(별표1) 보안준수 특수계약

보안준수 특수계약

2015. 7

(정보보호규정 內 붙임)

보안준수 특수계약

① 계약자는 한국남동발전(주)(이하 “우리회사”라 한다)의 보안정책을 위반하였을 경우 [첨부1]의 위규처리 기준에 따라 위규자를 행정 조치하고 [첨부2]의 보안위약금을 우리회사에 납부해야 한다.

② 계약자는 사업 수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 [첨부3]의 ‘누출금지 대상 정보’에 대한 보호관리 계획을 제안서 또는 계약서에 명시하여야 하며, 해당 정보 누출시 우리회사는『국가계약법 시행령』제76조 에 따라 계약자를 부정당업체로 등록한다.

③ 계약자는 용역사업에 투입되는 모든 인원에 대하여 [첨부4]의 보안 서약서와 [첨부5]의 개인정보 수집 동의서를 우리회사에 제출하여야 하며, 사업 참여인원의 인력교체 발생시에는 사전에 발주부서의 승인을 받아야 한다.

④ 용역사업 관련 및 사업과정에서 생산된 모든 산출물(소스코드, 시스템 구성도, 설계도, 보고서 등)은 우리회사에서 지정한 PC나 서버에 저장․관리하여야 한다.

⑤ 사업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업 완료 후에도 이를 외부에 유출해서는 안되며, 사업종료시 정보보호담당자의 입회하에 완전 폐기 또는 반납하고 우리회사에 [첨부 6] 대표자 명의 확약서를 제출하여야 한다.

⑥ 본 사업에 대한 하도급 계약을 체결할 경우, 本 사업계약 수준의 보안준수사항을 포함토록 조치하고, 하도급 업체의 보안위규 사항 발생 시 연대책임을 진다.

⑦ 우리회사의 보안담당부서에서는 보안 취약개소 확인, 보안대책 강구 및 보안 위규사항 적발 등을 위하여 사업기간 중 불시 및 정기 보안점검을 시행할 수 있으며, 이에 성실히 응해야 한다.

⑧ 계약자는 개발 완료한 정보시스템에 대해 정보보호전문가 또는 전문 보안 점검도구를 활용하여 보안 취약점 점검 및 도출된 취약점에  대해 개선조치를 완료하고 그 결과를 우리회사에 제출해야 한다.

[첨부 1] 사업자 보안위규 처리기준

사업자 보안위규 처리기준

1. 보안 위규사항

구 분	위 규 사 항
심 각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포
중 대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·유지보수 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용 (시스템 불법접근 시도 등) 자. 우리회사 보안정책 및 보안프로그램 우회행위

구 분	위 규 사 항
보 통	1. 우리회사 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개방된 서류함에 우리회사 문서를 일반문서와 혼합보관 2. 사무실 보안관리 부실 가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 관리 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 네이트온 등 비인가 메신저 무단 사용 다. 웹하드·P2P 등 비인가 S/W, 프로그램 설치 라. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 마. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여 바. PC 비밀번호를 모니터옆 등 외부에 노출
경 미	1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반

2. 처리 기준

구 분	사업체(하도급업체 포함)	직 원
심 각	․사업참여 제한 *「국가계약법 제76조 제1항」의 기준	․당사자 당사사업 참여 영구제한 ․사업 책임자(PM) 퇴출
중 대	․경고장 발송	․사업 책임자(PM) 퇴출(2회 이상) ․당사자 퇴출, 당사사업 참여 3년 제한
보 통	․기관장 경고문 통지 (2회 이상)	․당사자 퇴출 (2회 이상) ․재발방지 조치계획 제출
경 미	․	․재발방지 조치계획 제출

* 공통조치 : 위규자 및 직속 감독자 사유서 / 경위서 징구, 특별보안교육 실시

3. 사업참여 제한기준

구분	보안위규 횟수
	1차	2차	3차
심각위규	사업참여제한 (1개월)	사업참여제한 (3개월)	-
중대위규	경고장	사업참여제한 (1개월)	사업참여제한 (3개월)

[첨부 2] 보안위약금 부과 기준

보안 위약금 부과 기준

구분	위규 수준
	A급	B급	C급	D급
위규	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
위약금 비중	부정당업자 등록	계약금의 5%	계약금의 3%	계약금의 1%

* 위규 수준은 [첨부 1] 참고

* 사업 종료 시 지출금액 조정을 통해 위약금 정산

[첨부 3] 누출금지 대상 정보

누출금지 대상 정보

1. 우리회사 소유 정보시스템의 내․외부 IP주소 현황

2. 세부 정보시스템 구성현황 및 정보통신망 구성도

3. 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보

4. 정보통신망 취약점 분석·평가 결과물

5. 용역사업 결과물 및 프로그램 소스코드

6. 국가용 보안시스템 및 정보보호시스템 도입 현황

7. 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보

8.「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서

9.「개인정보보호법」제2조제1호의 개인정보

10.「보안업무규정」제4조의 비밀 및 동 시행규칙 제7조제3항의 대외비

11. 그 밖에 우리회사에서 공개가 불가하다고 판단한 자료

[첨부 4] 보안 서약서

보 안 서 약 서

본인은 2017년 03월 02일부로 제1~6호기 도수로 코스바 스크린 수중 오물제거 단가공사 관련 사업(업무)을 수행함에 있어 다음사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은 제1~6호기 도수로 코스바 스크린 수중 오물제거 단가공사 관련 업무 중 알게 될 일체의 내용이 직무상 기밀 사항임을 인정한다.

2. 본인은 이 기밀을 누설함이 회사안전보장 및 회사이익에 위해가 될 수 있음을 인식하여 업무수행 중 지득한 제반 기밀사항을 일체 누설하거나 공개하지 아니한다.

3. 본인이 이 기밀을 누설하거나 관계 규정을 위반한 때에는 관련 법규 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

4. 본인은 하도급업체를 통한 사업 수행 시 하도급업체로 인해 발생하는 위반사항에 대하여 모든 책임을 부담한다.

5. 회사의 보안정책을 따르지 않거나 소홀히 함으로써 발생되는 모든 문제에 대하여  어떠한 책임이라도 감수한다.

2017년    월    일

서  약  자        업   체   명 :

직        위 :

성        명 :                (서명)

생 년 월 일 :

서약집행자        소        속 : 삼천포발전본부 터빈부

.     직        위 :

성        명 :                (서명)

생 년 월 일 :

[첨부 5] 개인정보 수집 동의서 : 업무주관부서에서 목적에 맞게 만들어 사용

개인정보 수집 동의서(양식)

1. 개인정보 수집 및 이용 동의

수집․이용 목적
수집하는 개인정보 항목	□ 이름 □ 생년월일 □ 나이 □ 성별 □ 국 적 □ 이메일 □ 연락처 □ 휴대전화 □ 소속기관/단체명 □ 부서명 □ 직위/직책 □ 기타 ( )
보유․이용 기간 ※ 기간은 별표1 참조	□ 1년 □ 3년 □ 5년 □ 10년 □ 30년 □ 준영구 □ 영구 □ 기타( 년)
보유․이용 근거
개인정보 수집 동의 거부의 권리	○○○○은 보다 원활한 ○○○○ 제공을 위하여 기본 정보 이외의 추가정보를 수집하고 있으며, 추가 정보는 ○○○○ 제공 시 활용되는 정보로, 제공을 원하지 않을 경우 수집하지 않으며, 미동의로 인해 이용 상의 불이익도 발생하지 않습니다. ※ 추가 정보 수집을 하지 않으면 공란으로 비워둠 ※ 또한 미동의 시 불이익이 발생한 다면, 그에 대한 자세한 내용을 밑줄 친 부분에 표기
추가 수집 항목	※ 추가 수집 항목이 없을 경우 없음으로 표기
개인정보의 수집 및 이용목적에 동의하십니까? □ 동의함 □ 동의하지 않음

2. 민감정보 수집 동의(필요 시)

수집․이용 목적
수집하는 민감정보 항목	□ 사상․신념 □ 노동조합․정당의 가입․탈퇴 이력 □ 정치적 견해 □ 건강 □ 기타( )
보유․이용 기간 ※ 기간은 별표1 참조	□ 1년 □ 3년 □ 5년 □ 10년 □ 30년 □ 준영구 □ 영구 □ 기타( 년)
보유․이용 근거
개인정보 수집 동의 거부의 권리	○○○○은 보다 원활한 ○○○○ 제공을 위하여 기본 정보 이외의 민감정보를 수집하고 있으며, 민감정보는 ○○○○ 제공 시 활용되는 정보로, 제공을 원하지 않을 경우 수집하지 않으며, 미동의로 인해 이용 상의 불이익도 발생하지 않습니다. ※ 또한 미동의 시 불이익이 발생한 다면, 그에 대한 자세한 내용을 밑줄 친 부분에 표기
민감정보의 수집에 동의하십니까? □ 동의함 □ 동의하지 않음

3. 고유식별정보 수집 동의(필요 시)

수집․이용 목적
수집하는 민감정보 항목	□ 주민등록번호 □ 여권번호 □ 운전면허번호 □ 외국인등록번호 □ 기타 ( )
보유․이용 기간 ※ 기간은 별표1 참조	□ 1년 □ 3년 □ 5년 □ 10년 □ 30년 □ 준영구 □ 영구 □ 기타( 년)
보유․이용 근거
개인정보 수집 동의 거부의 권리	○○○○은 보다 원활한 ○○○○ 제공을 위하여 기본 정보 이외의 고유식별정보를 수집하고 있으며, 고유식별정보는 ○○○○ 제공 시 활용되는 정보로, 제공을 원하지 않을 경우 수집하지 않으며, 미동의로 인해 이용 상의 불이익도 발생하지 않습니다. ※ 또한 미동의 시 불이익이 발생한 다면, 그에 대한 자세한 내용을 밑줄 친 부분에 표기
고유식별정보의 수집에 동의하십니까? □ 동의함 □ 동의하지 않음

4. 개인정보의 제3자 제공 동의(필요 시)

제공 목적
제공하는 개인정보 항목	□ 이름 □ 생년월일 □ 나이 □ 성별 □ 국 적 □ 이메일 □ 연 락 처 □ 휴대전화 □ 소속기관/단체명 □ 부서명 □ 직위/직책 □ 기타 ( )
제공 기간 ※ 기간은 별표1 참조	□ 1년 □ 3년 □ 5년 □ 10년 □ 30년 □ 준영구 □ 영구 □ 기타( 년)
제공 근거
개인정보 제공 동의 거부의 권리	○○○○은 보다 원활한 ○○○○ 제공을 위하여 기본 정보 이외의 고유식별정보를 수집하고 있으며, 고유식별정보는 ○○○○ 제공 시 활용되는 정보로, 제공을 원하지 않을 경우 수집하지 않으며, 미동의로 인해 이용 상의 불이익도 발생하지 않습니다. ※ 또한 미동의 시 불이익이 발생한 다면, 그에 대한 자세한 내용을 밑줄 친 부분에 표기
제3자 제공 동의에 동의하십니까? □ 동의함 □ 동의하지 않음
신청인 (인)

[첨부 6] 대표자 명의 확약서

보 안 확 약 서

본인은 귀 기관과 계약한 제1~6호기 도수로 코스바 스크린 수중 오물제거 단가공사 사업의 수행을 완료함에 있어, 다음 각 호의 보안사항에 대한 준수 책임이 있음을 서약하며 이에 확약서를 제출합니다.

1. 본 업체(단체)는 업체(단체) 및 사업 참여자가 사업수행 중 취득한 모든 자료를 반납 및 파기하였으며, 취득한 정보에 대한 유출을 절대 금지하겠습니다.

2. 본 업체(단체)는 하도급업체에 대해 상기 항과 동일한 보안사항 준수 책임을 확인하고 보안확약서 징구하였으며, 하도급업체가 위의 보안사항을 위반할 경우, 주사업자로서 이에 동일한 법적 책임을 지겠습니다.

3. 본 업체(단체)는 상기 보안사항을 위반할 경우에 귀 기관의 사업에 참여 제한 또는 기타 관련법규에 따른 책임과 손해배상을 감수하겠습니다.

2017년     월     일

서약업체 대표

회   사   명 :

직        급 :

성        명 :             (서명)

한국남동발전(주) 귀하

(별표1) 개인정보파일 보유기간 책정 기준표

개인정보파일 보유기간 책정 기준표

보유기간	대상 개인정보파일
영구	1. 국민의 지위, 신분, 재산을 증명하기 위해 운용하는 개인정보파일 중 영구보존이 필요한 개인정보파일 2. 국민의 건강증진과 관련된 업무를 수행하기 위해 운용하는 개인정보파일 중 영구보존이 필요한 개인정보파일
준영구	1. 국민의 신분, 재산을 증명하기 위해 운용하는 개인정보파일 중 개인이 사망, 폐지 그 밖의 사유로 소멸되기 때문에 영구 보존할 필요가 없는 개인정보파일 2. 국민의 신분증명 및 의무부과, 특정대상 관리 등을 위하여 행정기관이 구축하여 운영하는 행정정보시스템의 데이터 셋으로 구성된 개인정보파일
30년	1. 관계 법령에 따라 10년 이상 30년 미만의 기간 동안 민. 형사상 또는 행정상의 책임 또는 시효가 지속되거나, 증명자료로서의 가치가 지속되는 개인정보파일
10년	1. 관계 법령에 따라 5년 이상 10년 미만의 기간 동안 민. 형사상 또는 행정상의 책임 또는 시효가 지속되거나, 증명자료로서의 가치가 지속되는 개인정보파일
5년	1. 관계 법령에 따라 3년 이상 5년 미만의 기간 동안 민. 형사상 또는 행정상의 책임 또는 시효가 지속되거나, 증명자료로서의 가치가 지속되는 개인정보파일
3년	1. 행정업무의 참고 또는 사실 증명을 위하여 1년 이상 3년 미만의 기간 동안 보존할 필요가 있는 개인정보파일 2. 관계 법령에 따라 1년 이상 3년 미만의 기간 동안 민. 형사상 또는 행정상의 책임 또는 시효가 지속되거나, 증명자료로서의 가치가 지속되는 개인정보파일 3. 각종 증명서 발급과 관련된 개인정보파일(단 다른 법령에서 증명서 발급 관련 보유기간이 별도로 규정된 경우 해당 법령에 따름)
1년	1. 상급기관(부서)의 요구에 따라 단순 보고를 위해 생성한 개인정보파일

(별표2) 보안교육일지

교 육 일 지			직원			차장		부장
교 육 일 시	2017. . ( ) 시 분
교 육 장 소
교 육 인 원	명	강 사
제 목	정보보안 준수 사항
교 육 내 용 1. 보안관리 철저 ○ 노트북 반입 및 사용 금지 (필요시 반드시 인가 후 사용) ○ 비인가 USB저장매체 사용 금지 (필요시 반드시 인가 후 사용) ○ 용역업무 수행 중 중요 문서 방치 금지 등 보안관리 철저 ○ 우리 회사 보안정책 준수 2. 외부로 절대 누출하지 말아야 할 항목 ○ 우리회사 소유 정보시스템의 내․외부 IP주소 현황 ○ 세부 정보시스템 구성현황 및 정보통신망 구성도 ○ 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보 ○ 정보통신망 취약점 분석·평가 결과물 ○ 용역사업 결과물 및 프로그램 소스코드 ○ 국가용 보안시스템 및 정보보호시스템 도입 현황 ○ 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크 장비 설정 정보 ○「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서 ○「개인정보보호법」제2조제1호의 개인정보 ○「보안업무규정」제4조의 비밀 및 동 시행규칙 제7조제3항의 대외비 ○ 그 밖에 우리회사에서 공개가 불가하다고 판단한 자료 ※ 위 사항을 누출시 「국가계약법시행규칙」의거부정당업자로 제재 등 불이익 제공

교육 참석자 명단

○ 교육대상 : 0명

○ 참석자 서명

순번	직급	성명	서명
1
2

(별표3) 용역사업 일일 보안점검 리스트

순번	점검항목
1	용역업체 사용 전산망과 기관 전산망의 분리 여부(VLAN 분리 포함)
2	용역업체 직원 PC의 내부 정보시스템 접근 통제 여부
3	P2P, 웹하드, 메신저 등 불필요한 인터넷 접속 차단 여부
4	용역업체 직원에 주요 계정 비밀번호 제공 여부
5	용역업체 직원에 비밀번호 부여시 관련사항 별도 기록 여부
6	용역업체 직원에 시스템 관리자 계정 단독 접근 여부
7	노트북PC 등 휴대형 정보시스템을 시스템 관리용 PC로 활용 여부
8	용역업체 직원 등에 의한 기관 외부에서의 원격 접속ㆍ작업 여부
9	용역업체 정보시스템 접근시 작업이력 로깅 기능 사용 여부
10	용역업체 PC 및 휴대형 저장매체에 정보시스템 ‘계정명/비밀번호’ 저장여부
11	용역업체 PC에 설치된 운영체제 및 응용프로그램 최신상태 유지 여부
12	용역업체 PC 백신 프로그램 자동 업데이트 및 실시간 감시기능 사용 여부
13	용역업체 PC USBㆍCD-RWㆍ무선랜 등 매체 통제 여부
14	용역업체 PC 비밀번호 및 화면보호기 설정 여부
15	용역업체 직원의 비인가 정보통신장비(노트북 등) 휴대ㆍ반입 여부

(별표4) 제출자료 인수⋅인계대장

번호	일자	인계자	인수자	내용	비 고