과 업 지 시 서

사 업 명	2018년 개인정보영향평가 및 소스코드 취약점 진단
주관기관	(재)중앙자활센터

2018. 10. 25

(재)중앙자활센터

	목 차
1. 과업 개요 1 가. 개요 1 나. 추진 배경 및 필요성 1 다. 주요 사업내용 1 라. 기대효과 1 2. 과업 추진목표 2 가. 추진목표 2 나. 투입인력 2 3. 과업 추진체계 2 가. 추진체계 2 나. 추진조직별 역할 3 4. 과업 추진일정 3 5. 과업 상세 내용 3 가. 요구사항 목록 3 나. 요구사항 상세 4 6. 과업 수행 지침 10 가. 과업 수행자 10 나. 과업내용의 변경 10 다. 위반행위에 대한 조치 10 라. 보안규정 11

1. 과업 개요

가. 개요

❍ 사 업 명 : 2018년 개인정보영향평가 및 소스코드 취약점 진단

❍ 사업기간 : 계약일로부터 1개월 이내

❍ 사업예산 : 23,390천원(VAT 포함)

❍ 추진방식 : 제한경쟁입찰

나. 추진 배경 및 필요성

❍ 자활정보시스템(자활근로, 자산형성)은 대량의 개인정보를 취급하고 있으며 이에 개인정보영향평가를 진행하여 개인정보 침해위협 최소화 및 효과적인 대응책 마련이 필요

❍ 자활정보시스템의 자활급여 압류방지 전용통장 연계 구축으로 금융보안 안전 점검이 시급

❍ 자활정보시스템 소스코드 분석을 통해 소프트웨어 개발보안 가이드 준수 여부 등 소스코드 보안성 확보 점검

다. 주요 사업내용

❍ 개인정보영향평가 대상

구 분	대상	비고
개인정보 영향평가	자활정보시스템(자활근로, 자산형성)	-

❍ 자활정보시스템(자활근로, 자산형성) 소스코드 진단

라. 기대효과

❍ 개인정보 침해사고를 사전에 예방

❍ 보안약점을 검출하고 잠재적인 취약점 제거

2. 과업 추진목표

가. 추진목표

❍ 정보보호 전문서비스 기업을 통한 사업추진으로 객관성, 전문성 확보와 운영 정보시스템의 신뢰성 및 안전성 향상

❍ 개인정보를 처리하는 시스템의 위험요인을 분석하고 개선사항을 도출하여 개인정보 침해사고를 예방

❍ 자활정보시스템 소스코드 진단 및 평가를 수행하여, 내/외부의 다양한 위협으로부터 중요 정보를 보호하고 보안 수준을 강화하기 위함

나. 투입인력

❍ 다음과 같은 인력 2인 이상이 상주하여 사업을 수행함

- 보안컨설팅 사업 분야의 경험이 있는 전문인력(고급이상)

- 개인정보 영향평가에 관한 고시 제5조에 따라 자격을 갖춘 인력

3. 과업 추진체계

❍ 추진체계

			중앙자활센터 (자활정보관리팀)
						시스템 운영담당자
			전담사업자 (용역수행업체)
개인정보 영향평가			정보시스템 소스코드 진단			교육 및 기술자문 지원

❍ 추진조직별 역할

구 분	주요 기능
중앙자활센터 (자활정보관리팀)	○ 사업계획 수립, 발주 및 사업자 선정 ○ 사업범위 및 수행방식 등 사업추진 ○ 사업현황 및 관리 감독
시스템 운영담당자	○ 개인정보보호 개선 조치사항 이행 ○ 정보시스템 소스코드 진단 시 협조 ○ 도출된 보안취약점 제거
전담사업자 (용역수행업체)	○ 개인정보 영향평가, 개선계획 수립 ○ 정보시스템 소스코드 분석‧평가 및 보호대책 마련 ○ 정보보호 교육 및 기술자문 지원

4. 과업 추진일정 : 계약체결일로부터 약 1개월 이내

추진내용	M-1	M
○ 사업계획 확정 및 계약
○ 사업추진
- 개인정보 영향평가 자료수집 및 흐름분석
- 개인정보 침해요인 도출, 개선계획 수립
- 정보시스템 소스코드 분석‧평가
- 보호대책 마련, 교육 및 기술자문 지원

5. 과업 상세 내용

가. 요구사항 목록

구분	번호	요구사항 명	개수
보안 컨설팅 요구사항(SCR)	SCR-001	개인정보 영향평가 일반사항	6
	SCR-002	개인정보영향평가 계획수립
	SCR-003	개인정보영향평가 자료의 수집 및 분석
	SCR-004	개인정보 침해요인 분석
	SCR-005	개인정보보호 개선계획 수립 및 영향평가서 작성
	SCR-006	정보시스템 소스코드 진단
보안 요구사항(SER)	SER-001	보안관리 일반	1
프로젝트 관리 요구사항(PMR)	PMR-001	프로젝트 관리 일반사항	2
	PMR-002	프로젝트 보고 및 산출물 관리
프로젝트 지원 요구사항(PSR)	PSR-001	교육/기술지원 및 하자보수	1
합 계			14

나. 요구사항 상세

❍ 보안 컨설팅 요구사항(SCR, Security Consulting Requirement)

요구사항 번호		SCR-001
요구사항 분류		컨설팅 요구사항
요구사항 명칭		개인정보 영향평가 일반사항
요구 사항 상세 설명	정의	영향평가 요구사항
	세부 내용	1) 사업범위의 개인정보시스템을 대상으로 영향평가를 수행 2) 관리적⋅기술적 보호조치의 적정성 및 법적 의무사항 준수여부 등을 확인 3) “개인정보 영향평가에 관한 고시” 및 “개인정보 영향평가 수행 안내서” 등을 준용하여 사업을 수행 4) 개인정보보호 관리체계의 적정성 분석과 개선방안 수립을 수행 - 기관의 개인정보보호 조직, 개인정보보호 추진계획, 개인정보처리방침, 개인정보 위탁 및 제공 시 안전조치, 개인정보 침해대응, 개인정보 처리구역 보호 등의 분석 및 개선방안 제시 - 대상시스템의 개인정보 취급자, 취급 내용, 보유기간 등의 적정성 및 개선방안 제시 5) 개인정보 처리단계별 보호의 적정성 분석 및 조치방안을 마련 - 개인정보 수집, 저장 및 보유, 이용 및 연계․제공, 파기단계에 이르는 각 단계별 보호조치의 적정성 분석 6) 개인정보보호 점검결과에 따른 개선방안 및 후속조치방안을 마련 - 개인정보보호 관련 법규 위반사항에 대한 개선방안 마련 등 - 개인정보영향평가 결과에 따른 시스템 개선방안 도출 7) 개인정보보호 교육 및 기술지원 - 개인정보 영향평가 방법이 개인정보처리시스템의 개인정보 취급자 및 운영담당자 등에게 이전될 수 있도록 이에 필요한 교육 실시 및 매뉴얼 제공 - 운영담당자가 개선방안 및 후속조치방안을 이행 가능토록 컨설팅 지원
산출 정보
관련 요구사항		SCR-002, SCR-003, SCR-004, SCR-005

요구사항 번호		SCR-002
요구사항 분류		컨설팅 요구사항
요구사항 명칭		개인정보영향평가 계획수립
요구 사항 상세 설명	정의	개인정보 영향평가 계획수립 요구사항
	세부 내용	1) 개인정보 영향평가 계획수립 - 효율적인 평가 수행을 위한 영향평가 수행계획 수립 - 평가목적, 평가대상 및 범위, 평가주체, 평가기간, 평가기준 및 항목, 주요 평가사항, 평가절차(방법), 자료 수집 및 분석 계획 등을 포함
산출 정보		개인정보 영향평가 계획서
관련 요구사항		SCR-001, SCR-003, SCR-004, SCR-005

요구사항 번호		SCR-003
요구사항 분류		컨설팅 요구사항
요구사항 명칭		개인정보영향평가 자료의 수집 및 분석
요구 사항 상세 설명	정의	내/외부 정책, 대상사업 관련 자료의 수집 및 분석 요구사항
	세부 내용	1) 기관 내/외부 정책, 평가 대상사업 분석의 적절성 확보 2) 개인정보 영향평가를 위한 자료의 수집 및 분석 - (조직․체계 자료) 기관 내 개인정보처리방침, 개인정보 관리계획, 직제표, 개인정보 보호규정, 정보보안 규정 등의 분석 - (인적 통제․교육 자료) 개인정보 관련 조직 내 업무 분장표 및 직급별 업무 권한 현황, 정보시스템의 접근 권한에 대한 내부 규정, 시스템 운영자 및 정보취급자에 대한 교육 계획, 위탁 업체 관리 규정 등의 분석 - (정보 보안 자료) 방화벽 등 침입차단 시스템 및 백신프로그램 도입 현황, 기존 유사 시스템 구조도 등의 분석 - 일반기관에게 공통적으로 해당되는 일반 정책 자료의 분석 - 평가 대상 사업에 한해 제한적으로 적용되는 특수 정책 자료의 분석 - (사업수행자료) 사업추진 계획서, 제안 요청서, 과제 수행 계획서, 요구사항 정의서, 업무 매뉴얼 등의 분석 - (개발산출물) 시스템 설계서, 요건 정의서, 업무 흐름도, 기능 정의서, Data Flow Diagram, 테이블 정의서, 화면 설계서, 메뉴 구조도 등의 분석 3) 개인정보 흐름분석
산출 정보		자료 분석서, 개인정보 흐름도
관련 요구사항		SCR-001, SCR-002, SCR-004, SCR-005

요구사항 번호		SCR-004
요구사항 분류		컨설팅 요구사항
요구사항 명칭		개인정보 침해요인 분석
요구 사항 상세 설명	정의	개인정보 침해요인 도출
	세부 내용	1) 평가항목 작성 - 개인정보 취급 업무 및 개인정보 흐름이 다수 존재하는 경우에는 각 흐름별로 평가항목을 각각 작성 - 항목 설명, 관련 근거, 확인 자료 등을 제시 2) 개인정보 보호조치 현황파악 - 평가항목에 따라 자료분석, 현장실사, 담당자 및 취급자 대상 인터뷰를 통한 분석 수행 3) 개인정보 침해요인 도출 - 개인정보 흐름도를 활용하여 개인정보 라이프 사이클별로 구분한 후, 위험요소별 개인정보 침해요인 분석 4) 개인정보 위험도 산정 - 중요도와 취약점, 위협요소 등을 고려하여 위험요소 분석 및 위험도 산정
산출 정보		개인정보 보호조치 현황 분석서, 개인정보 침해요인 위험도 산정표
관련 요구사항		SCR-001, SCR-002, SCR-003, SCR-005

요구사항 번호		SCR-005
요구사항 분류		컨설팅 요구사항
요구사항 명칭		개인정보보호 개선계획 수립 및 영향평가서 작성
요구 사항 상세 설명	정의	개선계획 수립 및 영향평가보고서 작성
	세부 내용	1) 개선사항 도출 - 분석된 개인정보 침해요인을 기반으로 개선사항 도출 - 위험 요소를 제거하거나 최소화할 수 있는 대처방안 마련 - 개인정보취급자가 이행해야할 조치항목 제시 2) 개선계획 수립 - 센터 내 현황, 예산, 인력, 사업 등을 고려하여 계획 수립 - 내용이 구체적이고 실현가능한 내용을 제시 3) 영향평가 보고서 작성 - 개인정보 영향평가 전 과정 및 산출물을 포함하여 보고서 작성
산출 정보		개선계획표, 개인정보 영향평가 결과 보고서
관련 요구사항		SCR-001, SCR-002, SCR-003, SCR-004

요구사항 번호		SCR-006
요구사항 분류		컨설팅 요구사항
요구사항 명칭		정보시스템 소스코드 진단
요구 사항 상세 설명	정의	자활정보시스템 소스코드 진단 요구사항
	세부 내용	1) 자활정보시스템(자활근로, 자산형성) 소스코드 진단 수행 - 자활정보시스템에 대해 소스코드 점검툴을 활용하여 진단 ※ 소스코드 분석·평가 시 소프트웨어 보안약점 진단가이드를 준수하고 시큐어 코딩 가이드를 참고하여 진행(행정안전부 정보화 표준·지침) 2) 소스코드 진단결과 발견된 취약점에 대한 세부 조치방안 제시 - 보안 취약점 조치 및 이행을 위한 기술지원 실시
산출 정보		자활정보시스템 소스코드 진단 계획서 및 결과보고서
관련 요구사항		해당사항 없음

❍ 보안 요구사항(SER, Security Requirement)

요구사항 번호		SER-001
요구사항 분류		보안요구사항
요구사항 명칭		보안관리 수행요건
요구 사항 상세 설명	정의	사업추진에 따른 공통적인 보안관리 수행요건
	세부 내용	1) 과업 수행자는 사업수행업체 보안서약서(붙임1) 및 확약서(붙임2)를 작성·제출하고 용역사업 전체 단계별(계약, 수행, 종료) 보안관리 수행 2) 과업 수행자는 사업 수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 ‘누출금지 대상정보’에 대한 보안관리 계획을 사업수행계획서에 기재하여야 하며, 해당 정보 누출 시 국가를 당사자로 하는 계약에 관한 법률 시행령 제76조에 따라 과업 수행자를 부정당업체로 등록 3) 과업 수행자는 사업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업 완료 후에도 이를 외부에 유출해서는 안 되며, 사업종료 시 정보보안담당자의 입회하에 완전 폐기 또는 반납 5) 과업 수행자는 보안관련 관계규정을 준수하여야 하며 보안준수사항을 위반하여 발생하는 모든 민․형사상 책임 및 그에 따른 유·무형의 손해배상을 전적으로 책임
산출 정보		보안서약서(참여자, 대표자), 보안확약서(대표자)
관련 요구사항		해당사항 없음

❍ 프로젝트 관리 요구사항(PMR, Project Management Requirement)

요구사항 번호		PMR-001
요구사항 분류		프로젝트 관리 요구사항
요구사항 명칭		프로젝트 관리 일반사항
요구 사항 상세 설명	정의	프로젝트 관리 요구사항
	세부 내용	1) 과업 수행자는 본 사업의 수행을 위한 정보보호 컨설팅방법론 및 절차에 따른 추진 일정 및 주요 활동별 관리방법 및 품질보증 방안을 제시 2) 구체적인 품질관리, 위험관리, 일정관리, 보안관리 방안을 제시하여야 하고, 구축 및 운영 기간별, 단계별 산출물 내역(회의록 포함) 및 산출물 관리방안을 제시 3) 본 사업의 성공적인 추진을 위하여 투입될 조직 및 인원 현황을 제시하고 조직별, 작업 단위별 업무 분장 내역을 제시 ※ 조직구성(예) : 개인정보영향평가 1명, 소스코드 진단 1명 4) 사업수행계획서에 제시된 사업 책임자 및 분야별 책임자는 물론 기타 투입인원은 반드시 본 사업에 참여하여야 함 ※ 투입인력은 보안컨설팅 사업 분야의 경험이 있는 전문인력(고급이상)으로 구성 ※ 개인정보 영향평가에 관한 고시 제5조에 따라 전문인력 자격을 갖춘 인력 5) 참여인력은 본 사업수행에 적절한 인력 수준(경력, 자격증 등)으로 제시하고, 기술자의 기술등급을 확인 할 수 있도록 소프트웨어산업협회에서 발급한 “소프트웨어기술자 경력증명서” 제출 6) 참여 인력의 사업수행 기간은 센터와 협의로 조정할 수 있음 7) 본 사업 수행에 있어 자격미달, 근무태도 불량, 기술능력 부족 등으로 판단될 경우에는 해당 기술 인력의 교체를 요구할 수 있음 8) 제안서에 제시된 수행 인력의 교체가 필요할 경우, 센터의 사전 협의 및 승인을 득해야 하며 동등 또는 그 이상의 능력을 가진 인력으로 배치하여야 함 9) 본 사업 추진 시 취약점 진단에 활용하는 자동화 도구(Tool)는 악성코드 감염 여부 등 사전 검증 후 센터의 승인하에 사용 10) 취약점 진단 후 사용한 진단도구 및 관련 자료는 진단완료 후 즉시 삭제
산출 정보		재직증명서, 소프트웨어기술자 경력증명서
관련 요구사항		PMR-002

요구사항 번호

PMR-002

요구사항 분류

프로젝트 관리 요구사항

요구사항 명칭

프로젝트 보고 및 산출물 관리

요구

사항

상세

설명

정의

프로젝트 보고 및 산출물 관리

세부

내용

<프로젝트 보고서 및 산출물 내역>

구분	산출물 정보
계획서	착수계, 사업수행계획서
보고서	착수/완료보고
개인정보 영향평가	개인정보 영향평가 계획서
	자료 분석서, 개인정보 흐름도
	개인정보 보호조치 현황 분석서, 개인정보 침해요인 위험도 산정표
	개선계획표, 개인정보 영향평가 결과 보고서
정보시스템 소스코드 진단	소스코드 진단 계획서·결과보고서, 개선대책(조치) 계획서

산출 정보

작업 단위별 산출물(산출물 내역 참고), 회의록 일체

관련 요구사항

PMR-001

❍ 프로젝트 지원 요구사항(PSR, Project Support Requirement)

요구사항 번호		PSR-001
요구사항 분류		프로젝트 지원 요구사항
요구사항 명칭		교육/기술지원 및 하자보수
요구 사항 상세 설명	정의	인수인계 품질 유지방안(교육/기술지원)
	세부 내용	1) 과업 수행자는 취약점 진단 후 발견된 취약점 및 제거 등의 조치 방법에 대한 교육을 실시(운영담당자) 2) 교육기간, 교육장소 및 일정, 내용은 운영담당자와 협의하여 진행 3) 외주 개발사 보안점검 및 보안관리 지침 수립 4) 사업 기간 중 정보기술에 대한 신기술 및 자료제공 요구가 있을 시 기술자문 지원 5) 본 사업과 관련한 기술이전 분야, 이전 내용, 이전 방법 및 기간, 인원, 비용 부담조건 등이 포함된 기술이전 계획을 제시 6) 사업수행 결과자료의 보완이나 수정에 따른 사후관리 방안을 구체적으로 제시하고, 사업 만료 전까지 용역기간 동안 취득한 모든 정보를 센터에 제공 또는 반납하는 방안을 제시
산출 정보		교육관련 자료
관련 요구사항		PMR-001, PMR-002

6. 과업 수행 지침

가. 과업 수행자

❍ 본 과업은 고도의 분석력과 전문성이 요구되므로 컨설팅 전반에 걸쳐 지식과 경험이 풍부한 전문 인력이 과업 수행자가 되어 과업을 수행하도록 하여야 한다.

❍ 과업 수행 중 과업 수행자가 과업 수행에 부적합하다고 인정되는 경우, 센터의 요청에 따라 즉시 교체하여야 한다.

나. 과업내용의 변경

❍ 과업의 항목 및 주요 내용의 누락 또는 불분명한 사항은 센터와의 협의에 의해 결정하여야 하며, 이견이 있을 때에는 과업 목표에 부합되는 범위 내에서 센터의 해석과 지시에 따라야 한다.

❍ 과업수행 중 과업내용의 변경이 불가피할 경우에는 협의를 통해 과업내용을 변경할 수 있다.

❍ 과업수행 중 정책적인 변화 또는 불가항력적인 사유가 있거나 센터가 필요하다고 인정할 경우에는 협의하여 용역기간을 조정할 수 있다.

다. 위반행위에 대한 조치

다음과 같은 행위가 발생하였을 경우에는 과업수행 상 특별한      사유가 없는 한 계약위반 행위로 간주하여 관계 규정에 의거,       조치할 수 있다.

❍ 제반 지시사항을 이행하지 않을 경우

❍ 과업기간 내에 과업을 완료할 능력이 없다고 인정될 경우

❍ 과업수행 중 성실하지 못하거나 부주의로 인한 과실이 인정될 경우

라. 보안 규정

❍ 과업수행자의 변경 시는 센터의 승인을 받고 인계인수를 철저히 하고 과업내용의 사전유출을 금지한다.

❍ 과업에 관련되는 모든 서류와 자료는 과업에 관련되지 않는 목적으로 사용할 수 없으며 센터의 사전승인 없이 제3자에게 제공 또는 대여할 수 없다.

❍ 센터는 보안관리 상태를 수시 점검하여 위반 시는 시정 요구 또는 참여인원에 대해 교체를 할 수 있다.

❍ 자료의 외부 누설이나 보안규정 불이행 등으로 사회적 물의나 민원이 야기되지 않도록 보안 관리를 철저히 준수하여야 한다.

< 붙임 1 >

보 안 서 약 서

본인은     년   월   일부로                관련 용역사업(업무)을 수행함에 있어 다음사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은                관련 업무 중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정한다.

2. 본인은 이 기밀을 누설함이 국가안전보장 및 국가이익에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나 공개하지 아니한다.

3. 본인이 이 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

4. 본인은 하도급업체를 통한 사업 수행시 하도급업체로 인해 발생하는 위반사항에 대하여 모든 책임을 부담한다.

년      월      일

서  약  자        업   체   명 :

직        위 :

성        명 :                        (서명)

생 년 월 일 :

서약집행자        소        속 :

직        위 :

성        명 :                        (서명)

생 년 월 일 :

< 붙임 2 >

보안확약서 (용역사업 수행업체 대표자 用)

본인     은(는) 「                (기간 :     .  .  . ～     .  .  .)」관련 용역사업에 대한 다음사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은 업무를 수행함에 따라 취득한 제반 사항을 누설하거나 사적으로 이용하지 않고, 보안관계 제규정을 성실히 이행하며 용역사업 추진 중은 물론 사업 종료후에도 업무상 지득한 제반사항을 일체 누설하거나 개인의 영리 목적 등 사적으로 이행하지 않을 것을 서약한다.

2. 본인은 본 사업의 과업수행으로 취득한 모든 자료를 삭제조치하였으며, 복사본 등 용역사업 관련 자료를 일체 보유하고 있지 않음을 확약한다.

3. 본인은 위 사항을 위반하였을시에는 관령 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

4. 본인은 하도급업체를 통한 사업 수행시 하도급업체로 인해 발생하는 위반사항에 대하여 모든 책임을 부담한다.

년     월    일

(재)중앙자활센터 원장 귀하

서약자          소 속          직 급(직위)

성 명                   (서명 또는 인)