입찰공고상세[용역] · 마감
출처 · 이용 조건 — 공고 정보: 공공데이터포털 · 조달청 입찰공고 정보 · 요약 · 분석: 공공일감이 공고문과 첨부를 읽고 정리. 요약 · 분석을 인용할 때는 공공일감과 이 페이지 링크를 함께 밝혀 주세요.
NEDIS 시스템 데이터베이스 고도화 사업(재공고)
재공고 · 유찰 · 국립중앙의료원 · SW 개발·운영
- 결과
- 유찰
- 참가
- 0곳 · 개찰 10/12(월)
요약 AI 요약
NEDIS 시스템이 응급의료기관으로부터 수집하는 응급환자 데이터의 개인정보 유출을 막기 위해, 데이터베이스 구조를 분석·고도화하고 개인정보 관리 보안 체계를 구축하는 사업이다.
- 데이터베이스 구조·체계 현황 분석 및 개인정보 안전성 확보 방안 제시(컨설팅)
- 개인정보와 비개인정보 테이블 분리 및 연계 키 구성
- 개인정보 암호화(AES-256, ARIA 등) 처리 및 키 관리 체계 구축
- 오라클 TDE 기능을 활용한 파일·테이블스페이스 단위 암·복호화
- 응급의료기관 Agent PC 개인정보 암호화 방식 개발 및 전송 구간 암호화
- 데이터 표준 수립, 데이터 구조 설계·검증, 데이터 값 검증 및 이관 데이터 정합성 검증
AI에게 이 공고를 물어볼 때 · ChatGPT · Claude에 이 링크를 함께 주면 공고문과 첨부를 정리한 글을 읽고 답합니다. /ai/projects/R26BK01751053 · 베타 기간 무료
사업 내용 · 이 공고에 든 일
중심 · NEDIS DB 고도화 컨설팅·설계·구축
용역 › 정보시스템·SW › SW 개발·운영
NEDIS 시스템의 데이터베이스 구조 분석·컨설팅, 설계 고도화, 개인정보 암호화·접근권한 등 SW 구현 일체를 수행하는 정보시스템 구축 사업이다.
- 데이터베이스 현황 분석 및 고도화 방향 컨설팅(CUR-001·002)
- 개인정보/비개인정보 분리, 암호화, TDE 적용 등 기능 구현(SFR-001~007)
- 데이터 표준·구조·값 관리체계 수립(DAR-001~010)
- 시큐어코딩·취약점 점검 등 보안 요구사항 이행(SER-001~009)
- 통합테스트 및 시범운영·안정화(TER-001)
- 사용자·운영자 매뉴얼, 교육, 하자보수(1년), 기술이전(PSR-001~005)
평가 · 배점
기술 : 가격 — 기술 90점 · 가격 10점
협상 대상 기준 · 기술능력평가점수가 배점한도의 85%미만인 응찰자는 협상대상에서 제외
| 평가 항목 | 배점 |
|---|---|
| 사업 이해도 | 5점 |
| 추진전략 | 5점 |
| 추진체계 | 5점 |
| 사업추진방법론 | 5점 |
| 컨설팅 요구사항 | 5점 |
| 기능 요구사항 | 5점 |
| 성능 요구사항 | 5점 |
| 제약사항 | 5점 |
| 수행환경 | 5점 |
| 보안 요구사항 | 5점 |
| 일정 계획 | 5점 |
| 개발 환경 | 5점 |
| 위험 및 이슈 관리 | 5점 |
| 품질 요구사항 | 5점 |
| 교육훈련 | 5점 |
| 기술지원 | 5점 |
| 하자 보수 계획 | 5점 |
| 기밀보안 | 5점 |
| 합계(항목을 더한 값) | 90점 |
참가 자격 · 제한
- 업종제한
- 소프트웨어사업자(컴퓨터관련서비스사업)(1468)
- 지역제한
- 제한 없음
- 공동수급
- 공동이행 또는 분담이행
- 입찰참가 제한
- 없음
- 실적경쟁 · PQ
- 해당 없음
- 국제입찰
- 국내입찰
- 제출 방법
- 전자입찰
입찰 일정
| 진행 | 일시 | 남은 날 |
|---|---|---|
| 공고 게시 | 09/30(수) | 지남 |
| 입찰서 제출 시작 | 09/30(수) 15:00 | 지남 |
| 입찰참가자격 등록 마감 | 10/08(목) 18:00 | 지남 |
| 입찰서 제출 마감 | 10/12(월) 14:00 | 지남 |
| 개찰 | 10/12(월) 15:00 | 지남 |
가격
- 추정가격
- 290,909,091원
- 배정예산
- 320,000,000원
- 예정가격 방식
- 비예가
공고 정보
- 공고종류
- 재공고 (재입찰공고)
- 게시일
- 09/30(수)
- 공고번호
- R26BK01751053-000
- 참조번호
- 국립중앙의료원 공고 제2026-194호
- 공고기관
- 국립중앙의료원
- 수요기관
- 국립중앙의료원
- 계약방법
- 제한경쟁
- 낙찰방법
- 협상에의한계약
- 계약유형
- 총액계약
- 예정가격 방식
- 비예가
- 추정가격
- 290,909,091원
- 배정예산
- 320,000,000원
- 공공조달분류
- ICT 서비스 › SW 및 시스템 개발 › 정보시스템개발서비스
- 사전규격번호
- R26BD00272663
- 재공고
- 재공고
- 출처
- 나라장터
첨부파일
- HWP · 00. 입찰공고문.hwp · 공고규격서
- HWP · 01. 제안요청서_NEDIS 시스템 데이터베이스 고도화 사업.hwp · 공고규격서
- HWP · 02. 정보화 용역계약 특수조건.hwp · 공고규격서
- PDF · 00. 입찰공고문.pdf · 공고규격서
문서 발췌
사업 목적
□ NEDIS 시스템을 통해 수집되는 응급환자 데이터의 개인정보 분실·도난·유출 등을 방지하기 위한 기술적 조치를 취하고자 함 □「개인정보 보호법」제29조(안전조치의무) 및 「개인정보의 안전성 확보조치 기준」에 의거한 관리 보안 체계 구축을 목적으로 함
사업 범위
□ 데이터베이스 구조·체계 분석 및 컨설팅 ○ 현 데이터베이스 구조·체계 분석 및 문제점 도출 ○ 개인정보 수집 및 보관에 대한 안전성 확보 방안 제시 □ 데이터베이스 설계 고도화 ○ 컨설팅 결과에 따른 데이터베이스 구조 고도화 □ 개인정보 관리 보안 체계 구축 ○ 개인정보 관리 보안 체계 강화 < 목표시스템 개념도 >
기대효과
□ 정보보호 관리체계 구축 및 강화를 통한 사이버위협 사전 차단 □ 관리적·기술적·물리적 안전조치를 통해 개인정보주체의 권리와 이익 보호
II 시스템 현황
NEDIS 시스템 현황
□ 시스템 개념도 ○ 보안서약서 작성 후 직접 내원하여 열람 가능 □ 시스템 구성도 ○ 보안서약서 작성 후 직접 내원하여 열람 가능
III 사업추진 방안
추진목표
□ 「응급의료에 관한 법률」개정으로 인한 개인정보 수집 체계 마련 □ 「개인정보 보호법」제29조(안전조치의무)에 따른 기술적·관리적 시행 □ NEDIS 시스템을 통해 수집 된 응급환자의 개인정보 및 진료정보 등의 민감정보를 안전하게 관리할 수 있는 환경 구성 □ 개인정보 유출등이 되지 않도록 기술적 안전성 확보
| 요구사항 분류 | 데이터 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | DAR-001 | |
| 요구사항 명칭 | 데이터 표준 수립 및 상위표준 준수 | |
| 요구사항 상세설명 | 정의 | |
| 세부내용 | ❍ 데이터 표준 수립 및 상위표준 준수 - 시스템 고도화(기능 추가 등)에 따라 추가적으로 필요한 데이터 표준(단어, 용어, 도메인, 코드)을 정의하고 데이터베이스 표준(DB표준)에 추가(반영)하여야 함 - DB표준 정의 시 공통표준(공공기관의 데이터베이스 표준화 지침(행정안전부 고시), 공공데이터 공통표준용어·단어·도메인)과 발주기관의 기관표준(기관표준용어·단어·도메인·코드) 또는 국내·외 산업 표준을 준용하여야 하고 공통표준 및 기관표준 준용 여부를 식별할 수 있도록 하여야 함 | |
| 산출 정보 | 표준용어 정의서, 표준단어 정의서, 표준도메인 정의서, 표준코드 정의서 | |
| 관련 요구사항 |
| 요구사항 분류 | 데이터 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | DAR-002 | |
| 요구사항 명칭 | 데이터 표준 관리 | |
| 요구사항 상세설명 | 정의 | |
| 세부내용 | ❍ 데이터 표준관리 방안 제시 - 시스템 구축기간 동안 데이터 표준 관리를 위한 방안(변경이력 포함)을 제시하고 DB표준(용어, 단어, 도메인, 코드)과 데이터 항목의 일치여부를 주기적으로 점검하여야 함 ※ 추가되는 데이터는 공통표준 및 발주기관의 기관표준을 준수하여야 함 | |
| 산출 정보 | 데이터 표준 관리 방안(매뉴얼, 가이드 등) | |
| 관련 요구사항 | DAR-001 |
| 요구사항 분류 | 데이터 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | DAR-003 | |
| 요구사항 명칭 | 데이터 구조 설계 | |
| 요구사항 상세설명 | 정의 | |
| 세부내용 | ❍ 데이터 구조 설계 기준 제시 - 데이터 구조 설계(모델링) 기준을 제시하고 이를 준수하여 데이터 구조를 설계, 구현하여야 함 ❍ 데이터 주제영역 정의 및 개념·논리·물리 모델 설계 - 데이터 활용, 업무요건 변화, 시스템 변경 등으로 인한 DB의 구조적 변화가 최소화될 수 있도록 유연한 구조로 설계하여야 함 - 업무규칙(BR) 처리를 위한 데이터 주제영역, 개념 데이터 모델, 논리 데이터 모델, 물리 데이터 모델이 설계되어야 함 - 데이터 설계 표준(데이터 분류체계, 명명 규칙, DB Object 사용기준 등)을 정의하고 적용하여야 함 | |
| 산출 정보 | 데이터베이스정의서, 엔터티(개체)정의서, 애트리뷰트(속성)정의서, 물리데이터모델다이어그램정의서, 테이블정의서, 컬럼정의서 | |
| 관련 요구사항 | DAR-004, DAR-005 |
| 요구사항 분류 | 데이터 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | DAR-004 | |
| 요구사항 명칭 | 데이터 구조 검증 | |
| 요구사항 상세설명 | 정의 | |
| 세부내용 | ❍ 데이터 구조 검증 - 설계된 데이터 모델은 설계자·개발자·발주기관·전문가 등이 참여하여 검증하여야 함 - 각 단계별 데이터 모델 검증 시 기준을 정의하고 실시하여야 함 예) 논리데이터 모델 검증 기준 : 요구사항 대비 논리 모델의 완전성(논리데이터 모델이 비즈니스 요구사항의 누락 여부) : 정규화 충족 여부 예) 물리데이터 모델 검증 기준 : 중복 테이블 여부, 중복 컬럼 여부, 반정규화된 중복 데이터 정합성 유지 방안 여부 | |
| 산출 정보 | 데이터 모델 검증 계획·결과 | |
| 관련 요구사항 | DAR-003, DAR-005 |
| 요구사항 분류 | 데이터 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | DAR-005 | |
| 요구사항 명칭 | 데이터 구조 관리 | |
| 요구사항 상세설명 | 정의 | |
| 세부내용 | ❍ 데이터 구조 관리 방안 제시 - 시스템 구축기간 동안 데이터 구조 관리를 위한 방안(변경이력 포함)을 제시하고 DB의 형상과 물리데이터 모델의 형상 일치 여부를 주기적으로 점검하여야 함 | |
| 산출 정보 | 데이터 구조관리 방안(매뉴얼, 가이드 등) | |
| 관련 요구사항 | DAR-003, DAR-004 |
| 요구사항 분류 | 데이터 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | DAR-006 | |
| 요구사항 명칭 | 데이터 값 검증 | |
| 요구사항 상세설명 | 정의 | |
| 세부내용 | ❍ 데이터 값 진단 계획 수립 - 데이터 값 검증 범위(전체 또는 일부), 시기, 방법을 사업 계획에 명시해야 함 ❍ 데이터 값 진단 수행 및 검증 - 목표시스템에 추가되는 데이터의 특성을 분석하고, 대상 DB(시스템)의 구축·운영 근거(법령, 규정, 규칙, 매뉴얼 등)을 참고하여 데이터 특성에 부합하는 업무규칙(BR)을 정의하여야 함 - 공공데이터 범정부 품질진단 기준* 및 업무규칙(BR)에 따라 주기적으로 값 검증을 수행하여야 함 * 공공데이터 품질관리 매뉴얼 참고 - 데이터 값 검증 결과에 따른 오류데이터를 개선하고, 오류로 인한 영향도, 오류유형별 조치 방법 등을 관리하여야 함 - 반복적으로 발생하는 동일 오류가 있는 경우 재발 방지 방안을 제시하고 개선활동을 수행하여야 함 - 오류 데이터 입력 방지(사전검증) 방안을 제시하여야 함 - 운영시스템(DB)의 구축·운영 근거(법령, 규정, 규칙, 매뉴얼 등) 관련 정책이 변경되는 경우 업무규칙(BR)을 추가 발굴 또는 정비하여야 함 | |
| 산출 정보 | 데이터 값 진단 계획·결과, 업무규칙 정의서 | |
| 관련 요구사항 | DAR-003, DAR-004 |
| 요구사항 분류 | 데이터 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | DAR-007 | |
| 요구사항 명칭 | 데이터 관리체계 수립 | |
| 요구사항 상세설명 | 정의 | |
| 세부내용 | ❍ 운영단계까지 지속적으로 적용가능한 데이터 관리체계 정의 - 데이터 표준, 구조, 값 등 데이터 핵심 요소의 지속적인 관리를 위한 조직과 역할을 정의하여야 함 - DB표준(단어·용어·도메인·코드)의 추가, 변경, 삭제 절차를 수립하여야 함 - 데이터 구조(논리·물리)와 관련된 추가, 변경, 삭제 절차를 수립하여야 함 - 관리체계에는 표준 준수율, 구조 현행화율, 값 검증 오류율 등 명확한 관리기준을 제시하여야 함 ❍ 연계데이터 관리방안 제시 - 제공기관 및 활용기관 간 연계데이터의 정합성이 유지되도록 방안을 제시하고 구축하여야 함 - 연계데이터 목록을 정의하고 관리 방안을 제시하여야 함 - 연계 정보(송·수신 구분, 정보명, 주기), 연계 항목(항목명, 설명, 데이터 타입, 길이), 항목 출처(DB, 테이블, 컬럼명), 제공기관, 활용기관 등 - 연계데이터를 제공 및 활용하는 기관 상호 간의 데이터 품질 확보를 위해 연계표준이나 기준 등을 협의하고, 정기적인 연계데이터 정합성 검증을 수행하여야 함 | |
| 산출 정보 | 데이터(표준, 구조, 값) 관리 매뉴얼, 연계 데이터 관리 매뉴얼 | |
| 관련 요구사항 | DAR-001, DAR-002, DAR-003, DAR-004, DAR-005, DAR-006 |
| 요구사항 분류 | 데이터 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | DAR-008 | |
| 요구사항 명칭 | 메타데이터 현행화 | |
| 요구사항 상세설명 | 정의 | |
| 세부내용 | ❍ 운영단계까지 지속적으로 적용 가능한 데이터 관리체계 정의 - 데이터 표준, 구조, 값 등 데이터 핵심 요소의 지속적인 관리를 위한 조직과 역할을 정의하여야 함 - DB표준(단어·용어·도메인·코드)의 추가, 변경, 삭제 절차를 수립하여야 함 - 데이터 구조(논리·물리)와 관련된 추가, 변경, 삭제 절차를 수립하여야 함 - 관리체계에는 표준 준수율, 구조 현행화율, 값 검증 오류율 등 명확한 관리기준을 제시하여야 함 (연계 데이터가 없는 경우 하단의 요구사항 생략 가능) ❍ 메타데이터 현행화 - 목표시스템의 메타데이터 표준 관리 항목이 발주기관의 메타데이터 관리시스템과 중앙 메타데이터 관리시스템에 등록 및 현행화 되도록 지원하여야 함 ※ 발주기관에서 운영 중인 메타데이터 관리시스템이 없는 경우 문서, 파일 등으로 메타데이터 항목을 작성하여 제출하여야 함 (개방 가능 데이터가 아닌 경우 하단의 요구사항 생략 가능) ❍ 개방 데이터 서비스 연속성 확보 - 기존 시스템(DB)과 연관된 개방데이터 목록을 식별하고 본 사업으로 추가되는 데이터를 포함하여 개방될 수 있도록 지원하여야 함 | |
| 산출 정보 | 메타데이터 현행화 결과, 개방데이터 서비스 연속성 확보 방안 계획·결과 | |
| 관련 요구사항 |
| 요구사항 분류 | 데이터 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | DAR-009 | |
| 요구사항 명칭 | 보건의료데이터 표준화 | |
| 요구사항 상세설명 | 정의 | 보건의료데이터 표준화를 위해 보건의료 정보시스템 운영기관이 준수해야 할 사항을 제시하여 기관 간 상호운용성 확보 |
| 세부내용 | ❍ 「보건의료데이터 용어 및 전송 표준(보건복지부고시)」준수하여야 함 ❍ 「보건의료데이터 용어 및 전송 표준」 [별표1]에 따른 한국핵심 교류데이터(KR CDI) 항목과 항목 값 활용하여야 함 ❍ 「보건의료데이터 용어 및 전송 표준」 [별표2]에 따른 한국 핵심 교류데이터 전송 표준(KR Core)을 활용하여야 함 ❍ 한국 핵심교류데이터, 한국 핵심교류데이터 전송 표준은 보건의료정보 시스템에 등록하여야 함 | |
| 산출 정보 | ||
| 관련 요구사항 |
| 요구사항 분류 | 데이터 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | DAR-010 | |
| 요구사항 명칭 | 이관 데이터 값 검증 | |
| 요구사항 상세설명 | 정의 | 목표 시스템으로 데이터 이관 |
| 세부내용 | (이관 데이터가 없는 경우 하단의 요구사항 생략 가능) ❍ 데이터 이관 계획 수립 - 정보시스템의 데이터 특성을 고려하여 데이터 이관 방안(범위, 절차, 시기, 환경, 순서, 전략 등)을 계획하여야 함 * 이관 우선순위 : 코드 데이터 이관 후 트랜잭션 데이터 이관 등 ** 이관 방식 : 일괄 이관 또는 점진적 이관 등 - 이관 데이터 GAP 분석과 데이터 매핑의 정의, 데이터 정제 및 백업과 복구 방안 수립에 대한 산출물을 포함하여야 함 - 민감 데이터(개인정보 등)에 대한 정보보호 확보방안을 포함하여야 함 ❍ 이관 데이터 정제방안 수립 - 원천 데이터 정제작업 수행 시 이관 데이터 정제작업에 대한 내용을 포함해야 함 * 원천 데이터 정제방안 : 수작업, 데이터 매핑을 통한 규칙 적용, 프로그래밍 등 ** 이관 데이터 정제방안 : 건별 수작업, 수정삭제재생성 등 ❍ 이관 데이터 정합성 검증 - 여러 차례의 단계별 테스트를 수행하여 이관 작업 간 발생할 수 있는 모든 위험 요소를 발견·제거하고 이관 작업을 수행하여야 함 - 매핑 정의서의 매핑 규칙에 맞게 이관되었는지 검증하여야 함 - 기존 시스템의 값과 목표시스템의 값에 대한 정합성을 검증하여야 함 - 단계별 이관 데이터 정합성 검증을 통하여 목표시스템 데이터의 무결성 보장방안을 제시하여야 함 | |
| 산출 정보 | 이관 데이터 검증 계획·결과 | |
| 관련 요구사항 |
사. 테스트 요구사항
| 요구사항 분류 | 테스트 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | TER-001 | |
| 요구사항 명칭 | 테스트 요구사항 | |
| 요구사항 상세설명 | 정의 | 필수 테스트 요구사항 제시 |
| 세부내용 | ❍ 통합테스트 시나리오에 따라 단위테스트가 완료된 프로그램들을 대상으로 다음 사항 검증 - 기능, 성능 등의 요구사항 및 설계사양 충족여부 검증 - 기능의 정상적 수행여부 검증 등 - 기능수행 후의 결과가 사전에 예측된 결과와 일치하는지 검증 - 시스템의 접근권한 및 업무 권한에 대한 적절성 검증 - 대내시스템 간, 영역 간 연계 및 이를 포함하는 업무 흐름 검증 - 대외기관 연계 및 이를 포함하는 업무 흐름 검증 - 결함을 파악하고 원인을 추적하여 결함을 제거 |
아. 보안 요구사항
| 요구사항 분류 | 보안 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | SER-001 | |
| 요구사항 명칭 | 정보보호 및 기술보안 | |
| 요구사항 상세설명 | 정의 | 안전한 사업 수행을 위해 철저한 보안관리 |
| 세부내용 | ❍ 본 사업에 참여하는 인원에 대해서는 사업투입 전, 신원조회를 위한 “보안서약서”를 제출 - 계약업체는 용역사업 수행 전 참여인원에 대해 법률 또는 규정에 의한 비밀 유지 의무 준수 및 위반 시 처벌내용 등에 대한 보안교육 실시 ❍ 용역사업과 관련한 보안관리 책임은 수주사 대표에게 있으며, 대표는 용역사업 전반의 보안업무를 수행하는 ‘보안관리 책임자’를 지정 ❍ 본 사업 수행 시 노트북 반입을 금지하며, 데스크톱 반입 시(SSD 탑재 불가) 윈도우11 운영체제를 설치하여야 하며, 백신을 반드시 설치 - 계약업체는 보안인식강화를 위해 주기적으로 자체 보안교육을 실시해야 하며, 주관기관이 요구하는 보안교육에 참석 ❍ 본 사업에 반입된 PC는 본 사업 참여인력의 용역종료 시까지 반출을 금지, 부득이하게 외부반출이 필요한 경우에는 최소한의 장비만 반출승인을 받은 후 반출 - 사업에 참여한 사업자가 활용한 PC 및 서버의 경우, 사업 완료 후 자료의 복구가 불가능 하도록 조치 - 계약업체는 사업관련 자료를 보유해서는 안 되며, 이를 위반 시 향후 법적책임이 있음을 포함한 “대표자용 보안확약서” 및 “참여자용 보안 확약서”를 작성하여 제출 |
| 요구사항 분류 | 보안 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | SER-002 | |
| 요구사항 명칭 | 관리·물리·기술적 보안 | |
| 요구사항 상세설명 | 정의 | 정보 보안 일반 사항을 정의 |
| 세부내용 | ❍ 프로젝트 사무실, 중요장비 설치장소에 대한 출입보안을 실시해야 함 ❍ 문서 보안 - 생성 문서는 별도의 시건 장치가 된 곳에 안전하게 보관 - 폐기 문서는 안전한 방법으로 폐기 ❍ 시스템/네트워크/DB 보안 - 공유자원에 대한 접근제어가 사용자 권한에 따라 이루어지는지 관리해야 함 - 네트워크 관리자 접속용 계정의 비밀번호는 기본 비밀 번호가 아닌 복잡도가 높은 비밀번호로 변경하여 사용해야 함 - 비밀번호의 길이 및 사용주기를 제한하고 불필요한 기본값 계정을 삭제하는 등 서버 사용자 비밀번호로 관리해야 함 - 신규 구축 및 운용시스템에 대한 서버 보안취약점 점검 및 FTP, Telnet, Finger 등 불필요한 서비스 포트 제거 등 보안사항 점검 및 조치를 이행해야 함 ❍ PC 보안철저 - 비밀번호 사용 및 주기적인 변경 - 사용자 PC 백신 프로그램 최신 상태 유지 - 개인소유의 PC 및 보조기억장치 반입·반출 통제 ❍ 불의의 사고로 인하여 시스템이나 파일이 피해를 입더라도 최근에 백업한 시점의 내용으로 복구할 수 있도록 백업 실시해야 함 | |
| 산출 정보 | 보안점검매뉴얼, 백업관리대장 | |
| 관련 요구사항 |
| 요구사항 분류 | 보안 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | SER-003 | |
| 요구사항 명칭 | DB 보안 | |
| 요구사항 상세설명 | 정의 | |
| 세부내용 | ❍ DBA (DB관리자) - 데이터베이스 관리자를 따로 지정하여 데이터베이스 관리 - DB 사용자를 등록하고 적절한 역할(Role)과 권한(Privilege) 부여 - DB 사용자의 임의 접근을 차단하고, 접근을 허가한 경우라도 신청자의 업무와 관련된 DB 접근만 허가 ❍ DB 사용자 - DB Application사용자는 정당한 사유 없이 Prompt에 접근금지 - 업무상의 이유로 DB에 접속할 경우라도 반드시 DBA의 허가를 득한 후 사용 ❍ DB 저장 시 보안이 필요한 필드는 암․복호화 - 적용 대상 : 암호화 되어 저장해야 할 보안 필드 - 적용 방안 : 데이터베이스 보안솔루션 활용 또는 별도의 모듈로 암․복호화 ❍ 암호화 대상 - DB서버 내 개인식별정보, 사용자 패스워드 | |
| 산출 정보 | ||
| 관련 요구사항 |
| 요구사항 분류 | 보안 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | SER-005 | |
| 요구사항 명칭 | 서버 취약점 점검 | |
| 요구사항 상세설명 | 정의 | |
| 세부내용 | ❍ FTP, Telnet, Finger 등 불필요한 서비스 포트 제거 등 서버 보안취약점 점검 및 조치 ❍ 서버 내 저장자료에 대해 업무별․자료별 중요도에 따라 개별사용자의 접근 권한 차등 부여 ❍ 개별사용자별 자료 접근범위를 서버에 등록하여 인가 여부 식별 및 인가범위 이외 자료는 접근 통제 ❍ 관리자용 서비스 접속 시 특정 IP주소가 부여된 관리자용 단말기 지정․운용 ❍ 서버 설정 정보 및 저장자료에 대한 정기적 백업 시행 ❍ Windows 계열 시스템의 백신 프로그램 설치 및 자동 패치 기능 활성화를 위한 최신 버전 유지 ❍ 신규 서버는 공지된 보안취약점 제거 후 정보통신망과 연동하고 정기적 보안 취약점 패치 실시 ❍ 계정 암호는 발주기관 정보보안세부지침에 규정된 비밀번호 규칙에 따라 분기 1회 이상 변경 | |
| 산출 정보 | 테스트 계획서, 테스트 시나리오, 테스트 결과서 | |
| 관련 요구사항 |
| 요구사항 분류 | 보안 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | SER-006 | |
| 요구사항 명칭 | 시큐어코딩 가이드 준수 | |
| 요구사항 상세설명 | 정의 | |
| 세부내용 | ❍ JAVA 시큐어코딩 가이드를 준수해야 함(개인식별정보 등) ❍ 수행단계에 따라 이행할 사항의 가이드는 다음과 같음 - 요구정의단계 : 시큐어코딩 표준 작성 및 개발자 교육 실시 - 설계 및 구현 단계 : 시큐어코딩 표준 준수 및 검토 -「소프트웨어 개발보안 가이드」(행정안전부)를 적용하여 소스코드 수준에서 취약점 사전 발굴 제거 - 테스트 단계 : 시큐어코딩 진단 및 보안 취약점 보완 ❍ 시스템 구축 완료 후, 국가정보원, 행정안전부에서 권고하는 보안 진단 항목을 통해 시스템을 점검해야 함 ❍ 홈페이지의 시큐어 코딩 및 보안취약점 조치는 다음의 규정을 참고하여 수행 - 시스템개발 시 행정안전부「소프트웨어 개발 보안 가이드」준수 - 국정원「홈페이지 보안관리 매뉴얼」 ※ 파일 업로드·SQL injection·XSS 공격 등 10대 보안취약점 확인 및 제거 조치 - 행정안전부「행정기관 및 공공기관 정보시스템 구축 운영지침」준수 ※ 시큐어 코딩 적용 후 적용 결과보고서 제출 ❍ 코드 분석 시 PMD(Programming Mistake Detector) 또는 자체 검토가 가능한 Tool을 사용하여 정적코드 분석 수행 ❍ 모든 응용프로그램에 대한 웹 보안성 구현 및 검증방안 제시 ❍ 응용프로그램 개발 시 웹서비스 취약점을 고려하고, 앱 운영 시 해킹 피해가 발생하지 않도록 조치 ❍ 자동 디렉토리 리스팅 기능 사용 중지, 관리자페이지 외부 노출 금지, 입력값 검증 및 인증, 시큐어 코딩 규칙을 적용하여 개발하는 등 보안 조치 | |
| 산출 정보 | 시큐어코딩 표준, 교육결과서, 시큐어코딩 진단보고서 | |
| 관련 요구사항 |
| 요구사항 분류 | 보안 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | SER-007 | |
| 요구사항 명칭 | 페이지 보안 | |
| 요구사항 상세설명 | 정의 | |
| 세부내용 | ❍ SQL인젝션, 크로스사이트스크립팅, 웹쉘 업로드, 임의파일 다운로드 등의 웹 취약점이 없어야 함 ❍ 관리자를 위한 별도의 클라이언트 프로그램을 제공할 경우 악용 가능한 취약점이나 기능이 없어야 함 ❍ 중요데이터(개인정보 및 중요업무자료)의 경우 서버 저장자료 및 모바일 단말과 서버 사이 송수신 데이터 암호화 ❍ 게시판 프로그램 등 웹 응용소프트웨어 소스 코드 보안취약점 사전 발굴 제거(인증 우회 방지 및 입력정보 적합성 검사 등) | |
| 산출 정보 | ||
| 관련 요구사항 |
자. 품질 요구사항
| 요구사항 분류 | 품질 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | QUR-001 | |
| 요구사항 명칭 | 신뢰성 | |
| 요구사항 상세설명 | 정의 | 시스템 무중단 운영 |
| 세부내용 | ❍ 시스템은 정상상태에서 24시간 무중단 서비스를 제공해야 함 ❍ 시스템은 정상 상태에서 예상하지 못한 외부 메시지가 수신되면, 운영자에게 알리고 진행 중이던 동작을 중단 없이 계속 수행해야 함 ❍ 장애 또는 징후가 발생해 조치 요청 시 즉시 복구에 임해야 하며, 현장 방문 조치가 필요한 경우 4시간 이내에 현장 도착 필요 ❍ SLA 기반의 사업관리가 될 수 있도록 정보화 환경에 맞춘 지표를 개발 제시 | |
| 산출 정보 | 장애처리보고서 | |
| 관련 요구사항 |
| 요구사항 분류 | 품질 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | QUR-002 | |
| 요구사항 명칭 | 사용성 | |
| 요구사항 상세설명 | 정의 | 사용자 운영성 및 도움말 제공 |
| 세부내용 | ❍ 시스템은 실행 시에 오류를 최소화하기 위하여 사용자가 시스템 동작을 취소할 수 있는 기능을 제공해야 함 ❍ 시스템에서 제공하는 사용자 기능은 온라인 도움말을 제공해야 함 ❍ 시스템에서 제공하는 인터페이스 기능과 방법은 관리자 매뉴얼에 포함해야 함 | |
| 산출 정보 | 사용자 매뉴얼, 관리자 매뉴얼 | |
| 관련 요구사항 |
| 요구사항 분류 | 품질 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | QUR-003 | |
| 요구사항 명칭 | 유지보수성 | |
| 요구사항 상세설명 | 정의 | 시스템 업그레이드 및 확장, 무상보증 |
| 세부내용 | ❍ 시스템은 새로운 기능을 구현하기 위해 필요한 경우 업그레이드가 가능해야 함 ❍ 시스템은 보안사고 예방, 성능 개선 등이 발생하는 경우 패치를 할 수 있어야 함 ❍ 시스템의 하자보증기간은 검수완료일로부터 12개월로 함 ❍ 시스템 확장 시 - 데이터의 재분배 없이 수평적인 확장이 가능해야 함 - 성능저하 없이 처리용량이 선형적으로 증가해야 함 | |
| 산출 정보 | ||
| 관련 요구사항 |
| 요구사항 분류 | 품질 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | QUR-004 | |
| 요구사항 명칭 | 이식성 | |
| 요구사항 상세설명 | 정의 | 시스템 상호운용 |
| 세부내용 | ❍ 시스템은 서버, 외장 디스크 및 백업장치 간 호환성을 제공해야 함 ❍ 시스템의 소프트웨어와 하드웨어는 전체 정보화사업과 관련 장비와 상호호환성을 제공해야 함 | |
| 산출 정보 | ||
| 관련 요구사항 |
| 요구사항 분류 | 품질 요구사항 | |
|---|---|---|
| 요구사항 고유번호 | QUR-005 | |
| 요구사항 명칭 | 표준성 | |
| 요구사항 상세설명 | 정의 | 공통 표준화 항목 |
| 세부내용 | ❍ 행정업무용 표준관리규정에 의한 각종 전자정부 표준을 준수하고, 행정표준코드를 적용하여야 함 ❍ 전자정부 구축을 위한 기술 아키텍처 표준을 제시한 ‘정보시스템 구축․운영 지침’을 준수토록 하여야 함 ❍ 최신의 정보 보호 관련 국내 및 국제 표준 기술을 수용하여야 함 ❍ 정보 교환에 관련된 데이터 코드 및 정보처리 제반기술을 표준화 하여야 함 | |
| 산출 정보 | ||
| 관련 요구사항 |