정보보안계약특수조건

일부개정 2018. 3.27.

제1조(목적) 이 정보보안 계약특수조건은 한국수력원자력(주)(이하 '한수원'이라 한다.)와 계약상대자가 체결하는 계약에 있어 계약일반조건 외에 계약 체결 시 준수하여야 할 제반 보안사항을 규정함을 목적으로 한다.

제2조(정의) ① '보안사고'란 계약상대자등이 계약에 의한 업무를 수행하는 중 내·외부자에 의한 자료유출 및 외부 공격자의 사이버 위협으로 인한 침해사고 등으로 한수원에 피해를 주는 사고를 말한다.

② '계약상대자등'이란 계약상대자 또는 계약상대자측 작업자(하수급인·재하수급인(및 각 작업자 포함))를 말한다.

③ '한수원 자료'란 한수원에서 정의하는 기록물(문서) 분류체계 및 기술정보관리지침에의거 공개로 정의된 이외의 문서와 계약 수행과정에서 생산되어 한수원의 자산으로 인정되는 문서 등을 말한다.

④ '자료유출'이란 '한수원 자료'가 외부로 유출된 것을 말한다.

⑤ '정보시스템'이란 PC·서버·모바일기기 등 단말기, 보조기억매체, 전산·통신장치, 정보통신기기, 응용프로그램 등 정보의 수집·가공·저장·검색·송수신에 필요한 하드웨어 및 소프트웨어 일체를 말한다.

⑥ '정보자산'이란 '정보시스템'을 포함한 전자정보, 문서 등을 말한다.

⑦ '휴대용저장매체'란 디스켓·CD·외장형 하드디스크·USB메모리 등 정보를 저장할 수 있는 것으로 PC 등의 정보시스템과 분리할 수 있는 기억장치를 말한다.

⑧ '업무전산망'(이하 '업무망'이라 한다)이란 한수원의 네트워크 중에서 업무용으로 사용되는 영역으로, 인터넷망과 분리된 내부전산망(이하 '내부망'이라 한다)을 말하고, 망 미분리 사업소는 인터넷서비스도 병행 제공되는 내부전산망을 포함한다.

⑨ 인터넷서비스망(이하 '인터넷망'이라 한다)이란 한수원의 네트워크 중에서 인터넷을 사용할 수 있도록 연결되어 있는 인터넷 전용망과 계약상대자가 인터넷을 사용할 수 있도록 연결되어 있는 인터넷 전용망을 말한다.

제3조(보안준수 사항 등) ① 계약상대자등은 한수원 자료가 무단으로 유출되는 것을 방지하고, 외부 위협으로부터 한수원의 정보자산을 보호할 수 있도록 하여야 한다.

② 계약상대자등이 계약 수행과정에서 침해사고, 정보유출과 같은 보안사고 발생 시 한수원은 정확한 사고 발생 경위 파악을 위해 국가기관 또는 외부 전문기관에 조사를 의뢰할 수 있다. 이 경우 계약상대자는 원활한 조사가 이루어질 수 있도록 협조하여야한다.

③ 한수원은 필요 시 계약상대자등을 대상으로 보안점검, 정보보안 관리실태 평가를 시행하고, 관련 법령, 규정, 해당 계약조건 위반 시에는 개선조치 요구를 할 수 있으며, 계약상대자등은 이에 대해 특별한 사유가 없는 경우 협조하여야 한다.

④ 계약상대자등은 인터넷망에 연결된 PC에 한수원 자료를 보관하지 말아야 한다.

⑤ 계약상대자등은 자체 홈페이지를 운영할 경우 악성코드 등에 감염되지 않도록 보안관리 하여야 한다.

제4조(계약상대자등의 행위제한 등) ① 계약상대자등은 계약기간(하자보증기간 포함) 중 다음 각 호의 어느 하나에 해당하는 행위를 하여서는 아니 된다.

1. 한수원 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 및 유출시도

2. 한수원 정보시스템에 대한 해킹 및 해킹시도

3. 한수원 정보시스템 내 인위적인 악성코드 유포 및 유포시도

4. 한수원 관련 개인정보·신상정보 목록 유출 및 유출시도

5. 원전 시설사진, 비공개 항공사진·공간정보 등의 정보 유출 및 유출시도

6. 원전 설계도면 등 주요 도면 유출 및 유출시도

7. 계약 결과물에 대한 외부 유출 및 유출시도

8. 계약 수행과정에서 생산 및 제공한 자료에 대한 악의적 사용 및 개인목적 사용

9. 비인가 원격작업 등을 통한 해킹 및 해킹시도 또는 자료 유출 및 유출시도

10. 인가되지 않은 작업자의 한수원 통제구역 무단 침입 및 내부 시스템 접근 및 접근 시도

11. 한수원 업무망 접속 사용자 계정관리 미흡 및 오남용으로 인한 자료유출 및 유출시도

12. 인터넷 자료공유사이트(웹하드·P2P 등)또는 메일, 메신저 등을 이용하여 자료유출 및 유출시도

13. 한수원 업무망과 계약상대자등의 인터넷망 혼용 사용으로 자료유출 및 유출시도

14. 한수원에서 인가하지 않은 휴대용저장매체 무단 사용으로 자료 유출 및 유출시도

15. 한수원 업무망 사용PC의 보안관련 프로그램을 강제 삭제하여 자료유출 및 유출시도

16. 계약상대자등의 단말기를 한수원 업무망에 무단 연결하여 해킹 및 해킹시도 또는 자료유출 및 유출시도

17. 한수원 자료가 보관된 PC 보안관리 소홀(부팅·화면보호 패스워드 미부여, 비밀번호 노출, 문서 암호화 미처리, 시건장치 미장착 등)로 인한 자료유출 및 유출시도

18. 한수원 자료 방치, 관리소홀(캐비넷·서류함·책상 등을 개방한 채 퇴근 등)로 인한 자료유출

② 한수원 사내 상주하거나, 한수원 정보시스템을 사용하는 계약상대자 등은 계약기간(하자보증기간 포함) 중 별표 1 “계약상대자 등 보안위규 처리기준”의 “위규사항”에서 정한 행위를 하여서는 아니 된다.

제5조(부정당업자 지정 및 위약금 부과 등) 계약상대자 등이 계약의 이행과 관련하여 제4조 제2항에 해당하는 행위를 한 경우에는 별표 1의 “계약상대자 등 보안위규 처리기준”에 따라 조치 요구 및 별표 2 “보안 위약금 부과기준”을 적용하여 계약상대자에게 부정당업자 지정 및 위약금 부과를 할 수 있다.

제6조(등록취소 및 입찰참가 제한 등) ① 원전비리 방지를 위한 원자력발전사업자등의 관리·감독에 관한 법률상 협력업체에 해당하는 계약상대자가 제4조 제1항 각 호 어느 하나에 해당하는 행위를 한 경우에는 등록을 취소하거나 입찰 참가 제한 등을 할 수 있다. 다만, 계약상대자 측 작업자에 의한 경우에는 계약상대자가 그 행위를 방지하기 위하여 상당한 주의와 감독을 게을리 하지 아니한 경우에는 그러하지 아니하다.

② 계약상대자의 입찰제한 세부기준은 원전비리 방지를 위한 원자력발전사업자등의 관리·감독에 관한 법률 시행령 [별표 1] 개별기준에 따른다.

제7조(계약 해제·해지 등) 계약상대자 등이 계약의 이행과 관련하여 보안 사고를 발생시켰거나 또는 제4조 제1항의 각호 해당행위를 한 경우, 한수원은 당해 계약을 해제 또는 해지할 수 있다. 다만 보안준수의무를 이행하였음에도 불구하고 발생한 불가항력적인 보안사고 또는 당해 계약의 이행정도 등에 비추어 해지할 경우 계약의 목적을 달성하기가 어렵다고 인정되는 경우에는 그러하지 아니할 수 있다.

제8조(하도급 계약) ① 계약상대자는 업무의 일부를 하도급하는 경우에는 하수급자도 한수원 자료가 무단으로 유출되는 것을 방지하고 외부 위협으로부터 한수원의 정보자산을 보호할 수 있도록 하여야 하고, 이를 위하여 하수급자가 보안 사고를 발생시켰거나, 제4조 제1항 각 호의 어느 하나에 해당하는 행위를 한 경우에는 하도급 계약이 해제 또는 해지될 수 있다는 내용을 하도급 계약서에 명시하여야 한다.

② 한수원은 하수급자가 보안 사고를 발생시켰거나, 제4조 제1항 각 호의 어느 하나에 해당하는 행위를 한 경우에는 계약상대자에게 하수급자의 교체를 요구할 수 있고, 이 경우 계약상대자는 정당한 사유가 없는 한 하수급자를 교체하여야 한다.

③ 위 2항에도 불구하고, 한수원은 하수급자의 교체를 요구하지 않고, 제7조에 따라 당해 계약을 해제 또는 해지할 수 있다.

부칙

제1조

이 계약조건(제1차 개정)은 2018년 4월 2일 입찰 공고분부터 적용한다.

제2조(다른 법령과의 관계) 이 계약조건에 명시되지 않은 사항은 원전비리 방지를 위한 원자력발전사업자등의 관리·감독에 관한 법과 동법 시행령, 시행고시 및 국가 「정보보안 기본지침」, 「개인정보보호법」, 한국수력원자력 「정보보안업무 세부운용지침」,「비밀세부분류지침」,「기술정보관리 지침」,「용역사업 보안관리 지침」등 관련 법령 및 규정에 따른다.

[별표 1] 계약상대자 등 보안위규 처리기준

계약상대자 등 보안위규 처리기준

□ 한수원 사내 상주하거나, 한수원 정보시스템을 이용하는 시설 및 설비를 대상으로 함

구 분	위 규 사 항	처 리 기 준
심 각	1. 비밀 및 대외비 급 정보 유출 및 유출시도 가. 정보시스템에 대한 구조, 데이터베이스 등의 정보 유출 나. 개인정보·신상정보 목록 유출 다. 비공개 항공사진·공간정보 등 비공개 정보 유출 라. 원전 설계도면 등 주요 도면 유출 2. 정보시스템에 대한 불법적 행위 가. 관련 시스템에 대한 해킹 및 해킹시도 나. 시스템 구축 결과물에 대한 외부 유출 다. 시스템 내 인위적인 악성코드 유포	◦위규자의 한수원 사업 참여 제한 ◦위규자 및 직속 감독자 등 징계 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시
중 대	1. 비공개(누출금지 대상정보) 정보 관리 소홀 가. 비공개 정보를 책상 위 등에 방치 나. 비공개 정보를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 다. 개인정보․신상정보 목록을 책상 위 등에 방치 라. 기타 비공개 정보에 대한 관리소홀 2. 사무실ㆍ보호구역 보안관리 허술 가. 통제․제한구역 출입문을 개방한 채 퇴근 나. 인가되지 않은 작업자의 한수원 정보시스템 접근 다. 통제․제한구역 내 장비·시설 등 무단 사진촬영 3. 전산정보 보호대책 부실 가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반 나. 웹하드·P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신 다. 개발·유지보수 시 비인가 원격작업 사용 라. 저장된 비공개 정보 패스워드 미부여 마. 인터넷망 연결 PC 하드디스크에 비공개 정보를 저장 바. 외부용 PC를 업무망에 무단 연결 사용 사. 보안관련 프로그램 강제 삭제 아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)	◦위규자 및 직속 감독자 등 징계 ◦재발 방지를 위한 조치계획 제출 ◦위규자 대상 특별보안교육 실시

구 분	위 규 사 항	처 리 기 준
보 통	1. 당사 제공 중요정책ㆍ민감 자료 관리 소홀 가. 주요 현안ㆍ보고 자료를 책상 위 등에 방치 나. 정책ㆍ현안자료를 휴지통ㆍ폐지함 등에 유기 또는 이면지 활용 2. 사무실 보안관리 부실 가. 캐비닛ㆍ서류함ㆍ책상 등을 개방한 채 퇴근 나. 출입키를 책상 위 등에 방치 3. 보호구역 관리 소홀 가. 통제ㆍ제한구역 출입문을 개방한 채 근무 나. 보호구역내 비인가자 출입허용 등 통제 미실시 4. 전산정보 보호대책 부실 가. 휴대용저장매체를 서랍ㆍ책상 위 등에 방치한 채 퇴근 나. 비인가 메신저 무단 사용 다. PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근 라. 부팅ㆍ화면보호 패스워드 미부여 또는 “1111” 단순숫자 부여 마. PC 비밀번호를 모니터 옆 등 외부에 노출 바. 비인가 보조기억매체 무단 사용	◦위규자 및 직속 감독자 사유서 / 경위서 징구 ◦위규자 대상 특별보안교육 실시
경 미	1. 업무 관련서류 관리 소홀 가. 진행 중인 업무자료를 책상 등에 방치, 퇴근 나. 복사기ㆍ인쇄기 위에 서류 방치 2. 전산정보 보호대책 부실 가. PC내 보안성이 검증되지 않은 프로그램 사용 나. 보안관련 소프트웨어의 주기적 점검 위반	◦ 위규자 서면ㆍ구두 경고 등 문책 ◦ 위규자 사유서 / 경위서 징구

[별표 2] 보안 위약금 부과 기준

보안 위약금 부과 기준

구분	위규 수준
	A급	B급	C급	D급
위규	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
위약금 비중	부정당업자 등록 계약금의 5% 이하	계약금의 5% 이하	계약금의 2.5% 이하	계약금의 0.25% 이하

* 위규 수준은 [별표 1] 참고

* 계약상대자가 한수원과 다수의 계약을 맺고 있는 경우에는 직접 위규사항이 발생한 계약을        대상으로 한다.