과 업 지 시 서
사 업 명	주요정보통신기반시설 취약점 분석 평가 및 정보보호관리체계(ISMS) 구축
2016. 7.
동아대학교병원

목   차

Ⅰ. 사업 안내	3

1. 사업개요	3

2. 추진배경 및 필요성	3

3. 사업범위	3

4. 기대효과	4

Ⅱ. 사업추진 방안	4

1. 추진 방향 및 전략	4

2. 추진체계 및 역할	4

3. 추진일정	5

Ⅲ. 과업 내용	6

1. 상세 요구사항	6

Ⅳ. 일반사항	11

1. 입찰 관련 정보	11

Ⅰ		사업 안내

1. 사업개요

❍ 사 업 명 : 주요정보통신기반시설 취약점 분석 평가 및 정보보호관리

체계(ISMS) 구축

❍ 사업기간 : 계약일로부터 5개월

2. 추진배경 및 필요성

❍ 「정보통신기반 보호법」제9조 및 동법 시행령 제17조에 따른 주요정보통신기반시설에 대한 취약점을 분석·평가하여 동아대학교병원 정보통신기반시설의 보안성 및 안전성을 제고하기 위함

❍ 지속적으로 발생하는 사이버 침해사고로부터 동아대학교병원 주요정보통신기반시설에 대한 지속적이고 체계적인 보안 강화

3. 사업 범위

❍ 취약점 분석·평가를 통한 정보보호 대책 수립

주요정보통신기반시설 취약점 분석 및 평가

관리적, 물리적, 기술적 취약점 점검 및 보호대책 수립

❍ 동아대학교병원 홈페이지 및 EMR시스템에 대한 정보보호관리체계(ISMS) 구축

- 정보보호 관리체계 현황 및 미비점 분석

- 정보보호 관리체계 인증 모의심사 수행 등 심사준비 등

- 정보보안 교육

4. 기대효과

❍ 주요정보통신기반시설에 대한 잠재적인 정보보안 위험요소 감소

- 전문 보안컨설팅 업체를 통한 객관적 정보보호 수준 진단으로

자체 보안점검의 한계점 보완

- 종합적인 취약점을 개선하여 안정적 서비스 제공

❍ 정보보호 관리체계 구축을 통한 동아대학교병원 운영 신뢰도 향상

❍ 모의훈련을 통한 사이버위기 대응능력 강화

❍ 임직원 교육을 통한 정보보호 의식수준 향상

Ⅱ		사업추진 방안

1. 추진 방향 및 전략

❍ 주요정보통신기반시설에 대한 정보보호 강화 대책 마련을 통해 안정적인 서비스 제공

❍ 최신 정보보호 기술, 국내․외 표준, 정보보호 관리체계 인증 기준 반영을 통한 동아대학교병원 정보보호 관리체계 수준 향상

2. 추진체계 및 역할

❍ 추진체계

		동아대학교병원
		의료정보센터
시스템 및 홈페이지 운영부서				사업자

❍ 조직별 역할

조직 구분	수행내용
의료정보센터	- 취약점 분석․평가를 위한 세부시행계획 수립 - 사업이행사항 및 산출물 검토 등 사업관리 등
시스템 및 홈페이지 운영부서	- 취약점 분석평가 지원 및 발견된 취약점 조치 등
사업자 (사업수행)	- 취약점 분석․평가 사업수행 - 정보보호 관리체계 인증 모의심사 및 증적자료 확인 - 사업실적, 진도관리 및 보고, 산출물 관리 등

3. 추진일정

구 분	7월		8월		9월		10월		11월		12월
○ 계획수립/요구사항 분석 - 추진일정 및 진단계획 - 사업관리 및 품질관리 계획
○ 정보자산 식별 등 현황 분석 ○ 취약점 분석 및 모의해킹
○ 주요정보통신기반시설 관리체계 진단 ○ 정책/지침/운영절차 점검 ○ 주요정보통신기반시설 보호대책 수립
○ 정보보호관리체계(ISMS) 구축 ○ 통제평가, 위험평가, 보호대책서 작성
○ 기술이전 및 교육			착수보고					교육			완료보고

✽ 상세 일정은 구축 시 협의에 의하여 변경 가능

Ⅲ		과업 내용

1. 상세 요구사항

❍ 컨설팅 요구사항

요구사항 고유번호		CSR-001
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 사업 수행 계획 수립
	세부내용	❍ 사업 수행에 대한 전반적인 계획 수립 - 사업 수행 방법 및 내용 제시 - 세부 과업 별 수행 범위, 내용, 일정 제시 - 투입 인력 별 역할 제시 - 정기(주/월간) 비정기 보고 방안 제시 - 교육훈련에 대한 내용 및 방법 제시
산출 정보		❍ 사업수행계획서

요구사항 고유번호		CSR-002
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 주요정보통신기반시설 취약점 점검 계획 수립
	세부내용	❍ 취약점 분석 평가 과업을 위한 세부 계획 수립 - 취약점 분석․평가 수행 절차 제시 - 현황 및 위험 평가 분석 방안 제시 - 관리적/물리적/기술적 취약점 진단 항목 및 방법 제시 - 취약점 분석․평가 관련 산출물 제시
산출 정보		❍ 취약점 분석·평가 계획서

요구사항 고유번호		CSR-003
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 주요정보통신기반시설 취약점 진단 범위 조정
	세부내용	❍ 취약점 점검 수행 중, 진단시설 범위에 대한 확대 또는 축소가 필요할 경우 가/감에 대한 조정(안) 수립 - 자원 증감 내역 분석 - 최초 지정 현황 대비 변경 조정 현황 파악
산출 정보		❍ 자원 증감 분석 보고서

요구사항 고유번호		CSR-004
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 주요정보통신기반시설 자산 분류 및 중요도 평가
	세부내용	❍ 주요정보통신기반시설 자산을 식별하고 그룹화하여, 취약점 분석‧평가 대상목록 작성 - 자산 분류 기준 제시 - 자산 중요도 평가 기준 제시 - 자산에 대한 중요도 산정 ※ 자산 분류시 시스템의 위험성을 분석하여 자산의 중요도 작성
산출 정보		❍ 자산분류보고서

요구사항 고유번호		CSR-005
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 주요정보통신기반시설 항목별 위험도 산정 및 조치대상 분류
	세부내용	❍ 각 취약점 점검항목별 위험도 산정 및 우선 조치대상 분류 - 자산 위험도 평가 세부 방법 정의 - 잠재 위험 수준 평가 결과 도출 ※ 위험도 산정 과정 중, ‘위험수용’으로 분류하는 취약점에 대해서는 객관적인 사유를 반드시 확보 후 분류 ※ 위험도 수치가 낮으므로 위험수용으로 분류하는 식의 단순 분류를 금지
산출 정보		❍ 위험분석․평가 보고서

요구사항 고유번호		CSR-006
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 주요정보통신기반시설 취약점 분석․평가
	세부내용	❍ 『보건복지부 취약점 분석․평가 가이드라인』 424개 항목을 대상으로 관리적/물리적/기술적 분야에 대한 취약점을 진단 - 담당자 인터뷰, 실사 등의 방법으로 진단 수행 - 점검 항목에 대한 상세 진단결과 및 개선방안 제시)
산출 정보		❍ 관리적/물리적/기술적 분야 진단 보고서 ❍ 취약점 분석․평가 결과 보고서

요구사항 고유번호		CSR-007
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 주요정보통신기반시설 취약점 조치방안 수립
	세부내용	❍ 취약점 제거 및 경감방안에 대하여 세부 개선방안 수립 - 각 점검항목별 세부 조치 방법 도출 - 서비스에 대한 실질적인 조치방안 제시
산출 정보		❍ 취약점 보호 대책 명세서 ❍ 취약점 제거 가이드

요구사항 고유번호		CSR-008
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 주요정보통신기반시설 보호대책(안) 작성
	세부내용	❍ 『주요정보통신기반시설 보호대책 수립 지침』에 따라 기반시설에 대한 차년도 보호대책(안) 작성 - 16년도 현황 및 분석 결과 도출 - 차년도 정보보호 추진 세부 계획 수립 - 운영에 관련한 정기/비정기적 추진 업무 세부 내역 명시 - 침해사고 예방을 위한 과제별 예방 계획 수립
산출 정보		❍ 주요정보통신기반시설 보호대책(안)

요구사항 고유번호		CSR-009
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 주요정보통신기반시설 웹어플리케이션, 모의해킹 취약점 진단
	세부내용	❍ 동아대학교병원 서비스에 대한 수작업 점검 실시 - 진단을 위한 세부 시나리오 작성 - 주요정보통신기반 웹 취약점 분석 항목 및 OWASP 10대 취약점 활용 - 각 취약 항목 별 결과 도출 및 대응방안 제시
산출 정보		❍ 웹어플리케이션, 모의해킹 진단 결과 보고서

요구사항 고유번호		CSR-010
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 정보보호관리체계(ISMS) 정보보호 수준 분석
	세부내용	❍ 정보보호(ISMS) 현황 분석 - 정보보호관리과정(5단계, 12개 통제사항), 정보보호대책(13개 분야, 92개 통제사항)에 대한 현황 파악 - 현황 파악 후 미비점에 대한 보완 및 개선 계획 마련 ※ 진단범위 : 진단범위는 구축시 상세협의
산출 정보		❍ 정보보호관리체계(ISMS) 정보보호 수준 분석서 ❍ 정보보호관리체계 명세서

요구사항 고유번호		CSR-011
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 정보보호관리체계(ISMS) 표준 모형 및 문서 제․개정
	세부내용	❍ 정보보호관리체계 보안 운영 표준 분석 및 개선사항 반영 - 관련 법규, 지침 등을 기준으로 반영이 필요한 항목 개정 실시 - 개정 사유, 대상, 기준등에 대한 세부 내용 도출
산출 정보		❍ 정보보호관리체계(ISMS) 보안 운영 표준 문서 제․개정(안)

요구사항 고유번호		CSR-012
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 정보보호관리체계(ISMS) 인증 심사 지원 등
	세부내용	❍ 정보보호관리체계 인증을 위한 인증 본심사 지원(9월 중 신청) - KISA 정보보호관리체계 인증신청서 양식을 활용하여 신청서 작성 ※ 인증 심사비는 사업자 부담 사항이 아님
산출 정보		❍ 인증 심사 신청서

요구사항 고유번호		CSR-013
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 정보보호관리체계(ISMS) 결함 보완 지원
	세부내용	❍ 심사를 통해 도출된 결함에 대한 보완 - 정보보호관리체계(ISMS) 인증 심사의 결함사항 보완에 대한 조치 가이드
산출 정보

요구사항 고유번호		CSR-014
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 사이버 침해 대응 모의훈련
	세부내용	❍ 디도스(DDoS) 대응 모의 훈련 실시 - DDoS 전용장비를 활용하여 다양한 공격 패턴에 의해 모의훈련 실시 - 모의훈련 결과 분석을 통한 침해사고 예방대책 마련
산출 정보		❍ 모의훈련 계획서, 결과보고서

요구사항 고유번호		CSR-015
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 정보보호관리체계(ISMS) 인증 유지 방안 수립
	세부내용	❍ 정보보호관리체계 인증 유지 방안 수립 - 사후관리심사를 위한 필요사항 정의 - 정보보호관리체계의 지속적인 유지를 위한 관리방법 제시
산출 정보		❍ 정보보호관리체계(ISMS) 인증 유지 관리 가이드

요구사항 고유번호		CSR-016
요구사항 분류		❍ 컨설팅 요구사항
요구사항 상세설명	정의	❍ 정보보안 인식제고 교육
	세부내용	❍ 임직원 보안인식 제고를 위한 보안교육 실시 - 교육대상 및 내용, 일정은 담당자와 협의하여 진행.
산출 정보		❍ 정보보안 교육자료

Ⅳ		일반사항

1. 입찰 관련 정보

가. 입찰 참가 자격

❍ 국가를 당사자로 하는 계약에 관한 법률 시행령 제12조 및 동법 시행규칙 제14조에 따라 경쟁입찰 참가자격을 갖춘 자

❍ 정보통신기반 보호법 제9조(취약점의 분석․평가) 3항 및 “정보보호산업의 진흥에 관한 법률” 제23조에 따라 지정된 정보보호 전문서비스기업