제 안 요 청 서 [ 2025년 정보보안 및 개인정보보호 진단 컨설팅 사업 ]

2025. 07.

사업 책임자	성명	김원남	연락처	안현주 (계약)	Tel : 043-750-2329
					E-mail : hjahn@kistep.re.kr
	부서	총무전산실
				임송이 (담당)	Tel : 043-750-2553
	직위	총무전산실장
					E-mail : song2@kistep.re.kr

한국과학기술기획평가원

				목 차

Ⅰ. 사업 개요

1. 제안개요	1

2. 추진배경 및 필요성	1

3. 사업 범위	3

4. 기대효과	4

Ⅱ. 시스템 현황

1. 네트워크 구성도	5

2. 정보시스템 현황	5

Ⅲ. 사업 추진방안

1. 추진목표	7

2. 추진체계	7

3. 추진일정	9

4. 추진방안	10

Ⅳ. 제안요청 내용

1. 요구사항 총괄표	11

2. 상세 요구사항	12

3. 기타 지원 요건	30

Ⅴ. 제안서 작성요령

1. 제안서의 효력	31

2. 제안서 작성요령 및 유의사항	32

3. 제안서 목차	33

4. 제안서 작성 요령	34

Ⅵ. 제안안내사항

1. 입찰방식	36

2. 제안서 평가 방법	38

3. 제안 안내	39

4. 입찰 시 유의 사항	39

5. 협약 후의 조치 등	40

6. 기타 유의사항	40

[붙임자료] 입찰 및 제안서 관련 서식	42

[별첨자료] 제안요청서 별첨 자료	58

미래가치를 창출하는 글로벌 과학기술 기획·평가 전문기관

Ⅰ		사업 개요

1. 제안개요

□ 사 업 명 : 2025년 정보보안 및 개인정보보호 진단 컨설팅 사업04

□ 사업기간 : 계약일 ~ 2025.12.31.

□ 사업금액 : 159,000,000원(부가세 포함)

□ 입찰방식 : 제한경쟁입찰 / 협상에 의한 계약

2. 추진배경 및 필요성

□ 상위기관 정보보안 감사 및 보호수준 평가 대응을 위한 객관성 확보

○ 국가정보원 연구보안평가*, 과기정통부 정보보호 관리실태 점검, 개인정보보호위원회 보호수준 평가 등 상위기관 감사의 대응력을 강화하기 위하여 평가 지표에 대한 전문적인 이해와 준비 필요

* 2025년도 평가지표 : 이메일 보안(7점), 웹서비스 보안(8점), 시스템 보안(10점)

- 객관적이고 신뢰성 있는 증적 자료 확보 및 감사 대응 역량 향상 기대

□ 정보보안 및 개인정보보호 환경이 고도화됨에 사고 예방을 위해 전문성이 확보된 지원 체계 마련

○ 북한 해킹조직 등 외부 위협 주체의 사이버 공격이 고도화됨에 따라 기관의 정보보호 체계 강화가 요구

○ DDoS 공격 모의훈련 및 악성메일 모의훈련 등을 통한 사이버 침해사고 예방을 위한 대응력 필요

○ 이에 악성메일 훈련 발송 시스템, DDoS 발생 장비, 웹 취약점 분석 도구, 모의해킹 테스트 환경 등 보안 진단 수행을 위한 기술적 인프라가 구축된 보안 전문기관의 지원 필요

□ 개인정보 보호 관리체계의 법적‧기술적 통합 대응

○ 법, 제도, 기술적 보호조치 등을 통합적으로 관리하고 대응할 수 있는 관리체계 구축 필요

* 개인정보보호 관리체계, 업무절차, 개인정보 수입-이용-파기 흐름 등을 전문적으로 분석하여 개선안 도출 등

□ 공공기관 개인정보 보호수준 평가 정량지표 고도화 적시 대응

○ ‘공공시스템 안전조치‘ 정량지표로 신설에 따라 기관의 유일한 공공시스템인 IRIS의 전문적인 평가 대응 역량이 요구

* 공공시스템 안전성 확보조치 지표(6개, 접근권한 및 접속기록 점검, 침해사고 대응절차 등)

3. 사업 범위  ※ 세부내용은 ‘Ⅳ. 제안요청내용’ 참조

사업명	구 분	주 요 내 용
정보보안 취약점 진단 및 컨설팅	웹서비스, 정보시스템 취약점 진단	- 웹서비스 및 정보시스템* 보안 취약점 진단 및 개선 (취약점 조치 가이드 및 이행점검(2차) 포함) * 서버, 네트워크, 정보보호시스템 - 웹서비스 대상 시나리오 기반 모의해킹 실시
	사이버 모의훈련	- 전직원 대상 악성메일 모의훈련 실시(2회) - DDoS 공격 대비 모의훈련 실시(1회)
	정보보안 관리체계 진단 컨설팅	- 정보보호 관련 법령 및 지침 개정 사항 반영하여 기관 지침 개정 지원 - 정보보안·개인정보 관리체계 진단 및 개선 컨설팅 - 외부기관 진단 및 평가에 따른 대응 지원
	정보보안 월간 점검 활동	보안장비 정책 현황 점검 안전성 확보조치 현황 점검 등 점검 과정에서 확인된 취약점 개선 방안 제시
	정보보안 교육	교육 대상별* 맞춤 정보보안 및 개인정보보호 교육 실시 *정보시스템 담당자, 용역업체 직원, 해킹메일훈련 위반자 등 - 정보보안 및 개인정보보호 교육 자료 제작
개인정보보호 컨설팅	개인정보 관리체계 진단 컨설팅	개인정보보호 업무추진 계획 수립 개인정보 처리현황 및 프로세스 점검·이슈 식별 수탁자 개인정보보호 교육 및 관리감독 개인정보 일제정비 가이드 및 시스템 안전조치 점검 내부관리계획, 지침 등 개정 개인정보처리방침 개선사항 도출 및 개선안 제시 개인정보 침해ㆍ유출사고 대응절차서 개정 개인정보 목적 외 이용ㆍ제3자 제공 절차서 개정
	2025년 개인정보보호수준평가 대응 지원	당해연도 ‘개인정보 보호수준 평가’ 편람 분석 ·공공시스템(범부처연구지원시스템) 정량지표(접속기록, 접근권한 등) 평가 핵심 지원 정성·정량지표별 요구사항 분석 및 충족방안 수립 정량지표 중 ‘공공시스템 안전조치’ 항목에 대한 IRIS 시스템 중심 대응 지원 IRIS 운영단 개인정보보호담당자 대상 편람 설명, 증적작성 실무 교육 정성평가 보고서(기관 정책·계획, 활동 실적 등) 작성 가이드 제공 정성평가 대응 방안 마련을 위한 개인정보보호 활동 지원 정량평가 제출자료 사전 검토 수행 정성평가 보고서 작성 가이드

4. 기대효과

□ 웹·서버 취약점 진단 및 개선을 통한 침해사고 사전 예방

홈페이지 및 서버 시스템의 취약점을 진단·보완하여 침해사고 사전 예방

침해사고 예방을 통한 업무의 연속성 확보 및 기관의 신뢰도 향상

□ 사이버 모의훈련을 통한 보안사고 예방 및 대응 능력 향상

전문업체를 통한 악성 메일 및 DDoS 대응훈련 등 사이버 모의훈련으로 위험식별 및 사전 조치를 통한 보안사고 예방 및 사이버 위기 대응 능력 강화

□ 담당자, 용역업체 등 대상별 맞춤 보안 교육을 통해 보안 의식 고취

내부 자료 유출 및 침해사고 등 보안사고 사전 예방

□ 내부관리계획부터 침해대응까지 전 주기 체계를 수립함으로써 사고 예방 중심의 갱인정보보호 보호체계 구축

□ 개인정보 보호법, 시행령, 보호수준 평가 기준에 따른 제도 이행이 강화됨으로써 감사(점검) 수감 시 법적 리스크 최소화

□ 공공기관 간 사례 공유를 통해 개인정보보호수준 향상 및 정책 대응 노하우 습득

Ⅱ		시스템 현황

1. 네트워크 구성도

<네트워크 구성도>

※ 행정기관 및 공공기관 정보시스템 구축·운영 지침(행정안전부고시 제2025-1호) 제17조에 의거 상세 전산자원 구성은 보안상 비공개 하며, 필요시 입찰참가업체에 한해 발주기관에 방문하여 보안각서 제출 후 열람 가능

2. 정보시스템 현황

□ 웹 서비스 점검대상

순번	홈페이지명	URL
1	기관 대표 홈페이지	www.kistep.re.kr
2	내부 업무포털시스템	-
3	내부 행정정보시스템	-
4	과학기술정책통합지원서비스(K2Base)	www.k2base.re.kr
5	글로벌S&T 정책정보서비스	www.kistep.re.kr/gps
6	과학기술인재정책종합정보시스템	hrstpolicy.re.kr
7	재난·안전 R&D 정보포털	www.safernd.kr
8	범부처통합연구지원시스템	www.iris.go.kr
9	전자평가	eval.iris.go.kr
10	과제지원시스템	pms.iris.go.kr
11	연구자정보	nri.iris.go.kr
12	KISTEP GEN AI	-

※ 점검대상은 기관 내부 사정에 따라 변경될 수 있음

□ 정보시스템 점검대상

구분	장비 대수(식)	비고
서버	173	세부내용은 수요기관 방문하여 열람 가능
네트워크 장비	102
정보보호시스템	71
계	346

※ 행정기관 및 공공기관 정보시스템 구축·운영 지침(행정안전부고시 제2022-31호) 제17조에 의거 상세 전산자원 구성은 보안상 비공개 하며, 필요시 입찰참가업체에 한해 발주기관에 방문하여 보안각서 제출 후 열람 가능

※ 점검대상은 기관 내부 사정에 따라 변경될 수 있음

Ⅲ		사업 추진방안

1. 추진목표

□ 기관 운영 정보시스템·웹서비스 점검을 통해 외부위협 요인을 사전에 제거하여 업무 연속성 확보, 보안성 강화 등 정보보안 수준 제고

2. 추진체계

□ 추진 조직도

		한국과학기술기획평가원
		기관장
			경영기획본부			IRIS 운영단 (공공시스템운영)
			CPO			공공시스템 관리책임자
정보화부서			총무전산실			IRIS 운영팀
정보시스템 운영			(발주부서) 정보보안 및 개인정보보호 담당			공공시스템 정보보안 및 개인정보보호 담당
						유지관리업체
유지관리업체			사업자			기술 지원
기술 지원			사업 수행 업체

□ 조직 구성별 역할

구분	구성	주요 역할
KISTEP	경영기획본부 (CPO)	- 기관 내 정보보호 및 개인정보보호 최고 책임자 - 보호수준평가 대응 전략 반영 및 기관장 보고
	총무전산실	- 정보보안 및 개인정보보호 운영 총괄 - 컨설팅 과업 관리 및 실무 대응 - 개인정보보호수준평가 제출 총괄 - 유지관리업체 및 사업자와의 협업 조율
	IRIS 운영단 (공공시스템 관리책임자)	- 공공시스템(IRIS)의 개인정보처리 및 보호책임 - 보호수준 평가 지표(접속기록, 접근권한 등 시스템 단위 지표) 대응 - 실무팀(IRIS 운영팀) 총괄
	IRIS 운영팀 (공공시스템 담당)	- 공공시스템 관련 정량지표 증적자료 작성 및 시스템 실태 파악 - 접속기록 관리, 파기 이행 여부, 영향평가 제출 이력 등 기술 대응 실무 수행 - 보유 시스템의 진단 대상 여부 확인 및 협조 - 각종 취약점(웹/서버 취약점 등)에 대한 기술적 수정 실행 - 후속 보완 결과 회신 및 실적 보고
	정보화부서	- 소관 시스템에 대한 훈련 참여 및 이행 보고 - 보유 시스템의 진단 대상 여부 확인 및 협조 - 각종 취약점(웹취약점 등)에 대한 기술적 수정 실행 - 후속 보완 결과 회신 및 실적 보고
사업자		정보보안 및 개인정보보호 컨설팅 과업 수행 - 모의훈련 시나리오 제시 및 실행 - 진단 결과 보고서 제공 및 취약점 위험도 분석 - 조치 가이드 제공 및 기관 내 개선방안 자문 등

3. 추진일정

○ 사업 기간 : 계약일 ~ 2025.12.31.

구분	추진내용	2025년
		M	M+1	M+2		M+3	M+4
정보보안 취약점 진단 및 컨설팅 개인정보보호 컨설팅	사업 계획 수립
	- 요구사항 분석 및 수행계획서 작성
	정보보안 활동
	- 월별 정보보호 활동 수행
	취약점 진단
	- 웹서비스/정보시스템 취약점 진단 및 개선
	- 웹서비스 시나리오 기반 모의해킹
	사이버 공격 대응 모의훈련
	- 악성메일 모의훈련(2회)
	- DDoS 공격 대응 모의훈련
	정보보안 관리체계 진단 컨설팅
	- 기관 지침 개정 지원
	- 외부기관 진단 및 평가 대응 지원
	- 용역업체 보안 수준 관리 지원
	정보보안 교육
	- 교육대상별 맞춤형 정보보안 교육
	개인정보보호 관리 활동 수행
	- 수탁자 개인정보보호 교육 및 관리감독
	- 개인정보 일제정비 가이드 및 시스템 안전조치 점검
	- 내부관리계획 이행점검/ 개정
	- 개인정보 침해ㆍ유출사고 대응절차서 개정
	- 개인정보 목적 외 이용ㆍ제3자 제공 현황 점검 및 절차서 개정
	‘개인정보 보호수준 평가’ 대응 지원
	당해연도 ‘개인정보 보호수준 평가’ 편람 분석 및 증적자료 작성
	정성평가 대응 방안 마련을 위한 개인정보보호 활동
	개인정보처리방침 개선사항 가이드
	정량평가 제출자료 사전 검토 수행
	정성평가 보고서 작성 가이드
※ 입찰 및 용역 진행 상황 등에 따라 일부 변경될 수 있음 ※ 과업내용의 보다 효율적 진행을 위해 업체에서 일부 변경하여 제안할 수 있음

4. 추진방안

1) 기본 방침

○ 객관적이고 공정한 기준과 절차를 적용하여 경쟁에 의한 우수 사업자 선정

2) 입찰 및 낙찰 방식

구분	방식	비고
입찰방식	제한경쟁입찰
사업자선정방식	협상에 의한 계약
평가방식	기술평가(90%) / 가격평가(10%)
대기업참여제한여부	대기업 참여 불가

3) 우선협상대상자 선정 및 계약체결

○ 기술 및 가격평가 점수를 합산하여 최고 득점을 받은 제안사를 우선협상대상자(고득점 순)로 선정

○ 합산점수가 동일한 제안사가 2인 이상일 경우에는 기술능력 평가점수가 높은 제안사를 우선순위자로 하며, 기술능력 평가점수도 동일한 경우에는 기술능력의 세부평가항목 중 배점이 큰 항목에서 높은 점수를 얻은 자를 우선순위로 함

4) 관련 근거

○ 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제43조에 의거 협상에 의한 계약체결 방식 적용

○ 협상에 의한 계약체결기준(기획재정부 계약예규 제538호, 2021.3.28.)

○ 본 사업은 「소프트웨어 진흥법」 제48조 제3항 제1호에 따른 조달사업에 관한 법률에 따라 조달청을 통해 소프트웨어사업자를 선정하지 못하여 다시 발주하는 예외사업으로 사업금액 하한 및 예외인정사업 여부에 관계없이 상호출자제한 기업집단 소속회사를 포함한 모든 소프트웨어사업자의 참여 가능

Ⅳ		제안요청 내용

1. 요구사항 총괄표

요구사항 구분	ID	요구사항명	요구사항 수
컨설팅 요구사항 (CNR)	CNR-001	정보보안 및 개인정보보호 관리 활동 수행	7
	CNR-002	취약점 진단 및 조치
	CNR-003	웹서비스 모의해킹
	CNR-004	사이버 모의훈련 수행
	CNR-005	정보보안·개인정보보호 내규·지침 및 매뉴얼(절차서) 개정
	CNR-006	내/외부 정보보안·개인정보보호 평가 대응
	CNR-007	보안 교육 실시 및 교육자료 제작
	CNR-008	개인정보보호 처리 실태 점검 및 컨설팅
보안 요구사항 (SER)	SER-001	보안 대책	7
	SER-002	참여 인력 보안 관리
	SER-003	사무실·장비 보안
	SER-004	자료 보안
	SER-005	개인정보보호
	SER-006	개인정보보호 활동
	SER-007	로그인 보안 조치
품질 요구사항 (QUR)	QUR-001	품질관리	1
제약사항(COR)	COR-001	표준 및 지침 준수	3
	COR-002	저작권 및 지식재산권 관리
	COR-003	기타 제약사항
프로젝트 관리 요구사항 (PMR)	PMR-001	프로젝트 관리방법	11
	PMR-002	사업수행계획서 작성
	PMR-003	일정계획
	PMR-004	참여인력
	PMR-005	인력교체
	PMR-006	작업 환경
	PMR-007	요구사항관리
	PMR-008	보고관리
	PMR-009	위험관리
	PMR-010	산출물관리
	PMR-011	하도급 계약
프로젝트 지원 요구사항 (PSR)	PSR-001	컨설팅 지원	2
	PSR-002	추가 제안
합계			29

2. 상세 요구사항

① 컨설팅 요구사항(CNR, Consulting Requirement)

요구사항 분류

컨설팅 요구사항

요구사항 고유번호

CNR-001

요구사항 명칭

정보보안 및 개인정보보호 관리 활동 수행

요구사항
상세설명

정의

정보보안 및 개인정보보호 관리 활동 수행

세부
내용

○ 정보보안 및 개인정보보호 관리 활동 수행

- 발주기관과 협력하여 매월 정보보안 및 개인정보보호 관리 활동 점검

- 점검 과정에서 확인된 취약점에 대해 구체적이고 실행 가능한 개선 방안 제시

구 분	업 무 내 역
정보보안	○ 정보보안 장비(방화벽, IPS 등) 보안정책 점검 ○ 정보시스템 불필요 서비스 포트 활성화 여부 점검 ○ 정보시스템 원격 서비스 사용 여부 점검 ○ 네트워크 장비 보안 점검(기본계정 변경, 불필요 서비스 포트 비활성화 등) ○ 홈페이지 점검(웹방화벽 보안정책 점검, 관리자페이지 접근권한 점검) ○ 정보시스템 접속 및 행위 내역 점검 ○ 홈페이지 접근성 및 최적화 점검 ○ 중요 데이터 출력 및 외부반출 목록 점검 ○ 발신 메일에 대한 보안대책 점검 ○ DB 접근통제 점검 ○ 홈페이지 게시판 URL 노출 여부 점검 ○ 용역업체 계정관리 현황 점검 ○ 비공개 대상정보 관리현황 점검 ○ 백신, PMS 솔루션 보안 점검
개인정보 보호	○ 개인정보 파일현황 점검 ○ 개인정보 처리방침 점검 ○ 개인정보 수집이용 동의서 점검 ○ 개인정보처리시스템 보안관리 현황 점검 ○ 개인정보 파기현황 점검 ○ 개인정보 위탁 현황 관리 점검 ○ 내부관리계획 이행현황 점검 ○ 수탁사/하위기간 안전조치 점검(현장실사 진행)

○ 추가 점검 활동 제안

발주기관의 보안 수준을 향상시키기 위한 추가적인 활동 또는 프로세스 제안

※ 상기 과업수행을 위해 소요되는 일체의 비용(점검·훈련·교육·행사·전문가 섭외 및 자문료 등)은 사업금액 내 포함(수행사 주관 수행)

※ 상기 활동은 기관 사정에 따라 변경될 수 있음

산출정보

월별 정보보안 및 개인정보보호 관리 활동 수행 결과보고서

요구사항 분류

컨설팅 요구사항

요구사항 고유번호

CNR-002

요구사항 명칭

취약점 진단 및 조치

요구사항
상세설명

정의

취약점 진단 및 조치 실시

세부
내용

○ 웹서비스 및 정보시스템에 대해 기술적 취약점 진단을 1차·2차 이행점검 체계로 수행

- 기관에서 운영 중인 정보시스템(웹/시스템) 목록 확인 후 실제 취약점 진단 대상 제시(수행계획서 내 포함)

- 정보시스템 취약점 진단 항목(기준) 수립

정보시스템 취약점 진단 방법 및 일정 수립

대상시스템	소재지	비 고
- 운영중인 모든 웹서비스 - Windows, Linux, Unix 등 서버 - 네트워크 장비 - 정보보안 장비	한국과학기술기획평가원	운영 중인 모든 정보시스템

※ 점검대상은 점검시점 및 기관 사정에 따라 변경될 수 있음

○ 취약점 진단 실시(OWASP Top10, KISA 권고)

- 주요정보통신기반시설 취약점 분석 평가 기준, 전자정부서비스 웹취약점 표준 점검 항목 등 취약점 진단 가이드에 따른 취약점 진단 실시

- 진단대상별 취약점 진단 결과보고서 작성

○ 도출된 취약점에 대한 조치방안 제시 및 조치 지원

- 발견된 취약점에 따른 중요도 및 긴급성을 고려하고 분류하여 구체적인 조체 대응방안 제시

- 즉시 조치가능한 취약점 및 현재 조치 불가능한 취약점에 대한 대응방안 제시

- 즉시 조치가 불가한 취약점일 경우 긴급조치 방안을 제시하고 근본적 해결을 위한 중·장기적 권고안 제시

산출정보

취약점 진단 계획서, 취약점 진단 결과보고서(1차), 취약점 조치 가이드, 취약점 진단 이행점검(2차) 결과보고서

요구사항 분류		컨설팅 요구사항
요구사항 고유번호		CNR-003
요구사항 명칭		웹서비스 모의해킹
요구사항 상세설명	정의	웹서비스 모의해킹 실시
	세부 내용	○ 웹서비스 대상 시나리오 기반 모의해킹 실시 - 모의해킹 대상 : 외부에 공개된 기관 홈페이지 - 적합한 시나리오 구상 및 모의해킹 진행 - 모의해킹 결과 분석 및 개선 방안 도출
산출정보		모의해킹 계획서, 모의해킹 결과 보고서, 취약점 조치 가이드

요구사항 분류		컨설팅 요구사항
요구사항 고유번호		CNR-004
요구사항 명칭		사이버 모의훈련 수행
요구사항 상세설명	정의	사이버 모의훈련 수행 및 대응수준 진단
	세부 내용	○ 최신 사이버 위협 동향을 반영한 맞춤형 시나리오 수립 및 훈련 수행 사업자는 기관의 정보보안 환경을 사전 분석한 후, 기관 특성을 고려한 악성메일 훈련 및 DDoS 모의공격 시나리오 기획 훈련 시나리오에는 다음 항목 포함: · 공격 유형(예: 스피어피싱, 링크형, 첨부파일형, 트로이목마 등) · 대상 범위 및 시점 · 피훈련자 역할 및 반응 유도 방식 · 훈련 중 발생 가능한 비상상황 대응 방안 ※ 훈련 시나리오는 기관과 사전 협의를 거쳐 확정하며, 승인된 시나리오에 따라 전직원 대상 훈련 수행 ○ 전직원 해킹메일 대응훈련 실시(2회) 대상인원 : 400명 내외 해킹메일 시나리오 구상 및 전직원 대상 모의 해킹메일 발송(8.19., 10월 중) ※ 최근 유포되는 해킹메일 사례를 참고하여 실효성 있는 시나리오 구상 - 사용자(이메일)별 열람여부 결과 집계 - 열람자 대상 교육자료 제작 및 교육 실시 - 유관 기관 또는 보안 장비 업체 긴급 지원 실시 ※ 해킹메일 사례 첨부, 해킹메일 식별 방법, 해킹메일 열람 시 대응 방법 등 직원이 준수해야할 보안 수칙 포함하여 교육 자료 제작 ※ 교육 방식은 상황에 따라 집합, 온라인교육 중 선택하여 진행 ※ 침해사고 발생 가정 대응 훈련 병행 실시 가능 ○ DDoS 대응 훈련 실시(1회) 기관 정보시스템 대상 DDoS 대응 훈련 실시 훈련 결과에 따른 개선방안 제시 ○ 기관 정보보호체계 강화를 위해 수행이 필요하다고 판단되는 훈련(침해사고 대응 등) 제안
산출정보		훈련계획서 및 시나리오문서, 훈련결과 보고서 (위반율, 대응률, 위협 유형별 분석 등 포함), 훈련 교육자료 및 재교육 계획(필요시), 훈련 로그 및 통계, 교육이수 목록 등 증적자료, 해킹메일 교육자료(편집가능한 원본)

요구사항 분류		컨설팅 요구사항
요구사항 고유번호		CNR-005
요구사항 명칭		정보보안·개인정보보호 내규·지침 및 매뉴얼(절차서) 개정
요구사항 상세설명	정의	정보보안·개인정보보호 관리수준 진단 및 개선방안 제시
	세부 내용	○ 기관 정보보안·개인정보보호 내규·지침 및 매뉴얼(절차서) 개정 지원 외부 정보보안 및 개인정보보호 관련 법령·지침* 준용하여 기관 지침 개정안 제시 * 국가 정보보안 기본지침, 과기정통부 정보보안 기본지침, 개인정보보호법 및 같은 법 시행령 등의 관련 법률 및 규정 법령 및 상위규정 모니터링 결과 제출 상기 활동들로 법령 및 상위 규정 모니터링 결과서, 개정 시 개정 전문, 신구대비표 등의 보고서 도출 정보주체의 권리 보장 절차 및 침해사고 대응 프로세스에 대한 문서화 여부를 평가하고 보완안을 마련
산출정보		개선 결과서(내규·지침 개정(안), 내부관리계획, 개인정보처리방침, 수탁자관리, 동의서 서식 등)

요구사항 분류		컨설팅 요구사항
요구사항 고유번호		CNR-006
요구사항 명칭		내/외부 정보보안·개인정보보호 평가 대응
요구사항 상세설명	정의	정보보안·개인정보보호수준 진단 및 개선방안 제시
	세부 내용	○ 내/외부 정보보안·개인정보보호 평가 및 감사 대응 지원 국정원 및 과기정통부 보안 감사, 개보위 공공기관 개인정보보호수준평가 수검 지원 및 감사 지적사항에 대한 개선계획 수립 지원 공공시스템 지표 실적 내용 검토 내/외부 감사 수검결과가 우수한 기관/조직의 우수사례 적용 방안 제시 유사한 절차의 통합, 행정간소화, 업무효율화 방안 제시 상기 활동들로 감사 지적사항 개선 계획서, 개선 결과서 도출 용역사(위탁사) 보안관리 현장 점검 지원 소속기관 감사 지원
산출정보		정보보안·개인정보보호수준 진단 보고서, 개선안

요구사항 분류		컨설팅 요구사항
요구사항 고유번호		CNR-007
요구사항 명칭		보안 교육 실시 및 교육자료 제작
요구사항 상세설명	정의	교육대상별 맞춤형 보안교육 실시 및 교육자료 제작
	세부 내용	○ 정보보안 및 개인정보보호 교육 실시 대상 : 정보시스템 담당자, 용역업체, 해킹메일 훈련 위반자 등 교육대상별 직무에 필요한 보안 수칙을 담은 내용으로 맞춤형 보안교육 실시 교육 방식은 상황에 따라 집합, 온라인교육 중 선택하여 진행 ※ 교육대상은 상황에 따라 변경될 수 있음 ○ 보안 교육자료 제작 교육대상별 교육자료 제작(정보시스템 담당자, 용역업체, 해킹메일 훈련 위반자 등) 신규직원, 해외출장자 교육 등 소요 발생 시 필요한 교육자료 제작 ‘정보보호의 날’, ‘개인정보보호의 날’ 배포 자료 제작 및 배포 보안 및 개인정보보호 인식함양을 위한 컨텐츠/홍보물 제작 및 배포
산출정보		교육계획서, 교육 결과보고서, 교육자료(편집가능한 원본)

요구사항 분류		컨설팅 요구사항
요구사항 고유번호		CNR-008
요구사항 명칭		개인정보보호 관리 실태 점검 및 컨설팅
요구사항 상세설명	정의	개인정보보호 관리 실태 점검 및 컨설팅
	세부 내용	○ 안전성 확보 조치를 위한 PDCA(Plan-Do-Check-Act) 관점의 계획수립, 이행, 점검 및 피드백 방안 제시 ○ 개인정보 처리부서 대상 개인정보 처리현황 점검 및 이슈 식별 - 점검 대상 및 부서별 점검 일정, 점검 인력, 점검 항목(개인정보 관련 법적 요구사항), 점검 방법 등 계획 수립 - 전사적 개인정보 수집이용동의서의 적법성을 검토하고 개선 방안 수립 - 부서별 점검 결과에 따른 증빙 자료 취합 및 진단 결과 보고서 작성 및 제출 - 진단 시 도출된 미흡 사항 등을 검토하여 개선 방안 포함 ○ 개인정보처리시스템 점검 - 개인정보처리시스템 대상 점검 수행계획 수립 - 점검실시 및 조치방안 가이드
산출정보		개인정보보호 관리 실태 점검 계획서 및 점검 결과서

② 보안 요구사항(SER, Security Requirement)

요구사항 분류		보안 요구사항
요구사항 고유번호		SER-001
요구사항 명칭		보안 대책
요구사항 상세설명	정의	용역사업자가 준수해야 할 보안
	세부 내용	○ 사업자는 평가원의 정보보안 정책 및 규정을 준수해야 함 ※ 본 사업과 관련하여 취득한 일체의 정보에 대하여 유출 또는 누설하여서는 안 되며, 이의 위반으로 인한 문제 발생 시 관련 규정에 따라 처리함 ○ 사업자는 사업을 수행함에 있어 제3자의 지적 재산권을 침해하지 않아야 하며, 침해로 인한 손해배상 청구 소송 발생 시 관련 규정에 따라 처리함 ○ 본 사업의 수행과정에서 제반 안전사고가 발생하지 않도록 만전을 기해야 하며, 제반 안전사고 발생에 대한 책임 및 행정적, 기술적 제반 비용과 문제처리는 사업자가 부담하는 것을 원칙으로 함 ○ 정보시스템이 설치된 곳에 출입 시 이용기관의 시스템을 관리하는 담당자나 발주기관이 요구하는 보안 사항 및 점검 내용을 충실히 이행해야 함 ○ 용역에 참여하는 모든 인력에 대하여 보안서약서 및 제반서류를 제출하여야 함 ○ 사업 완료 후 수행 중 취득한 기밀자료는 파기 및 반납하여야 함 ○ 사업 완료 후 생산되는 최종 산출물 중 대외보안이 요구되는 자료는 대외비로 작성·관리하고 불필요한 자료는 삭제 및 세단 후 폐기해야 함 ○ 기관으로부터 제공받은 제반자료, 장비, 서류와 중간·최종 산출물 등 용역과 관련된 모든 자료를 전량 반납하고 삭제해야 함 사업자는 사업관련 자료를 보유하고 있지 않으며 이를 위반할 시 향후 법적 책임이 있음을 포함한 "대표자용 보안확약서"를 제출하여야 함 사업 종료 후 모든 원자료, 작업 결과물, 로그 및 기밀자료는 폐기 또는 반납 처리하여야 함 ○ 용역사업자는 우리 원에서 제공하는 관련 규정에 따라 보안 관리 대책을 수립하여 시행 용역사업자가 우리 원에서 요구하는 보안정책을 위반하였을 경우 관련 규정에따라 처리함 ([별첨3], [별첨4] 참고)
산출정보		보안서약서(법인대표, 사업참여인원 전원), 보안확약서(법인대표)

요구사항 분류		보안 요구사항
요구사항 고유번호		SER-002
요구사항 명칭		참여 인력 보안 관리
요구사항 상세설명	정의	사업에 참여하는 인원에 대한 보안 관리 사항
	세부 내용	용역사업 참여 인원에 대해서는 ‘정보누출’ 금지조항 및 개인의 친필 서명이 들어간 보안서약서 징구 용역사업 참여 인력 보안교육 시행(비밀유지 의무 준수 및 위반 시 처벌내용 등) 용역사업 참여 인력에 대해 수행 전 및 월 1회 이상 정기적으로 보안 점검 시행 비밀 관련 사업 수행 시 참여 인력에 대한 비밀취급 인가 등 보안 조치를 수행 배상 책임, 지적 재산권 문제, 자료의 반환 등이 포함되도록 명시
산출정보		보안서약서, 보안교육결과보고서

요구사항 분류		보안 요구사항
요구사항 고유번호		SER-003
요구사항 명칭		사무실·장비 보안
요구사항 상세설명	정의	사무실·장비에 관한 보안 관리
	세부 내용	사업수행업체는 사무실 또는 사업을 수행하는 공간에 대해 보안 점검을 실시해야 함 사업자는 자료 유출 방지를 위해 보안계획서를 사전 수립하고, 업무용 장비 및 계정 관리를 별도로 수행해야 함 발주기관 내부에서 용역사업을 수행할 경우 사업수행업체 직원이 PC, 노트북 등 관련 장비를 반출입하는 경우, 다음 사항을 사전 확인 후 조치해야 함 백신 등의 PC 보안프로그램의 설치 여부 악성코드 감염 여부 및 자료 무단반출 여부 인가받지 않은 USB 메모리 등의 휴대용 저장매체 사용을 금지하며, 산출물 저장 등 이동식 보조 기억매체가 필요한 경우는 발주기관에서 제공하는 보안 USB에 한함 사업수행업체는 노트북 및 PC에 전원기동(CMOS) 패스워드, 윈도우 로그인 패스워드, 화면보호기(10분 간격) 패스워드를 영문자, 숫자, 특수기호가 조합된 9글자 이상으로 설정하여야 함 용역사업 수행은 발주기관 내 시건장치와 통제가 가능한 공간을 사용하거나, CCTV·시건장치 등 비인가자 출입통제 대책이 마련된 사무실을 사용하여야 함 사업 완료 후 업체 소유 PC·서버의 하드디스크 등 전자기록저장 매체는 완전 삭제 후 반출해야 함
산출정보		해당사항 없음

요구사항 분류		보안 요구사항
요구사항 고유번호		SER-004
요구사항 명칭		자료 보안
요구사항 상세설명	정의	자료에 대한 보안 관리
	세부 내용	사업수행업체는 비공개자료 중 출력물 형태로 제공받는 자료에 대해서는 “자료 관리대장”을 작성하여 인계자와 인수자가 직접 서명한 후 인계·인수해야 함 사업수행업체는 비공개자료 출력 시에는 출력물에 출력자, 출력일시 등을 표시하여야 함 발주기관이 제공한 사무실에서 용역사업을 수행할 경우 제공한 비공개자료는 매일 퇴근 시 반납하여야 하며 비밀문서를 제외한 일반문서는 사무실에 잠금장치가 된 보관함이 있을 경우 이에 보관 가능 사업수행업체는 캐비닛에 보관·관리되는 비공개자료의 목록을 현행화하여 관리해야 함 사업수행업체는 인터넷 이용 시 접속이 제한된 사이트 및 인터넷 파일공유사이트 등에 접속을 시도하여서는 아니 되며, 사업 수행 관련 자료는 인터넷, 웹하드, P2P 등 인터넷 자료공유사이트 및 개인 메일함에 저장을 금지함 용역 발주기관과 용역업체 간 전자우편을 이용해 자료 전송이 필요한 경우에는 첨부자료 암호화 후 수·발신하여야 하며 대외비 이상의 자료는 전자우편으로 송수신을 하는 것 자체를 금지함 용역사업 수행으로 생산되는 산출물 및 기록은 보안담당관이 인가하지 않은 비인가자에게 제공·대여·열람을 금지함 용역업체에 제공한 자료, 장비와 중간·최종 산출물 등 용역과 관련된 제반자료는 전량 제출하여야 하며 복사본 등 별도보관을 금함 용역사업 관련 자료 회수 및 삭제 조치 후(저장매체완전삭제 참조) 복사본 등 용역사업관련 자료를 보유하고 있지 않다는 대표 명의 확약서를 제출하여야 함
산출정보		자료관리대장, 보안확약서

요구사항 분류

보안 요구사항

요구사항 고유번호

SER-005

요구사항 명칭

개인정보보호

요구사항
상세설명

정의

개인정보보호를 위한 보안대책 수립 및 보안 활동

세부
내용

개인정보처리자는 개인정보가 분실‧도난‧유출‧변조 또는 훼손되지 않도록 다음 각호의 안전성 확보조치를 하여야 함

개인정보의 안전성 확보조치 철저(개인정보보호법 제29조)

구 분

주요내용

내부관리계획
(제4조)

내부관리계획 포함사항 명시

※ 개인정보보호 책임자 지정, 개인 정보취급자 교육 등

접근 권한 관리
(제5조)

개인정보 처리시스템의 접근권한 부여․변경․말소 기록 최소 3년간 보관

안전한 비밀번호 작성규칙 수립․적용

계정정보 또는 비밀번호를 일정 횟수 이상 잘못 입력 시 접근 제한 등 기술적 조치

접근통제

(제6조)

접근통제 시스템(Firewall, IDS) 설치․운영 의무화
※ 업무용 컴퓨터, 모바일 기기만을 이용해 개인정보 처리시
설치의무 면제

고유식별정보 처리하는 홈페이지 연 1회 이상 취약점 점검

일정시간 이상 업무처리 하지 않는 경우 자동으로 시스템 접속 차단

개인정보 암호화

(제7조)

암호화 대상 : 고유식별정보*, 비밀번호, 바이오정보
* 주민등록번호, 여권번호, 운전면허번호, 외국인등록번호

암호화 기준

구 분		암호화 기준
송․수신시		모든 정보 암호화 전송
저장시	비밀번호, 바이오정보	비밀번호는 단방향 암호화, 바이오정보는 양방향 암호화
	고유 식별정보	ⓛ 인터넷 구간,공통(DMZ) 구간 저장시 : 의무적 암호화 ② 내부망 저장시 : 위험도 분석결과에 따라 암호화 적용범위 결정(영향평가 대상 공공기관은 영향평가 결과에 따름)

암호화 방법 : 공공기관은 국가 암호화 알고리즘, 그 외는 자율

암호화 적용 : 고유식별정보 암호화시 지침 시행일로부터 3개월 이내에 암호화 계획 수립, 계획 수립일로부터 12개월 이내에 암호화 적용

접속기록
보관 및 점검
(제8조)

개인정보처리시스템 접속기록은 6개월 이상 보관

접속기록 반기별 1회이상 점검

보안프로그램

(제9조)

보안 프로그램(백신 S/W 등) 설치 및 업데이트
※ 자동 업데이트 또는 일 1회 이상

발견된 악성프로그램 등에 대해 삭제 등 대응 조치

물리적 안전조치

(제11조)

별도의 개인정보 물리적 보관 장소에 대한 출입통제 등

보조기억매체의 반/출입 통제

개인정보의 파기

(제13조)

전체/일부 파기방법 등

산출정보

자료관리대장, 보안확약서

요구사항 분류

보안 요구사항

요구사항 고유번호

SER-006

요구사항 명칭

개인정보보호 활동

요구사항
상세설명

정의

개인정보보호를 위한 보안대책 수립 및 보안 활동

세부
내용

개인정보 처리자가 사업수행자(제3자)에게 개인정보의 처리업무를 위탁하는 경우 사업수행자는 다음 각호의 내용이 포함된 문서[별첨5]를 제출하여야 함

위탁 목적 등 문서화(개인정보보호법 제26조)

1. 위탁업무 수행 목적 외 개인정보처리 금지에 관한 사항

2. 개인정보의 기술적·관리적 보호조치에 관한 사항

3. 위탁업무의 목적 및 범위

4. 재위탁 제한에 관한 사항

5. 개인정보에 대한 접근 제한 등 안전성 확보조치에 관한 사항

6. 위탁업무와 관련, 보유하는 개인정보의 관리 현황 점검 등 감독에 관한 사항

7. 수탁자 의무 위반시 손해배상 등 책임에 관한 사항

산출정보

해당사항 없음

요구사항 분류		보안 요구사항
요구사항 고유번호		SER-007
요구사항 명칭		로그인 보안 조치
요구사항 상세설명	정의	정보시스템 로그인 보안 조치
	세부 내용	정보시스템 로그인에 대한 보안 조치 수행하여야 함 5회 이상 로그인 실패 시 접속을 제한하여야 함 여러 명이 동시에 동일 계정으로 정보시스템에 로그인하지 못하도록 동시 로그인을 차단하여야 함
산출정보		해당사항 없음

③ 품질 요구사항(QUR, Quality Requirement)

요구사항 분류		품질 요구사항
요구사항 고유번호		QUR-001
요구사항 명칭		품질관리
요구사항 상세설명	정의	산출물 품질관리
	세부 내용	산출물 생성 및 관리 이행하고자 하는 업무의 현황분석을 통해 산출물의 구체성과 적정성이 충족되도록 최적의 방법론 및 분석 도구를 통하여 일관성 있게 분석하고 대상 기관의 조직, 인력 및 예산 등의 제약 요인을 충분히 고려하여 활용 방안을 구체적으로 기술하여야 함 품질 관리 사업 수행 단계별로 작성되는 산출물 리스트와 제출 시기 및 방법을 기술하여야 함 적용 분석 도구, 수립 및 이행 방안을 구체적으로 분석하고, 현황분석 및 전략계획 수립 시 각 단계별 품질 요구사항의 점검, 검토 방안, 인력, 기타 고려 방안 등을 구체적으로 기술하여야 함 모든 산출물은 문서관리 절차에 따라 버전 및 검토이력을 포함하며, 품질보증 계획에 따른 검수절차를 거쳐야 함
산출정보		사업수행계획서(품질계획 포함) 또는 품질계획서

④ 제약사항(COR, Constraint Requirement)

요구사항 분류

제약사항 요구사항

요구사항 고유번호

COR-001

요구사항 명칭

표준 및 지침 준수

요구사항
상세설명

정의

정보보안 및 개인정보보호 관련 표준 지침을 준수

세부
내용

문서명	발행년도	발행기관
o 국가 정보보안 기본지침	2023	국가정보원
o 사이버분야 위기대응 실무매뉴얼	2024	한국인터넷진흥원
o DDoS 공격 대응 가이드	2021
o 주요정보통신기반시설 기술적 취약점 분석ㆍ평가 방법 상세가이드	2021
o 정보보안 기본지침	2021	과기정통부
o 개인정보 침해사고 대응절차서	2025
o 재해재난 대비 개인정보처리시스템 위기대응 매뉴얼	2023
o 사이버분야 위기대응 실무매뉴얼	2024
o 개인정보 내부 관리계획	2025
o 행정기관 및 공공기관 정보시스템 구축·운영 지침	2022	행정안전부
o 소프트웨어 개발보안 가이드	2021
o 표준 개인정보보호 지침	2025
o 개인정보의 안전성 확보조치 기준	2021
o 개인정보 영향평가 수행안내서	2020
o 개인정보보호법	2025	개인정보보호위원회
o 개인정보보호법령	2025
o 표준 개인정보보호 지침	2025
o 개인정보 유출 등 사고대응 매뉴얼	2024
o 개보위 개인정보 안내서 전체 목록	'25.4.29.기준

산출정보

해당사항 없음

요구사항 분류		제약사항 요구사항
요구사항 고유번호		COR-002
요구사항 명칭		저작권 및 지식재산권 관리
요구사항 상세설명	정의	사업수행 시 생성되는 산출물의 소유권 및 지식재산권 관리
	세부 내용	사업 수행 과정에서 사용되는 모든 자료는 제3자의 지식재산권 및 저작권을 침해하지 않도록 관리해야 하며, 관련 분쟁이 발생하지 않도록 충분한 주의를 기울여야 함. 본 사업은 공공시스템을 포함한 보안 취약점 진단, 개인정보 보호 수준 점검 등 민감 정보를 포함한 결과물을 산출하는 사업으로, 이에 따라 본 사업을 통해 발생한 모든 산출물 및 계약 목적물에 대한 저작권 및 지식재산권은 발주기관에 전적으로 귀속됨. 발주기관은 산출물의 보안등급 및 활용범위를 내부 규정에 따라 지정하며, 계약상대자는 이를 외부에 공개하거나 재사용·재배포할 수 없음. 제안사가 외부 자료를 인용한 경우에는 관련 저작권 및 사용권을 확보하여야 하며, 위반 시 모든 책임은 계약상대자가 부담함. 계약상대자는 사업수행 중 또는 수행 이후에도 산출물을 임의 복제·배포·활용할 수 없으며, 이를 위반할 경우 관련 법령 및 규정에 따라 조치함.
산출정보		해당사항 없음

요구사항 분류		제약사항 요구사항
요구사항 고유번호		COR-003
요구사항 명칭		기타 제약사항
요구사항 상세설명	정의	기타 제약사항에 대한 정의
	세부 내용	본 사업의 수행 중 불가항력적인 사유 및 부득이한 사유 등으로 인하여 당초 공정대로 시행이 어려울 경우 발주자의 승인을 얻어 공정기간을 연기하거나 조정할 수 있음 본 사업의 수행 중 사업범위에 증감이 발생하거나 기타 발주자가 필요하다고 인정할 경우에는 상호 합의하에 사업내용을 조정할 수 있음
산출정보		해당사항 없음

⑤ 프로젝트 관리 요구사항(PMR, Project Mgmt. Requirement)

요구사항 분류		프로젝트관리 요구사항
요구사항 고유번호		PMR-001
요구사항 명칭		프로젝트 관리방법
요구사항 상세설명	정의	체계적인 프로젝트 관리방안 제시
	세부 내용	위험관리, 진도관리, 보안관리, 인력관리, 산출물관리 등 프로젝트에 대한 전반적인 관리방안 제시 개발의 완성도를 높이기 위해서 프로젝트 착수에서 종료까지 체계적으로 프로젝트를 관리(관리도구 이용)해야 함 위험관리, 진도관리, 보안관리, 인력관리, 산출물관리, 품질관리, 일정관리, 형상관리 등 프로젝트 관리 방법론을 통한 체계적인 사업 관리 방안을 제시하여야 함. 프로젝트의 목표관리, 진도관리, 변경관리, 프로젝트 수행 과정상에서의 문제점 및 위험요소 등 사업수행상태와 산출물을 평가·관리하기 위해 정기 또는 비정기적으로 수행하는 검토 및 보고체계를 계획(프로젝트 상태 검토 계획 제출)하여 사업수행계획서에 포함하여야 함. 사업자는 용역수행에 대한 업무추진 진행사항을 일간/주간/월간(※협의조정 가능) 단위로 작성하고, 중요사항이 발생한 경우에는 즉시 보고하여야 함 사업자는 과업수행 내용을 기록 유지하여야 하며, 발주기관의 요구가 있을 경우에는 이를 제출하여야 함
산출정보		ㅇ 관리대상 산출물 목록표(사업수행계획서에 포함) ㅇ 프로젝트 상태검토 계획(사업수행계획서에 포함)

요구사항 분류		프로젝트관리 요구사항
요구사항 고유번호		PMR-002
요구사항 명칭		사업수행계획서 작성
요구사항 상세설명	정의	사업수행계획서 작성 및 제출
	세부 내용	사업자는 계약일로부터 10일 이내에 착수계를 제출하고, 계약서, 제안요청서, 제안서 등을 근거로 본 사업을 수행하기 위한 사업수행계획서를 작성하고 발주기관에게 문서로 제출, 승인 필수 모든 활동에 대한 업무 상세 정의와 일정계획, 수행 방안 및 의사소통 방안, 기밀 보장 방안 등 상세 프로젝트 계획을 제공 본 사업 추진 중에 이루어져야할 각종 보고(정기/비정기) 계획을 상세히 제시 계획에는 사업진행사항을 단계별로 정리하여야 하며, 단계에는 진행 상황을 모니터하기 위해 사용하는 사업의 주요업무와 이행 지수(진행률)에 대한 정보포함
산출정보		사업수행계획서

요구사항 분류		프로젝트관리 요구사항
요구사항 고유번호		PMR-003
요구사항 명칭		일정계획
요구사항 상세설명	정의	프로젝트 추진일정 계획 수립 및 제시
	세부 내용	사업수행 활동을 도출하여 정확한 활동기간 동안의 자원, 인력, 조직 운영에 대한 일정계획 수립 사업을 기간 내에 완수하기 위한 추진일정 및 세부 활동 내용 등이 포함된 일정계획을 제시하여야 함
산출정보		일정계획(사업수행계획서에 포함)

요구사항 분류		프로젝트관리 요구사항
요구사항 고유번호		PMR-004
요구사항 명칭		참여인력
요구사항 상세설명	정의	사업수행조직 구성 및 참여인력 제시
	세부 내용	용역수행업체는 성공적인 사업추진을 위해 투입될 조직 및 인원 현황을 제시하고 조직별, 직업 단위별 업무 분장 내역을 제시 핵심인력은 본 사업과 관련된 프로젝트에 직접 참여하였거나, 유사 프로젝트 경험이 있는 전문 기술인력을 제시 핵심인력 : PM, PL 핵심인력에 대한 자격, 경력, 유사사업 참여 실적 제시 ※ PM 및 전담인력은 제안사 소속의 정규직 직원을 기준으로 평가하며, 이를 통해 점수를 받은 경우 정당한 사유 없는 변경은 불인정 ※ 평가 이후의 인력 변경은 제안내용과 실질적으로 다른 조건으로 계약을 유도하는 행위로 판단될 수 있으며, 입찰의 공정한 집행을 해하는 부정행위에 해당함. 인력 변경은 원칙적으로 금지되고 불가피한 경우 주관기관의 사전승인 후 공식적인 절차에 따라 변경요청을 하여야 함.
산출정보		참여인력(사업수행계획서에 포함)

요구사항 분류		프로젝트관리 요구사항
요구사항 고유번호		PMR-005
요구사항 명칭		인력교체
요구사항 상세설명	정의	인력교체 시 업무 안정성 확보
	세부 내용	사업 착수 시 제안한 투입인력은 발주자의 동의 없이 사업자 임의로 변경할 수 없음 사업 진행 중 특별한 사유가 없는 한 인력교체는 원칙적으로 불가하나, 불가항력 사유로 인력교체 필요 시 사전에 발주자의 승인을 받아야 하며, 사업에 대한 이해도가 높은 동급 이상의 대체인력을 투입하여 5일 이상의 업무 인수·인계 기간을 두어야 함 투입인력 변경 시 최소 7일 이전에 대체인력을 포함하여 사전 통보하여 발주기관의 승인을 받아야 함 인력교체 기간 발생하는 업무의 안정화 및 품질 저하 방지대책을 제시해야 하고, 인계·인수기간 동안 교체인력에 대한 인건비는 사업자 부담으로 처리하여야 하며, 투입공수에서 제외함 발주기관은 투입인력의 불성실 또는 기준미달 등의 사유로 업무수행에 적절하지 못하다고 판단될 경우 투입인력의 교체를 요구할 수 있고, 용역수행업체는 15일 이내에 동급이상의 인력으로 교체해야 함
산출정보		인력변경요청서

요구사항 분류		프로젝트관리 요구사항
요구사항 고유번호		PMR-006
요구사항 명칭		작업 환경
요구사항 상세설명	정의	작업장소 관리
	세부 내용	작업장소 상호 협의 작업장소는 상호 협의하여 결정하되, 작업장소(원격지 또는 발주처내)에 상관없이 [별첨2] 수행업체 보안 준수사항을 반드시 지켜야 함. 사업자는 작업장소 상호협의 시 [별첨2]에 명시된 보안요구사항을 준수한 작업장소를 제시할 수 있으며, 발주기관에서는 제시된 작업장소에 관하여 우선 검토함. 다만, 발주기관에서는 사업자가 제시한 작업장소가 보안 요구사항을 준수하지 못한 경우 거부할 수 있음
산출정보		해당사항 없음

요구사항 분류		프로젝트관리 요구사항
요구사항 고유번호		PMR-007
요구사항 명칭		요구사항관리
요구사항 상세설명	정의	요구사항관리 및 변경처리 절차
	세부 내용	사업자는 기능/비기능 요구사항을 빠짐없이 관리하고, 각각의 요구사항이 관련 산출물에 반영여부를 확인할 수 있도록 관리하여야 함 제공되기로 한 요구사항을 모두 제공해야 하며, 초기 협의한 요구사항에서 변경관리 절차를 통해 승인을 획득한 요구사항을 최종 베이스라인으로 간주함 본 사업은 「소프트웨어 진흥법」 제50조, 같은 법 시행령 제47조 제1항 제2호, 제3호에 따라 과업내용 변경 및 그에 따른 계약금액·계약기간 조정이 필요한 경우 계약상대자는 국가기관등의 장에게 소프트웨어사업 과업변경요청서를 제출하여 과업심의위원회의 개최를 요청할 수 있음 「소프트웨어사업 계약 및 관리감독에 관한 지침」 별지 8호서식 참조
산출정보		요구사항정의서

요구사항 분류

프로젝트관리 요구사항

요구사항 고유번호

PMR-008

요구사항 명칭

보고관리

요구사항
상세설명

정의

정기보고 및 수시보고

세부
내용

사업 진행에 대한 인력투입, 업무 내용, 진척사항, 기타 특기 사항을 기록한 보고서를 작성 및 제출하여야 함

구분	보고내용	시기
착수보고	- 추진일정(WBS), 인력, 역할, 사업범위 분석 등 전반적인 실행계획 보고 * WBS는 세부 작업 단위별로 구분하여 일 단위로 작성	계약 체결 후 10일 이내
월간보고	- 월간 작업 내역, 보안 점검 결과 등 월간 보고	매월
수시보고	- 장애요소, 위험요소 및 장애처리 내역 등의 긴급 사항에 대한 수시 보고	발생시
완료보고	- 사업 완료에 따른 종합 보고	사업종료시

※ 기관 내부 지침 상 적격 업체 선정 직후 사업수행계획서 제출 필요

사업 착수단계(계약일로부터 10일 이내)에서는 상기 사업수행계획서와 기타 사업수행에 필요한 제반서류를 제출

보고에 필요한 회의자료 제작 등 제반 비용은 사업수행자가 전액 부담

원활한 과업 추진을 위해 필요 시 비정기적인 보고 요청에 대응하여야 함

산출정보

착수/완료 보고서, 월간보고서, 수시보고서(발생시)

요구사항 분류		프로젝트관리 요구사항
요구사항 고유번호		PMR-009
요구사항 명칭		위험관리
요구사항 상세설명	정의	위험관리방안 제시
	세부 내용	사업수행 시 발생 예상되는 쟁점 및 미결사항에 대한 관리, 사용자 요구사항의 상세화 과정에서의 위험관리 등 각종 위험에 대한 통제 및 위험관리 방안을 제시하며, 지속적으로 문제를 파악 관리하고, 조치사항에 대하여 추적할 수 있는 방안을 제시
산출정보		위험관리대장

요구사항 분류		프로젝트관리 요구사항
요구사항 고유번호		PMR-010
요구사항 명칭		산출물관리
요구사항 상세설명	정의	산출물관리 방안
	세부 내용	사업추진과정에서 생산되는 제반 작업 단위별 산출물에 대하여 작업 일정계획 및 품질관리계획과 연계하여 산출물의 종류, 주요 내용, 작성 및 제출 시기, 제출 부수, 제출 매체 등을 제시하여야 함 산출물 및 각종 워크시트의 관리방안을 제시하여야 함 산출물 제출 시기는 사업추진 공정, 품질관리 계획과 연계하여 제시하여야 함
산출정보		사업수행계획서

요구사항 분류		프로젝트관리 요구사항
요구사항 고유번호		PMR-011
요구사항 명칭		하도급 계약
요구사항 상세설명	정의	하도급 계약 유의사항
	세부 내용	하도급 사전승인 본 사업의 하도급의 경우 「소프트웨어 진흥법」 제51조제5항 및 「소프트웨어사업 계약 및 관리감독에 관한 지침」의 규정에 의하여 반드시 발주기관으로부터 사전승인을 받고 하도급 계약을 하여야 함 하도급 비율제한 본 사업의 과업의 일부를 하도급하려는 경우 「소프트웨어 진흥법」 제51조제1항에 따라 물품(상용소프트웨어 포함) 구매금액을 제외한 소프트웨어사업금액의 100분의 50을 초과할 수 없으며, 같은 법 제3항에 따라 재하도급은 원칙적으로 불허함. 다만, 같은 법 제51조제2항 각 호 및 제3항 각 호에 해당하는 경우 그러하지 아니함 하도급 계획서 제출 요청 본 사업 과업의 일부를 하도급하려는 경우 계약체결 시 「소프트웨어사업 계약 및 관리감독에 관한 지침」의 별지 제7호서식 소프트웨어사업 하도급 계획서를 제출하여야 함 사업수행계획서 제출 시 관리 방안 및 하도급 업체의 수행계획서 포함 소프트웨어 기술성 평가 시 ‘하도급계획적정성’ 평가를 하는 경우 본 사업은 기술성 평가 시 '하도급계획적정성‘을 평가항목에 포함하는 사업으로 「소프트웨어 기술성 평가기준 지침」 별지 제4호서식 ‘소프트웨어사업 하도급 계획서(입찰 시)’를 제출해야 함 하도급 계약의 적정성 판단 세부기준 명시 하도급계약의 승인을 신청하는 경우, 「소프트웨어사업 계약 및 관리감독에 관한 지침」의 별표 3 [하도급계약의 적정성 판단 세부기준]에 따라 적정성여부를 판단하며, 평가점수가 85점 이상인 경우에 한하여 하도급계약을 승인함. 다만, 85점 이상인 경우라 하더라도 하도급 계약의 세부 조건 등으로 인하여 사업의 원활한 수행이 불가능하다고 인정되는 경우 그 사유를 기재하여 하도급 승인 거절을 통보할 수 있음 공동수급체 구성 본 사업에서 전체 사업금액 대비 10%를 초과하여 하도급하려는 경우, 「소프트웨어 진흥법」 제51조제6항 및 동 법 시행령 제48조제5항에 따라 하도급이 아닌 공동수급체를 구성하여 참여해야하며, 공동수급체를 구성하지 못하는 불가피한 사정이 있는 경우 그 사유를 제시하여야 함
산출정보		해당사항 없음

⑥ 프로젝트 지원 요구사항 (PSR, Project Support Requirement)

요구사항 분류		프로젝트 지원 요구사항
요구사항 고유번호		PSR-001
요구사항 명칭		컨설팅 지원
요구사항 상세설명	정의	컨설팅 지원
	세부 내용	사업자는 과정상 수반되는 전문 기술 및 관련된 제반사항에 대한 기술이전을 수행하여야 함 사업자는 사이버위기대응을 위한 기술적, 관리적, 위기대응 관련 사항 및 취약점 점검 및 이행조치에 대한 전문지식 등을 발주기관 담당자에게 교육하여야 함 사업수행 결과자료의 보완이나 수정에 따른 사후관리 방안을 구체적으로 제시하고 무상으로 지원 사업수행사는 계약체결 즉시 과업지시서에 명시된 일정에 따라 사업을 시작하고, 원활한 사업 추진을 위해 주관기관이 자료요청 등을 요구하는 경우 신속히 응해야 함 본 사업은 기술적 진단(모의해킹, DDoS 훈련 등)과 정책 자문을 포함한 사업 으로, 기술적 수행 결과물(진단 리포트, 테스트 로그 등)에 대해서는 오류·누락 등 하자가 있는 경우 계약기간 내 재진단·정정 등 보완조치를 요구할 수 있음. 다만, 정책 자문 및 제안 영역(예: 제도 개선안, 보호조치 자문 등)에 대해서는 일반용역계약 특수조건 제17조에 따라 하자보수의무는 발생하지 않음. ※ 단, 계약상대자는 보고서 제출 이후 일정 기간(30일) 동안 문서상 오류, 객관적 사실의 오기 등에 대해서는 발주기관의 요청에 따라 정정 및 보완 자문을 제공하여야 함.
산출정보		해당사항 없음

요구사항 분류		프로젝트 지원 요구사항
요구사항 고유번호		PSR-002
요구사항 명칭		추가 제안
요구사항 상세설명	정의	추가 제안
	세부 내용	제안사의 창의적인 판단에 따라 상기 제안 요청 이외에 사업에 필요하다고 판단되는 사항
산출정보		해당사항 없음

3. 기타 지원 요건

□ 보안유지

○ 제안서 작성과정에서부터 사업수행 중 평가원에서 제공받은 제반 정보 및 자료 등은 본 계약의 목적 외에 사용하여서는 아니 되며, 평가원에서 반환을 요구하였을 경우 즉시 이를 반환하여야 한다.

○ 제안요청서의 전체 또는 일부가 제안서 제출 외의 다른 어떤 목적으로 사용되어서는 안된다.

○ 사업참가업체 및 최종 사업자로 선정된 업체는 평가원의 일반적인 업무수행 규칙을 준수하여야 한다. 이는 입찰과정 중에 취득한 각종 정보와 계약의 이행과정에서 취득한 각종 정보의 기밀유지를 의미한다.

○ 본 사업의 수주 경쟁에 참여함으로써 업체가 획득한 정보는 평가원의 서면에 의한 승인 없이 누설되어서는 안된다.

○ 본 사업 산출물은 개인정보 및 보안상 민감정보가 포함되어 있으므로, 모든 지식재산권 및 산출물 소유권은 발주기관에 전적으로 귀속된다.

□ 발주사 지원사항

○ 사업에 필요한 사항으로서 평가원에서 보유하고 있는 자료 또는 정부기관의 협조 등에 관하여 사업 수행자로부터 요청이 있을 시 특별한 사유가 없는 한 적극 협조한다.

Ⅴ		제안서 작성요령

1. 제안서의 효력

○ 본 제안요청서의 해석에 관한 사항이나 명시되지 않은 사항은 상호 협의에 따라 처리함

○ 제출된 제안서의 내용은 평가원이 요구하지 않는 한 변경할 수 없으며 사업자 선정 시 계약조건으로 간주함

○ 제출된 서류 중 내용이 허위·부실기재일 경우 평가 제외 및 계약 해지가 가능하며 부정당업자로 제재 가능(국가계약법 제76조에 의거)

○ 제안서 등은 반드시 본 지침서의 양식 및 기재순서에 의하여 작성하여야 함

○ 제출된 제안서는 일체 반환하지 않으며, 본 제안과 관련된 일체의 소요 비용은 입찰참가자의 부담으로 함

○ 증빙서류가 필요한 경우에는 이를 반드시 첨부하여야 하며, 이 경우 용역수주 실적은 발주기관 등의 확인 가능한 실적증명서 등 증빙서류를 제출하여야 함

○ 「협상에 의한 계약체결기준」제6조에 따라 제안서는 나라장터 전자조달시스템을 통해 온라인으로 제출하여야 함

○ 추가자료 요청 시 제안업체는 이에 성실히 임해야 하며 미제출시의 불이익은 제안업체가 책임을 짐(제안서 검토 후 추후 통보)

2. 제안서 작성요령 및 유의사항

○ 제안서는 제안요청서에서 요구하는 모든 사항이 기술되어야 하며, 향상된 내용으로 제안할 수 있음

○ 제안서는 제시된 제안서 목차 및 제안서 세부작성지침을 준용하여 각각 세분하여 누락없이 작성하고, 제안요청서의 요구항목들이 제안서의 어느 부분에 기술되었는지 참조표를 제시하여야 함

○ A4지 규격의 전자문서(pdf)로 작성을 권고함

- 제안서 본문 내용은 양면인쇄기준 100장 이내로 작성 권고

- 전자문서형태(pdf)로 제출하며 300MB 이내로 용량 준수

- 제안서 설명 시 홍보용 동영상 활용 금지

○ 제안서는 A4 종 방향작성을 원칙으로 하되, 부득이한 경우 A4 횡 또는 기타 용지를 일부 사용할 수 있음

○ 제안서의 각 페이지는 쉽게 참조할 수 있도록 페이지 하단 중앙에 일련번호를 붙이되, 각 장별로 번호를 부여함

○ 제안서는 한글작성이 원칙이며, 사용된 영문약어에 대해서는 약어표를 제공해야 함

○ 제안서의 내용을 객관적으로 입증할 수 있는 관련자료는 제안서의 별첨으로 제출하여야 함

○ 제안서의 내용은 명확한 용어를 사용하여 표현하여야 함. 예를 들어, “사용가능하다”, “할 수 있다”, “고려하고 있다” 등과 같이 모호한 표현은 평가 시 불가능한 것으로 간주하며, 계량화가 가능한 것은 계량화하여야 함

3. 제안서 목차(예시)

Ⅰ. 일반현황

1. 제안사 일반현황

2. 제안사의 조직 및 업무분장

3. 투입인력 및 이력사항

Ⅱ. 사업 이해도 및 추진 전략

1. 사업 목적 및 배경

2. 기관 특성 및 보안·개인정보보호 환경 분석

3. 추진 전략

Ⅲ. 기술 수행계획

1. 보안 취약점 진단 및 개선 계획

2. 점검 및 진단 활동 요구사항

3. 사이버 모의훈련 수행 계획

4. 개인정보보호수준 평가 대응 계획

5. 교육 및 훈련 후속지원 방안

6. 기타 컨설팅 항목 수행계획

Ⅳ. 품질관리 및 보안관리

1. 품질보증 체계 및 산출물 검수 기준

2. 산출물 관리(작성, 제출, 버전 관리 등)

3. 기밀·정보보안 대책

Ⅴ. 프로젝트 관리 및 운영계획

1. 수행 일정 및 단계별 주요 활동

2. 위험관리 및 비상대응 방안

3. 공동수급 또는 하도급 관리 방안(해당 시)

4. 사후 지원 및 하자보수 계획

Ⅵ. 기타

[별첨자료] 제안요약서 1식(발표자료 대체) 및 기타 증빙 자료

4. 제안서 작성 요령

항 목	작 성 방 법
Ⅰ. 일반현황
1. 제안사 일반현황	제안사의 일반현황 및 주요 연력, 최근 3년간의 자본금 및 부문별(컨설팅, 개발 등) 매출액 등을 명료하게 제시하여야 한다. [붙임 1, 2호 서식] - 본 사업과 관련이 있는 3년 이내의 유사사업실적 제시
2. 제안사의 조직 및 업무분장	본 사업을 수행할 조직 및 업무분장 내용을 상세히 제시하여야 한다. - 사업관리자(PM) 공고일 이전부터 제안서평가일 까지 계속 재직자 - 제안사가 하도급 의사가 있는 경우, 해당 업무 및 (예상)하도급 업체를 제시함 - 컨소시엄 업체가 있는 경우 업무분장 내역에 공동수급업체별 참여비율을 명시
3. 투입인력 및 이력사항	본 사업을 수행할 핵심인력(PM, PL, 주요 기술자 등)에 대한 이력사항을 제시하여야 한다.[붙임 5호 서식] - 제안사 소속 이외의 인력은 하도급으로 간주합니다. - 제안사가 하도급 의사가 있는 경우, 해당 업무 및 (예상)하도급 업체를 제시 - 공동수급일 경우 공동수급업체별 참여 비율 및 참여 인력 명시 - ｢조달청 협상에 의한 계약 제안서평가 세부기준｣제10조의4 제3항 제5호에 명시된 증빙서류 제출 ※ 단, 상용S/W, 패키지 등의 서비스 지원인력, 외부 자문인력 등 통상적인 개발인력이 아닌 경우는 제시하지 말 것 ※ 제안요청 내용과 연관 없는 불필요한 학력사항이나, 자격사항은 배제
Ⅱ. 사업이해도 및 추진 전략
1. 사업 목적 및 배경	본 사업의 목적과 추진 배경에 대한 이해도를 바탕으로 사업의 필요성과 효과를 서술해야 함 – 상위기관 감사(국가정보원, 과기정통부, 개인정보위) 대응 필요성 – 보안위협 고도화, 개인정보보호 제도 강화 등 외부환경 분석 포함
2. 기관 특성 및 보안·개인정보 환경 분석	주관기관의 조직, IT 환경, 정보보호체계, 개인정보보호체계 등의 특성과 과업 관련성 분석 및 기술 환경 이해도 반영
3. 사업추진방법론	전반적인 과업 수행 방향, 수행단계별 전략, 기관과의 협업체계, 커뮤니케이션 계획 제시 – 취약점 진단, 모의훈련, 컨설팅, 교육 등 각 요소 간 유기적 연계 필요
Ⅲ. 기술수행계획
1. 보안 취약점 진단 및 개선 계획	웹 및 서버 취약점 진단 수행 방법, 도구, 기준(KISA 가이드, OWASP 등), 위험도 평가 체계 등을 기술 – 1차 진단 → 2차 이행점검 흐름 및 책임주체 명확화 – 보고서 유형 및 조치방안 제공 방식 제시
2. 정보시스템 점검 및 진단 수행 방안	내부 정보시스템(서버, DB, 네트워크 장비, 보안장비 등)에 대한 상세 점검 계획 – 장비별 진단 항목, 점검 도구, 점검 방식 기술
3. 사이버 모의훈련 수행 계획	악성메일·DDoS 대응 훈련의 계획 및 실시 방안을 적절하게 제시 –시나리오 기획 → 실행 → 분석 → 보고 전 과정 계획 – 메일 유형, 위반자 통계 분석, 재교육 방안 등 포함 – 훈련 수행 도구 또는 인프라보 여부 기술
4. 개인정보 보호수준평가 대응 계획	보호수준 평가 지표(정량·정성)에 따른 평가 대응 전략 서술 – 증적자료 작성 지원, 정성지표 실적 가이드 라인, 시스템 로그·접속기록 등 기술 기반 대응계획 포함 편람 지표에 기반한 증적자료 정리 지원 및 보고서 작성 지원 계획 – 시스템 단위 평가(공공시스템 포함)에 필요한 실무 컨설팅 방식 제시
5. 교육 및 훈련 후속지원 방안	본 사업의 관리자를 위해 필요한 각종 교육훈련의 방법, 내용, 일정 등을 구체적으로 제시 훈련 후 위반자 대상 교육, 용역업체 대상 보안교육, 정보시스템 담당자 대상 기술교육 등 구체계획 기술 – 대상별 교육 내용, 방식(온라인/오프라인), 횟수 명시
6. 기타 컨설팅 항목 수행 계획	정보보안 월별 진단 및 개인정보보호 내부관리계획 이행현황 점검, 위탁현황 현장 감사 지원 등 활동 지원 방안 제시
Ⅳ. 품질 및 보안관리
1. 품질보증 체계 및 산출물 검수 기준	사업의 품질 수준 확보를 위한 품질보증 체계, 점검 절차, 내부 검수 기준 등을 명확히 기술해야 함 – 단계별 산출물 품질검수 기준, 오류 방지 절차, 품질보증 조직의 역할 및 책임 명시 - 제안사는 자체 품질관리 기준서 또는 표준 검수체계를 보유하고 있다면 해당 내용을 별첨으로 첨부하거나 기술서 내 요약 설명하여야 함 ※ ISO/IEC 9001, ISMS-P 인증, ISO/IEC 27001 등 사업자 품질보증 능력을 기술
2. 산출물 관리 (작성, 제출, 버전 관리 등)	수행 결과물의 작성 방식, 제출 시점, 제출 방식, 문서 체계 등을 포함한 전체 산출물 관리 계획을 제시해야 함 – 산출물 목록, 작성 주체, 보고체계, 검토 및 승인 절차, 버전 관리 및 기록 보관 방식 포함 – 중간보고서, 결과보고서, 이행점검결과표 등 구체적 항목 및 제출기한 명기
3. 기밀·정보보안 대책	과업 수행 중 취급되는 정보의 기밀성, 무결성, 가용성 확보를 위한 물리적·관리적·기술적 보안조치 계획을 제시해야 함 – 문서 및 시스템 접근 통제, 외부저장장치 제한, 장비 반출통제, 보안교육 이수 등 – 정보 유출 방지 및 민감정보 보호조치 방안 포함 (개인정보 포함 시 암호화·접근통제 등 명시
Ⅴ. 프로젝트 관리 및 운영계획
1. 수행 일정 및 단계별 주요 활동	전체 과업의 *단계별 일정표(간트차트 등)를 제시하고, 각 단계의 주요 활동, 담당조직, 제출 산출물, 필요 인력 등을 명확히 제시해야 함 – 예: 착수보고 → 진단계획 수립 → 1차 진단 → 개선안 도출 → 이행점검 → 최종보고 등
2. 위험관리 및 비상대응 방안	사업수행에 필요한 활동을 도출하여 정확한 활동 기간, 자원, 인력, 조직 등을 제시하여야 한다.
3. 공동수급 또는 하도급 관리 방안 (해당 시)	공동수급 또는 하도급이 있는 경우, 업무 분장, 품질관리, 보안관리, 산출물 책임 분담 체계를 명확히 기술해야 함 – 총괄 사업자 PM 중심의 통합 운영계획, 커뮤니케이션 체계, 협업 도구 및 회의체 운영 방식 포함
4. 사후 지원 및 하자보수 계획	과업 완료 후 발생할 수 있는 산출물 오류, 추가 점검, 보완 요청 등에 대한 대응 계획 제시 – 하자보수 기간, 대응절차, 책임조직 및 담당자 지정 등 명확화 – 2차 진단, 문서 보완, 추가 교육 등 후속 지원계획 포함
Ⅵ. 기타
기타	상기항목에서 제시되지 않은 기타 내용을 기술한다.
[별첨자료]
별첨자료	제안발표자료(제안요약서), 기타 증빙자료 및 참고사항 등

Ⅵ		제안안내 사항

1. 입찰방식

□ 사업자 선정 방식

○ 「국가를 당사자로 하는 계약에 관한 법률 시행령」 제43조 및 제43조의2｣에 의거 “협상에 의한 계약체결”방법을 적용

○ 계약체결에 필요한 세부적인 사항은 기획재정부 계약예규 “협상에 의한 계약체결 기준”을 적용

□ 입찰참가 자격

○ 본 제안 사업의 수행이 가능한 업체로서 다음 요건을 모두 갖춘 사업자이어야 함

① 경쟁입찰 참가자격을 갖추고, 조달청 입찰참가자격 등록증을 소지한 사업자

② ｢국가종합전자조달시스템 입찰참가자격등록규정｣에 의하여 나라장터(G2B)에 입찰서 제출마감일 전일까지정보보호산업의 진흥에 관한 법률 제23조 및 정보보호 전문서비스 기업 지정 등에 관한 고시(과학기술정보통신부고시)에 의하여 등록된 정보보호 전문 서비스 기업(업종코드:1542)으로 입찰등록을 한 자

- 최근 년도 결산신고된 SW사업자 일반현황 관리 확인서 제출

③ 「국가를 당사자로하는 계약에 관한 법률」제27조 및 동법 시행령 제76조(부정당업자의 입찰참가자격 제한)에 해당되지 않은 업체

○ 공동수급(공동이행방식)의 형태로 참가할 경우, 아래 사항을 준수하여야 함

본 사업은 공동수급을 허용하며, 공동수급업체 구성원은 국가를 당사자로 하는 계약에 관한 법률 시행령 제12조(경쟁입찰의 참가자격) 및 동법 시행규칙 제14조 규정에 저촉되지 않아야 함

공동수급체는 5개 이하로 구성하여야 하며, 구성원별 계약참여 최소지분율은 10% 이상으로 하여야 함

※ [공동계약운용요령 (기획재정부계약예규) 제9조 참조]

공동수급은 공동이행방식을 원칙으로 하며, 공동계약운용요령 상의 공동수급표준협정서(공동이행방식)는 전자조달시스템을 통해 등록함

○ 재하도급 불허

2. 제안서 평가 방법

□ 본 제안서 평가는 발주기관 자체평가로 실시

□ 제안서 평가 원칙

○ 제안서의 공정한 평가를 위해 전문가로 구성된 기술평가위원회를 구성

- 기술능력평가 분야 배점 한도의 85% 이상인 자를 협상적격자로 선정

○ 위원별 합계점수 중 최고 및 최저점수를 제외한 후 산술 평균하여 산출

○ 기타 규정되지 않는 사항은 기획재정부 계약예규에 의함

□ 제안서 평가항목 및 배점

○ 평가점수는 공개하지 아니하며 협상대상자로 선정된 업체에게만 협상순위와 협상일정을 서면 통보함

- 기술능력평가는 기술평가위원회에 의함

- 입찰가격평가는 입찰자의 입찰금액에 의함

○ 재공고(유찰) 수의계약 시에도 기술평가(적정성 평가)를 실시함

□ 기술평가 기준 및 방법

○ 해당사업에 관한 학식과 경험이 풍부한 전문가로 위원장을 포함, 평가위원 중 외부위원은 과반수 이상임

- 평가위원회 위원은 위원장을 포함한 5인 이상으로 구성

○ 평가위원장은 외부위원으로 위촉

○ 평가 전, 평가 시 주의사항 및 평가 시간 등을 사전에 안내하고 반드시 준용

○ 평가위원별 평가위원 보안서약서를 받아 평가결과에 첨부

○ 적절한 품질을 보장할 수 있도록 기술평가의 비중을 100분의 90으로 정함

평가비율 : 기술평가(90%) + 가격평가(10%)

○ 평가점수를 90점 만점으로 환산하여 평가함

○ 각 항목별 평가배점과 방법은 「별첨 1. 기술제안서 기술평가 항목 및 배점한도」에 의함

□ 가격평가 방법

○ 기획재정부 계약예규 ‘협상에 의한 계약 체결 기준’ 입찰가격 평점산식에 따름

□ 우선협상대상자 선정 및 계약체결

○ 기술 및 가격평가 점수를 합산하여 최고 득점을 받은 제안사를 우선협상대상자(고득점 순)로 선정

○ 합산점수가 동일한 제안사가 2인 이상일 경우에는 기술능력 평가점수가 높은 제안사를 우선순위자로 하며, 기술능력 평가점수도 동일한 경우에는 기술능력의 세부평가항목 중 배점이 큰 항목에서 높은 점수를 얻은 자를 우선순위로 함

3. 제안 안내

○ 제출서류 : 입찰공고문 참조

○ 제안서 제출 일정 및 방법 : 입찰공고문 참조

○ 제안요청설명회 : 본 제안요청서로 갈음

○ 제안설명회 : 해당없음

- 해당 사업은 제안요청 설명회를 실시하지 않습니다.

- 문의처 : 한국과학기술기획평가원 총무전산실 임송이 (043-750-2553)

4. 입찰 시 유의 사항

○ 제출된 제안서는 일체 반환하지 않으며, 본 제안과 관련된 일체의 소요비용은 입찰 참가자의 부담으로 함

○ 제안내용에 대한 확인을 위하여 추가자료 요청 또는 현지실사를 할 수 있으며, 입찰참가자는 이에 응하여야 함

○ 낙찰자로 결정된 이후에 공동수급체 구성원을 변경할 수 없음

○ 계약상의 사업을 수행함에 있어 부실, 조잡 또는 부당하게 하거나, 부정한 행위를 한 사업자는 향후 신규 사업의 참여에 제한을 받을 수 있음

○ 본 사업의 수행에 필요한 모든 비용은 가격입찰금액에 포함시켜야 함

○ 제안 관련 문의 사항

- 사업관련문의 : 총무전산실 임송이(043-750-2553)

5. 협약 후의 조치 등

○ 협상이 타결되면 낙찰업체와 사업수행에 대한 협약을 체결함

○ 사업의 수행은 협상의 결과에 의하여 작성된 계약서 및 과업지시서(협상결과를 반영한 제안서)에 따름

○ 계약서에 정하지 않은 사업수행에 관하여는 평가원과 낙찰업체간 협의하여 시행하며, 이견이 있을시 평가원의 의견을 우선시함

○ 계약대금은 협상에 의하여 결정된 가격 및 지급시기에 맞게 평가원의 관련 법규에 정한 절차에 따라 지급함

6. 기타 유의사항 (소프트웨어 진흥법 관련 준수사항)

□ 과업심의위원회

○ (과업내용 확정 심의 여부) 본 사업은 「소프트웨어 진흥법」 제50조에 따른 과업내용 확정을 위하여 과업심의위원회를 ( √ )개최 또는 (  )미개최한 사업임

○ (과업내용 변경) 본 사업은 「소프트웨어 진흥법」제50조, 같은 법 시행령 제47조 제1항 제2호, 제3호에 따라 과업내용 변경 및 그에 따른 계약금액·계약기간 조정이 필요한 경우, 계약상대자는 국가기관등의 장에게 소프트웨어사업 과업변경요청서*를 제출하여야 하며, 국가기관등의 장은 과업심의위원회 개최 요청에 대해서 특별한 사정이 없으면 수용해야 함

* 「소프트웨어사업 계약 및 관리감독에 관한 지침」별지 제13호서식 소프트웨어 과업변경 요청서를 작성하여 제출

□ SW사업 영향평가

○ 본 사업은 「소프트웨어 진흥법」 제43조, 같은 법 시행령 제35조 내지 제37조, 「소프트웨어사업 계약 및 관리감독에 관한 지침」 제5조, 제6조에 따라 소프트웨어사업 영향평가를 미리 실시한 사업임

※ 「소프트웨어사업 계약 및 관리감독에 관한 지침」 별지 제1호 서식에 따른 “소프트웨어사업 영향평가 결과서”를 첨부( 별첨 3 참조)

[붙임] 입찰 및 제안서 관련 서식

	【 서식목차 】
서식 1. 일반현황 및 주요연혁 서식 2. 자본금 및 매출액 (최근 3년) 서식 3. 주요사업실적 서식 4. 사업 실적 증명서 서식 5. 참여인력 이력사항 서식 6. 공동수급 표준협정서(공동이행방식) 서식 7. 합의 각서 서식 8. 퇴직자 영입 확인서 별첨 1. 기술제안서 기술평가 항목 및 배점한도 별첨 2. 사업수행업체 보안조치사항 별첨 3. 사업자 보안 위규 처리기준 별첨 4. 보안 위약금 부과 기준 별첨 5. 누출금지 대상 정보 별첨 6. 소프트웨어사업 영향평가 검토결과서

[서식1] 일반현황 및 주요연혁

일반현황 및 주요연혁

회 사 명		대표자
사 업 분 야
주 소
전 화 번 호
회 사 설 립 년 도
[주요연혁]

[서식2] 자본금 및 매출액 (최근 3년)

자본금 및 매출액 (최근 3년)

구 분			M-2 년도	M-1 년도	M 년도
자 본 금
매 출 액	컨설팅부문	BPR/ISP
		전략컨설팅
		보안컨설팅
		감리
		기타
	개발부문 교육부문 ⃝⃝부문
	합 계

※ 컨설팅 매출액의 경우 BPR/ISP, 전략컨설팅, 보안컨설팅, 감리 등으로 구분하여 상세히 기재한다.

[서식3] 주요사업실적

주요사업실적 (최근 3년)

사 업 명	사 업 기 간	계 약 금 액	발 주 처	비 고

※ 연도순으로 기재하며, 제안과제와 유사하거나 동일한 업무영역이나 사업형태에 관한

것만 기재한다. 단, 현재수행중인 사업은 비고란에 현재수행중임을 명시한다.

※ 하도급은 발주처가 승인한 경우에 한하여 작성하며 비고란에 원도급회사를 기재한다.

※ 공동도급계약일 경우에는 계약금액란에 제안사의 지분만을 기재한다.

※ 사업별 사용 개발방법론을 비고에 기재한다.

※ 한국소프트웨어산업협회에서 발급하는 이행실적확인서를 가능한 활용.

※ 실적을 확인할 수 있는 실적증명서, 계약서 등의 증거서류제출, 확인이 불가능한 실적은 인정하지 않음

※ 실적증명자료는 붙임으로 첨부하여야 하며 실적증명첨부서류에 페이지를 명시하여 주요사업실적 비고란에 페이지를 표시하여야 함

[서식4] 사업 실적 증명서

사업 실적 증명서

신청인	업체명(상호)						대 표 자
	영업소재지						전 화 번 호
	사업자번호						제 출 처
	증명서 용도		입찰 및 제안서 심사 제출용
사 업 이 행 실 적 내 용	사 업 명					구 분	ISP/BPR ( ) PMO/감리 ( ) 시스템개발 ( ) 운영 및 유지관리 ( ) 기 타 ( )
	사 업 개 요
	계 약 번 호	계약일자		계약기간	계약 금액	이행실적			비 고
						공동비율		실 적
증명서 발 급 기 관	위 사실을 증명함 년 월 일
	기 관 명 : (인) (전화번호 : )
	주 소 : (FAX번호: )
	발급부서 :					담당자: (인)

※  ① 사업실적을 공동계약으로 이행하였을 경우 비율과 이행실적을 기재하여야 합니다.

② 이행실적란은 기재 후 투명접착테이프를 붙여 증명을 받아야 합니다.

③ 별도 양식으로 작성하는 경우는 그에 따릅니다.

※ 관련 평가항목이 없는 경우 제안서에 사업실적 증명 서식은 제출하지 않음

[서식5] 참여인력 이력사항

참여인력 이력사항

성 명			소 속			직 책		연 령	세
참여인력 등급						근무경력 및 기술경력		년 개월
학술연구용역기준 ( ) SW기술자 기준 ( ) 엔지니어링기술자 기준 ( ) 기타 ( )						자 격 증
본사업 참여임무								목표투입공수

경 력
사 업 명	참 여 기 간 (년월 ～ 년월)	담 당 업 무	발 주 처	비 고

※ ｢파견근로자보호 등에 관한 법률」 등에 의한 파견근로자인 경우에는 파견업체명과 원소속사를 함께 명기하여야 함  (예시) 업체명 (원소속사명)

※ 근무 경력확인서, 기술 경력확인서는 「소프트웨어 진흥법 시행규칙」 제13조(소프트웨어기술자의 신고절차 등)에 근거하여 근무 경력확인서 및 기술 경력확인서를 사용자(대표자) 또는 소프트웨어 사업 발주자 확인을 받아 제출(소프트웨어기술자 경력관리기관의 소프트웨어 기술경력증명서 또는 기타 경력을 증빙할 수 있는 서류로도 제출 가능)

※ 자격증, 경력 및 수행업무와 관련된 사항을 증명할 수 있는 자료를 붙임으로 첨부하여야 하며, 첨부되지 않은 자료에 대하여는 인정하지 않음

※ 참여인력이 대표사 또는 공동수급업체 인원인 경우에는 재직증명서를 붙임으로 첨부하고, 그 외 인력(채용예정인력 등)은 추후 추가 협상과정에서 발주기관의 요청이 있을 시 증빙자료를 제출해야 함

※ 참여인력 평가 심사기준일은 입찰서 제출 마감일 전일로 하며 입찰서 제출마감일 이후 발생신고 또는 수정된 자료는 평가에서 제외됨

※ 입찰자가 하도급 계약할 경우는 하도급 예정자의 기술자 등급별 인원 현황만 제출하고 하도급 예정자에 대한 증빙서류는 제출하지 않음

[서식6] 공동수급 표준협정서(공동이행방식)

공동수급 표준협정서(공동이행방식)

제1조 (목적) 이 협정서는 아래 계약을 공동수급체의 구성원이 재정, 경영 및 기술능력과 인원 및 기자재를 동원하여 공사ㆍ물품 또는 용역에 대한 계획ㆍ입찰ㆍ시공 등을 위하여 일정 출자비율에 따라 공동연대하여 계약을 이행할 것을 약속하는 협약을 정함에 있다.

1. 계약건명 :

2. 계약금액 :

3. 발주자명 :

제2조 (공동수급체) 공동수급체의 명칭, 사업소의 소재지, 대표자는 다음과 같다.

1. 명             칭 :

2. 주사업소의 소재지 :

3. 대   표    자  명 :

제3조 (공동수급체의 구성원) ① 공동수급체의 구성원은 다음과 같다.

1. 업체명 (대표자 : 대표자명 )

2. 업체명 (대표자 : 대표자명 )

② 공동수급체의 대표자는 대표자명로 한다.

③ 대표자는 발주자 및 제3자에 대하여 공동수급체를 대표하며, 공동수급체 재산의 관리 및 대금의 청구 등의 권한을 가진다.

제4조 (효력기간) 본 협정서는 당사자간의 서명과 동시에 발효하며, 해당계약의 이행으로 종결된다. 다만, 발주자 또는 제3자에 대하여 공사와 관련한 권리·의무관계가 남아있는 한 본 협정서의 효력은 존속된다.

제5조 (의무) 공동수급체 구성원은 제1조에서 규정한 목적을 수행하기 위하여 성실․근면 및 신의를 바탕으로 하여 필요한 모든 지식과 기술을 활용할 것을 약속한다.

제6조 (책임) ① 공동수급체의 구성원은 발주자에 대한 계약상의 의무이행에 대하여 연대하여 책임을 진다. 다만, 공사이행보증서가 제출된 공사로서 계약이행요건을 충족하지 못하는 업체는 출자비율에 따라 책임을 진다.

제7조 (하도급) 공동수급체의 구성원 중 일부 구성원이 단독으로 하도급계약을 체결하고자 하는 경우에는 다른 구성원의 동의를 받아야 한다.

제8조 (거래계좌) 계약예규 「공동계약운용요령」제11조에 정한 바에 의한 선금, 기성대가 등은 다음계좌로 지급받는다.

1. 업체명 (공동수급체대표자) : ㅇㅇ은행, 계좌번호 ㅇㅇㅇ, 예금주 ㅇㅇㅇ

2. 업체명 : ㅇㅇ은행, 계좌번호 ㅇㅇㅇ, 예금주 ㅇㅇㅇ

제9조 (구성원의 출자비율) ① 당 공동수급체의 출자비율은 다음과 같이 정한다.

1. 업체명 : 비율%

2. 업체명 : 비율%

②제1항의 비율은 다음 각호의 어느 하나에 해당하는 경우에 변경할 수 있다. 다만, 출자비율을 변경하는 경우에는 공동수급체 일부구성원의 출자비율 전부를 다른 구성원에게 이전할 수 없다.

1. 발주기관과의 계약내용 변경에 따라 계약금액이 증감되었을 경우

2. 공동수급체 구성원중 파산, 해산, 부도, 법정관리, 워크아웃(기업구조조정촉진법에 따라 채권단이 구조조정 대상으로 결정하여 구조조정중인 업체), 중도탈퇴의 사유로 인하여 당초 협정서의 내용대로 계약이행이 곤란한 구성원이 발생하여 공동수급체구성원 연명으로 출자비율의 변경을 요청한 경우

③현금이외의 출자는 시가를 고려, 구성원이 협의 평가하는 것으로 한다.

제10조 (손익의 배분) 계약을 이행한 후 이익 또는 손실이 발생하였을 경우에는 제9조에서 정한 비율에 따라 배당하거나 분담한다.

제10조2(비용의 분담) ① 본 계약이행을 위하여 발생한 하도급대금, 재료비, 노무비, 경비 등에 대하여 출자비율에 따라 각 구성원이 분담한다.

②공동수급체 구성원은 각 구성원이 분담할 비용의 납부시기, 납부방법 등을 상호 협의하여 별도로 정할 수 있다.

③공동수급체 구성원이 제1항에 따른 비용을 미납할 경우에 출자비율을 고려하여 산정한, 미납금에 상응하는 기성대가는 공동수급체 구성원 공동명의의 계좌에 보관하며, 납부를 완료하는 경우에는 해당 구성원에게 지급한다.

④분담금을 3회 이상 미납한 경우에 나머지 구성원은 발주기관의 동의를 얻어 해당 구성원을 탈퇴시킬 수 있다. 다만, 탈퇴시킬 수 있는 미납 횟수에 대해서는 분담금 납부주기 등에 따라 발주기관의 동의를 얻어 다르게 정할 수 있다.

제11조 (권리․ 의무의 양도 제한) 구성원은 이 협정서에 의한 권리와 의무를 제3자에게 양도할 수 없다.

제12조 (중도탈퇴에 대한 조치) ① 공동수급체의 구성원은 다음 각호에 1에 해당하는 경우 외에는 입찰 및 해당계약의 이행을 완료하는 날까지 탈퇴할 수 없다. 다만, 제3호의 규정에 해당하는 경우에는 다른 구성원이 반드시 탈퇴조치를 하여야 한다.

1. 발주자 및 구성원 전원이 동의하는 경우

2. 파산, 해산, 부도 기타 정당한 이유없이 당해 계약을 이행하지 아니하거나 제10조의2에 따른 비용을 미납하여 해당 구성원 외의 공동수급체의 구성원이 발주자의 동의를 얻어 탈퇴조치를 하는 경우

3. 공동수급체 구성원 중 파산, 해산, 부도 기타 정당한 이유없이 해당 계약을 이행하지 아니하여 시행령 제76조제2항제2호가목에 따라 입찰참가자격제한조치를 받은 경우

② 제1항의 규정에 의하여 구성원 중 일부가 탈퇴한 경우에는 잔존 구성원이 공동연대하여 해당계약을 이행한다. 다만, 잔존 구성원만으로 면허, 실적, 시공능력공시액 등 남은 계약이행에 필요한 요건을 갖추지 못할 경우에는 잔존구성원이 발주기관의 승인을 얻어 새로운 구성을 추가하는 등의 방법으로 해당 요건을 충족하여야 한다.

③ 제2항의 본문의 경우에 출자비율은 탈퇴자의 출자비율을 잔존구성원의 출자비율에 따라 분할하여 제9조의 비율에 가산한다.

④ 탈퇴하는 자의 출자금은 계약이행 완료 후에 제10조의 손실을 공제한 잔액을 반환한다.

제13조 (하자담보책임) 공동수급체는 공동수급체가 해산한 후 해당 공사에 관하여 하자가 발생하였을 경우에는 연대하여 책임을 진다.  다만, 공사이행보증서가 제출된 공사로서 계약이행요건을 충족하지 못하는 업체는 출자비율에 따라 책임을 진다.

제14조 (운영위원회) ① 공동수급체는 공동수급체 구성원을 위원으로 하는 운영위원회를 설치하여 계약이행에 관한 제반사항을 협의한다.

② 이 협정서에 규정되지 아니한 사항은 운영위원회에서 정한다.

위와 같이 공동수급협정을 체결하고 그 증거로서 협정서 N통을 작성하여 각 통에 공동수급체 구성원이 기명날인하여 각자 보관한다.

YYYY년 MM월 DD일

대  표  자  명(업체명 )     (인)

대  표  자  명(업체명 )     (인)

대  표  자  명(업체명 )     (인)

[서식7] 합의 각서

합 의 각 서

공 고 번 호	제 N 호	입 찰 일 자	YYYY.MM.DD.
입 찰 건 명

우리는 위의 입찰에 공동수급체를 결성 입찰에 참고하고자 귀 기관에서 정한 각종 조건, 유의서 및 입찰공고사항을 전적으로 승낙하며 또한 대표자는 각 구성원이 합의한 금액으로 입찰하겠으며, 낙찰시 모든 구성원은 대표자가 투찰한 입찰금액으로 이의없이 계약 체결 및 이행을 성실히 수행하겠음을 이에 합의각서를 제출합니다.

YYYY년 MM월 DD일

공동수급체 대표자

주사무소소재지
상 호
성 명		(인)
사업자등록번호
생 년 월 일

공동수급체 구성원

주사무소소재지
상 호
성 명		(인)
사업자등록번호
생 년 월 일

공동수급체 구성원

주사무소소재지
상 호
성 명		(인)
사업자등록번호
생 년 월 일

[서식8] 퇴직자 영입 확인서

퇴직자 영입 확인서

* 아래 사항 중 해당되는 사항이 없으신 경우, “해당사항 없음“으로 제출하시기 바랍니다.

입 찰 건 명

용  역  명

1. 상기 입찰 건과 관련하여 당사는 한국과학기술기획평가원 퇴직자(퇴직 후 2년 이내) 영입 근무현황을 아래와 같이 제출합니다.

퇴직당시 직급	성명	퇴직일	현재(당사) 직급	비 고

2. 한국과학기술기획평가원 퇴직임직원에 대한 영입자가 있을 경우에는 귀 원의 심사·평가결과를 따르겠습니다.

상기 계약을 수행함에 있어 위에 언급한 내용대로 이행할 것이며, 만일 이의 사실과 다를 경우(축소, 누락포함) 심사대상자에서 제외, 계약해지 또는 해제 및 부정당업자로 입찰참가자격제한조치 등 불이익 처분을 받더라도 일체의 이의를 제기 하지 아니할 것을 확약하고 이에 확인서를 제출합니다.

YYYY년 MM월 DD일

주 소 :
업 체 명 :
대 표 자 :	(공동수급체 구성원 모두 기재)	(인)

[별첨1] 기술제안서 기술평가 항목 및 배점한도

평가부문	평가항목	평가기준	배점
일반부문 (정량평가)	조직 등 일반현황	최근 3년간 자기자본 비율, 유동자산 비율, 신용등급 등 재무현황과 제안사의 사업수행 기술 확보여부를 평가한다.	5	10
	유사분야 등 주요사업 실적	최근 3년 이내 정보보안 및 개인정보보호 컨설팅 실적을 평가한다.	5
사업이해도 및 추진전략	사업 이해도	기관 상황과 정책적 맥락 반영도, IT 및 보안 환경, 개인정보보호 체계에 대한 이해도, 사업의 특성 및 목표에 부합하는 사업전략을 제시하고 있는지를 평가한다.	5	15
	추진 전략	컨설팅 업무 수행 시 일정 및 위험요소를 고려하여 얼마나 타당한 추진 전략을 수립하였는지 평가한다. 전체 과업 구성 전략과 단계별 계획의 논리성을 평가한다	10
기술 및 보안전문성	진단·컨설팅 역량	웹/서버/네트워크 취약점 진단, 모의훈련 실시, 정보보안 교육 실시, 기관 정보보안·개인정보보호 관리 체계 진단 역량을 평가한다.	20	30
	인력구성	보안·개인정보 전문 자격보유 인력 구성 및 역할 분장	10
품질관리	품질 요구사항	이행하고자 하는 업무의 현황분석을 통해 사업 수행 단계별로 작성되는 산출물 리스트와 제출 시기 및 방법이 해당 사업에 적합하게 제시되었는지 평가한다. 최적의 방법론 및 분석 도구를 통하여 일관성 있게 분석하고 대상 기관의 조직, 인력 및 예산 등의 제약 요인을 충분히 고려하여 활용 방안을 구체적으로 기술되어 있는지 확인한다.	5	5
프로젝트 관리	관리 방법론	사업위험(이슈) 관리, 보안관리, 산출물의 형상ㆍ문서 관리 등 사업 수행에 필요한 관리 방법론이 구체적으로 제시되어 있는지를 평가한다. 또한 문제 발생 시 보고 체계 및 위험관리 방안이 구체적으로 제시되어 있는지 평가한다.	5	25
	일정 및 산출물 관리	사업수행에 필요한 추진 일정, 산출물 목록, 제출방식, 버전관리 등 문서체계 등 구체성을 평가한다. 또한 각 활동에 필요한 일정 계획이 적절히 수립되었는지를 평가한다.	5
	기밀 보안	사업에 악영향을 미치는 일련의 불순 활동들로부터 기밀을 보호함과 동시에 원활한 사업의 수행을 보장하기 위한 정보보안·개인정보 유출 방지 물리적·관리적 보안 통제방안에 대하여 평가한다.	5
	위험 및 비상대응	- 예상 가능한 주요 리스크 식별 여부 - 리스크 대응 조직, 절차, 자원 배분 계획의 명확성 - 침해사고·오류 발생 시 보고체계와 대응 프로토콜 제시 여부	5
	사후지원 및 하자보수	- 하자보수 기간(보장기간), 범위, 책임조직의 명확성 - 2차 진단, 문서 보완, 추가교육 등 사후 지원 항목 제시 여부 - 용역 종료 이후 민원·보완 요청 시 대응체계	5
제안 완성도	맞춤형 제안 전략	- 제안기관의 특성과 과업 특성 간의 정합성 분석 - 타 기관과 차별화된 전략(예: 기관 환경, 지표, 조직 특성 고려 등) 제시 여부 - 보안정책·업무 프로세스 기반 전략 유무	5	10
	실행 가능성	- 제안된 일정, 인력, 예산 계획의 현실성 검토 - 수행계획이 과업요구사항 및 기관 요구에 부합하는지 여부 - 결과 활용 계획(보고서, 점검표, 정성평가 대응 등) 제시 여부	5
하도급	하도급 계획	소프트웨어사업 하도급 계획서 상의 하도급에 참가하는 자의 전체 하도급 금액 비율(100분의 50미만), 재하도급 여부, 개별 하도급 금액 비율(100분의 10이하) 등을 고려하여「소프트웨어 진흥법」에 따라 적정하게 계획하였는지를 평가한다. (다만, 하도급을 하지 않는 경우 최고등급을 부여) - 소프트웨어 진흥법 제51조 하도급 제한 규정 준수여부 하도급 비율 제한(50%초과) 재하도급 원칙적 금지 10%초과 하도급에 대한 공동수급체 구성을 요청한 경우 준수여부	5	5
합계			90

* 소프트웨어 기술성 평가기준 지침(과학기술정보통신부고시 제2025-20.호), 2025. 4. 30.)

경영상태 평가기준

신용평가등급			평점	점수
회사채	기업어음	기업신용평가등급
AAA, AA+, AA0, AA- A+, A0, A-, BBB+, BBB0	A1, A2+, A20, A2-, A3+, A30	AAA, AA+, AA0, AA-, A+, A0, A-, BBB+, BBB0	배점의 100%	5
BBB-, BB+, BB0, BB-	A3-, B+, B0	BBB-, BB+, BB0, BB-	배점의 95%	4.5
B+, B0, B-	B-	B+, B0, B-	배점의 90%	4
CCC+ 이하	C 이하	CCC+ 이하	배점의 70%	3.5

* 등급별 평점이 소수점 이하의 숫자가 있는 경우 소수점 다섯째자리에서 반올림 함

[주]

1.「신용정보의 이용 및 보호에 관한 법률」제2조 제8의3에 해당하는 신용조회사  또는「자본시장과 금융투자업에 관한 법률」제335조의3에 따라 업무를 영위하는 신용평가사가 입찰공고일 이전에 평가하고 유효기간 내에 있는 회사채, 기업어음 및 기업신용평가등급을 국가종합전자조달시스템에 조회된 신용평가등급으로 평가하되, 가장 최근의 신용평가등급으로 평가한다. 다만, 가장 최근의 신용평가등급이 다수가 있으며 그 결과가 서로 다른 경우에는 가장 낮은 등급으로 평가한다.

2. 국가종합전자조달시스템에서 신용평가등급 확인서가 확인되지 않은 경우에는 최저등급으로 평가하며, 유효기간 시작일 또는 만료일이 입찰공고일인 경우에도 유효한 것으로 평가한다. 다만, 입찰공고일 다음날 이후에 발생 또는 수정된 자료는 평가에서 제외한다.

3. 주 1에도 불구하고, 합병 또는 분할한 자가 입찰공고일 이전에 평가한 신용평가등급이 없는 경우에는 입찰서 제출 마감일 전일까지 발급된 유효기간 내에 있는 가장 최근의 신용평가등급으로 평가한다. 다만, 합병 후 새로운 신용평가등급이 없는 경우에는 입찰공고일 이전에 평가하고 유효기간 내에 있는 신용평가등급으로서 합병 대상자 중 가장 낮은 신용평가등급을 받은 자의 신용평가등급으로 평가한다.

4. 추정가격이 고시금액 미만인 입찰에서 입찰공고일을 기준으로 최근 7년 이내에 사업을 개시한 창업기업에 대해서는 신용평가등급 점수상의 배점 한도를 부여한다. 이 경우 창업기업에 대한 확인은 「중소기업제품공공구매 종합정보망」에 등재된 자료로 확인하며, 창업기업확인서의 유효기간 내에 있어야 한다. 다만, 제안서 평가일 전일까지 발급된 자료도 심사에 포함하며, 이 경우 입찰공고일 이전 창업을 확인 할 수 있는 자료(법인인 경우 법인등기부상 법인설립등기일, 개인사업자인 경우에는 사업자등록증명서 상 사업자등록일)를 제출하여야 한다.(이하 창업기업에 대한 확인방법은 같다)

5. 공동수급체의 경우 구성원별 해당 점수에 지분율을 곱한 후 그 점수들을 합산하여 최종 평가하고, 평가 결과 소수점 이하의 숫자가 있는 경우 소수점 다섯째자리에서 반올림 한다.

(예) (A사 점수×A사 지분율)+(B사 점수×B사 지분율)…

6. 중소기업협동조합이 입찰에 참여하는 경우 중소기업협동조합의 신용평가등급으로 평가한다.

수행실적 평가기준

평가등급	평점	점수
100% 이상	배점의 100%	5
70% 이상～100% 미만	배점의 90%	4.5
40% 이상～70% 미만	배점의 80%	4
40% 미만	배점의 70%	3.5

- 본 사업은 공공시스템의 보안취약점 진단 및 보호조치 자문이 포함된 사업으로, 국민안전 및 국가사이버보안에 직결되므로 수행실적 평가 항목을 예외적으로 적용함

* 해당 사업규모 대비 입찰공고일 기준 최근 3년간 사업수행실적(금액 기준)을 합산 적용. 단, 입찰공고일을 기준으로 최근 7년 이내에 사업을 개시한 창업기업에 대해서는 최근 7년간 사업수행실적을 합산 적용

[주]

1. 수행실적은 입찰공고 또는 제안요청서 등 입찰 관계서류에 따로 정한 경우를 제외하고는 계약일자 및 납품기한에 관계없이 이행이 완료된 시점을 기준으로 평가한다.  이 경우 입찰공고일에 이행완료 된 실적도 평가에 포함하나, 입찰공고일 다음날부터 이행완료된 자료는 평가에서 제외한다.

2. 등급구간별 평점은 제9조제8항제1호에 따라 부여한다.

3. 등급구간 및 구간별 평점은 위 표에 의하며, 필요하다고 인정되는 경우 입찰공고에 달리 정할 수 있다.

4. 실적 인정 범위와 제9조제8항제3호 나목 및 다목에 따라 실적평가를 제외하는 경우 실적평가 제외기준은 제안요청서에 정하되, 수행실적은 제5호에 따라 제출된 실적을 기준으로 평가한다.

5. 입찰자는 수행실적 평가를 위하여 별지 제15호서식의 수행실적 총괄표와 다음 각 목에 따른 별지 제16호서식 또는 그에 준한 수행실적증명서 등을 제출하여야 한다.

가. 국가기관, 지방자치단체, 기획재정부장관이 지정한 공공기관 또는 지방공기업법령 적용 기관이 발급한 수행실적증명서

나. 위 가목에서 정한 이외의 기관 또는 민간이 발주한 경우 발주자가 발급한  수행실적증명서, 계약서, 세금계산서(필요시 거래명세표 포함) 등을 첨부하여야 함

다. 위 가목과 나목에도 불구하고 한국소프트웨어산업협회장이 발급하는 소프트웨어사업 수행실적 확인서

라. 국외의 공공기관, 민간기업 등이 발주한 경우 가목 및 나목을 준용하되, 공공기관 이외의 납품실적은 이를 공증하거나 해당국가의 상공회의소 또는 해당국가에 주재하는 대한민국 공관의 확인을 받은 경우에는 세금계산서 등 증명자료 첨부를 생략할 수 있음

마. 이행실적에 대한 입증책임은 입찰자가 부담하며 의무를 다하지 아니하여 실적확인이 어려운 경우에는 실적으로 인정하지 않는다.

6. 공동수급체의 경우 구성원별 실적에 지분율을 곱한 후 그 실적들을 합산한 실적으로 최종 평가하고, 평가 결과 소수점 이하의 숫자가 있는 경우 소수점 다섯째자리에서 반올림 한다.

(예) {(A사 실적×A사 지분율)+(B사 실적×B사 지분율)…}에 대한 점수

7. 중소기업협동조합이 입찰에 참여하는 경우 해당계약을 이행할 출자 또는 분담업체의 실적으로 평가하며 6호의 평가방법에 따라 평가한다.

8. 합병, 분할, 사업양수도가 있는 경우 다음 각 호에 따라 실적을 평가한다. 이 경우 입찰자는 합병 전ㆍ분할 전ㆍ사업양도 업체의 실적증빙서류를 제출하여야 한다.

가. 합병 : 소멸 업체의 실적을 존속 또는 신설 업체의 실적에 합산하여 평가

나. 분할 : 분할 전 업체의 실적을 권리ㆍ의무를 승계한 업체의 실적에 포함하여 평가. 다만, 시설, 기술자 등 요건이 필요할 때에는 이를 갖춘 경우에만 실적으로 인정한다.

다. 사업양수도 : 사업양도인의 실적을 사업양수인의 실적으로 포함하여 평가. 다만, 시설, 기술자 등 요건이 필요할 때에는 이를 갖춘 경우에만 실적으로 인정한다.

[별첨2] 사업수행업체 보안조치사항

1. 참여인력에 대한 보안관리

◦ 용역 참여인원 중 최고 직급자를 보안책임자로 지정하고, 한국과학기술기획평가원(이하 평가원) 보안담당관의 승인을 받아야 한다.

◦ 참여인원 전원은 보안서약서를 작성 후, 평가원에 제출하여야 한다.

◦ 참여인원 전원은 용역 수행관련 보안교육을 수행하여야 하며 결과를 평가원에 제출하여야 한다.

◦ 참여인원은 업체 임의로 교체 할 수 없으며, 신상변동(해외여행 포함)사항 발생 시 사전에 평가원에 보고하여야 한다.

◦ 참여인원이 업무를 수행할 장소는 외부인의 출입을 통제하여야 하며, 부재 시에는 반드시 시건 장치를 하여야 한다.

◦ 용역 수행 중 평가원의 정보시스템에 위해를 가할 수 있는 행위는 절대 불가하며, 정보시스템 접근이 필요한 경우에는 평가원의 사전승인을 득한 후 평가원 담당자 입회하에 실시하여야 한다.

2. 내부 자료에 대한 보안관리

◦ 전산망구성도, IP 현황 등 평가원 누출 금지 대상[별첨5]에 포함되는 내부 자료에 대해서는 상호간의 책임자가 직접 서명한 후 인수·인계하여야 한다.

◦ 사업수행을 위해 제공된 내부 자료는 복사 및 외부반출을 금지한다.

◦ 제공된 내부 자료는 매일 퇴근 시 반납하여야 하며, 다만 비밀문서를 제외한 일반문서는 제공된 사무실에 시건 장치가 된 보관함이 있을 경우 이를 보관함에 보관할 수 있다.

◦ 용역수행업체가 사용하는 PC 및 제공된 자료에 대해서는 월 1회 이상 점검을 실시하고 평가원의 보안담당자는 점검결과에 대한 개선을 요구 할 수 있다.

3. 장비에 대한 보안관리

◦ 평가원에 반입하는 용역수행 관련 PC(파일 및 프로그램 포함)는 백신프로그램의 점검을 통해 사전에 안전성이 확보되어야 한다.

◦ USB, CD-RW 및 외장하드디스크 등 탈착이 용이한 보조기억매체의 사용은 금지한다. 다만, 산출물작성 등의 보조기억매체가 필요한 경우에는 평가원의 보안담당자 승인 후에 사용하여야 한다.

◦ 사업 종료 시까지는 반입된 PC의 반출을 금지한다. 다만, 모의해킹 등 외부반출이 필요한 경우는 자료유출에 대비한 보안대책을 평가원에 제출하여 승인을 득한 후 최소한의 장비만 반출 할 수 있다.

- 참여인원이 퇴근 시에 외부로 반출 할 수 없으며, 반드시 제공된 사무실내의 시건 장치가 있는 보관함에 보관하여야 한다.

◦ 사업 종료 시 용역업체의 PC 및 보조기억장치는 본 사업과 관련된 모든 자료를 국가정보원장이 안정성을 검증한 삭제 소프트웨어로 완전삭제 후 반출하여야 한다.

◦ 스마트폰 등의 휴대용 장비 내에 평가원의 내부자료 등이 기록되어져서는 아니 되며, 용역업체의 보안책임자가 수시로 확인하고, 평가원 보안담당자의 점검을 득하도록 하여야 한다.

4. 내·외부망 접근에 대한 보안관리

◦ 사업 수행 시 평가원 내부망에 대한 접속은 반드시 평가원 보안담당자의 사전승인 후 허용된 PC에서만 접근 할 수 있도록 한다.

◦ 업체에서 사용하는 PC는 인터넷 연결을 금지함을 원칙으로 한다. 다만, 사업 수행 상 필요한 경우는 업체의 보안책임자가 접속이 필요한 PC와 웹사이트·서버를 선정하여 직접 보안담당자에게 요청하여 승인을 득한 후 사용하여야 한다.

◦ 개인적인 SMTP, FTP 및 P2P 등의 서비스 사용은 불가하며, 사업수행과 관련된 자료를 메일 등으로 전송하는 행위를 금지한다.

5. 산출물에 대한 보안관리

◦ 사업 수행 시 생산되는 모든 산출물은 평가원 보안담당자 관리 하에 있는 파일서버에 저장하여야 하고, 계정관리 및 접근권한 부여 관리를 철저히 하여야 한다.

◦ 사업 수행 시 생산된 산출물 및 기록은 평가원이 인가하지 않은 비인가자에게 제공·대여·열람을 금지한다.

◦ 사업 종료 후 중요문서에 대해 “대외비”임을 표기하여 평가원에 제출하여야 하며, 기타 자료는 삭제 및 세단 후 폐기하고 평가원의 점검을 받아야 한다.

◦ 최종산출물 및 개발에 사용한 자료는 용역 수행업체의 보관은 금지함을 원칙으로 한다. 다만, 하자보수 등으로 필요한 경우에는 보안담당자의 승인을 득한 후 사용할 수 있다.

[별첨3] 사업자 보안 위규 처리기준

구분	위규사항	처리기준
심각	1. 비밀 및 대외비급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	○ 사업참여 제한 ○ 위규자 및 직속 감독자 등 중징계 ○ 재발 방지를 위한 조치계획 제출 ○ 위규자 대상 특별 보안교육 실시
중대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통·폐지함 등에 유기 또는 이면지 활용 다. 개인정보·신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실·보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·하자보수 시 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	○ 위규자 및 직속감독자 등 중징계 ○ 재발 방지를 위한 조치계획 제출 ○ 위규자 대상 특별보안교육 실시
보통	1. 기관 제공 중요정책·민감 자료 관리 소홀 가. 주요 현안·보고자료를 책상위 등에 방치 나. 정책·현안자료를 휴지통·폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비넷·서류함·책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 3. 보호구역 관리 소홀 가. 통제·제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍·책상 위 등에 방치한 채 퇴근 나. 네이트온 등 비인가 메신저 무단 사용 다. PC 비밀 번호를 모니터 옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	○ 위규자 및 직속 감독자 등 경징계 ○ 위규자 및 직속 감독자 사유서 / 경위서 징구 ○ 위규자 대상 특별보안교육 실시
경미	1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기·인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보·보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	○ 위규자 서명·구두 경고 등 문책 ○ 위규자 사유서/경위서 징구

※ 사업자 보안위규 처리 절차

경위 확인	▶	보안위규 처리기준에 따라 조치	▶	재발방지 대책	▶	보안조치 이행여부 점검

[별첨4] 보안 위약금 부과 기준

1. 위규 수준별로 A~D 등급으로 차등 부과

구 분	위규 수준
	A급	B급	C급	D급
위규 처리기준	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
위약금 비중	부정당업자 등록	계약금의 5%	계약금의 2.5%	계약금의 0.5%

* 위규 처리기준은 [별첨3] 참고

2. 보안 위약금은 다른 요인에 의해 상쇄, 삭감 되지 않도록 부과

* 보안사고는 1회의 사고만으로도 그 파급력이 큰 것을 감안하여 타 항목과 별도 부과

3. 사업종료 시 지출금액 조정을 통해 위약금 정산

* 사업완료 후 위규사항 위반 시에도 『보안 위약금 부과 기준』 동일 적용

[별첨5] 누출금지 대상 정보

	< 누출금지 대상 정보 >
① 기관 소유 정보시스템의 내ㆍ외부 IP주소 현황 ② 세부 정보시스템 구성현황 및 정보통신망 구성도 ③ 사용자계정 및 패스워드 등 정보시스템 접근권한 정보 ④ 정보통신망 취약점 분석·평가 결과물 ⑤ 용역사업 결과물 및 프로그램 소스코드 ⑥ 국가용 보안시스템 및 정보보호시스템 도입현황 ⑦ 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등 네트워크장비 설정 정보 ⑧ ‘공공기관의 정보공개에 관한 법률’ 제9조1항에 따라 비공개 대상정보로 분류된 기관의 내부문서 ⑨ ‘개인정보 보호법’ 제2조1호의 개인정보 ⑩ ‘보안업무규정’ 제4조의 비밀, 동 시행규칙 제7조3항의 대외비 ⑪ 그 밖의 발주자가 공개가 불가하다고 판단한 자료

[별첨6] 소프트웨어사업 영향평가 검토결과서