건 충족여부 파악, 개인정보 생명주기 이해, 발생가능 위험을 사전에 예방하기 위하기 개인정보 영향평가 필요.

4. 사업범위

1) 본 대학의 개인정보 관리체계를 분석하여 보다 체계적인 개인정보 관리체계를 수립

2) 개인정보 영향평가 대상 분야의 경우 개인정보 영향평가를 수행

3) 조직 및 역할의 명확화

5. 기대효과

1) 개인정보보호법에서 요구하는 ①개인정보보호 조직 및 역할의 명확화로 책임의식 고취, ②개인정보 생명주기 프로세스의 준수, ③개인정보의 안정성 확보조치 준수, ④개인정보의 침해 예방으로 삼육대학교의 개인정보보호체계 확립

2) 삼육대학이 보유하고 있는 정보보호 관련 정책, 규정, 절차 및 제반 서식을 정비하여 업무 처리절차의 명확화 및 간소화

3) 행정자치부와 교육부 등 각종 실태 점검에 효과적 대응(교육부 정보보호 수준진단 지표 향상)

4) 개인정보보호를 위한 각종 H/W, S/W, N/W 등 중복 투자 방지로 예산 절감에 기여

II. 정보화 현황

1. 하드웨어 구성도 및 서버운영현황

- 필요시 방문 후 열람 가능

2. 개인정보처리시스템 현황

순번	명칭	내용	비고
1	SU-WINGs	통합정보시스템	개인정보영향평가 대상 시스템

III. 사업수행계획

1. 개인정보 영향평가 추진일정

1) 입찰 절차

① 입찰공고 : 1월 17일

② 제안요청 설명회 : 1월 23일

③ 입찰등록 : 1월 29일

④ 업체 선정 : 1월 29일

2) 개인정보 영향평가 수행 일정

구 분	M1				M2				M3
착수보고회
개인정보 영향평가 수행
최종보고회
결과보고서 작성 및 교육

2. 개인정보 영향평가 방법 및 절차

1) 개인정보 영향평가 절차에 따른 영향평가 실시

① 문서 확인, 인터뷰, 현장방문을 통한 실사 등의 방법을 병행

② 평가 대상 사업에 적용되는 개인정보보호 관련 법령․지침 및 가이드라인 및 내부 규정 등 관련 정책 분석

③ 개인정보 흐름과 개인정보 침해 요인 분석 및 위험평가 실시

④ 개인정보보호 관련 법규, 지침 등 관련 내용을 반영한 개선방안 수립 및 컨설팅 제공

⑤ 법적 쟁점사항 발생 시 개인정보보호 관련 전문가 또는 변호사, 법학교수 등에게 법률 자문

⑥ 영향평가 점검항목은 『개인정보 영향평가 수행 안내서』 및 개인정보보호법 시행령 제38조제1항의 영향평가기준에 따른 평가영역 및 분야 준용

2) 개인정보 영향평가 수행 절차

3. 관리체계별 개인정보영향평가 역할

구 분	주요 역할
개인정보보호책임자	- 개인정보영향평가 총괄 - 사업계획 및 지원예산 검토․ 확정 - 평가기관의 지정 및 감독
개인정보보호담당자	- 입찰의뢰 및 사업자 선정 등 계약체결 지원 - 사업수행관리, 사업감리, 검사 참여, 사업비 집행 등 - 사업 기본계획 수립 및 제안요청서 작성
분야별책임자	- 사업관리, 요구사항 제시 및 검사 - 결과물 인수 및 사후관리
영상정보기기책임자	- 영상정보기기의 운용 및 관리 방안 검토
평가기관	- 사업추진에 따른 계약 이행 - 개인정보 관련 교육 및 기술 이전 등

IV. 사업추진 내용

1. 추진 목표

1) 개인정보 침해요인의 객관적 사전분석 및 예방활동을 통한 개인정보보호 사각지대 최소화

2) 전문가의 객관적인 개인정보보호 관리실태 점검을 통해 개인정보보호 기반조성

3) 개인정보보호 관리현황 파악 및 침해예방 활동을 통한 개인정보보호기반 조성 및 위상 제고

2. 추진 방향

1) 개인정보보호법 준수여부 파악을 위한 개인정보 처리실태, 관리현황, 관리체계 및 대책 중심의 진단 수행

2) 전문가 중심의 수기점검과 자동 점검툴을 이용한 조사‧분석을 통해 미흡점을 도출하고 이에 대한 보완방안 제시 및 기술지원 수행

3) 「개인정보보호법 시행령」제37조에 의해 지정된 개인정보 영향평가기관을 통해 사업 수행

3. 과업 내용

1) 개인정보영향평가 계획 수립

① 개인정보영향평가팀 구성 방안 및 운영계획 수립

② 개인정보영향평가 계획 수립

2) 개인정보 자료 분석 및 검토

① 내부 정책 자료 분석

- 내부의 개인정보보호 관리체계, 규정, 조직 현황 등 분석

- 개인정보 취급자(정보시스템 운영자, 접근자 등), 위탁 업체 등에 대한 내부규정 및 관리․교육체계 분석

- 시스템 구조와 연계된 개인정보보호 기술 현황 파악

② 외부 정책 자료 분석

- 일반적인 공공기관 개인정보보호 정책 환경 분석

- 영향평가 대상사업의 특수성을 반영한 정책 환경 분석

3) 개인정보 흐름 분석

① 취급하는 개인정보 흐름에 대한 파악을 위해 정보시스템 내 개인정보 흐름 분석

② 개인정보 취급현황 분석 (개인정보 취급 업무표 작성 등)

③ 개인정보 취급 업무 흐름도 작성

④ 개인정보 흐름표 작성

* 개인정보 생명주기별 현황 등을 기재하여 개인정보의 흐름을 한눈에 이해할 수  있도록 작성

* 개인정보 흐름도 및 시스템 구조도 작성

4) 개인정보 침해 요인 분석

① 영향평가 영역 구성

- 개인정보 침해요인을 분석하기 위해 개인정보를 취급하는 개인정보 관리체계와 평가대상 사업의 개인정보보호 관리체계, 개인정보 생명주기에 따른 개인정보 처리단계별 보호 조치 사항 등을 파악하고 분석 수행

- 개인정보보호법 시행령 제38조제1항의 영향평가기준에 따른 평가영역 및 분야, 개인정보 영향평가 수행 안내서의 예시를 준용하되 필요한 경우 실정에 맞는 평가 영역 재구성

② 영향평가 항목 구성

- 개인정보 취급 업무 및 개인정보 흐름별 평가항목 작성

- 개인정보보호법 시행령 제38조제1항의 영향평가기준에 따른 평가영역 및 분야, 개인정보 영향평가 수행 안내서의 예시를 준용하여 평가 항목 구성 및 정의

③ 개인정보 침해 위험 요인 도출

- 평가항목을 기초로 자료분석, 현장실사, 담당자 인터뷰 등을 통해 개인정보보호 조치 사항을 파악하고 개인정보 침해요인 분석

5) 위험도 산정(위험평가)

① 개인정보 침해위험 요소에 대한 위험도 산정방안을 제시하고 이에 따라 위험도 산출

6) 개선방안 도출 및 개선계획 수립

① 침해요인별 위험도 측정결과를 토대로 개선방안 수립

② 도출된 개인정보 침해요소 및 개선방안, 인력 및 예산 등 자원을 고려하고 유관 업무 담당자 협의를 거쳐 체계적으로 정비한 개선 계획을 수립

7) 영향평가 보고서 작성

① 개인정보 영향평가의 모든 과정 및 산출물을 정리하여 종합적인 결과 보고서 작성 제출 (행정자치부 제출용 포함)

V. 제안요청 내용

1. 요구 사항

구분	ID부여 규칙	설명	요구사항 개수
컨설팅 요구사항	CSR	Customer Service Request	20
보안 요구사항	SER	Security Requirement	4
품질 요구사항	QUR	Quality Requirement	2
제약사항	COR	Constraint Requirement	1
프로젝트 관리 요구사항	PMR	Project Management Requirement	2
프로젝트 지원 요구사항	PSR	Project Support Requirement	2
합 계			31

※ 상세 요구사항은 [첨부1] 참조

2. 요구 사항 목록

요구사항	고유번호	요구사항 명칭
컨설팅 요구사항	CSR-001	개인정보 영향평가 일반사항
	CSR-002	개인정보 영향평가 수행 요구사항 - 개인정보영향평가 계획 수립(1)
	CSR-003	개인정보 영향평가 수행 요구사항 - 개인정보영향평가 계획 수립(2)
	CSR-004	개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석(1)
	CSR-005	개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석(2)
	CSR-006	개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석(3)
	CSR-007	개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(1)
	CSR-008	개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(2)
	CSR-009	개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(3)
	CSR-010	개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(4)
	CSR-011	개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(5)
	CSR-012	개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(1)
	CSR-013	개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(2)
	CSR-014	개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(3)
	CSR-015	개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(4)
	CSR-016	개인정보 영향평가 수행 요구사항 – 개선 계획 수립(1)
	CSR-017	개인정보 영향평가 수행 요구사항 – 개선 계획 수립(2)
	CSR-018	개인정보 영향평가 수행 요구사항 – 영향평가 보고서 작성
	CSR-019	영향평가 이행점검 요구사항
	CSR-020	개인정보 관리체계 고도화
보안 요구사항	SER-001	공통 보안요구사항
	SER-002	사업 착수시 보안요구사항
	SER-003	사업 수행시 보안요구사항
	SER-004	사업 완료시 보안요구사항
품질 요구사항	QUR-001	품질관리 및 보증 방안
	QUR-002	산출물 관리
제약사항	COR-001	프로젝트 장소 및 환경
프로젝트 관리 요구사항	PMR-001	업무보고 요구사항
	PMR-002	사업수행 조직구성
프로젝트 지원 요구사항	PSR-001	교육계획 수립
	PSR-002	하자ㆍ유지보수

VI. 사업자 선정

1. 제안 자격

1) 「국가를 당사자로 하는 계약에 관한 법률」시행령 제12조 및 동법 시행규칙 제21조 규정에 따라 경쟁 입찰 참가자격을 갖추어야 하며, 조달청 입찰 참가 자격등록증 소지업체이어야 함

2) 「국가를 당사자로 하는 계약에 관한 법률」 제76조에 해당하지 않는 업체(부정당업자의 입찰참가자격 제한)

3) 제안 대상 사업의 수행이 가능한 법인으로 아래 각 호를 충족하는 업체

『개인정보보호법』제33조 및 동법 시행령 제37조, 제38조에 의해 행정자치부장관이 개인정보 영향평가 기관으로 지정한 업체

4) 본 사업은 하도급을 불허하는 사업임

2. 사업자 선정 방법

1) 본 사업의 계약방식은「국가를당사자로하는계약에관한법률시행령」제43조 (협상에 의한 계약체결)에 의함

2) 본 사업에 응찰하고자 하는 제안사는 제안요청서에 따라 제안서를 작성하여 삼육대학교에 제출하며 평가는 삼육대학교 규정에 준함

3. 제안서 평가와 협상, 낙찰자 결정

1) 기술평가와 가격평가를 실시하여 종합평가점수로 산출

- 평가비율 : 기술평가(80%), 가격평가(20%)

- 종합평가점수 산출 = 기술 평가점수 + 입찰가격 평가점수

2) 기술평가

- 삼육대학교가 정한 평가기준에 의해 평가함

- 협상 대상업체를 선정하기 위한 평가는 기술평가와 가격평가로 구분하되 우수한 용역품질을 보장할 수 있도록 기술평가의 비중을 100분의 80으로 하고, 가격  제안서평가의 비중을 100분의 20으로 함

- 총점 80점 기준으로 각 평가 항목에 대한 점수를 합산하여 평가

- 제안서 평가점수는 공개하지 않으며, 제안업체는 평가결과에 대하여 이의를 제기할 수 없음

3) 가격평가

- 평점산식에 따라 평가점수를 산출

4) 사업자 선정

- 제안서 평가 결과 기술능력평가 점수가 기술능력평가분야 배점한도의 85% 이상인 자를 협상적격자로 선정

- 기술평가점수(80%)와 가격평가점수(20%)를 합산하여 최고득점자를 우선협상대상자로 선정

- 협상순서는 종합평가 점수의 고득점 순에 의하여 결정

- 우선협상 대상자와 가격 및 지원조건 등을 협상하고 협상 결렬시 차순위 업체와 동일한 조건으로 협상함

- 협상이 성립된 때에는 다른 협상 적격자와의 협상은 실시하지 않음

- 제안서 평가위원회의 평가내용과 평가결과 관련서류는 공개하지 않음

- 제안서 평가결과는 개별 통보하며, 협상대상으로 선정되지 않은 업체에 대한 통보는 생략함

- 모든 협상적격자와 협상 결렬시 재공고입찰에 부칠 수 있음

VII. 제안 안내 사항

1. 일반 사항

1) 입찰참여 업체는 계약진행 및 사업완료 후 무상 하자보수 기간 동안 삼육대학교에서 감사 등의 사유로 본 사업 이행에 관한 자료제출, 서류열람 등의 요구에 적극 협력하여야 한다.

2) 제안서 상에 허위사실이 발견된 업체와 계약을 체결하지 않거나 계약을 해지할 수 있으며, 이에 따른 민․형사상의 책임을 물을 수 있다.

3) 제안사는 사업수행과정에서 발생하는 안전사고 및 이에 따른 보상 등 제반사항에 대하여 모든 책임을 진다.

4) 제안사가 사업수행과정에서 취득한 정보는 어떠한 경우에도 제 3자에게 누설하여서는 안 되며, 본 사업과 관련된 제반자료에 대하여 삼육대학교가 지정하는 자에게만 열람시킬 수 있고, 사업완료 즉시 제반자료를 제출 하여야 한다.

5) 제안사는 계약의 기본방침에 대해 변동 없이 계약내용의 사업항목을 변경함으로써 삼육대학교에 유리하다고 판단될 경우에는 계약내용에 대한 변경을 제안할 수 있으며 이 경우 삼육대학교의 승인을 받아야 한다.

6) 제안사의 계약이행내용 및 품질에 중대한 하자가 있거나, 본 계약내용을 위반하였을 경우에는 지정된 기일까지 보완하여야 하고, 이행하지 않았을 경우 보상 없이 계약을 해지할 수 있으며, 계약해지로 인하여 삼육대학교에 손해가 발생한 경우 제안사는 손해배상의 책임을 진다.

7) 제안사는 본 용역 결과물에 대한 지적재산권, 저작권, 사용권 또는 특허등의 분쟁 발생시 일체의 책임을 져야 한다.

8) 당해 계약에 따른 계약 목적물에 대한 지적재산권의 귀속은 삼육대학교의 소유로 하고, 계약당사자는 삼육대학교의 계약목적과 관련되어 당해 계약목적물을 사용(기능개선, 재개발, 유지보수등)함에 있어서는 어떠한 제한을 하여서도 안된다.

9) 본 계약내용에 규정되지 않은 사항으로 계약이행과정에서 발생하는 분쟁은 삼육대학교와 제안사의 합의에 의하여 해결하도록 하며 합의가 이루어지지 않을 경우 삼육대학교의 해석이 우선한다.

10) 제출된 제안서는 일체 반환하지 않으며, 본 제안과 관련된 일체 소요비용은 입찰참가자가 부담한다.

11) 제안서에 명시되지 않은 사항이라도 본 사업 진행상 반드시 필요하거나 불가피한 경미한 사항에 대해서는 본 계약에 포함된 것으로 간주한다.

12) 사업수행에 필요한 투입인력은 삼육대학교에 상주하여야 하며, 필요한 장소 및 설비 기타 작업환경은 상호 협의하여 결정한다.

13) 제안서는 한글작성이 원칙이며, 사용된 영문약어에 대해서는 약어 표를 제공하여야 한다.

14) 제안서는 A4 종 방향작성을 원칙으로 하되 부득이한 경우 A4 횡 또는 기타 용지를 일부 사용할 수 있으며 책자로 제작하여야 한다.

15) 제안서의 내용은 선정된 후 계약서에 명시되지 않더라도 계약서와 동일한 효력을 가진다.(단, 계약서에 명시한 경우에는 계약서 사항이 우선한다.)

16) 제안서의 설명

- 제안서 내용의 검토를 위해 추후 삼육대학교가 지정하는 장소에서 제안서와 관련된 설명회를 실시할 수 있다.

2. 제안시 전제조건

1) 본 사업 수행과정에서 법․제도의 변경, 정부의 정책변경 등 현저한 사업 환경 변화가 있을 경우 사업이 변경 또는 중지, 취소될 수 있다. 이 경우, 계약이전의 변경사항에 대하여는 계약 협상 시에 반영하여 계약토록 하고 계약 후 발생되는 변경사항은 변경 일을 기준으로 정산토록 한다.

2) 제안사는 본 용역 결과물에 대한 발생하는 지적재산권, 저작권, 사용권 또는 특허 등의 분쟁발생시 일체의 책임을 져야 한다.

3) 당해 계약에 따른 계약목적물에 대한 지적재산권의 귀속(공동소유를 포함)은 계약당사자가 상호 협의하여 결정하며, 계약상대자는 발주기관이 계약목적과 관련되어 당해 계약목적물을 사용(기능개선, 재 재발, 유지보수 등)함에 있어서는 어떠한 제한을 하여서도 아니 된다.

4) 제안사의 제안내용에 대한 확인, 검증이 필요한 경우 제안 사(社)에 입증자료를 요구할 수 있으며, 입증자료를 제출하지 못할 경우 동 제안내용은 없음으로 간주한다.

3. 제안서 등록 및 구비 서류

□ 제출기한 : 입찰공고 참조

□ 제 출 처 : 입찰공고 참조

□ 제출부수

- 제안서 및 제안서 요약서 각 10부(원본 1부, 사본 9부)와 동 내용이 모두 수록된 CD(또는 USB메모리) 3매

- 제안업체 일반현황 및 연혁, 주요사업실적, 참여인력 이력사항 각 1부

□ 제출방법

- 제안서는 등록서류를 갖추어 기한 내에 접수 장소에 직접 제출하여야 함(우편 접수 불가)

- 제출 기한 내 미제출시 제안의사가 없는 것으로 처리함

- 제출된 제반자료는 반환하지 않음

□ 문의처

- 제안관련 문의 : 삼육대학교 정보전산원    02-3399-3207

- 입찰관련 문의 : 삼육대학교 사무처 구매팀 02-3399-3486

[첨부 1] 요구 사항 상세

1) 컨설팅 요구사항

요구사항 고유번호		CSR-001
요구사항 명칭		개인정보 영향평가 일반사항
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	영향평가 일반사항
	세부내용	○ 삼육대학교 개인정보처리시스템을 대상으로 영향평가를 수행 ○ 관리적⋅기술적 보호조치의 적정성 및 법적 의무사항 준수여부 등을 확인 하여야 함 ○ “개인정보 영향평가에 관한 고시” 및 “공공기관 개인정보 영향평가 수행 안내서” 등을 준용하여 사업을 수행하여야 함 ○ 개인정보보호 관리체계의 적정성 분석과 개선방안 수립을 수행하여야 함 - 기관의 개인정보보호 조직, 개인정보보호 추진계획, 개인정보보호방침, 개인정보 위탁 및 제공 시 안전조치, 개인정보 침해대응, 개인정보 처리구역 보호 등의 분석 및 개선방안 제시 - 대상시스템의 개인정보 취급자, 취급 내용, 보유기간 등의 적정성 및 개선방안 제시 ○ 개인정보 처리단계별 보호의 적정성 분석 및 조치방안을 마련하여야 함 - 개인정보 수집, 저장 및 보유, 이용 및 연계․제공, 파기단계에 이르는 각 단계별 보호조치의 적정성 분석 ○ 개인정보보호 점검결과에 따른 개선방안 및 후속조치방안을 마련하여야 함 - 개인정보보호 관련 법규 위반사항에 대한 개선방안 마련 등 - 개인정보영향평가 결과에 따른 시스템 개선방안 도출 * 개선방안 및 후속조치방안은 조치가 가능하도록 상세히 제시(내부정책자료의 경우 초안, 양식 제공 등의 컨설팅 지원)되어야 함
산출정보

요구사항 고유번호		CSR-002
요구사항 명칭		개인정보 영향평가 수행 요구사항 - 개인정보영향평가 계획 수립(1)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	개인정보 영향평가팀 구성 및 운영계획 수립
	세부내용	○ 개인정보영향평가팀 구성 방안 및 운영계획 수립 - 평가하고자 하는 사업 자체에 대한 이해와 개인정보보호 관련 법제 및 정책, 전략 수립, 기술∙시스템 분석 및 정보보안(Security) 등의 광범위하고 다양한 전문 지식과 정보를 보광주 기관 내 유관 부서, 사업을 구축하는 업체 (개발용역업체), 외부 전문가 등으로 팀을 구성 - 영향평가팀에 참여하는 부서 및 유관 기관 담당자의 역할 및 책임 배분 ※ 역할 및 책임 배분 시 담당자의 업무를 명확히 정의하고 업무의 중복을 가급적 지양할 것
산출정보		개인정보 영향평가팀 운영계획서

요구사항 고유번호		CSR-003
요구사항 명칭		개인정보 영향평가 수행 요구사항 - 개인정보영향평가 계획 수립(2)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	개인정보영향평가 계획 수립
	세부내용	○ 효율적인 평가 수행을 위한 영향평가 수행계획 수립 ○ 개인정보영향평가 계획 수립 - 평가목적, 평가대상 및 범위, 평가주체(평가팀), 평가기간, 평가절차(방법), 주요 평가사항, 평가기준 및 항목, 자료 수집 및 분석 계획 등을 포함
산출정보		개인정보 영향평가 계획서

요구사항 고유번호		CSR-004
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석(1)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	내부 정책 평가자료의 수집 및 분석
	세부내용	○ 개인정보보호 관련 기관 내부 정책 환경 분석의 적절성 확보 ○ 개인정보 영향평가를 위한 내부 정책 자료의 수집 및 분석 - (조직∙체계 자료) 기관 내 개인정보 보호방침, 개인정보 관리계획, 직제표, 개인정보 보호규정, 정보보안 규정 등의 분석 - (인적 통제∙교육 자료) 개인정보 관련 조직 내 업무 분장표 및 직급별 업무 권한 현황, 정보시스템의 접근 권한에 대한 내부 규정, 시스템 운영자 및 정보취급자에 대한 교육 계획, 위탁 업체 관리 규정 등의 분석 - (정보 보안 자료) 방화벽 등 침입차단 시스템 및 백신프로그램 도입 현황, 기존 유사 시스템 구조도 등의 분석
산출정보		평가자료 분석서

요구사항 고유번호		CSR-005
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석(2)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	외부 정책 평가자료의 수집 및 분석
	세부내용	○ 개인정보보호 관련 기관 외부 정책 환경 분석의 적절성 확보 ○ 개인정보 영향평가를 위한 외부 정책 자료의 수집 및 분석 - 공공기관에게 공통적으로 해당되는 일반 정책 자료의 분석 - 평가 대상 사업에 한해 제한적으로 적용되는 특수 정책 자료의 분석 ※ 개인정보보호 관련 법규 준수 여부 평가(법령, 지침, 가이드라인, 훈령 등)
산출정보		평가자료 분석서

요구사항 고유번호		CSR-006
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석(3)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	평가 대상사업 관련자료의 수집 및 분석
	세부내용	○ 대상시스템 분석의 적절성 확보 ○ 개인정보 영향평가 대상시스템 관련 자료의 수집 및 분석 - (사업수행자료) 사업추진 계획서, 제안 요청서, 과제 수행 계획서, 요구사항 정의서, 업무 매뉴얼(기 구축 시) 등의 분석 - (외부연계) 위탁 계획서, 연계 계획서 등의 분석 - (개발산출물) 시스템 설계서, 요건 정의서, 업무 흐름도, 기능 정의서, Data Flow Diagram, 테이블 정의서, 화면 설계서, 메뉴 구조도 등의 분석
산출정보		평가자료 분석서

요구사항 고유번호		CSR-007
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(1)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	평가대상 업무 현황 분석 자료 검토
	세부 내용	○ 영향평가 대상사업을 면밀히 분석하고 업무를 정의하여 해당 사업을 통해 처리되는 업무 중 개인정보 취급이 수반되는 업무를 도출 ○ 개인정보 처리업무 현황 분석 자료 검토 - 대상 정보시스템 개발 관련 산출물 분석 및 담당자 인터뷰 등을 통해 수행 - (영향평가 업무명) 영향평가 대상시스템에서 개인정보가 취급되는 업무를 주요 업무단위로 기재 - (취급 개인정보) 평가 업무명 단위로 취급되는 개인정보 기재 - (개인정보 영향도) 취급개인정보의 중요도에 따라 영향도를 산정 ※ 개인정보 처리업무 현황 분석으로 도출된 업무별로 개인정보 취급 업무 흐름표 작성할 것
산출정보		개인정보 취급 업무흐름표

요구사항 고유번호		CSR-008
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(2)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	평가대상 업무 흐름도 작성
	세부 내용	○ 도출된 개인정보 취급 업무별로 개인정보 취급 업무표의 개인정보 취급 업무별 세부 업무절차를 작성 ○ 개인정보 처리업무 흐름도 작성 - 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성 ※ 개인정보 업무 흐름도는 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계 기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성할 것
산출정보		개인정보 처리업무 흐름도

요구사항 고유번호		CSR-009
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(3)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	개인정보 흐름표 작성
	세부 내용	○ 개인정보 취급 단계별로 취급되는 개인정보 현황 및 처리 내역 등을 용이하게 식별 할 수 있도록 개인정보 흐름표를 작성 ○ 개인정보를 취급 업무별로 개인정보의 수집∙보유∙이용/제공∙파기로 구분하여 구체적으로 작성 ○ 개인정보 흐름표 작성 - 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성 ※ 개인정보 흐름표에는 업무명을 기반으로 개인정보의 수집-보유-이용∙제공-파기에 이르는 Life-Cycle별 현황 등을 기재하여 개인정보의 흐름을 한눈에 이해할 수 있도록 작성할 것
산출정보		개인정보 흐름표

요구사항 고유번호		CSR-010
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(4)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	개인정보 흐름도 작성
	세부 내용	○ 개인정보 취급이 수반되는 업무별로 개인정보의 수집∙보유∙이용/제공∙파기되는 개인정보의 흐름을 한 눈에 파악할 수 있도록 개인정보 흐름도를 작성 ○ 개인정보 흐름도 작성 - 개인정보와 관련한 업무를 기재하고, 업무와 관련하여 개인정보 취급과 관련한 담당자 및 담당부서, 정보주체 등을 포함하여 기재 - 개인정보를 취급하는 관련업무, 취급과 관련하여 사용되는 매체(PC, 노트북, 신청서등의 문서)와 수집한 개인정보를 처리할 때 관련한 IT시스템(DB, 웹서버 등)을 표시하고 각 요소들 간의 이동 시 전송되는 개인정보 항목을 기재 ※ 개인정보 흐름도는 개인정보를 취급 업무별로 개인정보 흐름표를 기준으로 수집∙보유∙이용/제공∙파기 등의 생명주기를 기반으로 해당 업무 처리자 및 시스템의 구성사항을 고려하여 구체적으로 작성할 것
산출정보		개인정보 흐름도

요구사항 고유번호		CSR-011
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(5)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	정보시스템 구조도 및 정보보호 시스템 목록 작성
	세부 내용	○ 정보시스템 구조도 작성 ○ 정보보호 기술적∙물리적∙관리적 보안 메커니즘 목록 작성 ※ 방화벽, 침입탐지시스템과 같은 보안 메커니즘을 포함하여 전송 데이터 암호화, DB 암호화 등 개인정보보호를 위한 기술적∙물리적∙관리적 보안 메커니즘의 타당성을 검토할 것
산출정보		정보시스템 구조도 및 정보보호 시스템 목록

요구사항 고유번호		CSR-012
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(1)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	평가 기준 수립 및 개인정보보호 조치 사항 파악을 위한 평가항목 작성
	세부 내용	○ 「공공기관 개인정보 영향평가 안내서」의 영향평가 항목을 기준으로 영향 평가영역을 구성 ○ 영향평가기준 및 평가항목 수립 - 개인정보 취급 업무 및 개인정보 흐름이 다수 존재하는 경우에는 각 흐름별로 평가항목을 각각 작성 - 평가 항목 외에도 관련 근거, 항목 설명, 확인 자료 등을 제시하여 작성
산출정보		개인정보 평가 기준 및 평가항목 정의서

요구사항 고유번호		CSR-013
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(2)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	자료 분석, 현장 실사, 담당자 인터뷰 등을 통해 개인정보보호 조치 현황 파악
	세부 내용	○ 개인정보 조치사항 및 계획 등을 파악 ○ 평가기준 및 평가항목에 따라 자료분석, 현장실사, 담당자 및 취급자 대상 인터뷰를 통한 분석 수행 ○ 개인정보 흐름분석 시 도출된 업무 흐름표를 활용하여 개인정보 라이프 사이클별로 구분한 후, 위험요소별 개인정보 침해요인 분석
산출정보		개인정보 보호조치 현황 분석서

요구사항 고유번호		CSR-014
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(3)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	도출된 개인정보 침해 요소에 대한 위험도 산정
	세부 내용	○ 위험요소 분석 및 위험도 산정 - 자산별 침해요인 연계 개념도 작성 - 중요도와 취약점, 위협요소 등을 고려하여 위험요소 분석 및 위험도 산정
산출정보		개인정보 침해요인 위험도 산정표

요구사항 고유번호		CSR-015
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(4)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	침해요소에 대한 위험 관리 방안 수립
	세부 내용	○ 위험도의 우선순위에 따라 나열하여 해당 기관이 수용 가능한 수준을 정하여 단기, 중∙장기로 구분하여 개선방안을 도출
산출정보		개인정보 침해요인별 개선 방안표

요구사항 고유번호		CSR-016
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개선 계획 수립(1)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	개선 과제 도출
	세부내용	○ 도출된 개인정보 침해요소 및 도출된 개선 방안을 기반으로 개선 과제 도출 - 위험 요소를 제거하거나 최소화할 수 있는 대처 방안 마련 - 위험 요소 해결을 위해 유사 사례에 대한 벤치마킹 등을 수행 - 담당자(개인정보취급자)들이 취약 사항을 시정하기 위해 취해야 할 조치 사항과 책임 사항 등을 마련
산출정보		개선과제 정의서

요구사항 고유번호		CSR-017
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개선 계획 수립(2)
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	개선 계획 수립
	세부내용	○ 개선 계획은 위험평가를 참고하여 위험도가 높은 순서의 개선방안을 먼저 실행하도록 개선 계획표 작성 - 당해 기관 내 보안 조치 현황, 예산, 인력, 정보화 사업 일정 등을 고려
산출정보		개선계획표

요구사항 고유번호		CSR-018
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 영향평가 보고서 작성
요구사항 분류		컨설팅 요구사항	응락수준	필수
요구사항 세부내용	정의	개인정보 영향평가 결과 보고서 작성 및 주요 이슈 사항 검토
	세부내용	○ 개인정보 영향평가 결과서 작성 - 영향평가 전 과정 및 산출물을 정리하여 개선계획서, 영향평가서 등 결과 보고서 작성 ○ 주요 이슈 사항 검토 - 잔존 위험이나 이해관계자 간의 의견 충돌이 있는 경우에는 최고의사 결정권자 를 토론에 참여시킴으로써 해당 사업의 중단∙지속 여부 및 개인정보 보호 정도에 대한 합의 도출 ○ 영향평가 보고서를 최종적으로 검토 또는 승인할 수 있는 조직 내 최고 의사결정권자에게 보고
산출정보		개인정보 영향평가 결과 보고서

요구사항 고유번호		CSR-019
요구사항 명칭		영향평가 이행점검 요구사항
요구사항 분류		컨설팅 요구사항	응락수준	선택
요구사항 세부내용	정의	이행점검
	세부 내용	○ 사업 완료 후 시스템구축 수행사에서 개인정보 영향평가 결과물에 대한 개선방안을 이행하였는지에 대해 이행점검을 하여야 함 ○ 주관기관의 요청에 따라 이행점검을 실시하며, 이행점검 계획, 방법 및 결과보고서를 제출하여야 함 ※ 이행점검 수행 방법 1. 영향평가기관이 구축사업 등이 종료된 시점에 영향평가시 개선요구한 사항의 반영여부를 점검(이 경우 제안요청서에 해당 내용을 기록) 2. 구축사업 등의 감리사업자를 활용하여 영향평가 개선요구사항의 반영 여부를 점검하게 함 3. 사업관리자가 직접 영향평가 개선요구사항의 시스템 반영여부를 점검
산출정보		이행점검 결과보고서

요구사항 고유번호		CSR-020
요구사항 명칭		개인정보 관리체계 컨설팅
요구사항 분류		컨설팅 요구사항	응낙수준	필수
요구사항 세부내용	정의	개인정보 관리체계 고도화 컨설팅
	세부 내용	◦ 개인정보 보호체계 확립 및 관련 규제 준수이행을 위한 고도화 방안 수립 ◦ 주관기관과 충분한 협의 후 고도화 방안 제시
산출정보		개인정보 관리체계 고도화 방안

2) 보안 요구사항

요구사항 고유번호		SER-001
요구사항 명칭		공통 보안요구사항
요구사항 분류		보안	응락수준	필수
요구사항 세부내용	정의	공통 보안
	세부 내용	○ 제안사는 당해 제안과정 또는 업무수행 과정을 통하여 취득한 정보는 절대 외부에 누설, 유출해서는 안 되며, 이를 위반한 경우에는 민·형사상 또는 관계법규에 따라 어떠한 조치와 처벌도 감수해야 함
산출정보

요구사항 고유번호		SER-002
요구사항 명칭		사업 착수시 보안요구사항
요구사항 분류		보안	응락수준	필수
요구사항 세부내용	정의	사업 착수시 보안
	세부 내용	○ 사업수행에 사용되는 문서, 인원, 장비 등에 대한 물리적, 관리적, 기술적 보안대책 및 보안관리 계획을 수립하여 용역에 투입되는 인력 (대표자 포함)에 대한 보안각서와 함께 제출하여야 하며, 해당 정보 누출시 주관기관은 “국가를 당사자로 하는 계약에 관한 법률” 시행령 제76조에 따라 해당 사업자를 부정당업체로 등록 ○ 투입인력에 대해 법률 또는 규정에 의한 비밀유지의무 준수 및 위반 시 처벌내용 등에 대한 보안교육 실시 ○ 필요시 주관기관의 “경비 및 보안규정”에 의거, 투입인력에 대한 신원조사를 실시할 수 있음
산출정보

요구사항 고유번호		SER-003
요구사항 명칭		사업 수행시 보안요구사항
요구사항 분류		보안	응락수준	필수
요구사항 세부내용	정의	사업 수행시 보안
	세부 내용	○ 보안인식 강화를 위하여 주기적으로 자체 보안교육을 실시하여야 하며, 주관기관이 요구하는 보안교육에 참석해야 함 ○ 사업수행 중 주관기관의 보안정책을 위반하였을 경우, 위규자 및 관리자를 행정조치하고, 보안위약금을 주관기관에 납부하여야 함 ○ 과업수행을 위해 제공받은 내부자료에 대해 용역수행책임자(PM)는 “자료관리대장”을 작성하여, 인수인계시 직접 서명․ 관리해야 함
산출정보

요구사항 고유번호		SER-004
요구사항 명칭		사업 완료시 보안요구사항
요구사항 분류		보안	응락수준	필수
요구사항 세부내용	정의	사업 완료시 보안
	세부 내용	○ 사업 수행과정상 취득한 모든 자료와 정보는 사업수행 중은 물론, 사업완료 후에도 이를 유출해서는 안 되며, 사업종료시 정보보안담당자 입회하에 반환, 소각 및 완전 폐기 등 필요한 조치 이행 ○ 사업 종료시, 사업수행업체의 노트북, PC 등은 포맷(Format) 후 반출 ○ 사업 최종 산출물에 대해 정보보안 전문가 또는 전문보안 점검도구를 활용하여 보안 취약점을 점검, 도출된 취약점에 대한 개선을 완료하고 그 결과를 제출해야 한다.
산출정보

3) 품질 요구사항

요구사항 고유번호		QUR-001
요구사항 명칭		품질관리 및 보증 방안
요구사항 분류		품질	응락수준	필수
요구사항 세부내용	정의	품질관리 및 보증 방안
	세부 내용	○ 사업자는 최근의 자료를 이용하여야 하며, 지침 등에 저촉되지 않도록 하여야 함 ○ 사업자는 각종 과업을 신중히 검토하여야 하며, 그 정당성, 정확도 및 안정성 등에 섬세하고 세밀한 평가를 하여야 함 ○ 본 사업 수행목적으로 사용한 모든 공식자료 및 통계는 서면으로 그 근거를 제시하여야 함 ○ 사업자는 본 사업에 관련된 모든 보고서의 조사․분석된 사항과 정리된 자료의 출처, 연도, 참고사항 등과 분석 자료 등 이에 관련된 기타서류를 제출함
산출정보

요구사항 고유번호		QUR-002
요구사항 명칭		산출물 관리
요구사항 분류		품질	응락수준	필수
요구사항 세부내용	정의	품질관리(프로젝트 관리 관점)
	세부 내용	○ 선정된 사업자는 사업추진 과정에서 생산되는 제반 작업 단위별 산출물에 대하여 작업 일정계획 및 품질보증계획과 연계하여 산출물의 종류, 주요 내용, 작성 및 제출 시기, 제출 부수 등을 제시하여야 함 ○ 산출물 관리방안을 제시하여야 함
산출정보		산출물 관리계획서

4) 제약사항

요구사항 고유번호		COR-001
요구사항 명칭		프로젝트 장소 및 환경
요구사항 분류		제약사항	응락수준	필수
요구사항 세부내용	정의	프로젝트 장소 및 환경
	세부 내용	○ 주관기관은 본 사업수행에 필요한 최소한의 작업공간을 제공할 예정이며, 작업공간을 제외한 각종 집기비품 등은 제안사가 부담한다.
산출정보

5) 프로젝트 관리 요구사항

요구사항 고유번호		PMR-001
요구사항 명칭		업무보고 요구사항
요구사항 분류		프로젝트 관리	응락수준	필수
요구사항 세부내용	정의	업무 보고
	세부 내용	○ 협의된 양식에 의거 정기보고서(주간, 월간 등)를 작성/제출하고 업무보고를 실시하여야 한다. ○ 사업수행 중 발생하는 비정기적인 사안에 대해서 주관기관은 수시보고서 제출을 요구할 수 있다.
산출정보		업무보고서

요구사항 고유번호		PMR-002
요구사항 명칭		사업수행 조직 구성
요구사항 분류		프로젝트 관리	응락수준	필수
요구사항 세부내용	정의	사업수행 조직구성
	세부 내용	○ 본 사업을 수행할 추진 조직, 인력 구성 및 프로파일과 단계별 인력 투입계획 및 역할, 투입률 등을 제시하여야 하고, 특히 PM, PL의 경우 투입인력의 기술 수준을 상세히 제시하여야 하며, 추후 인력은 본 기관의 동의 없이 사업자 임의로 변경할 수 없음 - 용역 수행 책임자(PM) 및 구성원는 반드시 주관사업자 소속이어야 함 - 특별한 사유가 없는 한 인력 교체는 불가하며, 불가항력 사유로 인력교체 필요 시 인력교체 안정화 및 품질저하방지대책을 제시해야 함 ○ 프로젝트 추진 일정에 따른 인력 투입계획(발주기관 투입인력 감안)을 제시하여야 함 ○ 참여인력은「개인정보 영향평가에 관한 고시(행정자치부 제2015-53호, ‘15.12.31) 제5조의 수행인력 자격을 갖추어야 함 - 특급인력을 최소 1인 이상 포함하며, 사업기간 내 영향평가가 완료될 수 있도록 충분한 인력이 투입되어야 함 ○ 사업자는 투입인력의 개인정보영향 평가관련 자격 및 경력, 기술등급 등을 확인할 수 있는 서류(경력증명서, 경력수첩사본 및 소프트웨어산업협회의 SW기술자경력증명서 등)를 제안 시 제출해야 함 ○ 본 용역 수행에 있어 자격미달, 근무태도 불량, 기술능력 부족 등으로 판단될 경우에는 해당 기술 인력의 교체를 요구할 수 있으며, 사업자는 특별한 사유가 없는 한 해당 기술 인력을 즉시 교체하여야 하며 인력 교체 시 동급이상의 인력으로 교체하여야 함
산출정보

6) 프로젝트 지원 요구사항

요구사항 고유번호		PSR-001
요구사항 명칭		교육계획 수립
요구사항 분류		프로젝트 지원	응락수준	필수
요구사항 세부내용	정의	교육계획 수립
	세부 내용	○ 개인정보 영향평가 결과물에 대한 사항을 전문가를 통해 개인정보보호 책임자 및 담당자에게 교육을 실시하여야 함 ○ 사업수행기간 중 개인정보에 필요한 교육을 실시하며, 사업수행계획서에 교육계획서를 포함하여 제출하여야 함 - 전 직원 및 개인정보취급자 대상 교육 - 교육에 필요한 교재 및 소요경비는 업체가 부담 ○ 개인정보 영향평가 결과물로 주관기관의 업무 처리시 유의사항을 정리하여 직원교육용 자료를 제공하여야 함 ○ 사업종료 이후에도 추가적인 교육 요구 및 개인정보보호에 대한 자문 역할을 수행하여야 함
산출정보		교육계획서

요구사항 고유번호		PSR-002
요구사항 명칭		하자ㆍ유지보수
요구사항 분류		프로젝트 지원	응락수준	필수
요구사항 세부내용	정의	하자ㆍ유지보수
	세부 내용	○ 무상하자보수기간은 검수일로부터 1년으로 하며, 제안시 하자 및 유지보수 방안을 상세하게 제시하여야 함 ○ 개인정보 영향평가 결과물을 행정자치부에 제출 후 지적된 사항에 대한 보완을 위하여 사업자는 지원체계, 인력을 제시하여야 함
산출정보		유지보수 계획서

[첨부 2] 제안서 목차 및 작성방법

작 성 항 목	작 성 방 법	비 고
Ⅰ. 제안개요	제안사는 해당사업의 제안요청 내용을 명확하게 이해하고 본 제안의 목적, 범위, 전제조건 및 제안의 특징 및 장점을 요약하여 기술하여야 한다.
Ⅱ. 제안업체 일반
1. 일반현황	제안사의 일반현황 및 주요 연혁 및 대외 인지도, 최근 5년간의 재정상태를 명료하게 제시하여야 한다.(최근5년 부정당 제제 사실 별도 표기)	[서식 1]
2. 조직 및 인원	제안사의 조직 및 인원현황을 제시하여야 한다.
3. 주요사업내용	제안사의 주요 사업내용을 분야별로 구분하여 제시하여야 한다.
4. 주요사업실적	해당사업과 관련이 있는 유사 사업실적을 제시하여야 한다.	[서식 2]
Ⅲ. 사업수행부문
1. 추진진략	본 프로젝트의 성공적인 수행을 위한 제안사의 전반적인 추진전략에 대해 제시하여야 한다.
2. 개인정보보호 컨설팅	개인정보보호 준법사항에 대한 이행 점검 및 미비점 보완을 위한 종합적 대응 방안을 제시하여야 한다.
3. 개인정보영향평가
가. 수행방법론	본 프로젝트 수행을 위해 적용하고자 하는 방법론에 대한 일반적인 소개자료 및 특장점을 제시하여야 한다.
나. 수행절차 및 내용	대상업무별 수행절차 및 내용 등 영향평가 수행에 대한 전반적인 방안을 제시하여야 한다.
다. 향후 개인정보보호 업무 추진방향	본 사업에서 도출된 평가결과 및 개선방안과 관련 향후 개인정보보호 업무 추진방향에 대한 방안을 기술한다.
4. 전문인력 운영방안	본 사업에 투입될 영향평가 인력운영방안 및 참여인력의 전문성, 법률 자문위원 구성방안을 기술한다.
5. 산출물 내역	제출할 산출물의 종류 및 내역, 제출시기를 기술한다.
6. 관련사업 추진경험	본 프로젝트와 유사한 사업의 추진 경험을 추진 방법, 절차, 내용 및 성과 등을 포함하여 상세히 기술하여야 한다. - 유사사업(개인정보 영향평가, 개인정보보호관리체계 컨설팅, 개인정보보호 수준진단 등) 컨설팅 경험(사업규모와 수준)을 통해 사업 추진의 가능성 제시
Ⅳ. 사업관리 부문
1. 품질보증계획	사업수행 및 결과물의 품질보증을 위한 조직, 방법, 절차,내용 등을 제시하여야 한다.
2. 위험관리계획	위험관리를 위한 조직, 방법, 절차, 내용 등을 제시하여야 한다.
3. 추진일정계획	사업 추진예정 일정을 참조하여 추진일정을 상세히 제시하여야 한다.
4. 보고 및 검토계획	사업기간 동안 이루어질 보고 및 검토계획을 상세하게 제시하여야 한다. - 착수, 월간, 주간, 일일, 수시, 완료보고 - 단계별 검토회의 등
5. 수행조직 및 업무분장	본 사업을 수행할 조직 및 업무분장 내용을 상세히 제시하여야 한다. - 용역책임자는 임원급으로 하며, 실무책임자는 사업수행중 100% 투입가능한 자로 하여야 함 - 본 사업에 투입될 소요인력규모를 업무별로 구분하여 제시하여야 함. 또한 자체인력과 신규채용인력으로 구분하되 신규채용일 경우 채용방법과 일정을 명시하여야 함	[서식 3]
6. 투입인력 및 이력사항	본 사업을 수행할 인력을 작업 단위별로 제시하고, 투입인력에 대한 이력사항을 붙임양식을 이용하여 작성하여야 한다. - 투입인력 이력사항은 개발 및 관리인력에 대해서만 제시	[서식4, 5]
Ⅴ. 지원부문
1. 교육훈련계획	사용자, 관리자 등 시스템의 이용대상자별로 구분하여 교육내용, 기간, 인원 등을 상세히 제시하여야 한다.
2. 유지보수계획	장애처리절차, 유지보수체제 등 유지보수를 위한 종합적인 방안이 제시되어야 한다.
3. 기술이전계획	원활한 시스템 운영을 위해 유지보수 요원에 대한 기술이전계획을 분야별로 상세하게 제시하여야 한다. 단, 산출물로 제시할 수 없는 원천기술부문이 있는 경우 이를 제안서상에 명시하여야 한다.
4. 기타 지원사항	본 사업과 관련 지원 가능한 사항에 대한 내용을 기술한다.
Ⅵ. 기타(위 항목에서 제시되지 않은 기타 내용을 기술)
1. 기타	위 항목에서 제시되지 않은 기타 내용을 기술한다.
2. 제안요청서 수용 여부 비교표	기술평가를 위해 제안요청서 수용 여부를 손쉽게 이해할 수 있도록 비교표를 제출하여야 한다.	[서식 7]
3. 평가항목별 자가점검표	기술평가 항목별 자가점검표를 제출하여야 한다.	[서식 6]

[첨부 3] 제안서 평가 항목 및 배점

분야	부문별	항목별	평 가 내 용	배점 한도	점 수
제안서 평가 (80)	<정량적> 사업수행능력 (20)	경영상태	신용평가 등급 확인서	10
		이행실적	유사 사업 수행실적(건수)	5
			관련 사업 수행실적(금액)	5
	<정성적> 사업수행 기술 (30)	사업의 이해도	제안의 이해 및 적정성	5
			제안 요청서와의 부합성 및 창의성
		사업전략	추진전략의 창의성 및 타당성	5
		수행절차	수행절차의 타당성	5
			수행산출물의 타당성
		수행방법론	추진전략에 따른 방법론의 타당성	10
			표준절차 및 수행방안의 적정성
			도구와 기법의 적정성과 경험
		기술 및 기능	개인정보영향평가 결과 도출 방안의 타당성	5
	<정성적>사업관리 부분 (20)	사업수행조직	사업참여인력 및 기술수준(경력, 자격 등)	10
			분야별 전문인력 투입 및 구성의 적정성
		품질보증방안	품질보증계획의 적정성	5
		일정계획	종합수행일정 및 세부추진일정의 적정성	5
	<정성적>지원부분 (10)	교육훈련	정보보호 교육지원 방안의 적절성	5
			기술지원 방안의 적절성
		기밀보안	보안관리 체계 및 활동방안의 적정성	5
			주요 보호자료 관리방안의 적정성
가격 평가 (20)	용역사업비		개인정보 영향평가 수행 사업비	20
	합 계			100

[첨부 4] 개인정보처리위탁계약서

본 표준 개인정보처리위탁 계약서는 「개인정보 보호법」제26조제1항에 따라 위탁계약에 있어 개인정보 처리에 관하여 문서로 정하여야 하는 최소한의 사항을 표준적으로 제시한 것으로서, 위탁계약이나 위탁업무의 내용 등에 따라 세부적인 내용은 달라질 수 있습니다.

개인정보처리업무를 위탁하거나 위탁업무에 개인정보 처리가 포함된 경우에는 본 표준 개인정보처리위탁 계약서의 내용을 위탁계약서에 첨부하거나 반영하여 사용하실 수 있습니다.

표준 개인정보처리위탁 계약서(안)

OOO(이하 “갑”이라 한다)과 △△△(이하 “을”이라 한다)는 “갑”의 개인정보 처리업무를 “을”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.

제1조 (목적) 이 계약은 “갑”이 개인정보처리업무를 “을”에게 위탁하고, “을”은 이를 승낙하여 “을”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는「개인정보 보호법」시행령 및 시행규칙,「개인정보의 안전성 확보조치 기준」(행정자치부 고시 제2014-7호) 및「표준 개인정보 보호지침」(행정안전부 고시 제2011-45호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “을”은 계약이 정하는 바에 따라 (          ) 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.

각호의 업무 예시 : 고객만족도 조사 업무, 회원가입 및 운영 업무, 사은품 배송을 위한 이름, 주소, 연락처 처리 등

1.

2.

제4조 (재위탁 제한) ① “을”은 “갑”의 사전 승낙을 얻은 경우를 제외하고 “갑”과의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “을”이 재위탁받은 수탁회사를 선임한 경우 “을”은 당해 재위탁계약서와 함께 그 사실을 즉시 “갑”에 통보하여야 한다.

제5조 (개인정보의 안전성 확보조치) “을”은「개인정보 보호법」제24조제3항 및 제29조, 동법 시행령 제21조 및 제30조, 「개인정보의 안전성 확보조치 기준」(행정자치부 고시 제2014-7호)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제6조 (개인정보의 처리제한) ① “을”은 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “을”은 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보 보호법」시행령 제16조 및「개인정보의 안전성 확보조치 기준」(행정자치부 고시 제2014-7호)에 따라 즉시 파기하거나 “갑”에게 반납하여야 한다.

③ 제2항에 따라 “을”이 개인정보를 파기한 경우 지체없이 “갑”에게 그 결과를 통보하여야 한다.

제7조 (수탁자에 대한 관리·감독 등) ① “갑”은 “을”에 대하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속현황

3. 개인정보 접근 또는 접속 대상자

4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “갑”은 “을”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이행하여야 한다.

③ “갑”은 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 (  )회 “을”을 교육할 수 있으며, “을”은 이에 응하여야 한다.

「개인정보 안전성 확보조치 기준 고시」(행정자치부 고시 제2014-7호) 및 「개인정보 보호법」 제26조에 따라 개인정보처리자 및 취급자는 개인정보보호에 관한 교육을 의무적으로 시행하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “갑”은 “을”과 협의하여 시행한다.

제8조 (손해배상) ① “을” 또는 “을”의 임직원 기타 “을”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “을” 또는 “을”의 임직원 기타 “을”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “갑” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “을”은 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “갑”이 전부 또는 일부를 배상한 때에는 “갑”은 이를 “을”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “갑”과 “을”이 서명 또는 날인한 후 각 1부씩 보관한다.

갑 : 삼육대학교 서울특별시 노원구 화랑로 815 대표이사 : 김 성 익 (인)	을 ○○시 ○○구 ○○동 ○○번지 대표이사 : (인)

[첨부 5] 개인정보보호 서약서

개인정보보호 서약서

본인 (             )은(는) 업무 중에 알게 된 개인정보 및 업무와 관련된 정보에 대하여 업무 수행중이나 업무 수행 후에도 비밀을 지킬 것을 서약합니다.

또한 본교에서 수집한 개인정보의 보호를 위해 본교에서 정하는 개인정보 내부관리 계획을 준수할 것이며, 적정한 절차 없이 개인정보를 무단으로 조회, 누출하지 않을 것을 서약합니다.

개인정보보호와 관련한 비밀의 준수와 개인정보보호를 위한 법적 준수 기준인 “정보통신망이용촉진 및 정보보호에 관한 법률” 및 “개인정보보호법”에 명시된 모든 조항과 본교의 개인정보 내부관리 계획 등 관련된 모든 조항이 포함된다는 것을 충분히 설명 받고 숙지하였습니다.

만약, 이러한 서약에도 불구하고 업무상 알게 된 사항에 대하여 비밀을 누설하거나 정당한 사유 없이 조회, 유출, 오용할 경우, 형사상 민사상의 법률 조항에 의거하여 제재를 받을 수 있음을 통고 받았으며, 이러한 제재에 대하여 이의를 제기하지 않을 것을 본인의 자의로 서약합니다.

일  시:  201  년     월     일

소  속:

성  명:                     (인)

[첨부 6] 청렴계약이행서약서

청렴 서약서

당사는「부패 없는 투명한 기업경영과 공정한 행정」이 사회발전과 국가 경쟁력에 중요한 관건이 됨을 깊이 인식하며, 국제적으로도 OECD뇌물방지 협약이 발효되었고 부패기업 및 국가에 대한 제재가 강화되는 추세에 맞추어 청렴계약 취지에 적극 호응하여 조달청에서 발주하는 모든 공사, 물품 및 용역 등의 입찰에 참여할 때 당사 및 하도급업체(하도급업체와 직ㆍ간접적으로 업무를 수행하는 자를 포함)의 임직원과 대리인은

1. 입찰가격의 유지나 특정인의 낙찰을 위한 담합을 하거나 다른 업체와 협정, 결의, 합의하여 입찰의 자유경쟁을 부당하게 저해하는 일체의 불공정한 행위를 않겠습니다.

2. 입찰, 낙찰, 계약체결 또는 계약이행과정(준공 이후도 포함)에서 관계공무원에게 직ㆍ간접적으로 금품ㆍ향응 등의 부당한 이익을 제공하지 않겠으며, 그러한 사실이 드러날 경우에는 계약체결 이전의 경우에는 낙찰자 결정 취소, 계약이행 전에는 계약취소, 계약이행 이후에는 해당 계약의 전부 또는 일부계약을 해제 또는 해지하여도 감수하겠습니다.

3. 회사 임ㆍ직원이 관계 공무원에게 금품, 향응 등을 제공하거나 담합 등 불공정 행위를 하지 않도록 하는 회사윤리강령과 내부비리 제보자에 대해서도 일체의 불이익처분을 하지 않는 사규를 제정토록 노력하겠습니다.

위 청렴계약 서약은 상호신뢰를 바탕으로 한 약속으로서 반드시 지킬 것이며, 낙찰자로 결정될 시 본 서약내용을 그대로 계약특수조건으로 계약하여 이행하고, 입찰참가자격 제한, 계약해지 등의 조치와 관련하여 당사가 손해배상을 청구하거나 당사를 배제하는 입찰에 관하여 민ㆍ형사상 어떠한 이의도 제기하지 않을 것을 서약합니다.

년   월   일

서 약 자 : ○○○회사 대표 ○○○ (인)

삼육대학교 총장  귀하

〔붙임〕입찰 및 제안서 관련서식

	【서식목차】
〔서식 1〕 일반현황 및 연혁 〔서식 2〕 자본금/매출액 및 주요사업실적 〔서식 3〕 사업수행조직도 〔서식 4〕 업무별 인력투입 계획 〔서식 5〕 참여인력 이력사항 〔서식 6〕 평가항목별 자가점검표 〔서식 7〕 제안요청서 수용여부 비교표 〔서식 8〕 확약서 <별표 1> 용역사업 보안위규 처리기준 <별표 2> 보안위약금 부과 기준 <별표 3> 누출금지 대상 정보

【서식1】

일반현황 및 연혁

회 사 명		대 표 자
사 업 분 야
주 소
전 화 번 호
회 사 설 립 년 도	년 월
해당부문 종사기간	년 월 ～ 년 월 ( 년 개월)
주요연혁 및 대외인지도

【서식2】자본금/매출액 및 주요사업실적

자본금 및 매출액

(단위 : 천원)

구 분		M-2 년도	M-1 년도	M 년도
자 본 금
매 출 액	⃝⃝부문 ⃝⃝부문 ⃝⃝부문 ⃝⃝부문
	합 계

유사사업실적

사 업 명	사 업 기 간	계 약 금 액	발 주 처	비 고

※ 현재 수행중인 사업도 포함하여 기재하며, 제안과제와 유관한 것만 기재한다.

(대학 및 대학실적을 상위에 기재하며, 이외 실적은 연도순으로 기재 함.)

※ 하도급은 발주처가 승인한 경우에 한하여 작성하며 비고란에 원도급회사를 기재한다.

※ 공동도급계약일 경우에는 계약금액란에 제안사의 지분만을 기재한다.

【서식3】

사업수행 조직도

			사업책임자(PM)
부문		부문		부문		부문

주) 1. 부문별 책임자를 명시하여야 한다.

2. 부문별 기술자 기재순서는 평가시 참고 될 수 있도록 서열별로 전문 엔지니어의 직위, 성명을 기재한다.

【서식4】

업무별 인력투입 계획

□ 업무별 인력

업 무 명	인원수	기술 등급별
		특급	고급	중급	초급
	명
	명
	명
합 계	명

□ 관련분야 프로젝트 수행경험

구 분	1년미만	2년미만	3년미만	5년미만	7년이상	합 계
인원(명)
비중(%)						100.0

주) 1. 투입인력은 대상 시스템 개발에 직접 참여하였거나, 관련 프로젝트 경험이 있는 전문기술 인력이어야 한다.

【서식5】

참여인력 이력사항

성 명			소 속		직 책		연 령	세
학 력	대학교 전공				해당분야근무경력		년 개월
	대학원 전공				자 격 증
본사업참여임무				기술등급			목표투입공수

경 력
사 업 명	참 여 기 간 (년월 ～ 년월)	담 당 업 무	발 주 처	비 고

※ “파견근로자보호등에관한법률” 등에 의한 파견근로자인 경우에는 파견업체명과 원소속사를 함께 명기하여야 함  (예시) 업체명 (원소속사명)

※ 기술경력은 소프트웨어산업 진흥법 시행령 제17조의7에 의해서 지정된 소프트웨어기술자 경력관리기관에서 발급한 기술자 경력증을 제출할 수 있고, 미등록된 인원에 대해서는 기술경력을 증명할 수 있는 서류를 제출하여야 한다. 다만, 기술등급을 명시한 경우 기술 등급 기준은 한국소프트웨어산업협회에서 공표한 “2017년도 SW기술자 노임단가”를 기준으로 하고 등급을 입증할 수 있는 자료를 함께 제출하여야 한다.

【서식6】

평가항목별 자가점검표

사 업 명
입찰(제안)번호	(발주기관에서 기입)
자 가 점 검 내 용
평가부문
평가항목		충족여부
요구사항		(충족/부분/미충족)
점검내용		비 고
		(관련근거 등)
평가항목		충족여부
요구사항
점검내용		비 고
년 월 일 신청인 상호 : 대표 : (인)

【서식7】

제안요청서 수용여부 비교표

제안요청내용	수용 여부	제안내용	제안서쪽	비 고
예) 추가제안내용

【서식 8】

확   약   서

본 법인은 삼육대학교에서 발주하는 『삼육대학교 개인정보 영향평가 용역사업』제안서를 붙임과 같이 제출하오며, 본 제안서의 허위기재 또는 부실로 인한 자료 작성으로 인하여 초래하는 평가상의 불이익은 물론 부정당업자 제재 또는 낙찰 대상에서 제외 등 귀 부의 어떠한 처분에도 이의를 제기하지 않을 것임을 확약합니다.

그리고 주관기관이 평가를 위해 구성한 평가위원과 평가방법 및 평가기준에 따른 결과에 대해서도 어떠한 이의를 제기하지 않겠습니다.

2018.   .   .

주  소 :

상호명 :

사업자등록번호 :

대표자 :                     인

삼육대학교 귀중

<별표 1> 사업자 보안위규 처리기준

사업자 보안위규 처리기준

구 분	위 규 사 항	처 리 기 준
심각 (A)	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	◦ 사업참여 제한 ◦ 위규자 및 직속 감독자 등 중징계 ◦ 재발 방지를 위한 조치계획 제출 ◦ 위규자 대상 특별보안교육 실시
중대 (B)	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·유지보수 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	◦ 위규자 및직속 감독자 등 중징계 ◦ 재발 방지를 위한 조치계획 제출 ◦ 위규자 대상 특별보안교육 실시

구 분	위 규 사 항	처 리 기 준
보통 (C)	1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 관리 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 네이트온 등 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여 마. PC 비밀번호를 모니터옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	위규자 및 직속 감독자 등 경징계 위규자 및 직속 감독자 사유서/경위서 징구 위규자 대상 특별보안교육 실시
경미 (D)	1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	위규자 서면ㆍ구두 경고 등 문책 위규자 사유서/경위서 징구

<별표 2> 보안위약금 부과 기준

보안 위약금 부과 기준

1. 위규 수준별로 A~D 등급으로 차등 부과

구분	위규 수준
	A급	B급	C급	D급
위규	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
위약금 비중	부정당업자 등록	계약금액의 5%	계약금액의 3%	계약금액의 1%

* 위규 수준은 [별표1] 참고

2. 보안 위약금은 다른 요인에 의해 상쇄, 삭감이 되지 않도록 부과

* 보안사고는 1회의 사고만으로도 그 파급력이 큰 것을 감안하여 타 항목과 별도 부과

3. 사업 종료시 지출금액 조정을 통해 위약금 정산

<별표 3> 누출금지 대상 정보

누출금지 대상정보

1. 기관 소유 정보시스템의 내․외부 IP주소 현황

2. 세부 정보시스템 구성현황 및 정보통신망 구성도

3. 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보

4. 정보통신망 취약점 분석·평가 결과물

5. 용역사업 결과물 및 프로그램 소스코드

6. 국가용 보안시스템 및 정보보호시스템 도입 현황

7. 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보

8. 「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서

9. 「개인정보보호법」제2조제1호의 개인정보

10. 「보안업무규정」제4조의 비밀 및 동 시행규칙 제7조제3항의 대외비

11. 그 밖에 각급기관의 장이 공개가 불가하다고 판단한 자료