입찰공고상세[용역]

출처 · 이용 조건 — 공고 정보: 공공데이터포털 · 조달청 입찰공고 정보 · 요약 · 분석: 공공일감이 공고문과 첨부를 읽고 정리. 요약 · 분석을 인용할 때는 공공일감과 이 페이지 링크를 함께 밝혀 주세요.

2027년 정보보안 및 개인정보보호 진단 사업

인사혁신처 · 정보보안

추정가격: 2.48억원
참가자격 등록 마감: 10/26(월) 18:00 · D-13
낙찰방법: 협상에의한계약 · 기술 90 : 가격 10
참가 자격: 소프트웨어사업자(컴퓨터관련서비스사업) · 정보보호 전문서비스 기업
무슨 일: 정보보안 취약점 진단 및 컨설팅

요약 AI 요약

인사혁신처가 보유한 웹서비스·정보화 인프라·개인정보 처리시스템의 보안 취약점을 진단하고 개인정보 관리실태를 점검·컨설팅하기 위한 사업이다. AI 기반 취약점 진단 도구를 시범 적용해 진단 정확도를 높이는 것도 포함한다.

로컬 AI 기반 취약점 진단 보조 환경 조성 및 실증(외부 통신 차단 온프레미스 환경에서 오픈소스 LLM·AI 코드 분석 도구 활용, 진단 결과·조치 가이드 보고서 제시)
대내·외 웹서비스 보안취약점 진단(모의해킹, 로그인 후 기능 점검 포함 정밀진단, 조치 지원 및 이행점검)
소스코드 보안약점 진단(상반기 기본진단 1회, 하반기 이행점검 1회, 상용 진단 도구 활용)
정보화기반 보안취약점 진단(네트워크·정보보호시스템·PC·노트북·프린터·복합기, 연 2회 이상 스캐닝, 단말기 조치 스크립트 제작)
개인정보 관리실태 진단 및 컨설팅(법령 개정사항 반영 여부 점검, 개인정보처리시스템·취급자 맞춤형 컨설팅, 내부관리계획 이행실태 점검)
비인가 소프트웨어 사용실태 점검(PC·노트북 전수조사, 연 2회 이상) 및 해킹메일 대응 훈련(분기별 1회 이상), 정보보안·개인정보보호 교육, 외부기관 평가 대응 지원

AI에게 이 공고를 물어볼 때 · ChatGPT · Claude에 이 링크를 함께 주면 공고문과 첨부를 정리한 글을 읽고 답합니다. /ai/projects/R26BK01748007 · 베타 기간 무료

핵심요약

문서 분석 전 — 첨부문서를 읽고 정리하면 여기에 보입니다

가격

추정가격: 248,074,545원
배정예산: 275,504,290원
예정가격 방식: 비예가

첨부파일

HWPX · 공고_제안요청서.hwpx · 제안요청서
PDF · R26BK01748007_공고서_인사혁신처.pdf · 공고규격서
PDF · Summary Notice.pdf · 공고규격서

첨부 내용을 정리한 글 — 자격 · 배점 · 일정 · 발췌 ›

참가 자격 · 제한

업종제한: 소프트웨어사업자(컴퓨터관련서비스사업)(1468) 그리고 정보보호 전문서비스 기업(1542)
지역제한: 제한 없음
실적경쟁 · PQ: 해당 없음
제출 방법: 전자입찰
공동수급: 공동이행
입찰참가 제한: 없음
국제입찰: 국제입찰

입찰 일정

진행	일시	남은 날
공고 게시	09/29(화)	지남
입찰서 제출 시작	10/23(금) 10:00	D-10
입찰참가자격 등록 마감	10/26(월) 18:00	D-13
입찰서 제출 마감	10/27(화) 10:00	D-14
개찰	10/27(화) 11:00	D-14

평가 · 배점

기술 : 가격 — 기술 90점 · 가격 10점

협상 대상 기준 · 기술평가 배점한도 85%(76.5점) 이상인 자를 협상적격자로 선정

배점표 (AI 요약)
평가 항목	배점
사업 이해도	5점
추진전략	5점
컨설팅 방법론	10점
컨설팅 요구사항	10점
진단 요구사항	10점
이행계획수립	5점
제약사항	5점
성능 요구사항	5점
품질 요구사항	5점
관리 방법론	5점
일정계획	5점
인력구성 및 관리역량	5점
품질보증	5점
교육훈련	5점
기밀보안	5점
합계(항목을 더한 값)	90점

사업 내용 · 이 공고에 든 일

중심 · 정보보안 취약점 진단 및 컨설팅

용역 › 정보시스템·SW › 정보보안

웹서비스·소스코드·정보화기반 취약점 진단, 모의해킹, 개인정보 관리실태 진단·컨설팅, 외부기관 평가 대응 지원 등 정보보호를 대신 해 주는 용역이다.

AI 기반 취약점 진단 도구 PoC 및 온프레미스 분석 환경 구축·실증
웹서비스 보안취약점 진단(모의해킹, 조치지원, 이행점검)
소스코드 보안약점 진단(기본진단·이행점검)
정보화기반 보안취약점 진단(네트워크·정보보호시스템·PC·복합기)
비인가 SW 사용실태 점검
개인정보 관리체계 진단 및 컨설팅
개인정보 내부 관리계획 이행실태 점검 지원
개인정보 보호수준 평가 대응 지원
사이버보안 실태 평가 자체진단 및 개선안 제시
해킹메일 대응 훈련
정보보안 및 개인정보보호 교육·모의훈련
품질관리 및 산출물 제출

공고 정보

공고종류: 등록공고 (일반공고)
게시일: 09/29(화)
공고번호: R26BK01748007-000
참조번호: -
공고기관: 조달청
수요기관: 인사혁신처
계약방법: 일반경쟁
낙찰방법: 협상에의한계약
계약유형: 총액계약
예정가격 방식: 비예가
추정가격: 248,074,545원
배정예산: 275,504,290원
공공조달분류: ICT 서비스 › ICT사업 컨설팅 › 정보화전략계획서비스
사전규격번호: R26BD00274930
재공고: 아니오
출처: 나라장터

문서 분석 전체

이 분야에서 갈리는 것 · 일의 종류(영향평가는 지정기관만), 업종 코드가 하나만 있으면 되는지(1468·1542·6525 중 하나), 진단 대상 규모 대비 예산, 상주·현장 도착 시한, 제조사 기술지원 확약서에서 갈린다.

문서 분석 전 — 첨부문서를 읽고 정리하면 여기에 보입니다

문서 발췌

과업·요구

사 업 명	2027년 정보보안 및 개인정보보호 진단 사업
주관기관	인사혁신처

목 차

Ⅰ. 사업개요 1 Ⅱ. 필요성 2 Ⅲ. 사업내용 3 Ⅳ. 주요현황 5 Ⅴ. 추진체계 및 일정 6 Ⅵ. 제안요청 내용 8 Ⅶ. 제안서 평가 및 선정 안내 20 Ⅷ. 제안서 작성 안내 23 [붙임1] 인사혁신처 대내ㆍ외 홈페이지 현황 26 [붙임2] 인사혁신처 개인정보처리시스템 현황 27 [붙임3] 인사혁신처 대내·외 웹서비스 보안취약점 점검 기준(안) 29 [붙임4] 제안관련 서식 31 [붙임5] 정보화사업 수행업체 보안 준수사항 41

Ⅰ. 사업 개요

1. 사 업 명 : 2027년 정보보안 및 개인정보보호 진단 사업 2. 사업기간 : 2027. 1. 1. ~ 12. 31. ※ 계약체결이 지연되는 경우 사업기간은 계약일로부터 종료일까지로 하며,기간 내 요구한 산출물을 제출하여야 함 3. 사업예산 : 272,882,000원(부가세 포함, 국회예산 심의중) ※ 최종 예산액에 따라 사업금액과 범위는 변경될 수 있음 4. 계약방법 ○ 공개경쟁입찰 및 협상에 의한 계약체결(조달청), 회계연도 개시 전 계약* - 제안서 기술평가 90%, 가격평가 10% 합산 후 고득점 순으로 우선협상 계약 * 중단이 불가한 계약은 확정예산 범위에서 미리 체결 가능(국가계약법 §20) 5. 주요 사업내용 ○ AI 기반 취약점 진단 전문 도구 및 분석 환경 시범 적용 - 지능형 진단 솔루션을 통한 웹 서비스 스캐닝 및 소스코드 검사 ○ 대내·외 웹서비스 보안취약점 진단(본부, 소속기관) - 모의해킹을 통한 웹취약점 상시진단 및 소스코드 보안약점 진단 ○ 정보화기반 보안취약점 진단(본부, 소청심사위원회, 사이버안전센터) - 본부(세종, 서울, 과천), 소청(세종) 등의 네트워크, 정보보호시스템, PC, 프린터·복합기 등 취약점 진단 조치 지원 및 비인가SW 현황 진단 ○ 개인정보 관리실태 진단 및 컨설팅 - 각종 관련 규정(법률, 지침, 내부관리계획 등) 준수 여부 점검 및 개인정보취급자 대상 컨설팅을 통한 개인정보보호 역량 강화 ○ 외부기관 진단 및 평가에 따른 대응 지원 등 - 사이버보안 실태 평가(국가 사이버보안 기본지침), 개인정보 보호수준 평가(개인정보 보호법 제11조의2) 등 대외 평가 지원

Ⅱ. 필요성

○ AI 기술을 악용한 사이버 공격의 고도화 및 지능화에 선제적으로 대응하기 위한 전사적 기술적 보호조치 마련 - 인공지능 기반의 자동화된 공격에 대비하여 정보시스템 취약점 발굴 및 고도화된 웹, 소스 코드 보안 약점 진단 및 조치 필요 - 네트워크, 정보보호시스템, 단말기 등에 대한 보안취약요소의 입체적 점검 및 개선 조치 방안 제시 필요 ○ 특히, 국가인재DB, 전자인사관리, 공직자재산등록, 공무원 채용 정보 등 공직자 및 공직 후보자 개인정보보호 강화 - 개인정보 보호법 등 관련 법령* 개정사항의 내부 관리규정** 반영 여부 점검 등 개인정보 관리체계 진단 및 컨설팅 필요 * 개인정보보호법, 동법 시행령, 시행규칙 및 각종 고시 ** 내부 관리계획, 개인정보처리방침(대표 홈페이지 및 개인정보처리시스템) 등 - 처내 개인정보 처리시스템·파일 담당자의 법령 및 내부 규정 이행실태 점검의 실효성 제고 필요 ○ 외부기관 정보보안 및 개인정보보호 분야 평가 대응 지원 - 전문가 지원을 통한 사이버보안 실태평가, 개인정보보호 수준 사전 진단 - 진단 및 분석을 통해 도출된 미비점 보완 및 대응 전략 수립

Ⅲ. 사업내용

□ 주요과업 내용 ○ AI 기반 취약점 진단 전문 도구 및 분석 환경 시범 적용(PoC) - 취약점 진단 정확도 향상 및 수동 분석의 보완을 위한 로컬 AI기반 진단 보조 환경 구성 및 효용성 검증 - 외부 유출 방지 및 보안성이 검증된 온프레미스(On-Premise) 기반의 AI 분석 도구 연동 방안 마련 및 적용 가이드 수립 ○ 대·내외 웹서비스 보안취약점 진단(본부, 소속기관) - 정보시스템 웹 취약점 진단, 조치지원 및 이행점검

※ 업무분석을 통한 취약점 정밀진단(로그인 후 기능 점검 포함) - 신규 및 변경 부분의 소스코드 보안약점 점검 및 조치지원 - 외부기관에서 도출된 취약점 조치 기술지원 및 이행점검 실시 ○ 정보화기반 보안취약점 진단(본부, 소청심사위원회, 부처합동 사이버안전센터) - 네트워크, 정보보호시스템, 단말기기(PC, 노트북, 프린터 복합기 등)의 취약점 진단, 조치 지원 및 이행 점검 ○ 개인정보 관리실태 진단 및 컨설팅(본부, 소속ㆍ산하기관) - 개인정보 보호법 등 관련 법령* 개정사항의 내부 관리규정** 반영 여부 점검 등 개인정보 관리체계 진단 및 컨설팅 * 개인정보보호법, 동법 시행령, 시행규칙 및 각종 고시 ** 내부 관리계획, 개인정보처리방침(대표 홈페이지 및 개인정보처리시스템) 등 - 개인정보 수집·이용·보관·파기 등 개인정보보호 전반에 대한 개인정보처리자(시스템 담당자 및 취급자 등) 대상 맞춤형 컨설팅 ※ 개인정보 수집‧활용 동의서, 개인정보 시스템 안전성 조치 개선사항 등 - 처내 전체 개인정보처리시스템 및 개인정보취급자(개인정보파일, CCTV, 개인정보 처리업무 위탁담당자 등)의 내부관리계획 이행실태 점검 및 개선방안 제시 ○ 비인가 소프트웨어 사용실태 점검 - PC 및 노트북에 설치된 비인가 SW(불법SW, 기술지원 종료, 상용 SNS·Cloud 등) 설치 현황 조사 및 정비 ○ 사이버 위협 대응 해킹메일 대응 훈련 - 분기별 1회 이상 전직원 대상 해킹메일 대응 훈련 실시 ○ 외부기관의 진단․평가에 따른 대응 지원 등 - 정보보안 관리실태 평가, 개인정보 보호수준 평가(개인정보 보호법 제11조의2) 등 대외 평가 지원(사전 진단 및 미흡사항 보안조치 지원) - 진단 결과를 토대로 정보보안 및 개인정보보호 분야 개선방안 제시 - 정보화용역사업 및 정보시스템 보안 관리실태 자체 평가

※ 평가지표 개발 및 계획수립, 전문인력에 의한 현장실사 실시, 결과보고 포함 ○ 정보보안 및 개인정보보호 역량 강화 - 정보보안 및 개인정보보호 의식 제고를 위한 직원 교육 - 정보화용역사업 개발보안 능력 향상을 위한 공무원, 개발자 교육 ※ 전직원, 정보화용역사업 담당자, 정보화·정보보안 담당자 - 개인정보 교육대상*별 맞춤형 교육 및 유출사고 예방 실전 모의훈련 * 개인정보처리 시스템담당자, 위탁업무담당자 및 개인정보취급자(일반직원) 등

Ⅳ. 주요 현황

1. 대상 기관

구 분	기 관 명	대상수	비 고
본부	인사혁신처	1	서울, 과천사무소 등 포함
소속기관	국가인재원, 소청심사위원회	2
산하기관	공무원연금공단	1
전 체		4

구 분	기 관 명	대상수	비고
본부	인사혁신처	20	세부내역 붙임1 참조
소속기관	국가인재원	5
소속기관	소청심사위원회	1
합 계		26

구 분	기 관 명	대상수	비고
본부	인사혁신처	17	세부내역 붙임2 참조
소속기관	국가인재원	5
소속기관	소청심사위원회	1
합 계		23

구분	PC/노트북	네트워크·정보보호시스템	프린터(서버포함)․복합기
대수	866/752	240	202

※ 전체 현황 ’26년 8월 기준으로 사업수행 중 일부 변동될 수 있음

Ⅴ. 추진 체계 및 일정

○ 추진체계도

추진업무	1월		2월		3월		4월		5월		6월		7월		8월		9월		10월		11월		12월
· 현황 분석 및 세부 수행계획 수립


· AI 기반 취약점 진단 환경 실증
			■	■

· 웹서비스 취약점 점검
			■	■	■	■	■	■			■	■	■	■			■	■	■	■	■

· 소스코드 보안약점 진단
									■	■												■	■

· 정보화기반 취약점 점검
				■	■	■	■	■	■	■	■	■	■	■

· 외부기관 평가 및 진단 대응
															■	■

· 개인정보보호 실태 진단/컨설팅
									■	■	■	■	■	■	■	■	■	■

· 정보보안 및 개인정보보호 교육
												■	■										■

· 사업수행 산출물 제출 및 보완 (▲ 분기별 품질점검)
	■	■	■	■	■	■	■	■	■	■	■	■	■	■	■	■	■	■	■	■	■	■	■	■
						▲						▲						▲						▲

※ 상기 추진일정은 발주처에서 주요일정을 제시한 것으로, 제안사는 상기 추진일정을 참고하여 구체적인 일정계획을 제시하여야 함

Ⅵ. 제안요청 내용

1. 요구사항 목록

구 분	번호	요구사항명
컨설팅 요구사항	CSR-01	로컬 AI 기반 취약점 진단 보조 환경 조성 및 실증
	CSR-02	웹서비스 보안취약점 진단
	CSR-03	소스코드 보안약점 진단
	CSR-04	정보보안 및 개인정보보호 역량 강화
	CSR-05	정보화기반 보안취약점 진단
	CSR-06	사이버보안 실태 평가 진단 대응 및 미흡사항 개선(안) 제시
	CSR-07	개인정보보호 진단 및 컨설팅
	CSR-08	개인정보보호 업무지원
	CSR-09	사이버 위협 해킹메일 대응 훈련 실시
	CSR-10	비인가 SW 사용실태 점검
투입인력 요구사항	MHR-01	투입인력_일반사항
보안 요구사항	SER-01	보안 일반사항_보안관리
보안 요구사항	SER-02	보안 일반사항_개인정보보호
품질 요구사항	QUR-01	품질확보 방안
제약사항	COR-01	제약사항
프로젝트 관리 요구사항	PMR-01	산출물의 요건
프로젝트 지원 요구사항	PSR-01	사업수행 지원
프로젝트 지원 요구사항	PSR-02	주기적 활동 지원
기타 요구사항	ETC-01	하도급 미승인

2. 요구사항 상세내역 가. 컨설팅 요구사항 CSR-01

요구사항 명칭	로컬 AI 기반 취약점 진단 보조 환경 조성 및 실증
요구사항 분류	컨설팅 요구사항
요구사항 세부내용	○ 지능형 보안 취약점 진단 환경 방안 제시 - 자료유출 방지 및 보안성 확보를 위해 처내 전산실 내 독립된 단독 점검환경에서 진단도구를 운용 - 외부 통신이 차단된 로컬 환경에서 구동 가능한 오픈소스 기반 LLM(Large Language Model) 및 AI 코드 분석 도구(DAST, SAST 연계 등)를 활용하여 컨설팅 진단 지원 체계 마련 - 최신 웹 프레임워크, 데이터베이스, 연계 구간의 특성을 반영한 실제 운영 환경과 동일한 모의 진단 시나리오를 적용하여 취약점 도출 - AI 진단 도구는 주요정보통신기반시설, OWASP Top 10, 국가사이버안전센터, 행정안전부 가이드에서 제시한 점검항목을 포함하여 오탐률 최소화를 위한 검증 체계 마련 - 취약점 진단 결과 및 조치 가이드 내역을 지정된 양식(Excel, PDF등)으로 보고서 제시 ○ AI 및 SW 활용 보안 요건 - AI 분석 과정에서 입출력 자료가 외부로 유출되거나, 상용· 오픈소스 LLM의 외부 학습 데이터로 무단 활용되지 않도록 기술적 차단 조치 적용 - 진단 지원 도구 구동에 사용되는 오픈소스 LLM, AI 분석 도구 (DAST/SAST 연계 등), 컨테이너 이미지, 프레임워크 등은 도입 전 공인된 도구를 통해 취약점 및 악성코드 유무를 사전 점검하고 안전성이 검증된 버전만 사용
산출물 정보	○ 보안 진단 수행 및 환경 안전성 검증 보고서 ○ 진단 도구 운영 및 기술 이전 가이드

CSR-02

요구사항 명칭	웹서비스 보안취약점 진단
요구사항 분류	컨설팅 요구사항
요구사항 세부내용	○ 대상 : 본부·소속기관 대내·외 홈페이지 ※ 대상 외 신규 개발되는 웹사이트 또는 내부 행정 모바일앱이 일부 추가될 수 있음 ○ 취약점 진단 대상 현황분석 방안 제시 - 인사혁신처 웹서비스의 URL 및 하위 페이지 현황분석 방법론 제안 등 ○ 웹서비스 취약점 진단 항목 제시 - 주요정보통신기반시설, OWASP, 국가사이버안전센터 및 행정안전부에서 제시한 취약점 항목 포함 ※ 점검항목 붙임3 참조 - 취약점 진단 항목에 대한 위험도 정의 - 제시한 항목별 조치 가이드 제공 등 ○ 취약점 진단 및 이행점검 방안 제시 - 운영 시스템의 특성을 고려한 세부진단 및 이행점검 방안 - 암호화 모듈의 검증필 여부, 암호화 강도 점검 방안 - 도출된 취약점 내역 및 조치결과 확인 점검 등 - 수동 취약점 점검 후 AI 활용한 취약점 점검 추가 수행 ○ 도출된 취약점의 관리 방안 및 기술지원 방안 제시 - 본 사업 및 타 기관을 통해 도출된 취약점의 통보, 조치, 이행점검 수행에 따른 관리 방법 - 도출된 취약점의 조치를 위한 기술지원 방안 - 조치에 따른 예산 확보 등이 필요한 경우 긴급 대처 방안 등
산출물 정보	○ 취약점 진단 대상 현황분석서 ○ 취약점 진단 항목, 위험도 및 조치 가이드 ○ 보안취약점 진단 계획서 / 결과서 ○ 도출된 취약점의 조치여부 진단 결과서 ○ 취약점 관리 계획서(또는 관리 방안)

요구사항 명칭	소스코드 보안약점 진단
요구사항 분류	컨설팅 요구사항
요구사항 세부내용	○ 대상 : 인사혁신처가 요청하는 시스템 ※ 대상 외 신규 개발되는 웹사이트 또는 내부 행정 모바일앱이 일부 추가될 수 있음 ○ 소스코드 보안약점 진단 항목 제시 - 행정안전부에서 제시한 소스코드 보안약점 진단 항목 포함 - 보안약점 진단 항목에 대한 위험도 정의 - 제시한 항목별 조치 가이드 제공 등 - 수동 점검 후 AI 활용한 보안약점 추가 진단 수행 ○ 보안약점 진단 및 이행점검 방안 제시 - 기본진단(상반기 1회) - 이행점검(하반기 1회) ※ 상반기 기본진단에 따른 조치 이행점검 - 소스코드의 취합 및 진단 결과 전달 방안 - 보안약점 진단 및 이행점검 방안 등 ○ 도출된 보안약점의 관리 방안 및 기술지원 방안 제시 - 본 사업에서 도출된 보안약점의 통보, 조치, 이행점검 수행에 따른 관리 방법 - 도출된 보안약점의 조치를 위한 기술지원 방안 - 조치에 따른 예산 확보 등이 필요한 경우 긴급대처 방안 등 ○ 소스코드 진단용 SW는 관련기관에서 인증한 상용SW 활용
산출물 정보	○ 보안약점 항목, 위험도 및 조치 가이드 ○ 보안약점 진단 계획서 / 결과서 ○ 취약점 관리 계획서(또는 관리 방안)

CSR-04

요구사항 명칭	정보보안 및 개인정보보호 역량 강화
요구사항 분류	컨설팅 요구사항
요구사항 세부내용	○ 정보보안 및 개인정보보호 의식 제고를 위한 전직원 교육(연2회) - 인사혁신처 전직원* 대상 정보보호 기본 교육(상·하반기)을 위한 교재 제작 및 강의 지원 * 소속기관(소청, 인재원) 포함 ○ 정보화용역사업 개발보안 능력 향상을 위한 공무원, 개발자 교육(연1회) - 웹·소스코드 취약점 진단 및 조치능력 강화를 위한 강의 지원 ※ 교육내용 예시 : 취약점 진단‧조치 방법, 시큐어코딩 절차 등 ○ 개인정보보호 교육대상별 맞춤형 교육 - 개인정보처리 시스템 담당자, 위탁업무 담당자 및 개인정보 취급자(일반직원) 등 교육대상별 맞춤형(교육내용 차별화) 교육 실시 ○ 개인정보 유출사고 예방 실전 모의훈련 - 사고발생 가상 시나리오를 활용한 대응절차 및 방법 등 실습 중심의 모의훈련 실시 ○ 정보보안 및 개인정보보호 인식 제고 방안 제시
산출물 정보	○ 교육 지원 및 모의훈련 계획서 / 결과서 ○ 정보보안 및 (교육대상별) 개인정보보호 교재 ○ 개인정보 유출사고 예방 실전 모의훈련 교재 ○ 정보보안 및 개인정보보호 인식 제고 방안

CSR-05

요구사항 명칭	정보화기반 보안취약점 진단
요구사항 분류	컨설팅 요구사항
요구사항 세부내용	○ 대상 : 본부·소청 네트워크·정보보호 등 기반 인프라, PC, 프린터, 복합기 등 정보화 기기 ○ 취약점 진단대상 현황 분석 및 세부 점검계획 제시 - 스캐닝 등을 통한 네트워크, 무선AP, 정보보호시스템, PC, 노트북, 프린터, 복합기 등 진단 대상 식별 방법 - IP가 부여되지 않은 기기의 식별 방법 - 연 2회 이상 정기 스캐닝 수행 등 ※ 유지보수가 어려운 일부 복합기의 경우 취약점 조치 지원 ○ 부분별 취약점 진단항목 제시 - 주요정보통신기반시설 취약점 분석․평가 기준 등에서 제시된 취약점 항목을 포함한 진단 항목 제시 ※ 진단 항목은 발주기관과 협의하여 조정 가능 - 취약점 진단 항목에 대한 위험도 정의 - 제시한 항목별 조치 가이드 제공 등 ○ PC 등 스크립트를 이용한 단말기 취약점 조치 지원 - 사용자의 별도 작업 없이 취약점 조치할 수 있는 방안 제시 - 정책서버(PMS, NAC 등)를 통한 스크립트 배포 시 안전한 전송을 위해 SSH Protocol 기반 통신 수행 ○ 취약점 진단 및 이행점검 방안 제시 - 스크립트 활용이 불가능한 시스템의 진단 방안 - 원격지(서울, 과천 등) 소재 시스템의 진단 방안 등 ○ 도출된 취약점의 관리, 기술지원 방안 및 지원 - 본 사업에서 도출된 보안취약점의 통보, 조치, 이행점검 수행에 따른 관리 방법 - 도출된 취약점이 조치를 위한 기술지원 방안 - 서비스 이용 등으로 조치가 어려운 경우 대응 방안 등 - 정보화기반 관련 정보보호 강화를 위한 스크립트 제작 지원
산출물 정보	○ 취약점 진단 대상 현황분석서 및 점검계획서 ○ 부분별 취약점 진단 항목, 위험도 및 조치 가이드 ○ 보안취약점 진단 계획서 / 결과서 ○ 단말기 진단용 스크립트(조치 스크립트 포함) ○ 취약점 관리 계획서(또는 관리 방안) ○ 보안취약점 조치 불가에 따른 대처 방안

요구사항 명칭	사이버보안 실태 평가 진단 대응 및 미흡사항 개선(안) 제시
요구사항 분류	컨설팅 요구사항
요구사항 세부내용	○ 사이버보안 실태 평가에 따른 자체평가 실시 방안 제시 - 국정원 사이버보안 실태 평가 지표에 따라 진단 및 증적 확보 등 ○ 전자정부 대민서비스 정보보호 수준 자체진단 실시방안 제시 - 행정안전부평가 지표에 따른 진단 및 증적 확보 등 ○ 외부기관 평가 대비 자체진단‧평가에 따른 개선 방안 제시 ※ 수행내용은 발주기관과 협의하여 조정 가능 ○ 사이버보안 실태 평가 결과에 따른 미흡사항 개선(안) 제시
산출물 정보	○ 자체 진단 및 평가 결과에 따른 개선방안(안)

요구사항 명칭	개인정보보호 진단 및 컨설팅
요구사항 분류	컨설팅 요구사항
요구사항 세부내용	○ 개인정보 관리체계 진단 및 컨설팅 - 개인정보보호 내부 규정의 개인정보보호 관련 법령 개정사항 반영 여부 점검 및 개선사항 제시 - 내부 관리계획, 개인정보 처리방침, 각종 매뉴얼·절차서 ·가이드 등 내부 규정 점검 및 자문 ○ 개인정보처리시스템 및 취급자 컨설팅 - 개인정보 수집·이용 동의 방법, 보유기간, 보관·파기 및 처리방침, 개인정보 제3자 제공현황 등 개인정보보호 업무 컨설팅 및 지원 ○ 기타 개인정보보호 전반에 대한 컨설팅
산출물 정보	○ 개인정보보호 진단·컨설팅 계획서/결과서

CSR-08

요구사항 명칭	개인정보보호 업무지원
요구사항 분류	컨설팅 요구사항
요구사항 세부내용	○ 개인정보 내부 관리계획 이행실태 점검 지원 - 이행실태 점검 결과 검토, 분석 및 개선방안 제시 ○ 개인정보 보호수준 평가 대응 지원 - 전년도 평가결과 분석, 미흡사항 보완 - 평가 대비 대응전략 수립 및 컨설팅 - 개인정보 보호수준 자체평가 사전 진단(제출자료 검토 및 모범사례 제시) ○ 본부·소속·산하기관 개인정보 관리실태 점검 지원
산출물 정보	○ 개인정보 관리 이행실태 점검 계획서/결과서 ○ 개인정보 보호수준 평가 대응 계획서/결과서 ○ 본부·소속·산하기관 개인정보 관리실태 점검 계획서/결과서

요구사항 명칭	사이버 위협 해킹메일 대응 훈련 실시
요구사항 분류	컨설팅 요구사항
요구사항 세부내용	○ 사이버 위협에 대응하기 위한 AI 활용 실전 훈련 실시 - 전직원 대상 해킹메일 대응 훈련(분기별 1회 이상) ※ 해킹메일 훈련 시나리오는 협의 진행(본문열람형, 링크클릭형 등)
산출물 정보	○ 훈련 계획서 및 결과서

요구사항 명칭	비인가 SW 사용실태 점검
요구사항 분류	컨설팅 요구사항
요구사항 세부내용	○ 처내 PC 및 노트북에 설치된 비인가 SW* 설치 여부 점검 - 단말기에 설치된 SW 목록을 전수조사하여 비인가SW 설치 여부 조사 - 연 2회 이상 정기점검 수행 * 불법SW, 기술지원 종료, 인터넷망 문서편집기(웹편집기 포함) 설치, 유료 라이선스 무단 사용, 상용SNS·Cloud, 상용 메신저· 상용메일, 취약점 존재 SW 등 ※ 비인가SW 조사를 위한 점검SW(또는 스크립트) 활용 가능
산출물 정보	○ 비인가 SW 사용실태 점검 계획서 / 결과서 ○ 비인가 SW 설치 현황표(SW별 종류, 비인가 사유 등)

나. 투입인력 요구사항 MHR-01

요구사항 명칭	투입인력_일반사항
요구사항 분류	투입인력 요구사항(투입인력에 대한 자격사항은 권고사항임)
요구사항 세부내용	○ 본 제안요청 수행방안에 따른 분야별 전문인력 투입계획을 제안하여야 함 - 본 사업의 사업관리자(PM)는 관련 분야 경력자로 (권고) 상·하반기를 나눠 각 1명씩 제안사의 정규직으로 제안 - 투입인력은 분야별 전문가로 투입하고, 증명을 위해 관련 자격증, 해당분야 프로젝트 수행 경력 제시 ※ 프로젝트 경력 표기 시 해당분야 경력을 별도로 구분하여 표기 - 투입인력은 가급적 25.5M/M 이상을 투입하고, 아래와 같이 업무를 수행하여야 함 - 투입인력 교체는 사전 협의에 의하며, 1주일 이상 인계인수 실시 ㆍ제안사, 투입인력의 사정으로 인해 교체가 필요한 경우 ㆍ자질 부족, 근무태도 불량 등으로 교체가 필요한 경우 - 상주기술자의 근무시간 및 방법은 공무원 복무규정 준용 ㆍ긴급 사이버 위기 발생 등 특별한 관리가 필요한 경우, 정규 근무시간 이외 추가 근무 실시 - 사업수행 장소는 인사혁신처에서 제공(세종시)하며, 사업 수행 환경 구성은 제안사에서 부담
산출물 정보	○ 인력투입계획서 ○ 사업관리자(PM) 정규직 증명 관련(건강보험 납입증명서 등) 서류

ㆍ 정보보안 취약점 점검 및 개선 20.5M/M 이상 ㆍ 개인정보보호 진단 및 컨설팅 5M/M 이상 다. 보안 요구사항 SER-01

요구사항 명칭	보안 일반사항_보안관리
요구사항 분류	보안 요구사항
요구사항 세부내용	○ ‘용역사업 수행업체 보안 준수사항(붙임5)’ 준수 ○ 보안 위규사항 발생시 ‘사업자 보안위규 처리기준(붙임5_별표1)’, ‘보안 위약금 부과 기준(붙임5_별표2)’에 따라 처리
산출물 정보	○ 용역사업 보안활동 관련 서류

요구사항 명칭	보안 일반사항_개인정보보호
요구사항 분류	보안 요구사항
요구사항 세부내용	○ 본 용역 수행에 따라 별도의 개인정보는 처리하지 않음 - 다만, 취약점 진단 증적에 개인정보가 포함되는 경우 해당 정보를 비식별화하여야 함
산출물 정보	○ 개인정보 비식별화 조치 계획

라. 품질요구사항 QUR-01

요구사항 명칭	품질확보 방안
요구사항 분류	품질 요구사항
요구사항 세부내용	○ 품질 확보를 위한 방안을 제시 - 본 사업에 품질 확보를 위하여 별도의 품질관리자를 통해 분기 단위로 품질검사 및 결과 보고 ○ 발주처에 제출되는 최종 산출물은 품질관리자의 승인 후 제출
산출물 정보	○ 품질관리 계획서 ○ 분기별 품질검사 결과서 ○ 조치계획서(미흡사항 발생 시)

요구사항 명칭	제약사항
요구사항 분류	제약사항
요구사항 세부내용	○ 정보시스템의 서비스 영향도 최소화 - 정보시스템의 취약점 진단에 따른 서비스 중단 불가 ※ 서비스 중단 우려가 있는 경우 진단 전 별도 협의 - 진단 등에 소요되는 자동화 툴의 안정성 확보 방안 등
산출물 정보	○ 서비스 영향 시 긴급대응 방안, 활용 SW 목록 등

바. 프로젝트 관리 요구사항 PMR-01

요구사항 명칭	산출물의 요건
요구사항 분류	프로젝트 관리 요구사항
요구사항 세부내용	○ 사업 수행에 따른 산출물은 품질보증 계획과 연계하여 산출물의 종류, 주요내용, 제출시기 등을 제시 - 사업수행계획서, 착수보고서, 중간보고서, 종료보고서 및 주․월간 보고서 등 주기적 산출물 - 취약점 진단 및 이행 조치점검 결과 등 분야별 산출물 등 ○ 제출하는 산출물의 시기가 관련 규정 등에서 명시된 경우에는 반드시 규정을 준수하여야 함
산출물 정보	○ 사업수행계획서 ○ 착수 / 중간 / 종료보고서, 주간 / 월간 보고서

사. 프로젝트 지원 요구사항 PSR-01

요구사항 명칭	사업수행 지원
요구사항 분류	프로젝트 지원 요구사항
요구사항 세부내용	○ 사업수행에 필요한 정보화기기 등은 인사처에서 제공 - 단, 책상, 의자, 사무용 물품 등 환경구성은 사업자가 준비 ○ 용역사업 수행에 소요되는 SW의 라이선스 및 지적재산권은 제안사에서 준비 ○ 투입된 정보화기기의 저장매체는 종료 시 인사혁신처에서 제공하는 솔루션을 활용하여 완전 삭제 ※ 완전삭제가 증빙되지 않은 SSD 등은 물리적 파쇄
산출물 정보	○ SW 라이선스 증빙서, 저장매체 완전삭제 증빙 등

PSR-02

요구사항 명칭	주기적 활동 지원
요구사항 분류	프로젝트 지원 요구사항
요구사항 세부내용	○ 보안감사 및 보안 관리실태 등 현장실사 방안 제시 - 정보시스템 보안 관리 실태 평가(연1회) - 정기 정보보안(용역사업) 감사(연1회) ○ 개인정보보호 수시점검 방안 제시 - 점검항목 제시 및 점검결과 분석(연2회 이상) ※ 공무원, 용역사업자 특성을 고려한 점검항목 개발, 현장실사는 필요시 수행
산출물 정보	○ 점검 계획서, 체크리스트 / 점검 결과서

아. 기타 요구사항 ETC-01

요구사항 명칭	하도급 미승인
요구사항 분류	기타 요구사항
요구사항 세부내용	○ 본 사업은 하도급을 허용하지 않음

배점·평가

평가항목	세부평가 항목	평가기준	배점 한도
전략 및 방법론 (20)	사업 이해도	사업의 특성 및 목표에 대해 주변 환경분석과 업무내용의 연관관계의 이해를 바탕으로 일관성 있는 방향과 전략을 제시하고 있는가를 평가한다.	5
	추진전략	컨설팅 업무 수행 시 위험요소를 고려하여 얼마나 창의적이며 타당한 대안을 제시하였는가를 평가한다.	5
	컨설팅 방법론	사업에 적정한 방법론의 제안 타당성을 평가하고, 사례와 경험을 바탕으로 효율적인 단계별 활동 내용을 구성하여 산출물의 적정성을 유지하고, 기술과 경험을 적절히 활용하고 있는가를 평가한다.	10
기술 및 기능 (30)	컨설팅 요구사항	법령･제도 현황 등의 환경 분석, 현황 분석, 취약점 분석/평가/이행점검, 모의해킹 및 보호대책 수립 방안이 구체적으로 기술되고, 연계되어 있는가를 평가한다.
	진단 요구사항	방법론 및 취약점 분석/평가/이행점검, 모의해킹 도구를 통하여 분석, 보호대책 수립 등이 구체적으로 기술되어 있는가를 평가한다.
	이행계획수립	보안컨설팅을 경험으로 한 고려사항 및 단계별 제안한 방안 및 기술, 도출된 미비점 개선을 위한 이행방안이 적절하고 구체적으로 기술되어 있는지를 평가한다.	5
	제약사항	취약점 분석/평가/이행점검, 모의해킹의 제약사항을 충족한 구현방안 및 점검방안에 대한 적정성을 평가한다.
성능 및 품질 (10)	성능 요구사항	취약점 분석/평가/이행점검, 모의해킹, 정보보호대책 및 개선방안 수립을 보장하기 위한 성능요구사항에 대한 충족도를 평가한다.
성능 및 품질 (10)	품질 요구사항	정보보호대책 수립 취약점 분석/평가 등 각 단계별 품질 요구사항 점검 및 검토방안에 대한 구체화의 적정성을 평가하고, 단계별 품질 요구사항을 점검하는 별도의 전문인력 투입의 적정성을 평가한다.
프로젝트 관리 (15)	관리 방법론	사업위험, 사업진도, 사업수행시 보안을 관리하는 방법, 사업수행 성과물이나 산출물의 형상 및 문서를 관리하는 방법 등을 평가한다.
	일정계획	사업수행에 필요한 활동을 도출하여 정확한 활동 기간의 산정과 도출된 활동 간의 배열이 합리적인지, 중간목표가 적정하게 제시되어 있는지 등을 평가한다.
	인력구성 및 관리역량	각 활동에 적합한 자원(인력 포함)이 적절히 할당되어 있는지 등을 평가한다.
프로젝트 지원 (15)	품질보증	제시된 품질보증 방안이 해당 사업의 수행에 적합한지를 확인하고 평가한다.(품질보증 계획, 인력, 사업자 품질보증 능력 등)
	교육훈련	사이버공격 대응능력 강화를 위한 가상환경기반 교육 지원을 제공할 수 있는 환경과 인력에 대한 적절성을 평가한다.
	기밀보안	사업 추진 동안 악영향을 미치는 일련의 불순 활동들로부터 기밀을 보호함과 동시에 원활한 사업의 수행을 보장하기 위한 체계 및 대책에 대하여 평가한다.
합 계			90

라. 입찰가격 평가 ○「협상에 의한 계약체결기준」(재정경제부계약예규 제40호)에 따라 평가점수 산출 2. 입찰 관련 정보 가. 사업자 선정 방법 ○ 공개경쟁입찰(협상에 의한 계약) ○ 적용규정 : 국가를 당사자로 하는 계약에 관한 법률 제7조(계약의 방법) 및 동법 시행령 제43조(협상에 의한 계약체결) 및 제43조의2(지식기반사업의 계약방법), 협상에 의한 계약체결기준(재정경제부계약예규 제40호) 나. 입찰 참가 자격 ○ 조달청 입찰공고문 참조 ○ 본 사업은 사업금액이 20억원 미만인 사업으로서 「중소 소프트웨어사업자의 사업 참여 지원에 관한 지침」에 따라 대기업 및 중견기업인 소프트웨어사업자는 본 입찰에 참여할 수 없으며, 「소프트웨어 진흥법」 제48조제4항 규정에 의하여 「독점규제 및 공정거래에 관한 법률」 제31조에 따라 지정된 상호출자제한기업집단에 속하는 기업도 입찰에 참여할 수 없음 ○ 제안사는 나라장터(G2B)에 입찰마감일 전일까지 “소프트웨어 진흥법”에 의한 소프트웨어사업자(업종코드 : 1468) 및 “정보보호산업의 진흥에 관한 법률” 제23조에 의한 정보보호 전문 서비스 기업(업종코드 : 1542)으로 모두 등록된 업체여야 함 ○ 본 사업은 공동계약 가능(공동이행방식, 대표사 포함 5개사 이내, 구성원별 계약참여 최소지분율 10% 이상) (계약예규) 공동계약운용요령 제9조 3. 협상 적격자 선정 및 협상 ○ 기술평가 점수가 기술평가분야 배점한도의 85% 이상인 자를 대상으로 함 ○ 본 사업은 「협상에 의한 계약체결 기준」 제7조제6항에 따른 차등점수제를 미적용한 사업임 ○ 협상순서는 협상적격자의 기술능력평가 점수와 입찰가격평가 점수를 합산하여 합산점수의 고득점 순에 따라 결정함 ○ 합산점수가 동일한 제안자 2인 이상일 경우에는 기술능력 평가 점수가 높은 제안자를 선순위자로 하고, 기술평가 점수도 동일한 경우에는 기술능력의 세부평가항목 중 배점이 큰 항목에서 높은 점수를 얻은 자를 순위자로 함 ○ 협상순위에 따라 결정된 우선협상대상자와 협상하며, 협상이 성립된 때에는 다른 협상대상자와 협상을 하지 않음 - 우선협상대상자와 협상 결렬 시, 동일한 기준․절차에 따라 순차적으로 차(次) 순위자와 협상을 실시함 - 모든 협상대상자와 협상이 결렬된 경우에는 재공고 입찰 가능 ○ 협상대상자가 제안한 사업내용, 이행방법, 이행일정 등 제안서의 내용을 대상으로 협상을 실시함 - 협상대상자가 제안한 이행과업내용, 이행일정 등의 내용을 대상으로 일부수정·보완·변경·추가·삭제하여 그 내용의 일부를 협상 조정 가능함

과업·요구

소관 부서	연번	업 무 명	서비스망	비고
인재정보담당관	1	국가인재데이터베이스	업무망, 인터넷망
데이터정보담당관	2	인사혁신처 대표홈페이지	인터넷망	자랑스런공무원이야기, 취업심사 자가진단, 채용역사관 등 포함
데이터정보담당관	3	업무포털(인사로)	업무망
정부인사디지털 추진담당관	4	전자인사관리(e-사람)
	5	전자인사관리(표준인사)
	6	전자인사관리(정책지원)
	7	전자인사관리(스마트출장예약)	인터넷망
	8	국가공무원 채용시스템	업무망, 인터넷망
개방교류과	9	나라일터	인터넷망
적극행정과	10	인사혁신처 적극행정온
인재개발과	11	인재개발플랫폼
인재개발과	12	인재개발정보센터	업무망, 인터넷망
연금복지과	13	노하우플러스	인터넷망
복무과	14	국외출장연수정보시스템	인터넷망
	15	비위면직조회	업무망
	16	음성동보장치	업무망
윤리정책과	17	공직윤리시스템(홈페이지)	업무망, 인터넷망
	18	공직윤리시스템(재산등록의무자용)
	19	공직윤리시스템(회신기관담당자용)
	20	공직윤리시스템(윤리업무담당자용)	업무망
국가공무원인재개발원	21	국가인재원 대표홈페이지	인터넷망
	22	전자도서관
	23	역량진단시스템
	24	나라배움터		공공기관 공동활용기관 웹서비스 대표사이트 포함
	25	학사관리시스템	업무망
소청심사위원회	26	소청심사위원회 대표홈페이지	인터넷망

연번	기관명	담당부서	개인정보파일명	보유건수	개인정보처리시스템
1	인사처	인재정보담당관	국가인재DB 수집	407,594	국가인재데이터베이스
2		인재정보담당관	국가인재DB 회원관리	113,898	국가인재데이터베이스
3		재해예방 정책담당관	공무원 마음건강상담 이용자 정보	2,887	(업무용PC)
4		인사조직과	인사혁신처 인사기록	4,967	전자인사관리시스템
5		데이터정보담당관	온나라 업무관리시스템 사용자 정보	784	온나라시스템
6		데이터정보담당관	인사혁신처 직원정보	967	인사로시스템
7		정부인사 디지털추진담당관	국가공무원채용시스템 회원관리	1,322,084	국가공무원 채용시스템
8			국가공무원채용시스템 업무담당자 관리	683
9			국가공무원채용시스템 어학성적 사전등록	512,016
10			국가공무원채용시스템 응시자 및 합격자 관리	1,280,920
11			국가공무원채용시스템 시험위원 관리	39,949
12		인재정책과	수습사무관 인사기록	3,547	전자인사관리시스템
13		인재정책과	역량평가 위원 및 피평가자 정보	25,490	(e-사람 내) 역량평가 기능
14		경력채용과	경력경쟁채용시험 국민제보	8	(업무용PC)
15		적극행정과	적극행정 온 국민추천 관리	4,642	적극행정 온
16		적극행정과	적극행정 온 기관 담당자 회원 관리	325	적극행정 온
17		심사임용과	고위공무원단 인사기록	126,801	전자인사관리시스템
18		개방교류과	나라일터 홈페이지 회원관리	174,023	나라일터시스템
19		인재개발과	교육훈련생 사용자 정보	47,986	인재개발정보센터
20			인재개발플랫폼 강사 회원정보	1,270	인재개발플랫폼
21			인재개발플랫폼 지식크리에이터 회원정보	186
22			인재개발플랫폼 학습자 회원정보	235,024
23		연금복지과	퇴직공무원 사회 공헌사업 참가자	466	노하우플러스시스템
24			퇴직(예정)공무원 전직지원 컨설팅 대상자	800	(업무용PC)
25			공무원예술대전 역대 수상자 및 심사위원 정보	8,931	(업무용PC)
26		복무과	국외출장연수정보시스템 회원정보	97,145	국외출장연수정보시스템
27			비상소집용 각 부처 직원 연락처	29,616	음성동보장치
28			음성동보장치 사용자 정보	85	음성동보장치
29			비위면직자(파면ㆍ해임) 관리	4,640	비위면직자관리시스템
30			비위면직자관리시스템 사용자 정보	3,526	비위면직자관리시스템
31		재산심사기획과	공직자재산등록정보	3,035,162	공직윤리시스템
32	인재원	교육지원과	방문객 명단	750	(종이문서)
33		스마트개발과	강사정보	5,507	학사관리시스템
34			교육생 정보	2,776,126	나라배움터시스템
35			도서관시스템 회원정보	527	전자도서관시스템
36	소청	행정과	고충상담자관리	298	(e-사람 내) 소청심사위 운영
37			고충심사신청자관리	764
38			소청상담자관리	319
39			소청심사신청자관리	22,339

□ 개인정보처리시스템 현황 (2026. 8월 기준)

연번	기관명	담당부서	개인정보처리시스템	대표시스템명
1	인사처	인재정보담당관	국가인재데이터베이스	국가인재데이터베이스
2		데이터정보담당관	인사로시스템	인사로시스템
3		데이터정보담당관	인사혁신처 대표홈페이지	인사혁신처 대표홈페이지
4		정부인사디지털추진담당관	전자인사관리시스템(e-사람)	전자인사관리시스템(e-사람)
5		정부인사디지털추진담당관	국가공무원 채용시스템	국가공무원 채용시스템
6		인재정책과	(e-사람 내) 역량평가 기능	전자인사관리시스템(e-사람)
7		시험출제과	문제은행관리시스템	문제은행관리시스템
8		적극행정과	적극행정 온	적극행정 온
9		개방교류과	나라일터시스템	나라일터시스템
10		인재개발과	인재개발플랫폼	인재개발플랫폼
11		인재개발과	인재개발정보센터	인재개발정보센터
12		연금복지과	노하우플러스시스템	노하우플러스시스템
13		복무과	국외출장연수정보시스템	복무·징계 정보시스템
14			비위면직자관리시스템
15			비상소집용 공무원음성동보시스템
16			(e-사람 내) 중앙징계위 운영 기능	전자인사관리시스템(e-사람)
17		윤리정책과	공직윤리시스템(PETI)	공직윤리시스템(PETI)
18	인재원	기획협력과	전자도서관시스템	전자도서관시스템
19		스마트개발과	나라배움터시스템	나라배움터시스템
20			학사관리시스템	학사관리시스템
21			역량진단시스템	역량진단시스템
22			근태관리시스템	근태관리시스템
23	소청	행정과	(e-사람 내) 소청심사위 운영 기능	전자인사관리시스템(e-사람)

※ ’26년 하반기 신규 업무 발생 등에 따라 개인정보파일, 개인정보처리 시스템 현황 변경 가능

붙임 3 인사혁신처 대내·외 웹서비스 보안취약점 점검 기준(안)

※ (범례) IN: 주요정보통신기반시설 취약점 분석·평가 기준 [붙임2] 취약점 분석 평가 기준 ‘상’ 항목 WEB 28개, HJ: 모바일 전자정부 서비스 관리 지침 [별표2] 모바일 서비스 서버(웹·앱) 대상 보안취약점 점검기준 21개

연번	점검 항목	등급	설 명	기준
연번	점검 항목	등급	설 명	IN	HJ
1	버퍼 오버플로우	중	메모리나 버퍼의 블록 크기보다 더 많은 데이터를 넣어 결함을 발생시키는 취약점	O
2	포맷스트링	하	스트링을 처리하는 부분의 메모리 공간에 접근할 수 있는 문제를 이용하는 취약점
3	LDAP 인젝션	상	LDAP(Lightweight Directory Access Protocol) 쿼리를 주입하여 개인정보 등이 유출될 수 있는 문제를 이용하는 취약점
4	운영체제 명령실행	중	웹사이트의 인터페이스를 통해 웹서버를 운영하는 운영체제 명령을 실행하는 취약점		O
5	SQL 인젝션	상	SQL문으로 해석될 수 있는 입력하여 데이터베이스에 접근할 수 있는 취약점		O
6	SSI(Server-Side Include) 인젝션		SSI(Server-side Include)는 “Last modified"와 같이 서버가 HTML 문서에 입력받는 변수 값으로, 웹 서버 상에 있는 파일을 include 시키고, 명령문이 실행되게 하여 데이터에 접근할 수 있는 취약점
7	XPath 인젝션		조작된 XPath(XML Path Language) 쿼리를 보냄으로써 비정상적인 데이터를 획득할 수 있는 취약점		O
8	디렉터리 인덱싱	중	요청 파일이 존재하지 않을 때 자동적으로 디렉토리의 정보를 출력하는 취약점
9	정보 누출	중	웹 사이트 데이터가 노출되는 것으로 개발과정의 코멘트나 오류 메시지 등에서 중요한 정보가 노출되어 공격자에게 2차 공격을 위한 중요한 정보를 제공할 수 있는 취약점
10	악성 콘텐츠	하	웹 애플리케이션에 정상적인 컨텐츠 대신에 악성 컨텐츠를 주입하여 사용자에게 악의적인 영항을 미치는 취약점
11	크로스사이트 스크립팅	중	웹 애플리케이션을 사용해서 다른 사용자의 단말기에서 임의의 스크립트가 실행되는 취약점
12	약한 문자열 강도	상	사용자의 이름이나 패스워드, 신용카드 정보나 암호화 키 등을 자동으로 대입하여 여러 시행착오 후에 맞는 값을 발견하는 취약점
13	불충분한 인증		민감한 데이터에 접근할 수 있는 곳에 취약한 인증 절차로 구현된 취약점
14	취약한 패스워드 복구		취약한 패스워드 복구 절차(패스워드 찾기 등)에 대해 공격자가 불법적으로 다른 사용자의 패스워드를 획득, 변경, 복구할 수 있는 취약점
15	크로스사이트 요청 위조	중	CSRF 공격은 로그온한 사용자 브라우저로 하여금 사용자의 세션 쿠키와 기타 인증 정보를 포함하는 위조된 HTTP 요청을 취약한 웹애플리케이션에 전송하는 취약점
16	세션 예측	중	예측 가능한 세션 식별자(ID)를 사용하여 세션을 가로챌 수 있는 취약점
17	불충분한 인가	하	민감한 데이터 또는 기능에 대한 접근권한 제한을 두지 않은 취약점		O
18	불충분한 세션 만료	중	세션의 만료 기간을 정하지 않거나, 만료 일자를 너무 길게 설정하여 공격자가 만료되지 않은 세션 활용이 가능하게 되는 취약점		O
19	세션 고정	중	세션값을 고정하여 명확한 세션 식별자(ID) 값으로 사용자가 로그인하여 정의된 세션 식별자(ID)가 사용 가능하게 되는 취약점
20	자동화 공격	하	웹 애플리케이션에 정해진 프로세스에 자동화된 공격을 수행함으로써 자동으로 수많은 프로세스가 진행되는 취약점		O
21	프로세스 검증 누락	중	공격자가 응용의 계획된 플로우 통제를 우회하는 것을 허가하는 취약점
22	파일 업로드	상	파일을 업로드 할 수 있는 기능을 이용하여 시스템 명령어를 실행할 수 있는 웹 프로그램을 업로드 할 수 있는 취약점
23	파일 다운로드	상	파일 다운로드 스크립트를 이용하여 첨부된 주요 파일을 다운로드 할 수 있는 취약점
24	관리자 페이지 노출	중	단순한 관리자 페이지 이름(admin, manager 등)이나 설정, 프로그램 설계상의 오류로 인해 관리자 메뉴에 직접 접근할 수 있는 취약점
25	경로 추적	중	공격자에게 외부에서 디렉터리에 접근할 수 있는 것이 허가되는 문제점으로 웹 루트 디렉터리에서 외부의 파일까지 접근하고 실행할 수 있는 취약점
26	위치 공개(디폴트 페이지, 백업파일 등)	하	예측 가능한 디렉토리나 파일명을 사용하여 해당 위치가 쉽게 노출되어 공격자가 이를 악용하여 대상에 대한 정보와 민감한 정보가 담긴 데이터에 접근이 가능하게 되는 취약점
27	데이터 평문전송	상	서버와 클라이언트 간 통신 시 암호화하여 전송을 하지 않아 중요 정보 등이 평문으로 전송되는 취약점
28	쿠키 변조	중	적절히 보호되지 않은 쿠키를 사용하여 쿠키 인젝션 등과 같은 쿠키 값 변조를 통한 다른 사용자로의 위장 및 권한 상승 등이 가능한 취약점
29	불필요한 Method	하	PUT, DELETE 등의 Method를 악용하여 악성 파일(웹쉘) 업로드가 가능한 취약점
30	계정 잠금 임계값	하	로그인 5회 실패 시 해당 계정 및 IP에 대해 잠금 설정이 되어있지 않을 경우 무작위 대입공격 발생 할 수 있는 취약점

※ 인사혁신처와 주관사업자가 협의하여 웹 취약점 점검기준을 조정·확정하여 추진 ※ 소스 코드 보안약점 기준은 행정안전부 고시 「행정기관 및 공공기관 정보시스템 구축·운영 지침」제52조(보안약점 진단기준) 구현단계 49개 항목에 따름

붙임 4 제안관련 서식

참가자격

3. 입찰참가자격

--------------------------------------------------------------------- 아래의 입찰참가자격을 모두 갖춘 자이어야 합니다. ○ 국가종합전자조달시스템 입찰참가자격등록규정에 따라 반드시 전자입찰서 제출 마감일 전일까지 나라장터(G2B시스템) 에 아래의 사항을 모두 입찰참가자격으로 등록한 자 - [[소프트웨어사업자(컴퓨터관련서비스사업)(1468)]와 [정보보호 전문서비스 기업(1542)]업종을 등록한 업체 * 이 사업은 사업금액이 20억원 미만인 사업으로서 「중소 소프트웨어사업자의 사업 참여 지원에 관한 지침(과학기술정 보통신부 고시)」에 따라 대기업 및 중견기업인 소프트웨어사업자는 본 입찰에 참여할 수 없으며, * 「소프트웨어 진흥법」 제48조제4항 규정에 의하여 「독점규제 및 공정거래에 관한 법률」 제31조에 따라 지정된 상 호출자제한기업집단에 속하는 기업도 입찰에 참여할 수 없습니다. ※ 입찰참가자격 공지사항 ◐ 다음 중 어느 하나에 해당하는 자는 입찰참가자격이 없음 - 「중소기업제품 구매촉진 및 판로지원에 관한 법률」 제8조의2에 해당하는 자 - 「국가를 당사자로 하는 계약에 관한 법률」 제27조의5 및 같은 법 시행령 제12조제3항에 따라 ‘조세포탈 등을 한 자’ 로서 유죄판결이 확정된 날부터 2년이 지나지 아니한 자 * 입찰자는 같은 법 시행령 제12조제3항 각 호에 해당하지 아니한다는 서약서를 입찰시 제출하여야 합니다. 만일 서약 내용이 허위로 판명될 경우 계약의 해제ㆍ해지를 당할 수 있고, 부정당업자 입찰참가자격제한처분을 받을 수 있습니

3-2. 입찰참가자격 등록

--------------------------------------------------------------------- ○ (등록장소) 조달청 조달등록팀 또는 각 지방조달청 경영지원과(팀) ○ (입찰참가자격 등록) 조달청 경쟁입찰참가자격 등록은 수시로 가능하며, 입찰참가를 위해서는 전자입찰서 제출마감일 전일 18:00 까지 등록을 하여야 합니다. 등록절차와 나라장터 이용안내는 정부조달콜센터(☎ 1588-0800, FAX: 042-472-2297)로 문의하 시기 바랍니다. ○ (입찰보증금 납부) 입찰참가자는 반드시 이 건 입찰공고의 입찰보증금 내용을 숙지하시기 바랍니다. 공동수급체의 경우 대표사는 반드시 구성원사의 입찰보증금 납부대상 여부를 확인하여 관련 조항에 따른 입찰보증금을 납부하여야 합니다. (신원확인 입찰) 이 입찰은 국가종합전자조달시스템 전자입찰 특별유의서 제7조에 따른 신원확인 입찰이 적용되며, 국가종합전자조 ○ 달시스템 입찰참가자격등록규정 제2조제1항제16호에 따른 개인인증수단을 이용(공동인증서 제외)하여 신원을 확인받은 후 입찰에 참여 하여야 합니다

4. 공지사항

--------------------------------------------------------------------- ○ 제안서 평가기관:

조달청

○ 제안서 평가일시:	2026/10/29 09:30 (상황에 따라 변경될 수 있으며 개별 통지합니다.)
○ 제안서 평가장소:	나라장터 평가시스템
○ 제안서 평가방식:	온라인(서면)평가 / 제안서 발표 : 없음(단, 실시간 질의응답은 있음)
○ 평가위원 제안서 사전검토:	「조달청 협상에 의한 계약 제안서평가 세부기준」 제10조 제6항 각호에 따른 제안서 검토시간

원문 공고 보기