M-DRT 운영 플랫폼 인증 및 의사결정 시스템 유지관리

과 업 지 시 서 사 업 명 M-DRT 운영 플랫폼 인증 및 의사결정 시스템 유지관리 주관기관 대도시권광역교통위원회 광역버스과 2026. 6. 담당 소속 부서 직위 성명 TEL FAX 대도시권광역교통위원회 광역버스과 사무관 송하윤 044-201-5069 044-868-8375 주무관 서주형 044-201-5066 044-868-8375 목 차 1. 과업 개요1 2. 과업의 내용3 3. 과업 수행지침5 4. 보안대책12 [붙임1] 정보화 외주 용역사업 보안특약 조항 17 [별표1] 누출금지 대상정보 20 [별표2] 외주 용역사업 보안특약 조항21 [별표3] 보안위약금 부과 기준 24 별첨 서식25 1. 과업 개요 가. 과업 명칭: M-DRT 운영 플랫폼 인증 및 의사결정 시스템 유지관리 나. 과업 기간: ’26.6월 ~ ‘27.4월 (10개월) 다. 과업 예산: 총 117,000,000원 (부가가치세 포함) 라. 과업(위탁)근거 ㅇ 「 대도시권 광역교통관리에 관한 특별법｣(이하 “광역교통법”) 제10조 의3 제3항 및 같은 법 시행령 제14조의4제4항에 따라 광역 수요응답형 여객자동차 운송사업에 대한 광역버스종합정보체계 구축·운영 업무를 ‘한국철도기술연구원’에 위탁 마. 추진 배경 및 목적 ㅇ 광역교통 불편 해소를 위해 수요에 맞춰 탄력적으로 운행하는 수요응답형 버스 도입 관련 R&D * 를 진행하였고, 운행 개시(‘23.9월) * 대도시권 수요응답형 광역 모빌리티 서비스 실용화 기술개발 (’22~‘25, 한국 교통연구원) ** 광역교통 수요가 많은 지역을 공모 로 선정(시흥, 광주, 화성, 용인, 수원) ㅇ 대광위가 면허를 발급하는 광역 수요응답형 여객자동차운송사업이 제도화 * 되었고, ‘광역버스운송사업’에 광역 DRT 사업도 추가 * 여객법 시행령 개정(’24.7월), 광역교통법 개정(‘25.12월) ☞ 예약제 기반의 M-DRT(광역콜버스) 제도 운영을 위하여, 운행관리를 위한 민간 운영자 플랫폼 인증 기준과 운영 기준을 마련할 필요 -또한, 운영자가 제출하는 운행정보를 관리하고, 기초 통계 분석, 안전정보 수집·관리 등을 위한 관리자 플랫폼을 유지관리할 필요 - 그 외 운영정보를 수집 및 분석하고, M-DRT 노선과 광역버스 노선 간 이관 대상 노선을 발굴하는 등 관련 정책 마련 지원 필요 바. 과업의 범위 ㅇ 「여객자동차 운수사업법」 제3조제1항제3호에 의거, 수요응답형 여객자동차 운송사업 면허의 규제특례를 받아 운행 등 실증과정을 거친 광역콜버스 노선 - 「대도시권 수요응답형 광역 모빌리티 서비스 실용화 기술개발」을 통해, 규제특례를 받아 운행 실증 추진한 경기도 5개 지역(수원, 화성, 광주, 용인, 시흥) 등 2. 과업의 내용 가. 과업 주요 내용 ❶ 광역콜버스 운영 플랫폼 인증 관리 ㅇ 광역콜버스 운영 플랫폼 인증 기준 충족 여부 관리 -광역콜버스 운영 플랫폼의 기능·성능 기준 점검 - 대광위 및 관계기관 요구사항 반영 여부 확인 및 관리 - 운영 환경 변화에 따른 인증 기준 적용 사항 점검 ㅇ 플랫폼 인증 관련 기술‧운영 지원 - 플랫폼 인증 관련 기술적 검토 및 보완 사항 도출 - 실증 운영 결과를 반영한 인증 관리 자료 정리 - 향후 제도화 단계에서 활용 가능한 인증 관리 체계 고도화 ❷ 광역콜버스 정책·의사결정 지원 시스템 운영·유지관리 ㅇ 정책·의사결정 지원 시스템의 안정적 운영 및 유지관리 - 광역콜버스 운영정보 기반 정책·의사결정 지원 시스템 상시 운영 - 시스템 오류·장애 발생 시 원인 분석 및 조치 - 운영 환경 변화에 따른 시스템 기능 개선 및 보완 ㅇ 정책 판단 지원을 위한 데이터 관리 및 분석 환경 유지 - 노선별·지역별 운영 데이터의 안정적 연계 및 관리 - 정책 검토에 활용 가능한 지표 및 분석 기능 유지 - 대광위 및 관계기관 요구에 따른 분석 환경 지원 ❸ 데이터 기반 정책 효과 분석 및 관련 법·제도 개선 지원 ㅇ 광역콜버스 정책 효과 분석 -광역콜버스 노선 운영 성과 및 이용 특성 분석 -시민 이용 편의 및 불편 요소 도출을 위한 운영 데이터 분석 ㅇ 법·제도 개선 지원 -관련 법·제도 개정 검토 과정에 필요한 기술·운영 자료 제공 나. 과업 추진 일정(안) 항목 세부 추진 일정 1 2 3 4 5 6 7 8 9 10 사업추진 및 진행보고 착수 보고 중간 보고 최종 보고 광역콜버스 운영 플랫폼 인증 관리 광역콜버스 정책 의사결정 지원 시스템 유지·관리 데이터 기반 정책 효과 분석 및 관련 법·제도 개선 지원 ※ 추진일정은 “발주기관”과 “계약상대자”의 상호협의를 통해 변경할 수 있음 3. 과업 수행지침 ※ 아래의 용어에서 용역발주처인 국토교통부 대도시광역교통위원회를 “발주처”, 과업수행기관을 “계약자”라 칭한다. 가. 과업 수행사항 보고 ㅇ 계약자는 계약체결 후 7일 이내에 예정공정표, 계약자 명단 등이 포함된 착수계를 발주처에 제출하여야 한다. ㅇ 계약자는 착수일로부터 14일 이내에 세부적인 과업수행계획을 포함한 착수보고서를 제출하여야 한다. ㅇ 계약자는 매월 공정진도와 익월 수행계획을 익월 10일까지 서면으로 제출하여야 하며, 발주처에서 과업의 추진상황 등 필요한 자료를 요청하는 경우에는 요청일로부터 10일 이내에 서면으로 보고하 여야 한다. ㅇ 계약자는 과업수행내용과 관련하여 타 기관으로부터 자료의 협조 등 요청을 받았을 때에는 발주처에 보고하여야 한다. ㅇ 계약자는 1차 년도 과업 준공 시 시스템 개발 부분을 제외한 설계 및 컨설팅 요구사항에 대하여 정리하고, 설계 감리 부분 포함하여 준공보고 한다. 나. 관계기관 협의 ㅇ 계약자는 과업수행 중 중요사안이나 관계기관과의 협의에 필요한 사항 등은 검토 및 처리의견을 작성하여 발주처와 사전 협의하여야 한다. 다. 성과품의 인쇄 및 납품도서 ㅇ 과업지시서에 의한 모든 성과품의 규격, 편집, 인쇄방법 등에 대하 여 사전에 발주처와 협의하여야 한다. ㅇ 보고서를 인쇄할 때에는 업무에 편리하게 활용토록 하는 방안을 발주처와 협의한다. ㅇ 계약자는 과업지시서의 내용에 따라 다음의 성과품을 제출함을 원칙으로 하되, 제출 시기 및 제출 부수, 제출 방법 등은 사전에 발주처와 협의한다. 구 분 제 출 시 기 내 용 부 수 최종보고서 요약본 준공예정일 10일 전 요약 과업내용 5부 최종보고서 준공예정일 10일 전 전 과업내용 10부 최종보고서 요약본 및 최종보고서 전자파일 준공예정일 10일 전 hwp, pdf 1식 라. 계약자의 의무 ㅇ 계약자는 최신 및 최선의 기술지식을 사용하여 일반적으로 통용되는 기준에 따라 계약의무를 이행하여야 하며, 의무 수행에 있어 모든 합당한 기술과 주의 및 근면한 자세로 임하며 발주처에 대하여 최대한 이익을 도모한다. ㅇ 계약자는 용역사업 수행 계획서에 명시된 연구자의 참여를 원칙으로 하며, 부득이한 사정으로 인원을 교체할 때는 발주처의 승인을 받아 동등 이상의 경험·지식·능력을 가진 자로 변경할 수 있다. ㅇ 계약자는 발주처가 용역에 관련된 자료를 요청하는 경우 조속한 기간 내에 제출하여야 한다. ㅇ 발주처는 필요하다고 인정하는 때에는 계약자의 계약업무 수행과정이나 계약이행 상황을 감독할 수 있으며, 이 경우 계약자는 필요한 사항에 대하여 협조하여야 한다. 마. 제3자와의 도급 계약 ㅇ 계약자는 위탁업무의 원활한 수행을 위하여 업무의 일부를 관련법령이 허용하는 범위 내에서 책임 하에 제3자에게 도급시킬 수 있다. ㅇ 도급계약의 절차 및 약정 내용은 ｢예산회계 관계법령 및 국가를 당사자로 하는 계약에 관한 법률｣, ｢국토교통부 소관 국가업무 대행 사업 관리 지침｣ (국토교통부고시 제2017-1026호) 등 정부가 제정한 계약에 관한 규정을 준수하여야 한다. - 재위탁 범위, 선정방식, 선정결과 등에 대하여 발주처의 승인을 받아야 함 바. 위반사항에 대한 조치 ㅇ 다음과 같은 행위가 발생하였을 때에는 특별한 사유가 없는 한 계약 위반행위로 간주하여 관계규정에 의거 조치할 수 있다. - 계획공정에 비하여 현저하게 공정이 미달되거나 중간성과품이 미흡 하여 계약기간 내 완료할 능력이 없다고 판단될 때 - 과업수행 중 성실치 못하거나 제반 지시사항을 기간 내에 이행치 않는 등 소기의 성과를 얻을 수 없다고 판단될 때 - 용역의 전부 또는 일부를 부당한 방법으로 하도급을 주었을 때 - 고의 또는 중대한 과실로 총사업비를 적정하게 산정하지 아니한 경우 사. 특허권의 사용 ㅇ 본 용역수행에 있어 제3자의 권리인 특허권 등을 사용할 때에는 계 약자는 그 권리의 사용에 관한 비용부담 등 일체의 책임을 져야 한다. 아. 과업내용 및 용역비의 변경·정산 ㅇ 본 사업은 ｢소프트웨어 진흥법｣ 제50조에 따른 과업내용 확정을 위하 여 과업심의위원회를 개최(예정)한 사업으로, - 계약자는 과업기간, 과업범위, 과업내용 등에 관한 종합적인 검토 결과, 예산의 효율적인 집행과 용역성과의 극대화를 위하여 필요하다고 인정하는 경우 발주처와 협의하여 과업 내용 및 용역비를 변경할 수 있다. ㅇ 「소프트웨어 진흥법」 제50조, 같은 법 시행령 제47조제1항제2호, 제3호에 따른 과업내용 변경 및 그에 따른 계약금액·계약기간 조정이 필요한 경우, 계약자는 국가기관 등의 장에게 소프트웨어 사업 과업변경요청서 * 를 제출하여야 하며, 국가기관 등의 장은 과업 심의위원회 개최 요청에 대하여 특별한 사정이 없으면 수용한다. ※ ｢소프트웨어사업 계약 및 관리감동에 관한 지침｣ 별지 제13호서식 ㅇ 용역비의 투명한 집행 및 관리를 위하여 타 계정과 구분하여 관리 (별도 통장으로 관리)하고 관련 사업에 벗어나는 용도로는 사용할 수 없다. ㅇ 과업의 수행 중 다음 사항의 변동이 있을 때에는 예산의 허용범위 내에서 실제에 맞추어 용역비를 변경할 수 있다. - 천재지변 등 불가피한 사항이 발생하여 정상적인 과업의 수행이 불가능한 경우 - 발주처의 과업계획 변경이 있을 때 - 인쇄비, 각종 수수료 및 외부자문, (국내외)논문 발표 등 직접경비의 증감이 발생한 경우 - 기타 발주처가 필요하다고 인정할 때 ㅇ 직접경비 및 외주사업비는 실제 투입한 결과에 따라 예산의 범위 내에서 조정하여 사용할 수 있으며, 집행잔액 및 발생이자는 반납 조치한다. 단, 일반관리비는 정산하지 아니한다. 자. 과업보완에 대한 의무이행 ㅇ 본 과업 완료 이후에도 용역에 관련된 사항에 대하여 재검토, 보완이 필요할 때에는 별도의 용역비 청구 없이 재검토 보완하여 제출하여야 한다. ㅇ 발주처의 승인, 협의를 거친 사항이라도 추후 계획상의 잘못이 발견된 경우에는 추가 용역비의 청구 없이 계약자의 책임하에 수정, 보완한다. ㅇ 용역 수행결과의 잘못으로 인하여 사업계획에 중대한 차질이 발생 하였을 때에는 계약자는 이에 상응한 책임을 져야 하며, 발주처는 관계법령에 의한 조치를 취할 수 있다. 차. SW사업 산출물 활용 보장 ㅇ 과업수행 과정에서 취득 또는 작성하는 성과품 및 산출물 일체에 대한 지식재산권은 발주처와 계약자가 공동 소유하며 별도의 정함이 없는 한 지분은 균등한 것으로 한다. 다만, 개발의 기여도 및 계약 목적물의 특수성(보안, 영업비밀 등)을 고려하여 계약당사자간의 협의를 통해 지식재산권 귀속주체 등에 대해 공동소유와 달리 정할 수 있다. ㅇ 본 과업을 통해 개발되는 소프트웨어는 ｢(계약예규) 용역계약일반조건｣ 제56조에 따른 타 기관과 공동 활용할 계획이 없으며, 지식재산권의 타 용도 및 상업적 활용 시 반드시 발주처와 협의하여야 한다. ㅇ 본 과업 이전에 계약자가 자체적으로 보유한 지식 자산(본 과업과 관련된 경우에 한함)의 경우에는 발주처에 사용권이 부여된다. ㅇ 지식재산권과 관련하여 정하지 않은 세부사항은 ｢(계약예규) 용역 계약일반조건｣ 제56조에 따른다. ㅇ 계약자는 계약을 수행함에 있어 제3자의 지식재산권, 산업재산권, 저작권 또는 재산 및 기타 일체의 피해가 발생하지 않도록 유의하여야 하며, 이의 위반으로 사업기간 또는 사업 종료 이후라도 문제가 발생하는 경우 일체의 책임을 지며, 발주처를 상대로 손해 배상 청구소송이 제기되는 경우에는 피해자 측에 합의 배상하여야 한다. ㅇ 계약자는 지식재산권의 행사를 위하여 SW산출물의 반출을 요청할 수 있으며, 발주처에서는 ｢보안업무규정｣ 제4조 및 과업지시서에 명시된 누출금지정보에 해당하지 않을 경우 SW산출물을 제공한다. 다만, 계약자는 아래 내용을 준수하여야 한다. - 계약자는 공급받은 SW산출물에 대하여 과업지시서, 계약서 등에 누출금지정보로 명시한 정보를 삭제하고 활용하여야 하며, 이를 확인하는 공급자 대표명의의 확약서를 발주처에 제출하여야 한다. - 계약자가 반출된 SW산출물을 제3자에게 제공하려는 경우 반드시 발주처로부터 사전승인을 받아야 한다. 카. 하자담보책임에 관한 사항 ㅇ 본 과업의 하자담보책임기간은 사업종료(검수) 후 1년(단, 제조사 등에서 1년 이상의 하자담보책임기간을 규정한 경우에는 제조사 규정을 우선 적용)으로 하며, 해당 기간 중 시스템의 하자발생 시 즉시 보완하여야 한다. ㅇ 하자보증 이행으로 발생하는 모든 비용은 계약자가 부담(하자보증은 과업의 일부로 부실에 대한 부담은 계약자가 부담)한다. ㅇ 하자보수의 범위는 개발 분야 도입 장비(SW)를 포함하는 전체 시 스템으로 한다. ㅇ 계약자는 사업종료 시 하자보증이행서를 제출하여야 한다. 타. 작업장소에 관한 사항 ㅇ 본 과업 수행에 필요한 작업장소 등에 대하여는 상호 협의하여 결 정한다. ㅇ 개발 및 운영에 필요한 사무집기, 전화료 등은 계약자가 부담한다. ㅇ 계약자는 원격지 개발 시 보안사고 등 위험요인을 식별하여 이에 대한 대응방안을 제시하여야 한다. - 계약자는 작업 장소 상호협의 시 과업지시서 내 명시된 원격지 보안 요구사항을 준수한 작업장소를 제시할 수 있으며, 발주처에서는 제시된 작업 장소에 관하여 우선 검토한다. 다만, 발주처에서는 계약 자가 제시한 작업장소가 보안요구사항을 준수하지 못한 경우 거부할 수 있다. - 계약자는 과업지시서 내 명시된 보안요구사항 등을 준수하여 원격지 개발에 따른 구체적인 원격지 관리대책을 관리적 보안(보안정책, 보안 자료 등급관리, 보안자료 접근관리, 백업대책 등), 물리적 보안(출입 보안, 원격개발 장소 및 장비 운용, 침해 시 보안자료 백업장소 운용 등), 기술적 보안(침입방지, 탐색, 자료 보안기술, 노트북, USB 등 휴대용 저장매체, 네트워크 등) 을 제시하여야 한다. 파. 기타사항 ㅇ 본 과업지시서 및 계약사항 등에 관하여 이견이 발생하는 경우 또는 계약상 정하지 아니한 사항에 대하여는 발주처와 계약자의 협의에 의하여 결정한다. ㅇ 계약자는 공급하는 성과품의 품직에 대하여 최종적인 책임을 져야 하며, 기술 환경 및 기타사정 등으로 인하여 일부 과업의 내용 및 범위 등의 변경이 필요한 경우에는 협의에 의해 조정할 수 있다. 4. 보안대책 ㅇ 본 사업은 ‘M-DRT 운영 플랫폼 인증 및 의사결정 시스템’의 유지 관리를 위해 전문기관(한국철도기술연구원)에 위탁하는 사업으로 자체 수립한 보안대책과 아래 사항을 준수하여 사업수행 요망 1. 「국가·공공기관 용역업체 보안가이드라인」(국가정보원, 2020) 따라 <붙임1>에 따른 보안특약 조항 적용 2. 사후 관리체계 구축 등을 통하여 소스코드에 변경이 있을 경우 개 발완료前 개발프로그램에 대한 소스코드 검증 필수 수행 * 소스코드 검증 도구 미보유시 ‘정보보호담당관-588 (2017.2.20)호 정보보호관련 업무 협조’를 참조하여 공문으로 소스코드 취약점 점검 신청 3. 용역사업 감독자는 용역사업 수행前 용역업체 대상 보안교육을 실시 하고 교육내용에는 법적 또는 발주기관 규정에 따른 비밀유지 의무 준수, 위반시 처벌내용, 누출금지 대상정보 및 정보 누출시 부정당업자 제재조치 등을 포함하여함, 동 교육결과에 대해서는 별도 증빙자료로 보관 필요 ㅇ 과업지시서에 명시되지 않은 보안사항에 대하여는 ｢국토교통부 정보 보안업무규정｣, ｢국토교통부 보안업무규칙｣ 등 관련 규정을 준 수하여 과업을 수행해야 하며, 보안준수 위반사항에 대해서는 손해배상을 하여야 한다. ㅇ 과업내용에 관련하여 보안대책을 강구해야 하며, 대표자(협력업체 포함)의 보안서약서(별첨) 및 용역참여자의 보안서약서(별첨)를 제출 하여야 하며 보안관리 책임자를 지정하여 그 내역을 보안서약서와 함께 제출해야 함 ㅇ 보안이 요구되는 용역 내용을 수행하는 경우 참여인원을 최소화 하여야 하며 특별한 사유가 없는 한 정규직원에 한해 사업을 수행하도록 해야 한다. ㅇ 보안이 요구되는 용역을 수행하는 경우에는 작업실을 제한구역으로 지정하여 외부인의 출입을 금하도록 하여야 한다. ㅇ 용역의 보안유지를 위하여 자료보관함은 별도로 비치하되 비밀, 대외비 및 일반자료 보관함으로 구분하고 자료 및 성과물의 중요도에 따라 비밀, 대외비 및 일반자료로 분류ㆍ관리하여야 한다. ㅇ 보안사항의 누설과 관련 자료의 도난, 분실, 기타 손괴 등을 방지하고 제반 보안사항의 조치를 강구 또는 감독하기 위하여 정․부 보안 책임자를 지정하여야 한다. ㅇ 용역수행과정에서 생성된 모든 자료나 정보는 주관기관의 사전승인 없이 타 용도로 사용하거나 외부에 공개 또는 유출하지 못하며, 과업 수 행 중 과실로 인한 일체의 보안사고에 대하여 손해배상 등 일체의 민․형사 책임을 져야 함 ㅇ 특히 다음의 사항에 대해서는 누출금지정보로 보안사항을 철저히 준수해야 하고 이를 위반할 경우 ｢국가계약법 시행령｣ 제76조 제1항에 의거 부정당업자로 입찰참가 자격을 제한받을 수 있음 - 기관 소유 시스템의 내․외부 IP 주소 현황 - 세부 시스템 구성현황 및 망 구성도 - 사용자계정 및 패스워드 등 시스템 접근권한 정보 - 시스템 취약점분석 결과물 - 용역사업 결과물 및 프로그램 소스코드 - 국가용 보안시스템 및 정보보호시스템 도입현황 - 방화벽․IPS 등 정보보호제품 및 라우터․스위치 등 네트워크 설정 정보 - ｢공공기관의 정보공개에 관한 법률｣ 제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서 - ｢개인정보 보호법｣ 제2조제1호의 개인정보 - ｢보안업무규정｣ 제4조의 비밀, 같은 규정 시행규칙 제16조3항의 대외비 - 그 밖에 해당사업과 관련하여 공개가 불가하다고 판단한 자료 ㅇ 용역수행진행 과정에서 생산되는 주요 산출물(주요사업정보, 시스템 구성도 등)은 지정한 PC에 저장 관리하여야 함 ㅇ 과업진행 과정에서 취득한 정보통신망도, 세부 IP현황, 개인정보 등 중요정보 관련 자료는 인터넷 웹하드, 상용메일 등에 저장 금지 ㅇ 주관기관은 용역수행자의 보안관리 상태를 점검할 수 있으며 또한 보안상 필요한 모든 지시를 할 수가 있고, 과업수행은 이에 따라야 함 ㅇ 용역수행 중 용역수행참여자를 교체할 경우에는 인계인수를 철저히 하여 자료의 외부유출을 사전에 방지하여야 하며, 주관기관의 확인을 받 아야 함 ㅇ 용역수행자는 용역참여자가 교체될 경우에는 국토교통부에 미리 알려야 하며 추가로 보안서약서 (별첨) 를 징구하고, 인계·인수를 철저히 하여 자료의 유출 등을 방지하여야 한다. ㅇ 용역참여자가 교체되거나 용역참여자 이외의 자에게 부득이한 사정으로 성과품 등 관계 자료를 취급하게 해야 할 경우에는 반드시 보안 서약서 (별첨) 를 징구 후 취급토록 하여야 한다. ㅇ 용역수행 중 생산된 회의자료 등의 사용 및 배부 시 필요한 부수만 생산하여 불필요하게 생산되지 않도록 제한발행 하고 중요도에 따라 회수․파기하여야 한다. ㅇ 비밀 및 대외비 등 주요사업의 경우 「국토교통부 보안업무규칙」에 따라 업무일지를 작성해야 한다. ㅇ 용역보고서 등 관련문서는 용역감독관과 사전협의 등 보안성을 면밀히 검토하여 중요도에 따라 적정 등급의 비밀 또는 대외비로 분류하고, 자료를 열람하거나 인쇄할 때에는 정부비밀취급이 인가된 업체 등이 용역감독관의 입회하에 진행하는 등 인쇄·열람관련 규정을 준수해야 한다. ㅇ 용역 성과품은 발주기관의 서면 동의 없이 납품 물량 외 추가로 발행 하여서는 안되며, 성과품에는 발간근거를 명시(업체명, 인가근거, 참여자 , 발간일자 등)하고 불량, 파지, 폐지 등은 정‧부 보안관리 책임자의 책임 하에 완전 소각 및 파기하여야 한다. ㅇ 사업자는 <별표2>의 위규처리 기준에 따라 위규자 및 사업책임자를 행정조치 하여야 함 ㅇ 본 과업수행과 관련된 자료 및 정보 등은 본 과업 이외의 여타 목적을 위해 사용될 수 없으며, 주관기관의 서면 승인 없이는 타인에게 제공 또는 대여하거나 외부에 공개할 수 없음 ㅇ 각종 관련 행정정보체계 표준 규격을 따라야 하고, 개정 사항 및 행정체계표준코드를 수용하여야 함 ㅇ ｢행정기관 및 공공기관 정보시스템 구축․운영 지침｣(행정자치부고시) 및 ｢국가·공공기관 용역업체 보안관리 가이드라인｣(국가정보원)을 준수해야 함 ㅇ 업무 분야별 상호연계성 확보, 유사 분야간 정보항목의 중복개발 및 관리 방지, 정보 항목간 효율적 연계가 가능하여야 함 ㅇ 연계할 시스템간 정보 교환에 관련된 데이터 코드 및 정보처리 제반 기술을 표준화하여야 함 ㅇ ｢개인정보보호법｣ 및 관련규정을 준수하여야 함 ㅇ 데이터 및 산출물 연동을 위한 보안 대책을 마련하여 안정적인 연동을 구 현해야함 ㅇ 사업완료 후 시스템의 현행화에 필요한 산출물을 작성하여 제출하여야 함 ㅇ 과업수행자는 시스템 사용자의 외부망 접근, 내부망 접근방식에 대해 접근 이용시 정보시스템의 안전성을 점검확인하고 접근방식의 문제점이 있을시 개선방안을 제시하여야 함 붙임 1 정보화 외주 용역사업 보안특약 조항 제1조(정보누출 등 금지) 사업자는 본 사업을 수행함에 있어 다음 각 호의 행위를 하여서는 아니 된다. 1. [별표 1]에 명시된 ‘ 누출금지 대상정보’를 누출 2. [별표 2]에 명시된 ‘보안위반 처리기준’의 위규사항 제2조(보안대책 및 벌칙) ① 사업자는 사업수행에 사용되는 문서, 인원, 장비 등에 대한 물리적, 관리적, 기술적 보안대책 및 [별표 1]의 ‘ 누출금지 대상정보’에 대한 보안관리 계획을 사업제안서에 기재 하여야 한다. ② 사업자 또는 사업자의 대리인, 그 밖의 사용인이 제1조제1호의 ‘누출 금지 대상 정보’를 누출한 경우 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제76조에 따라 부정당업자로 등록하고 입찰 참가자격을 제한하며 손해배상 등 일체의 민․형사상 책임 을 진다. ③ 사업자 또는 사업자의 대리인, 그 밖의 사용인이 보안정책을 위반 하였을 경우 [별표 2]의 ‘보안위반 처리기준’에 따라 조치 한다. ④ 제3항에 따른 조치 외 추가적으로 보안 위약금 부과가 필요할 경우 사업자는 [별표 3]의 보안 위약금을 발주기관에 납부한다. 제3조(자료 폐기 및 반납) 사업자는 본 사업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업완료 후에도 이를 외부에 유출 해서는 안되며 , 사업 종료시 발주기관 담당자의 입회하에 완전 폐기 또는 반납 해야 한다. 제4조(취약점 점검) ① 사업자는 본 사업 최종 산출물에 대해 정보보안 전문가 또는 전문보안 점검도구를 활용하여 보안 취약점을 점검, 도출된 취약점에 대한 개선을 완료하고 그 결과를 제출 해야 한다. ② ｢전자정부법 시행령｣ 제71조에 명시된 정보시스템 개발시 ｢행정기관 및 공공기관 정보시스템 구축ㆍ운영지침｣ (행정안전부 고시) 제50조부터 제53조까지에 따라 보안약점이 발생하지 아니하도록 소프트웨어를 개발하고 정보 시스템 감리 등을 통해 보안약점을 진단 하여야 한다. 제5조(하도급 계약시 조치사항) 사업자는 본 사업을 수행하기 위하여 하도급 계약을 체결할 경우에는 본 사업계약 수준의 정보보안 특수계약조건을 하도급계약서에 포함 하여야 한다. 제6조(보안 교육) 사업자는 본 사업을 수행하기 위하여 투입되는 모든 인력을 대상으로 보안교육을 주기적으로 실시 하여야 한다. 제7조(물리적 보안) 사업자는 사업수행 장소(용역사무소, 개발실 등)의 출입 통제 및 시건 관리를 통해 물리적 보안체계를 수립 하여야 한다. 제8조(시스템 보안) ① 사업자는 공동으로 사용하는 파일서버, 시스템 및 어플리케이션 등에 대해서는 반드시 보안 책임자가 계정 및 권한을 관리 하여야 한다. ② 사업자는 시스템 및 어플리케이션 등에 접근하기 위해 발주기관으로 부터 계정을 부여받은 경우 에는 해당 계정으로 수행한 주요작업 내용을 기록 하여야 한다. 제9조(네트워크 보안) 사업자는 용역 사업에 사용되는 개발망과 사업장의 인터넷망은 물리적으로 네트워크를 분리하여 사용 하여야 하며, 발주기관의 정보통신망과도 분리 구성하여야 한다. 제10조(보안점검) 사업자는 주기적으로 보안점검을 실시 하고 그 결과를 발주 기관 담당자에게 보고 하여야 하며, 발주기관 및 발주기관의 상급기관의 보안 점검시 충실히 대응하여야 한다. 제11조(반 ․ 출입 통제) 사업자는 용역 사업에 사용되는 장비, 문서 및 미디어 등에 대해 반․출입 시 문서명, 물품, 일자, 고유식별번호, 목적 등을 관리대장에 기록․ 관리 하여야 하며, 그 결과를 발주기관 담당자에게 주기적으로 보고 하여야 한다. 제12조(개인정보보호) ① 개인정보 처리업무를 위탁받아 처리하는 사업자는 개인정보의 안전성 확보에 필요한 관리적·기술적 및 물리적 안전조 치 를 취하여야 한다. ② 사업자는 계약기간은 물론 계약 종료 후 에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다. ③ 사업자는 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 즉시 파기하거나 발주기관에 반납 하여야 한다. ④ 발주기관은 사업자의 개인정보 처리현황에 대하여 실태를 점검하여 시정을 요구 할 수 있으며, 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 교육 할 수 있다. 제13조(온라인 개발 및 유지보수) 발주자가 필요하다고 판단 하고 사업자 가 다음 각 호에 따른 보안대책에 서면으로 동의 하는 경우에 한하여, 사업자 에게 소관 정보시스템(보안ㆍ네트워크장비는 제외)에 대하여 인터넷을 통한 온라인 개발 및 유지보수를 허용 할 수 있다. 1. 온라인 개발 및 유지보수는 발주기관의 온라인 용역 통제시스템을 통해서 수행하여 소통구간 보호ㆍ통제 2. 지정된 장소에 설치된 지정된 단말기에서만 온라인 용역 통제시스템 접속 및 해당 단말기에 대한 접근 인원 통제 3. 지정 단말기는 제2호에 따른 온라인 용역 통제시스템 접속 전용(專用) 으로 운용하고 다른 목적의 인터넷 접속은 차단 4. 접속 사실이 기록된 로그기록을 1년 이상 보관 5. 계약 시행일로부터 종료 후 30일이 경과하는 날까지의 기간 중에 발주기관, 발주기관의 상급기관 및 국가정보원장의 정기 또는 수시 점검(불시 점검을 포함한다) 수검 제14조(소프트웨어 산출물 제공) ① 사업자는 ｢소프트웨어 진흥법｣ 제59조 및 ｢(계약예규)용역계약일반조건｣ ( 재정경제부 계약예규) 제56조에 따른 지식 재산권을 행사하기 위하여 소프트웨어 산출물 반출을 요청할 경우 누출금지 정보가 완전 삭제되었다는 대표자 명의의 확약서를 제출 하여야 한다. ② 사업자는 소프트웨어 산출물을 제3자에게 제공 하고자 할 경우 발주자의 승인 을 받아야 한다. 별표 1 누출금지 대상정보 누출금지 대상정보 1. 정보시스템의 내․외부 IP주소 현황 2. 세부 정보시스템 구성 현황 및 정보통신망 구성도 3. 사용자계정․비밀번호 등 정보시스템 접근권한 정보 4. 정보통신망 취약점 분석․평가 결과물 5. 정보화 용역사업 결과물 및 관련 프로그램 소스코드 (유출시 안보․국익에 피해가 우려되는 중요 용역사업에 해당) 6. 국가용 보안시스템 및 정보보호시스템 도입 현황 7. 침입차단시스템․방지시스템 (IPS) 등 정보보호제품 및 라우터․스위치 등 네트워크 장비 설정 정보 8.「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서 9.「개인정보 보호법」제2조 제1호의 개인정보 10.「보안업무규정」제4조의 비밀 및 동 시행규칙 제16조제3항에 따른 대외비 11. 그 밖에 해당사업과 관련하여 공개가 불가하다고 판단한 자료 * 사업담당자는 사업에 필요한 공개불가 자료 추가 명시 가능 별표 2 보안위반 처리기준 보안위반 처리기준 구분 위 규 사 항 처 벌 심 각 1. 국토교통부‘비공개정보 세부기준’에 따른 내부문서 유출 2. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 3. 정보시스템에 대한 불법적 행위 가. 관련 장비에 대한 해킹 및 해킹시도 나. 장비 구축 결과물에 대한 외부 유출 다. 센터장비 내 인위적인 악성코드 유포 ◦ 사업참여 제한 (부정당업자 등록) ◦ 위규자 및 직속 감독자 등 중징계 ◦ 재발 방지를 위한 조치계획 제출 ◦ 위규자 대상 특별 보안교육 실시 중 대 1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망·인터넷망 무단 혼용사용(물리적 미분리 포함), 보안 USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등) 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결 사용 사. 외부 전산망(무선공유기 포함)을 무단 설치·연동 아. 보안관련 프로그램 강제 삭제 자. 개발·유지보수 시 비인가 원격작업 사용 차. 원격 개발·유지보수 시 비지정 단말 사용 카. 원격유지보수용 지정단말(용역사무실)에 외부(인터넷 등)로부터 원격프로그램을 이용하여 접속 ◦ 위규자 및 직속감독자 등 중징계 ◦ 재발 방지를 위한 조치계획 제출 ◦ 위규자 대상 특별 보안교육 실시 보 통 1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 관리 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 인터넷망 연결 PC하드디스크에 업무자료 임의저장 나. 인터넷망 연결 PC에 비인가 문서편집기(MS-Office 등) 설치 다. 네이트온 등 비인가 메신저 또는 파일공유프로그램 무단 사용 라. 상용메일을 활용하여 업무 자료 수발신 마. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여 바. PC·시스템 비밀번호를 모니터옆 등 외부에 노출 사. 비인가 보조기억매체 무단 사용 아. 노트북·PC 등 단말기의 비인가된 무선통신 사용 자. 공유폴더를 이용한 업무자료 공유 차. 원격 개발·유지보수용 단말에 비인가 프로그램 설치 카. 원격 개발·유지보수용 지정단말을 이용 유지보수업무 외 인터넷 접속 ◦ 위규자 및 직속 감독자 등 경징계 ◦ 위규자 및 직속 감독자 사유서 / 경위서 징구 ◦ 위규자 대상 특별 보안교육 실시 경 미 1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검·측정결과 조치 미흡 다. 필수 보안프로그램(안티바이러스, USB통제프로그램 등) 미설치 또는 우회하여 정보시스템 사용 라. 노트북·PC 등 단말기내 비인가된 무선통신 기능 미제거 마. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 바. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 ◦ 위규자 서면ㆍ구두 경고 등 문책 ◦ 위규자 사유서 / 경위서 징구 별표 3 보안위약금 부과 기준 1. 위규 수준별로 A~D 등급으로 차등 부과 구 분 위 규 수 준 A급 B급 C급 D급 위규 심각 1건 중대 1건 보통 2건 이상 경미 3건 이상 위약금 비중 부정당업자 등록 총 사업비의 30% 총 사업비의 20% 총 사업비의 10% * 위약금 규모는 기관별 사업규모에 따라 조절 * 위규 수준은 별표2 보안위반 처리기준 참고 2. 보안 위약금은 다른 요인에 의해 상쇄 삭감이 되지 않도록 부과 * 보안사고는 1회의 사고만으로도 파급력이 큰 것을 감안하여 타 항목과 별도 부과 3. 사업 완료 시 지출금액 조정을 통해 위약금 정산