정보보호관리체계 (ISMS) 인증 유지 건설팅 과 업 지 시 서
2018. 07
고신대학교복음병원

목   차

Ⅰ. 사업 안내	3

1. 사업개요	3

2. 추진배경 및 필요성	3

3. 사업범위	3

4. 기대효과	5

Ⅱ. 사업추진 방안	6

1. 추진 방향 및 전략	6

2. 추진체계 및 역할	6

3. 추진일정	7

Ⅲ. 과업 내용	8

1. 상세 요구사항	8

1-1. 컨설팅 요구사항	8

1-2. 보안 요구사항	10

1-3. 제약 요구사항	11

1-4. 프로젝트 관리 요구사항	12

1-5. 프로젝트 지원 요구사항	13

Ⅰ		사업 안내

1. 사업개요

❍ 사 업 명 : 정보보호관리체계(ISMS) 인증 유지 컨설팅

❍ 사업기간 : 계약체결일로부터 6주(인증지원 일정은 협의후 결정)

2. 추진배경 및 필요성

❍ 정보통신망 이용촉진 및 정보보호 등에 관한 법률(이하 ‘정보통신망법’) 제 47조(정보보호관리체계의 인증) 기준에 따른 종합적인 보호대책 수립과 인증획득 및 유지 필요

❍ 조직 내·외부 위협 요소의 변화 또는 새로운 취약점 발견 등에 대응하기 위하여 지속적 유지관리가 필요

❍ 사후인증 심사

3. 사업 범위

❍ 정보보호관리체계(ISMS) 수립

정보보호 현황분석 및 위험분석

정보보호 계획수립 및 정보보호 정책 ․ 지침 ․ 절차 정비

정보보호관리체계(ISMS) 인증에 적합한 정보보안 관리방안 수립

❍ 시스템 보안취약점 진단

서버/네트워크 취약점 진단 및 분석

모의해킹 시도 및 대응방안 제시

정보보안 가이드 및 이행 방안 제시

❍ 홈페이지 및 OCS 시스템에 대한 정보보호관리체계(ISMS)구축

- 정보보호 관리체계 현황 및 미비점 분석

- 정보보호 관리체계 인증 모의심사 수행 등 심사준비 등

- 정보보호관리체계(ISMS) 운영지원

- 인증심사 사전 준비 및 심사 결함 사항 상주 지원

- 정보보안 교육

❍ 조직 및 정보시스템현황

구 분	세부내역	비 고
대상조직 및 직원	4개부서, 100여명	전산과, 의무기록실. 총무부, 홍보실
시스템 정보	서버시스템(30대)
	네트워크장비(80대)
	보안시스템(3대)
	DBMS(3식)

* 2018.04.30 현재 병원 전체 시스템현황으로 타기관 연동시스템 및 인증범위에서 제외되는 시스템 등이 포함되어 실제 수량은 조정될 수 있음.

❍ 웹취약점 점검대상

홈페이지명	URL	비고
고신대학교복음병원(대표 홈페이지)	www.kosinmed.or.kr
고신대병원복음병원 진료의뢰센터	refer.kosinmed.or.kr
고신대병원복음병원 건강증진센터	hpc.kosinmed.or.kr
고신대병원복음병원 연보	annual.kosinmed.or.kr
고신대병원복음병원 의학도서관	lib.kosinmed.or.kr
고신대병원복음병원 사이버연수원	study.kosinmed.or.kr
고신대병원복음병원 임상시험센터	www.eirbkugh.co.kr

4. 기대효과

❍ 홈페이지 및 OCS 시스템에 대한 잠재적인 정보보안 위험요소 감소

- 전문 보안컨설팅 업체를 통한 객관적 정보보호 수준 진단으로

자체 보안점검의 한계점 보완

- 종합적인 취약점을 개선하여 안정적 서비스 제공

❍ 정보보호 관리체계 구축을 통한 고신대학교복음병원 운영 신뢰도 향상

❍ 모의훈련을 통한 사이버위기 대응능력 강화

❍ 임직원 교육을 통한 정보보호 의식수준 향상

Ⅱ		사업추진 방안

1. 추진 방향 및 전략

❍ 정보보호관리체계(ISMS) 인증유지를 통해 본원의 정보자산에 대한 비밀성·무결성·가용성을 향상시키고 시스템의 안정적인 서비스 제공

❍ 최신 정보보호 기술, 국내․외 표준, 정보보호 관리체계 인증 기준 반영을 통한 고신대학교복음병원 정보보호 관리체계 수준 향상

❍ 정보보안의 일회성 관리 및 부분적 보안이 아닌 지속적 관리·운영을

위한 예방중심의 정보보호관리체계(ISMS) 구축

2. 추진체계 및 역할

❍ 추진체계

		고신대학교복음병원
시스템 및 홈페이지 운영부서				사업자

❍ 조직별 역할

조직 구분	수행내용
시스템 및 홈페이지 운영부서	정보보호관리체계 관련 자산 및 조직 범위 파악 - 사업이행사항 및 산출물 검토 등 사업관리 - 보안현황분석 및 위험분석 지원 및 발견된 취약점 조치 정보보호관리체계 운영 등
사업자 (사업수행)	- 정보보호관리체계 인증 유지사업 수행 - 정보보호관리체계 인증 모의심사 및 증적자료 확인 - 사업실적, 진도관리 및 보고, 산출물 관리 등

3. 추진일정

추진구분	추진항목	사업 기간						인증심사 및 심사결과시점
		M				M+2
정보보호 관리체계 구축 및 운영	정보보호관리체계 구축 용역 수행
	정보보호관리체계 인증심사 대비 점검 및 증적 운영
정보보호 관리체계 인증 심사	정보보호관리체계 인증 신청(사후심사)
	인증심사 보완조치 및 인증서 유지

✽ 단, 사업진행에 따라 일정이 조정될 수 있음

Ⅲ		과업 내용

1. 상세 요구사항

❍ 컨설팅 요구사항(ConSulting Requirement)

요구사항 고유번호		CSR-001
요구사항 상세설명	정의	❍ 사업 수행 계획 수립 및 인증범위 정의
	세부내용	❍ 사업 수행에 대한 전반적인 계획 수립 - 사업 수행 방법 및 내용 제시 - 세부 과업 별 수행 범위, 내용, 일정 제시 - 투입 인력 별 역할 제시 - 교육훈련에 대한 내용 및 방법 제시
산출 정보		❍ 사업수행계획서

요구사항 고유번호		CSR-002
요구사항 상세설명	정의	❍ 정보보호관리체계(ISMS) 인증 컨설팅 수행 계획 수립
	세부내용	❍ 정보보호관리체계 구축 과업을 위한 세부 계획 수립 - 정보보호관리체계 구축 수행 절차 제시 - 현황 및 위험 평가 분석 방안 제시 - 관리적/물리적/기술적 취약점 진단 항목 및 방법 제시 - 정보보호관리체계 구축 관련 산출물 제시
산출 정보		❍ 정보보호관리체계 인증 컨설팅 수행 계획서

요구사항 고유번호		CSR-003
요구사항 상세설명	정의	❍ 정보보호관리체계(ISMS) 자산 분류 및 중요도 평가
	세부내용	❍ 정보보호관리체계 자산을 식별하고 그룹화하여, 취약점 분석‧평가 자산분석 대상목록 작성 - 자산 분류 기준 제시 - 자산 중요도 평가 기준 제시 - 자산에 대한 중요도 산정 ※ 자산 분류시 시스템의 위험성을 분석하여 자산의 중요도 작성
산출 정보		❍ 자산 분석 보고서

요구사항 고유번호		CSR-004
요구사항 상세설명	정의	❍ 정보보호관리체계(ISMS) 위험 조치방안 수립
	세부내용	❍ 취약점 제거 및 경감방안에 대하여 세부 개선방안 수립 - 각 점검항목별 세부 조치 방법 도출 - 서비스에 대한 실질적인 조치방안 제시
산출 정보		❍ 취약점 개선 가이드

요구사항 고유번호		CSR-005
요구사항 상세설명	정의	❍ 정보보호관리체계(ISMS) 웹어플리케이션, 모의해킹 취약점 진단
	세부내용	❍ 고신대학교복음병원 서비스에 대한 수작업 점검 실시 - 진단을 위한 세부 시나리오 작성 - 웹 취약점 분석 항목 및 OWASP 10대 취약점 활용 - 각 취약 항목 별 결과 도출 및 대응방안 제시
산출 정보		❍ 웹어플리케이션, 모의해킹 진단 결과 보고서

요구사항 고유번호		CSR-006
요구사항 상세설명	정의	❍ 정보보호관리체계(ISMS) 정보보호 수준 분석
	세부내용	❍ 정보보호(ISMS) 현황 분석 - 정보보호관리과정(5단계, 12개 통제사항), 정보보호대책(13개 분야, 92개 통제사항)에 대한 현황 파악 - 현황 파악 후 미비점에 대한 보완 및 개선 계획 마련 ※ 진단범위 : 진단범위는 구축시 상세협의
산출 정보		❍ 정보보호관리체계(ISMS) 정보보호 수준 분석서 ❍ 정보보호관리체계 운영 명세서

요구사항 고유번호		CSR-007
요구사항 상세설명	정의	❍ 정보보호관리체계(ISMS) 표준 모형 및 문서 제․개정
	세부내용	❍ 정보보호관리체계 보안 운영 표준 분석 및 개선사항 반영 - 관련 법규, 지침 등을 기준으로 반영이 필요한 항목 개정 실시 - 개정 사유, 대상, 기준등에 대한 세부 내용 도출
산출 정보		❍ 정보보호관리체계(ISMS) 보안 운영 표준 문서 제․개정(안)

요구사항 고유번호		CSR-008
요구사항 상세설명	정의	❍ 정보보호관리체계(ISMS) 결함 보완 지원
	세부내용	❍ 심사를 통해 도출된 결함에 대한 보완 - 정보보호관리체계(ISMS) 인증 심사의 결함사항 보완에 대한 조치 가이드
산출 정보		❍ 정보보호관리체계(ISMS) 인증심사 결함 보완 조치 가이드

요구사항 고유번호		CSR-009
요구사항 상세설명	정의	❍ 정보보안 인식제고 교육
	세부내용	❍ 임직원 보안인식 제고를 위한 보안교육 실시 - 교육대상 및 내용, 일정은 담당자와 협의하여 진행
산출 정보		❍ 정보보안 교육자료

요구사항 고유번호		SER-001
요구사항 상세설명	정의	❍ 사업수행시 보안준수
	세부내용	❍ 본원의 보안업무 규정 및 행자부 “정보화용역사업 보안관리 매뉴얼”에 의거 보안사항을 준수하여야 함

❍ 보안 요구사항(SEcurity Requirement)

요구사항 고유번호		SER-002
요구사항 상세설명	정의	❍ 사업 종료시 보안사항
	세부내용	❍ 용역사업 종료 시 사업관련 모든 자료를 반납하고 정보보안담당자 입회하에 복구가 불가능 하도록 완전삭제 등의 보안조치를 한 후 휴대용 저장매체 관리대장을 작성 하여야 하며, 사업 관련 자료를 보유하고 있지 않다는 대표자 명의의 보안확약서를 제출하여야 함

요구사항 고유번호		COR-001
요구사항 상세설명	정의	❍ 수행업체 및 수행인력 제한
	세부내용	❍ 입찰공고일 기준 3년 이내 정보보호관리체계(ISMS) 인증 컨설팅 수행 실적이 있는 업체 ❍ 인력투입 조건 - 재직증명을 위한 4대 보험에 가입한 증빙자료를 제출, 자사 재직증명서 또는 경력증명서는 인정하지 않음 - 투입인력은 반드시 낙찰사 소속이어야 하며 사업기간 동안 상주하여야 함

❍ 제약사항(COnstraint Requirement)

요구사항 고유번호		COR-002
요구사항 상세설명	정의	❍ 컨소시엄 및 하도급 불가
	세부내용	❍ 본 사업은 컨소시엄 구성 및 하도급을 허용하지 않음

요구사항 고유번호		COR-003
요구사항 상세설명	정의	❍ 지적재산권 귀속
	세부내용	❍ 당해 계약에 따른 계약목적물에 대한 지식재산권은 본원이 소유함

요구사항 고유번호		COR-004
요구사항 상세설명	정의	❍ 데이터 수집·관리 시 제약사항
	세부내용	❍ 필요시 본 사업관련 저작권, 사용권, 특허 등에 대해 일체의 하자가 없도록 사전에 면밀히 분석하여 해결하여야 하며 문제발생 시 제반 비용을 포함한 모든 책임을 져야 함

요구사항 고유번호		PMR-001
요구사항 상세설명	정의	❍ 컨설턴트 인력 요구사항
	세부내용	❍ 수행기간 6주 ❍ 고급(PM) 2M/M, 중급 2M/M, 초급 2M/M (단. 등급별 투입공수는 협의에 의해 조정 가능하나, PM은 고급이상 인력으로 1M/M 이상 상주)

❍ 프로젝트 관리 요구사항(Project Mgmt. Requirement)

요구사항 고유번호		PMR-002
요구사항 상세설명	정의	❍ 과업 요구사항 관리
	세부내용	❍ 과업지시서에 명시된 모든 항목은 최소한의 사항만을 규정하였으므로 상세히 기술되지 않았거나 누락된 사항에 대하여 ‘낙찰사’는 운영상 문제가 발생하지 않도록 사전 조치를 하여야 함 ❍ 본 과업지시서 상에 명시된 사항 중 해석상의 이견이 있을 경우에는 본원과 ‘낙찰사’간에 상호 협의하여 조정함 ❍ 본원은 계약내용 전부에 대하여 권리행사를 할 수 있으며, ‘낙찰사’는 이에 대하여 전적으로 동의하여야 함 ❍ ‘낙찰사’는 공급하는 제품의 품질에 대하여 최종적인 책임을 져야 하며, 기술환경 및 기타사정 등으로 인하여 일부사업의 내용 및 범위 등의 변경이 필요한 경우에는 쌍방의 협의 하에 조정할 수 있음

요구사항 고유번호		PMR-003
요구사항 상세설명	정의	❍ 프로젝트 일정관리
	세부내용	❍ ‘낙찰사’는 사업추진과정에서 생산되는 제반 작업 단위별 산출물에 대하여 작업 일정계획 및 품질보증계획과 연계하여 산출물의 종류, 주요내용, 작성 및 제출시기, 제출 부수 등 제시 ❍ 컨설팅 결과물, 보고서등 산출물 전체 : 출력물 2부, CD 2매 ❍ 정보보호규정, 지침 및 ISMS 인증심사에 필요한 증적자료 등

○ 프로젝트 지원 요구사항(Project Support Requirement)

요구사항 고유번호		PSR-001
요구사항 상세설명	정의	❍ 교육 및 기술이전
	세부내용	❍ ‘낙찰사’는 정보보호 관리체계 구축 컨설팅이 본원의 업무 담당자 및 관련 담당자에게 이전될 수 있도록 이에 필요한 교육을 실시하여야 하며, 교육은 업무 담당자들이 완전히 이해하여 활용할 수 있도록 충분히 이루어져야 함 ❍ ‘낙찰사‘는 취약점 및 차후 ISMS 인증심사에 대비하여 상시 이력관리가 가능한 취약점관리시스템이 제공되어야 한다

요구사항 고유번호		PSR-002
요구사항 상세설명	정의	❍ 하자 유지보수
	세부내용	❍ ISMS 심사 결함사항 지원 ⚪ ISMS 인증 사후심사에서 보완 및 개선사항이 나왔을때 인증심사를 지원하여야 한다. ⚪