과 업 지 시 서

사 업 명	「지정면세점 재구축 사업」 감리 및 개인정보영향평가 용역
주관기관	제주관광공사
주관부서	경영전략실 미래전략팀(T.064-740-6953)

2023. 1

Ⅰ		사업개요

1. 사업일반

□ 사 업 명 :｢지정면세점 재구축 사업 감리 및 개인정보영향평가｣용역

□ 사업기간 : 착수일로부터 감리대상사업 검수완료일까지

□ 계약방법 : 일반경쟁입찰(협상에 의한 계약)

2. 추진배경

□ ｢지정면세점 재구축 사업｣의 효율성 향상 및 안전성을 확보하기 위해 제3자 관점에서 종합적으로 점검·평가

□ 구축 초기부터 정보시스템 감리와 개인정보 영향평가를 병행하여 사업 진행 시 유의할 위험 요소를 사전 제거

□ ｢지정면세점 재구축 사업｣사업비는 30억원 이상이며, 고객의 고유식별정보(주민등록번호)를 90만건 이상 보유한 시스템으로서 전자정부법 및 개인정보 보호법을 준수하여 추진할 필요

3. 법적근거

□ (감리) ｢전자정부법 시행령｣ 및 제71조

	< 정보시스템 감리의 대상 >
• 대국민 서비스를 위한 행정업무 또는 민원업무 처리용으로 사용하는 경우 • 정보시스템 구축사업의 사업비가 5억원 이상인 경우 • 정보기술아키텍처 또는 정보화전략계획의 수립, 정보시스템 개발 또는 운영 등을 위한 사업으로 감리 시행이 필요하다고 인정하는 경우

□ (개인정보 영향평가) ｢개인정보 보호법 시행령｣ 제35조

	< 개인정보 영향평가의 대상 >
• 5만명 이상의 정보주체에 관한 민감정보 또는 고유식별정보 • 공공기관 내부 또는 외부 개인정보파일과 연계 결과 50만 명 이상의 개인정보가 포함된 개인정보파일 • 100만 명 이상의 개인정보가 포함된 개인정보파일 • 개인정보영향평가 이후 개인정보파일의 운용체계를 변경하려는 경우

4. 대상사업 개요

□ 사 업 명 : 지정면세점 재구축 사업

□ 사업기간 : 착수일로부터 12개월

□ 사업예산

□ 총 사업금액 : ￦3,866,300,000 (부가세 포함)

□ 감리대상 사업금액 : ￦3,100,680,000 (부가세 포함)

사업비 구분	금액
SW 개발비	1,450,000,000
HW, SW 구입비	1,276,680,000
데이터베이스 구축비	374,000,000
합계	3,100,680,000

※ 개발서버, POS 기기 등 감리대상 제외

□ 사업내용

□ 판매/영업관리 시스템 재구축

□ 지정면세점 협력사 포털 구축(실시간 화물추적 시스템 구축 포함)

□ 판매관리(POS) 시스템 재구축(판매, 매장, 한도, 매출관리, 통신 인터페이스 등)

□ 온라인면세점 인터페이스 (양방향)

5. 사업내용

□ 개인정보 영향평가 수행

□ 수행시점 : 분석 및 설계단계 실시, 개발완료 단계 실시

※ ｢개인정보 영향평가에 관한 고시(개인정보보호위원회)｣ 및 ｢개인정보 영향평가 수행 안내서｣절차에 따라 실시

□ 대상 사업에 적용되는 개인정보보호 관련 법령·지침 및 가이드라인·내부지침 등 관련 정책 분석

□ 개인정보 흐름 및 개인정보 침해 요인 분석, 위험 평가를 실시

※ 개인정보 처리단계별 보호조치 적정성 여부 점검 및 개선방안 제시, 개선사항 이행 점검

□ 개인정보 영향평가 수행 및 개선사항 도출에 따른 해결방안 마련

□ 개인정보 관리체계의 적정성 분석 후 개선 및 강화 방안 수립

□ 개인정보 처리절차 기술적·물리적·관리적 보안 취약점 분석 및 개선방안 수립

□ 정보시스템 감리 수행

□ 감리형태 : 3단계 감리 (요구정의단계, 설계단계, 종료단계)

□ 과업범위 및 요구사항의 설계 반영 및 구체화 여부 검토·확인

□ 정보시스템 개발에 관한 법규, 기준, 표준 등의 준수 여부 확인

□ 과업이행 여부를 점검함으로써 계약문서에 기술된 과업의 완료 여부 점검

6. 사업 산출물

산출물		제출시기	제출 수량
			계	발주기관	사업자
영향 평가	사업수행계획서	계약체결 후 15일 이내	3부	2부	1부
	수시보고서 ·회의록	수시(필요시)	2부	1부	1부
	개인정보 영향평가 결과보고서	개인정보 영향평가 결과보고서	4부 (USB 2개)	2부 (USB 1개)	2부 (USB 1개)
	교육자료	교육실시 5일전	2부	1부	1부
감리	감리계획서	계약체결 후 15일 이내	3부	2부	1부
	세부감리계획서	단계별 감리 개시 7일 전까지	3부	2부	1부
	감리업무일지	감리수행결과보고서 제출시	1부	1부	-
	감리수행결과보고서	단계별 감리 종료회의 후 7일 내	4부 (USB 2개)	2부 (USB 1개)	2부 (USB 1개)
	시정조치확인보고서	시정 조치 확인 후 7일 이내	2부	1부	1부
최종 결과보고서(영향평가 및 감리)			2부	2부	-

※ 각종 보고서는 영향평가 및 감리기준의 양식을 준용하며, 작업 단계 및 산출물 목록은 발주기관과 협의하여 조정 가능

Ⅱ		과업요청 내용

개인정보 영향평가

□ 일반사항

□ 참여인력은 ｢개인정보 영향평가에 관한 고시｣ 제5조의 각호를 충족하는 자로 최소 2인 이상(영향평가 고급수행 인력 1인 이상 포함)으로 구성

□ 영향평가는 개인정보보호 관련 법령 및 행정규칙, 개인정보 영향평가 수행안내서에 따라 수행

□ 영향평가 세부 수행단계(계획, 분석·실시, 결과도출 등)는 개인정보 영향평가 수행안내서의 평가 절차에 따라서 수행

□ 그 외 정보보안업무 규정, 국가 정보보안 기본지침, 공사 개인정보보호 규정 등 보안 관련 규정을 준수

□ 주요 점검내용

구 분	세부 내용	비고
사전 준비	․ (계획수립) 효율적인 평가수행을 위해 사전 계획 수립 ․ (평가 자료 수집) 평가 대상 사업 및 개인정보보호 관련기관 내･외부 정책 환경 분석을 위한 자료 수집	개인정보위 및 KISA
개인정보 관리 현황 분석	․ (개인정보 흐름 분석) 평가대상 사업에서 취급되는 개인정보 흐름 분석 ․ (개인정보 침해 요인 분석) 개인정보 흐름에 따른 조치사항 및 계획 등을 파악하고 개인정보 침해 위험성 도출 ․ (위험도 산정) 침해요인에 대해 우선순위를 정하여 조치 ․ (개선 방안 도출) 해당 위험을 제거하거나 최소화하기 위한 개선방안 수립	영향 평가 수행 사업자
영향평가 결과 정리	․ (개선 계획 수립) 도출된 개선 방안에 대한 개선 계획 수립 ․ (영향평가 결과) 개인정보 영향평가의 모든 과정 및 산출물을 정리하여 종합적인 결과 보고서 작성
영향평가 이행점검 및 사후지원	․ (이행점검) 개선방안에 대해 이행조치 여부 확인 ․ (사후지원) 이행조치 결과 보고서 작성 및 행정안전부 영향평가 보고과정에 대해 대응 지원

□ 수행방안

□ 문서확인, 인터뷰, 현장방문을 통한 실사 등의 방법을 병행

□ 평가대상 사업에 적용되는 관련 법령·지침 및 가이드라인 등 관련 정책 분석

□ 개인정보 흐름 및 개인정보 침해요인 분석, 위험평가 실시

□ 개인정보보호 관련 법규, 지침 등 관련 내용을 반영한 개선방안 수립

□ 개인정보 영향평가 수행 계획 및 결과 검토를 위해 착수·중간·완료보고회 개최

□ 그 외 방법 및 절차는 ｢개인정보 영향평가에 관한 고시｣ 및 ｢개인정보 영향평가 수행안내서｣등을 준용하여 사업 수행

※ ｢개인정보 영향평가 수행안내서｣의 개인정보 영향평가 항목은 영향평가 수행 시점에서 최신의 법률 및 정부 지침, 가이드라인, 대상사업 특성을 반영하여 추가·변경될 수 있음

□ 과업내용

1) 영향평가 수행계획 수립

□ 영향평가 수행계획서는 평가목적, 평가대상 및 범위, 평가주체(영향평가팀), 평가기간, 평가절차(방법), 주요 평가사항, 평가기준 및 항목, 자료수집 및 분석계획, 평가결과의 정리, 품질관리방안 등 포함하여 수립

□ 영향평가팀 구성

- 영향평가 대상사업에 대한 이해와 개인정보보호 관련 법제 및 정책, 전략 수립, 기술ㆍ시스템 분석 및 정보보안 등의 광범위하고 다양한 전문 지식과 정보를 보유한 전문가 등으로 팀을 구성

- 영향평가팀원의 역할 및 책임 배분을 명확하게 정의 및 이를 문서화 한 영향평가팀 구성·운영계획서 작성

- 평가기관의 영향평가수행 인력 중 1명 이상은 개인정보영향평가 업무분석 단계부터 개선계획 도출 등 사업기간 동안 상주

2) 영향평가 평가자료 수집 및 분석

□ 개인정보 관련 기관 내·외부 정책자료 분석

- 개인정보보호 관련 법률·고시·수행안내서 등에 준하여 수집 및 분석

- 내부 정책자료 분석: 발주기관 개인정보보호 체계, 규정, 조직현황 등 분석

- 외부 정책자료 분석: 개인정보보호 정책 환경, 영향평가 대상사업의 특수성을 반영한 정책 환경 등 분석

- 대상사업 관련 자료 분석: 추진배경, 추진목표, 사업 개요 및 사업에 영향을 미치는 제반사항 검토분석을 실시하고 사업개요서 작성

3) 개인정보 흐름 분석

□ 개인정보 처리업무 분석

- 대상사업 업무 중에서 개인정보를 처리하는 모든 업무를 도출하여 평가범위를 선정

- 개인정보 처리(수집,생성,연계,연동,기록,저장,보유,가공,편집,검색,출력,정정,복구,이용,제공,공개,파기 등)하는 모든 업무를 파악하여 개인정보 처리 업무표 작성

- 식별된 개인정보 처리업무별 개인정보 중요도 평가 위한 개인정보 영향도 등급표 작성하고 영향도 평가

□ 개인정보 흐름표 및 흐름도 작성

- 개인정보의 수집, 보유, 이용·제공, 파기에 이르는 Life-Cycle별 현황을 식별하여 개인정보 처리 현황을 분명하고 명확히 알 수 있도록 흐름표를 작성하고 이를 바탕으로 흐름도 작성

□ 정보시스템 구조도 및 정보보호 시스템 목록 작성

- 대상사업의 개인정보 처리시스템, 개인정보 내·외부 연계시스템 및 관련 인프라 구성 파악

- 개인정보 처리시스템에 대한 보호 대책의 적정성 검토 및 효과적인 침해요인 분석 및 위험도 산정 가능토록 ‘정보보호 시스템 목록’작성

※ 다른 단계와 병렬 진행 가능하며, 분석 초기에 작성하여 다른 단계 진행 시 참고 가능

4) 개인정보 침해요인 분석 및 위험도 평가

□ 평가항목 작성

- 개인정보보호 조치사항을 파악하기 위한 평가항목을 작성하고 평가 기준 수립

□ 개인정보 보호조치 현황 파악

- 자료 검토, 시스템 점검, 현장실사, 담당자 인터뷰 등을 통해 개인정보보호 조치현황을 파악하여 분석

- 평가항목 별 평가결과는 상세한 근거와 함께 정리하여 기재

□ 개인정보 침해요인 도출

- 파악된 개인정보 보호조치 현황을 기반으로 개인정보 침해요인 도출

- 침해요인은 유사 침해사고 사례, 대상시스템 및 업무 특성 등을 반영하여 작성하고, 법률 위반 사항에 대해서는 별도로 표기

□ 개인정보 위험도 산정

- 도출된 개인정보 침해요인에 대한 위험도 산정

※ 관련 규정(개인정보보호 관련 법률·고시·수행안내서 등)에 따라 세부사항 작성

5) 개선계획 수립 및 영향평가서 작성

□ 개선방안 도출

- 침해요인별 위험도를 측정하고 검토한 후, 위험 요소를 제거하거나 최소화하는 방안 도출

- 개선방안을 위험도 우선순위에 따라 발주기관이 수용 가능한 수준을 정하여 단기·중기·장기 과제로 구분하고, 수행 시기는 가능한 한 구체적으로 제시

□ 개선계획 수립

- 개선방안을 기반으로 발주기관의 보안 조치현황, 예산, 인력, 사업 일정 등을 고려하여 수립

- 위험평가 결과를 참고하여 위험도가 높은 침해요인에 대한 개선방안을 먼저 실행하도록 작성

- 도출된 개선과제에 대하여 실질적인 개선이 가능하도록 상세 개선 방안 제시

□ 영향평가서 작성

- 영향평가의 모든 과정 및 산출물을 정리하여 영향평가서 작성

※ 개선계획 수립 및 영향평가서 작성 등 세부사항은 개인정보보호 관련 규정(법률·고시·수행안내서 등)에 준하여 작성

6) 영향평가 이행점검

□ 사업 완료 후 기관에서 개인정보 영향평가 결과물에 대한 개선방안을 이행하였는지에 대해 이행점검

□ 영향평가 이행점검은 발주기관의 요청에 따라 진행하며 계획, 방법 및 결과보고서를 제출

※ 이행점검 수행 방법은 사업이 종료된 시점에 영향평가의 개선요구사항 반영 여부를 점검

정보시스템 감리

□ 일반사항

□ ｢정보시스템 감리기준｣ (행정안전부고시 제2021-4호), 감리법인의 사업수행계획서, ｢전자정부법｣ 및 같은 법 시행령 등 관련 법규 및 규정 내용에 의거 성실히 수행하여야 하며, 그 이외의 사항에 대하여는 발주기관과 제안사 간의 협의를 통하여 결정

□ ｢정보시스템 감리기준｣ 제5조(감리인력 배치) 및 정보시스템 감리 발주·관리 가이드 “3.1.3 감리인력 배치기준” 및 최소 감리기간을 고려하여 적정한 수준의 투입공수를 제시

□ 예비조사, 시정조치확인 등을 제외한 단계감리의 순수 현장감리에 소요될 최소 감리기간(주말 및 공휴일 제외)은 8일 이상의 현장감리를 실시하여야 하며, 현장감리기간 동안 모든 감리원은 업무 일과시간의 100%를 상주하여 감리업무를 수행(참여율이 100%가 아닌 감리원 예외)

※ 요구정의단계 감리는 5일 이상으로 협상 가능

□ 업무의 연속성을 고려하여 각 단계별 감리에 동일한 감리원 투입 원칙

□ 가용 예산과 적정인력 범위 내에서 상주감리 또는 추가감리 제안이 가능하나, 투입공수와 수행업무를 명확히 기재하되 일상적인 사전 조사와 현장감리 및 감리결과 조치확인은 이에 해당하지 않음

□ 감리수행 시 사업수행으로부터 생성된 산출물 외에는 사업자에게 추가적인 산출물 작성을 요청할 수 없음

□ 종료단계 감리수행결과보고서 제출 시 사업관리(진척관리, 위험관리, 변경관리, 품질관리) 각 영역에 대한 감리의견을 제시

□ 감리원 편성내역 : 174MD 투입 이상 (감리원 전원은 감리 실적 5회 이상 경력자 투입, 데이터베이스 아키텍처 경력이 3회 이상 있는 감리원이 1명이상 포함)

□ 소프트웨어 보안약점 제거 여부를 국가정보원장이 인증한 진단도구를 사용하여 확인하고 그 결과를 종료단계 감리수행결과서 내에 포함하여 제출

□ 감리 수행 장소는 발주기관과 협의하여 결정함

□ 주요 점검내용

□ 사업관리

감리 시점	감리영역	점검 내용
착수 /계획	사업관리	1. 범위관리체계를 적정하게 수립하여 관리하고 있는지 여부 2. 변경관리체계를 적정하게 수립하여 관리하고 있는지 여부 3. 일정관리체계를 적정하게 수립하여 관리하고 있는지 여부 4. 자원관리체계를 적정하게 수립하여 관리하고 있는지 여부 5. 의사소통관리체계를 적정하게 수립하여 관리하고 있는지 여부 6. 위험관리체계를 적정하게 수립하여 관리하고 있는지 여부 7. 품질관리체계를 적정하게 수립하여 관리하고 있는지 여부
실행 /통제		1. 범위 변경관리를 적정하게 수행하였는지 여부 2. 진척관리를 적정하게 수행하였는지 여부 3. 인력관리를 적정하게 수행하였는지 여부 4. 의사소통관리를 적정하게 수행하였는지 여부 5. 위험관리를 적정하게 수행하였는지 여부 6. 품질관리를 적정하게 수행하였는지 여부
종료		1. 사용자요구사항을 충분히 반영하였는지 여부

□ 시스템 개발

감리 시점	감리영역	점검 내용
분석	시스템 구조	1. 현행 및 신규 시스템의 운영환경을 충분히 분석하였는지 여부 2. 시스템관련 사용자요구사항 도출 및 분석의 충분성, 적정성 3. 시스템 보안 요건을 분석하였는지 여부 4. 시스템 아키텍처에 대한 검증을 적정하게 수행하였는지 여부 5. 최종 아키텍처를 적정하게 수립하였는지 여부
	응용 시스템	1. 현행 업무를 충분히 분석하였는지 여부 2. 현행 시스템의 업무 및 기능을 충분히 분석하였는지 여부 3. 사용자 요구사항 도출 및 분석의 충분성, 적정성 4. 프로세스, 이벤트 모델링 및 기능 도출의 충분성, 적정성 5. 사용자 접근통제 및 보안 분석을 적정하게 수행하였는지 여부
	데이터 베이스	1. 현행 업무관련 데이터를 충분히 식별하였는지 여부 2. 현행 시스템의 데이터 현황을 충분히 분석하였는지 여부 3. 사용자 요구사항 도출 및 분석의 충분성, 적정성 4. 데이터 흐름 정의가 명확한지 여부 5. 엔티티 정의, 관계설정 등 데이터 모델링의 명확성 및 엔티티/프로세스간 연관관계 설정의 적정성 6. 데이터에 대한 접근통제 및 보안 분석을 적정하게 수행하였는지 여부
	품질보증 활동	1. 사업 목표의 수립 여부 2. 방법론 및 절차/표준의 수립 여부 3. 반복계획을 적정하게 수립하였는지 여부 4. 품질보증활동 계획을 적정하게 수립하였는지 여부 5. 총괄시험 계획을 적정하게 수립하였는지 여부 6. 방법론 및 절차/표준의 준수 여부 7. 품질보증활동을 적정하게 수행하였는지 여부 8. 사용자 요구사항 및 관련 산출물 간의 추적성, 일관성
설계	시스템 구조	1. 시스템 구성요소에 대한 상세설계를 충분하게 수행하였는지 여부 2. 시스템 보안에 대한 상세설계를 적정하게 수행하였는지 여부 3. 시스템 설치 및 검증 계획을 적정하게 수립하였는지 여부 4. 시스템 전환 계획을 적정하게 수립하였는지 여부
	응용 시스템	1. 프로그램 분할을 적정하게 수행하였는지 여부 2. 업무 기능 설계를 누락 없이 상세하게 설계하였는지 여부 3. 사용자 인터페이스가 편의성을 확보할 수 있도록 설계되었는지 여부 4. 내/외부 인터페이스 설계의 충분성, 적정성 5. 접근권한 및 통제 설계를 적정하게 수행하였는지 여부 6. 단위시험 계획을 적정하게 수립하였는지 여부
	데이터 베이스	1. 데이터베이스 테이블을 적정하게 설계하였는지 여부 2. 공통 코드를 적정하게 설계하였는지 여부 3. 데이터베이스 성능을 고려하여 설계하였는지 여부 4. 접근권한 및 통제 설계를 적정하게 수행하였는지 여부 5. 백업 및 복구대책을 적정하게 수립하였는지 여부 6. 초기데이터 구축에 대한 계획을 적정하게 수립하였는지 여부 7. 기존 데이터에 대한 전환 계획을 적정하게 수립하였는지 여부
	품질보증 활동	1. 방법론 및 절차/표준의 준수 여부 2. 이전단계 반복에 대한 평가 및 다음단계 반복계획 수립이 적정한지 여부 3. 품질보증활동을 적정하게 수행하였는지 여부 4. 사용자 요구사항 및 관련 산출물 간의 추적성, 일관성 5. 시스템 전환 전략을 적정하게 수립하였는지 여부
구현	시스템 구조	1. 시스템 도입/설치 및 보안환경의 구축을 충분하게 수행하였는지 여부 2. 시스템 구성요소에 대한 검증을 적정하게 수행하였는지 여부 3. 시스템 시험 계획을 적정하게 수립하였는지 여부
	응용 시스템	1. 업무 기능 구현의 충분성, 완전성 2. 사용자 인터페이스가 편의성을 확보할 수 있도록 구현되었는지 여부 3. 내/외부 시스템 인터페이스 구현의 충분성, 완전성 4. 접근 권한 및 통제기능을 정확하게 구현하였는지 여부 5. 단위 시험을 실시하였는지 여부 6. 통합 시험 계획을 적정하게 수립하였는지 여부
	데이터 베이스	1. 데이터베이스 테이블 구현을 적정하게 수행하였는지 여부 2. 데이터베이스 성능을 충분히 고려하여 구현하였는지 여부 3. 데이터 접근권한 및 통제를 정확하게 구현하였는지 여부 4. 단위 시험을 실시하였는지 여부
	품질보증 활동	1. 방법론 및 절차/표준의 준수 여부 2. 이전단계 반복에 대한 평가 및 다음단계 반복계획 수립이 적정한지 여부 3. 품질보증활동을 적정하게 수행하였는지 여부 4. 사용자 요구사항 및 관련 산출물 간의 추적성, 일관성
시험	시험활동	1. 시험환경을 충분하게 구축하였는지 여부 2. 통합시험 실시 및 검증을 적정하게 수행하였는지 여부 3. 시스템 시험 실시 및 검증을 적정하게 수행하였는지 여부 4. 시험결과의 관리 및 개선을 적정하게 수행하였는지 여부 5. 시스템 최적화 활동을 적정하게 수행하였는지 여부 6. 사용자/운영자 지침서를 적정하게 작성하였는지 여부 7. 사용자 인수시험 계획을 적정하게 수립하였는지 여부
	품질보증 활동	1. 방법론 및 절차/표준의 준수 여부 2. 이전단계 반복에 대한 평가 및 다음단계 반복계획 수립이 적정한지 여부 3. 품질보증활동을 적정하게 수행하였는지 여부 4. 사용자 요구사항 및 관련 산출물 간의 추적성, 일관성 5. 사업목표의 달성 여부 6. 교육계획을 적정하게 수립하였는지 여부
전개	운영준비	1. 운영환경의 설치 및 배포를 완전하게 수행하였는지 여부 2. 초기데이터 구축 및 데이터 전환/검증을 적정하게 수행하였는지 여부 3. 시스템 및 업무 전환을 적정하게 수행하였는지 여부 4. 사용자 인수시험을 수행하였는지 여부
	품질보증 활동	1. 방법론 및 절차/표준의 준수 여부 2. 사용자 교육을 적정하게 실시하였는지 여부 3. 인수 운영조직을 적정하게 구성하였는지 여부

□ 데이터베이스

감리 시점	감리영역	점검 내용
준비	데이터 수집 및 시범구축	1. 구축대상 조사 및 선정의 충분성 2. 데이터 구축요건 및 데이터 구축계획이 적정하게 수립되었는지 여부 3. 품질기준, 검사지침 및 품질보증 활동 계획이 적정하게 수립되었는지 여부 4. 데이터 구축 공정 및 작업지침이 적정하게 수립되었는지 여부 5. 시범 데이터 구축을 통한 문제점/해결방안의 도출과 데이터 구축공정 및 계획 보완의 적정성 6. 데이터 구축계획에 따라 원시 자료가 충분히 수집되고 적정하게 관리되고 있는지 여부 7. 작업공정, 지침 등에 대한 작업자 교육을 충분하게 실시했는지 여부
구축	데이터 구축	1. 데이터 유형별 구축 작업지침의 확정 및 지속적인 관리 여부 2. 공정 진척관리와 작업장 관리 여부 3. 데이터 유형별 작업지침에 따라 데이터를 정확하게 구축했는지 여부 4. 데이터 구축계획 대비 구축량 목표를 달성했는지 여부
	품질검사	1. 계획에 따라 품질보증활동이 적정하게 수행되었는지 여부 2. 검사지침에 따른 검사실시의 적정성 3. 구축된 데이터의 품질 목표 달성 여부

□ 과업내용

1) 감리계획서 제출

□ 감리법인은 다음의 내용을 포함한 감리계획서를 계약체결 후 15일 이내에 제출

- 감리의 목적, 감리대상 범위 및 감리 영역

- 감리 시기, 일정, 절차 및 조직

- 감리 중점 사항

- 감리 수행장소 및 인력에 대한 보안대책

- 그 외 감리 대상 사업에 대한 고려·기타사항

※ 「정보시스템 감리 수행 가이드」(한국지능정보사회진흥원, 2022.2) 참고

2) 예비조사, 감리계획 수립 및 통보

□ 감리법인은 예비조사를 실시하여 감리계획서를 작성, 각 단계별 감리 착수 7일 이전에 발주기관과 구축 사업자에게 제출

- 감리계획서 작성 시 예비조사를 통한 감리 일정, 인력 편성, 감리범위 및 점검항목 등을 확인하여 명시

- 감리계획서 작성을 위한 예비조사 시 발주기관 담당자의 확인을 거쳐 감리 점검항목을 최종적으로 확정하며, 감리계획서에서 계획한 주요 감리 점검항목을 기준으로 하되 변경 사항이 발생한 경우에는 그 사유 혹은 근거를 기재하여야 함

□ 단계별 감리 시 이전단계 감리지적사항에 대한 시정조치 결과가 ‘조치 중’이거나 ‘미반영’사항이 있을 경우 이를 확인하여 감리대상 항목에 포함

3) 감리 착수회의 개최

□ 감리법인은 계약서 또는 감리수행계획서에 명시된 기한 안에 다음 각 호의 사항을 협의 및 확인하기 위하여 발주기관, 감리법인, 구축 사업자 및 기타 관련 당사자들이 참석하는 착수회의 개최

- 감리계획의 설명 및 주요 상세점검항목 협의

- 발주기관의 추가 요청사항 확인 감리계획의 보완

- 감리 영역별 감리원 및 사업자 감리 대응인력 확인

- 장소, 통신시설 등 감리수행을 위한 발주기관 및 구축 사업자의 지원사항

- 기타 감리업무에 필요한 사항 등

4) 현장감리 실시

□ 요구정의단계 감리

- 감리법인은 구축 사업자로부터 요구사항정의서를 제출받은 후 과업내용이 요구사항정의서에 적정하게 반영되어 있는지 점검

□ 설계단계 감리

- 감리법인은 구축 사업자로부터 감리 대상 사업 중간 산출물을 제출받은 후 다음 사항을 점검하고, 그 결과를 감리 수행결과보고서에 명시하여 발주기관에 제출

· 설계 산출물의 과업 내용을 적정하게 반영하는지 여부

· 요구사항 대비표가 세부 검사항목별로 적합·부적합 판정을 할 수 있도록 구체화하였는지 여부

- 소프트웨어 개발 보안약점 및 취약점 진단 및 개선사항 제시

- 성능향상, 데이터 품질점검, 개발보안(Secure Coding) 등 시스템 품질, 보안에 대한 감리 실시 후 결과 및 개선방안을 제시

□ 종료단계 감리

- 감리법인은 감리대상사업 검사 전까지 세부 검사항목별 과업 이행 여부를 점검하고, 그 결과를 감리수행 결과보고서에 적합·부적합으로 명시하여 발주기관에 제출

- 감리법인은 구축 사업자로부터 시정조치 결과를 제출받은 후 이를 확인하고 그 결과를 시정조치 확인 보고서에 명시하여 제출

□ 감리법인은 확보된 감리장소에서 전문가적 주의를 다하여 관련 산출물 등을 검토하고, 발주기관과 구축 사업자 담당자를 면담하여 개선해야 할 문제점을 파악하고 개선 방향 마련

□ 감리법인은 감리 기간 중 발견한 특이사항 및 문제점에 대해 증적과 함께 누락 없이 기술하여 감리보고서 초안을 작성

□ 감리원은 감리대상 사업의 완성도를 높일 수 있도록 감리계획서에 명시된 상세점검항목에 대해 객관적인 입장에서, 전문가적 주의를 다하여 종합적으로 점검

□ 감리원은 감리 수행기간 동안 다음 각 호의 활동을 수행

- 관련 자료의 검토, 분석, 상호검증 및 관계자와의 면담

- 정보시스템 설계에 관한 문제점 확인 및 관련 자료 수집

- 개선 필요사항 발굴 및 발견된 문제점에 대한 감리보고서 작성

□ 발주기관은 다음 사항을 점검하기 위해 감리 기간 중 감리법인의 감리 현장에 대해 사전 통보 없이 실사 수행 가능

- 제안서 및 감리계획서에서 명시한 감리원의 편성 준수성

- 참여 관리원의 근태

※ 발주기관의 현장실사 시 인력투입사항이 상이한 경우 해당 감리원의 감리비 삭감

5) 감리수행결과보고서 작성

□ 감리법인은 현장감리 기간 중에 감리수행결과보고서 초안을 작성

- 감리수행결과보고서에서 지적하는 개선권고사항은 근거 및 논리가 명확하여야 하며 전문가적 주의를 다하여 발견된 특이사항 및 문제점에 대하여 증적과 함께 누락 없이 기재

□ 감리수행결과보고서의 작성 기준 및 양식은 감리 수행 가이드* 준용

※ 「정보시스템 감리 수행 가이드」(한국지능정보사회진흥원, 2022.2) 참고

6) 감리 종료회의 개최

□ 감리법인은 감리 기간 중에 작성한 감리보고서에 대하여 설명하고, 상호 검토 및 이견사항을 청취하기 위한 감리 종료회의를 개최

- 감리 종료회의는 발주기관, 감리법인, 구축 사업자 및 기타 관련 당사자들이 참석하에 진행

- 감리법인은 감리보고서 초안에 대하여 제기된 이견사항 및 근거자료, 논리 등을 면밀히 검토하여 최종 감리보고서에 반영할 필요가 있다고 판단되는 경우 이를 수정 반영

7) 감리수행결과보고서 통보

□ 감리법인은 감리종료회의 후 10일 이내에 감리 종료회의 결과를 반영한 최종 감리수행결과보고서를 발주기관과 구축 사업자에게 각 2부씩 제출

- 발주기관에게 감리보고서 제출 시 참여감리원이 작성한 감리업무 일지 등을 포함하여 제출

8) 시정조치 확인 및 통보

□ 감리법인은 발주기관으로부터 시정조치 확인 요청을 받은 경우, 7일 이내 시정조치 결과를 확인하여 시정조치 확인 보고서를 발주기관과 구축 사업자에게 제본 2부 제출

9) 감리결과 검수 요청

□ 최종 감리 및 시정조치 확인 등 계획된 용역이 모두 완료된 경우, 감리법인은 감리계획서, 감리수행결과보고서, 시정조치 확인보고서 등을 첨부하여 발주기관에 검수요청을 하고, 감리용역 이행결과를 검수 받아야 함

10) 기타 요청사항

□ 현장 감리기간 동안 전 감리원은 관련 산출물 검토와 발주기관 및 구축 사업자 담당자를 면담하여, 중점검토 항목별 문제점 및 개선사항을 발견·확인하고 문서화하여야 함

※ 중점검토 항목에는 「개인정보 영향평가 개선 계획」의 개선사항 반영 여부를 포함하여 확인

□ 감리원은 대상사업의 구축·운영에 관한 사항을 종합적으로 점검·평가할 수 있도록 감리 적용기준 등과 정보시스템 감리 기본 점검표에 근거하여 감리 상세 점검표를 작성하고 이에 따라 감리를 시행

공통사항

□ 사업관리

□ 제안사는 용역기간 동안 발생한 사안에 대해서 자문 또는 문의에 성실히 응해야 함

□ 제안사는 회사 조직 및 인력 현황 외에 본 제안을 담당할 프로젝트 조직 및 투입인력, 조직별, 작업 단위별 업무 분장내역 제시

- 공동수급 형태로 제안 시 주사업자와 부사업자 간의 업무수행범위 및 책임한계를 명확하고 상세히 정의하고, 조직운영 방안 제안

□ 전체 및 수행공정별 참여 인력에 대한 교육, 자격, 경력현황 등을 상세 제시

□ 제안사는 사업관리 책임자(PM)를 지정하여 과업을 통합적으로 책임 수행하도록 하며 과업수행 장소는 발주기관과 협의하여 정함

□ 제안사는 작업내역 및 진행상황 등을 기록하여 발주기관 사업관리 담당자의 확인을 받아야 하며, 특이사항 발생 시 지체없이 서면으로 통보하여야 함

□ 제안사는 과업 수행에 필요한 제반 부대비용을 부담함

□ 제안사는 발주기관과 계약 해지 및 종료 사유가 발생할 때 사유 발생시점부터 업무 인수인계가 완료되는 시점까지 업무를 지원할 수 있는 방안을 제시하여야 함

□ 제안사는 사업 계약 및 과업 수행 시 발주기관의 용역사업 보안 대책 준수

□ 본 사업 과정에서 발생하는 안전사고에 대하여 행정직, 기술적 제반 비용과 후속 처리는 안전사고 발생에 대한 책임당사자가 부담하며, 상호 책임이 없는 불가항력 등 사유에 기한 경우에는 발주기관과 계약상대자가 협의하여 처리함

□ 용역 결과물의 소유 권한은 발주기관에 있으며, 외부 이용 시 발주기관의 허가 필수

□ 모든 자료의 작성, 활용에 있어 제안업체가 인용한 자료로 인하여 저작권 관련 문제가 발생한 경우, 제안업체 귀책사유에 의해 발생한 모든 책임은 제안사에 귀속

- 제안사는 초상권과 타인 작품 등의 사용에 대한 사전 동의 절차 등을 문서화하고, 저작권 처리결과를 정리·제출

- 기본적으로 계약목적물에 대한 지식재산권의 귀속은 공동으로 하며 저작권은 발주기관에 귀속되어 문제가 발생하지 않도록 제안사가 사전에 협의하여 조치

□ 본 사업의 운영·관리와 관련된 모든 제반사항은 발주기관과 협의 하에 진행

□ 품질보증 및 관리계획

□ 제안사는 품질보증 방법 및 절차, 품질목표수준, 품질보증 내용 및 보증조직 등을 포함한 구체적인 품질보증 방안 제시

□ 제안사는 본 사업의 공정관리, 품질관리, 진도관리, 보안관리 등 제반관리를 효과적으로 수행하기 위해 사용할 프로젝트 관리도구의 활용방안을 제시

□ 제안사는 사업추진 과정에서 단계별, 작업 단위별로 생산되는 산출물 작업 일정 및 품질보증 계획을 연계하여 제출시기, 내용, 부수 등을 제시

□ 기밀보안 및 비상대책

□ 제안사는 사업수행기간 중 보안 관련법규를 준수하고 대외 보안 유지에 적극 협조

□ 제안사는 사업수행기간 중 정보유출에 대한 보안대책, 정보의 기밀성, 무결성, 가용성의 적정성 구현을 위한 종합적인 정보보호 방안 제시

□ 수주자는 외부PC 반입·반출 시 발주자가 요구하는 보안 사항 준수

□ 사업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업 완료 후에도 이를 외부에 유출해서는 안되며, 사업종료 시 해당시설 기관의 보안담당자의 입회하에 완전 폐기 또는 반납

□ 통제 및 리스크 관리

□ 본 사업 수행기간 중 중요 데이터 등 정보누출에 대비하여 구체적인 정보보호 계획 및 방안을 제안

□ 작업장소

□ 작업 장소는｢용역계약 일반조건｣에 따라 발주기관과 제안사 간 상호 협의하여 결정

- 제안사는 사업 수행을 위해 필요한 작업장소 등(장소, 설비, 기타 작업환경)을 상호협의하여 결정하며, 핵심 개발인력이 아닌 지원인력의 근무 장소는 보안 등 특별한 사유가 있는 경우를 제외하고는 제안사가 달리 정할 수 있음

- 사업 수행을 위해 필요한 작업장소 등은 사업예산 내 계상되어 있으므로 관련 비용을 포함하여 제안가격을 산출 하되, 작업장소 등은 상호협의하여 결정

- 설비 및 기타 작업환경은 제안사가 구비하여야 함. (단, 이 경우에도 제안사는 개발 장소에 관하여 제시할 수 있음)

- 제안사는 원격지 개발에 따른 보안사고 등 위험요인을 식별하여 이에 대한 대응방안 제시

- 제안사는 원격지 개발에 따른 개발방법 등에 대한 구체적인 방안을 제시

- 제안사는 작업장소 상호협의 시 제안요청서 내 명시된 보안 요구사항을 준수한 작업장소를 제시할 수 있으며, 발주기관에서는 제시된 작업장소에 관하여 우선 검토. 다만, 발주기관에서는 공급자가 제시한 작업장소가 보안요구사항을 준수하지 못한 경우 거부 가능

□ 검수

□ 제안사는 검수계획서를 계약 완료 전에 제출하고 제출일로부터 14일 이내에 검수를 받아야 하며 발주기관은 14일 이내에 검수를 완료해야 함

□ 기타

□ 본 사업은 ｢소프트웨어 진흥법｣ 제50조에 따른 과업내용 확정을 위하여 과업 심의위원회를 (✔)개최 또는 ()미개최 한 사업임

□ ｢소프트웨어 진흥법｣ 제50조, 같은 법 시행령 제47조 제1항 제2호, 제3호에 따른 과업내용 변경 및 그에 따른 계약금액·계약기간 조정이 필요한 경우, 계약상대자는 발주기관에게 소프트웨어사업 과업변경요청서*를 제출하여야 하며, 발주기관은 과업심의위원회 개최 요청에 대해서 특별한 사정이 없으면 수용해야 함

* ｢소프트웨어사업 계약 및 관리감독에 관한 지침｣ 별지 8호서식 참조

Ⅲ		과업수행 일반사항

□ 일반지침

□ 과업수행기관은 계약일로부터 10일 이내에 전체 과업참여자 명단 및 과업수행계획서 등이 포함된 착수계를 작성하여 발주기관에 제출하여야 함

□ 과업수행계획서에서 참여하기로 한 당초 과업책임자 및 참여자는 본 과업의 완료 시까지 원칙적으로 변경할 수 없다. 다만, 변경이 불가피한 경우에는 당초 과업책임자 및 참여자와 자격․경력 등이 동등하거나 그 이상의 자에 한하여 발주기관의 사전 승인을 얻어 변경하여야 함

□ 과업수행기관은 과업수행을 위해 각 분야별로 학식과 경험이 있는 전문가 등을 최대로 활용하여 본 과업 수행에 차질이 없도록 하고, 본 과업목적 달성 및 개선을 위해 적극 노력하여야 함

□ 과업지시서에 명시되지 않았거나, 과업상 중요한 사항에 대해 결정 또는 판단이 필요한 사항이 있는 경우에는 발주기관과 사전에 협의하여야 함

□ 과업지시서에 명시되지 않은 사항이라도 본 과업 목적 달성을 위해 필요한 사항은 발주기관의 지시에 의거 최대한 협조하여야 함

□ 과업지시서의 용어는 일반적인 통념에 따라 해석하며, 발주기관과 과업수행기관 간의 해석상 상충되는 의견이 있을 경우 발주기관이 최종 결정에 따름

□ 과업수행기관은 발주기관 및 유관기관과 긴밀한 협조체계를 유지하여야 하며, 발주기관이 요구하는 자료와 편의를 제공하여야 함

□  본 과업 완료 이후에도 과업수행자의 고의·과실 등으로 과업 결과에 대한 보완이 필요할 때에는 과업수행자 부담으로 재검토 보완하여야 함

□ 과업목적을 달성하기 위하여 필요한 사항이나 과업지시서에 누락 된 경미한 사항은 과업수행기관 부담으로 시행하여야 함

□ 과업진행에 대해 발주처의 설명 요구가 있을 경우 과업책임자 또는 참여자가 사업내용을 설명하고, 발주기관의 지시사항을 성실히 수행하여야 함

□ 책임

□ 과업수행기관은 설계상의 하자로 인하여 과업진행 중 상당한 피해를 초래하였을 경우 이에 대한 모든 책임을 부담하여야 함

□ 과업 수행과정에서 취득한 제반 자료와 정보 등은 과업 수행의 전후를 막론하고 임의로 누설하여서는 아니 되며, 임의 유출에 따라 발생한 제반 사고에 대한 책임은 과업수행기관이 부담하여야 함

□ 과업수행기관은 과업진행 중 국내외의 특허권, 저작권 침해 등으로 발주기관이 소송의 대상이 되었을 경우, 또는 발주기관에 상당한 피해를 초래하였을 경우에는 계약상대자의 비용으로 이를 변호․보상하여야 하고 발주기관의 피해에 대해서 모든 책임을 부담하여야 한다.

□ 과업계약자는 과업수행 중 과업수행자 책임으로 발생하는 제반사고에 대하여 책임진다.

□ 기타사항

□  직접인건비 및 제경비는 실제 투입한 결과에 따라 예산의 범위 내에서 조정하여 사용할 수 있으며, 준공검사원 제출 시 구체적인 집행근거 자료를 제출하여아 한다

□  과업수행기관은 용역비를 다른 용도에 사용하여서는 아니 되며, 발주기관에서 용역비가 부당하게 지출되었다고 인정할 경우 그 금액에 대하여 감액 또는 환수할 수 있다.

□  기타사항은 관계규정이 정하는 바에 따라 발주기관과 협의 조정하되 조정되지 않을 경우 발주기관의 지시를 따르도록 한다.

Ⅳ		과업 수행의 보안사항

□ 과업수행기관의 대표 및 모든 과업참여자는 과업 착수와 동시에 발주처가 제시하는 서식에 의한 보안서약서를 징구·제출하여야 한다.

□ 과업수행 중 과업참여자가 교체될 경우 발주처에 미리 알려야 하며, 추가로 보안서약서를 징구하고 인계․인수를 철저히 하여 자료의 유출 등을 방지하여야 한다.

□ 보안이 요구되는 과업을 수행하는 경우에는 작업실을 통제하고, 외부인의 출입을 금하도록 한다.

□ 과업의 보안유지를 위하여 자료 보관함은 별도로 비치하되 비밀, 대외비 및 일반자료 보관함으로 구분하고 자료 및 성과물의 중요도에 따라 비밀, 대외비 및 일반자료로 분류․관리하여야 한다.

□ 과업의 내용상 보안이 요구되거나 외부에 유출 될 경우 물의를 일으킬 수 있는 성과품 작성 시에는 참여 인원을 최소화하여야 하며, 특별한 사유가 없는 한 정규직원에 한해 업무를 수행하게 하여야 한다.

□ 보안사항의 누설과 관련 자료의 도난, 분실, 기타 손괴 등을 방지하고 제반 보안사항의 조치를 강구 및 감독하기 위해 정․부 보안책임자를 지정하여야 한다.

□ 본 과업수행과 관련된 자료 및 정보는 본 과업 이외의 여타 목적을 위해 사용될 수 없으며, 발주처의 서면승인 없이 타인에게 제공 또는 대여하거나 외부에 공개할 수 없다.

□ 과업수행 과정 중 생산되는 각종 회의 자료에 본 과업내용이 포함될 경우에는 필요한 부수만 생산하여 불필요하게 생산되지 않도록 하는 등 보안에 유의하여야 하며, 그 중요도에 따라 회수․파기하여야 한다.

□ 과업내용 중 일부를 외부전문가에 의뢰하여 과업을 수행할 경우에도 동일한 보안대책을 수립하여 시행하여야 한다.

□ 과업수행기관 또는 과업참여자가 용역 수행 과정에서 취득하거나 알게 된 내용을 임의로 사용하거나 보안의무를 위반하여 발주처가 손해를 입었을 때에는 이에 대한 손해배상을 하여야 한다.

□ 과업지시서에 명시되지 않은 보안사항에 대하여는 「행정안전부 보안업무규정」 등 제반 보안규정을 준용하도록 하여야 한다.

□ 과업수행기관은 본 과업의 수행과정에서 발생한 각종 자료와 용역 성과품을 용역 준공 시 발주처에 전부 납품하여야 하며, 성과품을 추가로 인쇄하여 보관하거나 별도의 파일에 저장할 수 없다.

[별첨 1]

사업자 보안위규 처리기준

구 분	위 규 사 항	처 리 기 준
심 각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	◦ 사업참여 제한 ◦ 위규자 및 직속 감독자 중징계 ◦ 재발방지를 위한 조치계획 제출 ◦ 위규자 대상 특별보안교육 실시
중 대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·유지보수 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	◦ 위규자 및 직속감독자 등 중징계 ◦ 재발방지를 위한 조치계획 제출 ◦ 위규자 대상특별보안교육 실시

구 분	위 규 사 항	처 리 기 준
보 통	1. 발주처 제공 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 관리 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 네이트온 등 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여 마. PC 비밀번호를 모니터옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	◦ 위규자 및 직속 감독자 등 경징계 ◦ 위규자 및 직속 감독자 사유서 /경위서 징구 ◦ 위규자 대상특별보안교육 실시
경 미	1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	◦ 위규자 서면ㆍ구두 경고 등 문책 ◦ 위규자 사유서 /경위서 징구

[별첨 2]

보안 위약금 부과 기준

구분	위규 수준
	A급	B급	C급	D급
위규	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
위약금 비중	부정당업자 등록	사업금액의 5%이하	사업금액의 2.5%이하	사업금액의 0.5%이하

* 사업 종료 시 지출금액 조정을 통해 위약금 정산

[별첨 3] 누출금지 대상정보

누출금지 대상정보

1. 기관 소유 정보시스템의 내․외부 IP주소 현황

2. 세부 정보시스템 구성현황 및 정보통신망 구성도

3. 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보

4. 정보통신망 취약점 분석·평가 결과물

5. 용역사업 결과물 및 프로그램 소스코드

6. 국가용 보안시스템 및 정보보호시스템 도입 현황

7. 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보

8. 『공공기관의 정보공개에 관한 법률』제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서

9. 『개인정보보호법』제2조제1호의 개인정보

10. 『보안업무규정』제4조의 비밀 및 동 시행규칙 제7조제3항의 대외비

11.  그 밖에 각급기관의 장이 공개가 불가하다고 판단한 자료

【서식 제1호】

보  안  서  약  서

본인은     년   월   일부로                        관련 용역사업(업무)을 수행함에 있어 다음사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은                         관련 업무중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정한다.

2. 본인은 이 기밀을 누설함이 국가안전보장 및 국가이익에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나 공개하지 아니한다.

3. 본인이 이 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

년     월     일

서  약  자      업 체 명 :

직    위 :

성    명 :                (서명)

생년월일 :

서약집행자      소    속 :

(담당공무원)     직    위 :

성    명 :                (서명)

생년월일 :

【서식 제2호】

비 밀 유 지 계 약 서

제1조 【목  적】

본 계약서는 제주관광공사가                                   사업에 투입되는 자료․장비 등에 대해 보안의 범위․책임을 명확히 하기 위하여 준수하여야 할 비밀유지조건에 합의하였음을 확인하기 위한 계약서이다.

용역사업자 등은 용역사업 수행 중 업무에 관련된 정보나 자료를 제공받기에 앞서서 향후 제공될 정보나 자료를 아래에서 약정한 조건에 따라 비밀을 유지/준수하기로 한다.

제2조 【정보의 사용용도 제한】

제주관광공사의 모든 정보나 자료는 “용역사업 수행 목적에만 사용되어야 하며 용역사업자는 누출금지 대상정보에 대한 비밀유지 의무를 성실히 이행하여야 한다. 또한 용역사업자는 누출금지 대상정보의 사용허가를 얻지 아니한 자에게 정보를 제공하거나 목적이외의 용도로 사용해서는 안 된다.

제3조 【제한되는 정보의 범위 및 보안준수 사항】

용역사업자가 용역사업과 관련하여 비밀유지를 위해 제한되는 누출금지 대상정보와 지켜야할 보안준수 사항은 다음과 같다.

	누출금지 대상정보(비빌정보 대상)
1. 제주관광공사 사업 관련 열람되는 제반 정보 2. 제주관광공사 사업 관련 전산장비, 통신장비, 백업 장비, 보안장비 등 관련 장비 현황 3. 용역사업 결과물 4. 기관 소유 정보시스템의 내․외부 IP주소 현황 5. 세부 정보시스템 구성 현황 및 정보통신망 구성도 6. 사용자계정․비밀번호 등 정보시스템 접근권한 정보 7. 「공공기관의 정보공개에 관한 법률」 제9조 1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서 8. 「개인정보보호법」 제2조 1호의 개인정보 9. 보안업무규정 제4조의 비밀 및 동 시행규칙 제7조 제3항의 대외비 10. 그 밖에 제주관광공사에서 공개가 불가하다고 판단한 자료

제4조 【정보의 회수】

용역사업자는 용역사업 완료 시 이미 제공된 정보나 자료의 사본을 남기지 않고 모두 제주관광공사에게 돌려주기로 한다. 용역사업자나 관련 당사자들이 이미 제공된 정보를 이용하여 작성한 분석 자료나 보고서 등 기타 어떠한 자료도 모두 반환 및 폐기처분하여야 하며, 사본 등 용역사업관련 자료를 보유하고 있지 않다는 대표 명의의 보안확약서를 제출해야 한다.

제6조 【손해배상】

용역사업자가 위 사항을 위반하여 제주관광공사에 손해를 끼친 경우는 용역사업자는 그 모든 손해의 배상을 책임진다.

20   년     월      일

	보안준수 사항
1. 참여인원 보안 준수사항 ○ 용역사업 참여인원은 ‘정보노출’ 금지조항 및 개인의 친필 서명이 들어간 보안서약서 제출 ○ 용역사업 수행 전 참여인원에 대해 법적 또는 제주관광공사 규정에 따른 비밀유지 의무 준수 및 위반 시 처벌내용 등에 대한 보안교육 이행 ○ 누출금지 대상 정보의 외부 누출 금지 ○ 비밀관련 사업을 수행할 경우 비밀취급인가 취득 ○ 사진촬영금지 2. 자료에 대한 보안 준수사항 ○ 계약서 등에 명시한 누출금지 대상정보가 필요할 경우 자료관리 대장을 작성, 인계자·인수자가 직접 서명한 후 수령하고 사업완료시 관련자료 반납 ○ 용역사업 관련자료 및 사업과정에서 생산된 모든 산출물은 제주관광공사의 파일 서버에 저장하거나 보안담당관이 지정한 PC에 저장·관리 ○ 용역사업 관련 자료는 인터넷 웹하드·P2P 등 인터넷 자료공유사이트 및 개인 메일함에 저장을 금지하고 용역 발주기관과 용역업체간 전자우편을 이용해 자료 전송이 필요한 경우에는 자체 전자우편을 이용, 첨부자료 암호화 후 수발신 ※ 대외비 이상의 비밀은 전자우편으로 송수신 금지 ○ 제주관광공사에서 제공한 사무실에서 업체가 용역사업을 수행할 경우 제공한 비공개 자료는 매일 퇴근시 반납토록 하며 비밀문서를 제외한 일반문서는 용역업체에 제공된 사무실에 시건장치가 된 보관함이 있을 경우 이에 보관가능 ○ 용역사업 수행으로 생산되는 산출물 및 기록은 보안담당관이 인가하지 않은 비인가자에게 제공·대여·열람을 금지 3. 사무실·장비에 대한 보안준수 사항 ○ 제주관광공사 내부에서 용역사업을 수행할 경우 용역 참여직원은 노트북 등 관련 장비를 외부에 반출·입 금지 여부 확인 ○ 인가받지 않은 USB메모리 등의 휴대용 저장매체 사용을 금지하며 산출물 저장을 위하여 휴대용 저장매체가 필요한 경우 보안담당관의 승인 하에 사용 4. 내·외부망 접근 시 보안준수 사항 ○ 용역업체 사용전산망은 업무망과 분리구성하고 필요한 서버에만 제한적 접근허용 ○ 용역업체에서 사용하는 PC는 인터넷 연결을 금지하며, 사업수행상 연결이 필요한 경우에는 보안담당관의 보안 통제하에 제한적 허용 5. 용역사업완료 후 준수 사항 ○ 제공받은 자료, 장비와 중간․최종 산출물 등 용역사업과 관련된 제반자료 전량 반환 하고 복사본 등 별도 보관 금지 ○ 업체 소유 PC․서버의 하드디스크․휴대용 저장매체 등 전자기록 저장매체는 국가정보원장이 안전성을 검증한 삭제 S/W로 완전 삭제 후 반출 ○ 용역사업 관련자료 회수 및 삭제조치 후 복사본 등 용역사업관련 자료를 보유하고 있지 않다는 대표 명의 확약서 제출

발주기관 :           제주관광공사                       (인)

수주기관 :                                              (인)

【서식 제3호】

보 안 확 약 서

본인은 귀 기관과 계약한                           사업의 수행을 완료함에 있어, 다음 각 호의 보안사항에 대한 준수 책임이 있음을 서약하며 이에 확약서를 제출합니다.

1. 본 업체(단체)는 업체(단체) 및 사업 참여자가 사업수행 중 지득한 모든 자료를 반납 및 파기하였으며, 지득한 정보에 대한 유출을 절대 금지하겠습니다.

2. 본 업체(단체)는 하도급업체에 대해 상기 항과 동일한 보안사항 준수 책임을 확인하고 보안확약서를 징구하였으며, 하도급업체가 위의 보안사항을 위반할 경우에 주사업자로서 이에 동일한 법적책임을 지겠습니다.

3. 본 업체(단체)는 상기 보안사항을 위반할 경우에 귀 기관의 사업에 참여 제한 또는 그 밖의 관련 법규에 따른 책임과 손해배상을 감수하겠습니다.

년      월      일

서약업체(단체) 대표

소        속 :

직        급 :

성        명 :                       (서명)

제주관광공사사장  귀하

【서식 제4호】

본 표준 개인정보처리위탁 계약서는 「개인정보 보호법」제26조제1항에 따라 위탁계약에 있어 개인정보 처리에 관하여 문서로 정하여야 하는 최소한의 사항을 표준적으로 제시한 것으로서, 위탁계약이나 위탁업무의 내용 등에 따라 세부적인 내용은 달라질 수 있습니다.

개인정보처리업무를 위탁하거나 위탁업무에 개인정보 처리가 포함된 경우에는 본 표준 개인정보처리위탁 계약서의 내용을 위탁계약서에 첨부하거나 반영하여 사용하실 수 있습니다.

표준 개인정보처리위탁 계약서(안)

(이하 “위탁자”이라 한다)과                (이하 “수탁자”이라 한다)는 “위탁자”의 개인정보 처리업무를 “수탁자”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.

제1조 (목적) 이 계약은 “위탁자”가 개인정보처리업무를 “수탁자”에게 위탁하고, “수탁자”는 이를 승낙하여 “수탁자”의 책임 아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는「개인정보 보호법」, 같은 법 시행령 및 시행규칙,「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2020-2호) 및「표준 개인정보 보호지침」(개인정보보호위원회 고시 제2020-1호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “수탁자”는 계약이 정하는 바에 따라 (                                                ) 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.

1. 인사관리시스템 고도화 사업을 위한 모든 제반 활동

2. 인사관리시스템 인사, 복무, 급여 기능 고도화

제4조 (위탁업무 기간) 이 계약서에 의한 개인정보 처리업무의 기간은 다음과 같다.

계약 기간 :              ~

제5조 (재위탁 제한) ① “수탁자”는 “위탁자”의 사전 승낙을 얻은 경우를 제외하고 “위탁자”와의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “수탁자”가 다른 제3의 회사와 수탁계약을 할 경우에는 “수탁자”는 해당 사실을 계약 체결 7일 이전에  “위탁자”에게 통보하고 협의하여야 한다.

제6조 (개인정보의 안전성 확보조치) “수탁자”는「개인정보 보호법」제23조제2항 및 제24조제3항 및 제29조, 같은 법 시행령 제21조 및 제30조, 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2020-2호)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제7조 (개인정보의 처리제한) ① “수탁자”는 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “수탁자”는 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보 보호법」시행령 제16조 및「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2020-2호)에 따라 즉시 파기하거나 “위탁자”에게 반납하여야 한다.

③ 제2항에 따라 “수탁자”가 개인정보를 파기한 경우 지체없이 “위탁자”에게 그 결과를 통보하여야 한다.

제8조 (수탁자에 대한 관리·감독 등) ① “위탁자”는 “수탁자”에 대하여 다음 각 호의 사항을 감독할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속현황

3. 개인정보 접근 또는 접속 대상자

4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “위탁자”는 “수탁자”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이행하여야 한다.

③ “위탁자”는 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 (1)회 “수탁자”를 교육할 수 있으며, “수탁자”는 이에 응하여야 한다.

「개인정보 안전성 확보조치 기준 고시」(개인정보보호위원회 고시 제2020-2호) 및 「개인정보 보호법」 제26조에 따라 개인정보처리자 및 취급자는 개인정보보호에 관한 교육을 의무적으로 시행하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “위탁자”는 “수탁자”와 협의하여 시행한다.

제9조 (정보주체 권리보장) ① “수탁자”는 정보주체의 개인정보 열람, 정정·삭제, 처리 정지 요청 등에 대응하기 위한 연락처 등 민원 창구를 마련해야 한다.

제10조 (개인정보의 파기) ① “수탁자”는 제4조의 위탁업무기간이 종료되면 특별한 사유가 없는 한 지체 없이 개인정보를 파기하고 이를 “위탁자”에게 확인받아야 한다.

제11조 (손해배상) ① “수탁자” 또는 “수탁자”의 임직원 기타 “수탁자”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁 받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “수탁자” 또는 “수탁자”의 임직원 기타 “수탁자”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “위탁자” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “수탁자”는 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “위탁자”가 전부 또는 일부를 배상한 때에는 “위탁자”는 이를 “수탁자”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “위탁자”와 “수탁자”가 서명 또는 날인한 후 각 1부씩 보관한다.

20  .  .  .

위탁자 주 소 : 제주특별자치도 제주시 선덕로23 기관(회사)명 : 제주관광공사 대표자 성명 : 고 은 숙 (인)	수탁자 주 소 : 기관(회사)명 : 대표자 성명 : (인)