과업지시서
계약명	충남문화산업진흥원 홈페이지 운영 및 유지보수 용역

1	계약개요

□ 발 주 처 : (재)충남문화산업진흥원

□ 계 약 명 : 충남문화산업진흥원 홈페이지 운영 및 유지보수 용역

□ 사업예산 : 금5,000,000원(금오백만원) / (부가세포함)

□ 기    간 : 계약일로부터 ~ 2018. 12. 31.

2	과업내용

□ 과업범위

□ 충남문화산업진흥원 운영 홈페이지

홈페이지명	홈페이지 주소	주요 기능	비 고
충남문화산업진흥원 홈페이지	http://www.ctia.kr/html/	진흥원 사업 홍보, 행사일정 안내 등
“ (영문페이지)	http://www.ctia.kr/html/en	상동

□ 운영환경(참고사항)

구분	품명	규격	수량
S/W	개발언어	PHP 5.2.6
	OS / Web Server	Linux / Aapach 2.2.1	1
	DBMS	MY-SQL 5.0.6	1
H/W	Server	CPU : QC 2.13G RAM : 2G HDD : SATA 500G X 2 NIC : 10/100/1000Base-TX Ehternet Card	3

3	세부과업내용

○ 과업범위

□ 고객서비스를 위한 뉴스레터 제작 및 발송

□ 최신 자료의 업데이트

□ 팝업페이지 디자인 및 적용

□ 홈페이지 안정화, 모니터링 및 정기적 데이터 백업

□ 유지보수 기간 동안 웹 접근성 관련 유지보수 동시 진행

○ 세부과업내용

구 분	내 용
하자보수	- 홈페이지 내 프로그램 오류를 확인하고 이를 보수한다.
홈페이지 운영지원	- 관리자 기능 등 시스템 절차 지원 - 홈페이지 안정화를 위해 정기적으로 모니터링 - 홈페이지 내 문제가 발생했을 시 이를 점검ㆍ해결
홈페이지 소스 관리	- 홈페이지 소스 정기 백업
콘텐츠 변경	- 홈페이지 내 콘텐츠의 이미지 및 내용에 변경이 필요할 때 이를 변경한다.
메뉴 삭제 및 변경	- 홈페이지 내 게시판을 관리한다.
뉴스레터 제작 및 발송	- (매월)충남문화산업진흥원 뉴스레터 발송(총 5회) ㆍ 뉴스레터 발송 및 주소록 관리(메일 발송 후, 리포트 제출) - 디자인 제작 및 HTML 제작 - (수시)비정기적인 소식지 추가 디자인 및 전체 메일발송
사용자 성향 분석을 위한 웹로그 운영	- 일/주/월별 방문자 정보 - 지역별, 사용자 접속 환경, 페이지뷰에 대한 통계 제공 - 유입경로 및 스마트 기기 사용 정보 통계 제공 - 데이터 및 그래프 형태 보고서 제공

※ 홈페이지 안정화 및 기타 서비스 운영

■ 개인정보보호 및 실명인증 서비스

❍ 실명인증

- 실명인증, 공공 I-PIN 도입을 통한 실명 확인

❍ 개인정보보호

-「개인정보보호법」제2조제1호의 개인정보 보호 준수

- 개인정보 가운데 보안을 요하는 정보는 비인가자의 접근 및 불법 유출을 방지하기 위하여 암호화하여 저장

- SSL 보안서버 도입

- 고유식별 개인정보 암호화는 3-DES또는 SHA-1 방식으로 하며 쌍방향  암호화

■ 웹취약점 및 보안 준수

❍ 국제 웹 보안표준기구(OWASP) TOP 10 취약점 제거

❍ 국정원 8대 웹 취약점 제거

❍ 홈페이지 SW 보안약점 진단(시큐어코딩)에 따른 조치

■ 사업관리 및 운영/유지보수 관리 시스템

❍ 온라인을 통한 사업관리 및 운영/유지보수 관리를 위한 시스템 구축

❍ 요청 사항에 대한 실시간 처리 상태 확인

❍ 충남문화산업진흥원에 결과를 실시간 SMS로 발송

❍ 사업관리 및 운영/유지보수의 통계정보 제공

■ 홈페이지 안정화

□ 홈페이지 서비스 정기 점검

□ 프로그램, DB, 파일 정기적 백업(2회/월)

3	유의사항

□ 과업진행 시 유의사항

○ 과업내용 및 예산을 숙지한 후 진행하여야 하며, 진행의 각 단계별로 발주처 사업담당자와 협의 후 진행하여야 함

○ 과업을 수행함에 있어 주최 및 주관 기관의 명예가 훼손 될 수 있는 일체 행위를 하지 말아야 함

○ 과업수행 중 습득한 정보는 과업진행 이외의 다른 목적으로 사용할 수 없으며 발주처의 승인 없이 임의로 소유 또는 복사하여 외부에 유출하거나 사용할 수 없음

○ 모든 과업은 본 과업지시서에 의하여 수행하며, 이에 규정되지 아니한 사항은 관계법령 및 정부가 정한 각종 기준과 연계 검토 후 발주처와 협의 하에 수행 함

□ 웹사이트 구축 표준지침 준수

○ 다중 플랫폼 및 브라우저(IE, 크롬, 사파리 등)에서 동일한 UX가 제공될 수 있도록 웹 표준 지침(HTML5 준수)에 맞게 구축하여야 함

○ 홈페이지의 변경은 UTF-8 규격으로 개발하여야 함

○ 웹사이트 구축 관련 정부지침을 준수하여야 함

- 공공기관 홈페이지 구축 지침(행정안전부)

- 홈페이지 보안관리 매뉴얼(사이버안전센터)

- 홈페이지 개발보안 가이드(한국정보보호진흥원)

- 한국형 웹콘텐츠 접근성 지침(한국정보문화진흥원)

- 8대웹 취약점(국가정보원)

- 홈페이지 SW 보안약점 진단(시큐어코딩)에 따른 조치

가. IWCG(인터넷 웹 콘텐츠 접근성 지침) 1.0 , 행정기관 홈페이지 구축․운영 가이드라인(2015 개정안, 행정자치부), 전자정부 웹 표준 준수지침(2008, 행정안전부), 실전 웹 표준가이드(2005, 한국소프트웨어진흥원) 준수

나.『국가정보보안 기본지침』제36조(정보시스템보안관리)준수

다. 사이버안전매뉴얼』제5장(접근보안대책) 준수

라.『전자정부법』 제30조(온라인 원격근무)시 보안대책 준수

마. 정보시스템 SW 보안약점 제거조치 의무화(행자부고시 제2016-48호) 준수

□ 콘텐츠의 소유 및 저작권

○ 본 과업수행 과정에서 발생된 모든 결과물의 소유권 및 저작물에 대한 저작재산권(2차 저작물 작성권 포함)은 ‘발주처’에 양도해야 함

○ 과업수행 과정에서 취득 또는 작성하는 산출물 일체에 대한 소유권은 ‘발주처’에 있으며 수행기업은 용역 완료 즉시 ‘발주처’에 제출하여야 함

○ 사업수행 결과물과 관련하여 발생하는 제3자의 저작권 도용, 초상권 침해 등 제작 시 타인의 지적재산권을 침해함에 따른 분쟁에 대하여 그 시기에 관계없이 수행기업에서 일체의 책임져야 함

○ 저작권에 대한 문제 발생 시 발주처의 해석에 따름

- 기타 저작권 활용 등 관련 부분은 협의 후 진행

4	과업 수행 방안

□ 과업수행 기본 원칙

○ 수행기업은 과업지시서상의 사업내용을 정확히 이해하여 과업수행에 차질이 없도록 하여야 함

○ 수행기업은 사업을 완성하였을 때에는 준공관련서류(준공계, 제출 서류, 산출물에 명시된 자료)를 지체 없이 ‘발주처’에 제출 하여야 함

□ 과업내용의 변경 및 조정

○ 사업내용에 명기하지 아니한 과업내용, 방법, 절차 등에 대한 사항은 실무담당자와 사전 협의하며 협의된 사항은 성실히 수행 함

○ 과업이행요청서 상에는 누락되어 있지만 실무담당자가 필요하다고 인정하는 경미한 사항과 부대업무에 대하여는 ‘발주처’의 지시에 따라 이를 이행하여야 한다.

□ 책임관계

○ 본 과업으로 인하여 수행기업이 발주처 또는 제3자에게 피해를 주었을 경우 과업수행자 부담으로 손실을 보상하여야 함

○ 이미지, 사진 등 저작물을 구입한 경우에는 구입확인서 등을 제출

□ 보안대책

○ 수행기업은 과업 착수와 동시에 수행기업의 대표 및 참여 인력에 대한 보안 관리에 철저를 기해야 함(별첨의 보안각서 제출)

○ 과업수행 과정에 관련되는 모든 서류, 자료 및 재료는 본 과업을 수행 하는 목적으로만 사용되어야 하며 ‘발주처’의 사전 승인 없이 임의 복사 하거나 타인에게 제공 또는 대여해서는 안 되며, 이에 대한 보안 대책 불이행으로 인한 책임은 과업수행자가 져야 함

○ 향후 보안성 강화요구에 맞게 수정요구 시 이에 응해야 함

6	계약의 해지

□ 다음의 각 항목에 해당하는 경우, 본 계약의 전부 또는 일부를 해지 할 수 있다.

○ 정당한 사유 없이 약정한 착수 기일을 경과하고도 착수하지 아니할 경우

○ 과업지시서에 명시한 계약기간 내에 세부행사 집행계획에 의한 일정에 따라 완료되지 못하거나, 수행기업의 귀책사유로 과업완료할 가능성이 명백히 없다고 인정되는 경우

○ 계약내용과 실제 과업을 다르게 수행할 경우

○ 발주처의 사전 승인 없이 과업내용을 임의로 변경하는 경우

○ 과업수행과정에서 발주처의 정당한 요구를 이행하지 않을 경우

- 상기 사항에 해당할 경우 발주처는 수행기업에 과업중단 지시, 기 지급된 대금의 환수, 손해배상 등을 요구할 수 있으며, 수행기업은 발주처의 처리에 성실히 응하여야 함

7	그 외 준수사항

○ 지방자치단체를 당사자로 하는 계약에 관한 법률 일체

○ 지방자치단체 입찰 및 계약 집행기준(행정안전부 예규 제21호)

○ 소프트웨어관련 법률 일체

별첨1	보안규정

□ 외부 용역업체 보안관리 방안

① 참여 인력에 대한 보안관리

□ 사업 착수 시

○ 사업 참여인원에 대해서는 사업투입 전, “대표자용 보안서약서”, “참여자용 보안서약서”를 제출하여야 한다.

○ 계약업체는 용역사업 수행 전 참여인원에 대해 법률 또는 청의 규정에 의한 비밀 유지의무 준수 및 위반 시 처벌내용 등에 대한 보안교육을 실시하여야 한다.

○ 계약서 작성 이전 보안준수사항 및 배상책임과 관련하여 상호 협의하여 명시하여야 한다.

□ 사업 수행 시

○  계약업체는 보안인식강화를 위해 주기적으로 자체 보안교육(월 1회 이상)을 실시해야 하며, 원이 요구하는 보안교육에 참석하여야 한다.

□ 사업 종료 시

○  계약업체는 원으로부터 제공받는 장비, 서류 및 중간ㆍ최종 산출물 등 모든 자료를 전량 원에 반납하고 삭제하여야 한다.

○ 계약업체는 사업 관련 자료를 보유하지 않으며, 이를 위반 시 향후 법적책임이 있음을 포함한 “대표자용 보안확약서” 및 “참여자용 보안 확약서”를 작성하여 청에 제출하여야 한다.

② 문서 및 전산자료보안

□ 문서 및 전산자료 보안 일반

○ 한국보건산업진흥원 보안업무규정에 의거 정보통신망 구성도, 정보시스템 구성도, 용역사업 산출물 및 개인정보 등은 비공개 자료로 분류하여 관리해야 한다.

○ 계약업체는 비공개자료 중 출력물 형태로 제공받는 자료에 대해서는“자료관리대장”을 작성하여 인계자(담당부서장)와 인수자(계약업체 관리책임자)가 직접 서명한 후 인계ㆍ인수해야 한다.

○ 계약업체는 비공개자료 출력시에는 출력물에 출력자, 출력일시 등을 표시하여야 한다.

○ 계약업체가 비공개 자료를 자체 보관ㆍ관리시에는 지정된 별도 캐비넷(이하“비공개 자료 캐비넷”이라 한다)에 보관ㆍ관리해야 한다.

○ 계약업체는 비공개 자료 캐비넷에 보관ㆍ관리되는 비공개 자료의 목록을 현행화하여  관리해야 한다.

□ 온라인 보안관리

○ 사업수행 관련자료 및 사업과정에서 생산된 모든 산출물은 지정된 시스템에 저장ㆍ관리해야하고, 계약업체의 개인 PC 등에 이를 보관할 수 없다.

○ 계약업체가 사용하는 노트북ㆍPC는 인터넷 연결을 금지한다. 다만, 사업 수행 상 필요한 경우 원에서 제공하는 별도 승인된 장소에서 이용 할 수 있다.

○ 계약업체가 업무상 필요에 의해 부득이하게 외부에서 전자우편 등으로 청과 자료 송수신이 필요한 경우에는 암호화 등의 보안대책을 마련하여 수발신해야 한다. 다만, 원 보안업무규정에 의한 비공개 자료(비밀,대외비 등)는 전자우편으로 수발신을 금지한다.

○ 계약업체는 인터넷 이용시 접속이 제한된 사이트 및 인터넷 파일공유사이트 등에  접속을 시도하여서는 아니되며, 사업수행 관련자료는 인터넷, 웹하드 등 인터넷 자료공유사이트 및 개인 메일함에 저장을 금지한다.

③ 사무실 및 매체ㆍ장비 반출입 보안

□ 사무실 보안

○ 계약업체는 사무실 또는 용역업무를 수행하는 공간에 대해 보안점검을 주1회 이상 실시하여야 하며, 결과 내용에 대해 사업담당자의 확인 및 개선조치요구에 따라야 한다.

□ 매체 및 장비 반ㆍ출입 보안

○ 계약업체는 PC, 노트북 및 USB 등 이동식 보조기억매체를 청내외로 반출입 할 수 없다.  다만, 사업담당이 그 필요성을 인정한 경우에는 원 보안업무규정, 정보통신보안업무규정의 절차에 따라 반출ㆍ입할 수 있다.

○ 계약업체는 PC, 노트북 등 관련 장비를 청내외로 반출입하는 경우, 다음 사항을  사전 확인․조치해야 한다.

․ 백신 등의 PC보안프로그램의 설치 여부

․ 악성코드 감염여부 및 자료 무단반출 여부

○ 사업수행 기간 중 PC, 노트북 및 USB 등 이동식 보조기억매체 반출 시 반입 전․후를 비교하여 변경된 데이터는 모두 삭제하고 이를 확인할 수 없을 때에는 반출 전에 데이터를 완전삭제하거나 불용 처리한다.

○ 계약업체는 용역사업에 이용되는 노트북․PC에 백신 등의 자체 PC보안프로그램 및 원에서 제공하는 자료유출방지 등을 위한 PC보안프로그램을 설치하여야 한다.

○ 계약업체는 노트북 및 PC에 전원기동(CMOS) 패스워드, 윈도우 로그인 패스워드, 화면 보호기(10분 간격) 패스워드를 영문자 및 숫자가 조합된 8글자 이상으로 설정하여야 한다.

④ 네트워크 접근 보안

○ 계약업체는 정보시스템 사용자 계정(ID) 이용시, 부여된 권한 이외의 접근을 하여서는 아니되며, 부여된 패스워드는 임의 변경 및 타인에게 알려서는 아니된다.

□ 사업자 보안위반 처리기준

계약업체는 지방자치단체를 당사자로하는 계약에 관한 법률 시행령 제92조 제1항 제 19호 규정을 위반하여 아래의 누출금지 대상정보를 무단으로 누출할 경우 지방계약법에 의거 아래와 같이 입찰참가자격이 제한된다

정보 누출 횟수가 2회 이상인 경우 : 3개월

정보 누출 횟수가 1회 이상인 경우 : 1개월

누출금지 대상 정보의 범위

1. 기관 소유 정보시스템의 내･외부 IP주소 현황

2. 세부 정보시스템 구성현황 및 정보통신망 구성도

3. 사용자계정·패스워드 등 정보시스템 접근권한 정보

4. 정보통신망 취약점 분석·평가 결과물

5. 용역사업 결과물 및 프로그램 소스코드

(단, 유출시 안보/국인에 피해가 우려되는 중요 용역사업에 해당)

6. 국가용 보안시스템 및 정보보호시스템 도입 현황

7. 침입차단시스템(F/W)·방지시스템(IPS) 등 정보보호제품 및

라우터·스위치 등 네트워크 장비 설정 정보

8.“공공기관의 정보공개에 관한 법률” 제9조제1항에 따라 비공개

대상 정보로 분류된 기관의 내부문서

9.“개인정보보호법” 제2조제1호의 개인정보

10.“보안업무규정” 제4조의 비밀 및 동 시행규칙 제7조제3항의 대외비

11. 각급기관이 공개가 불가하다고 판단한 자료

* 사업기간 중 공개불가 자료가 발생 시 상호 협의하여 추가할 수 있음

계약업체가 누출금지 대상정보를 포함하여 사이버침해대응센터 내부자료를 무단으로 유출할 경우 용역직원에 대하여는 퇴출, 전자정부법에 의한 형사고발 조치하고, 용역업체에 대하여는 손해배상 시민,형사상 손해배상 청구

보안관제 및 보안장비에 사이버위협, 해킹 등에 대한 보안관제 정책 적용 미비로 특정 업무 서비스 중단 시 충청남도 정보자원시스템 통합유지보수 용역 위약금 부과 적용

계약업체가 충청남도정보보안세부지침, 국가정보보안기본지침 등에 의한  보안준수 사항을 위반한 경우 용역직원에 경고 및 퇴출 조치

□ 보안사항 위반에 따른 제재조치 사항

구 분	위 규 사 항	처 리 기 준
심 각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 나. 개인정보·신상정보 목록 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	◦ 사업참여 제한 ◦ 위반자 및 직속 감독자 등 중징계 ◦ 재발 방지를 위한 조치계획 제출 ◦ 위반자 대상 특별 보안교육 실시
중 대	1. 비공개 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제구역 출입문을 개방한 채 퇴근 등 나. 인가되지 않은 작업자의 내부 시스템 접근 다. 통제구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 라. 외부용 PC를 업무망에 무단 연결 사용 마. 보안관련 프로그램 강제 삭제 바. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	◦ 사업 참여 제한 ◦ 위반자 및 직속 감독자 등 중징계 ◦ 재발 방지를 위한 조치계획 제출 ◦ 위반자 대상 특별 보안교육실시
보 통	1. 사무실 보안관리 부실 가. 캐비넷ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상위 등에 방치 2. 보호구역 관리 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 3. 전산정보 보호대책 부실 가. 휴대용 저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 네이트온 등 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅ㆍ화면보호 패스워드 미부여 또는 "1111" 등 단순숫자 부여 마. PC 비밀번호를 모니터옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	◦ 위반자 및 직속 감독자 등 경징계 ◦ 위반자 및 직속 감독자 사유서 / 경위서 징구 ◦ 위반자 대상 특별 보안교육 실시
경 미	1. 업무 관련서류 관리 소홀 가. 진행중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 근무자 근무상태 불량 가. 각종 보안장비 운용 미숙 나. 경보ㆍ보안장치 작동 불량 3. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	◦ 위반자 서면ㆍ구두 경고 등 문책 ◦ 위반자 경위서 제출

별첨2	진흥원 웹진 및 뉴스레터 참고 이미지(정기/비정기)