입찰공고상세[용역] · 마감
출처 · 이용 조건 — 공고 정보: 공공데이터포털 · 조달청 입찰공고 정보 · 요약 · 분석: 공공일감이 공고문과 첨부를 읽고 정리. 요약 · 분석을 인용할 때는 공공일감과 이 페이지 링크를 함께 밝혀 주세요.
[재공고] 의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역
재공고 · 유찰 · 주식회사 크레스콤 · 정보보안
- 결과
- 유찰
- 참가
- 0곳 · 개찰 10/06(화)
요약 AI 요약
인공지능 기반 의료영상 분석 소프트웨어 MediAI-AS의 국내 의료기기 사이버보안 규제 대응을 위해 컨설팅과 사이버보안 시험을 수행하는 용역이다. 식약처 허가·심사 제출용 사이버보안 문서 확보와 제품 보안 수준 검증, 디지털의료기기 품질관리기준에 맞는 사내 절차 수립을 목적으로 한다.
- 위협모델링 및 사이버보안 위험관리(DFD·STRIDE 기반, DICOM·PACS 연동 및 AI 모델 위협 포함)
- SBOM 구축 및 취약점 관리(SPDX 2.3 이상 또는 CycloneDX 1.5 이상, CISA KEV·CVSS·EPSS 기반 대조분석)
- 사이버보안 시험(SAST·SCA·DAST, 웹·API·서버·DB·클라우드 취약점 진단, 침투시험, DICOM 인터페이스 시험 및 퍼징, AI 모델 보안 시험, 보안기능 검증)
- 보완 조치 가이드 및 재점검 1회, 시험결과보고서·조치 결과 확인서 발행
- 허가·심사 제출문서 작성(사이버보안 위험관리 보고서, SBOM 및 취약점 분석 보고서, 사이버보안 요구사항 명세 및 체크리스트, 사용자 문서(라벨링) 보안 문서, 시판 후 사이버보안 관리계획서)
- 디지털의료기기 GMP 절차 수립 지도(사이버보안·데이터 관리·AI 제어조치 절차서 및 부속 기록양식, 사업장 방문 1회) 및 실무자 교육(사업장 방문 2회, 교재 제공), 보완요구 답변자료 자문 1년
AI에게 이 공고를 물어볼 때 · ChatGPT · Claude에 이 링크를 함께 주면 공고문과 첨부를 정리한 글을 읽고 답합니다. /ai/projects/R26BK01743955 · 베타 기간 무료
사업 내용 · 이 공고에 든 일
중심 · 사이버보안 컨설팅·규제대응 문서화
용역 › 정보시스템·SW › 정보보안
의료기기 사이버보안 규제 대응 컨설팅, 위협모델링·SBOM·허가 제출문서 작성, GMP 절차 수립 지도, 실무자 교육을 수행하는 정보보호 컨설팅 용역이다.
- 위협모델링 및 사이버보안 위험관리(과업1)
- SBOM 구축 및 취약점 관리(과업2)
- 허가·심사 제출문서 작성(과업6)
- 디지털의료기기 GMP 절차 수립 지도(과업7)
- 사이버보안 개발 컨설팅 방문 교육 및 현장 지도(과업8)
- 식약처 보완요구 답변자료 작성 자문 1년
중심 · 사이버보안 시험·취약점 진단
용역 › 정보시스템·SW › 정보보안
SAST·SCA·DAST·침투시험·퍼징·AI 모델 보안시험 등 제품에 대한 취약점 진단과 모의해킹을 수행하는 정보보호 서비스이다.
- 소스코드 보안약점 진단(SAST)
- 오픈소스 구성분석(SCA)
- 웹·API·서버·DB·클라우드 취약점 진단
- 동적 분석(DAST)
- 침투시험
- DICOM 인터페이스 시험 및 퍼징 테스트
- AI 모델 보안 시험
- 보안기능 검증
- 보완 조치 가이드 및 재점검(Re-test) 1회
평가 · 배점
기술 : 가격 — 기술 80점 · 가격 20점
협상 대상 기준 · 기술능력평가 점수가 기술능력평가 배점한도(80점)의 85% 이상(68점 이상)인 자를 협상적격자로 선정함
| 평가 항목 | 배점 |
|---|---|
| 기술인력 보유상태 | 7점 |
| 사업수행 실적 | 8점 |
| 경영상태(최근 3개년 재무제표) | 3점 |
| 경영상태(성과공유기업 확인서) | 1점 |
| 신인도(부정당업자 제재 처분 여부) | 1점 |
| 제안 이해도 | 10점 |
| 컨설팅 부문 적합성 | 15점 |
| 시험 부문 적합성 | 15점 |
| 사업수행계획 | 10점 |
| 사후관리 적정성 | 10점 |
| 가격평가(제안가격) | 20점 |
| 합계(항목을 더한 값) | 100점 |
참가 자격 · 제한
- 업종제한
- 제한 없음
- 지역제한
- 제한 없음
- 공동수급
- 공동수급불허
- 입찰참가 제한
- 없음
- 실적경쟁 · PQ
- 해당 없음
- 국제입찰
- 국내입찰
- 제출 방법
- 전자입찰
입찰 일정
| 진행 | 일시 | 남은 날 |
|---|---|---|
| 공고 게시 | 09/23(수) | 지남 |
| 입찰서 제출 시작 | 09/23(수) 15:00 | 지남 |
| 입찰참가자격 등록 마감 | 10/05(월) 18:00 | 지남 |
| 입찰서 제출 마감 | 10/06(화) 12:00 | 지남 |
| 개찰 | 10/06(화) 13:00 | 지남 |
가격
- 추정가격
- 73,500,000원
- 배정예산
- 80,850,000원
- 예정가격 방식
- 비예가
공고 정보
- 공고종류
- 재공고 (재입찰공고)
- 게시일
- 09/23(수)
- 공고번호
- R26BK01743955-000
- 참조번호
- CR-SP-0902-001
- 공고기관
- 주식회사 크레스콤
- 수요기관
- 주식회사 크레스콤
- 계약방법
- 제한경쟁
- 낙찰방법
- 협상에의한계약
- 계약유형
- 총액계약
- 예정가격 방식
- 비예가
- 추정가격
- 73,500,000원
- 배정예산
- 80,850,000원
- 공공조달분류
- 연구조사서비스 › 학술연구서비스 › 기타연구조사서비스
- 사전규격번호
- R26BD00270324
- 재공고
- 재공고
- 출처
- 나라장터
첨부파일
- HWP · 2. 제안요청서_사이버보안 컨설팅 및 시험 용역_크레스콤v2_2차조달.hwp · 제안요청서
- PDF · 2. 제안요청서_사이버보안 컨설팅 및 시험 용역_크레스콤v2_2차조달.pdf · 공고규격서
문서 발췌
과업·요구
| 구 분 | 내 용 |
|---|---|
| 사 업 명 | 의료영상 분석 소프트웨어의 사이버보안 컨설팅 및 사이버보안 시험 용역 |
| 발주기관 | 주식회사 크레스콤 (경기도 성남시) |
| 업무구분 | 일반용역 |
| 사업예산 | ₩80,850,000 (금 팔천팔십오만원, 부가가치세 포함) ※ 추정가격 ₩73,500,000 (부가가치세 별도) |
| 사업기간 | 계약체결일로부터2027년 4월 30일까지 |
| 과업대상 | MediAI-AS (모델명 MDAI-ASSP-01) 1개 품목 |
| 과업범위 | ① 국내 사이버보안 규제대응 컨설팅 및 허가·심사 제출문서 작성 ② 사이버보안 시험(취약점 점검·침투시험 등) ③ 디지털의료기기 GMP 절차 수립 지도 및 실무자 교육 (GMP 절차 수립 방문 지도 1회, 사이버보안 개발 컨설팅 교육 및 현장 지도 사업장 방문 2회) |
| 적용 시장 | 대한민국 (국내 허가·심사 대응) |
| 조달방식 | 자체조달 (국가종합전자조달시스템 나라장터 이용) |
| 계약방법 | 제한경쟁입찰 / 협상에 의한 계약 ※ 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제43조 준용 |
| 국제입찰 대상 여부 | 비대상 |
| 구 분 | 추진 일정 | 비 고 |
|---|---|---|
| 입찰공고 | 2026. 9. 23. - 10. 2. | 나라장터(g2b) / 재공고 (최초공고: 2026. 9. 8) |
| 제안요청 설명회 | 미개최 | 제안요청서 및 공개자료 참조 |
| 질의 접수 | 2026. 9. 28. 18:00까지 | [서식 제9호]에 의한 서면(이메일) 질의만 가능 |
| 질의 회신 | 2026. 9. 30. 18:00 | 질의자 개별 회신 |
| 제안서 제출 마감 | 2026. 10. 6. 12:00 | 전자제출(전송 완료 시각 기준), 방문·우편 접수 불가 |
| 제안서 평가 | 2026. 10. 7. | 제출 서류에 의한 서면 평가 |
| 협상적격자 선정 통보 | 2026. 10. 8. | 적격자 개별 통보(탈락 별도 통보 없음) |
| 협상 및 계약체결 | 협상적격자 선정 후 15일 이내 | |
| 과업 착수 | 계약체결일 | |
| 과업 완료 | 2027년 4월 30일까지 |
참가자격
| 연번 | 제한 요건 | 입증 서류 |
|---|---|---|
| 1 | 정보보호 또는 의료기기 규제 관련 사업 수행 실적 보유 법인 | 사업자등록증, 법인등기부등본 |
| 2 | 최근 3년간 의료기기 사이버보안 문서화 또는 소프트웨어 사이버보안(취약점 진단·모의해킹·보안컨설팅) 용역 수행실적 3건 이상 보유 | 계약서 사본 및 실적증명서 [서식 제6호] |
| 3 | 정보보호 관련 자격(정보보안기사, 정보보안산업기사, OSCP등) 또는 동등 경력 보유 인력 1인 이상 보유 | 자격증 사본, 재직증명서, 4대보험 가입자명부 |
| 4 | 【 선택 】 아래 중 1개 이상 보유 ① 「정보통신기반 보호법」 제9조에 따른 정보보호 전문서비스 기업 지정 ② ISO/IEC 27001 또는 ISMS(-P) 인증 | 지정서 또는 인증서 사본 |
| 5 | ISO 13485(의료기기 품질경영시스템) 인증을 보유 | 인증서 사본 |
| 6 | 사이버보안 시험·컨설팅을 수행하는 전담 조직을 상시 운영하며, 해당 조직에 근로자 4인 이상을 보유 | 조직도, 재직증명서, 4대보험 가입자명부 |
| 7 | 정부·지자체의 '해외규격인증획득 지원사업'에 참여기업/수행기관으로 등록·선정된 전문인력(컨설턴트 등)을 1인 이상 보유한 업체 | 해외규격인증획득 지원사업 선정·등록 증빙서류 (확인서/선정통보서 등) |
과업·요구
| 제 품 명 | MediAI-AS |
|---|---|
| 모 델 명 | MDAI-ASSP-01 |
| 제 조 자 | 주식회사 크레스콤 (경기도 성남시 분당구 성남대로331번길 8, 801호) |
| 제품 분류 | 의료영상 분석 소프트웨어 (SaMD, Software as a Medical Device) |
| 주요 기능 | 인공지능 기반 의료영상 분석 및 진단 보조 |
| 시스템 구성 | 분석 서버, 관리자 웹, API, DICOM 연동 모듈 ※ 상세 아키텍처는 계약 후 실무 협의 시 확정 |
※ 본 과업의 대상은 위 1개 품목이며, 과업 종료 후 동일 유형군 내 타 제품으로의 확대 적용을 고려할 수 있도록 산출물은 재사용 가능한 형태(템플릿·절차서)로 작성되어야 함. 나. 대상 제품의 특성 (제안 시 반드시 고려하여야 할 사항) ○ 의료기기 소프트웨어(SaMD)로서, 인공지능 기반 의료영상 분석 알고리즘을 핵심 구성요소로 함 ○ 의료기관 내 PACS 등 기존 의료정보시스템과 DICOM 표준 인터페이스로 연동됨 ○ 환자 의료영상 및 개인식별정보를 처리하므로 「개인정보 보호법」 및 「의료법」상 요구사항이 적용됨 ○ 온프레미스 설치형과 클라우드 서비스형 배포 모델이 병존함 ※ 대상 제품의 상세 사양·소스코드 규모(LoC)·기술스택은 보안상 NDA를 체결한 우선협상대상자 외 열람 불가. 다. 적용 규격 및 지침
| 구분 | 규격·지침 |
|---|---|
| 법 령 | 「디지털의료제품법」 및 같은 법 시행령·시행규칙 |
| 식약처 고시·지침 | 「의료기기 사이버보안 허가·심사 가이드라인」 「디지털의료기기 제조 및 품질관리기준」 「의료기기 소프트웨어 허가·심사 가이드라인」 |
| 참조 표준 | IEC 81001-5-1, IEC 62304, ISO 13485 |
※ 본 과업은 국내 허가·심사 대응을 범위로 하며, 해외 규제기관(FDA, EU MDR 등) 제출자료 작성은 과업 범위에 포함되지 아니함. ※ 다만 산출물은 향후 해외 인허가 확대 시 재활용이 가능하도록 국제표준에 부합하는 구조로 작성되어야 함. 2. 과업 범위 총괄
| 구분 | 과업 | 핵심 내용 |
|---|---|---|
| 과업 1 | 위협모델링 및 사이버보안 위험관리 | DFD, STRIDE 기반 위협모델링(DICOM·PACS 연동 및 AI 모델 위협 포함), 위험분석·평가·통제 |
| 과업 2 | SBOM 구축 및 취약점 관리 | SPDX 또는 CycloneDX SBOM 생성·검증, CISA KEV·CVSS·EPSS 기반 취약점 대조분석 |
| 과업 3 | 사이버보안 시험 | SAST· SCA · DAST, 웹 · API · 서버 · DB ·클라우드 취약점 진단, 침투시험, DICOM 인터페이스 시험 및 퍼징 테스트, 일부 탐지항목 수동 검증 |
| 과업 4 | 취약점 진단 | 소스코드 보안약점 진단(SAST), 오픈소스 구성분석(SCA), 웹·API·서버·클라우드 진단, DAST |
| 과업 5 | 보완 조치 가이드 및 재점검 | PoC, remediation을 포함한 조치 가이드 제공, 재점검(Re-test) 1회 수행, 시험결과보고서 및 조치 결과 확인서 발행 |
| 과업 6 | 허가·심사 제출문서 작성 | 사이버보안 위험관리 보고서, SBOM 및 취약점 분석 보고서, 라벨링 보안 문서, 시판 후 사이버보안 관리계획서, 식약처 「의료기기 사이버보안 허가·심사 가이드라인」 기준 사이버보안 체크리스트 |
| 과업 7 | 디지털의료기기 GMP 절차 수립 지도 | 사이버보안(전자적 침해)·데이터 관리·인공지능 제어조치 절차서 및 부속 기록양식 수립, 유관 절차서 개정 지도, 사업장 방문 지도 1회 |
| 과업 8 | 교육 및 허가 대응 지원(사이버보안 개발 컨설팅 교육 및 현장 지도) | 방문 교육 1일 사이버보안 개발 컨설팅 교육 및 현장 지도: 발주기관 사업장 방문 총 2회(교재 제공), 식약처·지정 심사기관 보완요구 답변자료 작성 자문 1년 |
3. 세부 과업 내용 가. [과업 1] 위협모델링 및 사이버보안 위험관리 - 대상 제품의 아키텍처 분석 및 데이터 흐름도(DFD), 신뢰경계(Trust Boundary), 진입점(Entry Point) 도출 - STRIDE 등 방법론 기반 위협모델링 수행 및 위협 시나리오 도출. - 의료영상 분석 소프트웨어 특성을 반영한 위협 분석 · DICOM 인터페이스 및 PACS 연동 경로에 대한 위협 · 의료영상 및 분석 결과(판독 보조 결과)의 무결성 훼손 위협 · 인공지능 모델에 대한 위협 - 적대적 입력(Adversarial Input), 모델 추출, 학습데이터 유출, 모델 변조 · 온프레미스 설치형 및 클라우드 서비스형 배포 모델별 위협의 차이 - 보안 위험분석·평가 및 위험통제 방안 수립, 잔여위험(Residual Risk) 평가 나. [과업 2] SBOM 구축 및 취약점 관리 - SBOM 생성 - SPDX 2.3 이상 또는 CycloneDX 1.5 이상 표준의 기계판독 가능 파일로 제출 - 직접 의존성 및 전이 의존성(Transitive Dependency)을 모두 포함하며, 각 구성요소의 명칭·버전·공급자·라이선스·지원종료(EOL) 여부를 포함 - 바이너리 대비 완전성 검증(누락 구성요소 식별) 및 포맷 유효성 검증 수행(자동화 도구 출력물 단순 제출 불인정) - 알려진 취약점 대조 분석 및 위험도 평가 (공개 지표 적용: CISA KEV 등재 여부, CVSS v3.1/v4.0 등급, EPSS 점수) 다. [과업 3] 사이버보안 시험, [과업 4] 취약점 진단 1) 시험 계획 수립 - 과업 1의 위협모델링 결과와 1:1로 연계하여 시험 범위·항목을 도출 도출된 위협 중 시험 대상에서 제외하는 항목은 제외 사유를 기술하여야 함 - 시험 항목별 합격기준(Pass/Fail)을 사전에 정의할 것 - 시험 환경 구성 방안 수립 2) 시험 수행 항목
| 시험 유형 | 주요 내용 | 적용 기준 |
|---|---|---|
| 소스코드 보안약점 진단(SAST) | 보안약점 자동진단 및 전문가 수동 검증, 오탐 제거, 위험도 등급 부여. | CWE Top 25 (2024) |
| 오픈소스 구성분석(SCA) | 전이 의존성을 포함한 구성요소 식별, 알려진 취약점 및 라이선스 위험 분석 | SBOM 연계, NVD, CISA KEV |
| 취약점 진단 | 웹 애플리케이션, API, 서버·OS, 데이터베이스, 네트워크 및 클라우드 설정 취약점 진단 | OWASP Top 10:2021, CIS Benchmarks (Network Devices) |
| 동적 분석(DAST) | 실행 환경에서의 취약점 자동·수동 진단 | OWASP Top 10:2021 |
| 침투시험 | 시나리오 기반 모의침투(외부·내부·인증 우회 관점), 권한상승 및 측면이동 검증, 의료영상·분석결과 데이터에 대한 무단 접근·변조 가능성 검증 | NIST SP 800-115 |
| 의료 인터페이스 시험 | DICOM 인터페이스에 대한 인증·권한·무결성 검증, 악성 조작 영상 입력에 대한 처리 안전성 검증. | |
| 퍼징 테스트(Fuzzing) | DICOM 파서, 영상 파일 파서 등 외부 입력 인터페이스에 대한 비정상 입력 견고성 시험. | |
| AI 모델 보안 시험 | 적대적 입력(Adversarial Input)에 대한 분석 결과의 안정성, 모델 파일·학습데이터의 접근통제 및 무결성 검증 | 인공지능 의료기기 특화 항목 |
| 보안기능 검증 | 인증·인가, 암호화(전송·저장), 세션관리, 감사로그, 무결성 검증, 안전한 소프트웨어 업데이트 등 보안 통제 유효성 검증 | 식약처 가이드라인의 보안 요구항목 |
3) 시험 수행 조직 - 사이버보안 시험은 수행사의 자체 시험조직이 직접 수행함을 원칙으로 하며, 시험 수행 주체·조직 및 시험 장소를 제안서에 명시하여야 함. - 시험 진행 상황을 발주기관이 상시 확인할 수 있는 온라인 시험현황 공유 수단을 제공할 것. - 시험 결과에 대한 이의·불만 접수 및 처리 절차를 보유하여야 함. 라. [과업 5] 보완 조치 가이드 및 재점검 - 취약점 위험도 등급화: 발견된 취약점별 위험도(치명적/높음/보통/낮음) 등급화 및 조치 우선순위 제시 – 객관적 등급 산정 근거 (CVSS 등)를 함께 제시할 것 - 조치 가이드 제공: 취약점별 원인 분석 및 구체적 조치 가이드 제공 - 재점검(Re-test) 수행: 발주기관의 취약점 조치 완료 후 재점검 1회 이상 수행 - 보고서 발행: 재시험결과보고서는 식품의약품안전처 허가·심사 제출이 가능한 형식으로 영문 작성하여 발행할 것 마. [과업 6] 허가·심사 제출문서 작성 아래 문서를 식품의약품안전처 허가·심사 제출이 가능한 수준으로 작성한다.
바. [과업 7] 디지털의료기기 GMP 절차 수립 지도 - 사이버보안(전자적 침해) 관련 절차 수립 지도 - AI 제어조치 관련 절차 수립 지도 - 상기 GMP 절차 수립 지도는 전문인력이 발주기관 사업장을 방문하여 1회 실시함 사. [과업 8] 교육 및 허가 대응 지원 - 당사 실무자 대상 사이버보안 교육 - 전문인력 1인 이상이 발주기관 사업장을 방문하여 총 2회 실시 - 교육 범위: 사이버보안 규제 요구사항, SBOM 추출 가이드, 기초 보안 교육, 수립된 GMP절차서 운영 방법 - 식품의약품안전처 및 지정 심사기관의 보완요구 발생 시 답변자료 작성 자문을 제공하며, 지원 유효기간은 최종 산출물 검수일로부터 1년으로 함 4. 산출물 본 과업은 별도의 착수보고·중간보고 및 산출물 분할 제출 절차를 두지 아니하며, 아래 산출물 전체를 과업 완료 시 일괄 제출하는 것으로써 수행 결과를 확인한다.
| 연번 | 산출물 | 주요 내용 | 파일 형식 |
|---|---|---|---|
| 1 | 위협모델링 보고서 | DFD·신뢰경계·진입점, 위협 목록, 완화책 매트릭스 | docx / PDF |
| 2 | 사이버보안 위험관리 보고서 | 위험분석·평가·통제, 잔여위험 평가 | |
| 3 | SBOM 파일 | SPDX 2.3 이상 또는 CycloneDX 1.5 이상 | JSON 또는 XML 또는 SPDX |
| 4 | SBOM 및 취약점 분석 보고서 | SBOM 검증 결과, 취약점 대조 분석, 조치·완화 결과, 미조치 항목 안전성 근거 | docx / PDF |
| 5 | 사이버보안 시험결과보고서 | 시험 범위·방법·도구·수행기간·결과, 취약점 목록 및 위험도 | |
| 6 | 취약점 조치 가이드 및 재점검 시험결과보고서 | PoC· remediation 포함 조치 가이드, 재점검 시험결과보고서 | |
| 7 | 사이버보안 체크리스트 | 식약처 「의료기기 사이버보안 허가·심사 가이드라인」 요구항목별 작성 | xlsx / PDF |
| 10 | 시판 후 사이버보안 관리계획서 | 취약점 대응·패치관리·사고대응 절차, 변경신고 판단 기준 | docx / PDF |
| 11 | 디지털의료기기 제조 및 품질관리기준 별표 3, 4에 따른 품질문서 및 기록 양식 | AI/ML 수명주기 개발 및 운영 절차서, 거버넌스 절차서, 데이터관리 절차서, 전자적 침해행위 절차서 + 부속 양식 | docx / xlsx |
| 13 | 실무자 교육 PPT교재 | 방문 교육 교재(사업장 방문 2회분) | pptx / PDF |
| 연번 | 필수 요구사항 | 판단 기준 |
|---|---|---|
| M-1 | 허가·심사 제출 가능 수준의 문서 작성 | 산출물 제2호·제4호·제7호·제9호의 목차(안)를 제안서에 첨부할 것 |
| M-2 | 전 과업의 자체(직접) 수행 하도급 불가 | 사이버보안 시험, 문서화, 컨설팅, 디지털 GMP 지도 등 본 용역의 모든 과업은 외주(하도급) 없이 제안사 자체 전담 조직 및 상시 인력으로 직접 수행하여야 함. 하도급을 전제로 하거나 전담 조직·인력이 미비한 제안은 입찰 무효 처리함. |
| M-3 | 위협모델링과 시험항목의 추적성 확보 | 위협 → 시험항목 매핑 방식이 제안서에 기술되어 있을 것 |
| M-4 | 일부 탐지항목에 대한 수동 검증 | 자동화 도구 출력물만의 제출은 불인정. 시험소 내부 수동검증에 대한 문서화된 지침이 있을 것 |
| M-5 | 재점검(Re-test) 1회 포함 | 재점검 범위 및 시기가 제안서에 명시되어 있을 것. 별도 비용 청구 조건부 제안은 무효 |
| M-6 | 취약점 조치기준의 공개 지표 근거 | CISA KEV, CVSS, EPSS 등 공개 지표에 근거한 remediation 가이드를 제시할 것 |
| M-7 | 디지털의료기기 GMP 절차서 및 기록양식 제공 | 절차서 본문과 부속 기록양식을 모두 제공하는 방안이 명시되어 있을 것. 사업장 방문 지도 1회를 포함할 것 |
| M-8 | 사이버보안 개발 컨설팅 방문 교육 및 지도 2회 수행 (교재 제공) | 방문교육 시 PPT 교재 제공할 것. |
| M-9 | 보완요구 대응 지원 1년 무상 제공 | 지원 범위·기간이 제안서에 명시되어 있을 것 |
| M-10 | 투입인력 최소 요건 충족 | 아래 6항의 요건을 모두 충족할 것 |
| 역할 | 최소 인원 | 자격 요건 | 비고 |
|---|---|---|---|
| 총괄책임자 (PM) | 1 | 의료기기 인허가 경력 10년 이상인 자로서, 다음 중 1개 이상을 보유할 것 ① ISO 13485 또는 ISO/IEC 27001 심사원 자격 ② 의료기기 인허가(MFDS·FDA·CE 등) 획득 지도 실적 30건 이상 | 과업 전 기간 유지 |
| 규제대응 컨설턴트 | 다음 중 2개 이상의 실적을 보유할 것 <사이버보안 문서화 및 컨설팅 / GMP 지도> ① 의료기기 사이버보안 문서화 또는 의료기기 인허가 제출문서 작성 참여 실적 5건 이상 ② 의료기기 GMP 또는 ISO 13485 관련 절차서 수립·개정 수행 실적 보유 ③ ISO 13485 심사원 자격 보유 <사이버보안 시험> ① 의료기기 사이버보안 시험 수행 실적 2건 이상 ② 정보보안기사 또는 정보보안산업기사 자격증 보유 및 논문 보유 ③ 정보보호·정보통신·소프트웨어 관련 학사 이상 학위를 보유 | 총괄책임자(PM)와 겸직 가능 | |
| 시험 총괄책임자 | 정보보호 관련 자격 또는 정보보호·정보통신·소프트웨어 관련 학사 이상 학위를 보유한 자로서, 사이버보안 시험의 계획 수립·수행 또는 시험 결과 검토 업무 경력 1년 이상을 보유한 자 | 총괄책임자(PM)와 겸직 불가 | |
| 침투시험 수행인력 | 다음 중 1개 이상을 보유할 것 ① 정보보안기사 또는 정보보안산업기사 ② 모의해킹·침투시험 전문 교육과정(6개월 이상) 수료 ③ 의료기기·소프트웨어 침투시험 수행 실적 2건 이상 | 대상 제품의 설계·개발에 관여하지 아니한 자 | |
| 취약점 진단 수행인력 | 다음 중 1개 이상을 보유할 것 ① 정보보호·정보통신·소프트웨어 관련 학사 이상 학위 ② 사이버보안 전문인력 양성과정(6개월 이상) 수료 ③ 정보보호 관련 자격 보유 또는 취약점 진단 수행 실적 보유 | 총괄책임자(PM)와 겸직 불가 | |
| 합 계 | 5 | (겸직 적용 시 최소 4인) |
배점·평가
| 평가부문 | 구분 | 평가항목 | 평가내용 | 배점 | 평가주체 |
|---|---|---|---|---|---|
| 기술능력 평가 (80) | 정량 평가 (20) | 기술인력 보유상태 | 사이버보안 시험·규제대응 전담 인력의 자격·경력 보유 현황 | 7 | 사업 담당 평가 |
| 사업수행 실적 | 최근 3년간 의료기기 사이버보안 및 인허가 분야 유사 용역 수행실적 | 8 | |||
| 경영상태 | 최근 3개년 재무제표(매출 성장률, 재무 안정성) | 3 | |||
| 성과공유기업 확인서 | 1 | ||||
| 신인도 | 부정당업자 제재 처분 여부 | ||||
| 정성 평가 (60) | 제안 이해도 | 과업 및 규제 환경 이해도, 제안서 충실도 | 8 | 평가 위원 평가 | |
| 규제대응·문서화 부문 적합성 | 규제 대응 방법론의 전문성 및 제출문서 작성 방안의 적합성 | 16 | |||
| 시험 부문 적합성 | 시험 범위·방법론의 전문성, 시험조직 운영체계 | 18 | |||
| 사업수행계획 | 추진일정, 투입인력, 품질·보안관리 방안 | 8 | |||
| 사후관리 적정성 | 기술지원, 보완대응, 교육·기술이전 방안 | 10 | |||
| 가격평가 (20) | 제안가격 | 20 | 평점산식 | ||
| 합 계 | 100 | - |
| 구분 | 인정 항목 | ||
|---|---|---|---|
| ① 국가기술자격 | 정보보안기사, 정보보안산업기사, 정보처리기사 등 | ||
| ② 국가공인 민간자격 | 네트워크관리사 2급 이상(ICQA), 리눅스마스터 2급 이상(KAIT) 등 | ||
| ③ 국제 자격 | CISSP, CISA, CISM, OSCP, CEH, AWS·Azure·GCP 공인 클라우드 자격 등 | ||
| ④ 심사원 자격 | ISO/IEC 27001 심사원, ISO 13485 심사원 등 | ||
| ⑤ 전문 교육 이수 | 정부·공공기관 지원 사이버보안 전문인력 양성과정(6개월 이상) 수료 모의해킹·침투시험 전문 교육과정(6개월 이상) 수료 국제기관이 발급하는 사이버보안 전문 교육과정 수료 | ||
| ⑥ 학위 | 정보보호·정보통신·소프트웨어 관련 학사 이상 | ||
| ⑦ 경력 | 정보보호 또는 의료기기 규제 분야 경력 3년 이상 | ||
| 평가 기준 | 배점 | 비고 | |
| 「인정 인력」 4인 이상 투입 | 7 | 자격증 사본, 학위증명서, 교육 수료증 사본, 재직증명서, 경력증명서 | |
| 「인정 인력」 3인 이상 투입 | 6 | ||
| 「인정 인력」 2인 이상 투입 | 5 | ||
| 「인정 인력」 1인 이상 투입 | 4 | ||
| 상기 기준 미만 | 3 |
| 평가 기준 | 배점 | 비고 |
|---|---|---|
| 의료영상·AI 의료기기 SW 실적 2건 이상 포함, 의료기기 사이버보안 용역 실적 총 3건 이상 | ||
| 의료영상·AI 의료기기 SW 실적 1건 이상 포함, 총 2건 이상 | 7 | 계약서 사본 및 실적증명서 [서식 제6호] |
| 의료기기 사이버보안 시험·문서화 실적 4건 이상 | 6 | |
| 의료기기 사이버보안 시험·문서화 실적 3건 이상 | 5 | |
| 의료기기 사이버보안 시험·문서화 실적 2 이상 | 4 | |
| 의료기기 사이버보안 시험·문서화 실적 1건 이상 | 3 | |
| 상기 기준 미만 | 2 |
| 평가 기준 | 배점 | 비고 |
|---|---|---|
| 최근 3개년 연평균 매출 성장률 10% 이상이며, 부채 대비 유동자산이 안정적인 기업 | 3 | 최근 3개년(2023~2025) 표준재무제표증명원 (국세청 발급분) |
| 최근 3개년 연평균 매출 성장률 5% 이상 ~ 10% 미만인 기업 | 2.5 | |
| 최근 3개년 연평균 매출 성장률 5% 미만 또는 현상 유지 기업 | 2.0 | |
| 상기 기준 미만 또는 증빙서류 미제출 | 1.5 |
| 평가 기준 | 배점 | 비고 |
|---|---|---|
| 중소벤처기업부 인증 '성과공유기업(성과공유 도약기업 등)' 확인서를 보유한 기업 | 1 | 유효기간 내 성과공유기업 확인서 사본 |
| 성과공유기업 확인서 미보유 또는 미제출 | 0 |
| 평가 기준 | 배점 | 비고 |
|---|---|---|
| 입찰공고일 기준 최근 3년간 부정당업자 제재(입찰참가자격 제한·영업정지) 사실 없음 | 1 | 입찰공고일 기준 최근 3년간 합산 |
| 입찰공고일 기준 최근 3년간 부정당업자 제재 사실 있음 | 0 |
| 평가항목 | 평가요소 | 등급별 배점 | 배점 |
|---|---|---|---|
| 제안 이해도 | · 국내 의료기기 사이버보안 규제 요구사항에 대한 이해도 · 과업 범위에 대한 정확한 해석 및 제안서의 논리성 | 매우우수 9~10 우수 7~8 보통 5~6 미흡 3~4 매우미흡 1~2 | 10 |
| 컨설팅 부문 적합성 | · 제출문서 목차(안)의 완성도 및 허가·심사 적합성 · 디지털의료기기 GMP 절차서 수립 방안(양식 제공 수준 포함) · 보완요구 대응 지원 방안 | 매우우수 13~15 우수 10~12 보통 7~9 미흡 4~6 매우미흡 1~3 | 15 |
| 시험 부문 적합성 | · 위협모델링 결과와 시험항목 간 추적성 확보 방안 81001-5-1 규격에 대응하는 시험 수행 방안의 구체성 · 조치 가이드의 수준(재현 절차· 수정방향 제시 여부) · 시험환경 구성 · 시험 진행현황 공유 · 시험 수행 인력의 자격, 전문 교육 이수 현황 | ||
| 사업수행계획 | · 추진일정(WBS)의 구체성 및 실현 가능성 · 투입인력의 전문성 및 역할 분담의 적정성, 투입 MAN-DAY의 충분성 · 필수 요구사항(M-1~M-10) 이행 방안의 명확성 · 사이버보안 및 디지털 GMP 규제 대응 방안 | 매우우수 9~10 우수 7~8 보통 5~6 미흡 3~4 매우미흡 1~2 | 10 |
| 사후관리 적정성 | · 식약처 보완요구 대응 지원의 범위·기간 · Management plan 제공 | ||
| 합 계 | 60 |