AI 기반 업무 혁신 플랫폼 구축 사업 감리 및 개인정보영향평가 용역

요약 AI 요약

이 사업은 AI 기반 업무 혁신 플랫폼 구축 사업의 적정성을 점검하고 문제점을 개선하기 위해 정보시스템 3단계 감리를 수행하며, 설계 단계부터 개인정보 침해 요인을 분석하여 개인정보 영향평가를 수행함.

• 감리 착수계 및 감리계획서 작성·제출
• 단계별 감리 수행(요구정의, 설계, 종료) 및 감리보고서 작성·제출
• 감리 종료 후 시정조치 확인 및 보고서 작성·제출
• 개인정보 영향평가 수행계획 수립 및 제출
• 개인정보 영향평가서 작성·제출(영향평가 수행 및 이행점검 포함)
• 개인정보 영향평가 이행점검 계획서 및 결과보고서 작성·제출

AI에게 이 공고를 물어볼 때 · ChatGPT · Claude에 이 링크를 함께 주면 공고문과 첨부를 정리한 글을 읽고 답합니다. /ai/projects/R26BK01678828 · 베타 기간 무료

평가 · 배점

기술 : 가격 — 기술 90점 · 가격 10점

협상 대상 기준 · 기술평가점수가 기술평가 배점한도(90점)의 85%(76.5점) 이상인 자를 대상으로 가격평가점수를 합산하여 고득점 순으로 협상순위 결정

참가 자격 · 제한

업종제한

정보시스템 감리법인(6146) 그리고 개인정보 영향평가기관(6525)

지역제한

제한 없음

공동수급

분담이행

입찰참가 제한

없음

실적경쟁 · PQ

해당 없음

국제입찰

국내입찰

제출 방법

전자입찰

입찰 일정

가격

추정가격

319,699,527원

배정예산

351,669,480원

예정가격 방식

비예가

공고 정보

공고종류

등록공고 (일반공고)

게시일

08/12(수)

공고번호

R26BK01678828-000

참조번호

AX기획처-6195

공고기관

주택도시보증공사

수요기관

주택도시보증공사

계약방법

제한경쟁

낙찰방법

협상에의한계약

계약유형

총액계약

예정가격 방식

비예가

추정가격

319,699,527원

배정예산

351,669,480원

공공조달분류

ICT 서비스 › ICT사업 컨설팅 › 정보시스템감리서비스

사전규격번호

R26BD00260697

재공고

아니오

출처

나라장터

첨부파일

• PDF · 입찰공고문(AI 사업 감리 및 개인정보영향평가 용역).pdf · 공고규격서
• HWPX · 입찰공고문(AI 사업 감리 및 개인정보영향평가 용역).hwpx · 공고규격서
• HWPX · 제안요청서(AI 사업 감리 및 개인정보영향평가 용역).hwpx · 공고규격서

첨부 내용을 정리한 글 — 자격 · 배점 · 일정 · 발췌 ›

문서 발췌

과업·요구

3 감리 및 개인정보 영향평가 대상사업 개요

□ (사 업 명) AI 기반 업무 혁신 플랫폼 구축 사업 □ (사업기간) 계약체결일로부터 9개월(안정화 2개월 포함) □ (사업금액) 1,990,454천원(VAT 포함) o (SW직접구매) 228,396천원(VAT 포함, 서버보안 외 7종) □ (계약방법) 제한경쟁입찰(협상에 의한 계약체결)

4 대상사업 주요내용(인프라)

□ (인프라) AI 서비스의 보안 및 운영 안정성을 위한 내부 인프라 환경 구축 o 내부 구축형 생성형 AI 인프라 및 컨테이너 기반(Docker*·Kubernetes**) 운영환경 구축 * Docker : 프로그램과 실행환경을 하나의 묶음(컨테이너)으로 만들어 어디서든 동일하게 실행할 수 있게 하는 기술 ** Kubernetes : 여러 서버에 배치된 컨테이너를 자동으로 배치·확장·관리하는 플랫폼 o GPU 자원 스케줄링 및 확장성을 고려한 AI 인프라 아키텍처 설계 □ (플랫폼) AI 서비스의 효율적 관리를 위한 운영 플랫폼 구축 o LLMOps* 기반 AI 라이프사이클 관리 시스템 구축 * LLMOps : 대규모 AI 모델(LLM)을 개발·배포·운영·개선하는 전체 과정을 체계적으로 관리하는 운영 방식 o RAG* 기반 지식검색 및 API** 기반 시스템 연계 구조 설계 * RAG(Retrieval-Augmented Generation) : AI가 자체 지식뿐 아니라 내부 문서나 데이터베이스를 검색하여 그 내용을 기반으로 답변을 생성하는 기술 ** API(Application Programming Interface) : 서로 다른 시스템이나 프로그램이 데이터를 주고받거나 기능을 사용할 수 있도록 연결해 주는 인터페이스

5 대상사업 주요내용(구축 서비스)

□ (직원용 지식검색) 통합검색 및 질의응답 서비스 구축 o 사규·지침·업무매뉴얼 등에 대한 AI 검색·질의응답 서비스 제공 □ (전세이행 업무지원) 서류 자동검토 등 이행심사 업무지원 서비스 구축 o 이미지 문서 등에서 텍스트를 추출하여 데이터로 저장하고, 동 데이터를 바탕으로 전세보증 이행 기본사항 검토 지원 □ (지능형 민원처리) 민원 답변 생성 서비스 구축 o 민원내용 분석을 통한 담당부서 자동분류, 유사민원 검색 및 답변 추천 < AI 서비스별 주요기능 >

6 대상사업 주요내용(거버넌스)

□ (법령준수) AI 기본법* 및 가이드라인에 대한 제반 준수사항 이행 * 인공지능 산업 육성 및 신뢰 기반 조성 등에 관한 법률(’26.1月 시행) o (투명성 확보) AI 활용사실 고지, AI 결정근거·특성·한계 설명방안 등 마련 o (안전성 확보) AI 수명주기 전반 위험식별·평가·완화방안 마련 및 위험관리 체계 구축 □ (보안성 확보) 국가망 보안체계(N2SF*) 기반 보안 아키텍처 적용, 개인정보보호법에 따른 안전조치 의무사항 준수 등으로 보안성 확보 * N2SF(National Network Security Framework) : 기존의 획일적인 물리적 망분리에서 벗어나 업무와 데이터 중요도에 따라 보안통제를 차등적용하는 국정원 발표 국가망 보안체계 □ (관리체계 마련) AI 성능관리 및 서비스 안정화 방안, 교육 및 기술이전 방안 등 AI 서비스 운영 전반에 걸친 관리체계 마련 7 기대효과 □ (사업 품질) 정보시스템 감리를 통한 사업 수행 적정성 및 구축 품질 확보 □ (위험 관리) 사업 수행 과정의 위험요인 사전 식별 및 개선 □ (개인정보 보호) 개인정보 영향평가를 통한 침해요인 분석 및 보호체계 확보 □ (보안 강화) 보안 요구사항 점검을 통한 안전한 시스템 구축 지원 8 추진일정 □ 계약체결일로부터 대상 사업 구축 완료일까지(약 9개월) o 제안 시 사업범위에 따른 단위 세부일정을 제시하여야 함 < 추진일정표 >

□ 주요업무 ㅇ (보증업무) 분양보증, 주택사업금융(PF)보증, 전세보증 등 보증상품 운영 ㅇ (보증이행) 보증사고 발생 시 분양이행 또는 기납부 중도금 환급이행 ㅇ (채권관리) 주채무자 채무 불이행시 채권의 회수 ㅇ (신용평가) 보증거래고객의 재무상태 및 경영능력에 대한 신용평가 업무 ㅇ (기금업무) 주택도시기금법에 따른 기금의 운용·관리에 관한 사무 등 * 기타업무 및 보증별 상품 상세안내는 공사 홈페이지(www.khug.or.kr) 및 주택도시기금포털(nhuf.molit.go.kr) 참조 2 발주기관 정보화 현황 □ 업무시스템 현황 < 현행 시스템 구성도 > < 「디지털 혁신을 위한 차세대 정보시스템 구축 사업」(‘26.12 오픈예정) 목표시스템 구성도 > □ 정보 인프라 현황 ※ 시스템 구성도 및 상세자료 등은 보안상의 이유로 열람 불가 Ⅲ 제안 요청 내용 1 감리 가. 감리 형태 및 수행시기 □ 정보시스템 3단계 감리(요구정의, 설계 및 종료 단계)

나. 과업 내용 󰊱 착수계 및 감리계획서 작성ㆍ제출 o 감리법인은 단계별 감리수행 전 감리일정, 인력편성, 감리범위, 점검항목 등을 명시한 착수계 및 감리계획서를 발주자와 감리대상사업자 등에게 제출하여야 함 ※ 계약체결 후 10일 이내 감리계획서 제출하여야 하며, 발주자의 승인을 받아야 함 ※ 감리계획서는 발주자 및 감리대상사업자에게 제출하여야 함 ※ 참여감리원 이력서, 자격증 사본, 보안서약서 등을 작성하여 발주자에 제출할 것 - 감리 일정 및 점검항목, 사업에 예상되는 주요 이슈와 위험요소들을 도출하고, 증거자료와 관리방안을 제시하여야 함 - 과업이행 여부, 기술적용계획표 등 필수 점검사항에 대한 점검방법을 구체적으로 제시해야 함 󰊲 예비조사, 감리계획 수립 및 통보 o 감리법인은 예비조사를 실시하고, 단계별(요구사항, 설계 및 종료 단계) 감리계획서를 「정보시스템 감리 수행 가이드」의 서식을 참조하여 작성 및 감리 착수 전 제출해야 함 - 감리법인은 감리계획서, 착수회의, 감리수행, 종료회의, 시정조치계획, 조치이행여부 확인 등 감리용역 수행에 필요한 모든 보고서(산출물)를 제출하여야 함 - 예비조사 일정과 현장감리 일정은 중복되지 않아야 함 - 예비조사 참여인력은 감리일정계획에 표시해야 함 o 단계별 감리수행 시 이전단계 감리 지적사항에 대한 시정조치결과가 조치 중이거나 미반영 사항이 있을 경우 이를 확인하여 감리항목에 포함해야 함 󰊳 감리수행 o 감리법인은 단계감리 3회(요구정의, 설계 및 종료 단계) 이상, 회당 6일 이상 수행해야 함 - 현장감리(정기감리) 실시 이전에 참여 감리원이 사전감리 검토를 현장에서 수행하며, 사전감리 일정을 수립하여 감리 추진계획 및 주요 점검사항을 감리대상사업자에 자료로 제출해야 함 - 설계단계 감리는 단위테스트 위주로 수행하고, 통합테스트 진입가능 여부를 제시해야 함 - 예비조사, 시정조치 확인 등을 제외한 순수 현장감리에 소요되는 최소감리기간(주말 및 공휴일 제외)은 대상사업비를 근거로 하여 적정한 수준의 투입공수를 제시해야 함

< 감리대상사업비에 따른 최소 감리기간 >

※ 대상 사업비는 「정보시스템 감리기준」 제4조(감리대가 산정) 별표1에 따른 ‘감리대상사업비 보정금액’으로, 감리대상사업자의 추가 제안으로 개발되는 내용도 감리대상에 포함하여 수행해야 함 ※ 정보시스템 구축/운영 감리 경험이 있는 감리인 3인 이상, 데이터베이스 품질관리 또는 품질점검 감리 경험이 있는 감리인 1인 이상, AI 품질관리 또는 품질관리 감리 경험이 있는 감리원 1인 이상을 투입해야 함 ※ 업무의 연속성을 고려하여 단계별 감리에 동일한 감리원을 투입해야 함 o 감리원 편성 및 배치 - 감리원 배치 : 총괄 감리원, 감리원 및 비상주 감리원 등 ※ 가용예산과 적정인력 범위 내에서 상주감리 또는 추가감리 제안이 가능함 ※ 상시/상주감리를 계획하는 경우, 투입공수와 수행업무를 명확히 기재하되, 일상적인 사전조사나 감리결과 조치 확인은 이에 해당하지 않음 ※ 보조 인력은 감리 참여인력으로 인정하지 않음 - 참여 감리원은 총괄감리원을 포함하여 해당 감리법인의 상근 감리원이 2분의 1이상이어야 함 - 비상근 감리원은 제안 시 비상근 감리원 참여 동의서를 제출하여야 함 o 감리원 자격기준 - 총괄 감리원은 해당 감리법인의 상근 감리원 중 실제 감리에 투입된 기간이 1년 이상인 수석 감리원으로서 적절한 능력과 경험이 있는 자로 투입해야 함 - 참여감리원은 행정안전부에 등록된 감리원 또는 수석감리원이어야 함 - 기능 테스트는 테스팅 전문 인력을 투입해야 함 - 참여 감리원은 AI 시스템의 구축실무 경험을 보유한 자로 구성하여야 하며, 아래 조건을 충족하여야 함

※ AI 시스템, AI 모델 활용 구축/운영 감리 유경험자 ※ AI(생성형 AI 포함) 등 신기술 및 신기술 적용 과제 업무 유경험자 󰊴 감리 착수회의 개최 o 감리법인은 발주자, 감리대상사업자, 감리원 및 기타 관련자들이 참석하는 착수회의를 개최하여 다음 업무를 수행함 - 투입 감리원, 감리일정 소개 - 감리 중점 검토사항에 대한 설명, 발주자, 감리대상사업자와의 협의 및 조정 - 감리대상사업에 대한 소개, 감리대상사업자의 감리 대응인력 확인, 감리장소 및 환경 협의 등 󰊵 현장감리 실시 o 현장감리기간 동안 모든 감리원은 일과시간의 100%를 상주하여 감리업무를 수행해야 함. 단, 참여율이 100%가 아닌 감리원의 경우에는 예외로 함 - 감리원의 투입에 대한 사항은 감리업무일지에 작성하여 감리수행결과보고서와 함께 제출함 o 감리법인은 확보된 감리장소에서 전문가적 주의를 다하여 산출물, 시스템 등을 검토하고, 발주자 및 감리대상사업자의 담당자를 면담하여 개선해야 할 문제점을 파악하고 개선방향을 마련해야 함 - 공공 정보화사업, AI 관련 시스템 구축 사업 등 관련 전문성과 감리 경험이 많은 감리원의 투입을 권고함 o 감리법인은 현장감리기간 중에 발견한 특이사항 및 문제점에 대하여 증거자료 등과 함께 누락없이 기술하여 감리수행결과보고서 초안을 작성해야 함 o 발주자는 다음 사항을 점검하기 위해 현장감리기간 중 감리법인의 감리현장에 대해 사전통보 없이 실사를 수행할 수 있음 - 제안서 및 감리계획서에서 명시한 감리원의 편성 준수성 - 상근 및 비상근 감리원의 근태 - 감리원의 금전적 또는 기타 부당한 요구 여부 등

※ 발주자의 현장실사 시 인력 투입사항이 감리업무 일지와 상이한 경우에는 해당 인력의 감리비를 삭감하고 향후 일정기간 입찰 참가를 제한받을 수 있음 󰊶 감리보고서(감리수행결과보고서) 작성 o 감리법인은 현장 감리 기간 중에 감리보고서 초안을 작성하여야 함 - 개선권고사항은 근거 및 논리가 명확하여야 하며, 전문가적 주의를 다하여 발견한 사항을 누락 없이 기재하여야 함 - 감리보고서 제출 시 사업관리(진척관리, 위험관리, 변경관리(인력/범위), 품질관리) 각 영역에 대한 감리의견(세부항목별 의견 포함)을 반드시 제시하여야 함 - 감리보고서의 작성 기준 및 양식은 「정보시스템 감리기준」 및 「정보시스템 감리 수행 가이드」 준용 󰊷 감리 종료회의 개최 o 감리법인은 현장감리기간 중에 작성한 감리수행결과보고서 초안에 대하여 설명하고, 상호 검토 및 이견사항을 청취하기 위한 감리 종료회의를 개최해야 함 o 종료회의는 감리법인이 주관하며, 차기 감리일정 및 감리사후 조치 활동에 대하여 협의하여야 함 o 감리 종료회의에는 발주자, 감리대상사업자, 감리원 및 기타 관련 당사자들이 참석해야 하고 이를 사전에 통보해야 함 o 감리법인은 감리수행결과보고서 초안에 대하여 제기된 이견사항 및 근거자료, 논리 등을 면밀히 검토하여 감리수행결과보고서 초안의 수정이 필요하다고 판단되는 경우에는 이를 반영해야 함 󰊸 감리보고서(감리수행결과보고서) 통보 o 감리법인은 감리종료회의 결과를 반영한 최종 감리보고서를 감리종료회의 후 10일 이내에 발주자, 감리대상사업자에게 제출하여야 함. 단, 감리계획서에 감리수행결과보고서 제출일시를 별도로 명시한 경우에는 그에 따름

※ 감리결과 보고서는 감리대상 사업과 연관된 사업의 정보를 모두 포함하여야 함 󰊹 감리결과 시정조치 확인 및 통보 o 감리법인은 발주자 또는 감리대상사업자로부터 감리결과 시정조치 확인 요청을 받은 날로부터 5일 이내에 시정조치결과를 확인하여 발주자, 감리대상사업자에 제출함. 단, 감리계획서에 시정조치 확인 및 통보일정을 별도로 정한 경우에는 그에 따름 o 시정조치확인보고서의 서식은 「정보시스템 감리 수행 가이드」를 준용함 감리결과 검수 요청 o 최종 감리 및 감리결과 조치내역 확인 등 계획된 용역이 모두 완료된 경우, 발주자에 검수요청을 하여야 함 o 감리보고서는 책자 형식으로 제본 및 USB메모리(혹은 외장 하드디스크 등 통상적인 기억매체)로 제작하여 제출하여야 함 - 감리보고서 4부, 감리보고서(USB메모리) 1부 - 감리용역 수행 중 생산된 모든 산출물(공문, 회의록, 일지, 시정조치확인보고서 등)을 USB메모리로 제작하여 제출하여야 함 제약사항 o 사업수행 시 취득한 자료 및 사업 결과물은 외부 반출 불가함 상주감리 원칙(상주감리 추가 제안 시) o 상주감리를 추가 제안 시 명확한 업무와 산출물을 제시해야 함 o 상주감리원은 단계감리에 참여할 수 없음 o 상주감리원의 조직 구성 및 투입계획과 교체투입, 투입시기 조정 등은 발주자로부터 사전에 승인을 받아야 함 다. 중점 점검사항

※ 아래 사항을 위주로 「정보시스템 감리 수행 가이드」의 정보화사업 유형별 표준 점검항목 및 대상사업 특성을 반영하여 감리 수행 󰊱 사업관리 o 계약문서 대비 사업관련 산출물의 일치성 점검 및 표준화 준수 점검･개선(안) 제시 - 사업관리를 위한 계획을 구체적이고 실행가능 수준으로 수립하였는지 여부 및 실행결과가 요구사항을 충족시킬 수 있는지 점검(범위관리, 변경관리, 일정/진척관리, 인력/자원관리, 위험관리, 의사소통관리 등) - 제안요청서, 제안서, 사업수행계획서(품질관리, 일정관리, 인력관리 등) 등 사업관련 계약문서와 산출물의 일치성을 점검하고 개선(안)을 제시하여야 함 - 단계별 산출물 적정성 및 이행실태 점검을 통한 과업의 누수를 방지하여야 함(착수, 요구사항, 진도, 위험, 변경, 보안, 하도급, 검사, 종료 등) - 감리법인, 발주자, 감리대상사업자 등에게 감리수감 사전 교육을 실시하여야 함 󰊲 사업 수행관리 o 사업수행계획서, 품질관리, 위험관리, 일정관리, 보안관리, 하도급관리 등 계획 대비 이행실태를 점검하고 개선(안)을 제시 o 일정관리 - 일정계획 대비 과업이행 지연 시 사유를 확인하고, 개선(안)을 제시하여야 하며, 해당 과업이 종료될 때까지 이력관리를 하여야 함 ※ 일정지연 사유가 감리법인 소관이 아닌 경우라도 지연 사유를 관리해야 하며, 근거자료(회의록, 공문 등)를 명확히 점검해야 함 - 정기점검, 백업 및 복구, 취약점 점검, 모의훈련 등 각종 점검 및 훈련 계획서, 결과서 점검 등을 포함하여야 함 o 위험관리 - 사업수행 중 발생하는 각종 쟁점사항에 대한 원인 규명 및 해결방안을 제시하고, 이력을 관리하여야 함

※ 일정지연(장비도입, 시스템 개발 등), 사업자간 이견, 기술지원, 과업변경 등 o 품질관리 - 산출물 품질관리(표준화, 이력(형상)관리, 내용 충실도 점검 등) 및 사업 종료 시 관련 모든 사업자간 인수인계 사항 등을 점검하여야 함 - 산출물은 사업 방법론을 준용하여 점검하며, 필요시 산출물 양식을 추가, 보완하여 제시하여야 함 - 품질관리 표준화를 위한 별도의 방안을 제시할 수 있음 o 변경관리 - 과업변경, 인력변경, 물품변경 등 모든 변경에 대한 타당성을 검토하여 발주자에 의견을 제시하여야 함 - 변경관련 모든 산출물(회의록, 협의록, 공문 등)과 이력관리는 업무 관계자가 공유되고 협의되었는지 점검하여야 함 o 인력관리 - 사업 참여인력의 복무관리 계획 및 관리 대장 등을 점검하며, 특히 타 사업에 중복 투입 여부를 확인하여야 함 - 인력변경 사유 및 교체인력 적정성, 인수인계 내용을 점검하여야 함 o 의사소통관리 - 발주자와 감리법인, 사업자와 사업자간 등 업무 관계자간 의사소통 계획의 적정성 및 이행 여부를 점검하여야 함 - 개선･건의사항 등 애로사항을 청취하고, 발주자에 제시하여야 함 o 보안관리 - 도입 장비(H/W, S/W, N/W 등) 및 시스템 설계에 대한 보안의 적정성을 점검하고 필요시 개선(안)을 제시하여야 함 - 사업자의 인력, PC, 비밀유지 등 관리적, 기술적, 물리적 보안계획의 적정성 점검 및 이행여부를 점검하여야 함 - 발주기관 보안관련 규정, 지침 준수여부를 점검하여야 함 󰊳 응용시스템 분야 o 사용자 요구사항 식별 및 반영의 적정성과 응용시스템 설계의 적정성을 점검해야 함 o 응용시스템 기능 구현의 완성도 및 충분성을 점검해야 함 o 사용자 편리성을 고려한 인터페이스 설계의 적정성을 점검해야 함 o 타 시스템, 외부 시스템과의 연계 방안 적정성을 점검해야 함 o 시험(단위, 통합) 계획수립 및 수행의 적정성을 점검해야 함 o 현행 아키텍처, 업무자료, 시스템 분석의 적정성을 점검해야 함 o 개선과제 도출 및 개선모델 수립의 적정성을 점검해야 함 o 이행계획 수립의 구체성 및 실행 가능성을 점검해야 함 󰊴 데이터베이스 분야 o 데이터베이스 설계 표준 설정 및 준수의 적정성을 점검해야 함 o 데이터 모델링 적정성을 점검해야 함 o 데이터베이스 설계, 구현의 적정성을 점검해야 함 o 데이터베이스 백업 및 복구방안을 점검해야 함 o 응용시스템의 기능과 연계된 데이터의 무결성 유지 활동을 점검해야 함 o 공공데이터베이스 표준 적용 여부를 점검해야 함

※ 「공공기관의 데이터베이스 표준화 지침」 제10조(정보화사업 수행 시 공공데이터베이스 표준 적용) 등 참고 o 이행 데이터의 정합성을 점검해야 함 󰊵 시스템 아키텍처 및 보안 분야 o 시스템 요구사항 분석의 적정성, 안전 및 신뢰성 설계의 적정성을 점검해야 함 o 개발/운영시스템 구조 설계 및 설치의 적정성을 점검해야 함 o 시스템 장애대책 및 복구대책을 점검해야 함 o 시스템 연계 식별, 설계 및 구현의 적절성을 점검해야 함 o 보안 요구사항 충족성을 점검해야 함 󰊶 도입 장비 점검 o 사업 관련 사업자들이 제안한 장비내역을 확인하여 불량 장비가 발주자에 도입되지 않도록 점검해야 함 󰊷 법·규정 준수 여부 o 정보화사업 감리 관련 규정(법률, 지침, 가이드 등)을 준수해야 하며, 감리대상, 범위, 절차 등은 발주자와 협의 후 결정해야 함 - 보안 약점 진단: 「소프트웨어 개발보안 가이드」 등 - 웹 호환성 진단: 「전자정부서비스 호환성 준수지침」 등 - 웹 접근성 진단: 「한국형 웹 콘텐츠 접근성 지침」 등 - AI 관련 진단: AI 기본법 및 관련 가이드라인 등 󰊸 AI 모델 품질 분야 o AI 모델의 품질 시험 실시 및 검증 활동의 적정성 등을 점검해야 함 o AI 활용 서비스의 품질 시험 실시 및 검증 활동의 적정성 등을 점검해야 함 라. 주요 산출물 □ 감리법인은 아래 산출물을 발주자와 감리대상사업자에 제출해야 하며, 산출물 제출 시기는 발주자와 협의하여 조정할 수 있음 o 산출물

o 산출물 제출시기

※ 산출물 제출 시기는 발주기관과 협의하여 조정할 수 있음 2 개인정보 영향평가 가. 평가 절차 □ 영향평가 수행, 이행점검 단계로 평가

나. 평가 영역 및 분야

다. 과업 내용 󰊱 사업관리 분야 o 대상기관과 상호 협의한 장소에서 사업을 수행해야 함 o 영향평가 수행책임자(PL)는 관련 자격증* 및 관련 분야 5년 이상의 수행 경험이 있는 자로 투입해야 함 * NIA 개인정보 영향평가 전문교육 인증서 또는 개인정보관리사 자격증 o 영향평가 참여인력은 「개인정보 영향평가에 관한 고시」 제5조의 각호를 충족하는 자로 2명 이상이어야 함 - 본 사업의 영향평가 현장점검 기간은 기수행 중이거나 제안 중인 타 사업 일정과 중복될 수 없음 - 본 사업에 대한 이해도와 개인정보보호 관련 법, 정책, 전략수립, 기술ㆍ시스템 분석, 정보보안 등 광범위한 전문지식 및 정보를 보유한 인력으로 구성해야 함 - 대상기관 내 유관 부서, 사업자, 외부 전문가 등과 협업해야 함 o 「개인정보 영향평가에 관한 고시」 및 「개인정보 영향평가 수행 안내서」에 따라 수행해야 함 o 본 제안요청서에 명시된 “평가 영역 및 분야”의 필요한 사항이 반영될 수 있도록 설계완료 전에 영향평가를 수행해야 함 - 대상기관이 1년 이내에 이미 평가받은 항목으로 그 변경이 없는 때에는 평가항목에서 제외함 o 대상시스템의 접근권한 관리, 접근통제, 개인정보의 암호화, 접속기록의 보관 및 점검, 악성프로그램 등 방지, 물리적 접근방지, 개인정보의 파기, 기타 기술적 보호조치, 개인정보처리구역보호 등의 적정성을 분석하고 조치방안을 마련해야 함 o AI 서비스와 AI 모델 등 유관 시스템의 고유식별정보의 암호화 적용여부 및 적용범위를 정해야 함

※ 「개인정보의 안전성 확보조치 기준」 제7조(개인정보의 암호화) 제5항에 따라 개인정보 영향평가 결과에 따라 암호화의 적용여부 및 적용범위를 정하여 시행할 수 있음 - 암호화 적용 시 성능저하, 데이터베이스 고유식별정보 재편성 및 프로그램 수정의 최소화 방안을 마련해야 함 - 외부 시스템과의 연계사항 등 암호화 개선방안을 제시해야 함 󰊲 영향평가 수행계획 수립 o 효율적인 평가 수행을 위하여 평가목적, 대상/범위, 주체, 기간, 절차/방법, 기준/항목, 주요 평가사항, 자료 수집 및 분석계획 등을 포함한 영향평가 수행계획을 수립해야 함 󰊳 영향평가 자료 수집 o 개인정보보호 관련 발주자 내부 정책자료(조직ㆍ체계, 인적 통제ㆍ교육 및 정보보안 자료 등)를 수집ㆍ분석해야 함 - (조직ㆍ체계) 개인정보보호 및 정보보안 관련 규정, 개인정보 관리계획, 직제표 등 조직ㆍ체계 자료 - (인적 통제ㆍ교육) 개인정보 관련 업무 분담 및 직급별 권한, 정보시스템 접근권한 관련 규정, 정보시스템 운영자 및 개인정보취급자 교육계획, 위탁업체관리 관련 규정 등 - (정보보안) 침입 차단 시스템(방화벽 등), 백신프로그램 도입 현황 및 기존 유사 정보시스템 구조도 등 o 개인정보보호 관련 대상기관 외부 정책자료를 수집ㆍ분석해야 함 - 공공기관에 공통적으로 해당되는 일반 정책자료 - 평가대상사업에 한해 제한적으로 적용되는 특수 정책자료 o 평가대상사업 관련 자료(사업수행, 외부연계, 개발산출물 등)를 수집ㆍ분석해야 함 - (사업수행) 제안요청서, 제안서, 사업수행계획서, 요구사항정의서, 업무매뉴얼 등 - (외부연계) 외부연계계획서 등 - (개발산출물) 요건정의서, 기능정의서, 시스템설계서, 화면설계서, 테이블정의서, 업무흐름도, 메뉴구조도, Data Flow Diagram 등 󰊴 개인정보 흐름 분석 o 평가대상사업을 면밀하게 분석하고 업무를 정의하여 개인정보 취급이 수반되는 업무를 도출해야 함 o 평가대상사업의 개발산출물 분석 및 담당자 인터뷰 등을 통해 개인정보 처리 업무표를 작성해야 함 - (평가업무명) 평가대상사업에서 개인정보 취급이 수반되는 업무를 주요 업무단위로 기재 - (취급 개인정보) 평가업무명 단위로 취급되는 개인정보를 기재 - (개인정보 영향도) 취급 개인정보의 중요도에 따라 영향도 산정 o 개인정보 처리 업무흐름도를 작성해야 함 - 개인정보 취급 업무별로 해당 업무를 수행하는 부서, 인력 및 개인정보 연계기관을 포함하여 작성해야 함 o 개인정보 처리 단계별로 처리되는 개인정보 현황 및 처리 내역 등을 쉽게 식별할 수 있도록 개인정보 흐름표를 작성해야 함 - 개인정보 취급 업무명을 기반으로 개인정보의 수집–보유–이용/제공–파기에 이르는 Life-Cycle별 현황 등을 기재하여 개인정보 흐름을 한눈에 파악할 수 있도록 작성해야 함

- 개인정보 취급 업무별로 해당 업무를 수행하는 부서, 인력 및 개인정보 연계기관을 포함하여 작성해야 함 o 개인정보 흐름표를 기반으로 평가대상사업의 개인정보 흐름을 총괄적으로 표현한 총괄 개인정보 흐름도와 업무별 개인정보 흐름을 표현한 업무별 개인정보 흐름도를 작성해야 함 - 개인정보 취급 업무별로 해당 업무를 수행하는 부서, 담당자, 정보주체를 포함하여 작성해야 함 - 개인정보를 취급하는 관련 업무, 개인정보의 취급과 관련된 매체(PC, 노트북, 신청서 등의 문서), 수집한 개인정보의 처리와 관련된 IT시스템(DB, 웹서버 등)을 표시하고, 각 요소 간 이동 시 전송되는 개인정보 항목을 작성해야 함 - 개인정보의 수집–보유–이용/제공–파기 등 Life-Cycle을 기반으로 시스템 구성사항을 고려하여 구체적으로 작성해야 함 o 정보시스템 구조도 및 정보보호 시스템 목록을 작성해야 함 - 방화벽, 침입탐지시스템과 같은 보안 메커니즘을 포함하여 전송데이터 암호화, DB 암호화 등 정보보호를 위한 기술적ㆍ물리적ㆍ관리적 보안 메커니즘의 타당성을 검토해야 함 󰊵 개인정보 침해요인 도출 o 평가기준 및 평가항목에 따라 자료분석, 현장실사, 담당자 인터뷰 등을 통해 영향평가를 수행해야 함 o 개인정보 흐름에 따른 개인정보 조치현황 및 계획 등을 파악하고, 개인정보 침해요인을 도출하여, 침해요인 목록을 작성해야 함 - 침해요인은 유사 침해사고 사례, 평가대상시스템 및 업무특성 등을 반영하여 작성하고, 법률 위반사항은 별도 표기해야 함 o 개인정보 침해요인에 대한 위험도를 산정해야 함 - 자산별 침해요인 연계 개념도를 작성해야 함 - 중요도, 취약점, 위협요소 등을 고려하여 위험요소를 분석하고 위험도를 산정해야 함 o 개인정보 침해요인에 대한 위험관리 방안을 수립해야 함 - 위험도의 우선순위에 따라 나열하고 대상기관이 수용 가능한 수준을 정하여 단기 개선방안 및 중ㆍ장기 개선방안을 도출해야 함 󰊶 개선계획 수립 및 개인정보 영향평가서 작성 및 검토회의 개최 o 개인정보 침해요인 및 개선방안을 기반으로 개선과제를 도출해야 함 - 유사사례에 대한 벤치마킹 등을 수행하여 위험요소를 제거하거나 최소화할 수 있는 대처방안을 마련해야 함 - 개인정보취급자가 취약사항을 시정하기 위해 해야 할 조치사항 및 책임사항 등을 마련해야 함 o 위험평가를 참고하여 위험도가 높은 순서대로 개선방안을 먼저 실행하도록 개선계획*을 수립하고 개선계획표를 작성해야 함 * 발주자의 보안 조치현황, 예산, 인력 및 정보화 사업 일정 등을 고려해야 함 o 영향평가 사전준비 단계부터 위험관리 단계까지 모든 절차, 내용, 결과 등을 취합 및 정리하여 영향평가서를 작성해야 함 - 「개인정보 영향평가에 관한 고시」 별지 제12호 서식에 따라, ‘개인정보 영향평가서 개요’를 작성하여 영향평가서에 포함해야 함

- 잔존 위험이나 이해관계자 간 의견충돌이 있는 경우, 대상기관과 협의 및 공식 의사결정과정을 거쳐 ‘개인정보보호 목표 수준’을 설정해야 함 - 영향평가서는 대상기관의 최종 검토 및 승인을 거쳐 제출해야 함 󰊷 개인정보 영향평가 이행점검 o 평가대상사업자가 개인정보 영향평가 결과물에 대한 개선방안을 협의한 일정대로 이행하였는지 이행점검을 해야 함 o 발주자의 요청에 따라 이행점검을 실시하며, 이행점검 계획서 및 이행점검 결과보고서를 제출해야 함 󰊸 개인정보 영향평가 교육 실시 o 사업기간 중 개인정보 관련 교육을 해야 하며, 사업수행계획서에 교육계획서를 포함하여 제출해야 함 ※ 교육에 필요한 교재 및 소요경비는 개인정보 영향평가기관 부담 o 개인정보 영향평가 결과 및 후속 조치사항에 대하여 평가대상 시스템 개인정보 취급자 및 업무담당자 등에게 이전될 수 있도록 이에 필요한 교육 실시방안 제시 o 기타 결과물에 대하여 필요시, 관계자 대상 관련업계 전문가 교육제공 방안 제시 및 향후 사업 이후에도 추가적인 교육 요구, 개인정보보호에 대한 기술 자문 수행방안 제시 󰊹 하자 및 유지보수 방안 제시 o 하자보수기간은 검수일로부터 1년 이내로 하며, 제안 시 하자 및 유지보수 방안을 구체적으로 제시해야 함 o 개인정보 영향평가 결과물을 행정안전부에 제출 후 지적된 사항에 대한 보완을 위하여 개인정보 영향평가기관은 지원체계, 인력을 제시 시스템별 업무특성에 따른 암호화 적용 여부 및 개선범위 등 제시 o 신규 AI 시스템의 고유식별정보의 암호화 적용 범위 결정

※ 「개인정보의 안전성 확보조치 기준 고시」제7조(개인정보의 암호화) 제5항에 따라 ‘고유식별정보를 저장하는 경우’에 해당하는 경우 ‘개인정보 영향평가의 결과에 따라 암호화의 적용여부 및 적용범위를 정할 수 있도록’ 함 o 암호화를 적용할 경우 성능저하, 데이터베이스 고유식별정보 재편성 및 프로그램 수정의 최소화 방안 마련 o 암호화가 적용된 시스템의 경우 적정성 여부 점검 o 외부 시스템과의 연계사항 등 암호화 개선 방안 제시 o 암호화가 적용될 경우 암호화 적용에 대한 간략한 영향평가 보고서 제출 제약사항 o 사업수행 시 취득한 자료 및 사업 결과물은 외부 반출 불가함 라. 주요 산출물 □ 개인정보 영향평가기관은 아래 산출물을 대상기관과 평가대상사업자에 제출해야 하며, 산출물 제출 시기는 대상기관과 협의하여 조정할 수 있음

참가자격

Ⅴ 제안 안내사항 1 사업자 선정 방식 □ 계약방법: 제한경쟁입찰(협상에 의한 계약) o ｢중소기업제품 구매촉진 및 판로지원에 관한 법률｣ 제7조(경쟁제품의 계약방법) 등에 따른 제한경쟁입찰 방법 적용 o ｢국가를 당사자로 하는 계약에 관한 법률 시행령｣ 제43조(협상에 의한 계약체결) 등에 따라 협상에 의한 계약체결 방법 적용 2 입찰 참가자격 가. 공통 □ 「국가를 당사자로 하는 계약에 관한 법률 시행령」제12조(경쟁입찰의 참가자격) 및 동법 시행규칙 제14조(입찰참가자격요건의 증명)에 의한 경쟁입찰 참가자격을 갖춘 업체 □ 입찰등록마감일 현재 「국가를 당사자로 하는 계약에 관한 법률」제27조 및 동법시행령 제76조(부정당업자의 입찰참가자격 제한)에 해당되지 않은 업체이어야 함 □ 「중소기업기본법」 제2조에 따른 중소기업자로서 「중소기업 범위 및 확인에 관한 규정」에 따른 ‘중소기업 확인서’를 소지한 자 □ 공동수급에 관한 사항 ㅇ 공동수급(분담이행방식)이 가능하고, 공동수급체의 구성원은 감리와 개인정보 영향평가를 담당할 2개사로 구성되어야 하며, 이 경우 대표사는 감리업체로 함 ※ 정보시스템 구축사업을 감리한 업체가 동일한 사업에 대한 영향평가 수행은 불가 - 입찰서를 제출한 후에는 공동수급협정서를 제출할 수 없음 - 공동수급체를 중복 결성하여 입찰에 참여할 수 없음 - 공동수급에 참여하는 업체도 동일한 입찰 참가자격을 충족해야 함 □ 본 사업은 하도급을 불허함

나. 감리 □ 「정보시스템 감리기준」 제2조제2호에 의한 감리법인이어야 함 □ 「국가종합전자조달시스템 입찰참가자격등록규정」에 의하여 입찰 마감일 전일까지 국가종합전자조달시스템(나라장터)에 정보시스템 감리법인(업종코드 6146)으로 입찰참가자격을 등록된 감리법인 중 다음 각 사항에 해당하지 않는 법인 o 감리대상사업자와 감리법인이 같거나 「독점규제 및 공정거래에 관한 법률」 제2조에 의한 지주회사, 자회사, 손자회사 및 기업집단 등에 속한 경우 o 감리대상사업자와 감리법인이 임ㆍ직원의 관계에 있는 경우 o 감리대상사업자 및 감리법인의 대표자 또는 투입 감리원이 민법 제777조에 의한 친족관계에 있는 경우 o 해당 정보시스템 계획, 구축 또는 운영에 참여하였던 자가 감리원으로 투입되는 경우 o 감리법인이 감리대상사업자와 사업상 경쟁관계에 있는 경우 o 기타 감리 독립성을 침해할 수 있는 특수 관계에 있는 경우 o 「정보시스템 감리기준」제6조4항에 의한 감리대상사업자 및 전자정부사업관리자와 특수관계가 있는 경우 다. 개인정보 영향평가 □ 「개인정보 보호법」제33조(개인정보 영향평가) 및 「개인정보 보호법 시행령」제36조(평가기관의 지정 및 지정취소)에 따라 개인정보 영향평가기관으로 선정(지정)되어 본 계약체결일까지 해당 자격을 유지하고 있는 사업자 □ 「국가종합전자조달시스템 입찰참가자격등록규정」에 의하여 입찰 마감일 전일까지 국가종합전자조달시스템(나라장터)에 개인정보 영향평가기관(업종코드 6525)으로 등록된 자 □ 특수관계에 관하여는 감리와 동일한 조건을 적용함 3 제안서 평가 방법

배점·평가

가. 제안서 평가기준 □ 기술평가(기술능력평가)와 가격평가를 실시하여 종합평가점수로 평가 □ 평가배점: 기술평가(90점), 가격평가(10점) o 기술평가: 정량평가(10점), 정성평가(80점) o 가격평가: 「협상에 의한 계약체결 기준」(계약예규)에 따라 평가 나. 기술평가 방법 □ 평가는 발주기관에서 평가위원회를 구성·운영하여 실시함 □ 각 부문별 평가항목 및 배점은 “[붙임1] 제안서 평가표”에 의함 □ 각 평가위원의 평가점수 중 최고점수와 최저점수를 제외한 나머지 점수를 산술평균한 점수를 90점 만점으로 환산 □ 평가점수 결과는 소수점 다섯째자리에서 반올림 다. 우선협상대상자 선정방법 □ 기술평가점수가 기술평가 배점한도(90점)의 85%(76.5점) 이상인 자를 대상으로 가격평가점수를 합산하여 고득점 순으로 협상순위 결정 o 합산점수가 동일한 경우 우선협상대상자 선정은 기술평가점수의 순서에 따라 정하고, 기술평가점수가 동일한 경우에는 기술평가의 배점이 큰 항목(동일 배점인 경우는 평가항목 순서에 따름)에서 높은 점수를 얻은 자로 정함 라. 협상절차 □ 협상대상자가 제안한 이행과업내용, 이행방법, 이행일정, 제안가격 등의 제안서 내용을 대상으로 협상하며, 협상대상자와의 협상을 통해 그 내용의 일부를 조정할 수 있음 □ 협상이 성립된 때에는 다른 협상적격자와의 협상은 실시하지 않음 □ 협상대상자와의 협상이 성립되지 않으면 동일한 기준과 절차에 따라 순차적으로 차순위 협상적격자와 협상 실시 □ 협상대상자와 협상이 모두 결렬되면 재공고 입찰에 부칠 수 있음 □ 본 항목에 기술하지 아니한 사항은 「협상에 의한 계약체결기준(기획재정부 계약예규)」에 따름 4 제안서 제출 안내 □ 제출기한 및 방법: “입찰공고문” 참조 □ 제출종류 및 부수 o 정성제안서, 정량제안서 및 제안요약서 각 1식 - 정성제안서와 정량제안서를 반드시 분리하여 제출하고, 각 파일은 하나로 제출하시기 바람 o 입찰관련서류 각 1부 - 제안서 파일과 구분하여 스캔 후 하나의 전자파일로 작성하되, 아래의 순번에 따라 작성ㆍ제출

※ 정성평가 등급별 점수산정: 평가요소별 배점 × 가중치 - 가중치: S(매우우수, 100%), A(우수, 90%), B(보통, 80%), C(미흡, 70%), D(매우미흡, 60%) ※ 가격평가는 「협상에 의한 계약체결기준(기획재정부 계약예규)」에 따름 [별표1]

기술능력평가 평가항목 및 배점한도

[별표2]

경영상태 평가기준

참가자격

입찰 참가 자격 □ 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제12조(경쟁입찰의 참가자격) 및 동법 시행규칙 제14조에 의한 경쟁입찰 참가자격을 갖춘 업체 □ 「국가를 당사자로 하는 계약에 관한 법률」제27조(부정당업자의 입찰 참가자격 제한 등) 및 동법 시행령 제76조에서 정하는 부정당업자의 입찰참가 자격 제한에 해당되지 않는 업체 □ 「전자정부법」제58조에 의한 정보시스템 감리법인(업종코드:6146)으로 등록되어 본 사업 종료일까지 해당 자격을 유지할 수 있는 자로서, 다음 각 호에 해당하지 않는 자 1. 사업자와 감리법인이 같거나 「독점규제 및 공정거래에 관한 법률」제2조 제1호에 의한 지주회사, 자회사, 손자회사의 경우 또는 동법 제2조 제2호에 의한 동일 기업집단에 속한 경우 2. 사업자와 감리시행자가 임·직원의 관계에 있는 경우 3. 사업자 및 감리법인의 대표자 또는 투입 감리원이 민법 제777조에 의한 친족관계에 있는 경우 4. 해당 정보시스템 계획, 구축 또는 운영에 참여하였던 자가 감리원으로 투입되는 경우 5. 감리법인이 해당 사업자와 사업상 경쟁관계에 있는 경우 6. 기타 감리 독립성을 침해할 수 있는 특수 관계에 있는 경우 □ 「개인정보보호법」제33조 및 동법 시행령 제37조, 제38조에 따라 개인정보 영향평가 기관으로 선정(지정)되어(업종코드:6525) 본 사업 종료일까지 해당 자격을 유지할 수 있는 자