입찰공고상세[용역] · 마감
출처 · 이용 조건 — 공고 정보: 공공데이터포털 · 조달청 입찰공고 정보 · 요약 · 분석: 공공일감이 공고문과 첨부를 읽고 정리. 요약 · 분석을 인용할 때는 공공일감과 이 페이지 링크를 함께 밝혀 주세요.
국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축 개인정보 영향평가
한국지능정보사회진흥원 · 정보보안
- 낙찰업체
- 결과 미등록 · 낙찰 결과가 아직 안 올라왔어요
- 낙찰금액
- -
- 종합 점수
- -
- 참가
- 2곳 · 개찰 09/30(수)
요약 AI 요약
화성시 문제해결형 도시데이터플랫폼 구축 사업을 대상으로 개인정보 영향평가를 수행하여 개인정보보호 수준과 법적 준거성을 확보하기 위한 용역이다.
- 개인정보보호 관리체계(조직·계획·처리방침·파일관리) 적정성 분석
- 개인정보 처리단계별 흐름 및 침해요인 분석·위험평가
- 개인정보 영향평가 수행계획 수립
- 개인정보 흐름표·흐름도, 정보시스템 구조도 및 정보보호 시스템 목록 작성
- 개선계획 수립 및 개선조치 기술지원
- 개인정보 영향평가 결과 보고서 작성 및 이행점검
AI에게 이 공고를 물어볼 때 · ChatGPT · Claude에 이 링크를 함께 주면 공고문과 첨부를 정리한 글을 읽고 답합니다. /ai/projects/R26BK01724750 · 베타 기간 무료
사업 내용 · 이 공고에 든 일
중심 · 개인정보 영향평가 수행
용역 › 정보시스템·SW › 정보보안
도시데이터플랫폼 구축 사업을 대상으로 개인정보 흐름 분석·침해요인 도출·위험평가·개선계획 수립 등 정보보호 컨설팅을 제공하는 용역이다.
- 개인정보 영향평가 수행계획 수립
- 평가자료 수집·분석
- 개인정보 흐름 확인(흐름표·흐름도·정보시스템 구조도)
- 개인정보 침해요인 분석·위험도 산정
- 개선계획 수립 및 개선조치 기술지원
- 영향평가 결과보고서 작성
- 행정안전부 제출 전 사후검토 지원
- 개인정보보호 교육 및 자문
- 이행점검 실시 및 결과보고서 제출
- 하자보수(검수일로부터 1년) 및 취약점 개선 자문
평가 · 배점
기술 : 가격 — 기술 90점 · 가격 10점
협상 대상 기준 · 제안서 평가결과 입찰가격이 해당 사업예산(예정가격을 작성한 경우에는 예정가격) 이하인 자로서 기술능력평가 점수가 기술능력 평가분야 배점한도의 85% 이상인 자를 협상적격자로 선정
| 평가 항목 | 배점 |
|---|---|
| 사업 이해도 | 10점 |
| 추진전략 | 5점 |
| 사업수행 방법론 | 10점 |
| 영향평가방법론 | 10점 |
| 산출물 관리 | 10점 |
| 인력구성 | 10점 |
| 일정계획 | 10점 |
| 기밀보안 | 10점 |
| 품질보증 | 10점 |
| 교육훈련 | 5점 |
| 기타사항 | 5점 |
| 안전 및 보건관리, 재난관리 등 | 5점 |
| 합계(항목을 더한 값) | 100점 |
참가 자격 · 제한
- 업종제한
- 소프트웨어사업자(컴퓨터관련서비스사업)(1468) 그리고 개인정보 영향평가기관(6525)
- 지역제한
- 제한 없음
- 공동수급
- 공동이행
- 입찰참가 제한
- 없음
- 실적경쟁 · PQ
- 해당 없음
- 국제입찰
- 국내입찰
- 제출 방법
- 전자입찰
입찰 일정
| 진행 | 일시 | 남은 날 |
|---|---|---|
| 공고 게시 | 09/16(수) | 지남 |
| 입찰서 제출 시작 | 09/28(월) 10:00 | 지남 |
| 입찰참가자격 등록 마감 | 09/29(화) 18:00 | 지남 |
| 입찰서 제출 마감 | 09/30(수) 10:00 | 지남 |
| 개찰 | 09/30(수) 11:00 | 지남 |
가격
- 추정가격
- 79,578,656원
- 배정예산
- 87,536,522원
- 예정가격 방식
- 비예가
공고 정보
- 공고종류
- 등록공고 (일반공고)
- 게시일
- 09/16(수)
- 공고번호
- R26BK01724750-000
- 참조번호
- NIA2026-116
- 공고기관
- 한국지능정보사회진흥원
- 수요기관
- 한국지능정보사회진흥원
- 계약방법
- 제한경쟁
- 낙찰방법
- 협상에의한계약
- 계약유형
- 총액계약
- 예정가격 방식
- 비예가
- 추정가격
- 79,578,656원
- 배정예산
- 87,536,522원
- 공공조달분류
- ICT 서비스 › ICT사업 컨설팅 › 정보시스템감리서비스
- 사전규격번호
- -
- 재공고
- 아니오
- 출처
- 나라장터
첨부파일
- HWP · 1. 제안요청서.hwp · 제안요청서
- PDF · 1. 입찰공고문.pdf · 공고규격서
- HWP · 2. 제안요청서.hwp · 공고규격서
문서 발췌
과업·요구
1. 추진 배경 및 필요성 가. 추진배경 ○ 「개인정보 보호법」제33조와 「개인정보 보호법 시행령」 제35조 및 개인정보 영향평가에 관한 고시(개인정보보호위원회고시 제2025-7호)에 의해 개인정보 영향평가 실시 ○ 「국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축」사업의 개인정보 영향평가를 수행하여 개인정보보호 수준 및 관련 법령에 대해 법적 준거성을 확보 - 잠재 위험식별ㆍ침해요인 분석ㆍ취약점에 대한 개선방안 도출ㆍ불필요한 개인정보 보유 제거ㆍ개인정보 취급 프로세서 개선 등 추진 ○ 개인정보보호 관련 법령의 의무 준수사항 점검과 미비 사항을 보완하여 개인정보 관리체계 및 유출 예방 강화 ○ 개인정보 침해위험요인과 위험요소에 대한 분석 및 개선사항 조치를 통한 개인정보 침해 예방 나. 필요성 ○ 개인정보 영향평가 전문기관에 의한 개인정보 영향도 분석과 취약점 진단ㆍ결과 반영을 통해, 시스템 보안성 강화 및 개인정보 침해사고를 사전 예방하기 위한 대책 필요 2. 과업내용 ○ 사업명 : 국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축 개인정보 영향평가 ○ 소요예산 : 87,536,522원(VAT포함) ○ 계약기간 : 계약체결일 ~ 2027. 1. 12. (약 3개월) ※ 개인정보 영향평가 대상사업의 추진일정에 맞춰 변경될 수 있음 ○ 사업범위 : 국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축 사업의 개발 범위
참가자격
※ 공고번호 R26TA0205524100 참고, 개발 서비스 및 플랫폼, DB 연계 등 사업 구현에 필요한 제반 내용 포함 ※ 본 사업 기간 : ‘26.7.15.~’27.1.11. ○ 선정방식 : 제한경쟁입찰 ○ 참가자격 - 개인정보 보호법 제33조(개인정보영향평가)에 의한 행정안전부장관이 지정한 기관으로서, 국가종합전자조달시스템 입찰참가자격등록규정에 의하여 조달청에 "개인정보 영향평가기관"업종(정보통신, 업종코드 : 6525) 및 소프트웨어(컴퓨터 관련 서비스 사업, 업종코드 1468)로 입찰참가 자격을 등록한 자로 입찰참가를 등록한 업체 ※ 개인정보 영향평가기관으로서 공고일 전일부터 입찰일(낙찰자는 계약체결일까지) 해당 자격을 계속 유지하여야 함 - 「중소기업제품 구매촉진 및 판로지원에 관한 법률」 시행령 제2조의2(중소기업자와의 우선조달계약) 1호 및「소상공인 보호 및 지원에 관한 법률」제2조에 따른 소기업/소상공인으로서「중소기업 범위 및 확인에 관한 규정」에 따라 중소벤처기업부에서 발급된 소기업/소상공인확인서를 소지한 자(입찰마감일 전일까지 발급된 것으로 유효기간 내에 있어야 함) ※ <소기업 소상공인 확인서>는 중소기업공공구매 종합정보망에서 확인하며 확인이 되지 않을 경우 입찰참가 자격이 없음 ※ 제안업체는 상기의 조건을 모두 충족하여야 하며, 이는 공동수급업체 모두에게 적용됨. 단, 상기의 조건은 입찰공고일을 기준으로 하며, 낙찰일(낙찰자는 계약체결일)까지 동 자격을 유지하여야 함
과업·요구
1. 과업내용 ○ ‘국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축’ 사업의 관리적/물리적/기술적 개인정보보호 관리체계 분석 - ‘국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축’ 사업의 개인정보보호조직, 개인정보보호계획, 개인정보 처리방침, 개인정보 파일관리 등에 대한 적정성 - ‘국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축’ 사업의 개인정보관리, 개인정보 처리내용 공개에 대한 적정성 ○ 개인정보 처리단계별 흐름 및 개인정보 침해요인 분석, 위험평가 실시 - 개인정보 수집, 저장, 보유, 이용 및 연계․제공, 파기에 이르기까지 각 단계별 침해요인, 보호조치에 대한 분석 및 위험평가 실시 ○ 기타 개인정보보호 관련 법령, 법규, 지침 등 분석 및 관련 내용을 반영한 컨설팅 제공 ※ 기타 관련 법령: 개인정보 보호법, 정보통신망 이용촉진 및 정보보호 등에 관한 법률, 위치정보의 보호 및 이용 등에 관한 법률 및 관련 최신 고시․지침․가이드라인 전체 ○ 영향평가 결과에 따른 개선계획 수립 및 개선조치 기술지원 - 개인정보 흐름 및 개인정보 침해요인 분석, 위험평가를 실시 후 도출된 개인정보 침해요소에 대해 관련 법규, 지침 등 관련 내용을 반영하여 개선방안 및 개선계획 수립 - 개선조치에 대한 기술지원 및 반영 검토, 개인정보보호교육 지원
2. 영향평가 방법 및 절차 ○ 문서 확인, 인터뷰, 현장방문을 통한 실사 등의 방법을 병행 ○ 개인정보 영향평가 대상 사업에 적용되는 개인정보보호 관련 법령ㆍ지침 및 가이드라인ㆍ내부지침 등 관련 정책 분석 ○ 개인정보의 종류ㆍ성질, 정보주체의 수, 개인정보의 흐름 및 개인정보 침해 요인 분석, 위험평가 실시 ○ 개인정보보호 관련 법령, 지침 등 관련 내용을 반영한 개선방안 및 개선계획 수립 ○ 법적 쟁점사항 발생 시 개인정보보호 관련 전문가 또는 변호사, 법학교수 등에 법률 자문 등 ※ 평가방법 및 절차는「개인정보 영향평가에 관한 고시(개인정보보호위원회 제2025-7호) 및「개인정보 영향평가 수행 안내서」 절차에 따라 실시 ※ 개인정보 영향평가에 관한 고시(개인정보보호위원회고시 제2025-7호)」및「개인정보의 안전성 확보조치 기준 고시(개인정보보호위원회고시 제2025-9호」준수 3. 추진 일정(안) ○ 계약일로부터 ~’27.1.12.까지이며 개인정보 영향평가 대상사업의 추진 일정에 따라 계약기간 내 2개월 이상 과업 수행 ※ 개인정보 영향평가 대상사업의 추진일정에 맞춰 변경될 수 있음
| 추진 내용 | 추진일정 | |||||||
|---|---|---|---|---|---|---|---|---|
| 추진 내용 | M | M+1 | ||||||
| □ 사전분석 | ||||||||
| ․ 역할 정의 | ■ | ■ | ||||||
| ․ 평가계획 수립 | ||||||||
| □ 개인정보 영향평가 | ||||||||
| ․ 평가자료 수집 및 분석 | ■ | ■ | ■ | ■ | ||||
| ․ 개인정보흐름 분석 | ||||||||
| ․ 침해요인 분석 | ■ | ■ | ||||||
| □ 평가결과 정리 | ||||||||
| ․ 개선계획 수립 | ■ | ■ | ■ | ■ | ||||
| ․ 영향평가 보고서 작성 | ■ |
| 요청사항 구분 | 약자 | 설 명 | 요구사항수 |
|---|---|---|---|
| 컨설팅 요구사항 | CSR | Customer Service Request | 8 |
| 보안 요구사항 | SER | Security Requirement | 4 |
| 품질 요구사항 | QUR | Quality Requirement | 2 |
| 제약사항 | COR | Constraint Requirement | 1 |
| 프로젝트 관리 요구사항 | PMR | Project Management Requirement | 2 |
| 프로젝트 지원 요구사항 | PSR | Project Support Requirement | |
| 합 계 | 19 |
| 요구사항 | 고유번호 | 요구사항 명칭 |
|---|---|---|
| 컨설팅 요구사항 | CSR-001 | 개인정보 영향평가 일반사항 |
| CSR-002 | 개인정보 영향평가 수행계획 수립 | |
| CSR-003 | 개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석 | |
| CSR-004 | 개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인 | |
| CSR-005 | 개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출 | |
| CSR-006 | 개인정보 영향평가 수행 요구사항 – 개선 계획 수립 | |
| CSR-007 | 개인정보 영향평가 수행 요구사항 – 영향평가 보고서 작성 | |
| CSR-008 | 영향평가 이행점검 요구사항 | |
| 보안 요구사항 | SER-001 | 공통 보안요구사항 |
| SER-002 | 사업 착수시 보안요구사항 | |
| SER-003 | 사업 수행시 보안요구사항 | |
| SER-004 | 사업 완료시 보안요구사항 | |
| 품질 요구사항 | QUR-001 | 품질관리 및 보증 방안 |
| QUR-002 | 산출물 관리 | |
| 제약사항 | COR-001 | 계약의 일반사항 및 계약 이행 조건 |
| 프로젝트 관리 요구사항 | PMR-001 | 사업수행 관리 및 업무보고 요구사항 |
| PMR-002 | 사업수행 조직구성 | |
| 프로젝트 지원 요구사항 | PSR-001 | 교육계획 수립 |
| PSR-002 | 하자보수 계획 |
| 요구사항 고유번호 | CSR-001 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 일반사항 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 영향평가 일반사항 | ||
| 세부 내용 | ◦‘국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축’ 사업을 대상으로 영향평가를 수행 (이하 ‘대상사업’) ◦관리적⋅기술적 보호조치의 적정성 및 법적 의무사항 준수여부 등을 확인하여야 함 ◦「개인정보 영향평가에 관한 고시」 및 「공공기관 개인정보 영향평가 수행안내서」 등을 준용하여 사업을 수행하여야 함 ◦개인정보보호 관리체계의 적정성 분석과 개선방안 수립을 수행하여야 함 - 기관의 개인정보보호 조직, 개인정보보호 추진계획, 개인정보보호방침, 개인정보 위탁 및 제공 시 안전조치, 개인정보 침해대응, 개인정보 처리구역 보호 등의 분석 및 개선방안 제시 - 대상시스템의 개인정보 취급자, 취급 내용, 보유기간 등의 적정성 및 개선방안 제시 ◦개인정보 처리단계별 보호의 적정성 분석 및 조치방안을 마련하여야 함 - 개인정보 수집, 저장 및 보유, 이용 및 연계ㆍ제공, 파기단계에 이르는 각 단계별 보호조치의 적정성 분석 ◦개인정보보호 점검결과에 따른 개선방안 및 후속조치방안을 마련하여야 함 - 개인정보보호 관련 법규 위반사항에 대한 개선방안 마련 등 - 개인정보영향평가 결과에 따른 시스템 개선방안 도출 * 개선방안 및 후속조치방안은 조치가 가능하도록 상세히 제시(내부정책자료의 경우 초안, 양식 제공 등의 컨설팅 지원)되어야 함 | |||
| 산출정보 |
| 요구사항 고유번호 | CSR-002 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 수행 요구사항 – 개인정보 영향평가 수행계획 수립 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 개인정보 영향평가팀 구성 및 운영계획 수립 | ||
| 세부 내용 | ◦ 개인정보영향평가팀 구성 방안 및 운영계획 수립 - 평가하고자 하는 사업 자체에 대한 이해와 개인정보보호 관련 법제 및 정책ㆍ전략 수립, 기술ㆍ시스템 분석 및 정보보안(Security) 등의 광범위하고 다양한 전문지식과 정보를 보유한 기관 내 유관 부서, 사업을 구축하는 업체(개발용역업체), 외부 전문가 등으로 팀을 구성 - 영향평가팀에 참여하는 부서 및 유관기관 담당자의 역할 및 책임 배분 ※ 역할 및 책임 배분 시 담당자의 업무를 명확히 정의하고 업무의 중복을 가급적 지양할 것 ◦ 효율적인 평가 수행을 위한 영향평가 수행계획 수립 ◦ 개인정보 영향평가 계획 수립 - 평가목적, 평가대상 및 범위, 평가주체(평가팀), 평가기간, 평가절차(방법), 주요 평가사항, 평가기준 및 항목, 자료 수집 및 분석 계획 등을 포함 | |||
| 산출정보 | 개인정보 영향평가팀 운영계획서, 개인정보 영향평가 계획서 |
| 요구사항 고유번호 | CSR-003 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 내부 정책 평가자료의 수집 및 분석 | ||
| 세부 내용 | ◦ 개인정보보호 관련 기관 내부 정책 환경 분석의 적절성 확보 ◦ 개인정보 영향평가를 위한 내부 정책 자료의 수집 및 분석 - (조직·체계 자료) 기관 내 개인정보보호방침, 개인정보 관리계획, 직제표, 개인정보 보호규정, 정보보안 규정 등의 분석 - (인적 통제·교육 자료) 개인정보 관련 조직 내 업무 분장표 및 직급별 업무 권한 현황, 정보시스템의 접근 권한에 대한 내부 규정, 시스템 운영자 및 정보취급자에 대한 교육계획, 위탁 업체 관리 규정 등의 분석 - (정보보안 자료) 방화벽 등 침입차단시스템 및 백신프로그램 도입 현황, 기존 유사 시스템 구조도 등의 분석 ◦ 개인정보보호 관련 기관 외부 정책 환경 분석의 적절성 확보 ◦ 개인정보 영향평가를 위한 외부 정책 자료의 수집 및 분석 - 공공기관에 공통적으로 해당되는 일반 정책 자료의 분석 - 대상사업에 한해 제한적으로 적용되는 특수 정책 자료의 분석 - 개인정보보호 관련 법규 준수 여부 평가(법령, 지침, 가이드라인, 훈령 등) ◦ 대상사업 분석의 적절성 확보 ◦ 대상사업 관련 자료의 수집 및 분석 - (사업수행자료) 사업추진 계획서, 제안요청서, 과제 수행 계획서, 요구사항 정의서, 업무매뉴얼 등의 분석 - (외부연계) 위탁 계획서, 연계 계획서 등의 분석 - (개발산출물) 시스템 설계서, 요건 정의서, 업무 흐름도, 기능 정의서, Data Flow Diagram, 테이블 정의서, 화면 설계서, 메뉴 구조도 등의 분석 | |||
| 산출정보 | 평가자료 분석서 |
| 요구사항 고유번호 | CSR-004 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 평가대상 업무 현황 분석 자료 검토, 평가대상 업무 흐름도 작성, 개인정보 흐름도 작성, 개인정보 흐름표 작성, 정보시스템 구조도 및 정보보호 시스템 목록 작성 | ||
| 세부 내용 | ◦ 대상사업을 면밀히 분석하고 업무를 정의하여, 해당 사업을 통해 처리되는 업무 중 개인정보 취급이 수반되는 업무를 도출 ◦ 개인정보 처리업무 현황 분석 자료 검토 - 대상 정보시스템 개발 관련 산출물 분석 및 담당자 인터뷰 등을 통해 수행 - (영향평가 업무명) 영향평가 대상시스템에서 개인정보가 취급되는 업무를 주요 업무단위로 기재 - (취급 개인정보) 평가 업무명 단위로 취급되는 개인정보 기재 - (개인정보 영향도) 취급개인정보의 중요도에 따라 영향도를 산정 ※ 개인정보 처리업무 현황 분석으로 도출된 업무별로 개인정보 취급 업무 흐름표 작성할 것 ◦ 도출된 개인정보 취급 업무별로 개인정보 취급 업무표의 개인정보 취급 업무별 세부 업무절차를 작성 ◦ 개인정보 처리업무 흐름도 작성 - 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성 ※ 개인정보 업무 흐름도는 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계 기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성할 것 ◦ 개인정보 취급 단계별로 취급되는 개인정보 현황 및 처리 내역 등을 용이하게 식별 할 수 있도록 개인정보 흐름표를 작성 ◦ 개인정보를 취급 업무별로 개인정보의 수집·보유·이용/제공·파기로 구분하여 구체적으로 작성 ◦ 개인정보 흐름표 작성 - 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성 ※ 개인정보 흐름표에는 업무명을 기반으로 개인정보의 수집·보유·이용/제공-파기에 이르는 Life-Cycle 별 현황 등을 기재하여 개인정보의 흐름을 한눈에 이해할 수 있도록 작성할 것 ◦ 개인정보 취급이 수반되는 업무별로 개인정보의 수집·보유·이용/제공·파기되는 개인정보의 흐름을 한 눈에 파악할 수 있도록 개인정보 흐름도를 작성 ◦ 개인정보 흐름도 작성 - 개인정보와 관련한 업무를 기재하고, 업무와 관련하여 개인정보 취급과 관련한 담당자 및 담당부서, 정보주체 등을 포함하여 기재 - 개인정보를 취급하는 관련업무, 취급과 관련하여 사용되는 매체(PC, 노트북, 신청서 등의 문서)와 수집한 개인정보를 처리할 때 관련한 IT시스템(DB, 웹서버 등)을 표시하고 각 요소들 간의 이동 시 전송되는 개인정보 항목을 기재 ※ 개인정보 흐름도는 개인정보를 취급 업무별로 개인정보 흐름표를 기준으로 수집ㆍ보유ㆍ이용/제공ㆍ파기 등의 생명주기를 기반으로 해당 업무처리자 및 시스템의 구성사항을 고려하여 구체적으로 작성할 것 ◦ 정보시스템 구조도 작성 ◦ 정보보호 기술적·물리적·관리적 보안 메커니즘 목록 작성 ※ 방화벽, 침입탐지시스템과 같은 보안 메커니즘을 포함하여 전송 데이터 암호화, DB 암호화 등 개인정보보호를 위한 기술적·물리적·관리적 보안 메커니즘의 타당성을 검토할 것 | |||
| 산출정보 | 개인정보 취급 업무흐름표 및 업무흐름도, 개인정보 처리업무 흐름도, 개인정보 흐름표 및 흐름도, 정보시스템 구조도 및 정보보호 시스템 목록 |
| 요구사항 고유번호 | CSR-005 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 분석·도출 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | ◦ 평가 기준 수립 및 개인정보보호 조치 사항 파악을 위한 평가항목 작성 ◦ 자료 분석, 현장 실사, 담당자 인터뷰 등을 통해 개인정보보호 조치 현황 파악 ◦ 도출된 개인정보 침해 요소에 대한 위험도 산정 ◦ 침해요소에 대한 위험 관리 방안 수립 | ||
| 세부 내용 | ◦ 「개인정보 영향평가에 관한 고시」 및 「개인정보 영향평가 수행 안내서」의 영향평가 항목을 기준으로 영향 평가 영역을 구성 ◦ 영향평가 기준 및 평가항목 수립 - 개인정보 취급 업무 및 개인정보 흐름이 다수 존재하는 경우에는 각 흐름별로 평가항목을 각각 작성 - 평가항목 외에도 관련 근거, 항목 설명, 확인 자료 등을 제시하여 작성 ◦ 개인정보 조치사항 및 계획 등을 파악 ◦ 평가기준 및 평가항목에 따라 자료분석, 현장실사, 담당자 및 취급자 대상 인터뷰를 통한 분석 수행 ◦ 개인정보 흐름분석 시 도출된 업무 흐름표를 활용하여 개인정보 라이프 사이클별로 구분한 후, 위험요소별 개인정보 침해요인 분석 ◦ 위험요소 분석 및 위험도 산정 - 자산별 침해요인 연계 개념도 작성 - 중요도와 취약점, 위협요소 등을 고려하여 위험요소 분석 및 위험도 산정 ◦ 위험도의 우선순위에 따라 나열하여 해당 기관이 수용 가능한 수준을 정하여 단기, 중·장기로 구분하여 개선방안을 도출 | |||
| 산출정보 | 개인정보 평가 기준 및 평가항목 정의서, 개인정보 보호조치 현황 분석서, 개인정보 침해요인 위험도 산정표, 개인정보 침해요인별 개선방안표 |
| 요구사항 고유번호 | CSR-006 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 수행 요구사항 – 개선 계획 수립 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 개선 과제 도출 및 계획 수립 | ||
| 세부 내용 | ◦ 도출된 개인정보 침해요소 및 도출된 개선방안을 기반으로 개선 과제 도출 - 위험 요소를 제거하거나 최소화할 수 있는 대처 방안 마련 - 위험 요소 해결을 위해 유사 사례에 대한 벤치마킹 등을 수행 - 담당자(개인정보취급자)들이 취약 사항을 시정하기 위해 취해야 할 조치사항과 책임 사항 등을 마련 ◦ 법적 쟁점사항 발생시 개인정보보호 관련 전문가 또는 변호사, 법학교수 등에 법률 자문 ◦ 개선계획은 위험평가를 참고하여 위험도가 높은 순서의 개선방안을 먼저 실행하도록 개선계획표 작성 - 당해 기관 내 보안 조치 현황, 예산, 인력, 정보화 사업 일정 등을 고려 | |||
| 산출정보 | 개선과제 정의서, 개선계획표 |
| 요구사항 고유번호 | CSR-007 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 수행 요구사항 – 영향평가 보고서 작성 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 개인정보 영향평가 결과 보고서 작성 및 주요 이슈 사항 검토 | ||
| 세부 내용 | ◦ 개인정보 영향평가 결과서 작성 - 영향평가 전 과정 및 산출물을 정리하여 개선계획서, 영향평가서 등 결과 보고서 작성 ◦ 주요 이슈 사항 검토 - 잔존 위험이나 이해관계자 간의 의견 충돌이 있는 경우에는 최고의사 결정권자(기관장 등)를 토론에 참여시킴으로써 해당 사업의 중단·지속 여부 및 개인정보보호 정도에 대한 합의 도출 ◦ 대상기관이 영향평가서를 개인정보보호위원회에 제출하기 전까지 영향평가서 내용에 대한 사후검토, 관련 점검 등 후속 지원에 응하여야 함 - 기관 자체적으로 영향평가가 충실히 수행되었는지의 여부에 대해 점검 후 미흡 사항이 있는 경우 보완·수정을 요청할 수 있으며 이에 응하여야 함 | |||
| 산출정보 | 개인정보 영향평가 결과 보고서 |
| 요구사항 고유번호 | CSR-008 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 이행점검 요구사항 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 영향평가 이행점검 | ||
| 세부 내용 | ◦ 사업 완료 후 영향평가 기관에서 개인정보 영향평가 결과물에 대한 개선방안을 이행하였는지에 대한 이행점검 실시 ◦ 공단 요청에 따라 이행점검을 실시하며, 이행점검 계획, 방법 및 결과보고서를 제출하여야 함 | |||
| 산출정보 | 이행점검 결과보고서 |
| 요구사항 고유번호 | SER-001 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 공통 보안요구사항 | |||
| 요구사항 분류 | 보안 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 공통 보안 | ||
| 세부 내용 | ◦ 당해 업무수행 과정을 통하여 취득한 정보는 절대 외부에 누설, 유출해서는 안되며, 이를 위반한 경우에는 민·형사상 또는 관계법규에 따라 조치함 ◦ 과업수행 인력의 전산실 출입 등 업무수행 시 발주자가 요구하는 보안관련 규정을 충실히 이행하여야 함 ◦ 「개인정보 보호법」준수 ◦ 기타 정보보호 관련 법규 및 지침 준수 - 행정기관 등 웹사이트 운영 가이드라인(행정안전부) - 공공기관의 개인정보보호를 위한 기본지침(행정안전부) ◦ 참여인원 보안 - 참여인원은 보안서약서를 작성제출하고 임의교체 불가 - 보안의식 강화를 위한 주기적인 보안 교육 및 실태 점검 - 사업관련 자료 보유 불가, 사업수행으로 취득한 정보에 대한 외부유출, 누설금지 등 비밀유지의무 준수, 위반 시 관련 법령에 의한 처벌 - 사업 착수 시 대표명의 보안서약서, 완료 시 대표명의 확약서 ◦ 자료보안 - PC 등 장비의 반출입에 대해 관리대장에 등록 및 관리 - 자료관리대장 작성, 시건장치가 된 보관함에 서류보관 - 비인가자에게 제공대여열람 금지 - 전자우편을 이용할 경우 참여인원의 회사메일 사용, 첨부자료 암호화하여 수발신, 대외비 이상은 전자우편을 이용한 자료 수발신 금지 - 본 사업과 관련이 있는 모든 기록 및 자료에 대하여 발주기관의 사전 승인 없이는 이용(반출, 인용, 공개 등 유･무형의 행위)할 수 없으며, 사업종료 시 완전 폐기 또는 반납하여야 하며, 발주기관에서 요구하는 보안사항을 철저히 준수하여야 한다.(미이행시 위약금 부과) - 사업 수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 ‘누출금지 대상정보’에 대한 보안관리계획을 제안서에 기재하여야 하며, 해당 정보 누출 시 발주기관은 국가계약법 시행령 제76조에 따라 사업자를 부정당업체로 등록 | |||
| 산출정보 |
| 요구사항 고유번호 | SER-003 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 사업 수행시 보안요구사항 | |||
| 요구사항 분류 | 보안 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 사업 수행시 보안 | ||
| 세부 내용 | ◦ 보안인식 강화를 위하여 주기적으로 자체 보안교육을 실시하여야 하며, 주관기관이 요구하는 보안교육에 참석해야 함 ◦ 사업수행 중 주관기관의 보안정책을 위반하였을 경우, 위규자 및 관리자를 행정조치하고, 보안위약금을 주관기관에 납부하여야 함 ◦ 과업수행을 위해 제공받은 내부자료에 대해 용역수행책임자(PM)는 “자료관리대장”을 작성하여, 인수인계시 직접 서명·관리해야 함 | |||
| 산출정보 |
| 요구사항 고유번호 | SER-004 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 사업 완료시 보안요구사항 | |||
| 요구사항 분류 | 보안 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 사업 완료시 보안 | ||
| 세부 내용 | ◦ 사업 수행과정상 취득한 모든 자료와 정보는 사업수행 중은 물론, 사업완료 후에도 이를 유출해서는 안 되며, 사업종료 시 정보보안담당자 입회하에 반환, 소각 및 완전 폐기 등 필요한 조치 이행 ◦ 사업 종료시, 사업수행업체의 노트북, PC 등은 포맷 후 반출 ◦ 제공받은 제반자료, 장비, 서류와 중간ㆍ최종산출물 등을 전량 반납하고, 업체에 복사본 등 별도 보관은 금지한다. | |||
| 산출정보 |
| 요구사항 고유번호 | QUR-001 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 품질관리 및 보증 방안 | |||
| 요구사항 분류 | 품질 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 품질관리 및 보증 방안 | ||
| 세부 내용 | ◦ 사업자는 최근의 자료를 이용하여야 하며, 지침 등에 저촉되지 않도록 함 ◦ 사업자는 각종 과업을 신중히 검토하여야 하며, 그 정당성, 정확도 및 안정성 등에 섬세하고 세밀한 평가를 하여야 함 ◦ 본 사업 수행목적으로 사용한 모든 공식자료 및 통계는 서면으로 그 근거를 제시하여야 함 ◦ 사업자는 본 사업에 관련된 모든 보고서의 조사․분석된 사항과 정리된 자료의 출처, 연도, 참고사항 등과 분석 자료 등 이에 관련된 기타서류를 제출함 | |||
| 산출정보 |
| 요구사항 고유번호 | QUR-002 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 산출물 관리 | |||
| 요구사항 분류 | 품질 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 품질관리(프로젝트 관리 관점) | ||
| 세부 내용 | ◦ 선정된 사업자는 사업추진 과정에서 생산되는 제반 작업 단위별 산출물에 대하여 작업 일정계획 및 품질보증계획과 연계하여 산출물의 종류, 주요 내용, 작성 및 제출 시기, 제출 부수 등을 제시하여야 함 ◦ 산출물 관리방안을 제시하여야 함 | |||
| 산출정보 | 산출물 관리계획서 |
| 요구사항 고유번호 | COR-001 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 계약의 일반사항 및 계약 이행 조건 | |||
| 요구사항 분류 | 제약사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 계약의 일반사항 및 계약 이행 조건 | ||
| 세부 내용 | ◦ 사업자가 계약의무를 다하지 못하였을 경우 지연배상금은 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제74조(지체상금) 및 「정부 입찰·계약 집행기준」 용역계약 일반조건에 따름 ◦ 사업자는 규정에 의한 분쟁이 발생 시, 분쟁 기간 중 용역의 수행을 중지할 수 없음 ◦ 발주기관과 사업자가 상호협의 시에도 문제를 해결하지 못하고 부득이 소송할 필요가 있을 때에는 발주기관의 주소지 관할법원으로 함 ◦ 본 계약에 정하지 아니한 사항이나 본 계약의 각 조항과 다른 사항을 특약할 경우에는 발주기관과 사업자가 따로 서면으로 합의함으로써 그 효력을 발생 ◦ 손해배상 책임 - 계약업체는 사업 대상 시스템 취급 시 관리자로서의 의무를 충실히 시행 - 계약업체의 부주의, 고의 또는 과실로 대상 시스템을 망실, 훼손한 것과 사고에 대하여 손해를 끼쳤을 경우 계약업체는 그에 상응한 보상 또는 교환 등의 손해배상 책임을 짐 - 계약업체는 지연처리로 인하여 피해가 발생하였을 경우에는 이에 대한 손해배상 책임을 짐 - 계약업체는 본 사업기간동안 정보를 수집, 가공에 있어 위법 또는 부당한 방법을 사용해서는 안 되며, 발주자가 제공한 정보 및 자료와 관련하여 저작권법 및 기타관련법 등에 따른 권리 침해를 이유로 국내외의 제3자로부터 소송, 청구, 이의제기, 형사고소 등을 당한 경우에는 계약업체는 자신의 책임과 비용으로 주관기관(한국지능정보사회진흥원)의 권리를 보호하며, 그에 따라 주관기관이 입은 일체의 손해를 배상해야 함 | |||
| 산출정보 |
| 요구사항 고유번호 | PMR-001 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 업무보고 요구사항 | |||
| 요구사항 분류 | 프로젝트 관리 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 업무 보고 및 산출물 관리 | ||
| 세부 내용 | ◦ 계약일로부터 10일 이내 제출 서류 - 착수계 - 사업수행계획서(일정표/사업 목적 및 범위/산출물 목록 및 정의서/사업관리, 품질관리 방법 및 절차서/보안관리 계획/인력투입 계획/교육지원 계획/비상 연락체계/기타 사업 추진 시 고려사항 등 사업관련 내용을 상세하게 기술) - 업체대표 및 참여인력에 대한 재직증명서, 보안서약서, 개인정보보호 서약서 - 개인정보처리위탁 계약서, 비밀유지 계약서, 외주 용역사업 보안특약서 ◦ 협의된 양식에 의거 정기보고서(주간, 월간 등)를 작성/제출하고 업무보고를 실시하여야 한다. ◦ 사업 종료 7일 전까지 결과보고서(요약보고서 포함) 제출 - 대표자 보안 확약서, 교육자료 제출 ◦ 사업 완료 후 이행점검 계획서(점검 후 이행점검 결과보고서) 제출 ◦ 사업진행 중 착수보고회, 완료보고회를 개최하여야 하며 개최방법은 주관기관과 협의한다. ◦ 사업수행 중 발생하는 비정기적인 사안에 대해서 주관기관은 수시보고서 제출을 요구할 수 있다. | |||
| 산출정보 | 사업수행계획서, 결과보고서, 정기보고서 |
| 요구사항 고유번호 | PMR-002 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 사업수행 조직구성 | |||
| 요구사항 분류 | 프로젝트 관리 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 사업수행 조직구성 | ||
| 세부 내용 | ◦ 본 사업을 수행할 추진 조직, 인력 구성 및 프로파일과 단계별 인력 투입계획 및 역할, 투입률 등을 제시하여야 하고, 투입인력의 기술 수준을 상세히 제시하여야 하며, 추후 인력은 본 기관의 동의 없이 사업자 임의로 변경할 수 없음 - 용역 수행 책임자(PM)는 반드시 주관사업자 소속이어야 한다. - 특별한 사유가 없는 한 인력 교체는 불가하며, 불가항력 사유로 인력교체 필요 시 인력교체 안정화 및 품질저하방지대책을 제시해야 함 ◦ 프로젝트 추진 일정에 따른 인력 투입계획을 제시하여야 함 ◦ 참여인력은「개인정보 영향평가에 관한 고시 제5조(영향평가 수행인력 자격)」의 수행인력 자격을 갖추어야 함 ◦ 사업자는 투입인력의 개인정보 영향평가 관련 자격 및 경력, 기술등급 등을 확인할 수 있는 서류(자격증 사본, 경력증명서 또는 소프트웨어산업협회의 SW기술자경력증명서 등)를 제안 시 제출해야 함 | |||
| 산출정보 |
| 요구사항 고유번호 | PSR-001 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 교육계획 수립 | |||
| 요구사항 분류 | 프로젝트 지원 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 교육계획 | ||
| 세부 내용 | ◦ 개인정보 영향평가 결과물에 대한 사항을 전문가를 통해 담당자에게 교육을 실시하여야 함 ◦ 사업수행기간 중 개인정보에 필요한 교육을 실시하며, 사업수행계획서에 교육계획서를 포함하여 제출하여야 함 - 전 직원 및 개인정보취급자 대상 교육 - 교육에 필요한 교재 및 소요경비는 업체가 부담 ◦ 개인정보 영향평가 결과물로 주관기관의 업무 처리시 유의사항을 정리하여 직원교육용 자료를 제공하여야 함 ◦ 사업종료 이후에도 추가적인 교육 요구 및 개인정보보호에 대한 자문 역할을 수행하여야 함 | |||
| 산출정보 | 교육계획서 및 교육자료 |
| 요구사항 고유번호 | PSR-002 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 하자보수 계획 | |||
| 요구사항 분류 | 프로젝트 지원 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 하자보수 계획 | ||
| 세부 내용 | ◦ 무상하자보수기간은 검수일로부터 1년으로 하며, 하자보수 방안을 상세하게 제시하여야 함 - 하자보증 이행으로 발생하는 모든 비용은 제안사가 부담 ◦ 개인정보 영향평가 결과물을 행정안전부에 제출 후 지적된 사항에 대한 보완을 위하여 사업자는 지원체계, 인력을 제시하여야 함 - 행정안전부에 제출한 영향평가서에 대한 보완이 있을 경우 사업자는 추가비용 없이 영향평가서를 보완하여야 함 ◦ 사업 완료 후 도출된 취약점 개선 완료 시까지 자문을 수행하여야 함 - 개인정보 영향평가 개선방안 이행 점검 내용을 필히 포함하여야 함 | |||
| 산출정보 | 하자보수 계획서 |
참가자격
1. 제안조건 가. 입찰참가자격 ○ 「국가를 당사자로 하는 계약에 관한 법률 시행령 제12조 및 동법 시행규칙 제14조」에 의한 경쟁 입찰 참가 자격을 갖춘 자로서, 아래 각 호에 모두 해당되는 자로 함 ○ 입찰등록마감일 현재 부정당업체로 등록되어 있지 않은 자 ※ 입찰자가 [국가를 당사자로 하는 계약에 관한 법률 시행령 제76조]에 해당하는 경우에는 일정 기간 동안의 입찰참가자격 제한조치를 받으며, 자료 유출 및 정보 누출시 관련법에 따라 부정당업체로 제재 받을 수 있음 ○「국가종합전자조달시스템 입찰참가자격등록규정」에 의하여 반드시 입찰서 제출 마감일 전일까지 국가종합전자조달시스템(나라장터)에 개인정보 영향평가기관(업종코드:6525) 및 소프트웨어사업자(컴퓨터 관련 서비스 사업, 업종코드 1468)로 입찰참가 자격을 등록한 자로 입찰참가 자격을 등록한 자 ○「중소기업제품 구매촉진 및 판로지원에 관한 법률 시행령 제2조의 2(중소기업자와의 우선조달계약)제1항1호에 의거 중·소기업 및 소상공인 지원을 위한 특별조치법 제2조에 따른 소기업 및 소상공인으로서, 중소기업청에서 발급한 소기업/소상공인확인서(입찰마감일 전일까지 발급된 것으로 유효기간 내에 있어야 함)를 소지한 자 ※ 상기‘소기업ㆍ소상공인확인서’가 중소기업제품 공공구매 종합정보망(http://www.smpp.go.kr)에서 확인이 안될 경우 입찰 참가자격이 없습니다. ○ 본 사업은 사업금액이 20억원 미만인 사업으로「중소 소프트웨어사업자의 사업 참여 지원에 관한 지침」에 의거 대기업 소프트웨어사업자는 본 입찰에 참여할 수 없으며,「소프트웨어 진흥법」제48조 제4항에 따라 「독점규제 및 공정거래에 관한 법률」제31조에 의해 지정된 상호출자제한기업집단에 속하는 기업은 입찰에 참여할 수 없음 ○ 단독 또는 공동수급(공동이행방식)의 형태로 입찰에 참여할 수 있으며, 공동수급(공동이행방식)의 경우 아래 사항을 충족하여야 함 - 공동수급업체는 모두 상기의 입찰 참가자격을 구비하여야 함 - 공동수급체 구성원은 5개 이하로 구성하며, 구성원별 계약참여 최소지분율은 10% 이상이어야 함
배점·평가
| 평가내용 | 점수 | 평가내용 | 점수 |
|---|---|---|---|
| 최우수 | 100 | 보 통 | 70 |
| 우 수 | 90 | 미 흡 | 60 |
| 양 호 | 80 | 부적합(불가) | 0 |
- 평가내용별 점수 표를 이용하여 항목별로 점수를 부여한 다음 아래 계산식에 따라 배점한도(가중치)기준 평가점수를 산출 배점한도 기준 평가점수 = (100점 만점 기준 평가점수×배점한도)/100 ※ 소수점이하 4째 자리까지 산정(소수점이하 5째 자리에서 반올림함) - 평가점수 산정시 업체별 최종점수를 기준으로 최고ㆍ최저점수를 부여한 평가위원의 점수를 제외하여 산정하는 것을 원칙으로 하며, 100점 만점 기준으로 산출 ○ 기술제안서 평가항목 및 배점한도
| 평가항목 | 세부평가항목 | 세부평가기준 | 평가배점 |
|---|---|---|---|
| 전략 및 방법론 (25점) | 사업 이해도 | ㆍ사업의 특성 및 목표에 대해 주변 환경 분석 ㆍ업무내용의 연관관계 이해를 바탕으로 일관성 있는 방향과 전략을 제시 | 10 |
| 추진전략 | ㆍ사업 수행 시 위험요소를 고려하여 창의적이며 타당한 대안 제시 | 5 | |
| 사업수행 방법론 | ㆍ사업에 적정한 방법론을 제시하였는지 제안 타당성 평가 ㆍ실제 적용 사례와 경험을 바탕으로 효율적인 단계별 활동 내용 구성 ㆍ산출물의 적정성 유지 기술과 경험을 적절히 활용 여부 평가 | 10 | |
| 사업 수행 방안 (20점) | 영향평가방법론 | ㆍ수행방안 및 방법론 제시 ※ 추진체계, 추진전략, 구체적 계획 및 추진방안, 지원방안 ㆍ평가방법, 항목 등 영향평가체계의 적절성 ㆍ제안요청사항에 대한 수행방안의 적절성 | |
| 산출물 관리 | ㆍ제출할 산출물의 종류 및 내역, 제출시기의 적정성 ㆍ개선방안 및 후속조치방안의 구체성 | ||
| 사업 관리 (30점) | 인력구성 | ㆍ사업투입인력의 자질 및 경험, 숙련도, 법적요건 충족 등 ㆍ고급수행인력 투입비율 등 사업 수행에 필요한 적정 수준의 인력구성 여부 ㆍ사업관리자(PM)의 업무수행을 위한 기술자격, 보안 및 영향평가 수행경력 등 전문성 | |
| 일정계획 | ㆍ사업수행에 필요한 활동 기간산정의 적절성 ㆍ활동간 배열의 합리성 및 투입자원의 적절성 | ||
| 기밀보안 | ㆍ기밀 보호를 위한 관리계획의 적절성 및 제안요청서와의 부합성 | ||
| 사업 지원 (25점) | 품질보증 | ㆍ사업의 품질 보증을 위한 조직 및 방법 | |
| 교육훈련 | ㆍ교육훈련 조직, 일정, 방법, 내용의 적정성 및 구체성 | 5 | |
| 기타사항 | ㆍ사업 자문 등 지원체계 운영방안 ㆍ기타 수요기관이 제안 요청한 사항에 대한 적정 제안 여부 | ||
| 안전 및 보건관리, 재난관리 등 | ㆍ안전관리 매뉴얼의 현실성 및 관련자 교육계획의 적정성 ㆍ비상상황 및 재난 발생 시, 대응 방안의 적합성 ㆍ프로그램 전반 안전 관리 계획의 적절성 |
과업·요구
1. 추진 배경 및 필요성 가. 추진배경 ○ 「개인정보 보호법」제33조와 「개인정보 보호법 시행령」 제35조 및 개인정보 영향평가에 관한 고시(개인정보보호위원회고시 제2025-7호)에 의해 개인정보 영향평가 실시 ○ 「국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축」사업의 개인정보 영향평가를 수행하여 개인정보보호 수준 및 관련 법령에 대해 법적 준거성을 확보 - 잠재 위험식별ㆍ침해요인 분석ㆍ취약점에 대한 개선방안 도출ㆍ불필요한 개인정보 보유 제거ㆍ개인정보 취급 프로세서 개선 등 추진 ○ 개인정보보호 관련 법령의 의무 준수사항 점검과 미비 사항을 보완하여 개인정보 관리체계 및 유출 예방 강화 ○ 개인정보 침해위험요인과 위험요소에 대한 분석 및 개선사항 조치를 통한 개인정보 침해 예방 나. 필요성 ○ 개인정보 영향평가 전문기관에 의한 개인정보 영향도 분석과 취약점 진단ㆍ결과 반영을 통해, 시스템 보안성 강화 및 개인정보 침해사고를 사전 예방하기 위한 대책 필요 2. 과업내용 ○ 사업명 : 국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축 개인정보 영향평가 ○ 소요예산 : 87,536,522원(VAT포함) ○ 계약기간 : 계약체결일 ~ 2027. 1. 12. (약 3개월) ※ 개인정보 영향평가 대상사업의 추진일정에 맞춰 변경될 수 있음 ○ 사업범위 : 국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축 사업의 개발 범위
참가자격
※ 공고번호 R26TA0205524100 참고, 개발 서비스 및 플랫폼, DB 연계 등 사업 구현에 필요한 제반 내용 포함 ※ 본 사업 기간 : ‘26.7.15.~’27.1.11. ○ 선정방식 : 제한경쟁입찰 ○ 참가자격 - 개인정보 보호법 제33조(개인정보영향평가)에 의한 행정안전부장관이 지정한 기관으로서, 국가종합전자조달시스템 입찰참가자격등록규정에 의하여 조달청에 "개인정보 영향평가기관"업종(정보통신, 업종코드 : 6525) 및 소프트웨어(컴퓨터 관련 서비스 사업, 업종코드 1468)로 입찰참가 자격을 등록한 자로 입찰참가를 등록한 업체 ※ 개인정보 영향평가기관으로서 공고일 전일부터 입찰일(낙찰자는 계약체결일까지) 해당 자격을 계속 유지하여야 함 - 「중소기업제품 구매촉진 및 판로지원에 관한 법률」 시행령 제2조의2(중소기업자와의 우선조달계약) 1호 및「소상공인 보호 및 지원에 관한 법률」제2조에 따른 소기업/소상공인으로서「중소기업 범위 및 확인에 관한 규정」에 따라 중소벤처기업부에서 발급된 소기업/소상공인확인서를 소지한 자(입찰마감일 전일까지 발급된 것으로 유효기간 내에 있어야 함) ※ <소기업 소상공인 확인서>는 중소기업공공구매 종합정보망에서 확인하며 확인이 되지 않을 경우 입찰참가 자격이 없음 ※ 제안업체는 상기의 조건을 모두 충족하여야 하며, 이는 공동수급업체 모두에게 적용됨. 단, 상기의 조건은 입찰공고일을 기준으로 하며, 낙찰일(낙찰자는 계약체결일)까지 동 자격을 유지하여야 함
과업·요구
1. 과업내용 ○ ‘국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축’ 사업의 관리적/물리적/기술적 개인정보보호 관리체계 분석 - ‘국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축’ 사업의 개인정보보호조직, 개인정보보호계획, 개인정보 처리방침, 개인정보 파일관리 등에 대한 적정성 - ‘국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축’ 사업의 개인정보관리, 개인정보 처리내용 공개에 대한 적정성 ○ 개인정보 처리단계별 흐름 및 개인정보 침해요인 분석, 위험평가 실시 - 개인정보 수집, 저장, 보유, 이용 및 연계․제공, 파기에 이르기까지 각 단계별 침해요인, 보호조치에 대한 분석 및 위험평가 실시 ○ 기타 개인정보보호 관련 법령, 법규, 지침 등 분석 및 관련 내용을 반영한 컨설팅 제공 ※ 기타 관련 법령: 개인정보 보호법, 정보통신망 이용촉진 및 정보보호 등에 관한 법률, 위치정보의 보호 및 이용 등에 관한 법률 및 관련 최신 고시․지침․가이드라인 전체 ○ 영향평가 결과에 따른 개선계획 수립 및 개선조치 기술지원 - 개인정보 흐름 및 개인정보 침해요인 분석, 위험평가를 실시 후 도출된 개인정보 침해요소에 대해 관련 법규, 지침 등 관련 내용을 반영하여 개선방안 및 개선계획 수립 - 개선조치에 대한 기술지원 및 반영 검토, 개인정보보호교육 지원
2. 영향평가 방법 및 절차 ○ 문서 확인, 인터뷰, 현장방문을 통한 실사 등의 방법을 병행 ○ 개인정보 영향평가 대상 사업에 적용되는 개인정보보호 관련 법령ㆍ지침 및 가이드라인ㆍ내부지침 등 관련 정책 분석 ○ 개인정보의 종류ㆍ성질, 정보주체의 수, 개인정보의 흐름 및 개인정보 침해 요인 분석, 위험평가 실시 ○ 개인정보보호 관련 법령, 지침 등 관련 내용을 반영한 개선방안 및 개선계획 수립 ○ 법적 쟁점사항 발생 시 개인정보보호 관련 전문가 또는 변호사, 법학교수 등에 법률 자문 등 ※ 평가방법 및 절차는「개인정보 영향평가에 관한 고시(개인정보보호위원회 제2025-7호) 및「개인정보 영향평가 수행 안내서」 절차에 따라 실시 ※ 개인정보 영향평가에 관한 고시(개인정보보호위원회고시 제2025-7호)」및「개인정보의 안전성 확보조치 기준 고시(개인정보보호위원회고시 제2025-9호」준수 3. 추진 일정(안) ○ 계약일로부터 ~’27.1.12.까지이며 개인정보 영향평가 대상사업의 추진 일정에 따라 계약기간 내 2개월 이상 과업 수행 ※ 개인정보 영향평가 대상사업의 추진일정에 맞춰 변경될 수 있음
| 추진 내용 | 추진일정 | |||||||
|---|---|---|---|---|---|---|---|---|
| 추진 내용 | M | M+1 | ||||||
| □ 사전분석 | ||||||||
| ․ 역할 정의 | ■ | ■ | ||||||
| ․ 평가계획 수립 | ||||||||
| □ 개인정보 영향평가 | ||||||||
| ․ 평가자료 수집 및 분석 | ■ | ■ | ■ | ■ | ||||
| ․ 개인정보흐름 분석 | ||||||||
| ․ 침해요인 분석 | ■ | ■ | ||||||
| □ 평가결과 정리 | ||||||||
| ․ 개선계획 수립 | ■ | ■ | ■ | ■ | ||||
| ․ 영향평가 보고서 작성 | ■ |
| 요청사항 구분 | 약자 | 설 명 | 요구사항수 |
|---|---|---|---|
| 컨설팅 요구사항 | CSR | Customer Service Request | 8 |
| 보안 요구사항 | SER | Security Requirement | 4 |
| 품질 요구사항 | QUR | Quality Requirement | 2 |
| 제약사항 | COR | Constraint Requirement | 1 |
| 프로젝트 관리 요구사항 | PMR | Project Management Requirement | 2 |
| 프로젝트 지원 요구사항 | PSR | Project Support Requirement | |
| 합 계 | 19 |
| 요구사항 | 고유번호 | 요구사항 명칭 |
|---|---|---|
| 컨설팅 요구사항 | CSR-001 | 개인정보 영향평가 일반사항 |
| CSR-002 | 개인정보 영향평가 수행계획 수립 | |
| CSR-003 | 개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석 | |
| CSR-004 | 개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인 | |
| CSR-005 | 개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 도출 | |
| CSR-006 | 개인정보 영향평가 수행 요구사항 – 개선 계획 수립 | |
| CSR-007 | 개인정보 영향평가 수행 요구사항 – 영향평가 보고서 작성 | |
| CSR-008 | 영향평가 이행점검 요구사항 | |
| 보안 요구사항 | SER-001 | 공통 보안요구사항 |
| SER-002 | 사업 착수시 보안요구사항 | |
| SER-003 | 사업 수행시 보안요구사항 | |
| SER-004 | 사업 완료시 보안요구사항 | |
| 품질 요구사항 | QUR-001 | 품질관리 및 보증 방안 |
| QUR-002 | 산출물 관리 | |
| 제약사항 | COR-001 | 계약의 일반사항 및 계약 이행 조건 |
| 프로젝트 관리 요구사항 | PMR-001 | 사업수행 관리 및 업무보고 요구사항 |
| PMR-002 | 사업수행 조직구성 | |
| 프로젝트 지원 요구사항 | PSR-001 | 교육계획 수립 |
| PSR-002 | 하자보수 계획 |
| 요구사항 고유번호 | CSR-001 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 일반사항 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 영향평가 일반사항 | ||
| 세부 내용 | ◦‘국토연구원 민원분석·예측 기술 구현을 위한 화성시 문제해결형 도시데이터플랫폼 구축’ 사업을 대상으로 영향평가를 수행 (이하 ‘대상사업’) ◦관리적⋅기술적 보호조치의 적정성 및 법적 의무사항 준수여부 등을 확인하여야 함 ◦「개인정보 영향평가에 관한 고시」 및 「공공기관 개인정보 영향평가 수행안내서」 등을 준용하여 사업을 수행하여야 함 ◦개인정보보호 관리체계의 적정성 분석과 개선방안 수립을 수행하여야 함 - 기관의 개인정보보호 조직, 개인정보보호 추진계획, 개인정보보호방침, 개인정보 위탁 및 제공 시 안전조치, 개인정보 침해대응, 개인정보 처리구역 보호 등의 분석 및 개선방안 제시 - 대상시스템의 개인정보 취급자, 취급 내용, 보유기간 등의 적정성 및 개선방안 제시 ◦개인정보 처리단계별 보호의 적정성 분석 및 조치방안을 마련하여야 함 - 개인정보 수집, 저장 및 보유, 이용 및 연계ㆍ제공, 파기단계에 이르는 각 단계별 보호조치의 적정성 분석 ◦개인정보보호 점검결과에 따른 개선방안 및 후속조치방안을 마련하여야 함 - 개인정보보호 관련 법규 위반사항에 대한 개선방안 마련 등 - 개인정보영향평가 결과에 따른 시스템 개선방안 도출 * 개선방안 및 후속조치방안은 조치가 가능하도록 상세히 제시(내부정책자료의 경우 초안, 양식 제공 등의 컨설팅 지원)되어야 함 | |||
| 산출정보 |
| 요구사항 고유번호 | CSR-002 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 수행 요구사항 – 개인정보 영향평가 수행계획 수립 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 개인정보 영향평가팀 구성 및 운영계획 수립 | ||
| 세부 내용 | ◦ 개인정보영향평가팀 구성 방안 및 운영계획 수립 - 평가하고자 하는 사업 자체에 대한 이해와 개인정보보호 관련 법제 및 정책ㆍ전략 수립, 기술ㆍ시스템 분석 및 정보보안(Security) 등의 광범위하고 다양한 전문지식과 정보를 보유한 기관 내 유관 부서, 사업을 구축하는 업체(개발용역업체), 외부 전문가 등으로 팀을 구성 - 영향평가팀에 참여하는 부서 및 유관기관 담당자의 역할 및 책임 배분 ※ 역할 및 책임 배분 시 담당자의 업무를 명확히 정의하고 업무의 중복을 가급적 지양할 것 ◦ 효율적인 평가 수행을 위한 영향평가 수행계획 수립 ◦ 개인정보 영향평가 계획 수립 - 평가목적, 평가대상 및 범위, 평가주체(평가팀), 평가기간, 평가절차(방법), 주요 평가사항, 평가기준 및 항목, 자료 수집 및 분석 계획 등을 포함 | |||
| 산출정보 | 개인정보 영향평가팀 운영계획서, 개인정보 영향평가 계획서 |
| 요구사항 고유번호 | CSR-003 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 수행 요구사항 – 평가자료의 수집 및 분석 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 내부 정책 평가자료의 수집 및 분석 | ||
| 세부 내용 | ◦ 개인정보보호 관련 기관 내부 정책 환경 분석의 적절성 확보 ◦ 개인정보 영향평가를 위한 내부 정책 자료의 수집 및 분석 - (조직·체계 자료) 기관 내 개인정보보호방침, 개인정보 관리계획, 직제표, 개인정보 보호규정, 정보보안 규정 등의 분석 - (인적 통제·교육 자료) 개인정보 관련 조직 내 업무 분장표 및 직급별 업무 권한 현황, 정보시스템의 접근 권한에 대한 내부 규정, 시스템 운영자 및 정보취급자에 대한 교육계획, 위탁 업체 관리 규정 등의 분석 - (정보보안 자료) 방화벽 등 침입차단시스템 및 백신프로그램 도입 현황, 기존 유사 시스템 구조도 등의 분석 ◦ 개인정보보호 관련 기관 외부 정책 환경 분석의 적절성 확보 ◦ 개인정보 영향평가를 위한 외부 정책 자료의 수집 및 분석 - 공공기관에 공통적으로 해당되는 일반 정책 자료의 분석 - 대상사업에 한해 제한적으로 적용되는 특수 정책 자료의 분석 - 개인정보보호 관련 법규 준수 여부 평가(법령, 지침, 가이드라인, 훈령 등) ◦ 대상사업 분석의 적절성 확보 ◦ 대상사업 관련 자료의 수집 및 분석 - (사업수행자료) 사업추진 계획서, 제안요청서, 과제 수행 계획서, 요구사항 정의서, 업무매뉴얼 등의 분석 - (외부연계) 위탁 계획서, 연계 계획서 등의 분석 - (개발산출물) 시스템 설계서, 요건 정의서, 업무 흐름도, 기능 정의서, Data Flow Diagram, 테이블 정의서, 화면 설계서, 메뉴 구조도 등의 분석 | |||
| 산출정보 | 평가자료 분석서 |
| 요구사항 고유번호 | CSR-004 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 수행 요구사항 – 개인정보 흐름 확인 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 평가대상 업무 현황 분석 자료 검토, 평가대상 업무 흐름도 작성, 개인정보 흐름도 작성, 개인정보 흐름표 작성, 정보시스템 구조도 및 정보보호 시스템 목록 작성 | ||
| 세부 내용 | ◦ 대상사업을 면밀히 분석하고 업무를 정의하여, 해당 사업을 통해 처리되는 업무 중 개인정보 취급이 수반되는 업무를 도출 ◦ 개인정보 처리업무 현황 분석 자료 검토 - 대상 정보시스템 개발 관련 산출물 분석 및 담당자 인터뷰 등을 통해 수행 - (영향평가 업무명) 영향평가 대상시스템에서 개인정보가 취급되는 업무를 주요 업무단위로 기재 - (취급 개인정보) 평가 업무명 단위로 취급되는 개인정보 기재 - (개인정보 영향도) 취급개인정보의 중요도에 따라 영향도를 산정 ※ 개인정보 처리업무 현황 분석으로 도출된 업무별로 개인정보 취급 업무 흐름표 작성할 것 ◦ 도출된 개인정보 취급 업무별로 개인정보 취급 업무표의 개인정보 취급 업무별 세부 업무절차를 작성 ◦ 개인정보 처리업무 흐름도 작성 - 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성 ※ 개인정보 업무 흐름도는 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계 기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성할 것 ◦ 개인정보 취급 단계별로 취급되는 개인정보 현황 및 처리 내역 등을 용이하게 식별 할 수 있도록 개인정보 흐름표를 작성 ◦ 개인정보를 취급 업무별로 개인정보의 수집·보유·이용/제공·파기로 구분하여 구체적으로 작성 ◦ 개인정보 흐름표 작성 - 해당 업무를 수행하는 인력 및 부서 등을 함께 표시하고, 연계기관(개인정보를 제공하거나 제공받는 기관)이 있는 경우 해당 기관도 포함하여 작성 ※ 개인정보 흐름표에는 업무명을 기반으로 개인정보의 수집·보유·이용/제공-파기에 이르는 Life-Cycle 별 현황 등을 기재하여 개인정보의 흐름을 한눈에 이해할 수 있도록 작성할 것 ◦ 개인정보 취급이 수반되는 업무별로 개인정보의 수집·보유·이용/제공·파기되는 개인정보의 흐름을 한 눈에 파악할 수 있도록 개인정보 흐름도를 작성 ◦ 개인정보 흐름도 작성 - 개인정보와 관련한 업무를 기재하고, 업무와 관련하여 개인정보 취급과 관련한 담당자 및 담당부서, 정보주체 등을 포함하여 기재 - 개인정보를 취급하는 관련업무, 취급과 관련하여 사용되는 매체(PC, 노트북, 신청서 등의 문서)와 수집한 개인정보를 처리할 때 관련한 IT시스템(DB, 웹서버 등)을 표시하고 각 요소들 간의 이동 시 전송되는 개인정보 항목을 기재 ※ 개인정보 흐름도는 개인정보를 취급 업무별로 개인정보 흐름표를 기준으로 수집ㆍ보유ㆍ이용/제공ㆍ파기 등의 생명주기를 기반으로 해당 업무처리자 및 시스템의 구성사항을 고려하여 구체적으로 작성할 것 ◦ 정보시스템 구조도 작성 ◦ 정보보호 기술적·물리적·관리적 보안 메커니즘 목록 작성 ※ 방화벽, 침입탐지시스템과 같은 보안 메커니즘을 포함하여 전송 데이터 암호화, DB 암호화 등 개인정보보호를 위한 기술적·물리적·관리적 보안 메커니즘의 타당성을 검토할 것 | |||
| 산출정보 | 개인정보 취급 업무흐름표 및 업무흐름도, 개인정보 처리업무 흐름도, 개인정보 흐름표 및 흐름도, 정보시스템 구조도 및 정보보호 시스템 목록 |
| 요구사항 고유번호 | CSR-005 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 수행 요구사항 – 개인정보 침해요인 분석·도출 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | ◦ 평가 기준 수립 및 개인정보보호 조치 사항 파악을 위한 평가항목 작성 ◦ 자료 분석, 현장 실사, 담당자 인터뷰 등을 통해 개인정보보호 조치 현황 파악 ◦ 도출된 개인정보 침해 요소에 대한 위험도 산정 ◦ 침해요소에 대한 위험 관리 방안 수립 | ||
| 세부 내용 | ◦ 「개인정보 영향평가에 관한 고시」 및 「개인정보 영향평가 수행 안내서」의 영향평가 항목을 기준으로 영향 평가 영역을 구성 ◦ 영향평가 기준 및 평가항목 수립 - 개인정보 취급 업무 및 개인정보 흐름이 다수 존재하는 경우에는 각 흐름별로 평가항목을 각각 작성 - 평가항목 외에도 관련 근거, 항목 설명, 확인 자료 등을 제시하여 작성 ◦ 개인정보 조치사항 및 계획 등을 파악 ◦ 평가기준 및 평가항목에 따라 자료분석, 현장실사, 담당자 및 취급자 대상 인터뷰를 통한 분석 수행 ◦ 개인정보 흐름분석 시 도출된 업무 흐름표를 활용하여 개인정보 라이프 사이클별로 구분한 후, 위험요소별 개인정보 침해요인 분석 ◦ 위험요소 분석 및 위험도 산정 - 자산별 침해요인 연계 개념도 작성 - 중요도와 취약점, 위협요소 등을 고려하여 위험요소 분석 및 위험도 산정 ◦ 위험도의 우선순위에 따라 나열하여 해당 기관이 수용 가능한 수준을 정하여 단기, 중·장기로 구분하여 개선방안을 도출 | |||
| 산출정보 | 개인정보 평가 기준 및 평가항목 정의서, 개인정보 보호조치 현황 분석서, 개인정보 침해요인 위험도 산정표, 개인정보 침해요인별 개선방안표 |
| 요구사항 고유번호 | CSR-006 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 수행 요구사항 – 개선 계획 수립 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 개선 과제 도출 및 계획 수립 | ||
| 세부 내용 | ◦ 도출된 개인정보 침해요소 및 도출된 개선방안을 기반으로 개선 과제 도출 - 위험 요소를 제거하거나 최소화할 수 있는 대처 방안 마련 - 위험 요소 해결을 위해 유사 사례에 대한 벤치마킹 등을 수행 - 담당자(개인정보취급자)들이 취약 사항을 시정하기 위해 취해야 할 조치사항과 책임 사항 등을 마련 ◦ 법적 쟁점사항 발생시 개인정보보호 관련 전문가 또는 변호사, 법학교수 등에 법률 자문 ◦ 개선계획은 위험평가를 참고하여 위험도가 높은 순서의 개선방안을 먼저 실행하도록 개선계획표 작성 - 당해 기관 내 보안 조치 현황, 예산, 인력, 정보화 사업 일정 등을 고려 | |||
| 산출정보 | 개선과제 정의서, 개선계획표 |
| 요구사항 고유번호 | CSR-007 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 수행 요구사항 – 영향평가 보고서 작성 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 개인정보 영향평가 결과 보고서 작성 및 주요 이슈 사항 검토 | ||
| 세부 내용 | ◦ 개인정보 영향평가 결과서 작성 - 영향평가 전 과정 및 산출물을 정리하여 개선계획서, 영향평가서 등 결과 보고서 작성 ◦ 주요 이슈 사항 검토 - 잔존 위험이나 이해관계자 간의 의견 충돌이 있는 경우에는 최고의사 결정권자(기관장 등)를 토론에 참여시킴으로써 해당 사업의 중단·지속 여부 및 개인정보보호 정도에 대한 합의 도출 ◦ 대상기관이 영향평가서를 개인정보보호위원회에 제출하기 전까지 영향평가서 내용에 대한 사후검토, 관련 점검 등 후속 지원에 응하여야 함 - 기관 자체적으로 영향평가가 충실히 수행되었는지의 여부에 대해 점검 후 미흡 사항이 있는 경우 보완·수정을 요청할 수 있으며 이에 응하여야 함 | |||
| 산출정보 | 개인정보 영향평가 결과 보고서 |
| 요구사항 고유번호 | CSR-008 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 개인정보 영향평가 이행점검 요구사항 | |||
| 요구사항 분류 | 컨설팅 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 영향평가 이행점검 | ||
| 세부 내용 | ◦ 사업 완료 후 영향평가 기관에서 개인정보 영향평가 결과물에 대한 개선방안을 이행하였는지에 대한 이행점검 실시 ◦ 공단 요청에 따라 이행점검을 실시하며, 이행점검 계획, 방법 및 결과보고서를 제출하여야 함 | |||
| 산출정보 | 이행점검 결과보고서 |
| 요구사항 고유번호 | SER-001 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 공통 보안요구사항 | |||
| 요구사항 분류 | 보안 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 공통 보안 | ||
| 세부 내용 | ◦ 당해 업무수행 과정을 통하여 취득한 정보는 절대 외부에 누설, 유출해서는 안되며, 이를 위반한 경우에는 민·형사상 또는 관계법규에 따라 조치함 ◦ 과업수행 인력의 전산실 출입 등 업무수행 시 발주자가 요구하는 보안관련 규정을 충실히 이행하여야 함 ◦ 「개인정보 보호법」준수 ◦ 기타 정보보호 관련 법규 및 지침 준수 - 행정기관 등 웹사이트 운영 가이드라인(행정안전부) - 공공기관의 개인정보보호를 위한 기본지침(행정안전부) ◦ 참여인원 보안 - 참여인원은 보안서약서를 작성제출하고 임의교체 불가 - 보안의식 강화를 위한 주기적인 보안 교육 및 실태 점검 - 사업관련 자료 보유 불가, 사업수행으로 취득한 정보에 대한 외부유출, 누설금지 등 비밀유지의무 준수, 위반 시 관련 법령에 의한 처벌 - 사업 착수 시 대표명의 보안서약서, 완료 시 대표명의 확약서 ◦ 자료보안 - PC 등 장비의 반출입에 대해 관리대장에 등록 및 관리 - 자료관리대장 작성, 시건장치가 된 보관함에 서류보관 - 비인가자에게 제공대여열람 금지 - 전자우편을 이용할 경우 참여인원의 회사메일 사용, 첨부자료 암호화하여 수발신, 대외비 이상은 전자우편을 이용한 자료 수발신 금지 - 본 사업과 관련이 있는 모든 기록 및 자료에 대하여 발주기관의 사전 승인 없이는 이용(반출, 인용, 공개 등 유･무형의 행위)할 수 없으며, 사업종료 시 완전 폐기 또는 반납하여야 하며, 발주기관에서 요구하는 보안사항을 철저히 준수하여야 한다.(미이행시 위약금 부과) - 사업 수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 ‘누출금지 대상정보’에 대한 보안관리계획을 제안서에 기재하여야 하며, 해당 정보 누출 시 발주기관은 국가계약법 시행령 제76조에 따라 사업자를 부정당업체로 등록 | |||
| 산출정보 |
| 요구사항 고유번호 | SER-003 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 사업 수행시 보안요구사항 | |||
| 요구사항 분류 | 보안 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 사업 수행시 보안 | ||
| 세부 내용 | ◦ 보안인식 강화를 위하여 주기적으로 자체 보안교육을 실시하여야 하며, 주관기관이 요구하는 보안교육에 참석해야 함 ◦ 사업수행 중 주관기관의 보안정책을 위반하였을 경우, 위규자 및 관리자를 행정조치하고, 보안위약금을 주관기관에 납부하여야 함 ◦ 과업수행을 위해 제공받은 내부자료에 대해 용역수행책임자(PM)는 “자료관리대장”을 작성하여, 인수인계시 직접 서명·관리해야 함 | |||
| 산출정보 |
| 요구사항 고유번호 | SER-004 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 사업 완료시 보안요구사항 | |||
| 요구사항 분류 | 보안 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 사업 완료시 보안 | ||
| 세부 내용 | ◦ 사업 수행과정상 취득한 모든 자료와 정보는 사업수행 중은 물론, 사업완료 후에도 이를 유출해서는 안 되며, 사업종료 시 정보보안담당자 입회하에 반환, 소각 및 완전 폐기 등 필요한 조치 이행 ◦ 사업 종료시, 사업수행업체의 노트북, PC 등은 포맷 후 반출 ◦ 제공받은 제반자료, 장비, 서류와 중간ㆍ최종산출물 등을 전량 반납하고, 업체에 복사본 등 별도 보관은 금지한다. | |||
| 산출정보 |
| 요구사항 고유번호 | QUR-001 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 품질관리 및 보증 방안 | |||
| 요구사항 분류 | 품질 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 품질관리 및 보증 방안 | ||
| 세부 내용 | ◦ 사업자는 최근의 자료를 이용하여야 하며, 지침 등에 저촉되지 않도록 함 ◦ 사업자는 각종 과업을 신중히 검토하여야 하며, 그 정당성, 정확도 및 안정성 등에 섬세하고 세밀한 평가를 하여야 함 ◦ 본 사업 수행목적으로 사용한 모든 공식자료 및 통계는 서면으로 그 근거를 제시하여야 함 ◦ 사업자는 본 사업에 관련된 모든 보고서의 조사․분석된 사항과 정리된 자료의 출처, 연도, 참고사항 등과 분석 자료 등 이에 관련된 기타서류를 제출함 | |||
| 산출정보 |
| 요구사항 고유번호 | QUR-002 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 산출물 관리 | |||
| 요구사항 분류 | 품질 요구사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 품질관리(프로젝트 관리 관점) | ||
| 세부 내용 | ◦ 선정된 사업자는 사업추진 과정에서 생산되는 제반 작업 단위별 산출물에 대하여 작업 일정계획 및 품질보증계획과 연계하여 산출물의 종류, 주요 내용, 작성 및 제출 시기, 제출 부수 등을 제시하여야 함 ◦ 산출물 관리방안을 제시하여야 함 | |||
| 산출정보 | 산출물 관리계획서 |
| 요구사항 고유번호 | COR-001 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 계약의 일반사항 및 계약 이행 조건 | |||
| 요구사항 분류 | 제약사항 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 계약의 일반사항 및 계약 이행 조건 | ||
| 세부 내용 | ◦ 사업자가 계약의무를 다하지 못하였을 경우 지연배상금은 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제74조(지체상금) 및 「정부 입찰·계약 집행기준」 용역계약 일반조건에 따름 ◦ 사업자는 규정에 의한 분쟁이 발생 시, 분쟁 기간 중 용역의 수행을 중지할 수 없음 ◦ 발주기관과 사업자가 상호협의 시에도 문제를 해결하지 못하고 부득이 소송할 필요가 있을 때에는 발주기관의 주소지 관할법원으로 함 ◦ 본 계약에 정하지 아니한 사항이나 본 계약의 각 조항과 다른 사항을 특약할 경우에는 발주기관과 사업자가 따로 서면으로 합의함으로써 그 효력을 발생 ◦ 손해배상 책임 - 계약업체는 사업 대상 시스템 취급 시 관리자로서의 의무를 충실히 시행 - 계약업체의 부주의, 고의 또는 과실로 대상 시스템을 망실, 훼손한 것과 사고에 대하여 손해를 끼쳤을 경우 계약업체는 그에 상응한 보상 또는 교환 등의 손해배상 책임을 짐 - 계약업체는 지연처리로 인하여 피해가 발생하였을 경우에는 이에 대한 손해배상 책임을 짐 - 계약업체는 본 사업기간동안 정보를 수집, 가공에 있어 위법 또는 부당한 방법을 사용해서는 안 되며, 발주자가 제공한 정보 및 자료와 관련하여 저작권법 및 기타관련법 등에 따른 권리 침해를 이유로 국내외의 제3자로부터 소송, 청구, 이의제기, 형사고소 등을 당한 경우에는 계약업체는 자신의 책임과 비용으로 주관기관(한국지능정보사회진흥원)의 권리를 보호하며, 그에 따라 주관기관이 입은 일체의 손해를 배상해야 함 | |||
| 산출정보 |
| 요구사항 고유번호 | PMR-001 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 업무보고 요구사항 | |||
| 요구사항 분류 | 프로젝트 관리 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 업무 보고 및 산출물 관리 | ||
| 세부 내용 | ◦ 계약일로부터 10일 이내 제출 서류 - 착수계 - 사업수행계획서(일정표/사업 목적 및 범위/산출물 목록 및 정의서/사업관리, 품질관리 방법 및 절차서/보안관리 계획/인력투입 계획/교육지원 계획/비상 연락체계/기타 사업 추진 시 고려사항 등 사업관련 내용을 상세하게 기술) - 업체대표 및 참여인력에 대한 재직증명서, 보안서약서, 개인정보보호 서약서 - 개인정보처리위탁 계약서, 비밀유지 계약서, 외주 용역사업 보안특약서 ◦ 협의된 양식에 의거 정기보고서(주간, 월간 등)를 작성/제출하고 업무보고를 실시하여야 한다. ◦ 사업 종료 7일 전까지 결과보고서(요약보고서 포함) 제출 - 대표자 보안 확약서, 교육자료 제출 ◦ 사업 완료 후 이행점검 계획서(점검 후 이행점검 결과보고서) 제출 ◦ 사업진행 중 착수보고회, 완료보고회를 개최하여야 하며 개최방법은 주관기관과 협의한다. ◦ 사업수행 중 발생하는 비정기적인 사안에 대해서 주관기관은 수시보고서 제출을 요구할 수 있다. | |||
| 산출정보 | 사업수행계획서, 결과보고서, 정기보고서 |
| 요구사항 고유번호 | PMR-002 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 사업수행 조직구성 | |||
| 요구사항 분류 | 프로젝트 관리 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 사업수행 조직구성 | ||
| 세부 내용 | ◦ 본 사업을 수행할 추진 조직, 인력 구성 및 프로파일과 단계별 인력 투입계획 및 역할, 투입률 등을 제시하여야 하고, 투입인력의 기술 수준을 상세히 제시하여야 하며, 추후 인력은 본 기관의 동의 없이 사업자 임의로 변경할 수 없음 - 용역 수행 책임자(PM)는 반드시 주관사업자 소속이어야 한다. - 특별한 사유가 없는 한 인력 교체는 불가하며, 불가항력 사유로 인력교체 필요 시 인력교체 안정화 및 품질저하방지대책을 제시해야 함 ◦ 프로젝트 추진 일정에 따른 인력 투입계획을 제시하여야 함 ◦ 참여인력은「개인정보 영향평가에 관한 고시 제5조(영향평가 수행인력 자격)」의 수행인력 자격을 갖추어야 함 ◦ 사업자는 투입인력의 개인정보 영향평가 관련 자격 및 경력, 기술등급 등을 확인할 수 있는 서류(자격증 사본, 경력증명서 또는 소프트웨어산업협회의 SW기술자경력증명서 등)를 제안 시 제출해야 함 | |||
| 산출정보 |
| 요구사항 고유번호 | PSR-001 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 교육계획 수립 | |||
| 요구사항 분류 | 프로젝트 지원 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 교육계획 | ||
| 세부 내용 | ◦ 개인정보 영향평가 결과물에 대한 사항을 전문가를 통해 담당자에게 교육을 실시하여야 함 ◦ 사업수행기간 중 개인정보에 필요한 교육을 실시하며, 사업수행계획서에 교육계획서를 포함하여 제출하여야 함 - 전 직원 및 개인정보취급자 대상 교육 - 교육에 필요한 교재 및 소요경비는 업체가 부담 ◦ 개인정보 영향평가 결과물로 주관기관의 업무 처리시 유의사항을 정리하여 직원교육용 자료를 제공하여야 함 ◦ 사업종료 이후에도 추가적인 교육 요구 및 개인정보보호에 대한 자문 역할을 수행하여야 함 | |||
| 산출정보 | 교육계획서 및 교육자료 |
| 요구사항 고유번호 | PSR-002 | |||
|---|---|---|---|---|
| 요구사항 명칭 | 하자보수 계획 | |||
| 요구사항 분류 | 프로젝트 지원 | 응낙수준 | 필수 | |
| 요구사항 세부내용 | 정의 | 하자보수 계획 | ||
| 세부 내용 | ◦ 무상하자보수기간은 검수일로부터 1년으로 하며, 하자보수 방안을 상세하게 제시하여야 함 - 하자보증 이행으로 발생하는 모든 비용은 제안사가 부담 ◦ 개인정보 영향평가 결과물을 행정안전부에 제출 후 지적된 사항에 대한 보완을 위하여 사업자는 지원체계, 인력을 제시하여야 함 - 행정안전부에 제출한 영향평가서에 대한 보완이 있을 경우 사업자는 추가비용 없이 영향평가서를 보완하여야 함 ◦ 사업 완료 후 도출된 취약점 개선 완료 시까지 자문을 수행하여야 함 - 개인정보 영향평가 개선방안 이행 점검 내용을 필히 포함하여야 함 | |||
| 산출정보 | 하자보수 계획서 |
참가자격
1. 제안조건 가. 입찰참가자격 ○ 「국가를 당사자로 하는 계약에 관한 법률 시행령 제12조 및 동법 시행규칙 제14조」에 의한 경쟁 입찰 참가 자격을 갖춘 자로서, 아래 각 호에 모두 해당되는 자로 함 ○ 입찰등록마감일 현재 부정당업체로 등록되어 있지 않은 자 ※ 입찰자가 [국가를 당사자로 하는 계약에 관한 법률 시행령 제76조]에 해당하는 경우에는 일정 기간 동안의 입찰참가자격 제한조치를 받으며, 자료 유출 및 정보 누출시 관련법에 따라 부정당업체로 제재 받을 수 있음 ○「국가종합전자조달시스템 입찰참가자격등록규정」에 의하여 반드시 입찰서 제출 마감일 전일까지 국가종합전자조달시스템(나라장터)에 개인정보 영향평가기관(업종코드:6525) 및 소프트웨어사업자(컴퓨터 관련 서비스 사업, 업종코드 1468)로 입찰참가 자격을 등록한 자로 입찰참가 자격을 등록한 자 ○「중소기업제품 구매촉진 및 판로지원에 관한 법률 시행령 제2조의 2(중소기업자와의 우선조달계약)제1항1호에 의거 중·소기업 및 소상공인 지원을 위한 특별조치법 제2조에 따른 소기업 및 소상공인으로서, 중소기업청에서 발급한 소기업/소상공인확인서(입찰마감일 전일까지 발급된 것으로 유효기간 내에 있어야 함)를 소지한 자 ※ 상기‘소기업ㆍ소상공인확인서’가 중소기업제품 공공구매 종합정보망(http://www.smpp.go.kr)에서 확인이 안될 경우 입찰 참가자격이 없습니다. ○ 본 사업은 사업금액이 20억원 미만인 사업으로「중소 소프트웨어사업자의 사업 참여 지원에 관한 지침」에 의거 대기업 소프트웨어사업자는 본 입찰에 참여할 수 없으며,「소프트웨어 진흥법」제48조 제4항에 따라 「독점규제 및 공정거래에 관한 법률」제31조에 의해 지정된 상호출자제한기업집단에 속하는 기업은 입찰에 참여할 수 없음 ○ 단독 또는 공동수급(공동이행방식)의 형태로 입찰에 참여할 수 있으며, 공동수급(공동이행방식)의 경우 아래 사항을 충족하여야 함 - 공동수급업체는 모두 상기의 입찰 참가자격을 구비하여야 함 - 공동수급체 구성원은 5개 이하로 구성하며, 구성원별 계약참여 최소지분율은 10% 이상이어야 함
배점·평가
| 평가내용 | 점수 | 평가내용 | 점수 |
|---|---|---|---|
| 최우수 | 100 | 보 통 | 70 |
| 우 수 | 90 | 미 흡 | 60 |
| 양 호 | 80 | 부적합(불가) | 0 |
- 평가내용별 점수 표를 이용하여 항목별로 점수를 부여한 다음 아래 계산식에 따라 배점한도(가중치)기준 평가점수를 산출 배점한도 기준 평가점수 = (100점 만점 기준 평가점수×배점한도)/100 ※ 소수점이하 4째 자리까지 산정(소수점이하 5째 자리에서 반올림함) - 평가점수 산정시 업체별 최종점수를 기준으로 최고ㆍ최저점수를 부여한 평가위원의 점수를 제외하여 산정하는 것을 원칙으로 하며, 100점 만점 기준으로 산출 ○ 기술제안서 평가항목 및 배점한도
| 평가항목 | 세부평가항목 | 세부평가기준 | 평가배점 |
|---|---|---|---|
| 전략 및 방법론 (25점) | 사업 이해도 | ㆍ사업의 특성 및 목표에 대해 주변 환경 분석 ㆍ업무내용의 연관관계 이해를 바탕으로 일관성 있는 방향과 전략을 제시 | 10 |
| 추진전략 | ㆍ사업 수행 시 위험요소를 고려하여 창의적이며 타당한 대안 제시 | 5 | |
| 사업수행 방법론 | ㆍ사업에 적정한 방법론을 제시하였는지 제안 타당성 평가 ㆍ실제 적용 사례와 경험을 바탕으로 효율적인 단계별 활동 내용 구성 ㆍ산출물의 적정성 유지 기술과 경험을 적절히 활용 여부 평가 | 10 | |
| 사업 수행 방안 (20점) | 영향평가방법론 | ㆍ수행방안 및 방법론 제시 ※ 추진체계, 추진전략, 구체적 계획 및 추진방안, 지원방안 ㆍ평가방법, 항목 등 영향평가체계의 적절성 ㆍ제안요청사항에 대한 수행방안의 적절성 | |
| 산출물 관리 | ㆍ제출할 산출물의 종류 및 내역, 제출시기의 적정성 ㆍ개선방안 및 후속조치방안의 구체성 | ||
| 사업 관리 (30점) | 인력구성 | ㆍ사업투입인력의 자질 및 경험, 숙련도, 법적요건 충족 등 ㆍ고급수행인력 투입비율 등 사업 수행에 필요한 적정 수준의 인력구성 여부 ㆍ사업관리자(PM)의 업무수행을 위한 기술자격, 보안 및 영향평가 수행경력 등 전문성 | |
| 일정계획 | ㆍ사업수행에 필요한 활동 기간산정의 적절성 ㆍ활동간 배열의 합리성 및 투입자원의 적절성 | ||
| 기밀보안 | ㆍ기밀 보호를 위한 관리계획의 적절성 및 제안요청서와의 부합성 | ||
| 사업 지원 (25점) | 품질보증 | ㆍ사업의 품질 보증을 위한 조직 및 방법 | |
| 교육훈련 | ㆍ교육훈련 조직, 일정, 방법, 내용의 적정성 및 구체성 | 5 | |
| 기타사항 | ㆍ사업 자문 등 지원체계 운영방안 ㆍ기타 수요기관이 제안 요청한 사항에 대한 적정 제안 여부 | ||
| 안전 및 보건관리, 재난관리 등 | ㆍ안전관리 매뉴얼의 현실성 및 관련자 교육계획의 적정성 ㆍ비상상황 및 재난 발생 시, 대응 방안의 적합성 ㆍ프로그램 전반 안전 관리 계획의 적절성 |