외주 용역사업 보안특약 사항

① 사업자는 한국농수산식품유통공사(이하 공사)의 보안정책을 위반하였을 경우 [별표1]의 위규처리 기준에 따라 위규자 및 관리자를 행정조치하고 민․형사상의 손해배상을 포함한 모든 책임을 지며, [별표2]의 보안 위약금을 공사에 납부한다.

② 사업자는 사업 수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 [별표3]의 ‘누출금지 대상정보’와 [별표4]의 ‘사업자 보안관리 준수사항’에 대한 보안관리계획을 사업제안서(이행계약 등)에 기재하여야 하며, 해당 정보 누출시 공사는 국가계약법 시행령 제76조에 따라 사업자를 부정당업체로 등록한다.

③ 사업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업 완료 후에도 이를 외부에 유출해서는 안되며, 사업종료 시 공사 정보보호담당자의 입회하에 완전 폐기 또는 반납해야 한다.

④ 사업자는 사업 최종 산출물에 대해 공사의 승인을 받은 정보보안전문가 또는 보안 점검도구를 활용하여 보안 취약점을 점검, 도출된 취약점에 대한 개선을 완료하고 그 결과를 제출해야 한다.

[별표1] 사업자 보안위규 처리기준

[별표2] 보안위약금 부과 기준

[별표3] 누출금지 대상 정보

[별표4] 사업자 보안관리 준수사항

[별표1]

사업자 보안위규 처리기준

구 분	위 규 사 항	처 리 기 준
심 각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	◦사업참여 제한 ◦위규자 및 직속 감독자 등 중징계 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별 보안교육 실시
중 대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·유지보수 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부 PC, 스마트폰 등 이동형 전자장비를 PC 또는 네트워크에 무단 연결 사용를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	◦위규자 및 직속 감독자 등 중징계 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별 보안교육 실시

구 분	위 규 사 항	처 리 기 준
보 통	1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 관리 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 네이트온 등 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여 마. PC 비밀번호를 모니터옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	◦위규자 및 직속 감독자 등 경징계 ◦위규자 및 직속 감독자 사유서 / 경위서 징구 ◦위규자 대상 특별 보안교육 실시
경 미	1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	◦위규자 서면ㆍ구두 경고 등 문책 ◦위규자 사유서 / 경위서 징구

[별표2]

보안 위약금 부과 기준

1. 위규 수준별로 A~D 등급으로 차등 부과

구분	위규 수준
	A급	B급	C급	D급
위약금 부과대상	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
위약금 부과기준	부정당업자 등록	5백만원/건	3백만원/건	1백만원/건

※ C급 1건, D급 2건 이하 위규 시, 위약금은 부과 되지 않으나,“별표1”의 처리기준에 따른 재발방지 조치를 취해야 함.

2. 위 보안 위약금은 동일 사안에 대해 손해 배상 등 다른 요인에 의해 상쇄, 삭감이 되지 않음

3. 사업 종료 시 지불금액 조정을 통해 위약금 정산

[별표3]

누출금지 대상정보

1. 공사 소유 정보시스템의 내․외부 IP주소 현황

2. 세부 정보시스템 구성현황 및 정보통신망 구성도/

3. 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보

4. 정보통신망 취약점 분석·평가 결과물

5. 용역사업 결과물 및 프로그램 소스코드

6. 국가용 보안시스템 및 정보보호시스템 도입 현황

7. 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보

8.「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서

9.「개인정보보호법」제2조제1호의 개인정보

10.「보안업무규정」제4조의 비밀 및 동 시행규칙 제7조제3항의 대외비

11. 그 밖에 공사가 공개를 허용하지 않은 자료

[별표4]

사업자 보안관리 준수사항

① 참여 인력에 대한 보안관리

◦ 보안서약서 등 제출

- 사업 참여인원에 대해 사업투입 전 자체 보안 교육 후, 보안서약서, 기본보안교육 내용을 제출해야 한다.

◦ 보안교육 실시

- 사업자는 보안인식제고를 위해 주기적으로 자체 보안 교육을 하며, 공사가 요구하는 보안교육에 참석해야 한다.

◦ 인력변동 관리

- 시스템 접근 권한을 승인받은 인력 또는 해당 인력의 업무 변동이 있는 경우, 해당 사유가 발생한 후 1일 내에 신고해야 한다.

② 자료․정보 등의 보안관리

◦ 비밀 준수 대상 자료․정보

- 사업자는 아래의 자료나 정보(이하 “비밀정보”라 한다)에 대하여 비밀을 유지하여야 한다.

* 공사가 본 사업의 이행을 위하여 사업자에게 서면 또는 구두 등의 방법으로 비밀에 해당한다고 고지하고 제공한 자료나 정보(DB정보, IP 정보, 상세 시스템 구성도 등)

* 법령 또는 공사의 내규에 의하여 공개가 제한되거나 비밀을 유지해야 하는 자료나 정보(미공개 출원 정보, 개인정보, 비밀지정문서 등)

* 사업자가 본 계약의 이행 중 공사가 제공한 비밀정보를 이용․가공하여 얻은 자료나 정보

◦ 중요정보의 관리

- 사업자는 중요정보의 관리를 위하여 자료명, 인계자/인수자 서명이 포함된 자료 제공대장을 작성해야 한다.

- 인계받은 자료가 더 이상 필요없거나 사업이 종료되는 경우 자료를 반납 및 삭제한 후, 자료 제공대장에 기록 및 정보보안팀에 제출한다.

③ 사무실 및 전산 장비․매체 보안관리

◦ 사무실 보안 관리

- 사업자는 필요시 사무실 또는 용역업무를 수행하는 공간에 대해 일일 보안점검을 해야 하며, 공사(또는 공사 외부기관)의 보안점검에 따른 지적사항 발생시 별표1에 따른 벌칙 규정을 따른다.

- 공사 외 장소에서 사업수행을 할 수 없으나, 업무담당자 및 정보보안팀의 보안규칙을 준수함에 따라 제한적으로 허용이 가능하다.

◦ 전산 장비․매체 보안 관리

- 사업자는 PC, 노트북 등 전산장비를 반․출입하는 경우, 다음 사항을 사전 확인, 조치해야 한다.

(단, 노트북은 불가피한 경우 공사의 승인을 득한 경우에만 반입 가능)

* 반입시 : PMS, 내 PC 지키미 등 PC 보안프로그램 설치 및 바이러스/악성코드 검사

* 반출시 : 저장 데이터 완전 삭제(공사 정보보안담당의 사전 확인 필요)

- 사업자는 보안USB 외의 기타 보조기억매체는 사용할 수 없으며, 보안USB 외에는 자료를 저장할 수 없다.

- 사업자는 전산 장비․매체를 승인권자 외의 사용자가 조작․탈취할 수 있도록 방치하면 안된다.

④ 정보시스템 접근 보안관리

◦ 사업자는 정보시스템 사용자 계정 이용시 부여된 권한․목적 이외의 접근을 하면 안 되며, 승인된 사용자만 접근해야 한다.

◦ 사업자는 공용계정을 사용하면 안 되며, 사용하지 않는 계정은 주기적으로 삭제해야 한다.

◦ 공유 폴더는 사용해서는 안 된다.

※ 상기 사업자 보안관리 준수사항 중 예외적 허용이 필요한 경우에는, 공사 정보보안담당에게 예외 허용사항에 대한 보안성 검토를 요청해야 한다.