소프트웨어사업 영향평가 가이드라인 (2018)

 뉴딜코리아 홈페이지 

□ 소프트웨어사업 영향평가 개요

국가기관 등에서 소프트웨어사업의 예산편성, 발주, 소프트웨어 배포 및 서비스 제공을 추진하는 경우 민간시장 침해 등 소프트웨어 산업 생태계에 미치는 영향을 검토하여 사전 조정하는 제도

Ⅰ. 소프트웨어사업 영향평가 개요 5
  1. 소프트웨어사업 영향평가 제도 6
  2. 소프트웨어사업 영향평가 체계 10

Ⅱ. 소프트웨어사업 영향평가 수행 13
  1. 평가 기준 14
  2. 평가 방법 15
  3. 평가 시기 및 절차 17

Ⅲ. 소프트웨어사업 영향평가 검토결과서 작성방법 19
  1. 평가단계 및 활동 20
  2. 단계별 세부 내용 22
   1단계. 기본정보 22
   2단계. 운영계획 26
   3단계. 민간소프트웨어 시장 침해 가능성 확인 28
   4단계. 사업의 필요성·공공성 검토 30
  5단계. 종합의견 작성 33

붙임 35
 1. 소프트웨어사업 영향평가 관련 법령 36
 2. 검토결과서 작성 예시
  (민간시장 침해 가능성 없음) 39
 3. 검토결과서 작성 예시
  (민간시장 침해 가능성 최소화하여 사업 추진) 47

부록 53

질의 및 응답(Q&A) 54

☎ 첨부파일 : 소프트웨어사업 영향평가 가이드라인 (2018) 

컨설팅 : ISMS, ISO27001  GDPR,PCI-DSS 

취약점 진단 및 모의 침투

보안솔루션 공급
070-7867-3721, ismsbok@gmail.com

 

개인정보 영향평가 수행 안내서 (2018. 04)

 뉴딜코리아 홈페이지 

개인정보 영향평가 수행 안내서

(2018. 04)

◈ 개인정보 영향평가 개요

1. 개념

○ 개인정보 영향평가 (이하 영향평가 )

- 개인정보파일을 운용하는 새로운 정보시스템의 도입이나 기존에 운영 중인 개인정보 처리시스템의 중대한 변경 시

- 시스템의 구축?운영?변경 등이 개인정보에 미치는 영향(impact)을 사전에 조사/예측/검토하여 개선방안을 도출하는 체계적인 절차

2. 목적 및 필요성
개인정보 처리가 수반되는 사업 추진시 해당 사업이 개인정보에 미치는 영향을 사전에 분석하고 이에 대한 개선방안을 수립하여 개인정보 침해사고를 사전에 예방


3. 평가 대상
일정규모 이상의 개인정보를 전자적으로 처리하는 개인정보파일을 구축운영 또는 변경하려는 공공기관은  개인정보 보호법 이하 ( “법”이라 한다 제33조 및 ?개인정보 보호법 시행령? (이하 “영”이라 한다) 제35조에 근거하여 영향평가를 수행

- (5만명 조건) 5만명 이상의 정보주체의 민감정보 또는 고유식별정보의 처리가 수반되는 개인정보파일

- (50만명 조건)해당 공공기관의 내부 또는 외부의 다른 개인정보파일과 연계하려는 경우로서, 연계 결과 정보주체의 수가 50만 명 이상인 개인정보파일

- (100만명 조건) 100만 명 이상의 정보주체 수를 포함하고 있는 개인정보파일
※ 현시점 기준으로 영향평가 대상은 아니나 가까운 시점(1년 이내)에 정보주체의 수가 기준을 초과할 것이 확실한 경우 영향평가를 수행할 것을 권고

- (변경 시) 영제35조에 근거하여 영향평가를 실시한 기관이 개인정보 검색체계 등 개인정보파일의 운용체계를 변경하려는 경우, 변경된 부분에 대해서는 영향평가를 실시
※ 법령상 규정된 대상시스템이 아니더라도 대량의 개인정보나 민감한 개인정보를 수집 이용하는 기관은 개인정보 유출 및 오 남용으로 인한 사회적 피해를 막기 위해 영향평가 수행 가능


4. 영향평가 평가 시기

1) 시스템을 신규 구축 또는 기존 시스템을 변경하는 경우
개인정보처리시스템을 신규로 구축 하거나 기존 시스템을 변경하려는 기관은 사업계획 단계에서 영향평가 의무대상 여부를 파악하여 예산을 확보한 후 대상 시스템의 설계 완료 전에 영향평가를 수행해야 함.

또한 영향평가 결과는 시스템 설계개발 시 반영해야 함(｢개인정보 영향평가에 관한 고시｣ 제9조의2)

2) 기 구축되어 운영 중인 시스템의 경우

○ 영향평가 유예기간은 ’16 9 , 년 월에 종료되었으므로 영향평가 의무 대상임에도 아직까지 영향평가를 수행하지 않은 경우 빠른 시일 내에 영향평가 수행 필요

○ 개인정보처리시스템을 기 구축 운영 중 아래의 경우 추가적으로 영향평가 수행 가능
- 수집 이용 및 관리상에 중대한 침해위험의 발생이 우려되는 경우
- 전반적인 개인정보 보호체계를 점검하여 개선하기 위한 경우


5. 평가 수행 주체
공공기관은 행정안전부장관이 지정한 영향평가기관에 평가를 의뢰하여 수행
※ 영향평가기관에 대한 정보는 개인정보보호 종합포털( www.privacy.go.kr )에서 확인 가능


6. 평가 수행 체계
영향평가는 행정안전부장관이 지정한 영향평가기관에 의뢰하여 영향평가를 수행하고 그 결과를 사업 완료 후 개월 이내에 행정안전부장관에게 제출 2 *

- 행정안전부장관은 개인정보보호위원회의 심의 의결을 거쳐 해당 사업에 대한 의견 제시 가능 ᛫
* 개인정보보호 종합지원시스템( http://intra.privacy.go.kr )에 등록

☞ 추가 내용은 첨부파일을 참고 바랍니다.

     ( http://cafe.naver.com/rapid7/3175 )

공공기관 개인정보 영향평가 수행 시 참고사항 (2016.07)

  뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2592

공공기관 개인정보 영향평가 수행 시 참고사항 (2016.07)

​

□ 관련 법규○ 개인정보 보호법 제33조(개인정보 영향평가)
○ 개인정보 보호법 시행령 제35조(개인정보 영향평가의 대상), 제36조
    (영향평가 시 고려사항), 제37조(평가기관의 지정 및 지정취소), 제38조
    (영향평가의 평가기준 등)
○ 개인정보 영향평가에 관한 고시 (행정자치부 고시 제2015-53호, 2015.12.31.)

□ 영향평가 개요○ (목적) 개인정보를 처리하는 시스템을 구축 또는 변경하는 경우 위험요인을 분석하고 개선사항을

    도출하여 개인정보 침해사고 예방
○ (대상) 개인정보 처리 시스템을 구축 또는 변경하려는 공공기관

           <영향평가 수행 대상 : 개인정보 보호법 시행령 제35조>         ▪ 5만 명 이상의 민감정보 또는 고유식별정보가 포함된 개인정보파일
         ▪ 공공기관 내부 또는 외부 개인정보파일과 연계 결과 50만 명 이상의 개인정보가 포함된

            개인정보파일
         ▪ 100만 명 이상의 개인정보가 포함된 개인정보파일
         ▪ 개인정보 검색체계 등 개인정보파일의 운용체계를 변경하는 경우, 변경된 부분

○ (평가기관) 행정자치부장관이 지정한 18개 기관
 ※ 개인정보보호 종합포털(www.privacy.go.kr) 사업자 > 개인정보 영향평가 > 영향평가 안내 > 

     평가기관목록에서 확인 가능

□ 영향평가 수행 시기○ 신규 시스템 구축 또는 기존 시스템 변경 시 시스템 분석․설계 단계
○ 시스템 운영 중 중대한 개인정보 침해위험 발생 우려 시
○ 개인정보 보호법 시행령 시행(2011.9.30.) 전 구축․운영 시스템은‘16.9.까지 수행
 ※ 개인정보 보호법 시행령(2011.9.30.) 부칙 제6조(개인정보 영향평가에 관한 경과조치) 참조

□ 영향평가 사업 담당자 유의사항○ 투입인력의 영향평가 수행 자격 확인(인증서 확인)
 ※ 「개인정보 영향평가에 관한 고시」에 따라 제5조에 따라 전문인력 인증을 받은 경우 영향평가

      수행 가능
○ 영향평가는 시스템 구축․운영 전 개인정보 침해 요인을 찾고,
이를 개선하여 개인정보 침해사고를 예방하는 것이 목적이므로
- 영향평가기관이 영향평가 사업 발주기관과 관련 시스템을 정확히 이해할 수 있도록 자료 제공 

   등에 적극 협조하고
- 기관과 시스템의 특성을 반영한 개선사항 도출 등 내실 있는 영향평가 사업이 될 수 있도록

   관리․감독 철저
○ 개인정보보호종합지원시스템(intra.privacy.go.kr)에 영향평가 결과 등록
- 영향평가서 : 사업 완료 후 2개월 이내
- 개선계획 이행점검 확인서 : 사업 완료 후 1년 이내

□ 참고자료○ 개인정보 영향평가 수행안내서
 ※ 개인정보보호 종합포털(www.privacy.go.kr) 사업자 > 개인정보 영향평가 > 영향평가 자료실에서

     다운로드 가능

○ 개인정보 영향평가 컨설팅

    뉴딜코리아 컨설팅사업부 (070-7867-3721, ismsbok@gmail.com)

개인정보보호 특화과정 교육 (무료)

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2553

안녕하십니까  !!!!

한국정보기술연구원에서 진행하는 개인정보보호 특화과정 교육 공유 드립니다

업무에 참고 바랍니다

감사합니다

뉴딜코리아 드림

교육신청 :

http://academy.kitri.re.kr/academy/job_education/job_application_view.web?hd_site_div=C&lv_pkid=396&lv_mm=0&lv_yyyy=2016&lv_choice=0

개인정보 영향평가 표준제안서의 대가 산정 모델

카페 > 뉴딜코리아 홈페이지 | 뉴딜코리아
http://cafe.naver.com/rapid7/2260

개인정보 영향평가 표준제안서의 대가 산정 모델

1. 개인정보 영향평가 대가 산정 기준

1.1. 용어 정의

<일반>

○ 개인정보 영향평가(이하"영향평가") : 「개인정보 보호법 시행령」(이하 “영) 제35조에 해당하는 개인정보파일의 운용에 따라 정보주체의 개인정보 침해가 우려되는 경우에 그 위험요인의 분석과 개선사항 도출을 위한 평가

○ 대상기관 : 영 제35조에 해당하는 개인정보파일을 구축·운용, 변경 또는 연계하려는 공공기관

○ 평가기관 : 공공기관의 영향평가를 수행하기 위하여 행정안전부장관이 지정한 기관

○ 대상시스템 : 영 제35조에 해당하는 개인정보파일을 구축·운용, 변경 또는 연계하려는 정보시스템

○ 개인정보 영향평가 수행실적(이하 "영향평가 수행실적") : 영 제37조제1항제1호에 따른 영향평가 업무 및 이와 유사한 업무, 정보보호 컨설팅 업무 등을 수행한 실적

<시스템 구분>
○ 운용시스템 : 현재 운영 중인 시스템

○ 구축시스템 : 새롭게 개발하려는(설계단계) 사업

○ 변경시스템 : 영향평가를 수행한 기존 운영시스템의 고도화(성능 개선)

<시스템 수량>
○ 단일시스템 : 한 개 시스템(을 대상으로 하는 영향평가 사업)

○ 복수시스템 : 통합발주사업(여러 개 단일시스템을 함께 발주한 영향평가 사업)

<기타>
○ 기본 인건비 : 개인정보 영향평가 고시에 따라 수행인력을 일반수행인력과 전문수행인력을 한팀으로 구성하여 영향평가 수행을 위한 기본 인력에 대한 인건비를 책정함. 이 경우 SW사업 대가 산정 가이드의 정보보안 컨설팅비 준용하여 21일을 1M/M으로 적용

○ 직접 인건비 : 개인정보 영향평가 수행을 위해 대상시스템의 서비스 특성을 고려하여 등급별 투입인력의 수와 수행기간에 따라 산정

○ 소프트웨어사업비 : 정보화전략계획 수립비를 포함한 IT컨설팅비, 소프트웨어 개발비, 소프트웨어 유지관리 및 운영비, 소프트웨어재개발비 등

○ 구축‧운용비 : 대상시스템을 구축‧운용하는 비용으로 DB 구입비

○ 가중치: 소프트웨어의 규모만으로는 사업의 정확한 소요비용을 산정하기 어려우므로, 대상시스템의 복잡성 요소 중 예산수립 또는 제안단계에서 파악 가능하고 정량화 가능한 요소들을 중심으로 도출하는 보정계수

○ 감면요소 : 개인정보 영향평가 시 대상 시스템의 종류, 사업비 등에서 감면될 수 있는 인자(변수)

○ 직접경비: 당해 소프트웨어사업에 소요되는 직접적인 비용을 의미하며, 엔지니어링사업 대가기준에서 정한 직접경비 항목 이외에 SW사업의 특성을 반영한 추가적으로 해당될 수 있음

○ 제경비: 직접비(직접인건비와 직접경비)에 포함되지 아니하고 소프트웨어사업자의 행정운영을 위한 기획, 경영, 총무 분야 등에서 발생하는 간접 경비로서 임원·서무·경리직원 등의 급여, 사무실비, 사무용 소모품비, 비품비, 기계기구의 수선 및 상각비, 통신운반비, 회의비, 공과금, 운영활동 비용 등 포함

※ 최대 직접인건비×110%

○ 기술료: 소프트웨어사업자가 개발·보유한 기술의 사용 및 기술축적을 위한 대가로서 조사연구비, 기술개발비, 기술훈련비 및 이윤 등 포함

※ 최대 (직접인건비+제경비)×20%

추가내용 첨부 파일 참고