제주의료원 홈페이지 개편

과 업 지 시 서

2020. 10.

목   차

Ⅰ. 과업개요	1

1. 과업개요	1

2. 추진배경 및 필요성	1

3. 과업범위	1

4. 주요 과업내용	1

5. 참가자격	2

6. 제출서류	2

Ⅱ. 추진체계 및 추진일정	3

1. 추진체계 구성	3

2. 추진역할	3

3. 추진일정	4

Ⅲ. 과업의 주요내용	5

1. 과업 요청사항 요약	5

2. 상세 요구사항	6

Ⅳ. 기타사항	14

[붙임 1] 별표서식	15

1. 사업자 보안위규 처리기준	16

2. 보안 위규자 행정처리 및 위약금 부과 기준	18

3. 누출금지 대상 정보	19

4. 정보화사업 용역업체 정보보호 준수사항	20

5. 보안서약서(업체 대표자용)	22

6. 보안서약서(참여 인력용)	23

7. 보안확약서(업체 대표자용)	24

8. 표준 개인정보처리위탁 계약서(안)	25

Ⅰ		과업개요

1. 과업개요

가. 과 업 명: 제주의료원 홈페이지 개편

나. 과업기간: 계약일로부터 70일

-「정보통신 진흥 및 융합 활성화 등에 관한 특별법」제23조

-「소프트웨어사업 관리감독에 관한 일반기준」고시 제6조

다. 사 업 비: 총 22,000,000원(부가세 포함)

라. 사업자 선정방식: 소액수의계약

2. 추진배경 및 필요성

가. 홈페이지의 노후화로 이용자들의 불편함을 야기

나. 다양한 기기와 모바일에서 최적화된 홈페이지 서비스 제공

다. 이용자 관점의 의료정보 서비스 제공

3. 과업범위

가. 최신 웹 디자인 트렌드를 반영한 홈페이지 디자인

나. 이용자가 필요한 정보를 시각적으로 쉽게 획득할 수 있는 환경 마련

다. 스마트폰 및 태블릿 PC 등 다양한 모바일 환경에서도 동등한 서비스 제공을 위한 반응형 홈페이지 구축

라. 최신 안드로이드, IOS 기기에 최적화된 서비스 구축

마. 최신 트랜드 분석을 통한 사용자 편의 UI/UX 설계 및 적용

4. 주요 과업내용

가. 홈페이지 신규 구축

- 사용자 접근성, 편의성을 고려한 디자인 적용

- 다양한 환경에서 서비스가 제공될 수 있도록 반응형 웹으로 구축

나. 통합관리시스템 구축

- 페이지별 콘텐츠를 자체적으로 운영 가능하도록 관리자권한 부여

- 의료진 프로필, 배너 및 팝업, 게시판 등 관리자페이지 구축

5. 참가자격

가.「지방자치단체를 당사자로 하는 계약에 관한 법 시행령」제13조 및 동 법 시행규칙 제14조 규정의 자격을 규정에 의한 경쟁입찰 참가자격을

갖춘 업체여야 함.

나.「소프트웨어산업 진흥법」제24조 규정에 의한 소프트웨어사업자 [컴퓨터관련 서비스사업]로 등록업체

다. 중소기업제품 구매촉진 및 판로지원에 관한 법률 제9조에 의한 직접생산확인증명서 소지업체 【세부품명: 정보시스템개발, 개찰일 전일까지 발급된 것으로 유효기간 내에 있어야 함】

라. 본 사업은「소프트웨어산업진흥법」에 의한「대기업인 소프트웨어사업자가 참여할 수 있는 사업금액의 하한(과학기술정보통신부 고시 제2017-7호)」이 적용되는 사업으로 대기업 및 중견기업은 입찰에 참여할 수 없음

마. 본 사업은 공동수급 및 하도급을 불허함

※ 관련근거

- 소프트웨어 기술성 평가기준(과학기술정보통신부 고시 제2018-83호, 2018.11.21.)

- 행정기관 및 공공기관 정보시스템 구축ㆍ운영 지침(행정안전부 고시 제2019-69호, 2019.8.23.)

- 과업지시서에서 별도로 기술하지 아니한 사항은 지방자치 단체를 당사자로  하는 계약에 관한 법률 및 동법시행령․시행 규칙과 이에 근거한 계약의 일반조건, 특수조건, 입찰유의서 및 일반원칙에 따름

6. 제출서류

가. 제출시기: 계약시 7일이내 제출

나. 제출내용

- 보안서약서(업체 대표자용), 보안서약서(참여 인력용)

- 재직증명서

- 보안확약서, 외주용역업체 보안교육 확인서

- 표준 개인정보처리위탁 계약서

Ⅱ		추진체계 및 추진일정

1. 추진체계 구성

		총 괄
		총무과장
사업주관부서 (총무과 전산실)			사업협력부서 (홈페이지 운영체계 개편 T/F팀)			용역수행 사업자
o 사업계획 및 운영계획 수립 o 사업수행 관리, 검수 및 결과평가 o 결과물 인수 및 운영 o 홈페이지 운영 o 홈페이지 테스트 및 검수			o 요구사항 정의 및 조정 o 기본추진방향 및 주요 의사결정 o 홈페이지 개편 성과물 조정 o 홈페이지 개편 최종 성과물 확정			o 용역계약 체결 o 사업 실행계획 수립 o 홈페이지 디자인 개편 o 운영자교육 및 기술지원 등

2. 추진역할

구 분	주요역할 및 기능	구 성
사업주관부서	◦ 사업계획 및 운영계획 수립 ◦ 사업수행 관리, 검수 및 결과평가 ◦ 결과물 인수․운영 ◦ 홈페이지 운영 ◦ 홈페이지 테스트 및 검수	총무과 전산실
사업협력부서	◦ 요구사항 정의 및 조정 ◦ 기본추진방향 및 주요 의사결정 ◦ 홈페이지 개편 성과물 조정 ◦ 홈페이지 개편 최종 성과물 확정	홈페이지 운영체계 개편 T/F팀
용역수행	◦ 용역계약 체결 ◦ 사업 실행계획 수립 ◦ 홈페이지 디자인 개편 및 중간보고 ◦ 운영자교육 및 기술 지원 등	용역사업수행자

3. 추진일정

추 진 업 무			계약일로부터 70일
			M						M+1						M+1.3
착수		착수준비
		일정수립
사업 기간	분석	업무분석 및 계획
		운영 프로세스 분석
		요구사항 정의
	설계	화면 설계 및 시안 디자인
	구현	디자인 및 프로그램 적용
	사업종료	산출물 작성

※ 추진일정은 발주기관과 사업자의 상호협의를 통해 변경할 수 있음.

Ⅲ		제안요청 내용

1. 과업 요청사항 요약

요구 구분	설명	요구사항 수
시스템 장비 요구사항(ECR) (Equipment Composition Req.)	목표사업수행을 위해 필요한 시스템 도입 등에 대한 요구사항 기술	1
기능 요구사항(SFR) (System Function Req.)	목표시스템이 반드시 수행하여야 하거나 목표시스템을 이용하여 사용자가 반드시 할 수 있어야 하는 기능(동작)에 대한 요구사항	2
인터페이스 요구사항(SIR) (System Interface Req.)	목표시스템과 외부 세계 사이를 연결하는 시스템 인터페이스와 사용자 인터페이스에 대한 요건과 관련한 요구사항	2
표준 요구사항(SGR) (Standard Guidance Req.)	목표사업수행 중 표준 준수를 위한 요구사항	1
테스트 요구사항(TER) (Test Requirement)	구축된 시스템이 계획된 목표 대비 제대로 운영되는가를 테스트하고, 점검하기 위한 테스트 요구사항	1
보안 요구사항(SER) (Security Requirement)	목표사업수행 중 보안준수를 위한 요구사항	1
품질 요구사항(QUR) (Quality Requirement)	목표사업의 원활한 수행 및 운영을 위해 관리가 필요한 품질 항목, 품질평가 대상 및 목표에 대한 요구사항	2
사업관리 요구사항(PMR) (Project Mgmt. Req.)	프로젝트의 원활한 수행을 위한 관리방법 및 추진단계별 수행방안에 대한 요구사항	4
합계		14

2. 상세 요구사항

요구사항 고유번호		ECR-001
요구사항 명칭		운영 시스템 활용
요구사항 분류		시스템 장비 요구사항	응낙수준	필수
요구 사항 상세 설명	정의	기 운영 중인 시스템 환경 활용
	세부 내용	• 현재 운영 중인 홈페이지 시스템(S/W , H/W) 운영 환경을 파악하고 활용하여 적합하게 개발하여야 한다. • 현재 운영 중인 DBMS를 이용하여 개발하여야 하며, 수반되는 기술지원비 등은 사업비에 포함된 것으로 간주한다.

요구사항 고유번호		SFR-001
요구사항 명칭		홈페이지 디자인 개편
요구사항 분류		기능요구사항	응낙수준	필수
요구 사항 상세 설명	정의	제주의료원 홈페이지 디자인 요구사항
	세부 내용	• 제주의료원 BI와 홈페이지 시안을 활용하여 디자인 구현 • 제주의료원 홈페이지 메인 디자인 전면 재구성 • 최신 웹 트렌드에 맞는 대표 디자인 리뉴얼 - 비주얼을 홍보영역으로 효율적으로 이용할 수 있도록 디자인 구현 - 팝업존과 배너존 디자인이 대표 레이아웃에 적용 • 세부 과업을 기재하지 않은 사항은 발주사의 의견 적극반영 • 기 도입한 소프트웨어와의 연계 및 호환성 확보 ※ 기술지원에 따른 비용발생 시 사업자 부담

요구사항 고유번호		SFR-002
요구사항 명칭		통합관리시스템 개발
요구사항 분류		기능요구사항	응낙수준	필수
요구 사항 상세 설명	정의	관리자 프로그램 개발 요구사항
	세부 내용	• 페이지별(의료원소개, 인사말, 조직도 등) 관리자 권한 부여 • 의료진 프로필관리 - 의료진별 프로필(사진, 이름, 경력 등) 정보 등록/수정/삭제 관리 • 배너관리 - 위치별 배너(이미지, 링크주소) 등록/수정/삭제 관리 • 온라인 문의/ 게시판관리/ 팝업창관리. 접속자통계 등 - 온라인 문의 폼제작 / 문의현황 및 리스트관리 - 항목별 게시판관리 (공지사항, 언론보도, 입찰정보 등) - 팝업창 관리(팝업게시기간 및 다중팝업, 편집기 제공) - 접속자통계(일별, 요일별, 월별 통계 그래프 제공)

요구사항 고유번호		SIR-001
요구사항 명칭		인터페이스 요구사항
요구사항 분류		인터페이스 요구사항	응낙수준	필수
요구 사항 상세 설명	정의	인터페이스 공통 요구사항
	세부 내용	• 반응형 웹 구축 - PC기반의 사용자 환경과 동일하게 모바일 환경에서도 서비스가 제공될 수 있도록 반응형 웹으로 구축하여야 한다.

요구사항 고유번호		SIR-002
요구사항 명칭		화면설계 요구사항
요구사항 분류		인터페이스 요구사항	응낙수준	필수
요구 사항 상세 설명	정의	화면설계
	세부 내용	• 콘텐츠 이용현황 분석 등을 통하여 콘텐츠 순위를 지정, 사용자 편의성을 고려하여 화면을 구성하여야 한다. • PC 및 모바일 사용자 경험을 고려한 UX(user experience)를 설계하여 정확한 내용 전달이 가능하도록 화면을 설계한다. • 사용자 디바이스에 따른 맞춤화면을 단순하고 직관적으로 구성하여 제공한다. • 홈페이지를 방문하는 사용자에게 필요한 콘텐츠 및 기능에 접근하는 경로로 설계한다. • 정보의 접근성, 가독성, 이용편리성을 최대한 고려하여 화면을 설계한다.

요구사항 고유번호		SGR-001
요구사항 명칭		웹 표준 준수
요구사항 분류		표준요구사항	응낙수준	필수
요구 사항 상세 설명	정의	웹 표준 준수
	세부 내용	• 개편되는 PC 및 모바일 홈페이지는 전자정부서비스 호환성 및 W3C 웹 표준 준수지침을 준수하며, 웹 브라우저 최소 3종 이상(IE, Firefox, Chrome, Opera 중)의 웹 브라우저와 모든 운영체제에서 정상적으로 동등한 서비스가 제공되도록 표준화를 적용해야 한다. • 전자정부서비스 호환성 준수 지침에 따라 플래시 기반의 콘텐츠 및 멀티미디어(플래시) 동영상은 제거하여야 한다. • 한국형 웹 콘텐츠 접근성 지침(KWCAG 2.1)을 준수하여야 한다.

요구사항 고유번호		TER-001
요구사항 명칭		성능 테스트
요구사항 분류		테스트 요구사항	응낙수준	필수
요구 사항 상세 설명	정의	성능 테스트 방안
	세부 내용	• 협의한 요구사항에 대하여 모두 제공하며, 요구사항이 변경된 경우 변경관리 절차를 통해 승인된 요구사항을 최종 테스트 대상으로 간주한다. • 기능 요구사항의 검증(테스트) 결과 예상된 결과를 기준으로 평가한다. • 요구사항 반영 및 기능 구현을 통한 요구 성능이 충족되도록 구현 및 테스트를 지원하여야 한다. • 기능 구현 정확성은 사용자가 직접 테스트를 수행하여 평가한다. • 테스트 결과의 모니터링 및 테스트결과를 지속적으로 반영(오류, 불편사항 조치 등) 하여 요구사항이 모두 충족되도록 시스템을 구현하여야 한다.

요구사항 고유번호

SER-001

요구사항 명칭

보안 일반 요구사항 및 보안관리지침 준수

요구사항 분류

보안 요구사항

응낙수준

필수

요구

사항

상세

설명

정의

보안관리지침 및 개인정보보호 준수

세부

내용

• 사업 수행과정에서 취득한 자료와 정보에 관해서는 사업수행의 전후를 막론하고
우리시의 승인 없이 외부에 유출 또는 누설하여서는 아니 된다.

• 사업 수행 중 인원, 문서 및 전산자료 보안 등 아래의 보안관리 사항을 준수하여야
한다. 기타 사항은 시 「국가 정보보안 기본지침」에서 정하는 바에 따른다.

① 참여 인력에 대한 보안관리

o 사업 착수 시

- 사업 참여인원에 대해서는 사업투입 전, “보안서약서” 를 제출하여야 한다.

- 사업자는 용역사업 수행 전 참여인원에 대해 법률 또는 시의 규정에 의한
비밀유지의무 준수 및 위반 시 처벌내용 등에 대한 보안교육을 실시하여야 한다.

o 사업 종료 시

- 사업자는 사업관련 자료를 보유하고 있지 않으며 이를 위반 시 향후 법적
책임이 있음을 포함한 “보안확약서”를 작성하여 시에 제출하여야 한다.

② 문서 및 전산자료보안

o 문서 및 전산자료 보안 일반

- 「국가 정보보안 기본지침」에 의거 정보통신망 구성도, 정보시스템 구성도,
용역사업 산출물 및 개인정보 등 누출금지 정보는 비공개자료로 분류하여
관리해야 한다.

③ 네트워크 접근 보안

o 사업자는 정보시스템 사용자 계정(ID) 이용 시, 부여된 권한 이외의 접근을
하여서는 아니 된다. 또한, 부여된 패스워드는 임의 변경 및 타인에게
알려서는 아니 된다.

요구사항 고유번호		QUR-001
요구사항 명칭		품질 요구 일반사항
요구사항 분류		품질 요구사항	응낙수준	필수
요구 사항 상세 설명	정의	품질 요구 일반사항
	세부 내용	• 사업목표 달성을 위해 의사소통, 일정관리, 산출물 작성 및 계획서 절차 준수 등 기술적, 절차적인 사항에서 문제가 되지 않도록 철저히 관리한다. • 사업의 원활한 추진과 사용자 및 사업의 품질 확보를 위해 품질관리와 사업관리를 실시한다. • 개발환경 변화, 발주처 요구사항 변경, 사업자 사정 등의 사유로 인해 과업내용 및 투입 인력의 변동이 발생할 경우 행정기관 및 공공기관 정보시스템 구축·운영 지침(행정안전부), 전자정부지원사업 운영지침(한국정보화진흥원)에 따라 업무를 처리한다. • 개발기간 중 발생 또는 예측되는 위험요소를 지속적으로 식별 하여 위험요인이 해소될 때까지 체계적인 위험관리를 실시한다. • 발주처의 요청 시 사업진행 공정별 성과물을 제공하며, 성과물의 질 또는 성능향상을 위한 발주처의 요구사항을 성실히 이행하여야 한다.

요구사항 고유번호		QUR-002
요구사항 명칭		품질 요구 일반사항
요구사항 분류		품질 요구사항	응낙수준	필수
요구 사항 상세 설명	정의	품질 요구 일반사항
	세부 내용	• 하자보수 책임기간은 검수에 의하여 사업의 완성을 확인한 후 1년간으로 한다. • 무상하자보수 지원방안에 지원범위, 방법 및 인원을 포함하여 제시한다. • 하자보수를 요청받은 즉시 그 하자를 보수하여야 하며, 시스템 장애가 발생한 경우 통보 후 24시간 이내 복구 완료하고, 장애 복구가 장시간 소요된다고 판단될 경우 별도의 기기로 즉시 대체하여 서비스에 차질이 없도록 조치한다. • 기술자문 및 지원요구에 성실히 응하여야 하며, 하자보수의 불이행으로 인하여 서비스 지연이나 손실을 주었을 경우 발주자는 사업자에게 손해배상을 청구할 수 있다.

요구사항 고유번호		PMR-001
요구사항 명칭		사업관리 일반 요구사항
요구사항 분류		사업관리 요구사항	응낙수준	필수
요구 사항 상세 설명	정의	사업관리 일반 요구사항
	세부 내용	• 본 사업의 성공적인 완수를 위하여 효율적인 사업수행조직체계 수립 방법을 제시하여야 한다. • 본 사업을 수행하기 위하여 필요한 작업 장소 및 설비, 기타 작업환경, 제반비용 등은 상호 협의하여 정한다. • 과업내역서에 명시된 사항은 사업자가 임의로 해석할 수 없으며, 내용이 불분명하거나 명시되지 아니한 사항은 상호 협의하여 결정하되, 경미한 사항은 발주처의 결정에 따른다. • 본 사업은 과업내역서에 의거 수행하며, 과업내역서에 명시되지 않은 사항이라도 성공적이 사업 추진을 위하여 필요한 사항은 협의에 따라 보완하여 추진한다. • 본 사업 수행에 소요되는 경비는 사업자가 부담하며, 본 과업 수행 도중 사업자가 제3자에게 피해를 주었을 경우 사업자가 손실을 보상하여야 한다. • 원활한 사업수행을 위하여 홈페이지 통합 유지관리 업체, 통합 대상 시스템 유지관리 업체와 상호 협력하여야 한다.

요구사항 고유번호		PMR-002
요구사항 명칭		투입인력 적정성
요구사항 분류		사업관리 요구사항	응낙수준	필수
요구 사항 상세 설명	정의	투입인력 적정성
	세부 내용	• 본 사업 추진 시 사업총괄 책임자 및 수행인원은 반드시 사업자의 정직원들로만 이루어져야 하며, 하도급을 줄 수 없다. (단, 통상적인 개발인력이 아닌 상용SW, 솔루션, 콘텐츠 수집을 위한 지원인력 등은 하도급으로 간주하지 않는다.)

요구사항 고유번호		PMR-003
요구사항 명칭		검사 및 검수
요구사항 분류		사업관리 요구사항	응낙수준	필수
요구 사항 상세 설명	정의	검사 및 검수 일반사항
	세부 내용	• 과업 일정 준수 및 과업진행사항에 대한 검사를 실시할 수 있다. • 검수는 준공계 접수일로부터 14일 이내에 실시하며, 검수 공무원 입회하에 성능시험 및 요구사항, 제안서와 일치될 경우 인정하며 보완지적이 있을 시 지체없이 이행 후 재검수를 받아야 한다.

요구사항 고유번호		PMR-004
요구사항 명칭		산출물 제출
요구사항 분류		사업관리 요구사항	응낙수준	필수
요구 사항 상세 설명	정의	산출물 제출
	세부 내용	• 사업산출물 ① 착수 시 제출서류 - 사업자는 계약체결 후 7일 이내에 착수계를 작성하여 제출하여야 하며, 사업수행계획서(예정공정표, 추진조직도 등 포함), 보안서약서 등을 제출하여야 한다. 필요시 사업수행계획에 포함된 사항도 함께 제출한다. - 비밀유지계약서, 개인정보처리위탁 계약서를 제출하여야 한다. ② 완료 시 제출서류 - 보안확약서 1부, 사업 완료보고서 2부.

Ⅳ		기타사항

1. 본 과업은 소프트웨어산업 진흥법 제24조의2, 대기업인 소프트웨어 사업자가 참여할 수 있는 사업금액의 하한(과학기술전보통신부 고시)에 의거하여, ‘대기업 및 중견기업’의 참여가 제한된 사업임.

2. 본 과업의 계약업체는 다른 업체에게 과업의 전부 또는 일부를 하도급 할 수 없음

3. 본 과업에 명시되지 아니한 사항에 관하여는 정부 및 지방자치단체의 계약에 관한 법령, 예규 등을 준용한다.

4. 계약업체가 계약을 수행함에 있어 제3자의 특허권 또는 저작권을 침해하여 발주사를 상대로 손해배상 청구소송이 제기되면 계약자는 피해자측에 합의 배상하여야 한다.

5. 관련 사업으로 발주사 상대 소송 발생 시 관할법원은 발주사에 가까운 법원으로 한다.

붙임 1		별표 서식

【별표1】 사업자 보안위규 처리기준

【별표2】 보안 위규자 행정처리 및 위약금 부과 기준

【별표3】 누출금지 대상 정보

【별표4】 정보화사업 용역업체 정보보호 준수사항

【별표5】 보안서약서(업체 대표자용)

【별표6】 보안서약서(참여 인력용)

【별표7】 보안확약서(업체 대표자용)

【별표8】 표준 개인정보처리위탁 계약서(안)

[별표 1]

사업자 보안위규 처리기준

구 분	위 규 사 항	처 리 기 준
심 각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	◦사업 참여 제한 ◦위규자 및 직속감독자 파면 등 중징계 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시
중 대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나. 웹 하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수․발신 다. 개발·유지관리 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무 망에 무단 연결사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	◦위규자 및 직속감독자 강등 등 중징계 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별 보안교육 실시

구 분	위 규 사 항	처 리 기 준
보 통	1. 기관 제공 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고자료를 책상위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 관리 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여 마. PC 비밀번호를 모니터 옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	◦위규자 및 직속감독자 감봉 등 경징계 ◦위규자 및 직속감독자 사유서 / 경위서 징구 ◦위규자 대상 특별보안교육 실시
경 미	1. 업무 관련서류 관리 소홀 가. 진행 중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	◦위규자 서면ㆍ구두 경고 등 문책 ◦위규자 사유서 또는 경위서 징구

[별표 2]

보안 위규자 행정처리 및 위약금 부과 기준

□ 보안 위규자 행정처리 기준

구분	위규 수준
	A급	B급	C급	D급
위규	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
처리기준	중징계	경징계	경징계	경고
처리내용	위규자 및 직속 감독자 동 사업에서 퇴출	위규자 및 직속 감독자 1월 이상 3월 이내 담당 업무 배제	위규자 및 직속 감독자 1월 이내 담당 업무 배제	위규자 20일 이내 네트워크 사용금지

□ 보안 위약금 부과 기준

구분	위규 수준
	A급	B급	C급	D급
위규	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
위약금 비중	부정당업자 등록	계약금의 10%	계약금의 7%	계약금의 5%

* 위약금 규모는 기관별 사업규모에 따라 조정

* 위규 수준은 [붙임 1] 참고

1. 보안 위약금은 다른 요인에 의해 상쇄, 삭감이 되지 않도록 부과

* 보안사고는 1회의 사고만으로도 그 파급력이 큰 것을 감안하여 타 항목과 별도 부과

2. 사업 종료시 지출금액 조정을 통해 위약금 정산

[별표 3]

누출금지 대상 정보

1. 기관 소유 정보시스템의 내․외부 IP주소 현황

2. 세부 정보시스템 구성현황 및 정보통신망 구성도

3. 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보

4. 정보통신망 취약점 분석·평가 결과물

5. 용역사업 결과물 및 프로그램 소스코드

6. 국가용 보안시스템 및 정보보호시스템 도입 현황

7. 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등  네트워크 장비 설정 정보

8. 「공공기관의 정보공개에 관한 법률」 제9조제1항에 따라 비공개 대상 정보로 분류된 기관의 내부문서

9.  「개인정보보호법」 제2조제1호의 개인정보

10. 「보안업무규정」  제4조의 비밀 및 동 시행규칙 제7조제3항의 대외비

11.  그 밖에 제주의료원장이 공개가 불가하다고 판단한 자료

[별표 4]

정보화사업 용역업체 정보보호 준수사항

제주의료원(이하 “발주사”) 정보화사업에 참여하는 용역업체는 다음 사항을 참고하여 정보보호 요구사항을 준수하고 참여인력에게 교육하여야 한다.

가) 일반사항

① 발주사의 정보보호 정책, 지침 및 매뉴얼을 준수하여야 한다.

② 발주사 자산에 접근하기 위해서는 발주사의 접근통제 절차를 준수하여야 한다.

③ 발주사는 계약서의 보안사항을 준수하고 있는지를 감사할 권한을 가진다.

④ 발주사의 감사 시 필요한 근거 자료를 제공하고 현장 실사에 적극 협조하여야 한다.

나) 용역업체의 직원에 대한 보안관리

① 참여직원에 대해서 각 개인의 친필 서명이 들어간 보안서약서를 제출한다.

② 참여직원은 임의로 교체할 수 없으며, 부득이한 사정으로 교체할 경우 발주사의 사전승인을 받아야 한다.

다) 내부 자료에 대한 보안관리

① 업무 수행을 위해 제공하는 내부 자료는 자료관리대장을 작성하여 인수․인계 시 직접 서명한다.

② 제공된 내부 자료에 대해 복사 및 외부반출을 할 수 없으며, 업무 완료 후 공단에 즉시 반환한다.

③ 제공된 내부 자료는 매일 퇴근 시 반납하여야 한다. 다만, 비밀문서를 제외한 일반문서는 용역업체에 제공된 사무실에 시건장치가 된 보관함이 있을 경우 이를 보관함에 보관할 수 있다.

④ 발주사는 용역업체에 제공된 사무실에 보관된 자료에 대해서는 수시로 확인할 수 있다.

라) 장비에 대한 보안관리

① PC(노트북 포함)는 반입시마다 최신 바이러스 백신프로그램 설치와 바이러스 감염 여부를 확인하여야 한다.

② 업무 수행을 위해 반입된 PC는 업무 종료 시까지 반출 할 수 없다. 다만, 불가피한 경우 발주사의 승인 후 반출할 수 있다.

③ USB 등의 보조기억매체는 사용할 수 없다. 다만, 불가피한 경우는 발주사의 승인 후 사용할 수 있다.

④ 업무 종료 시 PC 및 사용된 보조기억매체는 Format하고 발주사의 승인 후 반출한다.

마) 내․외부망 접근에 대한 보안관리

① 사용자계정(ID)은 하나의 그룹으로 등록하고 사용자계정별로 정보시스템에 접근권한을 부여토록 한다.

② 사용자계정별로 부여된 권한은 불필요 시 곧바로 권한을 해지하거나 계정을 폐기토록 한다.

③ 발주사는 사용자별로 부여한 계정에 접속하여 저장된 자료와 작업이력을 확인할 수 있다.

④ 담당자는 서버 관리자로 하여금 내부 서버에 대한 접근기록을 확인하도록 한다.

⑤ PC(노트북 포함)는 인터넷 연결을 금지한다. 다만, 불가피한 경우는 필요한 보안조치를 실시하고 발주사의 확인 후 사용한다.

바) 기타 산출물에 대한 보안관리 등

① 업무 수행 시 생산되는 모든 산출물은 담당 부서의 파일서버에 저장하거나, 발주사에서 지정한 PC에 저장한다.

② 업무 수행으로 생산되는 모든 산출물 및 기록은 발주사가 인가하지 않은 자에게 제공․대여․열람을 금지한다.

③ 업무 수행으로 생산되는 모든 산출물 및 기록의 지적재산권은 발주사에 있다.

④ 제3자에 의한 보안사고 발생 시 민․형사상의 모든 법적 책임은 제3자에게 있다.

⑤ 보안사고 발생 또는 인지 시에는 즉시 발주사에 통보하여야 한다.

서 약 자	업 체 명 :
(업체대표)	직 위 :
	성 명 : (서명 또는 인)
서약 집행자	소 속 :
(담당자)	직 위 :
	성 명 : (서명 또는 인)

[별표 5]

보 안 서 약 서 (대표자용)

본인은 2020년   월   일부로 『                        』 업무를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은 업무 중 알게 될 일체의 내용이 직무상 기밀사항임을 인정한다.

2. 본인은 이 기밀을 누설함이 국가안전보장 및 국가이익을 침해할 수도 있음을 인식하고 업무수행 중 지득한 제반 기밀사항을 재직 중은 물론 퇴직 후에도 일체 타인에게 누설하거나 공개하지 아니한다.

3. 본인은 기밀을 누설하거나 관계 규정을 위반한 때에는 관계법령 및 계약에 따라 엄중한 처벌을 받을 것을 서약한다.

4. 본인은 하도급업체를 통한 사업 수행 시 하도급업체로 인해 발생하는 위반사항에 대하여 모든 책임을 부담한다.

2020 년     월     일

서 약 자 (업체 대표)		소 속 :
		직 위 :		성 명 :	(서명)
서약집행자 (담당자)		소 속 :
		직 위 :		성 명 :	(서명)

[별표 6]

보 안 서 약 서 (참여 인력용)

본인은 2020년   월   일부로  『                        』 업무를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.

1. 본인은 상기 명시된 업무가 기밀 사항임을 인정하고 제반 보안관계규정 및 지침을 성실히 준수한다.

2. 본인은 이 기밀을 누설함이 국가이익을 침해할 수도 있음을 인식하고 재직 중은 물론 퇴직 후에도 알게 된 모든 기밀사항을 일체 타인에게 누설하지 아니한다.

3. 본인은 기밀을 누설한 때에는 아래의 관계법규에 따라 엄중한 처벌을 받을 것을 서약한다.

가. 전자정부법 제35조(금지행위) 및 제76조(벌칙)

2020 년     월     일

서 약 자 (참여인력)		소 속 :
		직 위 :		성 명 :	(서명)
서약집행자 (담당자)		소 속 :
		직 위 :		성 명 :	(서명)

[별표 7]

보 안 확 약 서

본인은 귀 기관과 계약한 『                         』의 수행을 완료함에 있어, 다음 각 호의 보안사항에 대한 준수 책임이 있음을 서약하며 이에 확약서를 제출합니다.

1. 본 업체(단체)는 업체(단체) 및 사업 참여자가 사업수행 중 지득한 모든 자료를 반납 및 파기하였으며, 지득한 정보에 대한 유출을 절대 금지하겠습니다.

2. 본 업체(단체)는 하도급업체에 대해 상기 항과 동일한 보안사항 준수 책임을 확인하고 보안확약서 징구하였으며, 하도급업체가 위의 보안사항을 위반할 경우에 주사업자로서 이에 동일한 법적책임을 지겠습니다.

3. 본 업체(단체)는 상기 보안사항을 위반할 경우에 귀 기관의 사업에 참여 제한 또는 기타 관련 법규에 따른 책임과 손해배상을 감수하겠습니다.

년      월      일

소        속 :

직        위 :

성        명 :                       (인)

제주의료원 귀하

[별표 8]

표준 개인정보처리위탁 계약서

제주의료원(이하 “발주자”라 한다)과                 (이하 “수행자”라 한다)는 “발주자”의 개인정보 처리업무를 “수행자”에게 위탁함에 있어 다음과 같은 내용으로 본 업무위탁계약을 체결한다.

제1조 (목적) 이 계약은 “발주자”가 개인정보처리업무를 “수행자”에게 위탁하고, “수행자”는 이를 승낙하여 “수행자”의 책임아래 성실하게 업무를 완성하도록 하는데 필요한 사항을 정함을 목적으로 한다.

제2조 (용어의 정의) 본 계약에서 별도로 정의되지 아니한 용어는「개인정보 보호법」시행령 및 시행규칙,「개인정보의 안전성 확보조치 기준」(행정안전부 고시 제2019-47호) 및「표준 개인정보 보호지침」(행정안전부 고시 제2019-47호)에서 정의된 바에 따른다.

제3조 (위탁업무의 목적 및 범위) “수행자”는 계약이 정하는 바에 따라           을 목적으로 다음과 같은 개인정보 처리 업무를 수행한다.

1. 이용회원 개인정보(성명, 생년월일, 연락처, 주소 등) 처리(관리, 운영 등)

2. 직원 개인정보(성명, 연락처 등) 처리(관리, 운영 등)

3. 기타 사업 진행 상 필요한 개인정보 처리

제4조 (재위탁 제한) ① “수행자”는 “발주자”의 사전 승낙을 얻은 경우를 제외하고 “발주자”와의 계약상의 권리와 의무의 전부 또는 일부를 제3자에게 양도하거나 재위탁할 수 없다.

② “수행자”가 재위탁받은 수탁회사를 선임한 경우 “수행자”는 당해 재위탁계약서와 함께 그 사실을 즉시 “발주자”에 통보하여야 한다.

제5조 (개인정보의 안전성 확보조치) “수행자”는 「개인정보 보호법」제24조제3항 및 제29조, 동법 시행령 제21조 및 제30조, 「개인정보의 안전성 확보조치 기준」(행정안전부 고시 제2019-47호)에 따라 개인정보의 안전성 확보에 필요한 관리적․기술적 조치를 취하여야 한다.

제6조 (개인정보의 처리제한) ① “수행자”는 계약기간은 물론 계약 종료 후에도 위탁업무 수행 목적 범위를 넘어 개인정보를 이용하거나 이를 제3자에게 제공 또는 누설하여서는 안 된다.

② “수행자”는 계약이 해지되거나 또는 계약기간이 만료된 경우 위탁업무와 관련하여 보유하고 있는 개인정보를 「개인정보 보호법」시행령 제16조 및「개인정보의 안전성 확보조치 기준」(행정안전부 고시 제2019-47호)에 따라 즉시 파기하거나 “발주자”에게 반납하여야 한다.

③ 제2항에 따라 “수행자”가 개인정보를 파기한 경우 지체없이 “발주자”에게 그 결과를 통보하여야 한다.

제7조 (수탁자에 대한 관리·감독 등) ① “발주자”는 “수행자”에 대하여 다음 각 호의 사항을 관리하도록 요구할 수 있으며, “수행자”는 특별한 사유가 없는 한 이에 응하여야 한다.

1. 개인정보의 처리 현황

2. 개인정보의 접근 또는 접속현황

3. 개인정보 접근 또는 접속 대상자

4. 목적외 이용․제공 및 재위탁 금지 준수여부
5. 암호화 등 안전성 확보조치 이행여부
6. 그 밖에 개인정보의 보호를 위하여 필요한 사항

② “발주자”는 “수행자”에 대하여 제1항 각 호의 사항에 대한 실태를 점검하여 시정을 요구할 수 있으며, “수행자”는 특별한 사유가 없는 한 이행하여야 한다.

③ “발주자”는 처리위탁으로 인하여 정보주체의 개인정보가 분실·도난·유출·변조 또는 훼손되지 아니하도록 1년에 (1회 이상) “수행자”를 교육할 수 있으며, “수행자”는 이에 응하여야 한다.

④ 제1항에 따른 교육의 시기와 방법 등에 대해서는 “발주자”는 “수행자”와 협의하여 시행한다.

제8조 (손해배상) ① “수행자” 또는 “수행자”의 임직원 기타 “수행자”의 수탁자가 이 계약에 의하여 위탁 또는 재위탁받은 업무를 수행함에 있어 이 계약에 따른 의무를 위반하거나 “수행자” 또는 “수행자”의 임직원 기타 “수행자”의 수탁자의 귀책사유로 인하여 이 계약이 해지되어 “발주자” 또는 개인정보주체 기타 제3자에게 손해가 발생한 경우 “수행자”는 그 손해를 배상하여야 한다.

② 제1항과 관련하여 개인정보주체 기타 제3자에게 발생한 손해에 대하여 “발주자”가 전부 또는 일부를 배상한 때에는 “발주자”는 이를 “수행자”에게 구상할 수 있다.

본 계약의 내용을 증명하기 위하여 계약서 2부를 작성하고, “발주자”와 “수행자”가 서명 또는 날인한 후 각 1부씩 보관한다.

2020  .    .    .

“발주자”		“수행자”
제주시 산천단남길 10
제주의료원			(인)