10		정보화 용역사업 관리

	관련 근거
‣ 서울특별시교육청 정보보안 기본지침(2024.6.) 제13조(제안요청서 기재사항) ‣ 서울특별시교육청 정보보안 기본지침(2024.6.) 제25~30조(계약 및 사업수행) ‣ 서울특별시교육청 정보보안 기본지침(2024.6.) 제49조(정보시스템 유지보수)

	업무시기
‣ 사업추진시

주요내용

❑ 용역사업 보안관리

- 사업대상: 자체 홈페이지 유지보수 용역, PC 유지보수 등

- 계약서(또는 과업지시서, 입찰 공고)에 명시할 사항

• 인원/장비/자료 등에 대한 보안조치 사항

• 보안준수사항 위반 시 손해배상 책임 사항

• 누출금지 대상정보 및 부정당업자의 제재조치 사항

• 참여인원 임의 교체 금지

• 개인정보 처리 위탁 시 표준개인정보처리위탁 계약서 작성

❑ 사업 진행시 주의사항

진행단계	주의 사항	비고
사업 착수 시	□ 정보화 용역사업 보안 특약사항 및 표준개인정보처리위탁 계약서(또는 특약사항) 포함하여 계약 □ 보안서약서 징구 ☞ 참여인력용 □ 용역사업 인력에 대한 보안교육 실시
사업 수행 시	□ 업체에 자료(정보통신망도, IP현황, 개인정보 등) 제공 시 제공자료 인계인수 관리대장 작성 □ 노트북, 휴대용 저장매체(USB 메모리 등) 반·출입 대장 작성 - 악성코드 감염여부, 누출금지 정보 무단 반출 여부 점검 □ 유지보수 일시 및 담당자 인적사항, 출입통제 조치사항, 작업수행내용 등 기록
사업 종료 시	□ 보안확약서 징구 ☞ 대표자용 □ 업체에 제공한 사업관련 제반자료 전량 회수 및 제공자료 인계인수 관리대장 기록 □ 용역업체 보관자료 완전삭제 등의 보안조치

	참고
‣ 정보화 용역사업 보안특약 사항(예시) ‣ 표준개인정보처리위탁 계약서 및 특약사항(서식) ‣ 보안서약서(서식) ‣ 정보화사업 용역업체 보안교육 및 점검자료(예시) ‣ 자료 인수인계 대장(예시) ‣ 휴대용 저장매체(전산장비 포함) 반출・입 대장(서식) ‣ 보안확약서(서식)

예시		정보화 용역사업 보안특약 사항(예시)

정보화 용역사업 보안 특약사항

1. 사업자는 발주자의 보안정책을 위반하였을 경우 ｢사업자 보안위규 처리기준｣에 따라 위규자 및 관리자를 행정조치하고 ｢보안 위약금 부과 기준｣에 따라  보안 위약금을 발주기관에 납부한다.

2. 사업자는 사업 수행에 사용되는 문서, 인원, 장비 등에 대하여 물리적, 관리적, 기술적 보안대책 및 ｢누출금지 대상 정보｣에 대한 보안 관리 계획을 사업수행계획서에 기재하여야 하며, 해당 정보 누출 시 ｢지방자치단체를 당사자로 하는 계약에 관한 법률｣시행령 제92조에 따라 사업자를 부정당업체로 등록한다.

3. 사업 수행과정에서 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업 완료 후에도 이를 외부에 유출해서는 안 되며, 사업완료 시 담당자의 입회하에 완전 폐기 또는 반납해야 한다.

4. 계약 시행일로부터 종료 후 30일이 경과하는 날까지의 기간 중에 발주기관, 발주기관의 상급기관 및 국가정보원장의 정기 또는 수시 보안점검(불시 점검 포함)을 수행할 수 있다.

* 관련: 정보보안 기본지침 제26조제3항, 제28조의2제5호, 제50조제1항제5호

5. 사업자는 사업 최종 산출물에 대해 정보보안전문가 또는 전문 보안점검 도구를 활용하여 보안취약점을 점검, 도출된 취약점에 대한 개선을 완료하고 그 결과를 제출해야 한다.

[별표 1] 용역사업 보안 준수사항

[별표 2] 사업자 보안위규 처리기준

[별표 3] 보안 위약금 부과 기준

[별표 4] 누출금지 대상 정보

서약자   소속                 직급         성명             (인)

확인자   소속                 직급         성명             (인)

별표 1

용역사업 보안 준수사항

1. 참여인원에 대한 보안관리

가. 용역사업 참여인원별 개인 친필 서명이 들어간 보안서약서 제출(참여인력 교체 경우 포함)

나. 용역사업 참여인원은 임의로 교체할 수 없으며 부득이한 사유로 교체해야 하는 경우(퇴사, 국외여행 등) 발주자의 사전 승인 필요

다. 참여인원의 비밀유지의무 준수 등의 보안교육 참여 및 자체 보안교육 실시

2. 자료에 대한 보안관리

가. 계약서 등에 명시된 ‘기관 소유 정보통신망 구성도·IP주소 현황 등’을 제공 받을 시 제공자료 인계인수 관리대장을 작성(인계자·인수자 자필 서명)하고 무단 복사 및 외부 반출을 금지함

나. 사업 관련자료는 웹하드, P2P, 웹오피스, 클라우드 등 인터넷 자료공유 사이트 및 개인 메일함에 저장 금지

다. 사업자와 발주자 간 전자우편을 이용해 자료전송이 필요한 경우 SEN메일을 이용하며, 첨부자료는 암호화 후 수·발신

3. 사무실 및 장비에 대한 보안관리

가. 용역사업은 비인가자 출입통제 대책, CCTV, 잠금장치 등이 확보된 공간에서 수행

나. 용역사업 수행 공간에 대해서는 주요자료 방치 여부 등 보안점검을 수시‧정기적으로 실시

다. 사업자의 노트북·휴대용 저장매체 사용이 불가피한 경우 발주자의 승인 후 사용

라. 반입 장비는 최신 백신프로그램으로 바이러스 및 악성코드 감염여부를 사전 점검 후 반입

마. 장비 반입‧출시 발주자의 승인 후 반입 및 반출 (반출‧입 대장 기재)

바. 노트북PC, 휴대용 저장매체 등 중요자료는 시건장치가 있는 보관함에 보관

사. 사업자의 노트북 및 보조기억매체 사용 종료 시 완전삭제 등 보안조치 확행

4. 산출물에 대한 보안관리

가. 사업 관련 제반자료 전량 회수 및 제공자료 인계인수 관리대장 기록

나. 복사본 등 사업 관련 자료를 일체 보유하고 있지 않다는 업체 대표 명의의 보안확약서 제출

다. 사용 종료 시 사업자의 노트북·휴대용 저장매체 등 관련 장비 완전삭제

라. 사업자가 소프트웨어 산출물을 제3자에게 제공하고자 할 경우 제공하기 이전에 발주자의 승인을 받아야 함

5. 원격(온라인) 유지보수·개발에 대한 보안관리 (필요시)

가. 용역업체 작업장소에 대한 사전협의 및 비인가 출입통제 대책

나. 개발PC에 대한 목적 외 사용 금지, 보안프로그램 설치, 인터넷 접속 금지 등 보안 점검 수행

다. 발주기관의 허가없이 정보통신망 또는 정보시스템 무단 접속 및 정보 수집 금지

별표 2

사업자 보안위규 처리기준

구 분	위 규 사 항	처 리 기 준
심 각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	□ 사업참여 제한 (부정당업체 등록) □ 위규자 및 직속 감독자 등 중징계 □ 재발 방지를 위한 조치계획 제출 □ 위규자 대상 특별 보안교육 실시
중 대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통·폐지함 등에 유기 또는 이면지 활용 다. 개인정보·신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실·보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·유지보수 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	□ 위규자 및 직속 감독자 등 중징계 □ 재발 방지를 위한 조치계획 제출 □ 위규자 대상 특별 보안교육 실시
보 통	1. 기관 제공 중요정책·민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상 위 등에 방치 나. 정책·현안자료를 휴지통·폐지함 등에 유기 또는 이면지 활용 다. 사무실 보안관리 부실 라. 캐비넷·서류함·책상 등을 개방한 채 퇴근 마. 출입키를 책상 위 등에 방치 3. 보호구역 관리 소홀 가. 통제·제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍·책상 위 등에 방치한 채 퇴근 나. 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅·화면보호 패스워드 미부여 또는 단순숫자 부여 마. PC 비밀번호를 모니터 옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	□ 위규자 및 직속 감독자 등 경징계 □ 위규자 및 직속 감독자 사유서/경위서 징구 □ 위규자 대상 특별보안 교육 실시
경 미	1. 업무 관련서류 관리 소홀 가. 진행 중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기·인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보·보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	□ 위규자 서면·구두 경고 등 문책 □ 위규자 사유서/경위서 징구

* 보안위규사항 및 처리기준은 기관별 실정에 맞게 조정

별표 3

보안 위약금 부과 기준

1. 위규 수준별로 A~D 등급으로 차등 부과

구분	위규 수준
	A급	B급	C급	D급
위규	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
위약금 비중	부정당업자 등록	계약금액의 10%	계약금액의 5%	계약금액의 3%

※ 위규 수준은 [별표2]의  「사업자 보안위규 처리기준」 참고

2. 보안 위약금은 다른 요인에 의해 상쇄, 삭감이 되지 않도록 부과

※ 보안사고는 1회의 사고만으로도 그 파급력이 큰 것을 감안하여 타 항목과 별도 부과

3. 사업 종료 시 지출금액 조정을 통해 위약금 정산

별표 4

누출 금지 대상 정보

① 해당 기관의 정보시스템 내·외부 IP주소 현황

② 정보시스템 구성 현황 및 정보통신망 구성도

③ 개별사용자의 계정·비밀번호 등 정보시스템 접근권한 정보

④ 정보통신망 또는 정보시스템 취약점 분석·평가 결과물

⑤ 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당)

⑥ 암호자재 및 정보보호시스템 도입·운용 현황

⑦ 정보보호시스템 및 네트워크장비 설정 정보

⑧ 「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 해당 기관의 내부문서

⑨ 「개인정보보호법」제2조제1호에 따른 개인정보

⑩ 「보안업무규정」제4조에 따른 비밀 및 「보안업무규정 시행규칙」제16조제3항에 따른 대외비

⑪ 그 밖에 해당 기관의 장이 공개가 불가하다고 판단한 자료

예시		표준 개인정보처리위탁 계약서

표준 개인정보처리위탁 계약서

본 표준 개인정보처리위탁 계약서는 「개인정보 보호법」제26조제1항에 따라 위탁계약에 있어 개인정보 처리에 관하여 문서로 정하여야 하는 최소한의 사항을 표준적으로 제시한 것으로서, 위탁계약이나 위탁업무의 내용 등에 따라 세부적인 내용은 달라질 수 있습니다.

개인정보처리업무를 위탁하거나 위탁업무에 개인정보 처리가 포함된 경우에는 본 표준 개인정보처리위탁 계약서의 내용을 위탁계약서에 첨부하거나 반영하여 사용하실 수 있습니다.

OOO(이하 “위탁자”라 한다)과 △△△(이하 “수탁자”이라 한다)는 “위탁자”의 개인정보 처리업무를 “수탁자”에게 위탁함에 있어 다음과 같은 내용으로 본 업무 위탁계약을 체결한다.

제1조 (목적) 이 계약은 “위탁자”가 개인정보처리업무를 “수탁자”에게 위탁하고, “수탁자”는 이를 승낙하여 “수탁자”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 ｢개인정보 보호법｣, 같은 법 시행령 및 고시, ｢개인정보의 안전성 확보조치 기준｣(개인정보보호위원회 고시 제2023-6호) 및 ｢표준 개인정보 보호지침｣(개인정보보호위원회 고시 제2024-1호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “수탁자”는 계약이 정하는 바에 따라 (   ) 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.

1.

2.

제4조 (위탁업무 기간) 이 계약서에 의한 개인정보 처리업무의 기간은 다음과 같다.
계약 기간 : 20oo년 o월 o일 ~ 20oo년 o월 o일

제5조 (재위탁 제한) ① “수탁자”는 “위탁자”의 사전 승낙을 얻은 경우를 제외하고 “위탁자”와의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁 할 수 없다.
② “수탁자”가 다른 제3의 회사와 수탁계약을 할 경우에는 “수탁자”는 해당 사실을 계약 체결 7일 이전에 “위탁자” 에게 통보하고 협의하여야 한다.

제6조 (개인정보의 안전성 확보조치) “수탁자”은 ｢개인정보 보호법｣제23조제2항 및 제24조제3항 및 제29조, 같은 법 시행령 제21조 및 제30조, ｢개인정보의 안전성 확보조치 기준｣(개인정보보호위원회 고시 제2023-6호)에 따라 개인정보의 안전성 확보에 필요한 기술적·관리적 조치를 취하여야 한다.

제7조 (개인정보의 처리제한) ① “수탁자”는 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.
② “수탁자”는 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 ｢개인정보 보호법 시행령｣ 제16조 및 ｢개인정보의 안전성 확보조치 기준｣(개인정보보호위원회 고시 제2023-6호)에 따라 즉시 파기하거나 “위탁자”에게 반납하여야 한다.
③ 제2항에 따라 “수탁자”가 개인정보를 파기한 경우 지체 없이 “위탁자”에게 그 결과를 통보하여야 한다.

제8조 (수탁자에 대한 관리·감독 등) ① “위탁자”는 “수탁자”에 대하여 다음 각 호의 사항을 감독할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이에 응하여야 한다.
1. 개인정보의 처리 현황
2. 개인정보의 접근 또는 접속기록
3. 개인정보 접근 또는 접속 대상자
4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항
② “위탁자”는 “수탁자”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이행하여야 한다.
③ “위탁자”는 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 (  )회 “수탁자”를 교육할 수 있으며, “수탁자”는 이에 응하여야 한다.
④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “위탁자”는 “수탁자”와 협의하여 시행한다.

제9조 (정보주체 권리보장) “수탁자”는 정보주체의 개인정보 열람, 정정·삭제, 처리 정지 요청 등에 대응하기 위한 연락처 등 민원 창구를 마련해야 한다.

제10조 (개인정보의 파기) “수탁자”는 제4조의 위탁업무 기간이 종료되면 특별한 사유가 없는 한 지체없이 개인정보를 파기하고, 이를 “위탁자”에게 파기 확인서(문서)를 제출하여 확인받아야 한다.

제11조 (손해배상) ① “수탁자” 또는 “수탁자”의 임직원 또는 기타 “수탁자”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁 받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “수탁자” 또는 “수탁자”의 임직원 또는 기타 “수탁자”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “위탁자” 또는 정보주체, 기타 제3자에게 손해가 발생한 경우 “수탁자”는 그 손해를 배상하여야 한다.
② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “위탁자”가 전부 또는 일부를 배상한 때에는 “위탁자”는 이를 “수탁자”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “위탁자”와 “수탁자”가 서명 또는 날인한 후 각 1부씩 보관한다.

20  .  .  .

위탁자 주 소 : ○○시 ○○길 ○○ 기관(회사)명 : 성 명 : (인)	수탁자 주 소 : ○○시 ○○로 ○○ 기관(회사)명 : 성 명 : (인)

예시		표준 개인정보처리위탁 특약사항

■ 조달청 입찰 등 계약서 징구가 어려운 경우 제안요청서 등 공식문서에 특약사항 추가 사용 가능

표준 개인정보처리위탁 특약사항

OOO(이하 “위탁자”라 한다)과 △△△(이하 “수탁자”이라 한다)는 “위탁자”의 개인정보 처리업무를 “수탁자”에게 위탁함에 있어 다음과 같은 내용으로 본 업무 위탁계약을 체결한다.

제1조 (목적) 이 계약은 “위탁자”가 개인정보처리업무를 “수탁자”에게 위탁하고, “수탁자”는 이를 승낙하여 “수탁자”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는 ｢개인정보 보호법｣, 같은 법 시행령 및 고시, ｢개인정보의 안전성 확보조치 기준｣(개인정보보호위원회 고시 제2023-6호) 및 ｢표준 개인정보 보호지침｣(개인정보보호위원회 고시 제2024-1호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “수탁자”는 계약이 정하는 바에 따라 (   ) 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.

1.

2.

제4조 (위탁업무 기간) 이 계약서에 의한 개인정보 처리업무의 기간은 다음과 같다.
계약 기간 : 20oo년 o월 o일 ~ 20oo년 o월 o일

제5조 (재위탁 제한) ① “수탁자”는 “위탁자”의 사전 승낙을 얻은 경우를 제외하고 “위탁자”와의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁 할 수 없다.
② “수탁자”가 다른 제3의 회사와 수탁계약을 할 경우에는 “수탁자”는 해당 사실을 계약 체결 7일 이전에 “위탁자” 에게 통보하고 협의하여야 한다.

제6조 (개인정보의 안전성 확보조치) “수탁자”은 ｢개인정보 보호법｣제23조제2항 및 제24조제3항 및 제29조, 같은 법 시행령 제21조 및 제30조, ｢개인정보의 안전성 확보조치 기준｣(개인정보보호위원회 고시 제2023-6호)에 따라 개인정보의 안전성 확보에 필요한 기술적·관리적 조치를 취하여야 한다.

제7조 (개인정보의 처리제한) ① “수탁자”는 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.
② “수탁자”는 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보 보호법 시행령」 제16조 및 「개인정보의 안전성 확보조치 기준」(개인정보보호위원회 고시 제2023-6호)에 따라 즉시 파기하거나 “위탁자”에게 반납하여야 한다.
③ 제2항에 따라 “수탁자”가 개인정보를 파기한 경우 지체 없이 “위탁자”에게 그 결과를 통보하여야 한다.

제8조 (수탁자에 대한 관리·감독 등) ① “위탁자”는 "수탁자"에 대하여 다음 각 호의 사항을 감독할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이에 응하여야 한다.
1. 개인정보의 처리 현황
2. 개인정보의 접근 또는 접속기록
3. 개인정보 접근 또는 접속 대상자
4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항
② “위탁자”는 “수탁자”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “수탁자”는 특별한 사유가 없는 한 이행하여야 한다.
③ “위탁자”는 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 (  )회 “수탁자”를 교육할 수 있으며, “수탁자”는 이에 응하여야 한다.
④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “위탁자”는 “수탁자”와 협의하여 시행한다.

제9조 (정보주체 권리보장)  “수탁자”는 정보주체의 개인정보 열람, 정정·삭제, 처리 정지 요청 등에 대응하기 위한 연락처 등 민원 창구를 마련해야 한다.

제10조 (개인정보의 파기)  “수탁자”는 제4조의 위탁업무 기간이 종료되면 특별한 사유가 없는 한 지체없이 개인정보를 파기하고, 이를 “위탁자”에게 파기 확인서(문서)를 제출하여 확인받아야 한다.

제11조 (손해배상) ① “수탁자” 또는 “수탁자”의 임직원 또는 기타 “수탁자”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁 받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “수탁자” 또는 “수탁자”의 임직원 또는 기타 “수탁자”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “위탁자” 또는 정보주체, 기타 제3자에게 손해가 발생한 경우 “수탁자”는 그 손해를 배상하여야 한다.
② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “위탁자”가 전부 또는 일부를 배상한 때에는 “위탁자”는 이를 “수탁자”에게 구상할 수 있다.

서식		보안서약서(사업시작시 참여인력 전원에게 징구)

보안서약서

본인은      년     월     일부터  OO회사(OO사업 수행)으로 근무함에 있어 다음 사항을 준수할 것을 서약한다.

1. 본인은 비밀로 분류될 성질의 업무를 수행함에 있어 소관 업무가 국가안전보장과 관련된 기밀임을 인정한다.

2. 본인은 보안 관련 규정을 준수하며 재직 중은 물론 퇴직 후에도 직무상 알게 된 비밀을 누설하지 않는다.

3. 본인이 기밀을 누설하거나 유출하였을 때에는 관련 법령에 따라 처벌을 받을 것을 서약한다. 다만 「부패방지 및 국민권익위원회의 설치와 운영에 관한 법률」에 따른 부패행위 신고 및 「공익신고자 보호법」에 따른 공익신고 등을 위한 목적일 경우 비밀준수 의무를 위반하지 않은 것으로 본다.

서약자     소속             직급             생년월일

직위              성명               (인)

서약집행자 소속             직급

직위              성명               (인)

예시		정보화사업 용역업체 보안교육 및 점검 자료

번호

용역업체 교육내용

내용

확인

1

통제·제한 구역 내 휴대용 장비 및 저장매체(노트북, 태블릿PC, USB, MP3플레이어 등) 반입 금지

□

반입

·

반출 시

반입 대장 기재(담당자 승인, 유·무선 네트워크 사용 제한: 외부 인터넷 사용 금지)

□

카메라 렌즈, 외부입력 포트 보안스티커를 부착

□

최신 백신 S/W 설치 및 악성코드 검사 완료

□

OS 및 응용S/W를 최신 보안 업데이트 완료

□

반출 대장 기재(비밀, 보안 및 개인정보 자료 포맷 완료)

□

2

개발

보안

시스템 및 홈페이지 등 정보시스템의 소스코드는 비인가자의 소스 코드 열람 및 사용을 제한하도록 조치한다

□

시스템 접속을 위한 단말은 지정된 PC 또는 노트북만 사용 가능하며 원격 작업을 할 수 없다.

□

서버 또는 개발 소스코드에는 담당자가 인가한 모듈, 소스코드만 설치 및 적용 할 수 있다.

□

보안에 취약하거나 특이 사항을 발견한 경우 즉시 담당자에게 알린다

□

3

위 규 사 항	처 리 기 준
[심각] 1. 비밀 및 대외비 급 정보 유출 및 유출시도 가.정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나.개인정보·신상정보 목록 유출 다.비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가.관련 시스템에 대한 해킹 및 해킹시도 나.시스템 구축 결과물에 대한 외부 유출 다.시스템 내 인위적인 악성코드 유포	□ 사업참여 제한 (부정당업체 등록) □ 위규자 및 직속 감독자 등 중징계 □ 재발 방지를 위한 조치계획 제출 □ 위규자 대상 특별보안교육 실시
[중대] 1. 비공개 정보 관리 소홀 가.비공개 정보를 책상 위 등에 방치 나.비공개 정보를 휴지통·폐지함 등에 유기 또는 이면지 활용 다.개인정보․신상정보 목록을 책상 위 등에 방치 라.기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가.통제구역 출입문을 개방한 채 퇴근 등 나.인가되지 않은 작업자의 내부 시스템 접근 다.통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가.업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나.웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다.개발·유지보수 시 원격작업 사용 라.저장된 비공개 정보 패스워드 미부여 마.인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바.외부용 PC를 업무망에 무단 연결 사용 사.보안관련 프로그램 강제 삭제 아.사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	□ 위규자 및 직속 감독자 등 중징계 □ 재발 방지를 위한 조치계획 제출 □ 위규자 대상 특별보안교육실시
[보통] 1. 기관 제공 중요정책·민감 자료 관리 소홀 가. 주요 현안·보고자료를 책상위 등에 방치 나. 정책·현안자료를 휴지통·폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비넷·서류함·책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 관리 소홀 가. 통제·제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍·책상 위 등에 방치한 채 퇴근 나. 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅·화면보호 패스워드 미부여 또는 “1111” 등 단순숫자 부여 마. PC 비밀번호를 모니터옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	□ 위규자 및 직속 감독자 등 경징계 □ 위규자 및 직속 감독자 사유서 / 경위서 징구 □ 위규자 대상 특별보안교육 실시

□

□

□

번호

용역업체 교육내용

내용

확인

[경미] 1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기·인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보·보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	□ 위규자 서면·구두 경고 등 문책 □ 위규자 사유서 및 경위서 징구

위의 「보안위규 처리기준」 위반 시 위규자 및 관리자 행정조치 숙지 완료

□

□

4

시스템 유지보수를 위해 제공받은 기관 정보통신망도, IP현황, 개인정보 등 인수인계대장에 작성된 누출금지자료는 지정된 장소 이외에 별도 보관하지 않으며, 다른 누구에게도 제공하지 않는다.

<누출금지정보>

① 해당 기관의 정보시스템 내·외부 IP주소 현황

② 정보시스템 구성 현황 및 정보통신망 구성도

③ 개별사용자의 계정·비밀번호 등 정보시스템 접근권한 정보

④ 정보통신망 또는 정보시스템 취약점 분석·평가 결과물

⑤ 정보화사업 용역 결과물 및 관련 프로그램 소스코드(외부에 유출될 경우 국가안보 및 국익에 피해가 우려되는 중요 용역사업에 해당)

⑥ 암호자재 및 정보보호시스템 도입·운용 현황

⑦ 정보보호시스템 및 네트워크장비 설정 정보

⑧ 「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상 정보로 분류된 해당 기관의 내부문서

⑨ 「개인정보보호법」제2조제1호에 따른 개인정보

⑩ 「보안업무규정」제4조에 따른 비밀 및 「보안업무규정 시행규칙」제16조제3항에 따른 대외비

⑪ 그 밖에 해당 기관의 장이 공개가 불가하다고 판단한 자료

□

본인은 서울시교육청 정보화 사업과 관련하여 직·간접적으로 알게 된 모든 정보를 엄격히 보호하고 준수사항을 지키며 위반 시 사업자 부정당업자제재 조치 및 민·형사상 책임과 관계법규에 의한 조치가 따르게 됨을 충분히 인지하였음

년     월    일

소속                  직위                 성명                (인)

귀하

[누출금지정보 관련 법률 상세 내용]

아. ‘공공기관의 정보공개에 관한 법률’ 제9조1항(비공개 대상정보)

1. 다른 법률 또는 법률에서 위임한 명령(국회규칙·대법원규칙·헌법재판소규칙·중앙선거관리위원회규칙·대통령령 및 조례로 한정한다)에 따라 비밀이나 비공개 사항으로 규정된 정보

2. 국가안전보장·국방·통일·외교관계 등에 관한 사항으로서 공개될 경우 국가의 중대한 이익을 현저히 해칠 우려가 있다고 인정되는 정보

3. 공개될 경우 국민의 생명·신체 및 재산의 보호에 현저한 지장을 초래할 우려가 있다고 인정되는 정보

4. 진행 중인 재판에 관련된 정보와 범죄의 예방, 수사, 공소의 제기 및 유지, 형의 집행, 교정(矯正), 보안처분에 관한 사항으로서 공개될 경우 그 직무수행을 현저히 곤란하게 하거나 형사피고인의 공정한 재판을 받을 권리를 침해한다고 인정할 만한 상당한 이유가 있는 정보

5. 감사·감독·검사·시험·규제·입찰계약·기술개발·인사관리에 관한 사항이나 의사결정 과정 또는 내부검토 과정에 있는 사항 등으로서 공개될 경우 업무의 공정한 수행이나 연구·개발에 현저한 지장을 초래한다고 인정할 만한 상당한 이유가 있는 정보. 다만, 의사결정 과정 또는 내부검토 과정을 이유로 비공개할 경우에는 의사결정 과정 및 내부검토 과정이 종료되면 제10조에 따른 청구인에게 이를 통지하여야 한다.

자. ‘개인정보 보호법'  제2조(정의)

1. “개인정보”란 살아 있는 개인에 관한 정보로서 성명, 주민등록번호 및 영상 등을 통하여 개인을 알아볼 수 있는 정보(해당 정보만으로는 특정 개인을 알아볼 수 없더라도 다른 정보와 쉽게 결합하여 알아볼 수 있는 것을 포함)

차. ‘보안업무규정’ 제4조의 비밀, 동 시행규칙 제16조3항의 대외비

제4조(비밀의 구분) 비밀은 그 중요성과 가치의 정도에 따라 다음 각 호와 같이 구분한다.

1. Ⅰ급비밀: 누설될 경우 대한민국과 외교관계가 단절되고 전쟁을 일으키며, 국가의 방위계획·정보활동 및 국가방위에 반드시 필요한 과학과 기술의 개발을 위태롭게 하는 등의 우려가 있는 비밀

2. Ⅱ급비밀: 누설될 경우 국가안전보장에 막대한 지장을 끼칠 우려가 있는 비밀

3. Ⅲ급비밀: 누설될 경우 국가안전보장에 해를 끼칠 우려가 있는 비밀

예시		자료 인수인계대장

자료 인계인수대장 (예시)

☐ 업무(사업) 개요

- 업무(사업)명 :

- 업무(사업)기간 : 20  .  .  . ~ 20  .  .  .

☐ 인계 기관명_부서명(담당자명) : 서울특별시교육청_OOO담당관(홍길동)

☐ 인수 기관명(담당자명) : ㈜한국정보보안(나정보)

☐ 인계인수 확인

연번	인계 자료명	인계일	회수일	확인(서명) 친필서명
				인계자	인수자	회수자
1	정보통신망 구성도	2021. 3. 8.	2022. 2. 28.	홍길동	나정보	홍길동
2	IP현황	2021. 3. 8.	2022. 2. 28.	김유신	너보안	김유신
3	········
4
5
········

서식		휴대용 저장매체(전산장비포함) 반출·입 대장

휴대용 저장매체(전산장비 포함) 반출·입 대장

<관리책임자 : 이순신(서명)>

장비명	관리번호 (시리얼번호)	사용자	용도	비공개 중요 자료 완전 삭제 확인	반출입 일시 (입·출 구분)	확인 친필서명
				악성코드 감염 여부 확인
USB	총무-일반-01 (610-RUCW-61659)	홍길동	국회 제출	홍길동	2016.03.08.10:00(출)	김유신
				나보안	2016.03.08.18:00(입)	김유신
CD	총무-일반-03 (4589-KK-4585)	유관순	행자부 회의참석	유관순	2016.05.08.10:00(출)	김유신
				나보안	2016.05.08.18:00(입)	김유신
노트북PC	s111-001-113 (5004829800055)	유관순	세미나 발표	유관순	2017.12.1 13:00 (출)	김유신
				나보안	2017.12.1 19:00 (입)	김유신
USB	총무-일반-005 (610-RUFU-61747)	홍길자	재택근무	홍길자	2022.12.1 18:00(출)	김유신
				나보안	2022.12.2 10:00(입)	김유신

서식		보안확약서(사업종료시)

확  약  서 (대표자용)

본인은 (용역, 연구개발, 제작, 입찰, 유지보수, 그 밖의 업무) 사업 용역 업무와 관련한 장비, 서류, 중간·최종 산출물 등 모든 제반자료(개인정보 포함) 등에 대하여 다음과 같이 이행하였음을 확약합니다.

1. 용역사업(업무) 관련한 모든 제반자료 반환(인계인수대장 확인 완료)

2. 용역사업(업무) 관련한 저장매체 내 자료 삭제

3. 용역사업(업무) 관련한 사업산출물 복사본 등을 별도 보관하지 않음

4. 본인이 이 기밀(개인정보 포함)을 누설하거나 관계 규정을 위반한 때에는 관련 법령 및 계약에 따라 어떠한 처벌 및 불이익도 감수한다.

년      월      일

서약자      소속      직급

직위        성  명           인

서  약      소속      직급

집행자                직위         성  명           인