- 2019년 경기콘텐츠진흥원 정보보호시스템 통합유지보수 -

과  업  지  시  서

2019. 4.

Ⅰ. 일반현황

1. 사업목적

가. 다수의 정보보호시스템의 일관성 있는 유지보수 업무체계 확립

나. 장비별 유지보수 계약 시의 업무절차를 통합하여 절차 간소화

다. 전문 업체 선정으로 책임성 있는 장애처리 및 대응 체계 마련

2. 사업개요

가. 사 업 명 : 2019년 경기콘텐츠진흥원 정보보호시스템 통합 유지보수

나. 사업기간 : 2019. 계약체결 시 ~ 2019. 12. 31

다. 예 산 액 : 15,900,000원(금일천오백구십만원정, 부가세포함)

라. 사업대상

장비명	모델명	설치 위치	수량	도입월	비고
UTM(방화벽, VPN)	Secui MF2 500	부천(202동)	2	2015.08	유상
	Secui MF2 300	부천(201동), 의정부, 수원	3	2015.08	유상
침입탐지시스템 (IPS)	Secui MFI 2100	부천	1	2017.12	유상
개인정보보호 (PC Filter)	PCFilter 2.0 Server	부천	1	2015.12	유상
IP관리시스템 (NAC)	IPScan NAC	부천	1	2017.12	무상
	IPS-100X	부천(202동), 시흥	2	2015.08	무상
	IPS-100G	부천(201동), 의정부, 수원, 판교	4	2015.08	무상

마. 사업내용

○ 정보보호시스템의 장애, 원격, 방문, 정기 점검 수행

○ 정보보호시스템 관련 보고서 및 요구자료 작성․ 제출

바. 사업목표

○ 장애발생시 신속한 복구로 업무 영향 최소화

○ 일관성 있고, 안정적인 유지보수와 점검으로 신속한 외부기관 자료제출요구 대응 및 정보보호실태평가 대응력 향상

3. 세부과업내용

가. 과업 요약

구 분	설 명	항목개수
유지관리 과업 요구사항-MAR (Maintenance Req.)	- 정보자산의 유지관리 업무 수행을 위해 요구되는 유지관리 요구사항	7
사업관리 요구사항-PMR (Project Mgmt. Req.)	- 사업 수행과 관련한 조직구성, 인력관리, 계약관리에 대한 요구사항	9
품질 요구사항-QUR (Quality Requirement)	- 사업 수행내용의 품질 향상과 관련한 요구 사항	1
교육 및 기술지원 요구사항-TSR (Training & Tech. Support Req.)	- 사업기간 내 또는 완료 후 변화 관리와 안정적 서비스 이행을 위한 지원 요구사항	1
보안 요구사항-SER (Security Requirement)	- 사업수행 중 보안준수 및 지적재산권을 위한 요구사항	1
합 계		19

나. 유지관리 과업 요구사항

MAR-001
요구사항 명	유지관리용역 일반조건	응낙수준	필수
분류	유지관리 과업 요구사항
요구사항 내용	1) 유지관리업체는 유지관리대상이 최적의 상태로 정상 운영될 수 있도록 유지 관리하여야 한다. 2) 유지관리업체는 무상하자보수 중인 장비라도 통합유지관리를 수행하는데 필요한 대상인 경우에는 관련 작업 및 운영 관리, 장애 처리 등의 지원을 수행한다. 3) 유지관리대상의 일부장애로 인하여 연관된 기타부분의 기술지원이 필요한 경우 통합 지원하여 장애조치를 완료하여야 한다.(예를 들어 운영체제 보안업데이트 오류 등으로 하드디스크를 포맷 할 경우 탑재한 어플리케이션의 재설치 및 정상화를 위한 제조사 또는 협력사 등의 기술자 투입) 4) 신규장비의 도입 시, 현재 장비와의 장애 발생 없이 연동 가능하도록 지원하여야 한다. 5) 보안 취약점 점검 실시 및 조치결과 제출 6) 모든 작업은 공문으로 처리하며, 기한을 준수하도록 한다. 만약 일정 변경 시에는 사유와 함께 수정 공문을 제출한다. 7) 예방정비보수 실시 - 장비가 원활히 운용될 수 있도록 월1회 이상 정기, 비정기 예방점검을 실시하여야 한다. 8) 긴급정비보수 실시 - 장애발생 신고접수 후 2시간이내에 긴급정비 보수작업에 착수하여야 한다. - 긴급정비 보수작업 착수 후 2시간 이내에 장비 및 설비를 정상화하여야 하며, 장비 및 부품 교체가 필요한 경우에는 4시간 이내에 정상가동 될 수 있도록 조치한 후, 대체장비를 준비하여 교체하여야 한다. - 교체부품 및 장비에 대해서는 동일하거나 또는 그 이상의 성능을 갖는 부품을 사용하여야하며, 진흥원의 확인을 받은 후 교체 실시한다. ※ 교체 일정은 진흥원과 상호 협의하여 추진한다.

MAR-002
요구사항 명	정기점검 및 수시점검	응낙수준	필수
분류	유지관리 과업 요구사항
요구사항 내용	- 장애예방을 위하여 상태점검, 성능점검, 조정, 청결유지 등의 정기점검을 월1회 실시하고, 점검결과를 진흥원에 제출한다. - 대상 장비의 교체, 수리, 설정 및 정책 변경 등 중요사항은 사업담당자에게 보고 후 협의하여 처리한다. - 보안장비에 대한 로그분석 및 결과를 보고한다. - 장애발생이 예상되거나 안정적인 운영을 위해 진흥원이 별도의 점검이나 자료를 요청할 경우 유지관리업체는 이를 수행하고 그 결과를 진흥원에 제출한다.

MAR-003
요구사항 명	장애처리 및 조치	응낙수준	필수
분류	유지관리 과업 요구사항
요구사항 내용	- 유지관리업체는 장애발생등급 처리 기준을 명확히 하고 장애처리 절차를 수립하여 제시하여야 하며, 장애발생시 대장을 작성하고 이력관리를 하여야 한다. - 유지관리업체는 장애를 인지하였을 경우 즉각 조치를 취함과 동시에 진흥원에 장애보고를 하여야 하며, 장애원인을 분석하여 재발 방지대책 또는 해결방법 등을 제시 하여야 한다. - 분기별 모의 장애(재난)훈련을 실시하고 결과를 제출한다. (훈련 체크리스트는 별도 협의한다.)

MAR-003
요구사항 명	기능향상 및 고도화	응낙수준	필수
분류	유지관리 과업 요구사항
요구사항 내용	- 보안 및 운영안정성 향상을 위해 유지관리대상 장비의 펌웨어 및 버전 업그레이드를 수행하며, 작업 전 설정백업 및 복구대책을 마련하여야 한다. - 각종 장비에 대한 Patch 및 Upgrade 작업 기록을 관리한다. - IPS장비에서 내․외부 네트워크를 동시에 감시가 가능하도록 구성변경 및 고도화를 수행할 수 있는 방안을 문서로 제시하고 이를 수행하여야 한다. - VPN과 방화벽의 분리 구성을 통해 VPN 연결된 지사(클러스터) 사무소의 트래픽도 감시가 가능하도록 구성한다. - DMZ 구성, 내부방화벽 설치 등 네트워크 및 보안 설정변경 발생 시 이를 지원하여야 한다. - 보안 및 네트워크 구성의 문제점 분석 및 개선, 고도화 방안을 문서로 제시하여야 한다.

MAR-004
요구사항 명	현황관리	응낙수준	필수
분류	유지관리 과업 요구사항
요구사항 내용	- 정보보호시스템 및 네트워크 장비에 대한 접근 제어 관리를 수행한다. - 유지관리 대상 장비의 비밀번호를 분기별 변경 및 관리한다. - 유지관리 대상 시스템의 각종 작업 현황을 월간보고서에 포함하여 보고한다.

MAR-005
요구사항 명	유지관리대상의 백업 및 복구관리	응낙수준	필수
분류	유지관리 과업 요구사항
요구사항 내용	- 각종 장애에 대비하여 유지관리대상에 대한 안정적인 백업정책 및 복구방안을 수립한다. - 백업대상은 운영체제, Config 파일 등 세분화하여 관리한다. - 백업 및 복구에 따른 결과를 기록관리 한다. - 백업매체는 일시, 내용을 기록하여 보관관리 한다.

MAR-006
요구사항 명	헬프데스크 운영	응낙수준	필수
분류	유지관리 과업 요구사항
요구사항 내용	- 진흥원에서 운영중인 정보시스템 및 네트워크의 원활한 운영을 위하여 헬프데스크를 운영하고 그 결과를 월간보고서에 포함하여 보고한다.(사용자의 HW와 SW에 대한 기술문의 및 지원 내역)

MAR-007
요구사항 명	주요장비에 대한 전문 업체와의 기술지원 체계	응낙수준	필수
분류	유지관리 과업 요구사항
요구사항 내용	- 원활한 기술지원을 위하여 계약시 제조사 기술협약 대상 시스템의 제조사 또는 전문업체로부터 물품공급 및 기술지원확약서을 발급받아 계약 후 10일이내(공휴일 포함) 각 1부씩 담당자에게 제출한다. - 제조사 기술협약 대상 장비

다. 사업관리 과업 요구사항

PMR-001
요구사항 명	권리의무의 양도금지	응낙수준	필수
분류	사업관리 요구사항
요구사항 내용	- 유지관리업체는 진흥원의 사전 동의 없이 본 용역계약에 따른 권리, 의무를 타인에게 양도할 수 없다.

PMR-002
요구사항 명	보고서 제출 및 대가지급	응낙수준	필수
분류	사업관리 요구사항
요구사항 내용	1) 유지관리업체는 계약 후 10일 이내에 착수계, 계약 후 14일 이내에 사업수행계획서를 제출 하여야 하며, 아래의 내용이 계획서에 포함될 수 있도록 한다. - 대상 장비 유지관리 체계, 기술요원 현황, 예비 장비 확보 방안 및 현황, 연간 작업일정계획(보고서 제출 일정 포함), 장애시 조치계획, 비상연락망, 보안서약서, 모의재난훈련 계획 등 2) 월별 과업부분에 대한 검사를 위해 익월 구체적인 유지관리 활동 내용이 포함한 보고서를 제출하여야 하며, 아래의 내용이 보고서에 포함될 수 있도록 한다. - 전월 운영내역, 장애 및 점검 처리내역, 기타 증빙자료

PMR-003
요구사항 명	전문 업체와의 협력방안	응낙수준	필수
분류	사업관리 요구사항
요구사항 내용	- 유지관리대상 장비가 신속히 유지관리 될 수 있도록 제조사 또는 공급사와의 협력방안을 제시하여야 한다. - 협력방안에는 유지관리 대상별 지원내용 및 수준, 지원일정, 횟수, 투입인력, 예방활동, 장애처리 매뉴얼 등을 포함하여야 한다.

PMR-004
요구사항 명	인수인계 관련 계약체결 및 계약종료 시 사업자의 의무	응낙수준	필수
분류	사업관리 요구사항
요구사항 내용	1) 신규 사업자로 선정되는 경우 유지관리 개시 최소 1주일 이전부터 인수에 착수하며 동기간 동안의 유지관리료는 지급하지 아니한다. 단, 유지관리계약 체결일로부터 유지관리 개시일까지 1주일 미만인 경우 계약체결 익일부터 인수에 착수한다. 2) 본 계약이 해지되거나 종료되어 신규 사업자가 선정되는 경우, 기존 사업자는 인수인계를 위해 최소 1주일 이상의 합동근무를 지원하여야 하며, 동 기간 동안의 유지관리료는 지급하지 아니한다. 3) 본 계약이 해지되거나 종료된 경우에도 기존 사업자는 진흥원의 요청에 따라 필요한 범위 내에서 용역을 계속하여 제공하여야 한다. - 이 경우 신규 또는 예정 사업자는 기존 사업자와 별도의 인수인계 계약을 체결하고 월별 운영대가의 범위 내에서 용역수행 비용을 기존 사업자에게 지불하여야 한다.

PMR-005
요구사항 명	SLA 및 페널티	응낙수준	필수
분류	사업관리 요구사항
요구사항 내용	- SLA 및 페널티는 계약 즉시 협상을 통해 협의한다. - 페널티는 잔금 지급시 정산한다. - SLA 미준수에 대한 사업자의 책임 아닌 사유 또는 천재지변 등 진흥원이 인정하는 불가항력적 사유로 인하여 진흥원의 승인을 받은 경우에는 예외로 한다.

PMR-006
요구사항 명	유지관리 이행의 특례	응낙수준	필수
분류	사업관리 요구사항
요구사항 내용	- 다음 각 호의 사유로 발생한 시스템의 장애에 대하여 유지관리업체는 유지관리 책임을 지지 않으나, 진흥원이 유지관리를 요청한 경우 유지관리업체는 기술적인 지원을 거절할 수 없으며, 이때 장애를 처리하기 위하여 투입된 부품비용 또는 수리비용은 진흥원이 부담한다. ① 진흥원 요원에 의한 고의나 중대한 과실로 인한 장애 ② 화재, 천재지변 등 불가항력적인 사유로 장애가 발생한 경우 ③ 진흥원 부대시설물로 인한 장애 및 고장

PMR-007
요구사항 명	계약의 변경 및 계약 불이행	응낙수준	필수
분류	사업관리 요구사항
요구사항 내용	1) 진흥원의 사업 추진이나 정책에 따라 장비의 교체, 운영 중단, 관리 이전 등의 사유가 발생하여 본 계약의 내용을 변경하여야 할 경우 진흥원은 서면으로 업체에 통보하고, 업체는 즉시 계약의 변경에 적극 협조하여야 한다. 2) 다음 각 호에 해당될 때 진흥원 또는 유지관리업체는 계약의 일부 또는 전부를 해지할 수 있다. - 진흥원에서 수행요구 공문시행 2회에도 불구하고 업체에서 사업이행을 하지 않는 경우 - 진흥원이 정당한 사유 없이 유지관리 대가를 정해진 기한 내에 업체에게 지불하지 아니할 시 - 진흥원의 사유에 의해 유지관리 대상을 운영하지 않을 시 3) 진흥원 또는 업체가 본 계약을 해지하고자 하는 경우 최소 1개월 이전에 서면으로 해지의사 표시를 하여야 한다.

PMR-008
요구사항 명	변경사항의 통보	응낙수준	필수
분류	사업관리 요구사항
요구사항 내용	- 유지관리업체는 용역계약체결 이후 주소, 대표자 등 계약이행이나 유지관리료 청구에 관한 주요사항을 변경하였을 경우 이를 지체 없이 서면으로 진흥원에 통보하여야 하며, 이의 불이행으로 발생한 손해는 사업자의 책임으로 한다.

PMR-009
요구사항 명	산출물	응낙수준	필수
분류	사업관리 요구사항
요구사항 내용	- 산출물은 다음과 같다. ․ 월간 보고서 ․ 보안교육결과보고서, 보안서약서 등 보안특약 상의 서면 ․ 장비반출입보고서(반출입시) ․ 장애조치결과보고서(장애발생시) ․ 기타 자료 요청시의 작성 서식 - 서식이 제시되지 않은 경우에는 사업자 자체 서식을 사용하며, 필수적 기재사항으로 사업 담당자 성명/서명날인, 진흥원 담당자 성명/서명날인, 조치/발생 일자, 조치 내용 등이 포함되어야 한다.

라. 품질 과업 요구사항

QUR-001
요구사항 명	품질보증방안 수립	응낙수준	필수
분류	품질요구사항
요구사항 내용	- 사업 추진시 위험요소 및 기회요소들의 관리방법, 진흥원과의 의사소통방안, 정보보호를 위한 사전·사후통제 방안을 수립하여, 전사적 위험관리 수준을 제고하고, 운영개선 방안 등 사업추진 전반에 대한 품질보증방안을 제시하여야 한다. - 사업 종료시 사업 기간 동안 취득한 모든 정보를 진흥원에 파일 등으로 제출하여야 하며, 제출된 정보 이외의 모든 데이터는 보안지침에 맞게 파기되어야 한다.

마. 교육 및 기술지원 과업 요구사항

TSR-001
요구사항 명	교육훈련	응낙수준	필수
분류	교육 및 기술지원
요구사항 내용	- 진흥원 정보시스템 운영자를 대상으로 유지관리, 장애유형별 조치방법 등에 관한 교육을 지원한다. - 진흥원에서 기술교육이 필요하다고 요구하는 대상시스템에 대해서는 기술교육을 실시하고 기술자료 및 매뉴얼 등을 제공하여야 한다.

바. 보안 과업 요구사항

SER-001
요구사항 명	보안 관리	응낙수준	필수
분류	보안 요구사항
요구사항 내용	- 업체는 유지관리 요원의 신원에 대하여 책임을 지며 유지관리 활동과 관련하여 취득한 진흥원의 업무상 기밀사항 및 기타 진흥원이 요구하는 보안사항을 제3자에게 누설하여서는 안 되며, 이에 따른 문제발생 시 업체가 모든 민·형사상 책임을 지고 보상하여야 한다. - 진흥원은 업체의 보안관리 상태를 점검할 수 있으며, 또한 보안상 필요하다고 인정되는 지시를 할 수 있다. - 진흥원은 유지관리 요원에 대하여 보안각서 및 신원조회를 실시할 수 있으며 이상이 발견되었을 경우에는 계약해지 및 유지관리 요원의 교체를 요구할 수 있다. - 보안특약을 준수하여야 한다.

Ⅱ. 과업지침

1. 일반지침

가. 본 용역은 경기콘텐츠진흥원 제반규정에 의하여 수행함을 원칙으로 하며 과업지시서상의 용어해석과 과업의 내용에 대하여 의견을 달리 할 경우에는 경기콘텐츠진흥원과 사전에 협의하며, 협의하지 아니한 사항에 대해서는 일반계약조건 및 진흥원 규정에 따른다.

나. 계약내용의 일부를 부득이 변경․추가․삭제해야 할 경우 이에 수반되는 계약금액, 사업수행일 및 기타사항에 관한 필연적인 수정사항과 요구사항 등은 진흥원과 계약자 간에 계약 내용을 변경한 후에 시행한다.

다. 진흥원은 본 과업수행에 부적격하다고 판단되는 과업참여자의 교체를 요구할 수 있으며, 과업수행자는 지체없이 교체요구를 받아들여 부적격 과업참여자를 교체하여야 한다.

라. 용역 수행 상 특별한 사유가 없이 다음 사항이 발생할 경우에는 계약위반행위로 간주하여 관계규정에 의하여 조치할 수 있다.

○ 진흥원의 제반 지시사항을 기한 내 이행하지 아니할 때

○ 계약기간 내에 과업의 내용을 완료할 능력이 없거나 현저하게 공정 및 일정이 미달된 때

○ 본 과업수행에 있어 제3자의 권리(저작권, 특허권 등 지적, 물적 소유권)를 사용하거나 침해하였을 경우, 모든 책임은 과업수행자가 지게 된다.

마. 사업자는 본 용역과 관련하여 별표 1에 따른 보안특약 조항을 준수하여야 한다.

2. 이행조건

가. 과업의 추진과정에 있어서 진행사항은 수시로 보고하고, 관련 파생문제를 담당자와 긴밀하게 협의하여야 한다.

나. 본 과업 수행을 위하여 제공된 자료는 본 과업 수행 이외에 타 용도로 사용할 수 없으며 외부로 유출 할 수 없다.

다. 과업과 관련하여 작성된 모든 자료의 지적소유권은 진흥원의 소유이며, 진흥원의 동의 없이 이를 유출 또는 활용할 수 없다.

라. 과업을 진행하는 과정 중에 협의된 사항은 충분히 반영되어야 한다.

마. 모든 과업은 주어진 예산 범위 내에서 실시하여야 하며 예산범위를 벗어난 부분은 진흥원과 긴밀히 협의하여 해결하여야 한다.

바. 본 과업과 관련된 모든 제반업무에 대하여 하도급을 할 수 없으며, 이에 대한 위반으로 발생되는 모든 책임은 과업수행담당자에게 있다.

3. 기타사항

가. 과업지시서에 누락된 사항이라도 과업수행에 필요한 사항은 협의를 통해 조정할 수 있다.

나. 용역계약 후 과업지시서의 내용은 진흥원의 업무사정에 따라 변경될 수 있으며, 이로 인한 과업범위 및 용역금액의 변경은 계약당사자간의 협의로 결정한다.

다. 용역기간은 진흥원에서 인정하는 특별한 사유 발생 시와 사전에 진흥원 담당자와 협의 동의를 제외하고는 연장할 수 없다.

라. 용역성과물은 진흥원의 검사를 받아야하며, 이에 필요한 자료 제출 및 보충설명서 등의 요구가 있는 경우에는 이에 응하여야 한다. 또한, 용역의 성과물이 과업지시서의 내용과 다르거나 미흡하여 진흥원에서보완․요구가 있는 경우에는 즉시 수정․보완하여야 한다.

마. 본 용역과 관련하여 계약자가 과업 수행 과정에서 취득 또는 작성되는 산출물에 대한 소유권은 진흥원에 있고, 과업 수행완료 즉시 진흥원에게 제출하여야 한다.

바. 본 용역과 관련하여 입수된 자료와 발주자의 승인 없이 제3자에게 제공하거나 과업목적 외에는 사용할 수 없다.

사. 본 용역과 관련하여 제작된 모든 저작물들에 대한 저작권을 진흥원에 양도한다.

아. 진흥원의 용역성과물 검사 시 본 용역의 성과물에 이상이 있는 경우, 용역업체는 해당 이상부분에 대한 수정 보완 용역을 성실하게 수행하여야 한다.

자. 본 과업지시서에 명기되지 않은 사항에 대해서는 계약관련 제법규에 준한다.

[별표 1]

외주 용역사업 보안특약 조항

① 사업자는 경기콘텐츠진흥원의 보안정책을 위반하였을 경우 보안위규 처리기준에 따라 위규자 및 관리자를 행정조치하고 별표 2의 보안 위약금을 경기콘텐츠진흥원에 납부한다.

② 사업자는 사업 수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 별표 4 ‘누출금지 대상정보’에 대한 보안관리계획을 사업제안서에 기재하여야 하며, 해당 정보 누출시 지방자치단체를 당사자로 하는 계약에 관한 법률 및 동법 시행령, 지방자치단체 입찰 및 계약집행기준에 따라 사업자를 부정당업자로 등록한다.

③ 사업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업 완료 후에도 이를 외부에 유출해서는 안되며, 사업종료 시 정보보안담당자의 입회하에 완전 폐기 또는 반납해야 한다.

④ 사업자는 사업 최종 산출물에 대해 정보보안전문가 또는 전문보안 점검도구를 활용하여 보안 취약점을 점검, 도출된 취약점에 대한 개선을 완료하고 그 결과를 제출해야 한다.

⑤ 용역사업 참여인원 중 용역책임자를 보안책임관으로 지정, 경기콘텐츠진흥원의 승인을 받아야 한다.

⑥ 사업자는 보안각서를 제출하고 본 용역을 수행하는 과정에서 개인정보가 유출되지 않도록 개인정보보호법 및 동법 시행령, 시행규칙, 지침을 철저히 준수해야 하며, 이와 관련한  일체의 민․형사상 책임은 사업자가 가진다.

⑦ 용역사업 참여인원은 업체 임의로 교체 할 수 없으며, 신상변동(해외여행 포함)사항 발생시 즉시 보고하여야 한다.

⑧ 사업자는 사업착수 전 용역참여인력에 대해 비밀유지 의무 준수 및 위반 시 처벌내용 등에 대한 보안 교육을 실시하고, 참여자목록과 서명 등 실시 결과를 교육완료 즉시 제출하여야 한다.

⑨ 용역사업 참여인원이 업무를 수행할 장소는 외부인의 출입을 통제하여야 하며, 부재 시에는 반드시 시건장치를 하여야 한다.

⑩ 용역사업 수행 중 발주기관 정보시스템에 위해를 가할 수 있는 행위는 절대 불가하며, 정보시스템 접근이 필요한 경우에는 발주기관의 사전승인을 득한 후 정보보안담당자의 입회하에 실시하여야 한다.

⑪ ‘누출금지 대상정보’를 업체에 제공할 경우 ‘자료관리 대장’을 작성, 인계자·인수자가 직접 서명한 후 제공하고 사업완료 시 관련자료 회수하여야 한다.

⑫ 용역사업 관련자료 및 사업과정에서 생산된 모든 산출물은 파일 서버에 저장하거나 사업담당자(경기콘텐츠진흥원 직원)가 지정한 PC에 저장하여야 하며, 계정관리 및 접근권한 부여하여 관리를 철저히 한다.

⑬ 사업 수행시 생산된 산출물 및 기록은 발주기관 정보보안담당자가 인가하지 않은 비인가자에게 제공․대여․열람을 금지한다.

⑭ 사업 종료 후 최종산출물에 대해 “대외비”임을 표기하여 발주기관에 제출하여야 하며, 기타 자료는 삭제 및 세단 후 폐기하고 담당자의 점검을 받아야 한다.

⑮ 최종산출물 및 사업관련 자료는 용역사업 수행업체의 보관을 금지함을 원칙으로 한다. 다만, 유지보수 등으로 필요한 경우에는 경기콘텐츠진흥원 정보보안담당자의 승인을 득한 후 사용할 수 있다.

⑯ 용역업체간 전자우편을 이용해 자료전송이 필요한 경우에는 경기콘텐츠진흥원 전자우편을 이용, 첨부자료 암호화 후 수발신(※ 단, 대외비 이상의 비밀은 전자우편으로 수발신 금지)하고 경기콘텐츠진흥원 내에 위치한 사무실에서 사업을 수행할 경우 제공한 비공개자료는 매일 퇴근시 반납토록하며 비밀문서를 제외한 일반문서는 용역업체에 제공된 사무실에 시건장치가 된 보관함이 있을 경우 이에 보관 가능하며 용역사업 수행으로 생산되는 산출물 및 기록은 비인가자에게 제공·대여·열람을 금지한다(※필요 시 용역사업 책임자 승인 후 처리).

⑰ CD-RW 등의 보조매체 기록장치는 경기콘텐츠진흥원과의 상호협의 하여 제한된 PC에서만 사용하여야 한다.

⑱ USB, 외장하드디스크 등의 탈착이 용이한 보조기억매체의 사용은 금지한다. 다만, 산출물작성 등의 보조기억매체가 필요한 경우에는 경기콘텐츠진흥원의 관리 하에 사용하도록 한다.

⑲ 용역사업 종료 시 계약자의 PC 및 보조기억장치는 완전 삭제 후 반출하여야 한다.

⑳ 전산장비 반출은 가능한 금지하되 불가피한 경우 정보보안담당관 통제 하에 저장자료 완전삭제 및 승인 후 반출하여야 하며 반출·입시 마다 최신 백신프로그램으로 악성코드 감염여부 점검 및 자료 무단반출여부를 확인하여야 한다.

㉑ 사업자가 사용하는 PC는 인터넷 연결을 금지하되, 사업수행 상 연결이 필요한 경우에는 경기콘텐츠진흥원의 보안통제 하에 접속이 필요한 PC와 웹사이트․서버를 선정하여 직접 경기콘텐츠진흥원의 정보보안담당자에 요청하여, 승인을 득한 후 사용하여야 하며 非인가 통신기기나 개인 스마트폰을 이용한 테더링 등 허가되지 않은 통신망을 이용, 인터넷에 무단접속을 금지한다.

㉒ 사업자의 단말기에서는 경기콘텐츠진흥원의 내부 업무망 접속 및 원격작업은 원칙적으로 금지하나, 부득이한 경우 IP·사용서비스·접근계정 제한, 암호화 통신 등 필요한 보안대책 마련 후 한시적으로 허용하되 반드시 정보보안담당관의 승인 후 수행하여야 한다.

[별표 2]

사업자 보안위규 처리기준

구 분	위 규 사 항	처 리 기 준
심 각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	◦ 사업참여 제한 ◦ 위규자 및 직속 감독자 등 중징계 ◦ 재발방지를 위한 조치계획 제출 ◦ 위규자 대상 특별보안교육 실시
중 대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·유지보수 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	◦ 위규자 및 직속감독자 등 중징계 ◦ 재발방지를 위한 조치계획 제출 ◦ 위규자 대상특별보안교육 실시

구 분	위 규 사 항	처 리 기 준
보 통	1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 관리 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여 마. PC 비밀번호를 모니터옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	◦ 위규자 및 직속 감독자 등 경징계 ◦ 위규자 및 직속 감독자 사유서 /경위서 징구 ◦ 위규자 대상특별보안교육 실시
경 미	1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	◦ 위규자 서면ㆍ구두 경고 등 문책 ◦ 위규자 사유서 /경위서 징구

[별표 3]

보안 위약금 부과 기준

1. 위규 수준별로 A~D 등급으로 차등 부과

구분	위규 수준
	A급	B급	C급	D급
위규	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
위약금 비중	부정당업자 등록	100만원 이하	50만원 이하	10만원 이하

* 위규 수준은 [별표 2] 참고

2. 보안 위약금은 다른 요인에 의해 상쇄, 삭감이 되지 않도록 부과

* 보안사고는 1회의 사고만으로도 그 파급력이 큰 것을 감안하여 타 항목과 별도 부과

3. 사업 종료시 지출금액 조정을 통해 위약금 정산

[별표 4]

누출금지 대상정보

1. 경기콘텐츠진흥원 소유 정보시스템의 내․외부 IP주소 현황

2. 세부 정보시스템 구성현황 및 정보통신망 구성도

3. 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보

4. 정보통신망 취약점 분석·평가 결과물

5. 용역사업 결과물 및 프로그램 소스코드

6. 국가용 보안시스템 및 정보보호시스템 도입 현황

7. 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보

8. ｢공공기관의 정보공개에 관한 법률｣ 제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서

9. ｢개인정보보호법｣ 제2조제1호의 개인정보

10. ｢보안업무규정(대통령령)｣ 제4조의 비밀 및 동 시행규칙 제7조제3항의 대외비

11. 그 밖에 경기콘텐츠진흥원에서 공개가 불가하다고 판단한 자료

[별표 5]

용역사업 보안점검 리스트

순번	점검항목
1	용역업체 사용 전산망과 기관 전산망의 분리 여부(VLAN 분리 포함)
2	용역업체 직원 PC의 내부 정보시스템 접근 통제 여부
3	P2P, 웹하드, 메신저 등 불필요한 인터넷 접속 차단 여부
4	용역업체 직원에 주요 계정 비밀번호 제공 여부
5	용역업체 직원에 비밀번호 부여시 관련사항 별도 기록 여부
6	용역업체 직원에 시스템 관리자 계정 단독 접근 여부
7	노트북PC 등 휴대형 정보시스템을 시스템 관리용 PC로 활용 여부
8	용역업체 직원 등에 의한 기관 외부에서의 원격 접속ㆍ작업 여부
9	용역업체 정보시스템 접근시 작업이력 로깅 기능 사용 여부
10	용역업체 PC 및 휴대형 저장매체에 정보시스템 ‘계정명/비밀번호’ 저장 여부
11	용역업체 PC에 설치된 운영체제 및 응용프로그램 최신상태 유지 여부
12	용역업체 PC 백신 프로그램 자동 업데이트 및 실시간 감시기능 사용 여부
13	용역업체 PC USBㆍCD-RWㆍ무선랜 등 매체 통제 여부
14	용역업체 PC 비밀번호 및 화면보호기 설정 여부
15	용역업체 직원의 비인가 정보통신장비(노트북 등) 휴대ㆍ반입 여부

[별표 6]

용역사업 인력투입 및 철수 절차

PC 및 Wire 보관

인력투입계획 제출

※ Wire,PC 불출신청

인력투입계획서 작성

※ 월별투입계획, PC사용계획 포함

접수 및 검토

접수 및 승인(서명)

IP 배정 요청

신청서 편철 및

IP 사용 승인

인력투입신청서 작성

보안서약서 작성

※ 재직증명서류 첨부

검토 및 IP 배정

신청서 제출

검토 및 승인(서명)

월1회 보안점검

※편철, Wire시건 등

PC불출 및 Wire시건

※ 관리대장 기입

권한 부여 신청

철 수

검수 요청

인력투입 편철검토

검 수

편철 제출

인력철수신청서 작성

접수 및 승인(서명)

완전 삭제 요청

권한 회수 요청

인력철수신청서 제출

Wire 해제 및

대장기록

검토 및 처리

※ 처리결과 신청서 기록

검토 및 처리

※ 처리결과 신청서 기록

편철 보관

PC 및 Wire 불출

※ 불출대장 기록

구 분	용역사		경기콘텐츠진흥원
	투입인력	PM (or 사업관리)	PM	시스템 담당자	정보보안담당자
착수 시
인력 투입 시
철수 시
종료 시

접수 및 승인

[별지 제1호 서식] 용역사업 참여인원 보안서약서

보안 서약서

본인은     년   월   일부로                관련 용역사업(업무)을 수행함에 있어 다음사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은                관련 업무중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정한다.

2. 본인은 이 기밀을 누설함이 경기콘텐츠진흥원의 정보보안 및 영업이익에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항 및 개인정보 등을 일체 누설하거나 공개하지 아니한다.

3. 본인이 이 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

년      월      일

서  약  자        업   체   명 :

직        위 :

성        명 :                        (서명)

[별지 제2호 서식] 용역업체 대표 보안서약서

보안 서약서

본인은     년   월   일부로                관련 용역사업(업무)을 수행함에 있어 다음사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은                관련 업무중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정한다.

2. 본인은 이 기밀을 누설함이 경기콘텐츠진흥원의 정보보안 및 영업이익에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항 및 개인정보 등을 일체 누설하거나 공개하지 아니한다.

3. 본인이 이 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

4. 본인은 하도급업체를 통한 사업 수행시 하도급업체로 인해 발생하는 위반사항에 대하여 모든 책임을 부담한다.

년      월      일

서  약  자        업   체   명 :

(업체 대표)        직        위 :

성        명 :                        (서명)

서약집행자        소        속 :

(사업담당자)       직        위 :

성        명 :                        (서명)

[별지 제3호 서식]

전산실 출입관리대장

출입일시			방문자				담당자
월일	출입	퇴실	성명	업체명	방문 사유	서명	성명	확인

[별지 제4호 서식]

반출입기기 관리대장

일시		대상자				관리자
월일	시간	성명	반출입기기	보안조치내역	서명	성명	확인