제 안 요 청 서 [2026년 한국연구재단 대국민 홍보채널 활성화 용역]

2026. 5.

담 당	부 서 명	성 명	전 화
사 업	홍보전략팀	최정인	042-869-6854
계 약	구매자산팀	장범진	042-869-6232

이 자료는 한국연구재단 제안서 작성 이외의 목적으로 복제, 전달 및 사용을 금함

Ⅰ		사업 개요

□ 사업개요

한국연구재단의 역할과 성과를 체감할 수 있는 홍보콘텐츠의

전문적 제작과 효과적 확산을 통해 연구자 및 국민과의 소통 강화

□ 용역개요

1. 용 역 명 : 2026년 한국연구재단 대국민 홍보채널 활성화 용역

2. 용역기간 : 계약일로부터 365일

※ 저작권, 초상권, 사용권 문제 시 하자책임기간(사업종료 후 1년) 이후에도 수행자 책임으로 귀속

3. 기초금액 : 118,366,000원(부가가치세 포함)

4. 추진방식 : 제한경쟁입찰(협상에 의한 계약)

□ 용역범위

- SNS 채널 활성화 전략 수립 및 운영·관리

- SNS 채널 홍보 콘텐츠 기획·제작

- 시민참여단(대학생 중심) 운영 및 활용 홍보

- 대외 캠페인 운영 및 홍보

- 기타 홍보 활성화 관련 지원

- 과업 결과 보고

구분	주 소	비고※
유튜브	http://www.youtube.com/@nrf3530	구독자 1.16만명(2015.8.~)
블로그	http://blog.naver.com/nrfcitizen	게시물 521건(2022.7.~)
페이스북	https://www.facebook.com/NRFPR	팔로워 1.4만명(2014.8~)
인스타그램	https://instagram.com/official_nrf	게시물 366건, 팔로워 9,249명

※2026.4월 기준

Ⅱ		제안요청 내용

□ SNS 채널 활성화/홍보 콘텐츠 기획·제작·운영 및 관리

과 업	SNS채널 활성화/홍보 콘텐츠 기획·제작·운영 및 관리
목 적	• 재단의 대·내외 홍보를 담당하는 공식 SNS 채널 (유 튜 브) 전연령이 즐길 수 있는 대중친화적 영상 콘텐츠 중심(예능형 및 정보전달 등) (인스타그램) MZ세대를 겨냥한 릴스, 연구성과 및 기관경영 관련 스낵 콘텐츠 등 노출 전략 알고리즘을 적극 활용한 관심유발 콘텐츠 중심 (페이스북) 연구성과 위주 기사형 콘텐츠 등 정보전달 콘텐츠 중심(재단 채널 미러링 필수) (블 로 그) 연구성과 위주 기사형 콘텐츠 등 정보전달 콘텐츠 중심(재단 채널 미러링 필수) (시민참여단) 대학생 위주의 시민참여단 활용을 통한 국민체감형 성과홍보 콘텐츠 생산
① SNS 채널 활성화 전략 수립 및 운영․ 관리	가. SNS 채널별 운영전략 수립 및 목표 제시 • SNS 채널 분석 및 연간 홍보계획 수립 - 재단 특성 및 최신 트렌드에 대응하는 매체 연간 운영 계획, 주요 타깃 등 맞춤형 운영계획 수립 - SNS 채널 콘셉트 제안(각 매체별 페이지 리뉴얼, 방향성 제시 등) - SNS 채널 간 시너지효과를 위한 매체별 유기적이고 효과적인 운영 방안 제시 • 결과물 확산을 위한 상위노출 전략 알고리즘 확산 방법 제시 - 채널별 맞춤형 알고리즘 확산 전략 수립을 통한 콘텐츠 확산 전략 기획 - 채널별 콘텐츠 활용 구독자 참여형 이벤트 추진을 통한 채널 활성화 및 소통 강화 - 효율적인 콘텐츠 확산 전략 및 채널별 조회수·도달률 부스팅 전략 제시 필요 ※ 알고리즘 전략 및 침여형 이벤트 등 수반하는 모든 비용은 용역비에 포함 나. SNS 채널 운영 전략 시행 및 분기별 실적 보고 • 채널 운영 및 월별 콘텐츠 제작기획 실무회의 추진(월 1회) - 채널별 정량적 달성 수치와 달성 방안 구체적 제시 및 시행 - 월별 신규 콘텐츠 반응 및 구독자 수 변동 등 주요 현황 분석 및 보고 ※ 예산 내 실현 가능한 방안을 제시하되, 기간·횟수 등은 협의를 통해 조정 가능 다. SNS 채널 운영·관리 및 모니터링 • SNS 채널 레이아웃 및 스킨, 프로필 이미지 등 채널 운영에 필요한 기본 이미지 제작 - 계절별 SNS 채널 스킨 이미지 제작 및 교체(2회) • 과업 수행으로 제작된 영상 및 이미지 콘텐츠 게시·관리 • 채널별 상시 모니터링을 통한 이슈 확인 및 적시 대응·보고 - 구독자와 신뢰 형성을 위한 상호작용(댓글, 좋아요 등), 댓글 유형별(욕설, 광고성, 질문형, 민원형 등) 대응 방안 등 관련 매뉴얼 구축 라. SNS 채널 활성화를 위한 이벤트 기획·운영 • 채널별 댓글·팔로우(구독) 등 대국민 이벤트 기획 및 추진(연 6회) - 채널 간 이벤트 빈도를 고려하여 실시 - 당첨자 선정, 안내, 댓글 관리, 경품발송, 사후관리 등 이벤트 진행 전반에 관한 모든 사항 담당 ※ 이벤트 운영에 수반하는 모든 비용은 용역비에 포함 ※ 이벤트 운영에 수반하는 개인정보 관리 필수 ※ 발주처 제공 기초자료의 단순 제작 아닌 자체 발굴․ 제작 오리지널 콘텐츠 포함 콘텐츠 기획․ 제작․ 운영
② SNS 채널 홍보 콘텐츠 기획․ 제작	가. 공식유튜브 • 트렌드, 밈, 재미요소를 반영한 신규 예능 콘텐츠 기획·제작(총 5건) - 알고리즘을 통해 새로운 구독자의 유입 증대를 유도하는 콘텐츠로 기존 재단 유튜브 제작 방식에 얽매이지 않는 참신한 접근 필요 • 연구성과 및 기관경영 관련 교양예능 콘텐츠 기획·제작(총 5건) - 실생활에 유용한 연구성과를 교양예능 형식으로 국민에게 들려주는 영상 콘텐츠 제작 - 기관경영을 주제로 한 교양예능 형식 콘텐츠를 통해 재단의 사회적 기여도를 대국민에게 확산 - 국민들의 흥미를 끄는 컨셉 및 구성 필요(알쓸신잡, 벌거벗은 세계사, 카이스트· NTIS 유튜브 등 참고) • 유튜브 영상 콘텐츠를 제가공한 쇼츠·릴스 및 오리지널 숏폼 콘텐츠 제작(총 30건) • 재단 제공 영상 콘텐츠(연구성과, 재단 주요 사업 안내, 행사 등) 게시 및 관리 - 제목 기획 및 썸네일 제작 등 콘텐츠 게시 관련 제반 사항 포함 나. 공식 인스타그램 및 페이스북 • 재단 사업소개 및 연구성과 등 기관 홍보 콘텐츠 기획·제작(월 3건) - 카드뉴스, 포토툰 등 채널 특성에 맞는 이미지 중심 콘텐츠 - 웹진 요약 등 재단 관련 콘텐츠를 흥미롭게 풀어낸 스토리텔링형 콘텐츠 ※ 제작 기간, 분량, 콘셉트 등을 명확하게 제시 • 트렌드에 맞는 캐릭터 및 디자인을 활용해 재단 내 일상소개 인스타툰 기획·제작(월 1건) • 트렌드, 밈, 시의성 등을 반영한 흥미 유발 콘텐츠 기획·제작(월 1건) - 재단과 직접적 관련이 없는 채널 유입 및 체류 유도 콘텐츠 다. 공식 블로그(시민공감) • 재단 지원 연구성과 홍보 콘텐츠 기획·제작(월 2건 내외) - 재단 보도자료 활용 및 자체 기획 가능 • 시민참여단 자체 기획·제작 콘텐츠 지원 및 관리 - 시민참여단 1인당 매월 1건 이상 콘텐츠 업로드 - 시민참여단 제작 콘텐츠 검수 및 관리 • 블로그 활성화를 위한 카테고리 개선 및 콘텐츠 제안 가능 라. 기타 SNS 지원 공통 사항 (수시) • 모든 콘텐츠 제작에 필요한 기획, 자료 수집, 취재, 집필, 제작, 편집, 업로드 총괄 ※ 콘텐츠 제작에 수반하는 모든 비용은 용역비에 포함 ※ 작가는 업체에서 추진하되, 최종결정은 발주체와 협의 • 하나의 콘텐츠가 다양한 채널에 활용될 수 있도록 기획·제작 • 상시 업로드가 요구되는 홍보 이미지(주요 소식 및 행사, 기념일 등) 제작 • 사회적 이슈 또는 재단 이슈에 적합한 긴급 대응 콘텐츠 제작 • 제작 결과물 파일 원본 제출 ※ 디자인 전문역량 필수, 심미성 있는 흥미로운 이미지 디자인 제안 ※ 사업 운영에 따라 발주처와 조율 가능 ※ KPI 제안 필수
③ NRF 시민참여단 운영 및 홍보	가. NRF 시민참여단 운영 • 한국연구재단 시민참여단 운영 및 활용 홍보전략 수립 - 기존 시민참여단 운영 결과 분석에 따른 전반적인 개선 방안 제시 - 재단 공식 블로그(시민공감)와 연계하여 운영 • NRF 시민참여단 신규 선발·운영(약 9개월 진행) - 참여단 모집(대학생 위주로 개편) 및 선발(총 8명 내외 선발 예정), 사후관리 등 총괄 - 발대식, 우수 시민참여단 선발, 콘텐츠 기획 회의 등 활동 지원 - 기타 행정 지원 업무 수행(활동비, 원고료, 포상금 지급 등) ※ 시민참여단 운영에 수반하는 모든 비용은 용역비에 포함
④ 기타 홍보 활성화 관련 지원	가. 한국연구재단 브랜드 인지도 확산을 위한 이미지 기획·제작 • 대외 신문광고 및 배너광고용 재단 대표 이미지 제작(3건) - 재단의 정체성을 반영하는 이미지 제안 필수 • 재단 마스코트(늘프)를 활용한 다양한 이미지컷 개발 나. 기타 재단과 협의하여 진행
⑤ 전담인력 구성 및 운영	가. 과업 수행을 위한 전담인력 구성(PM·PD·작가·촬영·영상편집 등 전문 인력) • 유사 프로젝트 경험이 있는 전문 인력으로 구성해야 하며, 채널 운영 및 콘텐츠 제작·확산과 관련한 전문 관리인력(PM)은 과업별 필수 배정
⑥ 과업 최종 결과 보고	가. 연간 수행실적 보고(과업 종료일로부터 7일 이내) • 세부추진 사업별 결과 보고 및 연간 통계자료 종합보고 나. 통합 고객 만족도 조사 실시 및 결과 분석 • 과업별 종료 시점에 맞춰 국민(참여자) 대상 설문조사를 실시하고, 설문조사에서 분석된 내용을 바탕으로 시사점 및 향후 관리 방안 도출
⑦ 디자인과제 (발표용)	가. 재단 공식 인스타그램 계정 내 콘텐츠 임의 선택 후 디자인 재가공 • 재단 공식 인스타그램 계정에 게시된 콘텐츠 중 1개 임의 선택 후 표지(1면)만 재디자인해 제출 ※ 디자인 평가 시 참고자료용으로 제출(발표 평가 시 발표 필요)

Ⅲ		사업 수행 시 이행조건

가. 용역 수행자는 기획·제작·운영 시 발주처와 협의한다

나. 용역 총괄책임자는 임원급으로 하며, 전담 PM은 제작기간 중 100% 투입가능한 자로 한다

다. 제공된 자료는 본 용역 수행 이외 다른 용도로 이용할 수 없다

라. 용역 수행자는 특별한 사유가 없는 한 발간시점 등 기한을 준수하여야 한다

마. 용역 수행자는 오류의 수정 혹은 재제작 요구에 응하여야 한다

바. 용역 종료시 인계 등 사후관리를 위한 발주처 요청에 응하여야 한다

사. 용역 관리를 위한 시스템 안정화를 통해 서비스를 안정적으로 운영한다

아. 웹 표준 및 접근성 지침 등 제반법령 및 발주처 규정 등을 준수한다

자. 웹 취약점 보완 및 개인정보보호 관련 제반 법령 및 발주처 규정 등을 준수한다

차. 본 사업은 「소프트웨어 진흥법」 제50조, 같은 법 시행령 제47조 제1항 제2호, 제3호에 따른 과업내용 변경 및 그에 따른 계약금액·계약기간 조정이 필요한 경우, 계약상대자는 국가기관등의 장에게 소프트웨어사업 과업변경요청서*를 제출하여 과업심의위원회의 개최를 요청할 수 있다.「소프트웨어사업 계약 및 관리감독에 관한 지침」 별지 13호 서식 참조

* 본 사업은 「소프트웨어 진흥법」 제50조에 따른 과업내용 확정을 위하여 과업심의위원회를

개최한 사업임

카. 과정별 보고

종 류	시 기	내 용	비 고
착수보고	계약 후 10일 내	인력, 일정, 콘텐츠 구성(안) 등	파일 및 제본
분기보고	분기별 첫째 주 내	주제, 섭외, 콘텐츠 구성 등	발주처 협의
정기보고	월 1회	진행 현황 보고 등	발주처 협의
수시보고	요청 시 7일 내	발주처 요청에 따른 보고서	파 일
최종보고	계약 만료일 전	최종보고서(과업 수행효과 분석 포함)	파일 및 제본

※ 일정은 변경될 수 있음.

IV		제안서 작성 지침

1. 제안서 효력

가. 제안서에 제시된 내용과 발주처의 요구에 따라 수정, 보완, 변경된 제안내용은 계약서에 명시하지 아니하더라도 계약서와 동일한 효력. 다만, 계약서에 명시된 경우는 계약서가 우선.

나. 발주처는 필요시 제안사에 대하여 추가 제안 또는 자료를 요구할 수 있으며, 이에 따라 제출된 자료는 제안서와 동일한 효력

다. 제안서의 내용은 발주처가 요청하지 않는 한 변경할 수 없음

라. 제안서 및 서류의 기재사항이 허위/불일치할 경우 규정에 따라 처리

2. 제안서 작성지침

가. 제안요청서의 모든 사항 기술하며, 향상된 내용으로 제안 가능

나. 제안서 목차 및 작성지침에 따라 누락 없이 작성, 제안요청서의 요구항목이 어느 부분에 기술되었는지 참조표 제시

다. 한글 또는 파워포인트로 A4 형태로 작성. 페이지 번호 및 각 장별 번호 부여

라. 객관적으로 입증할 수 있는 관련 자료는 별첨으로 제출

마. 명확한 용어로 표현하여야 함. 예로 ‘사용가능하다’,‘할 수 있다’, ‘고려하고 있다’ 등과 같이 모호한 표현은 평가 시 불가능한 것으로 간주

바. 계량화할 수 있는 것은 계량화. 금액 관련 모든 사항은 부가세를 포함하는 금액으로 작성

사. 제안과 관련된 소요비용은 제안사 부담

3. 제안서 목차

- 제안서 본문은 60매 이내, 요약본 30매 이내로 작성 권고(별첨 제외)

- 제안서 목차에 따라 누락 없이 작성

- 요약본은 제안설명 시 발표자료로 활용

- 양장제본, 제안설명 시 제안사 홍보용 동영상 활용 금지

작 성 항 목	세 부 작 성 지 침
Ⅰ. 제안개요	․ 제안의 목적, 범위, 전제조건, 특장점 요약 기술
Ⅱ. 제안업체 일반 1. 일반현황 2. 조직 및 인원 3. 주요 사업내용 4. 주요 사업실적	․ 현황, 연혁, 3년간 자본금 ․ 부문별 매출(참고 서식 활용) ․ 전체 조직, 인원현황, 관련 조직 명시(참고 서식 활용) ․ 분야별 주요 사업내용 제시 ․ 관련 실적 제시(참고 서식 활용, 증빙은 별도 첨부)
Ⅲ. 제안내용 1. 제안 배경 및 내용 2. 제작 ․ 운영 전략 3. 제작 ․ 운영 계획 4. 콘텐츠 표현 전략	․ 재단 정체성에 맞는 SNS 홍보콘텐츠(영상, 이미지 등)채널 기획, 재정비, 제작 계획 등 제시 * 채널별 콘텐츠 기획 ․ 구성 예시 필수 * 썸네일, 블로그 스킨 등 디자인 예시 필수 * 제안의 특징과 장점 제시 ․ 효과적인 온라인 홍보전략(노출 전략 알고리즘 등) 및 정량·정성 목표, 실현 방법의 구체적 계획 제시 * 전략 및 활용가능한 자원/ 계획(일정, 방법 등) 구체적 제시 ․ 시민참여단 운영 ․ 관리 계획 등 제시 ․ 기대효과
IV. 사업관리 및 수행 역량 1. 추진일정 계획 2. 보고 및 문서화 계획 3. 수행조직 및 업무분장 4. 투입인력 및 이력사항 5. 사업효과 측정․분석	․ 부문별 사업 추진 일정 ․ 보고 일정 및 내용 등 제작 관리 ․ 운영 계획 제시 ․ 사업수행 조직 및 업무분장 기술 등 참여 인력 편성표 ․ 작업별 ․ 일정별 투입인력 및 이력사항(참고 서식 활용) ․ 전체 사업에 대한 효과측정 방안 및 분석 계획 제시
Ⅴ. 산업재해예방조치	․ 안전보건관리체계, 안전보건관리실행 및 운영 계획 ․ 안전조치 및 보건조치 능력, 3년간 산업재해 발생현황
Ⅵ. 보안관리 준수 계획	․ 보안관리 대책 및 보안 준수사항에 따른 계획
Ⅶ. 기타	․ 기타(본 과업과 관련하여 제안요청에 없는 내용 중 제안사의 아이디어 등 제시) ․ 제안사에서 3년 이내 기획·운영한 대표 온라인 홍보 채널 활성화 사례/ 유튜브 영상, SNS 콘텐츠 등 관련 실적 URL 및 이미지 ※ 실적증명서 제출이 가능한 운영실적에 한정 ․ 디자인 과제(제안요청서 설명 참고)

※ 자체양식으로도 작성가능하나 상기 작성항목 및 세부목차는 반드시 포함

V		사업자 선정방법 및 평가

1. 입찰방식 및 낙찰자결정방식

가. 입찰방식 : 제한경쟁

나. 낙찰자결정방식 : 협상에 의한 계약

2. 입찰 참가자격

가. 입찰서 제출마감일 전일까지 아래의 자격을 모두 갖춘 자

ㅇ ｢국가를 당사자로 하는 계약에 관한 법률 시행령｣ 제12조(경쟁입찰의 참가자격) 및 동법 시행규칙 제14조(입찰참가자격요건의 증명) 규정에 의한 경쟁입찰 참가자격을 갖추고, 조달청 입찰참가자격 등록증을 소지한 업체

ㅇ ｢국가를 당사자로 하는 계약에 관한 법률」제27조 및 동법 시행령 제76조(부정당업자의 입찰참가자격 제한)에 해당되지 않은 업체

ㅇ ｢소프트웨어 진흥법」에 의한 소프트웨어사업자(디지털콘텐츠개발서비스사업, 업종코드: 1469)로 국가종합전자조달시스템에 입찰참가자격을 등록한 업체

※ 최근년도 결산신고된 SW사업자 일반현황관리확인서(디지털콘텐츠개발서비스사업) 제출

ㅇ 「중소기업기본법」제2조에 따른 중․소기업자 및 「소상공인 보호 및 지원에 관한 법률」제2조에 따른 소상공인으로서「중소기업 범위 및 확인에 관한 규정」에 따라 발급된 중․소기업/소상공인확인서(전자입찰서 제출 마감일 전일까지 발급된 것으로 유효기간 내에 있어야 함)를 소지한 자

ㅇ 「중소기업제품 구매촉진 및 판로지원에 관한 법률」 제9조 및 같은 법 시행령 제10조의 규정에 따라 직접생산확인증명서[인터넷지원개발서비스(8111219901)]를 소지한 자

나. 상호출자제한기업집단 소속기업 및 대기업 참여제한 사항(정보화 용역)

ㅇ「소프트웨어 진흥법」 제48조(중소 소프트웨어사업자의 사업참여 지원)에 따른 「중소 소프트웨어사업자의 사업 참여 지원에 관한 지침」 준수

ㅇ「소프트웨어 진흥법」 제48조 제4항에 따라 상호출자제한기업집단에 속하는 회사는 입찰에 참여할 수 없음

ㅇ 본 사업은 20억 미만의 사업으로써,「소프트웨어 진흥법」 제48조 제2항 및 과학기술정통부 고시 제2026-4호에 의거 대기업 및 중견기업인 소프트웨어 사업자의 입찰 참여를 제한함 (중소기업자만 입찰참가 가능)

3. 공동수급에 관한 사항

ㅇ 사업의 일원화된 관리체계, 효율적인 업무통제, 책임소재 분쟁 등을 명확하게 하기 위해 공동수급 및 하도급은 허용하지 않음

VI		제안서 평가

1. 제안서 평가방법

가. 평가주체 : 재단

나. 평가기준 : 협상에 의한 계약체결기준에 따른 평가

다. 평가비율 : 기술평가(90%), 가격평가(10%)

※ 평가점수에서 소수점 이하가 있는 경우 소수점 5자리에서 반올림

라. 평가항목

평가항목			평가내용	배점
기술 평가 (90)	정량	경영상태	- 경영상태(신용평가등급)	5
	정성	기본역량	- 사업에 대한 이해 및 계획의 적정성	15
		수행능력	- 투입 자원의 전문성 및 규모의 적정성 ※ 관련 수행실적(참고서식 활용 및 증빙)	15
		기획역량	- 기획전략 및 컨셉의 독창성, 접근성, 효과성	15
		디자인역량	- 표현전략 및 레이아웃 등의 가독성, 심미성 등	25
		운영 관리	- 품질보증 등 안정적 관리방안	5
		산업재해 예방조치능력	- 안전보건관리체계의 적절성 - 안전보건관리 실행 및 운영계획의 적절성 - 과업수행시 안전조치 및 보건조치 능력의 적절성 - 최근 3년간 산업재해 발생현황	5
		보안관리 계획 적정성	- 보안관리 체계 적정성 및 기밀보안 대책 확신성 - 누출금지 관리방안 등 보안관리 방안의 적정성	5
가격평가(10)			- 입찰가격 평점산식에 의한 평가	10
종합평가 점수				100

마. 정량평가 방법  : 경영상태(5점), 조달청 기준 적용

신용평가등급			평점
회사채	기업어음	기업신용평가등급
AAA, AA+, AA0, AA- A+, A0, A-, BBB+, BBB0	A1, A2+, A20, A2-, A3+, A30	AAA, AA+, AA0, AA-, A+, A0, A-, BBB+, BBB0	배점의 100%
BBB-, BB+, BB0, BB-	A3-, B+, B0	BBB-, BB+, BB0, BB-	배점의 95%
B+, B0, B-	B-	B+, B0, B-	배점의 90%
CCC+ 이하	C 이하	CCC+ 이하	배점의 70%

※ 등급별 평점이 소수점 이하의 숫자가 있는 경우 소수점 셋째자리에서 반올림 함

[주]

1. 「신용정보의 이용 및 보호에 관한 법률」제2조 제8의3에 해당하는 신용조회사  또는「자본시장과 금융투자업에 관한 법률」제335조의3에 따라 업무를 영위하는신용평가사가 입찰공고일 이전에 평가하고 유효기간 내에 있는 회사채, 기업어음 및 기업신용평가등급을 국가종합전자조달시스템에 조회된 신용평가등급으로 평가하되, 가장 최근의 신용평가등급으로 평가한다. 다만, 가장 최근의 신용평가등급이 다수가 있으며 그 결과가 서로 다른 경우에는 가장 낮은 등급으로 평가한다.

2. 국가종합전자조달시스템에서 신용평가등급 확인서가 확인되지 않은 경우에는 최저등급으로 평가하며, 유효기간 시작일 또는 만료일이 입찰공고일인 경우에도 유효한 것으로 평가한다. 다만, 입찰공고일 다음날 이후에 발생 또는 수정된 자료는 평가에서 제외한다.

3. 주 1에도 불구하고, 합병 또는 분할한 자가 입찰공고일 이전에 평가한 신용평가등급이 없는 경우에는 입찰서 제출 마감일 전일까지 발급된 유효기간 내에 있는 가장 최근의 신용평가등급으로 평가한다. 다만, 합병 후 새로운 신용평가등급이 없는 경우에는 입찰공고일 이전에 평가하고 유효기간 내에 있는 신용평가등급으로서 합병 대상자 중 가장 낮은 신용평가등급을 받은 자의 신용평가등급으로 평가한다.

4. 추정가격이 고시금액 미만인 입찰에서 입찰공고일을 기준으로 최근 7년 이내에 사업을 개시한 창업기업에 대해서는 신용평가등급 점수상의 배점 한도를 부여한다. 이 경우 창업기업에 대한 확인은 「중소기업제품공공구매 종합정보망」에 등재된 자료로 확인하며, 창업기업확인서의 유효기간 내에 있어야 한다. 다만, 제안서 평가일 전일까지 발급된 자료도 심사에 포함하며, 이 경우 입찰공고일 이전 창업을 확인 할 수 있는 자료(법인인 경우 법인등기부상 법인설립등기일, 개인사업자인 경우에는 사업자등록증명서 상 사업자등록일)를 제출하여야 한다.(이하 창업기업에 대한 확인방법은 같다)

5. 공동수급체의 경우 구성원별 해당 점수에 지분율을 곱한 후 그 점수들을 합산하여 최종 평가하고, 평가 결과 소수점 이하의 숫자가 있는 경우 소수점 다섯째자리에서 반올림 한다.

(예) (A사 점수×A사 지분율)+(B사 점수×B사 지분율)…

6. 중소기업협동조합이 입찰에 참여하는 경우 중소기업협동조합의 신용평가등급으로 평가한다.

2. 기술평가(정성평가) 방법

ㅇ 방  식 : 발표평가를 통해 제안사항을 종합적으로 고려하여 평가

ㅇ 평가자 : 7인 이상 내/외부의 전문가(외부전문가 과반 이상)로 평가위원회 구성

- 일시․  장소 : 대상 제안사에 별도 통보

※ 상황에 따라 온라인 발표평가 진행 가능

- 발  표  자 : 실무책임자(PM) 직접 발표

※ 제안서 제출순서로 발표 15분, 질의응답 10분으로 25분 예정

※ 제안서 요약본 활용(발표시간은 접수건수 등을 고려 변경될 수 있음)

※ 동영상 등 이용한 간접 발표는 불허함

ㅇ 점수산정 : 평가위원이 평가한 점수 중 최고점 및 최저점 각 1개를 제외하고 산술평균하여 기술평가점수(정성평가) 산출

ㅇ 기   타 : 발표내용이 제안서와 상이한 사항이 있는 경우 이를 별도로 명기하여야 하며, 명기하지 않을 경우 불이익이 있음

※ 제안사 홍보 관련 내용을 포함할 수 없음

3. 가격평가 방법

ㅇ 협상에 의한 계약체결 기준에 따라 평가점수 산출

4. 협상적격자 선정 및 협상 순서

가. 협상적격자 선정

ㅇ 평가위원들의 기술평가점수 중 최고점, 최저점 각 1개를 제외한 나머지 점수를 산술평균하여 기술능력평가 분야 배점의 85% 이상인 제안사를 협상적격자로 선정하고, 협상적격자가 없는 경우 재공고 추진

나. 협상순서 결정

ㅇ 종합평가점수 고득점 순에 의하여 협상순서를 결정

- 종합평가점수가 같은 제안사가 둘 이상일 경우 기술평가점수(정량 및 정성)가 높은 제안사를 우선순위자로 결정

- 기술평가점수도 동일한 경우에는 배점이 큰 항목에서 높은 점수를 얻은 제안사를 우선순위자로 결정

- 우선순위에 따라 협상을 실시하고 협상이 성립된 경우 다른 협상적격자와 협상을 실시하지 않으며 모든 협상적격자와 협상이 결렬된 경우에는 재공고 실시

다. 협상방법 및 기준

ㅇ 협상대상자가 제안한 사업내용, 이행방법, 이행일정, 제안가격 등 제안서의 내용을 대상으로 협상 실시

- 협상대상자와 협상을 통해 내용 일부 조정 가능

ㅇ 가격은 당해 사업예산(또는 예정가격) 이하로 협상하되 협상대상자가 제안한 가격을 기준 가격으로 함

ㅇ 협상 대상자가 제안한 내용을 가감하는 경우 가감내용에 상당하는 금액을 예정가격 범위 내에서 조정 가능

5. 기타사항

ㅇ 제안 세부 내용, 협상 결과는 공개하지 않음을 원칙으로 함

ㅇ 입찰 및 낙찰방식에 관하여는 국가를 당사자로 하는 계약에 관한 법률과 이에 근거한 관련 규정, 용역입찰유의서, 협상에 의한 계약 체결 기준, 재단 계약사무규칙 등과 일반원칙을 따름

VII		기타

1. 제출안내

가. 유의사항

ㅇ 입찰참가 신청서식 중 제안요청서, 입찰공고문에서 명시된 서류만을 제출하며 [제안서 작성 참고 서식]은 제안서 작성 지침에 따라 정해진 서식을 활용하여 작성함

ㅇ 입찰에 참여하는 사업자는 가격제안서 및 입찰참가구비서류를 정해진 방법에 따라 모두 제출하여야 하며, 제출이 되지 않은 경우 입찰 무효사유에 해당함

ㅇ 제안사가 제출한 제반자료는 반환하지 않으며 본 제안과 관련된 일체의 소요 비용은 입찰참가자의 부담으로 함

ㅇ 제안내용에 대한 확인을 위하여 추가자료 요청 또는 현지실사를 할 수 있으며, 입찰참가자는 이에 응하여야 함

나. 가격제안서 제출

ㅇ 제출방법 : 국가종합전자조달시스템(나라장터)를 통한 제출

ㅇ 제출기간 : 입찰공고문에 따름

ㅇ 입찰가격은 부가가치세를 포함한 금액으로 입찰하여야 하며, 면세 업체는 계약 시 제안가격에서 부가가치세를 제외한 금액으로 계약함

ㅇ 계약예정자는 계약체결 시 산출내역서를 제출하여야 함

다. 입찰참가 구비서류 제출

ㅇ 제출방법 : 입찰공고문에 따름

ㅇ 제출기간 : 입찰공고문에 따름

ㅇ 제 출 처 : 입찰공고문에 따름

ㅇ 제출서류 : 입찰공고문에 따름

- 디자인 과제 : 공식 인스타그램 콘텐츠 중 1개를 선택해 표지만 재디자인해 제안서 및 발표자료에 포함하여 제출(발표평가를 위한 항목 중 하나로 일회적 과제)

※ 발표평가 시 발표 필수(기술평가 항목 사항)

2. 입찰보증금 : 공고문에 의함

3. 입찰무효 : 입찰공고문에 따름

4. 비밀유지의 의무

가. 입찰자는 우리 재단으로부터 배부 받은 입찰에 관한 서류 또는 각종 자료 및 입찰과정에서 얻은 정보를 당해 입찰 외의 목적으로 사용하여서는 아니 됨

5. 보안대책 및 유의사항

가. 사업수행자의 보안관리 상태를 점검할 수 있으며, 보안상 필요한 모든 지시를 할 수 있고 사업자는 이에 응해야 함. 이상이 발견되었을 경우 계약해지 또는 투입인력의 교체를 요구할 수 있음

나. 용역수행과정에서 취득한 모든 정보는 일체 누설하여서는 아니됨

다. 사업수행 중 보안 및 유지보수와 관련하여 재단에서 보유하고 있는 보안요구사항, 보안관리 및 준수사항(정보보안산출물, 누출금지대상정보, 위규자 처리기준, 보안위약금 부과기준, 개인정보처리 준수사항 등)을 준수하여야 함 (별첨 참고) 보안관리 및 준수사항

라. 정보화 사업 보안관리 필수문서 14종 최신양식을 사용함

- (별첨 참고) 정보화 사업 보안관리 필수 문서(14종)

마. 계약이 종료되고 다른 업체가 사업자로 선정되었을 경우, 충분한 기간 동안(최대 15일 내) 업무인계 과정을 성실히 이행하여야 함

6. 기타

가. 계약체결 후 10일 이내에 착수계, 사업계획서, 산출내역서 등을 제출

나. 제안안내서, 제안요청서, 입찰공고 및 이에 근거한 별첨 등에 명시되지 않은 사항은 국가를 당사자로 하는 계약에 관한 법률, 협상에 의한 계약체결기준 등 국가계약관련 법령을 따름

다. 관계 규정 / 법령 등의 숙지

ㅇ 입찰에 참가하고자 하는 자는 시행령 등의 입찰관련 법령 및 용역 입찰 유의서 제4조 제1항의 규정에 의한 입찰에 관한 서류를 입찰 전에 완전히 숙지하여야 하며 이를 숙지하지 못한 책임은 입찰참가자에게 있음

ㅇ 입찰에 참가하고자 하는 자는 용역입찰유의서 제5조 제1항의 규정에 의한 입찰에 관한 서류의 검토과정에서 발견한 입찰에 관한 서류상의 착오, 누락사항 또는 기타 설명이 요구되는 사항에 대하여는 입찰서 제출마감일 전일까지 발주기관에 그 설명을 요구할 수 있음

ㅇ 사업수행자가 조건을 위반하거나 제안내용에 비해 제작 콘텐츠의 질이 현저히 낮은 경우 계약을 해지할 수 있음

7. 계약조건

가. 사업기간 내 생산되는 모든 콘텐츠는 한국연구재단 저작물 또는 직접 취재·제작·촬영한 것이어야 함

- (제3자 저작물 지식재산권) 본 용역을 수행하기 위하여 한국연구재단이 제공한 저작물을 제공받거나, 사업 수행자가 직접 취재·제작·촬영한 저작물을 이용함을 기본으로 하나, 제3자의 저작물을 이용한 경우 제3자에게 저작재산권을 양도받거나 이용허락을 받음으로써 한국연구재단이 해당 산출물을 이용함에 있어서 법적 또는 기술적 문제가 발생하지 않도록 하여야 하며, 제3자와 지식재산권에 대하여 문제가 발생할 때에는 본 사업 수행자가 이에 대한 법적책임을 짊

- (초상권) 본 용역의 결과로 창작된 사진 또는 영상저작물 등에 특정 인물의 초상이 포함된 경우(제작에 협력할 것을 약정하지 아니한 자가 출연하는 경우를 포함한다), 사업 수행자는 그 촬영에 관한 동의(해당 저작물의 제3자 이용에 관한 사항을 포함한다)를 득하여야 하며, 해당 저작물의 이용에 관하여 민·형사상 분쟁이 발생할 경우 사업 수행자가 이에 대한 법적 책임을 짊

나. 초상권, 사용권, 저작권 등 관련 법적 분쟁발생 시

❍ 초상권, 사용권, 저작권 등 관련 법령을 준수하여 합법적으로 용역을 수행하며, 관련하여 발주처를 대상으로 제3자와 소송이나 분쟁이 발생한 경우 용역업체가 책임을 진다

╺ 용역업체는 상대측과 합의 배상하고, 제3자의 발주처에 대한 민·형사상 청구권 포기 합의서를 발주처에 제출토록 한다.

╺ 합의서 제출 시까지 발주처는 제작비 대금 지급을 환수하거나 보류 할 수 있다.

╺ 용역 결과물에 대해 계약 종료 후 발생되는 법적 분쟁 등에 대해서도 업체가 책임진다.

다.  최종 용역산출물에 대한 소유권, 사용권 등은 발주처에 귀속되며, 사전 승인 없이 이를 양도하거나 대여할 수 없다. 용역 수행과정에서 취득한 내용을 임의로 사용하여 발주처에 손해를 입혔을 시 이에 대한 배상 책임이 있다.

8. 문의처

❍ 제안서 작성에 관한 사항

- 대외홍보실 홍보전략팀 최정인 (TEL) 042-869-6854

❍ 계약절차 및 입찰에 관한 사항

- 재정기금실 구매자산팀 장범진 (TEL) 042-869-6232

	참고서식

이 자료는 입찰참가 및 제안서 작성 관련 서식입니다.

입찰공고문 및 제안요청서에서 요구한 서식만을 참고하여 작성하시기 바랍니다.

[서식1] 청렴계약 이행 서약서

청렴계약 이행 서약서

당사는 「부패 없는 투명한 기업경영과 공정한 행정」이 사회발전과 국가경쟁력에 중요한 관건이 됨을 깊이 인식하며 청렴계약 취지에 적극 호응하여 한국연구재단(이하 “재단”이라 한다)에서 발주하는 모든 공사, 물품, 용역 등의 입찰에 참여함에 있어 당사 임직원과 대리인은

1. 입찰가격의 유지나 특정인의 낙찰을 위한 담합을 하거나 다른 업체와 협정, 결의, 합의하여 입찰의 자유경쟁을 부당하게 저해하는 일체의 불공정한 행위를 하지 않겠습니다.

◦ 이를 위반하여 경쟁입찰에 있어서 특정인의 낙찰을 위하여 담합을 주도한 것이 사실로 드러날 경우 재단이 발주하는 입찰에 입찰참가자격제한 처분을 받은 날로부터 1년 이상 2년 이하의 기간 동안 참가하지 않겠으며

◦ 경쟁입찰에 있어서 입찰자 간에 서로 상의하여 미리 입찰가격을 협정하거나 특정인의 낙찰을 위하여 담합을 한 사실이 드러날 경우 재단이 시행하는 입찰에 입찰참가자격제한 처분을 받은 날로부터 6개월 동안 참여하지 않고

◦ 위와 같이 담합 등 불공정 행위를 한 사실이 드러날 경우 독점규제 및 공정거래에 관한 법률에 따라 공정거래위원회에 고발하여 과징금 등을 부과토록 하는데 일체의 이의를 제기하지 않겠습니다.

2. 입찰․계약체결 및 계약이행 과정에서 재단의 관계직원에게 직․간접적으로 금품․향응(친인척 등에 대한 부정한 취업 제공 포함) 등의 부당한 이익을 제공하지 않겠으며, 이를 위반하여 입찰, 낙찰, 계약체결 및 계약이행과 관련하여 금품, 향응 등을 제공한 사실이 드러날 경우 재단이 시행하는 입찰에 입찰참가자격제한 처분을 받은 날로부터 3월 이상 2년 이하의 기간 동안 입찰에 참가하지 않겠습니다.

3. 입찰, 계약체결 및 계약이행과 관련하여 금품, 향응(친인척 등에 대한 부정한 취업 제공 포함) 등을 제공한 사실이 드러날 경우에는 계약체결 이전의 경우에는 낙찰자 결정 취소, 계약이행 전에는 계약취소, 계약이행 이후에는 해당 계약의 전부 또는 일부를 해제 또는 해지하여도 감수하겠으며 민․형사상 이의를 제기하지 않겠습니다.

4. 회사 임직원이 관계 직원에게 금품, 향응(친인척 등에 대한 부정한 취업 제공 포함) 등을 제공하거나 담합 등 불공정 행위를 하지 않도록 하는 회사윤리강령과 내부비리 제보자에 대해서도 일체의 불이익 처분을 하지 않는 사규를 제정하도록 노력하겠습니다.

5. 공정한 직무수행을 방해하는 알선·청탁을 통하여 입찰 또는 계약과 관련된 특정 정보의 제공을 요구하거나 받는 행위를 하지 않겠습니다.

6. ｢국가를 당사자로 하는 계약에 관한 법률 시행령｣ 제4조의2제1항제2호 위반 시에 아래의 손해배상액을 납부토록 하겠습니다.

- 입찰자: 입찰금액의 100분의5 이내

- 계약상대자: 계약금액의 100분의10 이내

7. 모든 경영활동에서 인권을 존중하고 보호하며, 차별과 강제노동을 금지하고 공급망 전반에 걸쳐 인권 보호를 실천하여 이에 대한 책임을 다하겠습니다.

위 청렴계약 서약은 상호신뢰를 바탕으로 한 약속으로서 반드시 지킬 것이며, 낙찰자로 결정될 시 본 서약내용을 그대로 이행하고, 입찰참가자격 제한, 계약해지 등 재단의 조치와 관련하여 당사가 재단을 상대로 손해배상을 청구하거나 당사를 배제하는 입찰에 관하여 민․형사상 어떠한 이의도 제기하지 않을 것을 서약합니다.

년    월   일

서약자 :         (인)

한국연구재단 이사장 귀하

[서식2] 개인정보 제공 및 활용 동의서

개인정보 제공 및 활용 동의서

본인 및 참여인력은 한국연구재단에 제출하는 사업 관련 계획서 및 보고서에 대한 심사·평가에 있어 한국연구재단이 본인의 학력, 경력, 업적 등에 관한 정보를 활용할 필요가 있다는 것을 이해하고 있으며, 이를 위해 「개인정보 보호법」 등에 의해 보호되고 있는 본인에 관한 각종 정보 자료를 동법 제18조의 규정 등에 따라 한국연구재단에 제공하는데 동의합니다.

< 개인정보 제공 및 활용 관련 주요 고지 사항 >

○ 개인정보 수집·이용의 목적: 심사·평가 및 성과 추적

○ 수집하려는 개인정보의 항목: 인적사항, 학력, 경력, 업적 등

○ 주민등록번호는 사업 참여자 개인을 식별하기 위한 기본정보로 활용됨

○ 개인정보의 보유 및 이용 기간 : 사업계획서를 접수하는 시점부터 성과 추적이 완료되는 시점까지

○ 참여 인력은 개인정보 제공 및 활용에 대한 동의서의 제출을 거부할 권리가 있지만, 동의서를 제출하지 않을 경우에는 재단의 사업에 신청할 수 없다는 점을 유념하기 바람

또한, 본인(참여 인력 포함)이 서명날인한 동의서의 복사본은 심사·평가에 에 필요한 다양한 자료 수집의 편의를 위해서 원본과 동일하게 유효하다는 것을 인정합니다.

20  년    월     일

□ 신청 사업 정보

공 고 명

□ 참여인력

구 분	성 명	생년월일	소속기관	개인정보 이용 동의((서명)

한국연구재단 이사장 귀하

[서식3] 비밀유지서약서

비밀유지 서약서

성  명:

소  속:

주  소:

연락처:

본인은 한국연구재단의 비밀 보호를 위하여 다음 사항을 준수할 것을 서약합니다.

본인은 재단에서 업무를 수행함에 있어 알게 된 개인정보 및 비밀정보를 제3자에게 제공, 공개 또는 누설하지 않겠습니다.

2. 본인은 재단이 제공한 모든 자료와 자산을 재단에 즉시 반납하겠으며, 저장매체에 저장된 전자파일 형태의 모든 자료에 대하여 완전히 삭제하겠습니다.

3. 본인은 업무 수행의 결과 산출된 모든 결과물(보고서, 컴퓨터 프로그램, 장치, 기타 업무수행 중 산출된 문서 등)에 대한 권리가 재단에 귀속됨을 인정하고 소유하지 않겠으며, 재단이 이에 대한 권리를 행사하는데 협조하겠습니다.

4. 만일 서약사항을 위반하였을 경우에 본인은 법령이 정한 바에 따라 민․형사상의 모든 책임을 부담하겠으며, 이로 인하여 재단에 발생한 모든 손해를 배상하겠습니다.

년 월  일

서약자:       (인)

한국연구재단 이사장 귀하

[서식4] 한국연구재단 퇴직자 영입현황 확인서

한국연구재단 퇴직자 영입현황 확인서

- 공고번호 :

- 입찰/계약 건명 :

1. 상기 입찰/계약 건과 관련하여 당사는 한국연구재단 퇴직자(퇴직 후 2년 이내) 영입

근무현황을 다음과 같이 제출합니다.

퇴직 당시 직급	성 명	현재 직급	입사일	비고
임 원
연구직
행정직
별정직
공무직

* 작성요령 : 영입자가 없을 경우에는 성명 란에 ‘해당사항 없음’을 표기

* 공기업․준정부기관 계약사무규칙 제8조 제3항 및 제4조, 제15조

2. 상기 입찰/계약 건과 관련하여 당사는 한국연구재단 퇴직자 모임‧단체 또는 그 퇴직자 모임‧단체의 회원사나 자회사와의 관계성 여부를 다음과 같이 제출합니다.

퇴직자 모임‧단체	퇴직자 모임‧단체의 회원사	퇴직자 모임‧단체의 자회사
O/X	O/X	O/X

3. 상기 퇴직자 영입 및 퇴직자 모임과 관련된 사항이 있는 경우 재단 계약사무규칙 제24조 제2항에 의거한 수의계약 제한 방침에 따르겠습니다.

위 퇴직자 영입현황 확인서는 상호신뢰를 바탕으로 한 약속으로 입찰 및 계약을 수행함에 있어 위에 언급한 내용대로 이행할 것이며 만일 이의 사실과 다를 경우(축소, 누락포함) 심사대상자에서 제외, 계약해지 또는 해제 및 부정당업자로 입찰참가자격제한조치 등 불이익 처분을 받더라도 일체의 이의를 제기하지 아니할 것을 확약하고 이에 확인서를 제출합니다.

년     월     일

회 사 명:
사업자번호		대 표:		(인)

한국연구재단 이사장 귀하

※ 미제출시는 계약 대상에서 제외(탈락)합니다.

[서식5-1] 참가업체 일반현황

참가업체 일반 현황

(단위 : 명, 건)

기 관 명		대 표 자
사 업 분 야
소 재 지
전 화 번 호
설 립 연 도	년 월
해당부문종사기간	년 월 ～ 년 월 ( 년 개월)
주요연혁

※ 유의사항

○ 용지가 부족할 경우 별지 사용

○ 제안서에 기재된 내용이 허위사실로 판명될 경우, 협상대상기관에서 제외 및 최종선정 후에도 계약을 해제 또는 해지할 수 있음.

[서식5-2] 제안사 운영 인력현황

제안사 운영 인력현황

1. 제안사 조직 및 인원현황

2. 본 사업 수행조직 및 업무분장

				사업관리자(PM)
부 문			부 문				부 문			부 문

주) 1. 분야별 책임자를 명시한다.
2. 분야별 인력 기재순서는 평가 시 참고 될 수 있도록 직위별로 기재한다.

[서식5-3] 주요사업실적

주요사업실적

(단위 : 천원)

사 업 명	사 업 기 간	계 약 금 액	발 주 처	비 고

- 현재 수행중인 사업도 포함하여 연도순으로 기재하며, 제안과제와 직접적으로 관련 있는 것만 기재한다.

- 하도급은 발주처가 승인한 경우에 한하여 작성하며 비고란에 원도급회사를 기재한다.

- 공동도급계약일 경우에는 계약금액란에 제안사의 지분만을 기재한다.

[서식5-4] 용역이행 실적증명서

용역이행 실적증명서

신청인	업 체 명 (상호)						대 표 자
	영 업 소 재 지						전 화 번 호
	사 업 자 번 호						제 출 처
	증 명 서 용 도
	용역범위 및 기준 (면적, 금액 등)
용역이행 실적내용	용 역 명					구 분		설계( ) 감리( ) 기타( ) :
	용 역 개 요
	계 약 번 호	계약일자		계약기간	규 모	이 행 실 적				비 고
						비 율		실 적
증명서 발급기관	위 사실을 증명함. 년 월 일
	기 관 명 : (인) (전화번호 : )
	주 소 : (FAX번호: )
	발급부서 :					담당자 :

※ 실적증명서는 조달청 나라장터에서 온라인 실적증명서 발급을 권장함

[서식5-5] 참여 인력 자격 사항

참여 인력 자격 사항

구분	분야별	성명	연령 (세)	직무 구분	본사업 참여직위	자격증	담당업무
전 담 참 여	수행 책임자
	부문
	부문
	부문
	부문
	부문
	부문
비전담 참 여	사업 책임자
	부문
	부문
	부문

참고)

1.□프로젝트 참여 핵심인력□에 포함된 인력

2. 작성기준일자 : 제안일 현재

3. 협력업체 기술자도 별도 분리작성

4. 소프트웨어사업의 경우 직무구분은 SW사업대가기준가이드 내 IT직무별 기준 준용

※ IT 직무 구분 :IT컨설턴트, IT기획자, Infrastructure아키텍트, SW아키텍트, 데이터아키텍트

[서식5-6] 참여 인력 이력 사항

참여 인력 이력 사항

성 명			소 속		직 책
직무 구분				생 년 월 일
				해당분야경력	년 개월
기술 자격	자격증 급			취 득 년 월	년 월
본사업참여임무 (참여율)		(전일정 중 %)	상주구분	□상주□비상주	참여기간	개월

경 력
사 업 명	참여기간 (년월~년월)	담당업무	발주처	비고

※ 소프트웨어사업의 경우 직무구분은 SW사업대가기준가이드 내 IT직무별 기준 준용

(IT 직무 구분 : IT컨설턴트, IT기획자, Infrastructure아키텍트, SW아키텍트, 데이터아키텍트)

※ “파견근로자 보호 등에 관한 법률” 등에 의한 파견근로자인 경우에는 파견업체명과 원소속사를 함께 명기하여야 함 (예시) 업체명 (원소속사명)

※ 경력은 해당분야 근무경력에 기술한 내용을 파악할 수 있도록 기술

※ 자격증, 경력 및 수행업무와 관련된 사항을 증명할 수 있는 자료를 붙임으로 첨부하여야 하며, 첨부되지 않은 자료에 대하여는 인정하지 않음

※ 소속회사에 대한 재직증명서와 국민연금 가입자 가입증명(국민연금 : www.nps.or.kr)  또는 건강보험자격득실확인서(국민건강보험공단, www.nhic.or.kr) 자료 제시

[서식6] 과제물(디자인 역량 평가자료)

구분	내용	기타사항
디자인 과제	- 한국연구재단 공식 인스타그램 콘텐츠 중 1개를 선택해 표지만 재디자인	- 정성제안서 및 제안요약서(발표자료PPT)에 첨부 - 발표평가 시 발표 필수

용역업체 보안준수 사항

구분	기 본 준 수 사 항
응용 소프트웨어 개발 시	∘해당 부처에 보안성 검토 의뢰 ∘개발 시 보안코딩 및 개인정보 암호화 이행 ∘보안 취약점 점검 및 개선(국정원 8대 점검항목 기본) ∘SSL 보안서버 구축 ※ 정보보안 담당관은 위 보안 준수사항에 대한 적용 여부(보고서, 결과서 등) 확인 후 외부에 개방 허용
참여(상주)인력 준수사항	∘전산장비 반입 시, 웜/바이러스 점검·치료 등 안전성 확인 ∘재단 제공 보안 소프트웨어 설치 ∘반입된 PC의 컴퓨터명은 참여인력 성명으로 설정하고, 그룹명은 소속업체 명으로 설정 ∘부여된 IP 변경 금지 ∘불법 복제 소프트웨어 설치 및 사용 금지 ∘법적 또는 재단 내부 규정에 따른 비밀유지 의무 준수 및 위반 시 처벌내용 등에 대한 보안교육 응수 ∘누출금지대상정보, 사업관련 중요자료, 사업과정에서 생산된 산출물, (고객) 개인정보, 기관정보 등 업무상 불필요한 재단 내부 정보의 PC 저장 또는 노·유출 금지 ∘P2P, 웹 하드, 상용 메신저 등 자료공유 프로그램 사용 금지 ∘내 PC 지키미를 통한 PC 보안 점검 실시(사이버보안 진단의 날 이행) ∘보안이 필요한 자료는 안전한 장소에 보관 ∘인가받지 않은 전산기기, 통신기기, 저장매체 등 사용 금지 ∘참여인력 PC는 인터넷 연결 금지. 다만, 사업수행에 필요한 경우 관리자의 승인 하에 사용 가능 ∘사업 종료 시, 제공받은 제반자료, 소프트웨어, 산출물 등 사업관련 자료는 전량 반환하고 PC 및 저장매체 등의 저장자료 완전삭제 후 반출
사업 착수 시 징구문서	∘사업자 대표 보안 서약서 ∘참여인력(상주/비상주) 보안 서약서 및 재직증명서 ∘전산장비 반입확인서
사업 수행 중 청구문서	∘자료 인계인수대장 ∘정보화 사업 보안교육 결과 및 참석자 명단 ∘기타(정보화 사업 보안관리 필수문서 14종) [참고 자료]
사업 종료 시 청구문서	∘전산장비 반출확인서 ∘사업자 대표 보안 확약서 ∘참여인력(상주/비상주) 보안 확약서

※ 기타사항은「국가정보보안기본지침」부록7(P157), ‘외부 용역업체 보안관리 방안’ 및 재단 정보보안 규칙 준수

❑ 소프트웨어 개발 보안관리

❍ 소프트웨어를 개발하고자 하는 경우, 전자정부 표준 개발 프레임워크의 적용을 우선적으로 고려

❍ 홈페이지·응용프로그램에 대한 주기적인 관리자 패스워드 변경 (분기 1회)

❍ 소스코드 작성 시 소프트웨어 개발보안 (시큐어코딩)을 적용하고 신규 및 변경 구축된 홈페이지/응용프로그램은 실제 운영 이전에 취약점 점검 및 조치를 반드시 수행

※ (정보시스템 및 홈페이지 취약점) 반드시 운영 전에 취약점 점검 수행 및 보완하고, 이후에도 주기적으로 점검 및 조치(최소 연 1회 이상)

- 사용자 및 관리자가 이용하는 파일 업·다운로드 기능 구현 시, 불필요한 파일 제한 필요 (exe, jsp, asp, php, cmd 등)

- 개발사가 설정한 초기 패스워드는 반드시 안전한 암호로 변경·운용

- 관리자페이지는 내부망의 지정된 IP에서만 접근하도록 통제

- 개인정보 및 인증정보 등 중요정보 송·수신 시, 웹 서버와 클라이언트 간 모든 구간 암호화 통신 (HTTPS) 적용을 통한 선제적 보안 강화

※ 반드시 TLS 1.3을 적용 (TLS 1.3은 TLS 1.2의 키 교환·인증·암호화·해시 알고리즘에서 불안정 항목을 제거하였으며 연결속도가 보다 향상됨)

	< 웹보안인증서(SSL) 적용 필수 웹사이트 >
① 개인정보를 취급하는 모든 웹사이트 (내·외부망 모두 해당) ② 회원가입 및 로그인이 없는 경우에도 주문, 결제, 상담, 글쓰기, 게시판 등 이용 시 개인정보를 입력하는 웹사이트 ※ 대민서비스를 위한 웹사이트의 경우, 포털 검색 시 웹사이트 세부 주소로 직접 접속이 가능하므로 SSL 적용 후 반드시 HTTPS로 리다이렉션 필요 ☞ 해당 안전조치를 하지 않을 경우, 법 위반에 따른 손해배상책임이 있음

- HTTP 메소드 중 GET·POST를 제외한 PUT·DELETE 등 불필요한 메소드 사용 금지

- 시스템 내 변조파일에 대한 주기적인 무결성 검증

- 글쓰기 기능이 있는 웹페이지를 구축할 경우, 반복적 글쓰기(댓글) 공격을 제한할 수 있는 대응 방안 (CAPTCHA 등) 마련

❍ 운영서버와 개발서버는 분리하고, 실 데이터는 개발서버에 저장 및 보관하지 않도록 조치

❍ 소프트웨어 버전 관리를 위한 형상관리시스템 (SVN)은 인가된 사용자만이 소스 프로그램에 접근할 수 있도록 접근통제

❍ 시스템 관리자, 개인정보 취급 및 관리자 등이 중요(개인정보 포함) 정보시스템에 접속 시, ID/PW 방식이외에도 OTP·PKI·생체인식 등 다중 인증방식 도입 권고

❍ 원격지 개발의 경우, 해당 사업의 정보화사업담당관이 용역업체 작업장소에 대한 보안요구사항을 포함한 관리적·기술적 보안대책을 수립·시행하고 정보보안담당관의 승인을 받도록 하며,

- 개발 작업을 위하여 필요한 경우, 원격지내 정보시스템은 해당 정보화사업담당관의 보안통제 하에 인터넷에 연결 가능

❑ 데이터베이스 보안관리

❍ 중요정보(개인정보 포함)는 유출되더라도 복호화가 불가하도록 DB 암호화 조치

- 수집한 개인정보 및 고유식별 정보에 대해「가명정보 처리 가이드라인(‘́20.9., 개인정보보호위원회 발간)」을 반드시 준수

- 중요정보는 1차 백업 및 2차 백업을 수행하고, 백업시스템은 인터넷 및 외부망과 연계를 차단하여 자료 유출 대비

- 개인정보 등의 중요정보 백업 시, 암호화 전송 및 저장

❍ DB 관리자와 DB 사용자를 구분하여 관리하고 DB의 중요도와 응용프로그램 및 사용자 유형 등에 따른 접근통제 정책 수립·이행

❑ 참여인력에 대한 보안관리

❍ 대표이사 및 참여인력에 대해서는 개인의 친필 서명이 들어간 “보안서약서”와 재직증명서(신원확인), “참여인력 현황표“[재단서식]를 제출해야함.

❍ 참여인력은 사업 수행 전 참여인력에 대해 법적 또는 “재단”의 내부 규정에 따른 비밀유지 의무 준수 및 위반 시 처벌내용 등 보안교육에 응해야함.

❑ 자료 보안관리

❍ 전산망도, IP현황, 개인정보, 소프트웨어, 문서, 기타자료 등 “재단”에서 제공하는 “누출금지 대상 정보”는 “자료관리대장”[재단서식]을 작성하여 “재단”의 사업 담당자와 “용역업체” 관리책임자가 직접 서명한 후 인계ㆍ인수 하여야함.

❍ 누출금지 대상 정보, 사업 관련 자료 및 사업과정에서 생산된 모든 산출물은 웹하드, P2P, 웹오피스, 클라우드 서비스 등 인터넷 자료공유 사이트 및 비인가 사이트에 저장하거나 참여인력 개인이 보관할 수 없으며, 재단의 파일서버에 저장하거나 사업 담당자가 지정한 PC에 저장 및 관리하여야함.(파일 저장 서버는 인터넷 연결 금지)

❍ 비공개 자료는 매일 퇴근 시 반납하고, 일반문서의 경우 시건장치가 된 보관함 등 안전한 장소에 보관함.

❍ 사업 수행으로 생산되는 산출물 및 기록은 비인가자에게 제공ㆍ대여ㆍ열람을 금지함.

❍ 수행사업 관련 자료는 개인 메일함에 저장을 금지하고 전자우편을 이용해 자료전송이 필요한 경우에는 자체 전자우편을 이용하고(상용메일 사용 금지), 첨부 자료는 암호화 후 수ㆍ발신해야 한다. 단, 대외비 이상의 비밀은 전자우편으로 수ㆍ발신을 금지함.

❑ 사무실ㆍ장비에 대한 보안관리

❍ “재단”의 사무실에서 작업을 수행할 경우 노트북 등 관련 장비를 반입ㆍ출할 때마다 “재단”에 “전산장비 반입ㆍ반출 확인서”[재단서식]를 제출하고 승인받아야 하며, “재단”이 제공하는 보안 프로그램 설치, 악성코드 감염여부 확인 및 보안점검을 수행하여야함.

❍ 반입된 PC의 컴퓨터명은 참여인력 성명으로 설정하고, 그룹명은 소속업체명으로 설정하여야함.

❍ 부여된 IP는 변경할 수 없으며, 무선 랜은 접속 및 사용할 수 없음.

❍ 사업 수행에 필요한 소프트웨어는 정품을 사용하여야 하며, 용역업체에서 제공함.

❍ 인가받지 않은 USB 등의 보조기억매체 및 유ㆍ무선 통신기기는 반입ㆍ사용할 수 없으며(접속단자 봉인), 산출물 저장을 위해 보조기억매체가 필요한 경우 정보보안담당관의 승인 하에 일부 사용할 수 있음.

❍ 참여인력의 개인 휴대폰은 카메라 및 충전포트에 보안스티커를 부착하여야 함.

❍ 노트북 PC, 인가된 휴대용 저장매체 등은 퇴근ㆍ휴가 시와 같이 일정기간 사용하지 않을 경우 분실방지를 위해 시건장치가 있는 보관함에 보관함.

❍ 사업 수행 중 반입된 장비의 반출은 금지하되, 불가피한 경우 “물품반출입대장”[재단서식]을 작성하여 관리하고 반출 시 업무자료 삭제, 반입 시 백신으로 정밀점검을 수행하여야 함.

❍ 참여인력 PC 및 휴대용 저장매체에 정보시스템 접속정보(ID, 패스워드) 저장을 금지함.

❍ 참여인력은 매월 “내 PC지키미”를 통한 PC보안 점검을 실시하여야함.(사이버보안 진단의 날 시행)

❑ 내ㆍ외부망(네트워크) 접근 시 보안관리

❍ 서버, 네트워크, 보안장비 등 정보시스템 로그기록은 1년 이상 보관

※ (필수 포함사항) ① 접속자, 정보시스템·응용프로그램 등 접속대상 ② 로그온·오프, 자료의 열람·출력 등 작업 종류 및 시간 ③ 접속 성공·실패 등 작업 결과 ④ 전자우편 사용 등 외부발송 정보 등

❍ 정보시스템 관리, 개인정보 및 중요정보 관리 등 특수 목적을 위하여 사용하는 계정 및 권한은 최소한으로 부여하고 별도로 식별·통제

- 정보시스템과 개인정보 및 중요정보에 접근하는 사용자 계정의 등록·이용·삭제 및 접근권한의 부여·변경·삭제 이력을 남기고 주기적으로 검토하여 적정성 여부를 점검

❍ 정보보호시스템 유형별로 관리자 지정, 최신 정책 업데이트, 룰셋 변경, 이벤트 모니터링 등의 운영절차를 수립·이행하고 시스템별 정책적용 현황을 관리

- 외부기관과 서비스 연계 시, 정보보호시스템에서 불필요한 서비스 차단 (필요 시, 일방향 통신으로 제한)

❍ 시스템에 대한 불법 침입을 탐지하기 위한 실시간 보안관제 실시 및 정보보호시스템, CCTV, 정보시스템 등의 장비에 대해 표준시각으로 동기화 조치

❍ 서버(OS 포함)·네트워크·정보보호 시스템에 대한 주기적인 관리자 패스워드 변경 (분기 1회) 및 보안 취약점 진단 조치

- 제조사가 설정한 초기 패스워드는 반드시 안전한 암호로 변경·운용

- 관리자페이지는 내부망의 지정된 IP에서만 접근하도록 통제

❍ 제조사의 서비스 지원이 종료된 운영체제 사용중지 및 업그레이드(WINDOWS XP·VISTA·7, WINDOWS SERVER 2000·2003·2008, CentOS 6.x 이하, RHEL 7.7 이하, AIX 7.1 TL4 이하 및 7.2 TL2 이하 버전 등)

❍ 시스템 관리자 및 운영자 단말기는 외부 연계망 등 불필요한 네트워크와 연결이 차단된 지정된 단말기 (IP)에서만 시스템에 접근할 수 있도록 접근통제 및 보안강화

- 개별 장비 간 원격접속이나 하나의 장비에 접속한 뒤 다른 장비로의 접속이 불가능하도록 구현

❍ 네트워크 스위치(장비) 원격접속 제한 (텔넷 사용금지, SSH 암호화 통신사용 등 반드시 필요한 경우에만 한시적으로 포트 오픈 조치)

❍ 모바일 단말기 또는 이동통신망 접속장치 (USB형 등)는 기관의 내부망 및 인터넷망에 직접 연결을 금지하고, 내부망 및 인터넷망 정보시스템을 상용 인터넷망에 연결하는 수단으로 사용 금지

❑ 개인정보보호

❍ 개인정보취급자에 대한 관리·감독(접근권한 관리, 통제 등 포함)과 보안서약서 징구 및 정기적 교육 (연 1회 이상) 실시

❍ 정보주체에게 별도 동의를 받았거나, 법령에 근거하는 경우에만 민감정보를 포함한 개인정보 파일 수집

❍ 개인정보취급자의 접속기록 위·변조 및 도난예방 장치 마련

- 개인정보취급자의 접속기록*은 최소 1년 이상 보관·관리

* (접속기록 필수 포함사항) ①계정 ②접속 일시 ③접속지 정보(단말기 정보 또는 서버의 IP 등 접속 주소) ④처리한 정보주체 정보 ⑤수행 업무

- 5만명 이상의 정보주체에 관하여 개인정보를 처리하거나, 고유식별정보 또는 민감정보를 처리하는 개인정보처리시스템의 경우에는 2년 이상 보관·관리

❍ 개인정보처리자는 개인정보의 안전성 확보에 필요한 기술적·관리적·물리적 안전조치 마련

	< 개인정보의 안전성 확보조치 기준 제7조(개인정보의 암호화) >
① 개인정보처리자는 고유식별정보, 비밀번호, 바이오정보를 정보통신망을 통하여 송신하거나 보조저장매체 등을 통하여 전달하는 경우에는 이를 암호화 ② 개인정보처리자는 비밀번호 및 바이오정보는 암호화하여 저장 - 비밀번호를 저장하는 경우에는 복호화되지 않도록 일방향 암호화하여 저장 ③ 개인정보처리자는 인터넷 구간 및 인터넷 구간과 내부망의 중간 지점(DMZ)에 고유식별정보를 저장하는 경우에는 이를 암호화 ④ 개인정보처리자가 내부망에 고유식별정보를 저장하는 경우에는 다음의 기준에 따라 암호화의 적용여부 및 적용범위를 정하여 시행 - 암호화 미적용시 위험도 분석에 따른 결과 ⑤ 개인정보처리자는 위 ①∼③, 또는 ④에 따라 개인정보를 암호화하는 경우 안전한 암호알고리즘으로 암호화하여 저장 ⑥ 개인정보처리자는 암호화된 개인정보를 안전하게 보관하기 위하여 안전한 암호 키 생성, 이용, 보관, 배포 및 파기 등에 관한 절차를 수립·시행 ⑦ 개인정보처리자는 업무용 컴퓨터 또는 모바일 기기에 고유식별정보를 저장하여 관리하는 경우 상용 암호화 소프트웨어 또는 안전한 암호화 알고리즘을 사용하여 암호화한 후 저장

❍ 인터넷 홈페이지에 개인정보 노출방지를 위한 보안조치 실시

❍ 그 밖에「개인정보보호법」등 관련 규정 준수

❑ 개발 및 운영 시

❍ 시스템 개발 시 보안코딩을 준수하여 개발하여야 함.

❍ 개인정보 암호화 이행(패스워드는 sha2 이상 단방향 암호화, 주민번호 등 개인식별정보 DB 암호화 필수)하여야 함.

❍ 관리자 페이지가 있은 경우 관리자 IP만 접속할 수 있도록 관리자 IP 등록 및 권한설정 기능을 구현하여야 하며, 관리자 페이지 주소는 예측할 수 없는 경로명으로 지정하여야 함.

❍ 사용자 인증정보, ID/패스워드, 개인정보 등 누출금지 정보는 소스코드에 직접 하드코딩을 금지하고, 시스템에 저장이 필요한 경우 암호화 하여 저장하여야 함.

❍ SSL(Secure Socket Layer) 보안서버(https)를 구축하여야 함.(필수)

❍ 로그인 5회 이상 실패 시 접속 차단 / 동일계정에 대한 동시 로그인 차단 / 로그인 시 접속 IP, 시간 포함 최종 접속 기록 표시 / 분기 1회 이상 비밀번호(문자, 숫자, 특수문자 포함 9자 이상) 변경 등 로그인 보안기능을 구현하여야 함.

❍ 개인정보처리시스템의 접속권한 부여와 관련된 로그(계정 생성, 권한부여, 변경, 파기 등)는 3년간 보관하도록 기능을 구현하여야 함.

❍ 사용자 인증방식은 전자서명(인증서), OTP 등 보안성이 높은 사용자 인증방식을 병행하여 사용하여야 함.

❍ 개발 완료 후(운영 시에도 포함) 전문가 또는 전문 점검도구를 활용하여 보안 취약점 점검, 취약점에 대한 개선완료 및 결과를 제출하여야 함.

❍ 개발 및 운영 참여인력은 보안코딩 교육을 필수로 이수하여야함.

(KISA 개발보안 연간 교육 참조)

❍ 서버/네트워크/정보보호시스템/상용SW/응용SW는 기본으로 제공하는 관리자 계정 및 불필요한 서비스 사용 중지, 관리자 접속 IP 설정, 계정 및 비밀번호 관리 등 기본 보안설정을 하여야 하며 아래 사항을 준수하여야 함.

- 기본 계정은 삭제 또는 변경하고 계정생성 시 admin, auth, administrator등 관리자임을 알 수 있는 계정명 사용 금지

- 패스워드는 1234, abcd, q1w2e3 등 유추가 가능한 형태 사용을 금지하고 문자, 숫자, 특수문자 혼합 9자리 이상으로 설정하여 사용

- 내부망의 관리자 IP주소에서만 접근 허용하도록 설정

- 패스워드는 분기 1회 이상 변경하여 사용

- 시각은 표준시로 동기화

- 암호화된 원격관리서비스(SSH, SFTP) 사용

※ RLOGIN, RSH, RCP, FTP, TELNET 등 사용 금지

- 기본 서비스 포트(예 : 21, 22, 23, 3389) 변경, 불필요한 서비스 포트 제거

※  랜섬웨어 예방을 위해 137, 138, 139, 445 포트 등

- 관리자 계정 사용을 금지하고 별도의 계정 개설 후 사용, 시스템 접근권한 차등부여, 계정별 작업이력 6개월 이상 보관

- root, administrator 등 관리자 계정 직접 접속 금지

❍ 제조사의 서비스 지원이 종료된 운영체제(WINDOWS XP·2000·2003· VISTA, CentOS 6.4 이하 버전 등) 사용중지 및 종료가 예정된 운영체제(WINDOWS 7 등)는 업그레이드 필요

❍ 시스템 내 변조파일에 대한 주기적인 무결성 검증

❍ 운영서버와 개발서버는 분리하고, 실 데이터는 개발서버에 저장 및 보관하지 않도록 조치

❍ 소프트웨어 버전 관리를 위한 형상관리시스템(SVN)은 인가된 사용자만이 소스프로그램에 접근할 수 있도록 접근통제

❍ 개인정보를 비롯한 중요정보는 유출되더라도 복호화가 불가하도록 DB 암호화 조치

※ WAS 서버도 DB 서버와 동일하게 안전한 내부망에 구축 권고

- 중요정보는 1차 백업 및 2차 백업을 수행하고, 백업시스템은 인터넷 및 외부망과 연계를 차단하여 자료 유출 대비

- 개인정보 등의 중요정보 백업 시, 암호화 전송 및 저장

❍ 원격지 개발의 경우, 해당 사업의 담당부서장(정보화사업담당관)이 원격지 개발과 관련한 보안대책의 이행여부를 정기 또는 수시로 점검하고 그 결과를 기관의 정보보안담당관에게 통보

- 원격지 개발 보안대책 이행여부를 점검한 결과가 미흡하다고 판단될 경우, 기관의 정보보안담당관은 원격지 개발 허가를 취소

❑ 사업 완료 시

❍ “재단”이 제공한 제반자료, 장비, 서류와 사업 수행 중 발생한 중간ㆍ최종 산출물(출력물 포함) 등 사업과 관련된 모든 제반자료는 전량 반환하고 복사본을 별도로 보관 할 수 없으며, 대외 보안이 요구되는 자료는 대외비 이상으로 작성ㆍ관리 하여야함.

❍ 용역업체 소유 전산장비(서버, PC등), 보조기억매체 등 전자적으로 기록된 자료는 국가 정보보안 기본지침 부록6 ‘정보시스템 저장매체 불용처리 지침’에 따라 정보보안담당관 통제 하에 완전삭제 등 보안조치 수행 후 장비반입ㆍ반출확인서를 제출 하여야함.

❍ 사업 완료 후 사업관련 자료를 보유하고 있지 않다는 확약을 위해 대표자와 각 참여인력이 자필 서명한 “보안확약서”[재단서식]를 제출 하여야함.

❍ 사업 완료에 따른 검수 요청 시, “웹 취약점 점검 및 개선 이행 점검표”[재단서식]을 첨부 하여야함.

※ 기타 보안준수사항은 개인정보 보호법, 재단 정보보안 규칙(개정사항 포함), 재단 정보화용역사업 보안관리 절차, 상위기관(국가정보원, 과학기술정통부 등)의 용역사업 보안관리 지침, 기타 관리지침에 따른다.

참고 1		보안 위규자 처리기준 및 보안 위약금 부과 기준

1. 사업자 보안 위규자 처리기준

구분	위 규 사 항	처 리 기 준
심각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보ㆍ신상정보 목록 유출 다. 비공개 항공사진ㆍ공간정보 등 비공개 정보 유출 라. 기타 누출금지 대상 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	▪사업참여 제한 ▪위규자 및 직속 감독자 등 중징계 ▪재발 방지를 위한 조치계획 제출 ▪위규자 대상 특별보안교육 실시
중대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보ㆍ신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 마. 참여인원에 대한 보안서약서 미징구 및 교육 미실시 2. 사무실(작업장) 보안관리 허술 가. 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비ㆍ시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, USB 등 보조기억매체 기술적 통제 미흡 나. 웹하드ㆍP2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발ㆍ유지보수 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제 아. 제공된 계정관리 미흡 및 오남용(시스템 불법접근 시도 등) 자. 바이러스 백신 정품 S/W 미설치	▪위규자 및 직속감독자 등 중징계 ▪재발 방지를 위한 조치계획 제출 ▪위규자 대상 특별보안교육 실시
보통	1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상 위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 중요정보에 대한 자료 인수․인계 절차 미 이행 2. 사무실 보안관리 부실 가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 출입 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 불순응 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 네이트온 등 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여 마. PC 비밀번호를 모니터옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용 사. 정보시스템 반입시 바이러스 백신 미검사 또는 반출시 자료 삭제 미확인 아. 바이러스 백신 최신 업데이트 또는 정밀점검 미실시	▪위규자 및 직속 감독자 등 경징계 ▪위규자 및 직속 감독자 사유서 /경위서 징구 ▪위규자 대상 특별보안교육 실시
경미	1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반 다. PC 월1회 보안 점검 미이행	▪위규자 서면ㆍ구두 경고 등 문책 ▪위규자 사유서/경위서 징구

※ 사업자 보안 위규 처리 절차

경위 확인	▶	보안 위규 처리기준에 따라 조치	▶	재발방지 대책	▶	보안조치 이행여부 점검

2. 보안 위약금 부과 기준

1. 위규 수준별로 A∼D 등급으로 차등 부과

구분	위규 수준
	A급	B급	C급	D급
위규	심각 1건 이상	중대 1건 이상	보통 2건 이상	경미 3건 이상
위약금 비중	부정당업자 등록	건당 500만원	300만원	100만원

※ A급은 국가계약법 시행령 제76조에 따라 부정당업자로 지정하여 입찰참가를 제한

* 위약금 규모는 사업규모에 따라 조정하되, 위 기준금액을 하한 금액으로 적용

* 위규 수준은 “사업자 보안 위규자 처리기준” 참고

2. 보안 위약금은 다른 요인에 의해 상쇄, 삭감이 되지 않도록 부과

* 보안 사고는 1회의 사고만으로도 그 파급력이 큰 것을 감안하여 타 항목과 별도 부과

3. 사업 종료 시 지출금액 조정을 통해 위약금 정산

2. 개인정보처리 준수사항

❑ 개인정보의 안전성 확보조치 철저(개인정보보호법 제29조)

❍ 개인정보처리자는 개인정보가 분실ㆍ도난ㆍ유출ㆍ변조 또는 훼손되지 않도록 다음 각 호의 안전성 확보조치를 하여야함.

구 분

주 요 내 용

내부 관리계획(제4조)

▪내부관리계획 포함사항 명시

※ 개인정보 보호책임자 지정, 개인정보취급자 교육 등

접근권한(제5조)

▪개인정보처리시스템의 접근권한 부여ㆍ변경ㆍ말소 기록 최소 3년간 보관

접근통제(제6조)

▪접근통제 시스템 설치ㆍ운영 의무화

※ 접근통제 시스템 : 침입차단(Firewall), 침입탐지(IDS) 기능 포함

암호화(제7조)

▪암호화 대상 : 고유식별정보(주민등록번호, 여권번호, 운전면허번호, 외국인등록번호), 비밀번호, 생체인식정보

▪암호화 기준

구 분		암 호 화 기 준
송ㆍ수신시		모든 정보 암호화 전송
저장시	비밀번호, 생체인식정보	▪비밀번호는 단방향 암호화, ▪생체인식정보는 양방향 암호화
	고유식별정보	ⓛ 인터넷 구간, 공통(DMZ) 구간 저장시 : 의무적 암호화 ② 내부망 저장시 : 위험도 분석결과에 따라 암호화 적용범위 결정(※ 영향평가 대상 공공기관은 영향평가 결과에 따름)

▪암호화 방법 : 공공기관은 국가 암호화 알고리즘, 그 외는 자율

▪암호화 적용 : 고유식별정보 암호화시 지침 시행일로부터 3개월 이내에 암호화 계획 수립, 계획 수립일로부터 12개월 이내에 암호화 적용

접속기록(제8조)

▪개인정보처리시스템 접속기록은 1년 이상 보관

악성프로그램(제9조)

▪보안 프로그램(백신 S/W 등) 설치 및 업데이트

※ 자동 업데이트 또는 일 1회 이상

관리용 단말기(제10조)

▪인가받지 않는 사용자 조작 차단

▪본래 목적 외 사용 금지

▪악성프로그램 감염방지 등을 위한 보안조치

물리적 안전(제11조)

▪별도의 개인정보 물리적 보관 장소에 대한 출입통제 등

재해·재난 대비(제12조)

▪재해·재난 발생 시 개인정보처리시스템 보호를 위한 대응절차를 마련하고, 백업 및 복구를 위한 계획(절차)을 수립

개인정보 파기(제13조)

▪완전삭제, 전용 소자장비 이용, 초기화 또는 덮어쓰기 수행 등

부칙

▪전산센터, 클라우드 컴퓨팅센터 등의 운영환경에서의 안전조치

❑ 개인정보처리시스템 위탁 관리 철저

① 위탁목적 등 문서화(개인정보보호법 제26조)

❍ 개인정보처리자가 제3자에게 개인정보의 처리업무를 위탁하는 경우에는 다음 각 호의 내용이 포함된 문서에 의하여야 함

1. 위탁업무 수행 목적 외 개인정보처리 금지에 관한 사항

2. 개인정보의 기술적ㆍ관리적 보호조치에 관한 사항

3. 위탁업무의 목적 및 범위

4. 재위탁 제한에 관한 사항

5. 개인정보에 대한 접근 제한 등 안전성 확보조치에 관한 사항

6. 위탁업무와 관련, 보유하는 개인정보의 관리 현황 점검 등 감독에 관한 사항

7. 수탁자 의무 위반시 손해배상 등 책임에 관한 사항

※ 개인정보처리 업무의 위탁이 이루어 질 경우 <참고 2> 표준 개인정보처리위탁 계약서를 참고하여 작성

※ 계약예정자는 계약 체결 시 <참고 3> 개인정보 취급 등에 관한 특약서(재단 양식)에 동의하여야 함.

② 위탁자의 책임과 의무 준수(개인정보보호법 제26조)

❍ 수탁자에 대한 교육 및 감독

- 수탁자 정기교육, 개인정보처리실태점검, 위탁계약사항 준수 여부 등

❍ 개인정보처리방침에 위탁사항을 포함하여 대국민 공개

❍ 위탁 종료 시 사업수행과정에서 발생한 개인정보 파기결과 확인 및 개인정보처리지침 위탁사항 삭제

참고 2		표준 개인정보처리위탁 계약서

본 표준계약서는 「개인정보 보호법」제26조제1항에 따라 위탁계약에 있어 개인정보 처리에 관하여 문서로 정하여야 하는 사항을 표준적으로 제시한 것으로서, 당사자 합의에 따라 합리적인 범위 안에서 구체적인 계약내용을 임의로 정할 수 있음을 밝힙니다.

개인정보처리업무를 위탁하거나 위탁업무에 개인정보 처리가 포함된 경우에는 본 표준계약서의 내용을 위탁계약서에 첨부하거나 반영하여 사용하실 수 있습니다.

표준 개인정보처리위탁 계약서(안)

OOO(이하 “위탁자”이라 한다)과 △△△(이하 “수탁자”이라 한다)는 “위탁자”의 개인정보 처리업무를 “수탁자”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.

제1조 (목적) 이 계약은 “위탁자”가 개인정보처리업무를 “수탁자”에게 위탁하고, “수탁자”는 이를 승낙하여 “수탁자”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는「개인정보 보호법」, 같은 법 시행령 및 시행규칙,「개인정보의 안전성 확보조치 기준」(행정안전부 고시 제2019-47호) 및「표준 개인정보 보호지침」(행정안전부 고시 제2017-1호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “수탁자”는 계약이 정하는 바에 따라 (          ) 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.

각호의 업무 예시 : 고객만족도 조사 업무, 회원가입 및 운영 업무, 사은품 배송을 위한 이름, 주소, 연락처 처리 등

1.

2.

3.

제4조 (위탁업무 기간) 이 계약서에 의한 개인정보 처리업무의 기간은 다음과 같다.

계약 기간 :    년  월  일 ~    년  월  일

제5조 (재위탁 제한) ① “수탁자”는 “위탁자”의 사전 승낙을 얻은 경우를 제외하고 “위탁자”와의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “수탁자”가 다른 제3의 회사와 수탁계약을 할 경우에는 “수탁자”는 해당 사실을 계약 체결 7일 이전에  “위탁자”에게 통보하고 협의하여야 한다.

제6조 (개인정보의 안전성 확보조치) “수탁자”는「개인정보 보호법」제23조제2항 및 제24조제3항 및 제29조, 같은 법 시행령 제21조 및 제30조, 「개인정보의 안전성 확보조치 기준」(행정안전부 고시 제2019-47호)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제7조 (개인정보의 처리제한) ① “수탁자”는 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “수탁자”는 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보 보호법」시행령 제16조 및「개인정보의 안전성 확보조치 기준」(행정안전부 고시 제2019-47호)에 따라 즉시 파기하거나 “위탁자”에게 반납하여야 한다.

③ 제2항에 따라 “수탁자”가 개인정보를 파기한 경우 지체없이 “위탁자”에게 그 결과를 통보하여야 한다.

제8조 (수탁자에 대한 관리·감독 등) ① “위탁자”는 “수탁자”에 대하여 다음 각 호의 사항을 감독할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속현황

3. 개인정보 접근 또는 접속 대상자

4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “위탁자”는 “수탁자”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이행하여야 한다.

③ “위탁자”는 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 (  )회 “수탁자”를 교육할 수 있으며, “수탁자”는 이에 응하여야 한다.

「개인정보 안전성 확보조치 기준 고시」(행정안전부 고시 제2019-47호) 및 「개인정보 보호법」 제26조에 따라 개인정보처리자 및 취급자는 개인정보보호에 관한 교육을 의무적으로 시행하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “위탁자”는 “수탁자”와 협의하여 시행한다.

제9조 (정보주체 권리보장) ① “수탁자”는 정보주체의 개인정보 열람, 정정·삭제, 처리 정지 요청 등에 대응하기 위한 연락처 등 민원 창구를 마련해야 한다.

제10조 (개인정보의 파기) ① “수탁자”는 제4조의 위탁업무기간이 종료되면 특별한 사유가 없는 한 지체 없이 개인정보를 파기하고 이를 “위탁자”에게 확인받아야 한다.

제11조 (손해배상) ① “수탁자” 또는 “수탁자”의 임직원 기타 “수탁자”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁 받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “수탁자” 또는 “수탁자”의 임직원 기타 “수탁자”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “위탁자” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “수탁자”는 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “위탁자”가 전부 또는 일부를 배상한 때에는 “위탁자”는 이를 “수탁자”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “위탁자”와 “수탁자”가 서명 또는 날인한 후 각 1부씩 보관한다.

20  .  .  .

위탁자 주 소 : 기관(회사)명 : 대표자 성명 : (인)	수탁자 주 소 : 기관(회사)명 : 대표자 성명 : (인)

참고 3		개인정보 취급 등에 관한 특약서

제1조(목적) 본 특약은 한국연구재단(이하 ‘재단’)과 계약상대자 간에 용역계약 수행을 위한 개인정보 취급 및 관리에 있어 위탁 처리되는 개인정보가 안전하게 관리될 수 있도록 하기 위한 세부사항을 정하는데 그 목적이 있다.

제2조(특약기간 및 특약의 효력) ①본 특약의 유효기간은 용역계약 기간과 동일하며, 계약의 연장이나 별도의 추가합의에 의한 기간연장의 경우 본 특약의 기간도 자동 연장된다.

②본 특약의 효력은 용역계약의 유효여부에 따른다.

제3조(특약의 내용 및 기본적 의무사항) ①개인정보처리는 용역계약 상의 위임업무수행을 위한 목적의 범위에 한한다.

②계약상대자는 재단의 전산자료를 보관, 관리함에 있어서 선량한 관리자의 주의 의무를 다하여야 하며, 특히, 개인정보보호법에서 요구된 바와 같이 가입자의 성명ㆍ주소 등의 개인정보를 재단으로부터 위탁 받은 업무의 목적 및 범위를 벗어나서 사용하여서는 안 되며 또한 제3자에게 부당하게 유출되지 않도록 하여야 한다.

③계약상대자는 위탁 받은 개인정보를 재단의 승인없이 제3자에게 제공 또는 위탁할 수 없다.

④계약상대자는 서비스를 제공함에 있어 정보시스템 및 정보통신망을 통해 수집, 가공, 저장, 검색, 송수신되는 정보의 유출, 위변조, 훼손 등을 방지하기 위하여 관리적, 물리적, 기술적 보호조치 계획을 수립해야 하며, 재단이 정보보호 관련 규정 및 지침의 반영을 요구하는 경우 계약상대자는 성실히 협조해야 한다.

⑤계약상대자는 행정안전부 고시에 의한 [개인정보의 안전성 확보조치 기준 고시]를 준수하여야 하며, 계약상대자의 부주의 혹은 안정성의 부재로 인하여 개인정보가 분실, 도난, 누출 또는 훼손되어 발생하는 문제에 대하여 계약상대자가 그 책임을 진다.

제4조(개인정보 보호책임자의 지정) ①계약상대자는 개인정보를 보호 업무를 총괄하는 개인정보 보호책임자를 지정하여야 한다.

1. 개인정보 보호 계획의 수립 및 시행

2. 개인정보 처리 실태 및 관행의 정기적인 조사 및 개선

3. 개인정보 처리와 관련한 불만의 처리 및 피해 구제

4. 개인정보 유출 및 오용ㆍ남용 방지를 위한 내부통제시스템의 구축ㆍ운영

5. 개인정보 보호 교육 계획의 수립 및 시행

6. 개인정보파일의 보호 및 관리ㆍ감독

7. 그 밖의 개인정보와 관련한 업무

②개인정보 보호책임자는 계약상대자의 임원 또는 재단의 해당 위탁 업무를 담당하는 부서의 장의 지위에 있는 자 또는 개인정보 취급부서의 장이어야 한다.

③계약상대자는 개인정보 보호책임자를 변경하는 경우 재단에 통보하여야 한다.

제5조(기술적 보호조치) 계약상대자는 컴퓨터를 이용하여 개인정보를 취급하는 경우 개인정보가 분실, 도난, 누출 또는 훼손되지 아니하도록 안전성 확보에 필요한 기술적 보호조치를 강구하여야 한다.

제6조(관리적 보호조치) ①계약상대자는 개인정보의 안전한 처리를 위하여 개인정보보호법 및 관계법령을 준수하며, 개인정보처리 세부과정에서 재단 또는 계약상대자의 요구가 있을 경우 상호 합의하여 이를 처리하도록 한다.

②계약상대자는 개인정보에 대한 접근 및 관리에 필요한 절차 등을 마련하여 소속 직원으로 하여금 이를 숙지하고 준수하도록 하여야 한다.

제7조(비밀유지) ①개인정보를 취급하는 자는 정보주체가 동의한 제공 목적 이외의 다른 목적이나 기타 부정한 목적으로 사용하여서는 아니 된다.

②개인정보를 취급하거나 취급하였던 자는 직무상 알게 된 개인정보를 훼손, 침해 또는 누설하여서는 아니 된다.

제8조(개인정보의 파기) ①계약상대자는 위탁업무의 처리를 위하여 수집 또는 제공받은 개인정보의 목적을 달성하였을 때에는 당해 개인정보를 지체 없이 파기하여야 한다. 다만, 다른 법령에 따라 보존하여야 하는 경우에는 그러하지 아니하다.

②계약상대자는 개인정보파일을 파기하는 사유가 발생한 때에는 사전에 재단과 협의하고 재단이 최종 인가한 파기 방법과 절차에 따른다.

제9조(재위탁 금지) 계약상대자는 재단으로부터 위탁 또는 제공받은 정보를 정보주체의 동의 없이 제3자에게 위탁 또는 제공할 수 없다. 단, 계약상대자가 제3자에게 제공하고자 하는 정보에 대한 정보주체의 동의는 재단을 통해 확인한다.

제10조(교육) ①계약상대자는 개인정보의 수집ㆍ처리 업무를 담당하는 직원에게 개인정보를 보호하기 위하여 필요한 교육을 실시하여야 한다. 이 경우 개인정보 보호책임자는 교육내용, 절차 및 방법 등 교육의 실시에 관하여 필요한 지침을 수립하여야 한다.

②계약상대자는 제1항의 규정에 의한 교육을 자체적으로 실시하거나 해당 분야의 전문기관에 위탁하여 실시할 수 있다.

제11조(관리현황 점검) ①계약상대자는 소속직원이 개인정보 보호 의무를 성실히 이행하는지 여부를 점검하여야 한다. 이 경우 개인정보 보호책임자는 점검대상, 점검절차 및 방법 등 관리현황 점검의 실시에 관하여 필요한 지침을 수립하여야 한다.

②계약상대자는 제1항에 의한 점검을 실시한 결과 개인정보의 관리 운영상의 문제점 또는 관련 직원의 특약 위반사항을 발견한 때에는 즉시 개선조치를 취하여야 하며, 재단에 그 문제점 및 위반사항과 개선 조치내용을 통보하여야 한다.

제12조(특약의 종료) 재단과 계약상대자의 용역계약이 종료되면 재단이 계약상대자에게 제공한 개인정보는 제8조에 의한 방법으로 즉시 파기 또는 재단에게 반환하여야 한다.

제13조(손해배상의무) ①계약상대자는 본 특약서 상에 명기한 개인정보 보호의무와 관련된 업무를 수행함에 있어 위법 또는 부당한 방법을 사용해서는 안 되고, 이러한 위법 또는 부당한 방법으로 인하여 재단에게 손해가 발생한 경우 이를 배상하여야 한다.

②재단이 계약상대자의 과실로 인하여 개인정보 보호의무와 관련한 손해배상책임을 지는 경우, 재단은 계약상대자에게 구상권을 행사할 수 있다.

③본 특약에 대하여 분쟁 등이 발생할 경우 1차적으로 상호 협의하여 해결하고, 합의가 이루어 지지 아니한 경우 관할 법원은 재단의 소재지를 관할하는 법원으로 한다.

제14조 (일반사항) 본 특약에서 정하지 아니한 사항은 ‘개인정보보호법’ 등 관계법령에 의한다.

참고 4		보안 요구사항(SER)

요구사항 분류		보안 요구사항(SER)
요구사항 고유번호		SER-001
요구사항 명칭		공통 보안 요건
요구사항 상세설명	정의	사업 수행 전반에 요구되는 보안 요건
	세부 내용	○ 제안사는 한국연구재단의 “보안업무규정”과 “정보보안규칙” 등 발주자의 보안 관련 규정을 준수 ○ 제안사는 사업 착수와 동시에 보안관리 책임자를 지정하고, 착수계획서와 함께 정보누출 금지 등 보안이행을 위해 대표자 보안서약서 및 사업 참여인력의 개별 보안 서약서를 제출 ○ 제안사는 사업수행과 관련한 인원, 문서, 장비, 자료 등의 보안관리 계획을 수립하여야 하며 보안상 결격 사항이 없도록 조치 ○ 제안사는 사업 수행과정에서 수집된 누출금지대상 정보가 외부로 유출되지 않도록 관리 ○ 참여인력은 발주자가 보안정책상 시행하는 보안활동에 적극 협조 ○ 제안사는 본 사업 수행과정 또는 사업완료 후에도 국가정보원의 보안성 지적사항이 발생할 경우, 별도의 비용 요구 없이 이를 즉시 보완해야 함 ○ 제안사는 본 사업과 관련하여 알게 된 모든 사항에 대하여 계약기간 전·후 및 장소를 불문하고 수요기관의 승인 없이 외부에 누설하거나 다른 용도로 이용할 수 없으며, 이를 준수하지 아니하여 발생하는 모든 민형사상 책임은 제안사에 있음 ○ 제안사는 사업 수행 중 보안 위규사항 발생 시 발주자의 위약금 및 벌칙 부과기준을 따름
산출 정보		사업수행계획서, 대표자 보안서약서, 참여인력 보안서약서
관련 요구 사항

요구사항 분류		보안 요구사항(SER)
요구사항 고유번호		SER-002
요구사항 명칭		사업 수행 시 보안
요구사항 상세설명	정의	사업 수행 시 참여인력에 대한 보안사항
	세부 내용	○ 참여인력은 PC(노트북) 등의 악성코드 감염여부를 한국연구재단의 내부망에 연결시키기 전에 사전 확인하고 장비반입(반출)확인서를 제출해야 함 ○ 비인가 저장매체(스마트폰, MP3 플레이어 등 유사 저장매체 포함) 및 통신기기를 반입된 참여인력의 PC에 접속 금지 ○ 반입한 개인기기는 사업종료 전까지 임의로 반출할 수 없으며, 반출 시 PC를 완전삭제 후 (반입)반출확인서를 제출 후 반출해야 함 ○ 내부에서 상주하는 참여인력은 매월 세 번째 수요일에 진행되는 “사이버보안진단의날”에 참여해야 함
산출 정보		장비 반입·반출 확인서
관련 요구 사항

요구사항 분류		보안 요구사항(SER)
요구사항 고유번호		SER-003
요구사항 명칭		정보통신망 접근 보안
요구사항 상세설명	정의	정보통신망 사용에 대한 보안 사항
	세부 내용	○ 참여인력이 정보통신망에 접속하면 발주자의 보안정책에 동의로 간주 ○ 참여인력은 정보통신망에 접속하기 위해 발주자가 지정한 보안SW 등을 설치해야 하며, 보안 SW를 설치하지 않거나 임의로 삭제하는 경우 보안정책 위반으로 간주 ○ 발주자는 사업 참여인력이 사용하는 정보통신망을 발주자와 분리하여 구성할 수 있으며, 제안사가 서버 등 접근이 필요한 경우 계정별로 시스템 접근권한을 차등 부여함
산출 정보
관련 요구 사항

요구사항 분류		보안 요구사항(SER)
요구사항 고유번호		SER-004
요구사항 명칭		자료 보안
요구사항 상세설명	정의	사업관련 자료에 대한 보안사항
	세부 내용	○ 제안사는 누출금지대상 정보를 발주자로부터 제공받는 경우 “정보화 사업 자료 인계·인수 대장”을 작성하여 인계자와 인수자가 친필 서명 후 제공받아야 하며 단위업무 종료 시 반납해야 함 ○ 사업관련 자료 및 사업과정에서 생산된 산출물은 발주자가 지정한 장소에 저장하고 필요시 발주자의 확인을 받아야 함 ○ 생성된 문서는 별도의 잠금장치가 설치된 곳에서 안전하게 보관하고, 폐기되는 문서는 안전한 방법(천공, 파쇄)으로 폐기해야 함 ○ 사업관련 자료는 웹하드, P2P등 인터넷 자료공유 사이트 및 개인 메일함에 저장을 금함 ○ 발주자로부터 제공받은 비공개 자료는 매일 퇴근 시 반납하며 일반문서는 잠금장치가 된 보관함에 보관해야 함
산출 정보
관련 요구 사항

요구사항 분류		보안 요구사항(SER)
요구사항 고유번호		SER-005
요구사항 명칭		DB 접근권한 통제 및 DB 접근이력 관리
요구사항 상세설명	정의	DB 접근권한 통제 및 DB 접근이력 관리
	세부 내용	○ 데이터가 저장되어 있는 DB의 관리자는 한국연구재단 담당자로 하며, 사용자의 임의 접근을 차단해야 함 ○ 접근을 허가한 경우라도 업무와 관련된 DB만 접근을 허가 함 ○ 개인정보에 대한 접근 이력을 주기적으로 관리해야 함 ○ 사용자 인증 및 접근제어, 접근기록관리, DB접근 등 정보시스템에 대한 전반적인 보안대책을 수립해야 함
산출 정보
관련 요구 사항

요구사항 분류		보안 요구사항(SER)
요구사항 고유번호		SER-006
요구사항 명칭		개인정보보호
요구사항 상세설명	정의	개인정보보호
	세부 내용	○ 사용자 인증정보, 패스워드 등 보안이 요구되는 정보를 소스코드에 직접 하드코딩 하지 않아야 함 ○ 각 기능에 명시된 개인정보(주민등록번호, 패스워드 등)는 반드시 암호화하여 DB에 저장해야 함 ○ 관리자인 경우에도 화면에 해당 정보를 그대로 노출시키지 않아야 함
산출 정보
관련 요구 사항

요구사항 분류		보안 요구사항(SER)
요구사항 고유번호		SER-007
요구사항 명칭		침해사고 예방
요구사항 상세설명	정의	해킹, 바이러스 등 침해사고 예방대책 제시
	세부 내용	○ 해킹, 바이러스 등으로 인한 침해사고 예방대책 및 서비스 중단사태 발생에 대한 긴급 복구 방안 등을 포함한 보안대책을 제시해야 함 ○ 사업기간 중 불법 SW 및 폰트 사용으로 인한 저작권 침해에 대한 책임은 제안사에게 있음
산출 정보
관련 요구 사항

요구사항 분류		보안 요구사항(SER)
요구사항 고유번호		SER-008
요구사항 명칭		개발보안(해당시)
요구사항 상세설명	정의	개발보안 절차 및 지침 준수
	세부 내용	○ 목표시스템에 대한 보안취약점 진단 및 보호대책을 수립하고 시행 ○ 국가 주요 정보통신 기반시설 표준절차 및 지침을 적용·관리해야 함 ○ 행정기관 및 공공기관 정보시스템 구축‧운영 지침 제50조(소프트웨어 개발보안 원칙)에 의거한 소프트웨어 개발보안 사항을 준수해야 함 ○ 응용 및 통합 관리 SW 대상으로 ‘정보시스템 SW 개발보안 가이드’에 따른 SW 개발 보안을 적용하여 보안약점을 제거해야 함 ○ 전자정부 SW개발 운영자를 위한 JAVA 시큐어코딩 가이드 준수 ○ 전자정부 SW개발보안 진단원을 위한 소프트웨어 보안약점 진단 가이드 준수
산출 정보
관련 요구 사항

- 이하 여백 -

요구사항 분류		보안 요구사항(SER)
요구사항 고유번호		SER-009
요구사항 명칭		보안관리 계획의 수립
요구사항 상세설명	정의	발주기관 사업관리를 위한 보안관리 계획 수립 및 지침 준수
	세부 내용	○ 국가기관 주요 정보시스템 관리를 수행하는 발주기관의 특성을 반영하여 보안관리 방안 제시 ○ 제안업체는 사업 수행과 관련된 인원, 문서 및 장비 등에 대한 보안관리 계획을 수립하고, 각종 보안 규정에 위배되는 결격사항이 없도록 조치 실시 ○ 개인정보보호법 제26조 제1항의 규정에 해당하는 운영·유지관리 대상 시스템이 있는 경우, 제안업체는 개인정보 보호 관련 제반 법규 이행방안을 수립하여 사업수행계획서에 명시 - 개인정보 열람 시 접근 이력 기록 및 사유 입력 - 개인정보영향평가 수행 ○ 제안업체는 사업수행 과정에서 취득한 자료와 정보에 관해서는 사업 수행의 전·후를 막론하고 발주기관의 승인 없이 외부에 유출 또는 누설하여서는 아니 됨 ○ 제안요청서에 명시하지 않은 보안 관련 사항은 발주기관 「정보보안 규칙」,「개인정보보호지침」 및 「보안업무규칙」에서 정하는 바에 따름
산출 정보
관련 요구 사항

- 이하 여백 -

[별첨 1]

소프트웨어 보안약점 기준(제52조(보안약점 진단기준)

소프트웨어 보안약점 기준은 소프트웨어 개발 시 반드시 배제해야 하는 필수 보안약점 진단항목으로, 상세한 내용은 ‘SW 개발보안 가이드’를 참고

☐ (설계단계) 보안설계 기준

1. 입력데이터 검증 및 표현 : 사용자, 프로그램 입력 데이터에 대한 유효성 검증체계를 갖추고, 실패 시 처리할 수 있도록 설계

번호	설계항목	설 명	비 고
1	DBMS 조회 및 결과 검증	DBMS 조회를 위한 질의문(SQL) 생성시 사용되는 입력 값과 조회결과에 대한 검증방법(필터링 등) 설계 및 유효하지 않은 값에 대한 처리방법 설계	입출력 검증
2	XML 조회 및 결과 검증	XML 조회를 위한 질의문(XPath, XQuery 등) 생성시 사용되는 입력값과 조회결과에 대한 검증방법(필터링 등) 설계 및 유효하지 않은 값에 대한 처리방법 설계
3	디렉토리 서비스 조회 및 결과 검증	디렉토리 서비스 조회(LDAP 등)시 사용되는 입력값과 조회결과에 대한 검증방법(필터링 등) 설계 및 유효하지 않은 값에 대한 처리방법 설계
4	시스템 자원 접근 및 명령어 수행 입력값 검증	시스템 자원접근 및 명령어 수행을 위해 사용되는 입력 값에 대한 유효성 검증방법과 유효하지 않은 값에 대한 처리방법 설계
5	웹 서비스 요청 및 결과 검증	웹 서비스(게시판 등) 요청(스크립트 게시 등)과 응답결과(스크립트 포함 웹 페이지 등)에 대한 검증방법과 적절하지 않은 데이터에 대한 처리방법 설계
6	웹 기반 중요기능 수행 요청 유효성 검증	사용자 권한확인(인증 등)이 필요한 중요기능(결제 등)에 대한 웹 서비스 요청에 대한 유효성 검증방법과 유효하지 않은 요청에 대한 처리방법 설계
7	HTTP 프로토콜 유효성 검증	비정상적인 HTTP 헤더, 자동연결 URL 링크 등 사용자가 원하지 않은 결과를 생성할 수 있는 HTTP 헤더 및 응답결과에 대한 유효성 검증방법과 유효하지 않은 값에 대한 처리방법 설계
8	허용된 범위내 메모리 접근	허용된 범위의 메모리 버퍼에만 접근하여 저장 또는 읽기가 수행되어 버퍼오버플로우가 발생하지 않도록 처리방법 설계
9	보안기능 동작에 사용되는 입력값 검증	보안기능(인증, 인가, 권한부여 등) 동작을 위해 사용되는 입력값과 함수(또는 메소드)의 외부 입력값 및 수행결과에 대한 처리방법 설계
10	업로드·다운로드 파일 검증	업로드·다운로드 파일의 무결성, 실행권한 등에 관한 유효성 검사 방법을 설계하고, 검사 실패시 대응방안 설계	파일 검증

2. 보안기능 : 인증, 접근통제, 권한관리, 비밀번호 등의 정책이 적절하게 반영될 수 있도록 설계

번호	설계항목	설 명	비 고
1	인증 대상 및 방식	중요정보·기능과 인증방식을 정의하고, 정의된 중요정보 접근 및 중요기능 수행 허용을 위해 인증 기능이 우회되지 않고 수행될 수 있도록 설계	인증 관리
2	인증 수행 제한	인증 반복시도 제한 및 인증실패 등에 대한 인증제한 기능 설계
3	비밀번호 관리	안전한 비밀번호 관리정책(생성규칙, 저장방법, 변경주기 등 포함)이 적용되도록 설계
4	중요자원 접근통제	중요자원(프로그램 설정, 민감한 사용자 데이터 등)을 정의하고, 정의된 중요자원에 대한 접근을 통제하는 신뢰할 수 있는 방법(권한관리 포함) 및 접근통제 실패시 대응방안 설계	접근 권한 관리
5	암호키 관리	암호키 생성, 분배, 접근, 파기 등 안전하게 암호키 생명주기를 관리할 수 있는 방법 설계	암호 관리
6	암호연산	국제표준 또는 검증필 암호토콜로 등재된 안전한 암호 알고리즘을 선정하여 충분한 암호키 길이, 솔트, 충분한 난수값을 기반으로 암호연산 수행방법 설계
7	중요정보 저장	중요정보(비밀번호, 개인정보 등) 저장시 안전한 저장 및 관리방법 설계	중요 정보 관리
8	중요정보 전송	중요정보(비밀번호, 개인정보, 쿠키 등) 전송시 안전한 전송방법 설계

3. 에러처리 : 에러 또는 오류상황을 처리하지 않거나 불충분하게 처리되어 중요정보 유출 등 보안약점이 발생하지 않도록 설계

번호	설계항목	설 명	비 고
1	예외처리	오류메시지에 중요정보(개인정보, 시스템 정보, 민감 정보 등)가 포함되어 출력되거나, 에러 및 오류가 부적절하게 처리되어 의도치 않은 상황이 발생하는 것을 막기위한 안전한 방안 설계	에러 처리

4. 세션통제 : 다른 세션간 데이터 공유 금지 등 세션을 안전하게 관리할 수 있도록 설계

번호	설계항목	설 명	비 고
1	세션통제	다른 세션간 데이터 공유금지, 세션 ID 노출금지, (재)로그인시 세션ID 변경, 세션종료(비활성화, 유효기간 등) 처리 등 세션을 안전하게 관리할 수 있는 방안 설계	세션 통제

☐ (구현단계) 보안약점 제거 기준

1. 입력데이터 검증 및 표현 : 프로그램 입력값에 대한 검증 누락 또는 부적절한 검증, 데이터의 잘못된 형식지정으로 인해 발생할 수 있는 보안약점

번호	보안약점	설 명	비 고
1	SQL 삽입	검증되지 않은 외부 입력값이 SQL 쿼리문 생성에 사용되어 악의적인 쿼리가 실행될 수 있는 보안약점
2	경로 조작 및 자원 삽입	검증되지 않은 외부 입력값이 시스템 자원 접근경로 또는 자원제어에 사용되어 공격자가 입력값을 조작해 공격할 수 있는 보안약점
3	크로스사이트 스크립트	검증되지 않은 외부 입력값에 의해 사용자 브라우저에서 악의적인 스크립트가 실행될 수 있는 보안약점
4	운영체제 명령어 삽입	검증되지 않은 외부 입력값이 운영체제 명령문 생성에 사용되어 악의적인 명령어가 실행될 수 있는 보안약점
5	위험한 형식 파일 업로드	파일의 확장자 등 파일형식에 대한 검증없이 업로드를 허용하여 발생할 수 있는 보안약점
6	신뢰되지 않는 URL 주소로 자동접속 연결	검증되지 않은 외부 입력값이 URL 링크 생성에 사용되어 악의적인 사이트로 자동접속될 수 있는 보안약점
7	XQuery 삽입	검증되지 않은 외부 입력값이 XQuery 쿼리문 생성에 사용되어 악의적인 쿼리가 실행될 수 있는 보안약점
8	XPath 삽입	검증되지 않은 외부 입력값이 XPath 쿼리문 생성에 사용 되어 악의적인 쿼리가 실행될 수 있는 보안약점
9	LDAP 삽입	검증되지 않은 입력값이 LDAP 명령문 생성에 사용되어 악의적인 명령어가 실행될 수 있는 보안약점
10	크로스사이트 요청 위조	검증되지 않은 외부 입력값에 의해 브라우저에서 악의적인 스크립트가 실행되어 공격자가 원하는 요청(Request)이 다른 사용자(관리자 등)의 권한으로 서버로 전송되는 보안약점
11	HTTP 응답분할	검증되지 않은 외부 입력값이 HTTP 응답헤더에 삽입되어 악의적인 코드가 실행될 수 있는 보안약점
12	정수형 오버플로우	정수를 사용한 연산의 결과가 정수값의 범위를 넘어서는 경우, 프로그램이 예기치 않게 동작될 수 있는 보안약점
13	보안기능 결정에 사용 되는 부적절한 입력값	검증되지 않은 입력값이 보안결정(인증, 인가, 권한부여 등)에 사용되어 보안 메커니즘 우회 등을 야기할 수 있는 보안약점
14	메모리 버퍼 오버플로우	메모리 버퍼의 경계값을 넘어서 메모리값을 읽거나 저장 하여 예기치 않은 결과를 발생시킬 수 있는 보안약점
15	포맷 스트링 삽입	printf 등 외부 입력값으로 포맷스트링을 제어할 수 있는 함수를 사용하여 발생할 수 있는 보안약점

2. 보안기능 : 보안기능(인증, 접근제어, 기밀성, 암호화, 권한 관리 등)을 부적절하게 구현 시 발생할 수 있는 보안약점

번호	보안약점	설 명	비 고
1	적절한 인증 없는 중요기능 허용	적절한 인증없이 중요정보(금융정보, 개인정보, 인증정보 등)를 열람(또는 변경)할 수 있게 하는 보안약점
2	부적절한 인가	적절한 접근제어 없이 외부 입력값을 포함한 문자열로 중요자원에 접근할 수 있는 보안약점
3	중요한 자원에 대한 잘못된 권한 설정	중요자원(프로그램 설정, 민감한 사용자 데이터 등)에 대한 적절한 접근권한을 부여하지 않아, 인가되지 않은 사용자 등에 의해 중요정보가 노출·수정되는 보안약점
4	취약한 암호화 알고리즘 사용	중요정보(금융정보, 개인정보, 인증정보 등)의 기밀성을 보장할 수 없는 취약한 암호화 알고리즘을 사용하여 정보가 노출될 수 있는 보안약점
5	중요정보 평문저장	중요정보(비밀번호, 개인정보 등)를 암호화하여 저장하지 않아 정보가 노출될 수 있는 보안약점
6	중요정보 평문전송	중요정보(비밀번호, 개인정보 등) 전송시 암호화하지 않거나 안전한 통신채널을 이용하지 않아 정보가 노출될 수 있는 보안약점
7	하드코드된 비밀번호	소스코드내에 비밀번호가 하드코딩되어 소스코드 유출시 노출 우려 및 주기적 변경 등 수정(관리자 변경 등)이 용이하지 않는 보안약점
8	충분하지 않은 키 길이 사용	데이터의 기밀성, 무결성 보장을 위해 사용되는 키의 길이가 충분하지 않아 기밀정보 누출, 무결성이 깨지는 보안약점
9	적절하지 않은 난수 값 사용	예측 가능한 난수사용으로 공격자로 하여금 다음 숫자 등을 예상하여 시스템 공격이 가능한 보안약점
10	하드코드된 암호화 키	소스코드내에 암호화키가 하드코딩되어 소스코드 유출시 노출 우려 및 키 변경이 용이하지 않는 보안약점
11	취약한 비밀번호 허용	비밀번호 조합규칙(영문, 숫자, 특수문자 등) 미흡 및 길이가 충분하지 않아 노출될 수 있는 보안약점
12	사용자 하드디스크에 저장되는 쿠키를 통한 정보 노출	쿠키(세션 ID, 사용자 권한정보 등 중요정보)를 사용자 하드디스크에 저장함으로써 개인정보 등 기밀정보가 노출될 수 있는 보안약점
13	주석문 안에 포함된 시스템 주요정보	소스코드내의 주석문에 인증정보 등 시스템 주요정보가 포함되어 소스코드 유출시 노출될 수 있는 보안약점
14	솔트 없이 일방향 해쉬 함수 사용	공격자가 솔트없이 생성된 해쉬값을 얻게 된 경우, 미리 계산된 레인보우 테이블을 이용하여 원문을 찾을 수 있는 보안약점
15	무결성 검사 없는 코드 다운로드	원격으로부터 소스코드 또는 실행파일을 무결성 검사 없이 다운로드 받고 이를 실행하는 경우, 공격자가 악의적인 코드를 실행할 수 있는 보안약점
16	반복된 인증시도 제한 기능 부재	인증시도의 수를 제한하지 않아 공격자가 무작위 인증 시도를 통해 계정접근 권한을 얻을 수 있는 보안약점

3. 시간 및 상태 : 동시 또는 거의 동시 수행을 지원하는 병렬 시스템, 하나 이상의 프로세스가 동작되는 환경에서 시간 및 상태를 부적절하게 관리하여 발생할 수 있는 보안약점

번호	보안약점	설 명	비 고
1	경쟁조건: 검사 시점과 사용 시점(TOCTOU)	멀티 프로세스 상에서 자원을 검사하는 시점과 사용하는 시점이 달라서 발생하는 보안약점
2	종료되지 않는 반복문 또는 재귀 함수	종료조건 없는 제어문 사용으로 반복문 또는 재귀함수가 무한히 반복되어 발생할 수 있는 보안약점

4. 에러처리 : 에러를 처리하지 않거나, 불충분하게 처리하여 에러정보에 중요정보(시스템 등)가 포함될 때 발생할 수 있는 보안약점

번호	보안약점	설 명	비 고
1	오류 메시지를 통한 정보 노출	개발자가 생성한 오류메시지에 시스템 내부구조 등이 포함되어 민감한 정보가 노출될 수 있는 보안약점
2	오류 상황 대응 부재	시스템에서 발생하는 오류상황을 처리하지 않아 프로그램 실행정지 등 의도하지 않은 상황이 발생할 수 있는 보안약점
3	부적절한 예외 처리	예외에 대한 부적절한 처리로 인해 의도하지 않은 상황이 발생될 수 있는 보안약점

5. 코드오류 : 타입변환 오류, 자원(메모리 등)의 부적절한 반환 등과 같이 개발자가 범할 수 있는 코딩오류로 인해 유발되는 보안약점

번호	보안약점	설 명	비 고
1	Null Pointer 역참조	Null로 설정된 변수의 주소값을 참조했을 때 발생하는 보안약점
2	부적절한 자원 해제	사용된 자원을 적절히 해제 하지 않으면 자원 누수 등이 발생하고, 자원이 부족하여 새로운 입력을 처리할 수 없게 되는 보안약점
3	해제된 자원 사용	메모리 등 해제된 자원을 참조하여 예기치 않은 오류가 발생될 수 있는 보안약점
4	초기화되지 않은 변수 사용	변수를 초기화하지 않고 사용하여 예기치 않은 오류가 발생될 수 있는 보안약점

6. 캡슐화 : 중요한 데이터 또는 기능성을 불충분하게 캡슐화 하였을 때, 인가되지 않은 사용자에게 데이터 누출이 가능해지는 보안약점

번호	보안약점	설 명	비 고
1	잘못된 세션에 의한 데이터 정보 노출	잘못된 세션에 의해 인가되지 않은 사용자에게 중요정보가 노출될 수 있는 보안약점
2	제거되지 않고 남은 디버그 코드	디버깅을 위해 작성된 코드를 통해 인가되지 않은 사용자에게 중요정보가 노출될 수 있는 보안약점
3	시스템 데이터 정보노출	사용자가 볼 수 있는 오류 메시지나 스택 정보에 시스템 내부 데이터나 디버깅 관련 정보가 공개되는 보안약점
4	Public 메소드부터 반환된 Private 배열	Private로 선언된 배열을 Public으로 선언된 메소드를 통해 반환(return)하면, 그 배열의 레퍼런스가 외부에 공개되어 외부에서 배열이 수정될 수 있는 보안약점
5	Private 배열에 Public 데이터 할당	Public으로 선언된 데이터 또는 메소드의 인자가 Private로 선언된 배열에 저장되면, Private 배열을 외부에서 접근할 수 있게 되는 보안약점

7. API 오용 : 의도된 사용에 반하는 방법으로 API를 사용하거나, 보안에 취약한 API를 사용하여 발생할 수 있는 보안약점

번호	보안약점	설 명	비 고
1	DNS lookup에 의존한 보안결정	DNS는 공격자에 의해 DNS 스푸핑 공격 등이 가능함으로 보안결정을 DNS 이름에 의존할 경우, 보안결정 등이 노출되는 보안약점
2	취약한 API 사용	취약하다고 알려진 함수를 사용함으로써 예기치 않은 보안위협에 노출될 수 있는 보안약점