경기도사이버도서관 홈페이지 개인정보영향평가

과업지시서

2014. 08

(재) 경기문화재단

1. 사업개요

□ 사업명 : 경기도사이버도서관 홈페이지 개인정보 영향평가

□ 사업기간 : 계약일로부터 60일

□ 소요예산 : 일금30,000,000원(일금삼천만원정) ※부가세 포함

□ 과업목적

o 경기도사이버도서관 홈페이지 개편에 따른 홈페이지 운영 및 개인정보 영향평가 실시, 개인정보 침해등 위험 요인 분석 및 개선 사항 도출

o 홈페이지에 대한 물리적, 기술적, 관리적 취약점 및 위험도 분석을 통하여 사고 예방조치 필요

□ 사업내용

o 홈페이지에 대한 물리적, 기술적, 관리적 취약점 및 위험도 분석

o 개인정보 처리단계별 기술적 보호조치의 적정성 및 관련 기술 지원

o 개인정보 관리체계에 대한 개선사항 도출 및 컨설팅

o 사업 완료에 따른 개인정보영향평가 완료 보고서 제출

o 안정행정부 “공공기관 개인정보 영향평가 수행 안내서” 준수

2. 사업내용

□ 경기도사이버도서관 홈페이지 개인정보 영향평가 수행

o 경기도사이버도서관 홈페이지(WWW.LIBRARY.KR) 의 회원정보
( 동일시스템으로 연결된 경기도 메모리, 다국어사이트 , 북매직 포함)

o 개인정보 보유현황 : 약 40만건

o 개인정보 항목     : WWW.LIBRARY.KR 의 회원가입 약관 확인

□ 개인정보 관련 현황 조사 및 평가자료 수집

o 경기도사이버도서관 내·외부 개인정보 보호 관련 규정 수립 및 정책환경 등을 분석하기 위한 내·외부 정책자료, 사업설명자료 등 자료 수집·분석 등

□ 개인정보영향평가 계획 수립

o 현황분석 결과를 토대로 개인정보영향평가 필요성 판단

o 개인정보영향평가 조직 구성 방안 및 운영계획 수립

□ 개인정보 흐름 분석

o 개인정보 취급 업무 현황 분석을 통하여 개인정보 취급 업무표, 개인정보 흐름표 및 흐름도, 시스템 구조도 분석

□ 개인정보 침해 요인 분석

o 개인정보 흐름에 따른 개인정보 보호 조치사항 및 계획 등을 파악하고 개인정보 침해 위험성 도출

o 평가항목을 기초로 자료 분석, 현장실사, 담당자 인터뷰 등을 통해 개인정보보호 조치 사항을 파악하고 개인정보 침해요인 분석

o 개인정보를 자산가치로 산정하여 자산가치, 개인정보 침해 발생 가능성, 법적 준거성을 조합하여 위험도를 평가

□ 개선방안 도출 및 개선계획 수립

o 침해요인별 위험도 측정결과를 토대로 개선방안 도출

o 개인정보보호 조직구성 및 인력자원을 고려하여 개선 계획 수립

□ 홈페이지 취약점 분석

o 경기도사이버도서관에서 운영중인 홈페이지의 취약점 분석 및 관련 보고서 제출

□ 개인정보 영향평가 보고서 작성

o 개인정보 영향평가 전 과정 및 산출물을 정리하여 개선계획서, 영향평가서 등 결과 보고서 작성 및 제출

3. 기타 개인정보보호 관련 지원 사항

□ 경기도사이버도서관 홈페이지에서 처리하는 개인정보 현황을 분석하여 관련법 준거성 확보 등 최적의 개선방안 제시

o 업무특성을 고려한 “경기도사이버도서관 홈페이지 개인정보보호 계획서” 작성 제출

□ 경기도사이버도서관 개인정보 영향평가 결과를 토대로 운영직원 대상 개인정보보호 교육 및 시스템 운영 관련 전문가 자문 지원 등

4. 제안요청 일반사항

□ 개인정보 보호법(제33조) 에 의거 개인정보 영향평가 기관으로 선정(지정) 되어 본 계약 채결일까지 해당 자격을 유지되고 있는 사업자
※공동 수급 불가

□ 사업수행자의 관련자격 증빙서 제출

o 낙찰자는 아래의 관련 증빙서를 해당기일(휴일 제외)까지 제출

- 개인정보영향평가 지정기관 확인서 : 낙찰후 2일이내 제출

□ 성과물 제출

o 과업의 성과물로서 다음 자료를 제출하여야 함

작업구분	산출물 내역	제출 시기	비고
착수/중간보고	진도보고	매주 정기적으로 제출	파일 제출
최종보고	최종보고서	용역완료 후 7일 이내	인쇄본 3부 (파일포함)

□ 보안사항

o 참여인력은 보안서약서, 개인정보활용동의서, 정품SW사용서약서 필수 작성 및 제출하여야 함(계약 후)

o 보안위규사항 발생시 별표1과 별표2에 해당하는 처리기준에 따라서 최대 사업참여 제한조치 및 민∙형사상 책임을 질 수 있음

□ 기타사항

o 아래의 경우 낙찰자의 귀책으로 낙찰자 자격을 취소하고 계약 해지

- 제출기한내에 관련 서류를 제출하지 못할 경우

- 제안요청서 상의 요구를 만족하지 못하는 용역서비스 및 산출물 제출 등이 미흡할 경우

5. 기타

□ 일반 조건

o 사업자는 본 과업을 수행하기 전에 투입되는 인력에 대하여 자체 보안교육을 실시하고, 그 결과를 경기도사이버도서관에 제출하여야 함

o 사업자는 본 과업과 관련하여 이동식 저장매체 등의 사용을 금지하며 다만, 과업수행에 필요한 경우, 사업기관의 승인을 받으면 사용이 가능

o 사업자는 과업과 관련하여 취득한 개인정보 등 비밀사항을 계약기간과 관련 없이 제3자에게 누설하거나 다른 목적으로 사용하지 말아야 한다.

o 사업자는 발주기관이 요구하는 보안관련 사항을 모두 이행하여야 하고, 준수하지 못한 경우 보안관련 사고에 대하여 민·형사상 모든 책임을 진다.

o 기타 보안관련 사항은 국가정보보안 기본지침(국정원) 및 제반 보안 법규를 준수하여야 한다.

□ 특약 조건

o 사업자는 보안정책을 위반하였을 경우 사업자 보안위규 처리기준(별표1)에 따라 처리되며 보안 위약금을 경기도사이버도서관에 납부하여야 한다.

o 사업자는 사업 수행에 필요한 문서, 인원, 장비 등에 대하여 물리적·관리적·기술적 보안대책 마련과 누출금지 대상정보에 대한 보안관리계획을 사업수행계획서에 기재하여야 한다.

※ 정보 누출시 국가계약법 시행령에 따라 부정당업체로 등록될 수 있음

o 과업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 기간 또는 완료 후에도 외부에 유출되서는 아니되며, 사업종료시 사이버도서관의담당관, 또는 감독관의 입회하에 완전 폐기 또는 반납해야 함

□ 산출물 제출

o 사업자는 계약 체결일로부터 5일 이내에 사업범위, 추진일정, 인력투입방안, 보안관리 계획, 투입인력에 대한 보안서약서 및 대표자의 보안확약서 등을 포함한 “사업수행계획서”를 경기도사이버도서관 및 경기문화재단 계약 부서에 제출해야 한다.

o 과업완료 시 「개인정보 영향평가 수행안내서」영향평가 절차에 따라 생성된 산출물 등을 최종 완료보고서를 제출하여야 함

※ 최종 완료 보고서 책자 3부, CD 3장 이상 제출

□ 기타 사항

o 사업자가 본 과업을 수행하는 과정에서 제3자의 지적재산권을 침해함으로써 경기도사이버도서관을 상대로 손해배상 청구소송 등이 제기될 경우, 용역수행업체(사업자)가 피해자 측에 합의 배상하여야 함

o 사업자가 사업수행 과정에서 취득 또는 작성하는 성과품 및 산출물 일체에 대한 소유권은 경기도사이버도서관에 있음

o 과업수행 과정에서 경기도사이버도서관과 사업자간 이견이 발생할 경우, 과업 완료를 위하여 불가피하거나 경미한 사항은 경기도사이버도서관 의견에 따르고 그 외에 사항은 상호 협의하여 결정함

별표1	보안규정 위반사항 처리기준

구분	위 규 사 항	처 리 기 준
심 각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	◦사업참여 제한조치 ◦사업수행책임자 민‧형사상 조치
중 대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·유지보수 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	◦ 해당참여인력 교체 및 재발 방지를 위한 조치계획 제출 ◦ 사업수행책임자 및 참여인력 사유서 / 경위서 징구

구분	위 규 사 항	처 리 기 준
보 통	1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비닛ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 관리 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역 및 통제구역 무단 출입 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 네이트온 등 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅ㆍ화면보호 패스워드 미부여 또는 연속 문자 또는 단순숫자 부여 마. PC 비밀번호를 모니터옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	◦ 위규자 대상 특별보안교육 실시
경 미	1. 업무 관련서류 관리 소홀 가. 진행 중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	◦ 위규자 서면ㆍ구두 경고 등 문책

별표2	누출금지 문서 및 파일 목록

순번	목 록	비고
1	업무용PC 및 정보시스템의 내외부 IP주소 현황
2	세부 정보시스템 구성현황 및 정보통신망 구성도
3	사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보
4	정보통신망 취약점 분석·평가 결과물
5	용역사업 결과물 및 프로그램 소스코드
6	정보 보안시스템 및 정보보호시스템 도입 현황
7	침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보
8	「공공기관의 정보공개에 관한 법률」제9조 제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서
9	「개인정보보호법」제2조 제1호의 개인정보
10	「보안업무규정」제4조의 비밀 및 동 시행규칙 제7조 제3항의 대외비
11	그 밖에 공개가 불가하다고 판단한 자료