과업지시서

과업명	자활정보시스템 개인정보 영향평가

2017.5

주관기관	재단법인 중앙자활센터
담 당	자활정보팀	Tel: 3415-6957	Fax: 3415-6990

Ⅰ		사업개요

1		사업개요

❍ (사업명) 자활정보시스템 개인정보영향평가

❍ (사업기간) 계약일로부터 2개월 한

❍ (사업예산) 50,000천원(VAT포함)

❍ (계약방법) 제한경쟁 최저가 경쟁입찰

❍ (입찰참가 자격)

-「개인정보보호법」제33조 및 「개인정보보호법시행령」제37조에 따른 입찰공고일 전일 기준 행정자치부장관으로부터 ‘개인정보 영향평가기관’으로 지정된 업체

- 5년 이내 공공 또는 금융기관을 대상으로 주계약자로서 단일계약 5천만원(부가세포함) 이상의 개인정보 영향평가 수행실적이 있는 업체

2		추진배경 및 목적

❍「개인정보보호법」제33조 및「개인정보보호법시행령」제35조에 따른 개인정보 영향평가 의무화

❍ 자활사업의 효율적인 관리와 투명한 정보제공을 위한 자활정보시스템(이하 ‘대상 시스템’ 이라 함)운영에 따른 개인정보 위험요인의 분석 및 사전조사·예측·검토를 통해 개선방안 도출

❍ 개인정보 영향평가를 통해 개인정보 침해 요인을 파악하고, 개선방안을 수립·적용하여 침해사고를 예방

❍ 개인정보보호 활동의 효과적인 방안 수립으로 시스템 신뢰성 제고

Ⅱ		대상업무현황

1		대상시스템 인프라 현황

❍ 하드웨어 및 네트워크 구성현황

해당내역이 공개될 경우 보안침해 사고 등이 우려되어 제외

※ ‘행정기관 및 공공기관 정보시스템 구축․운영 지침’(행정자치부, 2017.2.9.)에 근거

※ 해당 사업 수행기관 선정 후 업무 수행사에 공개

❍ 소프트웨어 구성현황

분류	구성	제품
대상시스템	UI플랫폼	nexacro
	리포팅	CrowinxReport &ERS
	DB암호화	D'amo
	사용자인증	ISSAC-WebPro
	연계	MEGA-Tier IS@Enterprise
	웹구간암호화	Thawte SSL
	DB서버 OS	UNIX
	그 외 서버OS	RedHat Linux
	WEB	Apache
	WAS	Jboss
	JDK	OpenJDK
	DB	Tibero
	백업	jSimpana
	OS보안	Secuve TOS

2		대상시스템 구성도

※ 자활이력 섹션은 현재 운영 중에 있으며, 자산형성지원 섹션은 개발 진행 중에 있음

Ⅲ		사업추진방향

1		사업추진방향

❍ 개인정보보호 관리체계 현황 점검 및 개선방안 수립

- 개인정보보호조직, 보호체계 방침, 개인정보파일 관리, 개인정보 위탁 및 제공 시

안전조치, 개인정보침해대응, 개인정보 처리구역보호 등의 분석 및 개선방안 제시

- 대상시스템의 개인정보 취급자, 취급내용, 보유기간 등에 대한 적정성 및

위험요인 분석과 개선방안 제시

❍ 개인정보 처리단계별 보호의 적정성 분석 및 조치방안 마련

- 수집, 저장 및 보유, 이용 및 연계·제공, 파기단계까지 각 단계별 기술적·관리적

보호조치의 적정성 여부 점검 및 개선방안 마련

❍ 시스템별 업무특성에 따른 암호화 적용 여부 및 개선범위 등 제시

- 대상 시스템이 보유한 고유 식별 정보의 암호화 적용 범위 결정

- 암호화를 적용할 경우 성능저하, 데이터베이스 고유 식별정보 재편성 및 프로그램

수정의 최소화 방안 마련

- 암호화가 적용된 시스템의 경우 적정성 여부 점검

- 필요시 외부 시스템과의 연계사항 등, 암호화 개선 방안 제시

- 암호화가 적용될 경우 암호화 적용에 대한 영향평가 보고서 제출

❍ 개인정보보호 점검결과에 따른 개선방안 마련 및 후속조치 컨설팅

- 개인정보보호 관련 법규 위반사항에 대한 개선방안 마련 및 개인정보처리

시스템의 특성을 고려한 개인정보관리 등 컨설팅

- 영향평가 결과에 따른 개선 방안 마련 등 개인정보관리 컨설팅

❍ 개인정보보호 교육 및 기술지원

- 개인정보 영향평가 방법이 개인정보처리시스템의 개인정보 취급자 및 업무

담당자 등에게 이전될 수 있도록 이에 필요한 교육 실시

2		개인정보 영향평가 수행절차

❍「공공기관 개인정보 영향평가 수행 안내서」에 따라 수행

- 문서 확인, 인터뷰, 현장방문을 통한 실사 등의 방법을 병행

- 대상시스템에 적용되는 개인정보보호관련 법령·지침 및 가이드라인·내부

지침 등 관련 정책 분석

- 개인정보 흐름 및 개인정보 침해 요인 분석, 위험평가를 실시

- 개인정보보호 관련 법규, 지침 등 관련내용을 반영한 개선방안 수립 및

컨설팅 제공

- 개인정보 영향평가 시 모든 침해요인을 도출하여 개선할 수 있도록 필요한

평가항목 선정

※ 영향평가 점검항목은 「개인정보보호법 시행령」제38조 영향평가 기준에

따른 평가영역 및 분야를 준용(붙임참조)

- 영향평가의 수행계획 및 결과 검토를 위한 착수·최종 보고회 개최

- 수행사는 계약기간 만료일까지 우리기관이 지정한 장소에서 사업을 수행하여야 함

❍ 수행사는 현장점검 실시 전에 우리기관, 수행사, 본 사업 수행인력 등 관련

당사자들이 참석하는 착수회의 개최

❍ 개인정보 영향평가 결과보고서 작성 및 검토회의 개최

- 수행사는 현장점검 기간 중에 개인정보 영향평가 결과보고서 초안을 작성하여

우리기관 및 수행사의 이견사항을 검토 및 반영하여 결과보고서 작성 및 제출

- 수행사는 영향평가 결과보고서에 대하여 설명하는 종료회의 개최

❍ 영향평가 결과보고서 통보

- 수행사는 종료회의의 결과를 반영한 최종 영향평가 결과보고서를 종료

회의 후 7일 이내에 우리기관에 제출

- 개인정보 영향평가 결과에 따른 개선방안 및 이행계획 수립방안 제시

- 개인정보보호 관련 법규 위반사항 및 개인정보영향평가 결과에 따른 시스템

개선방안 및 이행계획 도출방안 제시

․ 단기 개선 : 사업 연도 내 조치가 가능한 사항으로 자세히 제시       (내부 정책 자료인 경우 초안, 양식, 사례 제공)

․ 중장기 개선계획 : 소요예산 포함하여 이행계획 제시

❍ 개인정보보호 점검결과에 따른 개선수행

- 기관이 운영하고 있는 내규 및 시스템 관리 시행 규칙 등을 작성 및 개선

❍ 영향평가 대상시스템에 대한 개인정보 취급자에 대한 교육방안 제시

- 개인정보 영향평가 결과 및 후속 조치사항에 대하여 평가대상 시스템

개인정보 취급자 및 업무담당자 등에게 이전될 수 있도록 이에 필요한

교육 실시방안 제시

- 기타 결과물에 대하여 필요시, 관계자 대상 관련업계 전문가 교육제공

방안 제시 및 향후 사업 이후에도 추가적인 교육 요구, 개인정보보호에

대한 기술 자문 수행방안 제시

❍ 개인정보 영향평가 수행절차 흐름도

3		추진일정

구분	분류	M								M+1							비고
사업수행	영향평가 계획수립
	평가자료 수집 및 분석
	개인정보 흐름분석
	침해요인 도출
	개선계획 수립
	결과보고서 작성
완료	검수 및 완료보고

※ 구체적인 추진일정은 수행사 선정 후 협의에 따라 변경될 수 있음

4		기대효과

❍ 개인정보 법 제도에 대한 이해 제고 및 개인정보 보호체계 확립

❍ 안전하고 신뢰성 있는 개인정보 관리체계 구축

❍ 개인정보 침해 요인에 대한 보완 및 개선을 통한 정보시스템 신뢰성 제고

❍ 개인정보보호 관련 법․규제 준수 및 이행

Ⅳ		과업 내용

1		요구사항 일반

가. 사업수행 요건

❍ 수행사는 사업의 성공적 추진을 위하여 신의와 성실 의무를 가져야 한다.

❍ 본 사업은 발주처의 지시에 따라 성실히 수행하여야 한다.

❍ 사업수행은「국가를당사자로하는계약에관한법률」,「계약예규」등 관련   법규와 제반 계약내용을 준수하여야 한다.

나. 사업 일반 요건

❍ 개인정보 영향평가 결과에 따른 개선방안을 바탕으로 기관 정보보안   내규(규정, 지침, 절차, 가이드)를 작성하여 제공한다.

❍ 영향평가 수행 후 도출된 시스템 개선방안 및 이행계획을 문서화 하고   개선 수행 완료 시 까지 컨설팅을 지원한다.

2		요구사항 목록

요구사항	고유번호	요구사항 명칭	비고
컨설팅 요구사항	CSR-01	개인정보 영향평가 일반사항
	CSR-02	개인정보 영향평가 수행 요구사항 – 개인정보 영향평가 계획 수립(1)
	CSR-03	개인정보 영향평가 수행 요구사항 – 개인정보 영향평가 계획 수립(2)
	CSR-04	개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석(1)
	CSR-05	개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석(2)
	CSR-06	개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석(3)
	CSR-07	개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(1)
	CSR-08	개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(2)
	CSR-09	개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(3)
	CSR-10	개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(4)
	CSR-11	개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(5)
	CSR-12	개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(1)
	CSR-13	개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(2)
	CSR-14	개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(3)
	CSR-15	개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(4)
	CSR-16	개인정보 영향평가 수행 요구사항 – 개선 계획 수립(1)
	CSR-17	개인정보 영향평가 수행 요구사항 – 개선 계획 수립(2)
	CSR-18	개인정보 영향평가 수행 요구사항 – 영향평가 보고서 작성
보안 요구사항	SER-01	공통 보안요구사항
	SER-02	사업 착수시 보안요구사항
	SER-03	사업 수행시 보안요구사항
	SER-04	사업 완료시 보안요구사항
품질 요구사항	QUR-01	품질관리 및 보증 방안
	QUR-02	산출물 관리
제약사항	COR-01	프로젝트 장소 및 환경
	COR-02	기타 제약사항
프로젝트 관리 요구사항	PMR-01	업무보고 요구사항
	PMR-02	사업수행 조직구성
프로젝트 지원 요구사항	PSR-01	교육계획 수립 및 실시
	PSR-02	하자ㆍ유지보수

3		요구사항 상세

가. 컨설팅 요구사항(CSR)

요구사항 분류		컨설팅
요구사항 고유번호		CSR-001
요구사항 명칭		개인정보 영향평가 일반사항
요구사항 상세설명	정의	영향평가 일반사항
	세부내용	○ 관리적⋅기술적 보호조치의 적정성 및 법적 의무사항 준수여부 등을 확인하여야 함 ○“개인정보 영향평가에 관한 고시” 및 “공공기관 개인정보 영향평가 수행 안내서” 등을 준용하여 사업을 수행하여야 함 ○ 개인정보보호 관리체계의 적정성 분석과 개선방안 수립을 수행하여야 함 - 기관의 개인정보보호 조직, 개인정보보호 추진계획, 개인정보보호방침, 개인정보 위탁 및 제공 시 안전조치, 개인정보 침해대응, 개인정보 처리구역 보호 등의 분석 및 개선방안 제시 - 대상시스템의 개인정보 취급자, 취급 내용, 보유기간 등의 적정성 및 개선방안 제시 ○ 개인정보 처리단계별 보호의 적정성 분석 및 조치방안을 마련하여야 함 - 개인정보 수집, 저장 및 보유, 이용 및 연계․제공, 파기단계에 이르는 각 단계별 보호조치의 적정성 분석 ○ 개인정보보호 점검결과에 따른 개선방안 및 후속조치방안을 마련하여야 함 - 개인정보보호 관련 법규 위반사항에 대한 개선방안 마련 등 - 개인정보영향평가 결과에 따른 시스템 개선방안 도출 ※ 개선방안 및 후속조치방안은 조치가 가능하도록 상세히 제시(내부정책자료의 경우 초안, 양식 제공 등의 컨설팅 지원)되어야 함
산출정보		기관 보안 내규, 컨설팅 목록
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-002
요구사항 명칭		개인정보 영향평가 수행 요구사항 - 개인정보영향평가 계획 수립(1)
요구사항 상세설명	정의	개인정보 영향평가 운영계획 수립
	세부내용	○ 개인정보영향평가 운영계획 수립 - 평가하고자 하는 사업 자체에 대한 이해와 개인정보보호 관련 법제 및 정책, 전략 수립, 기술·시스템 분석 및 정보보안(Security) 등을 담당하는 우리기관 내 관련 부서, 사업을 구축 및 유지보수 수행 업체 (개발용역업체) 등으로 구성하고, 필요시 외부 전문가 참여 ※ 역할 및 책임 배분 시 담당자의 업무를 명확히 정의하고 업무의 중복을 가급적 지양할 것
산출정보
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-003
요구사항 명칭		개인정보 영향평가 수행 요구사항 - 개인정보영향평가 계획 수립(2)
요구사항 상세설명	정의	개인정보영향평가 계획 수립
	세부내용	○ 효율적인 평가 수행을 위한 영향평가 수행계획 수립 ○ 개인정보영향평가 계획 수립 - 평가목적, 평가대상 및 범위, 평가주체(평가팀), 평가기간, 평가절차(방법), 주요 평가사항, 평가기준 및 항목, 자료 수집 및 분석 계획 등을 포함
산출정보		컨설팅 목록
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-004
요구사항 명칭		개인정보 영향평가 수행 요구사항 - 평가자료의 수집 및 분석(1)
요구사항 상세설명	정의	내부 정책 평가자료의 수집 및 분석
	세부내용	○ 개인정보보호 관련 기관 내부 정책 환경 분석의 적절성 확보 ○ 개인정보 영향평가를 위한 내부 정책 자료의 수집 및 분석 - (조직·체계 자료) 해당 사항을 분석 후 우리기관에 적절한 자료 작성, 제공 - (인적 통제·교육 자료) 개인정보 관련 조직 내 업무 분장표 및 직급별 업무 권한 현황, 대상시스템의 접근 권한에 대한 내부 규정, 시스템 운영자 및 정보취급자에 대한 교육 계획, 위탁 업체 관리 규정 등의 분석, 제공 - (정보 보안 자료) 방화벽 등 침입차단 시스템 및 백신프로그램 도입 현황, 기존 유사 시스템 구조도 등의 분석
산출정보		컨설팅 목록
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-005
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석(2)
요구사항 상세설명	정의	외부 정책 평가자료의 수집 및 분석
	세부내용	○ 개인정보보호 관련 기관 외부 정책 환경 분석의 적절성 확보 ○ 개인정보 영향평가를 위한 외부 정책 자료의 수집 및 분석 - 공공기관에게 공통적으로 해당되는 일반 정책 자료의 분석 - 평가 대상 사업에 한해 제한적으로 적용되는 특수 정책 자료의 분석 ※ 개인정보보호 관련 법규 준수 여부 평가(법령, 지침, 가이드라인, 훈령 등)
산출정보		컨설팅 목록
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-006
요구사항 명칭		개인정보 영향평가 수행 요구사항 - 평가자료의 수집 및 분석(3)
요구사항 상세설명	정의	평가 대상사업 관련자료의 수집 및 분석
	세부내용	○ 대상시스템 분석의 적절성 확보 ○ 개인정보 영향평가 대상시스템 관련 자료의 수집 및 분석 - (사업수행자료) 사업추진 계획서, 제안 요청서, 과제 수행 계획서, 요구사항 정의서, 업무 매뉴얼(기 구축 시) 등의 분석 - (외부연계) 위탁 계획서, 연계 계획서 등의 분석 - (개발산출물) 시스템 설계서, 요건 정의서, 업무 흐름도, 기능 정의서, Data Flow Diagram, 테이블 정의서, 화면 설계서, 메뉴 구조도 등의 분석
산출정보		컨설팅 목록
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-007
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(1)
요구사항 상세설명	정의	평가대상 업무 현황 분석 자료 검토
	세부내용	○ 영향평가 대상시스템을 면밀히 분석하고 업무를 정의하여 해당 사업을 통해 처리되는 업무 중 개인정보 취급이 수반되는 업무를 도출 ○ 개인정보 처리업무 현황 분석 자료 검토 - 대상시스템 개발 관련 산출물 분석 및 담당자 인터뷰 등 수행 - (영향평가업무명) 대상시스템에서 개인정보가 취급되는 업무를 주요 업무단위로 기재 - (취급 개인정보) 평가 업무명 단위로 취급되는 개인정보 기재 - (개인정보 영향도) 취급개인정보의 중요도에 따라 영향도를 산정 ※ 개인정보 처리업무 현황 분석으로 도출된 업무별로 개인정보 취급 업무 흐름표 작성
산출정보		컨설팅 목록
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-008
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(2)
요구사항 상세설명	정의	평가대상 업무 흐름도 작성
	세부내용	○ 도출된 개인정보 취급 업무별로 개인정보 취급 업무표의 개인정보 취급 업무별 세부 업무절차를 작성 ○ 개인정보 처리업무 흐름도 작성 - 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성 ※ 개인정보 업무 흐름도는 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계 기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성할 것
산출정보		컨설팅 목록
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-009
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(3)
요구사항 상세설명	정의	개인정보 흐름표 작성
	세부내용	○ 개인정보 취급 단계별로 취급되는 개인정보 현황 및 처리 내역 등을 용이하게 식별 할 수 있도록 개인정보 흐름표를 작성 ○ 개인정보를 취급 업무별로 개인정보의 수집·보유·이용/제공·파기로 구분하여 구체적으로 작성 ○ 개인정보 흐름표 작성 - 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성 ※ 업무명을 기반으로 개인정보의 수집-보유-이용·제공-파기에 이르는 Life-Cycle별 현황 등을 기재하여 개인정보의 흐름을 한눈에 이해할 수 있도록 작성할 것
산출정보		컨설팅 목록
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-010
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(4)
요구사항 상세설명	정의	개인정보 흐름도 작성
	세부내용	○ 개인정보 취급이 수반되는 업무별로 개인정보의 수집·보유·이용/제공·파기되는 개인정보의 흐름을 한 눈에 파악할 수 있도록 개인정보 흐름도를 작성 ○ 개인정보 흐름도 작성 - 개인정보와 관련한 업무를 기재하고, 업무와 관련하여 개인정보 취급과 관련한 담당자 및 담당부서, 정보주체 등을 포함하여 기재 - 개인정보를 취급하는 관련업무, 취급과 관련하여 사용되는 매체(PC, 노트북, 신청서등의 문서)와 수집한 개인정보를 처리할 때 관련한 IT시스템(DB, 웹서버 등)을 표시하고 각 요소들 간의 이동 시 전송되는 개인정보 항목을 기재 ※ 개인정보 흐름도는 개인정보를 취급 업무별로 개인정보 흐름표를 기준으로 수집·보유·이용/제공·파기 등의 생명주기를 기반으로 해당 업무처리자 및 시스템의 구성사항을 고려하여 구체적으로 작성할 것
산출정보		컨설팅 목록
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-011
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인(5)
요구사항 상세설명	정의	정보시스템 구조도 및 정보보호 시스템 목록 작성
	세부내용	○ 정보시스템 구조도 작성 ○ 정보보호 기술적·물리적·관리적 보안 메커니즘 목록 작성 ※ 방화벽, 침입탐지시스템과 같은 보안 메커니즘을 포함하여 전송 데이터 암호화, DB 암호화 등 개인정보보호를 위한 기술적·물리적·관리적 보안 메커니즘의 타당성을 검토할 것
산출정보		컨설팅 목록
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-012
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(1)
요구사항 상세설명	정의	평가 기준 수립 및 개인정보보호 조치 사항 파악을 위한 평가항목 작성
	세부내용	○ 「공공기관 개인정보 영향평가 안내서」의 영향평가 항목을 기준으로 영향 평가영역을 구성 ○ 영향평가기준 및 평가항목 수립 - 개인정보 취급 업무 및 개인정보 흐름이 다수 존재하는 경우에는 각 흐름별로 평가항목을 각각 작성 - 평가 항목 외에도 관련 근거, 항목 설명, 확인 자료 등을 제시하여 작성
산출정보		컨설팅 목록
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-013
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(2)
요구사항 상세설명	정의	자료 분석, 현장 실사, 담당자 인터뷰 등을 통해 개인 정보보호 조치 현황 파악
	세부내용	○ 개인정보 조치사항 및 계획 등을 파악 ○ 평가기준 및 평가항목에 따라 자료분석, 현장실사, 담당자 및 취급자 대상 인터뷰를 통한 분석 수행 ○ 개인정보 흐름분석 시 도출된 업무 흐름표를 활용하여 개인정보 라이프 사이클별로 구분한 후, 위험요소별 개인정보 침해요인 분석
산출정보		컨설팅 목록
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-014
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(3)
요구사항 상세설명	정의	도출된 개인정보 침해 요소에 대한 위험도 산정
	세부내용	○ 위험요소 분석 및 위험도 산정 - 자산별 침해요인 연계 개념도 작성 - 중요도와 취약점, 위협요소 등을 고려하여 위험요소 분석 및 위험도 산정
산출정보		컨설팅 목록
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-015
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출(4)
요구사항 상세설명	정의	침해요소에 대한 위험 관리 방안 수립
	세부내용	○ 위험도의 우선순위에 따라 나열하여 해당 기관이 수용 가능한 수준을 정하여 단기, 중·장기로 구분하여 개선방안을 도출
산출정보
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-016
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개선 계획 수립(1)
요구사항 상세설명	정의	개선 과제 도출
	세부내용	○ 도출된 개인정보 침해요소 및 도출된 개선 방안을 기반으로 개선 과제 도출 - 위험 요소를 제거하거나 최소화할 수 있는 대처 방안 마련 - 위험 요소 해결을 위해 유사 사례에 대한 벤치마킹 등을 수행 - 담당자(개인정보취급자)들이 취약 사항을 시정하기 위해 취해야 할 조치 사항과 책임 사항 등을 마련
산출정보
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-017
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 개선 계획 수립(2)
요구사항 상세설명	정의	개선 계획 수립
	세부내용	○ 개선 계획은 위험평가를 참고하여 위험도가 높은 순서의 개선방안을 먼저 실행하도록 개선 계획표 작성 - 우리기관 내 보안 조치 현황, 예산, 인력, 정보화 사업 일정 등을 고려
산출정보
관련요구사항

요구사항 분류		컨설팅
요구사항 고유번호		CSR-018
요구사항 명칭		개인정보 영향평가 수행 요구사항 – 영향평가 보고서 작성
요구사항 상세설명	정의	개인정보 영향평가 결과 보고서 작성 및 주요 이슈 사항 검토
	세부내용	○ 개인정보 영향평가 결과서 작성 - 영향평가 전 과정 및 산출물을 정리하여 개선계획서, 영향평가서 등 결과 보고서 작성 ○ 주요 이슈 사항 검토 - 잔존 위험이나 이해관계자 간의 의견 충돌이 있는 경우에는 의사 결정권자를 토론에 참여시킴으로써 해당 사업의 중단·지속 여부 및 개인정보 보호 정도에 대한 합의 도출 ○ 영향평가 보고서를 최종적으로 검토 또는 승인할 수 있는 조직 내 의사결정권자에게 보고
산출정보
관련요구사항

나. 보안 요구사항(SER)

요구사항 분류		보안 요구사항
요구사항 고유번호		SER-001
요구사항 명칭		공통 보안요구사항
요구사항 상세설명	정의	공통 보안
	세부내용	○ 수행사는 당해 계약과정 또는 업무수행 과정을 통하여 취득한 정보는 절대 외부에 누설, 유출해서는 안 되며, 이를 위반한 경우에는 민·형사상 또는 관계법규에 따라 어떠한 조치와 처벌도 감수해야 함
산출정보
관련요구사항

요구사항 분류		보안 요구사항
요구사항 고유번호		SER-002
요구사항 명칭		사업 착수시 보안요구사항
요구사항 상세설명	정의	사업 착수시 보안
	세부내용	○ 사업수행에 사용되는 문서, 인원, 장비 등에 대한 물리적, 관리적, 기술적 보안대책 및 보안관리 계획을 수립하여 용역에 투입되는 인력(대표자 포함)에 대한 보안서약서와 함께 제출하여야 하며, 해당 정보를 누출해서는 안됨 ○ 투입인력에 대해 법률 또는 규정에 의한 비밀유지의무 준수 및 위반 시 처벌내용 등에 대한 보안교육 실시 ○ 필요시 우리기관의 내부규정에 의거, 투입인력에 대한 신원조사를 실시할 수 있음
산출정보
관련요구사항

요구사항 분류		보안 요구사항
요구사항 고유번호		SER-003
요구사항 명칭		사업 수행시 보안요구사항
요구사항 상세설명	정의	사업 수행시 보안
	세부내용	○ 보안인식 강화를 위하여 주기적으로 자체 보안교육을 실시하여야 하며, 우리기관이 요구하는 보안교육에 참석해야 함 ○ 사업수행 중 우리기관의 보안정책을 위반하였을 경우, 위규자 및 관리자를 행정조치하고, 보안위약금을 우리기관에 납부하여야 함 ○ 사업수행을 위해 제공받은 내부자료에 대해 용역수행책임자(PM)는 “자료관리대장”을 작성하여, 인수인계시 직접 서명·관리해야 함
산출정보
관련요구사항

요구사항 분류		보안 요구사항
요구사항 고유번호		SER-004
요구사항 명칭		사업 완료시 보안요구사항
요구사항 상세설명	정의	사업 완료시 보안
	세부내용	○ 사업 수행과정상 취득한 모든 자료와 정보는 사업수행 중은 물론, 사업완료 후에도 이를 유출해서는 안 되며, 사업종료시 정보보안담당자 입회하에 반환, 소각 및 완전 폐기 등 필요한 조치를 이행해야 함 ○ 사업 종료시, 수행사의 노트북, PC 등은 포맷(Format) 후 반출 ○ 수행사는 사업관련 자료를 보유하고 있지 않으며 이를 위반할 경우 향후 법적 책임이 있음을 포함한 보안조치확인서를 작성하여 제출해야 함 ○ 사업 최종 산출물에 대해 정보보안 전문가 또는 전문보안 점검도구를 활용하여 보안 취약점을 점검, 도출된 취약점에 대한 개선을 완료하고 그 결과를 제출해야 함
산출정보
관련요구사항

다. 품질 요구사항(QUR)

요구사항 분류		품질 요구사항
요구사항 고유번호		QUR-001
요구사항 명칭		품질관리 및 보증 방안
요구사항 상세설명	정의	품질관리 및 보증 방안
	세부내용	○ 수행사는 최근의 자료를 이용하여야 하며, 지침 등에 저촉되지 않도록 하여야 함 ○ 수행사는 각종 사업을 신중히 검토하여야 하며, 그 정당성, 정확도 및 안정성 등에 섬세하고 세밀한 평가를 하여야 함 ○ 본 사업 수행목적으로 사용한 모든 공식자료 및 통계는 서면으로 그 근거를 제시하여야 함 ○ 수행사는 본 사업에 관련된 모든 보고서의 조사·분석된 사항과 정리된 자료의 출처, 연도, 참고사항 등과 분석 자료 등 이에 관련된 기타서류를 제출함
산출정보
관련요구사항

요구사항 분류		품질요구사항
요구사항 고유번호		QUR-002
요구사항 명칭		산출물 관리
요구사항 상세설명	정의	품질관리(프로젝트 관리 관점)
	세부내용	○ 수행사는 사업추진 과정에서 생산되는 제반 작업 단위별 산출물에 대하여 작업 일정계획 및 품질보증계획과 연계하여 산출물의 종류, 주요 내용, 작성 및 제출 시기, 제출 부수 등을 제시하여야 함 ○ 산출물 관리방안을 제시하여야 함
산출정보
관련요구사항

라. 제약 사항(COR)

요구사항 분류		제약 사항
요구사항 고유번호		COR-001
요구사항 명칭		프로젝트 장소 및 환경
요구사항 상세설명	정의	프로젝트 장소 및 환경
	세부내용	○ 우리기관은 본 사업수행에 필요한 최소한의 작업공간을 제공할 예정이며, 작업공간을 제외한 각종 집기비품 등은 제안사가 부담함 ○ 사업수행기간 동안 참여인력은 사업수행장소에 상주를 원칙으로 함
산출정보
관련요구사항

요구사항 분류		제약사항
요구사항 고유번호		COR-002
요구사항 명칭		기타 제약사항
요구사항 상세설명	정의	기타 제약사항
	세부내용	○ 수행사는 우리기관의 승인 없이 용역결과를 대외적으로 발표하거나 제공할 수 없음 ○ 본 사업은 정보통신기반시설을 포함한 국가기관 정보시스템을 대상으로 수행되는 특수성(보안)을 고려하여 수행사가 우리기관에 제출한 모든 산출물과 기술자료의 사용권, 소유권 및 지적재산권은 우리기관에 귀속됨 ○ 저작권 침해에 따른 사안이 발생했을 시 모든 책임과 이에 따른 비용은 수행사 부담함을 원칙으로 함 ○ 수행사의 부주의, 고의 또는 과실로 대상시스템을 망실, 훼손한 것과 사고에 대하여 우리기관에 손해를 끼쳤을 경우 수행사는 그에 상응한 보상 또는 교환 등의 손해배상 책임을 짐 ○ 수행사가 제공한 정보 및 자료와 관련하여 저작권법 및 기타 관련법 등에 따른 권리 침해를 이유로 우리기관이 국내외의 제3자로부터 소송, 청구, 이의제기, 형사고소 등을 당한 경우에는 수행사는 자신의 책임과 비용으로 우리기관의 권리를 보호하며, 그에 따라 우리기관이 입은 일체의 손해를 배상 ○ 수행사는 규정에 의한 분쟁이 발생 시, 분쟁 기간 중 용역의 수행을 중지할 수 없음 ○ 본 계약과 관련하여 분쟁이 발생될 경우 쌍방 합의에 의하여 해결함을 원칙으로 하고, 그렇지 아니할 경우에는 관계법령에 정한 분쟁해결 방법에 따름 ○ 우리기관과 수행사가 상호협의 시에도 문제를 해결하지 못하고 부득이 소송할 필요가 있을 때에는 발주자의 주소지 관할법원으로 함 ○ 본 계약에 정하지 아니한 사항이나 본 계약의 각 조항과 다른 사항을 특약할 경우에는 우리기관과 수행사가 따로 서면으로 합의함으로써 그 효력을 발생
산출정보
관련요구사항

마. 프로젝트 관리 요구 사항(PMR)

요구사항 분류		프로젝트 관리 요구 사항
요구사항 고유번호		PMR-001
요구사항 명칭		업무보고 요구사항
요구사항 상세설명	정의	업무 보고
	세부내용	○ 협의된 양식에 의거 정기보고서(주간, 월간 등)를 작성/제출하고 업무보고를 실시하여야 함 ○ 사업수행 중 발생하는 비정기적인 사안에 대해서 우리기관은 수시보고서 제출을 요구할 수 있음
산출정보
관련요구사항

요구사항 분류		프로젝트 관리 요구 사항
요구사항 고유번호		PMR-002
요구사항 명칭		사업수행 조직 구성
요구사항 상세설명	정의	사업수행 조직 구성
	세부내용	○ 본 사업을 수행할 추진 조직, 인력 구성 및 프로파일과 단계별 인력 투입계획 및 역할, 투입률 등을 제시하여야 하고, 특히 PM, PL의 경우 투입인력의 기술 수준을 상세히 제시하여야 하며, 추후 인력은 우리기관의 동의 없이 수행사 임의로 변경할 수 없음 - 용역 수행 책임자(PM)는 반드시 수행사 소속이어야 함 - 특별한 사유가 없는 한 인력 교체는 불가하며, 불가항력 사유로 인력교체 필요 시 인력교체 안정화 및 품질저하방지 대책을 제시해야 함 ○ 사업수행 추진 일정에 따른 인력 투입계획(우리기관 투입인력 감안)을 제시하여야 함 ○ 참여인력은「개인정보 영향평가에 관한 고시(행정자치부 제2015-53호,‘15.12.31) 제5조의 수행인력 자격을 갖추어야 함 - 최소 특급 2인 이상의 인력이 상주해야 하며, 사업기간 내 영향평가가 완료될 수 있도록 충분한 인력이 투입되어야 함 ○ 수행사는 투입인력의 개인정보영향 평가관련 자격 및 경력, 기술등급 등을 확인할 수 있는 서류(경력증명서, 경력수첩사본 및 소프트웨어산업협회의 SW기술자경력증명서 등)를 제출해야 함 ○ 본 용역 수행에 있어 자격미달, 근무태도 불량, 기술능력 부족 등으로 판단될 경우에는 해당 기술 인력의 교체를 요구할 수 있으며, 수행사는 특별한 사유가 없는 한 해당 기술 인력을 즉시 교체하여야 하며 인력 교체 시 동급이상의 인력으로 교체하여야 함
산출정보
관련요구사항

바. 프로젝트 지원 요구 사항(PSR)

요구사항 분류		프로젝트 관리 요구사항
요구사항 고유번호		PSR-001
요구사항 명칭		교육계획 수립
요구사항 상세설명	정의	교육계획 수립
	세부내용	○ 개인정보 영향평가 결과물에 대한 사항을 전문가를 통해 개인정보보호 책임자 및 담당자에게 교육을 실시하여야 함 ○ 사업수행기간 중 개인정보에 필요한 교육을 실시하며, 사업수행계획서에 교육계획서를 포함하여 제출하여야 함 - 정보화담당 인력 및 개인정보취급자 대상 교육 - 교육에 필요한 교재 및 소요경비는 수행사 부담 ○ 개인정보 영향평가 결과물로 우리기관의 업무 처리시 유의사항을 정리하여 직원교육용 자료를 제공하여야 함 ○ 사업종료 이후에도 추가적인 교육 요구 및 개인정보보호에 대한 자문 역할을 수행하여야 함
산출정보
관련요구사항

요구사항 분류		프로젝트 관리 요구 사항
요구사항 고유번호		PSR-002
요구사항 명칭		하자보수
요구사항 상세설명	정의	하자보수
	세부내용	○ 무상하자보수기간은 검수일로부터 1년으로 하며, 계약 체결 시 하자보수 방안을 상세하게 제시하여야 함 ○ 개인정보 영향평가 결과물을 제출 후 지적된 사항에 대한 보완을 위하여 수행사는 지원체계, 인력을 제시하여야 함
산출정보
관련요구사항

Ⅴ		기타 사항

1		일반 사항

가. 총칙

❍ 과업지시서에 제시된 내용은 계약서에 명시하지 않더라도 계약서와 동일한 효력을 가지며, 계약서에 명시된 경우에는 계약서의 내용을 우선함

❍ 과업지시서에 명시되지 않은 사항은 우리기관과 협의·조정하도록 하며 본 사업 진행상 불가피하거나 마땅히 시행하여야 할 경미한 사항은 본 계약에 포함된 것으로 봄

❍ 사업수행으로 생산된 모든 산출물 및 기록의 소유권은 우리기관에 있고 비인가자에게 제공·대여·열람 금지

❍ 자료의 분석과 검토가 완료된 후 결과보고서를 작성하되 어떠한 자료가 누락 또는 오기 되었을 경우 필요한 추가 작업은 수행사 부담으로 시행함

❍ 수행사는 사업종료 후에도 사업기간 동안 발생한 사안에 대해 자문에 응해야 하며 수정사항을 반영할 필요가 있을 경우 수정·보완하여야 함

❍ 본 사업을 수행하는 과정에서 발생할 수 있는 추가적인 업무 또는 우리기관이 요청하는 관련 업무에 대해서는 정당한 사유가 없는 한 수행사가 받아들여야 함

❍ 계약기간의 연장 또는 단축이 필요하다고 인정되는 경우, 상호 합의 하에 합의서 작성 후 계약기간을 변경할 수 있음

❍ 수행사는 계약일로부터 10일 이내 사업수행계획서, 예정공정표, 용역비 산출내역서, 용역종사원 각각 이력서(사진포함), 보안서약서, 기술면허 사본을 제출하여야 함

❍ 수행사는 계약 시 [붙임 1]의 개인정보 처리 업무 위탁 계약서를 제출하여야 함

나. 각종 부담 및 책임

❍ 수행사의 계약 불이행이나 기타 귀책사유로 우리기관 또는 제3자에게 손해가 발생한 경우 수행사는 손해를 배상하여야 함

❍ 본 사업 수행 과정에서 발생하는 제반 안전사고의 책임 및 행정적, 기술적 제반비용과 문제처리는 수행사가 부담함을 원칙으로 하며, 문제 발생 시 우리기관에 보고 및 협의해야 함

❍ 본 계약의 종료 또는 해지 이후에도 계약기간 동안 발생한 책임이행사항에 대해서는 이행될 때까지 유효하며 양 당사자의 승계자 및 양수인에게도 적용됨

2		보안 사항

❍ 수행사는 자료·장비·네트워크 보안대책 및 ‘누출금지 대상정보’ 관리방안 등 용역사업 전반에 관한 보안관리 계획을 세워 참여인원 전원의 보안 각서와 함께 제출하여야 함

❍ 본 과업수행과 관련된 자료는 과업기간 및 본 계약 종료 후에도 본 과업 이외의 여타 목적을 위해 사용될 수 없으며, 우리기관의 서면승인 없이 타인에게 제공 또는 대여하거나 외부에 공개할 수 없음

❍ 수행사는 사업 착수시 [붙임 2]의 보안서약서를 제출 해야하며, 사업 완료시에는 [붙임 3]의 보안확약서를 제출해야 함

❍ 외부 접속 전산장비에는 업무 수행 및 업무 관련자료를 저장해서는 안되며, 생산되는 주요 산출물은 별도의 파일서버에 저장하거나 지정한 PC에 저장관리토록 함

❍ 사업자의 전산장비는 발주자의 인가 후 반입·반출을 해야 하며, 용역책임자는 장비반출은 가능한 금지하되 반입·반출이 불가피한 경우 사업관련 자료의 외부유출을 방지하기 위한 적절한 조치를 수행해야 함

❍ 사업 종료 시 수행사 데스크톱 PC, 휴대형 저장매체 등 전산장비는 우리기관의 통제 하에 저장자료를 완전 삭제 후 반출해야 함

❍ 사업 종료 시 대표자명의의 정보누출방지 확약서를 제출하여야 함

❍ 우리기관은 수행사의 보안관리 상태를 점검할 수 있으며 보안관리에 필요 하다고 인정되는 지시를 할 수 있으며, 수행사는 우리기관 내부규정에 따른 보안관리 및 지시사항에 대하여 응해야 함

❍ 보안 사고, 정보 유출 등이 발생 시 수행사는 그 피해에 대하여 민·형사상 책임을 져야 함(과업종료 후에도 적용)

3		산출물 및 제출서류

가. 사업수행계획서

❍ 본 사업 수행을 위한 세부 추진계획서를 작성·제출

❍ 주요 내용

- 사업목적 및 범위

- 사업추진 일정 및 영향평가팀 구성 등 인력운영 방안

- 본 사업의 적정한 관리를 위한 업무관리 계획, 보안관리 계획

- 기타 요구사항 및 사업추진 중 필요하며 중요하다 판단되는 사항 등

※ 사업참여자 이력서, 재직증명서, 보안서약서 첨부(계약일로부터 10일 이내)

나. 주간, 월간 보고서

❍ 사업 진행사항, 업무 추진상 문제점 등에 대해 매주(월) 진도보고서 제출

❍ 주요 내용

- 추진계획 대비 실적 분석

- 주요 추진 내용 및 기술인력 투입 현황

- 차주 계획 사항 및 변경 사항

- 주요 의사 결정 및 협조 사항

- 기타 현안 사항

다. 수시보고서

❍ 원활한 사업 추진을 위해 필요시 비정기적으로 요청 시 보고

라. 완료보고서

❍ 개인정보 영향평가, 개인정보보호 실태점검, 개인정보보호 관련 법규위반사항 점검 및 개선방안, 대상시스템 개인정보보호체계 정비 등에 대한 사업 완료보고서 제출

❍ 행정자치부에 제출할 개인정보 영향평가 결과보고서 별도 제출

❍ 완료보고서 초안을 우리기관과 충분히 협의한 후 제출하여야 하며 보고서 제출 전에 개선 가능한 미흡사항은 조치 후 보고서에 반영하여야 함

❍ 제출시기 : 계약종료일 전

마. 산출물 제출시기 및 수량

산출물		제출시기	제출수량
사업수행계획서		계약체결 후 10일 이내	문서 2부
수시보고서	주간보고	매주	문서 1부
	월간보고	매월	문서 1부
	수시보고	우리기관 요청시	문서 1부
개인정보 영향평가 결과보고서		종료회의 후 7일 이내	문서 5부(CD 2매)
교육자료		교육실시 5일전	전자파일
기타 우리기관 요구사항		발생시	문서 1부

4		개선방안 마련 및 후속조치

가. 개인정보 영향평가 결과에 따른 개선방안 및 이행계획 수립

❍ 개인정보보호 관련 법규 위반사항 및 개인정보 영향평가 결과에 따른 시스템 개선방안 및 이행계획 도출

- 즉시 개선 : 사업 연도 내 조치가 가능한 사항으로 자세히 제시

(내부 정책 자료인 경우 초안, 양식, 사례 제공)

- 중장기 개선계획 : 소요예산 포함하여 이행계획 마련

❍ 영향평가 대상시스템 개인정보 취급자에 대한 교육

- 요구사항 PSR-001 참조

붙임자료

1. 계약관련 서류

2. 개인정보영향평가의 평가영역 및 평가분야

계약관련 서류

[붙임 1] 표준개인정보처리위탁 계약서(안)

[붙임 2] 비밀유지계약서

[붙임 3] 보안 확약서

[붙임 1]

표준 개인정보처리위탁 계약서(최종낙찰자만 제출)

본 표준 개인정보처리위탁 계약서는 「개인정보 보호법」제26조제1항에 따라 위탁계약에 있어 개인정보 처리에 관하여 문서로 정하여야 하는 최소한의 사항을 표준적으로 제시한 것으로서, 위탁계약이나 위탁업무의 내용 등에 따라 세부적인 내용은 달라질 수 있습니다.

개인정보처리업무를 위탁하거나 위탁업무에 개인정보 처리가 포함된 경우에는 본 표준 개인정보처리위탁 계약서의 내용을 위탁계약서에 첨부하거나 반영하여 사용하실 수 있습니다.

표준 개인정보처리위탁 계약서(안)

(재)중앙자활센터(이하 “갑”이라 한다)와               (이하 “을”이라 한다)는 “갑”의 개인정보 처리업무를 “을”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.

제1조 (목적) 이 계약은 “갑”이 개인정보처리업무를 “을”에게 위탁하고, “을”은 이를 승낙하여 “을”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 개인정보보호법, 동법 시행령 및 시행규칙, 「표준 개인정보 보호지침」(행정안전부 예규 제25호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “을”은 계약이 정하는 바에 따라 자활정보시스템 운영관리에 따른 운영지원의 목적으로 업무를 위한 사용자(종사자, 참여주민 등)의 이름, 주소, 연락처 등의 개인정보 처리 업무를 수행한다.

각호의 업무 예시 : 고객만족도 조사 업무, 회원가입 및 운영 업무, 사은품 배송을 위한 이름, 주소, 연락처 처리 등

제4조 (재위탁 제한) ① “을”은 “갑”의 사전 승낙을 얻은 경우를 제외하고 “갑”과의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “을”이 재위탁받은 수탁회사를 선임한 경우 “을”은 당해 재위탁계약서와 함께 그 사실을 즉시 “갑”에 통보하여야 한다.

제5조 (개인정보의 안전성 확보조치) “을”은 개인정보보호법 제29조, 동법 시행령 제30조 및 개인정보의 안전성 확보조치 기준 고시(행정안전부 고시 제2011-43호)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제6조 (개인정보의 처리제한) ① “을”은 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “을”은 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보보호법」시행령 제16조에 따라 즉시 파기하거나 “갑”에게 반납하여야 한다.

③ 제2항에 따라 “을”이 개인정보를 파기한 경우 지체없이 “갑”에게 그 결과를 통보하여야 한다.

제7조 (수탁자에 대한 관리·감독 등) ① “갑”은 “을”에 대하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속현황

3. 개인정보 접근 또는 접속 대상자

4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “갑”은 “을”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “을”은 특별한 사유가 없는 한 이행하여야 한다.

③ “갑”은 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 1회 이상 “을”을 교육할 수 있으며, “을”은 이에 응하여야 한다.

「개인정보 안전성 확보조치 기준 고시」(행정안전부 고시 제2011-43호) 에 따라 개인정보처리자 및 취급자는 1년에 1회 이상 개인정보보호에 관한 교육을 의무적으로 시행하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “갑”은 “을”과 협의하여 시행한다.

제8조 (손해배상) ① “을” 또는 “을”의 임직원 기타 “을”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “을” 또는 “을”의 임직원 기타 “을”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “갑” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “을”은 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “갑”이 전부 또는 일부를 배상한 때에는 “갑”은 이를 “을”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “갑”과 “을”이 서명 또는 날인한 후 각 1부씩 보관한다.

갑 소 속 : 직 급 : 검사원 성명 : (인)	을 상 호 : 주 소 : 대표자 : (인)

[붙임 2](최종낙찰자만 제출)

비밀유지 계약서(최종낙찰자만 제출)

(재)중앙자활센터(이하 “발주기관”이라 한다)와           (이하 “계약상대자”이라 한다)은(는) 다음과 같이 비밀유지계약을 체결한다.

제1조 【목  적】본 계약은 발주기관·계약상대자가 상호 자신의 비밀정보를 제공함에 있어 계약 당사자의 관련 비밀정보를 보호하기 위함을 목적으로 한다.

제2조 【비밀의 내용】 본 계약상 비밀정보란 발주기관·계약상대자간의 업무진행 과정에서 본 계약의 일방 당사자가 상대방에게 제공하거나 상대방 혹은 그 직원으로부터 지득 혹은 취득하는 상대방의 일체의 영업 혹은 기술상의 정보 및 이와 같은 영업 혹은 기술상의 정보에 근거하여 자사가 개발하거나 도출하는 일체의 영업 혹은 기술상의 정보(이하 “비밀정보”라 한다)를 말한다. 이와 같은 비밀정보는 서면, 구두 혹은 기타방법으로 제공되는 모든 노하우, 공정, 도면, 설계, 실험결과, 샘플, 데이터, 공시, 방법, 프로그램, 가격표, 거래명세서, 생산코스트, 선전상의 아이디어, 사업정보 등을 모두 포함한다.

제3조 【비밀의 표시】발주기관·계약상대자 상대방에게 서면이나 서류 형태의 비밀정보를 제공하는 경우 서류상에 비밀임을 알리는 문구(“비밀”)를 명백히 표시해야 하며 서면이나 서류 이외의 형태 즉 구두나 영상 또는 당사자의 시설, 장비 샘플 기타 품목들을 관찰하거나 조사함으로써 비밀정보를 제공할 경우에는 공개 시 상대방에게 본 정보가 비밀에 속한다는 것을 알리고 또한 공개일로부터 15일 이내에 서면으로 비밀임을 알리는 문구를 표시하여 상대방에게 확인시켜야 한다.

제4조 【정보의 사용용도 제한】본 계약의 당사자는 상대방으로부터 제공받은 모든 정보나 자료는 관련 계약서에 명시된 본래의 목적에만 사용되어야 하며, 계약의 수행을 위해 상대방에 관련된 비밀정보를 제3자에게 제공할 경우, 당해 제3자와 별도의 비밀유지계약을 체결하여야 하며, 반드시 본 계약서에 제시한 바대로 본래의 거래목적에 관련되어서만 한정적으로 사용되어야 한다.

제5조 【정보취급자】본 계약의 당사자는 상대방으로부터 제공받은 비밀정보를 자사 조직 내 목적상 부합하는 직원들에 한하여 이용하도록 조치하여야 하며 직원 각자에게 비밀유지의무를 주지시켜야 한다. 또한 상대방이 요구하는 경우 자사의 관계직원들에 대하여 당해 직원이 본 계약상의 비밀유지의무를 이행하겠다는 내용의 각서를 징구하는 등 상대방이 만족할 수 있는 적절한 조치를 취하여야 한다.

제6조 【비밀유지의무의 면제】본 계약의 당사자는 상대 당사자의 사전승낙 없이는 본 계약의 체결사실이나 내용 및 앞으로 계약 당사자가 추진할 사업내용을 공표하거나 제3자에게 알려서는 안된다. 다만, 다음에 해당하는 정보임이 객관적인 증거를 통하여 입증되는 경우는 비밀유지의무가 없다.

1. 비밀정보의 제공 이전부터 제공받는 당사자가 보유하고 있던 정보

2. 비밀정보를 제공받은 당사자의 고의 또는 과실에 의하지 않고 공지의 사실로 된 정보

3. 비밀정보를 제공받은 당사자가 적법하게 제3자로부터 제공받은 정보

4. 비밀정보를 제공받은 당사자가 비밀정보와 관계없이 독자적으로 개발한 정보

5. 비밀정보를 제공한 당사자가 공개를 허락한 정보

6. 관련법규나 정부당국에 의하여 공개가 요구된 정보, 이 경우 사전에 반드시 상대방에게 그 사실을 서면으로 통지하고, 상대방으로 하여금 적절한 보호 및 대응조치를 할 수 있도록 하여야 한다.

제7조 【자료의 반환】본 계약의 당사자는 상대방의 요청이 있으면 언제든지 상대방의 비밀정보가 기재되어있거나 이를 포함하고 있는 제반 자료, 장비, 서류, 샘플, 기타 유체물을 즉시 반환하거나, 상대방의 선택에 따라 이를 폐기하고 그 폐기를 증명하는 서류를 상대방에게 제공하여야 한다.

제8조 【권리의무의 양도】본 계약의 권리와 의무는 상대방의 사전 서면동의 없이는 제3자에게 양도될 수 없다.

제9조 【권리의 부존재 등】① 본 계약상 제공되는 비밀정보에 관한 모든 권리는 제공한 당사자에 속하고 본 계약은 어떠한 경우에도, 본 계약상 제공된 비밀정보에 관하여 상대방에게 어떠한 권리나 사용권을 부여하는 것으로 해석되지 않는다.

② 본 계약은 어떠한 경우에도 당사자간에 향후 어떠한 확정적인 계약의 체결, 제조물의 판매나 구입, 실시권의 허여 등을 암시하거나 이를 강제하지 않으며, 기타 본 계약의 당사자가 본 계약상 기술과 관련하여 다른 제3자와 어떠한 거래나 계약관계에 들어가는 것을 금지하거나 제한하지 아니한다.

제10조 【내부규정의 준수】본 계약의 당사자는 본 계약상의 목적을 위하여 상대방의 시설을 방문하거나 이를 이용할 경우, 상대방의 제반규정을 준수하여야 한다.

제11조 【계약의 분리가능성】본 계약 중 어느 규정이 법원에 의하여 불법, 무효 또는 집행 불가능하다고 선언될 경우, 이는 본 계약의 나머지 규정의 유효성에 영향을 미치지 아니한다.

제12조 【계약의 수정】본 계약의 수정이나 변경은 양 당사자의 정당한 대표자가 서명한 서면합의로만 이루어질 수 있다.

제13조 【손해배상 등】① 본 계약을 위반한 당사자는 아래표에 언급된 위규 수준별로 위약금을 위약벌로 상대방에게 지불한다.

구분		위규 수준
		A급	B급	C급	D급
위규		심각 1건	중대 2건 이상	중대 1건	미흡 1건 이상
위약금 비중	10억이상	부정당업자 등록	1천만원	500만원	300만원
	10억미만		500만원	300만원	100만원

※ 상세 위규처리 기준은 [별표1] 사업자 보안위규 처리기준(예시) 참조

② 제1항의 위약벌과 별도로 비밀유지의무 위반행위로 인하여 상대방이 입은 모든 손해를 배상한다.

제14조 【계약기간】본 계약은 본 계약 체결일로부터 계약종료일까지 그 효력을 가진다.

제15조 【분쟁의 해결】본 계약과 관련하여 분쟁이 발생한 경우 당사자의 상호 협의에 의한 해결을 모색하되, 분쟁에 관한 합의가 이루어지지 아니한 경우에는 발주기관 소재지의 관할법원을 합의관할로 하여 소송을 통해 분쟁을 해결하기로 한다.

본 계약의 체결사실 및 계약내용을 증명하기 위하여 본 계약서를 2통 작성하여 계약 당사자가 각각 서명 또는 날인한 후 각1통씩 보관한다.

년	월	일

(발주기관)

상호 :

주소 :

성명 : 원장                 (인)

(계약상대자)

상호 :

주소 :

성명 :                       (인)

사업자 보안위규 처리기준

구분	위 규 사 항	처리기준
심 각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	◦ 사업참여 제한 ◦ 위규자 및 직속 감독자 등 중징계 ◦ 재발 방지를 위한 조치계획 제출 ◦ 위규자 대상 특별보안교육 실시
중 대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·유지관리 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 무선인터넷 등 비인가 네트워크 사용 사. 외부용 PC를 업무망에 무단 연결 사용 아. 보안관련 프로그램 강제 삭제 자. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	◦ 위규자 및 직속감독자 등 중징계 ◦ 재발 방지를 위한 조치계획 제출 ◦ 위규자 대상 특별보안교육 실시

구분	위 규 사 항	처리기준
보 통	1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 관리 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 네이트온 등 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여 마. PC 비밀번호를 모니터옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	◦ 위규자 및 직속 감독자 등 경징계 ◦ 위규자 및 직속 감독자 사유서 / 경위서 징구 ◦ 위규자 대상 특별보안교육 실시
경 미	1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	◦ 위규자 서면ㆍ구두 경고 등 문책 ◦ 위규자 사유서 / 경위서 징구

[붙임 3]

보 안 확 약 서 (용역사업 수행업체 대표자 用)

본인     은(는) 「    (기간 :     .  .  . ～     .  .  .)」관련 용역사업에 대한 다음사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은 업무를 수행함에 따라 취득한 제반 사항을 누설하거나 사적으로 이용하지 않고, 보안관계 제 규정을 성실히 이행하며 용역사업 추진 중은 물론 사업 종료 후에도 업무상 지득한 제반사항을 일체 누설하거나 개인의 영리 목적 등 사적으로 이행하지 않을 것을 서약한다.

2. 본인은 본 사업의 과업수행으로 취득한 모든 자료를 삭제조치 하였으며, 복사본 등 용역사업 관련 자료를 일체 보유하고 있지 않음을 확약한다.

3. 본인은 위 사항을 위반 하였을 시에는 관령 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

4. 본인은 하도급업체를 통한 사업 수행시 하도급업체로 인해 발생하는 위반사항에 대하여 모든 책임을 부담한다.

년     월    일

(재)중앙자활센터 원장 귀하

서약자          소 속          직 급(직위)

성 명                   (서명 또는 인)

[별첨1] 개인정보 영향평가의 평가영역 및 평가분야

(제1쪽)
평가 영역	평가 분야	세부 분야
I. 대상기관 개인정보보호 관리 체계	1. 개인정보보호 조직	개인정보보호책임자의 지정
		개인정보보호책임자 역할수행
	2. 개인정보보호 계획	내부관리계획 수립
		개인정보보호 연간계획 수립
	3. 개인정보 침해대응	침해사고 신고 방법 안내
		유출사고 대응
	4.정보주체권리보장	정보주체 권리보장 절차 수립
		정보주체 권리보장 방법 안내
II. 대상시스템의 개인정보보호 관리 체계	5.개인정보취급자 관리	개인정보취급자 지정
		개인정보취급자 관리ㆍ감독
	6. 개인정보파일 관리	개인정보파일대장 관리
		개인정보파일 등록
	7. 개인정보처리방침	개인정보처리방침의 공개
		개인정보처리방침의 작성
III. 개인정보 처리단계별 보호 조치	8. 수집	개인정보 수집의 적합성
		동의 받는 방법의 적절성
	9. 보유	보유기간 산정
	10.이용·제공	개인정보 제공의 적합성
		목적 외 이용ㆍ제공 제한
		제공시 안전성 확보
	11. 위탁	위탁사실 공개
		위탁 계약
		수탁사 관리ㆍ감독
	12. 파기	파기 계획 수립
		분리보관 계획 수립
		파기대장 작성

			(제2쪽)
IV. 대상시스템의 기술적 보호 조치	13. 접근권한 관리	계정 관리
		인증 관리
		권한 관리
	14. 접근통제	접근통제 조치
		인터넷 홈페이지 보호조치
		업무용 모바일기기 보호조치
	15. 개인정보의 암호화	저장시 암호화
		전송시 암호화
	16. 접속기록의 보관 및 점검	접속기록 보관
		접속기록 점검
		접속기록 보관 및 백업
	17. 악성프로그램 등 방지	백신 설치 및 운영
		보안업데이트 적용
	18. 물리적 접근방지	출입통제 절차 수립
		반출ㆍ입 통제 절차 수립
	19. 개인정보의 파기	안전한 파기
	20. 기타 기술적 보호조치	개발 환경 통제
		개인정보처리화면 보안
		출력시 보호조치
	21.개인정보처리구역보호	보호구역지정
V. 특정 IT기술 활용시 개인정보보호	22. CCTV	CCTV 설치시 의견수렴
		CCTV 설치 안내
		CCTV 사용 제한
		CCTV 설치 및 관리에 대한 위탁
	23. RFID	RFID 이용자 안내
		RFID 태그부착 및 제거
	24. 바이오정보	원본정보 보관시 보호조치
	25. 위치정보	개인위치정보 수집 동의
		개인위치정보 제공시 안내사항

※ ‘특정 IT기술 활용시 개인정보보호’은 우리기관 해당 항목이 아님