한국지역정보개발원(KLID)

제안요청서(RFP) 

사 업 명	2026년 지자체 정보통신기반시설 정보보호 컨설팅
발주기관	한국지역정보개발원

2025. 12. 

사  업  책임자	한국지역정보개발원
	정보보호컨설팅부	부  장 황보선	TEL: 02-2031-9860	FAX : 02-2031-9801
		수  석 박대영	TEL: 02-2031-9863
		책  임 김준영	TEL: 02-2031-9872
		선  임 김선이	TEL: 02-2031-9867

목   차                                  Ⅰ. 개요     1. 사업개요                                                                      1       2. 추진배경 및 필요성                                                        1       3. 주요 사업 내용                                                              2       4. 기대효과                                                                      3       Ⅱ. 현황                                                                           4       Ⅲ. 사업 추진계획     1. 추진 목표                                                                    5       2. 추진 체계                                                                    6       3. 추진 일정                                                                    7       Ⅳ. 사업 추진내용     1. 지자체 주요정보통신기반시설 취약점 분석·평가                      8       2. 기초지자체 정보보호체계 진단                                          10     3. 지자체 정보보안 역량 강화                                              13       4. 공통 사항                                                                   13       5. 요구사항 정의 및 목록                                                   14       6. 상세 요구사항                                                              17       Ⅴ. 제안서 작성요령     1. 제안서의 효력                                                              67       2. 제안서 작성 권고사항(유의사항)                                        68       3. 제안서 목차                                                                70       Ⅵ. 제안 안내사항     1. 입찰방식                                                                    72       2. 제안서 평가방법                                                           74       3. 제안서 평가기준                                                           77       4. 설명회 및 제안서 제출안내                                              81       5. 입찰시 유의사항                                                           82       6. 제안서 보상안내                                                           82       Ⅶ. 기타 사항                                                                   83        <붙임1> 외주 용역사업 보안특약사항                                           84      <붙임2> 제안서 관련 서식                                                       85        [별표 1∼3] 용역수행업체 보안준수사항 및 사업자 보안위규 처리기준 등    99      [별첨 1∼6] 개인정보처리시스템 사업담당자 준수사항 및 법·제도 자가점검표 등   106

Ⅰ

개 요

�� 사업 개요 

  사 업 명 : 2026년 지자체 정보통신기반시설^* 정보보호 컨설팅 

     * 정보통신기반시설(이하 기반시설) : 주요정보통신기반시설** 및 지자체를 포함한 모든 시설을 지칭 

     ** 주요정보통신기반시설(이하 주요기반시설) : 행안부 소관 주요기반시설을 지칭 

  사업기간 : 계약 후로부터 2026. 12. 31. 까지 

  사업예산 : 7,400,603천원(VAT포함) 

  사업유형 : 행정안전부 및 자치단체 수탁사업 

  계약방식 : 일반경쟁입찰, 협상에 의한 계약 체결 

  주요 사업 내용 

   - 지자체 주요정보통신기반시설(이하 주요기반시설) 대상 체계적인 정보보호 활동(취약점 분석·평가, 조치지원 등)으로 국가 안전과 국민생활에 밀접한 중요시설의 안정성·신뢰성 확보에 기여 

   - 기초지자체 대상 사이버위협‧공격 대응 및 예방 활동 등 정보보호 컨설팅^*을 통한 기관의 정보보호 수준 제고 및 보안관리 역량 강화 

     * 해킹메일‧DDoS 모의훈련, 정보보안관리실태점검, 보안교육, 기술지원 등 

�� 추진배경 및 필요성 

  (공통) 사이버 위기 대응 모의훈련, 정보보호 교육을 통한 지자체 정보통신기반시설 담당자 보안역량 강화, 보안관리 수준 상향 도모 

  (주요기반시설 정보보호) 법적 의무사항^* 준수를 통한 정보보호체계 강화 

     * 취약점 분석 및 평가‧개선 도출, 발견된 취약점 조치, 보호대책 수립‧이행 등 

  (기초지자체 맞춤형 정보보호) 취약점 진단 등 기관의 환경 및 업무특성을 고려한 수요 맞춤형 정보보호 컨설팅으로 정보보안 수준 제고 

  (지자체 정보보호 역량 강화) 사이버침해 대응 훈련, 정보보호 교육 등 지자체 사이버위협 대응 역량 강화 

�� 주요 사업내용 

 가. 주요기반시설 취약점 분석‧평가 및 조치지원 등 

   관리·물리·기술 분야별(총 478개 항목) 취약점 분석, 평가 및 발견된 취약점에 대한 단계별 조치 지원(단기, 중·장기) 

   차년도(2027년) 보호대책서(안) 작성 및 행정안전부 제출(~8월) 지원 

   모의해킹(침투, 웹) 추진 및 사이버위기 대응 훈련 지원 

   보안담당자 대상 기술지원 및 정보보호 교육 

   지자체 주요기반시설 지정관리를 통한 보안 사각지대 해소 

 나. 지자체 등 정보보호체계 진단 컨설팅 제공 

   기관별 수요에 맞는 종합(관리‧물리‧기술)/분야별(기술) 취약점 진단 수행 및 조치‧이행 기술지원 

   모의해킹(침투, 웹) 및 사이버위협‧공격에 대한 대응 및 예방훈련(DDoS, 해킹메일)을 통한 대응체계 점검 및 환류 활동 지원 

   보안담당자 기술지원 및 정보보호 교육, 정보보호 인식 수준 제고 

 다. 지자체 정보보안 수준 제고를 위한 역량 강화 

   최신 사이버위협 유형을 분석하여 실질적 공격 대응 모의훈련 지원 

   권역별 정보보호 교육 및 기관 특성에 맞는 맞춤형 교육 추진 

 라. 공통사항 

   주요기반시설 및 지자체 맞춤형 정보보호 기술지원 추진 

   - 상위기관(국정원·행안부) 보안점검 대응 지원, 정보보호 기술자문 등 

   정보보호 교육 다각화를 통한 접근성 확대, 소통체계 운영 

   - 상시(집합) 교육, 수시(방문) 교육, 온라인 교육 병행 추진 

   - 정보보호 실무자 회의 개최를 통한 관계기관 간 소통 강화 

�� 기대 효과 

가. 주요기반시설 및 지자체 정보보안 안전성, 신뢰성 보장에 기여 

   사이버 위협 및 사고 예방, 취약점 조치지원 등 체계적인 주요  기반시설 정보보호 활동으로 중요시설 가용성 및 안정성 확보 

   사이버침해 예방·대응 능력 강화를 위한 모의훈련 및 정보보호 담당자 교육 추진으로 보안 수준 제고 

나. 지자체 및 공사·공단 등 정보보호 수준 제고 및 인적 역량 강화 

   정보보호 컨설팅 및 모의해킹 등을 통한 기초지자체와 산하 공사·공단 등의 정보보호 업무 체계 기틀 마련 

   다양한 정보보호 업무 수행 및 지원으로 기초지자체 정보보호 문화 확산 및 보안담당자 사이버위협 대응 역량 강화 

Ⅱ

현 황

�� 업무 현황 

 가. 주요기반시설 취약점 분석·평가 컨설팅 

   사업대상 : 95개 시설   ※ 행안부 소관 75개, 소방청 소관 19, 非기반시설 1 

계	제어시스템						정보시스템
	소계	철도  운영	교통  신호	상수도  정수	지역  난방	물재생	소계	행정	긴급	스마트  도시
95	45	9	15	16	2	3	50	18	19	13

   권역별 대상 및 진단 기간 

구 분	진단 기간
	합계	2주	3주	4주	5주	6주
취약점 분석·평가 대상 기관	95	22	35	19	14	5
수도권	39	13	8	4	9	5
충청권	15	1	8	4	2	-
경상권	24	7	10	6	1	-
전라권	10	1	6	3	-	-
강원‧제주	6	-	3	1	2	-
행정안전부	1	-	-	1	-	-

 나. 지자체 등 정보보호체계 진단 컨설팅 

   사업대상 : 24개 관리기관(기초 13, 산하기관 11) 

계	서울	부산	인천	경기	충북	충남	전북	전남	제주
24	1	1	3	13	1	2	1	1	1

  ※ 업무별 신청 기관 대상 웹모의해킹 및 해킹메일 훈련 추가 제공 가능 

   정보보호 서비스별 현황 

구분	합계	취약점 분석‧평가		모의 훈련		모의 해킹
		종합	기술분야	DDoS	해킹메일	침투	웹
서비스수	54	10	1	9	11	5	18

 다. 지자체 정보보안 역량 강화(교육, 모의훈련) 

   사업대상 : 17개 시·도 및 228개 시·군·구   ※ 제주시, 서귀포시 포함 

Ⅲ

사업 추진계획

	< 추진 방향 >
 취약점 진단을 통한 잠재적 위협 요소 사전 예방 및 사이버 복원력 강화를 통한 지자체 주요정보통신기반시설 및 기초지자체 정보보호 수준 향상    정보보호 환경 변화에 따른 교육·훈련 및 정보보호 전문 기술 지원체계 강화를 통한 담당자 정보보호 역량 강화

�� 추진목표 

 가.「정보통신기반 보호법」에 근거한 취약점 분석·평가 추진으로 주요기반시설 정보보호관리체계 수준 강화 

 나. KLID 보안 전문가 및 정보보호 전문 서비스 기업과의 역할 분담 및 단계별 관리를 통한 체계적 진단 

 ○ 컨설팅 방법론, 투입인력 등 축적된 사업추진 노하우 활용을 통해 사업의 조기 안정화 도모 및 효율적 사업 추진 기반 제공 

 ○ 주요기반시설 분야별 특성 및 기초지자체 주요 정보시스템 환경 등을 고려한 취약점 진단 계획 수립 및 사전 교육 실시 

 다. 안정적 사업추진 기반 마련으로 품질향상 및 고객만족도 제고 

 ○ 주요기반시설·기초지자체 컨설팅 및 기초지자체 역량강화 사업 투입인력의 전문성 검증 강화, 산출물 등 표준화를 통한 품질제고 

 ○ 위탁기관 업무담당자 대상 컨설팅 참여인력의 수행 만족도 설문조사 및 도출된 의견수렴 분석을 통한 환류활동 추진 

 라. 주요정보통신기반시설 및 지자체 인적 역량 강화 

 ○ 교육 참여 기회를 높이기 위한 집합 교육방식 개선 및 수준별 교육 과정을 통한 담당자 전문성 제고 

 ○ 사이버위협에 신속한 탐지·대응을 위해 실제 사이버 침해사고 사례와 유사한 방식의 모의훈련 시나리오 개발·활용 

�� 추진체계 

 가. 추진 조직도 

지방자치단체            (위탁업무 수행관리)                      관계기관                국가정보원,   행정안전부      한국지역정보개발원          (사업 총괄 관리)                    용역 수행업체            (현황분석 및 사업 수행)

 나. 조직 구성별 역할 

추진조직(주체)	역할 및 책임	비고
위탁기관  (지방자치단체)	⦁개발원과 업무 위탁(계약) 및 정산 등 행정처리  ⦁취약점 진단 업무수행에 대한 확인․검증  ⦁취약점 분석 결과에 대한 조치 방안 마련/시행 등
관계기관  (국가정보원,   행정안전부)	⦁정보보호 관련 정책 결정  ⦁관련 기관간 책임과 역할 정립으로 협조 체계 제도화 등 마련  ⦁정보보호 관련 업무협의‧조정
주관기관  (한국지역정보개발원  정보보호컨설팅부)	⦁지자체 수탁(계약) 및 외주용역 발주, 정산 등 관련 행정처리  ⦁업무수행에 필요한 기본계획 수립 및 추진  ⦁용역수행업체 선정을 위한 조달 발주 추진  ⦁용역수행업체 관리/조정/통제, 산출물 점검 등 총괄 관리  ⦁각 주요업무에 대한 계획/결과 보고
사업자  (용역수행업체)	⦁기관별 전문 인력 구성 및 기반시설별 담당자 지정․운영  ⦁정보보호컨설팅, 모의해킹·훈련 수행  ⦁취약점 제거조치를 위한 보호전략, 체계, 대책 수립 지원  ⦁각 주요업무에 대한 상세 계획/결과 보고 및 수행

�� 추진일정(안)   ※ 상기 추진일정은 발주기관과 협의에 의해 변경될 수 있음 

구    분

2026년

1

2

3

4

5

6

7

8

9

10

11

12

사업관리  및  공통

사업계약 및 사업준비

계획 수립 및 사전교육

통합 착수 보고회

담당자 정보보호교육

6회

업무‧기술지원

통합 완료 보고회

준공검사

기반시설

취약점 분석·평가

모의해킹 및 모의훈련

시설별 보호대책 보완

조치지원 및 이행확인

기초지자체

정보보호 컨설팅

모의해킹 및 모의훈련

해킹메일·DDoS 모의훈련

Ⅳ

사업 추진내용

�� 지자체 주요기반시설 취약점 분석·평가 

  주요기반시설 취약점 분석·평가 

《사전단계》 

   - 취약점 분석·평가, 모의해킹 등 수행 컨설턴트 대상 취약점 진단 관련 사전 교육, 점검기준 개선 등을 통한 취약점 현장 조치 확대 

   - 취약점 개선 및 정보보호 수준 강화를 위한 표준·권고 개선 과제 도출 

《취약점 분석·평가·보호대책 수립 지원 단계》 

   - 주요기반시설 취약점 분석·평가 계획 수립 

1   취약점  분석·평가  계획수립  ▶  2  취약점  분석·평가  대상선별  ▶  3  취약점  분석수행  ▶  4  취약점  평가수행                ● 취약점 분석 세부계획 수립    ● 자산식별, 목록화  ● 자산 중요도 산정    ● 각 분야별 세부 점검항목표 수립  ● 각 분야별 점검 수행    ● 위험평가 실시  ● 도출 취약점 개선 방향 수립

   - 주요기반시설 정보 자산 식별 및 자산 분류 기준을 토대로 진단범위 산정 

   - 관리적·물리적·기술적 분야 점검 수행 

    ※ 주요정보통신기반시설 취약점 분석·평가 기준 개정 시 보완 점검 및 기술지원 

구 분	내 용
관리적 분야	• 정보보호정책, 표준, 지침, 절차 등 관련 자료의 검토 및 담당자 면담 등을 통한 이행여부 확인으로 관리적 취약점 점검
물리적 분야	• 소관 정보통신시설의 보호구역, 전산실 등의 출입통제, 경보체제 등 물리적 취약점 점검
기술적 분야	• 시스템/네트워크 취약점 점검도구를 활용한 자동점검, 체크리스트를 이용한 수동점검, 로그분석/모의해킹 등 기술적 취약점 점검   • 사내망/제어망 구성방식의 보안 적정성 검토 및 기술적 취약요인 분석

   - 도출 취약점에 대한 원인분석을 통해 보호전략, 보호체계, 세부 보호대책 등 지자체 주요기반시설 ’27년 보호대책(안) 수립 지원 

    ※ 관련 지침 및 가이드 준수(행안부 기반시설 보호대책 수립 지침 등) 

《주요기반시설 취약점 조치 지원 단계》 

   - 취약점 분석·평가 수행시 도출된 취약점 중 즉시 조치가 가능한 취약점은 현장에서 즉시 조치 지원 

   - 보호대책 제출 후 발견된 단기 개선 취약점 조치지원 및 이행확인 

     ※ 보호대책 제출 순기 : 8월 말, 취약점 조치지원 및 이행점검 : 9월∼10월 

   - 즉시·단기 취약점 개선 조치 지원 후 취약점 조치율 저조 기반시설을 분류하여 추가 기술지원 수행 

  주요기반시설 침투 모의해킹 모의훈련 추진, 결과 환류 

   - 주요기반시설 망간 접점을 중심으로 기관 외부에서 주요기반시설로 침투한 가능접점 확인 및 취약점 진단 

   - 대상 기관의 네트워크 영역 및 주요기반시설 분야별* 접근 통제, 중요자료 유출 등의 침투 시나리오 수립 및 모의해킹 수행 

     * 정보시스템, 긴급구조, 철도운영, 교통신호, 정수제어, 스마트도시 등 8개 분야 

   - 모의해킹 수행 결과를 토대로 취약점에 대한 세부 조치방안 수립, 제공 

  주요기반시설 맞춤형 정보보안 기술지원 

   - 상위기관(행안부, 국정원, 광역시도) 보호대책 이행점검 지원(최신 공공분야 보호대책 이행확인 해설서 기준) 

   - 주요기반시설 변동자산에 대한 취약점 점검 지원 (구축, 교체, 증설 등) 

   - 관리/물리/기술분야 관련 지식, 정보, 노하우 등 의견 자문 지원 

   - 광역시·도 산하 기초지자체 정보보안 사전 예방활동 지원 등 

�� 지자체 등 정보보호체계 진단 컨설팅 

  종합 정보보호 컨설팅 

   - 기관 보안관리 실태에 대한 분야별 취약점 분석 후 개선대책 마련 

    ※ 조직 구성, 정보시스템 운영 현황 등에 대한 관리/물리/기술, 모의해킹 수행 

   - 정보보호 업무 수행에 필요한 각종 양식, 자료 제공 등 맞춤형 개선 지원 

  정보시스템 기술분야 컨설팅 

   - 기관이 현재 운영 또는 신규/교체 예정인 정보시스템에 대한 취약점 진단 수행을 통한 사전예방 강화 

    (취약점 진단) 주요정보시스템의 운용 설정 상태에 대한 진단 실시 

    (개선대책 마련) 도출된 취약점에 대한 조치방안 제공 및 지원 

   - 시스템 종류별(서버, DB, 정보보호시스템 등) 취약점 조치 가이드 제공 

     ※ 주요기반시설 기술적 취약점 분석·평가 방법 상세 가이드(과기정통부) 

  DDoS 모의훈련 

   - DDoS 훈련을 통한 대민서비스(대표 홈페이지 등) 해킹 공격 및 장애 발생 등에 대비한 상황보고 등 사이버 공격 대응체계 점검 

   - 주요 공격유형에 대한 시나리오 제시 및 시나리오별 모의공격·대응 

  해킹메일대응 모의훈련 

   - 실제 사례와 유사한 가상 해킹메일을 활용한 모의훈련을 통해 랜섬웨어, 정보유출 등의 피해 방지 및 대응체계 점검 

   - 훈련 주체별 역할 

  웹 모의해킹 

   - 주요기반시설 취약점 분석·평가 기준으로 하며, 추가적으로 OWASP 10 등을 참고하여 최신 취약점을 반영해 점검 

   - 기관에서 운영 중인 웹 대상 모의해킹을 통한 위협 요소 사전 제거로 대민 서비스 신뢰성 증대 

   - 수행방법 상세 

  침투 모의해킹 

   - 외부의 사이버 침해 시도에 대비하기 위해 주요 정보시스템에 대한 침투 가능 및 외부 접점 여부 확인 후 개선대책 마련 

�� 지자체 정보보안 역량 강화 

  지자체 사이버 공격·위협 대응 예방 훈련 

   - (해킹메일) 실제 사례와 유사한 가상 해킹메일을 활용한 모의훈련을 통해 랜섬웨어, 정보유출 등의 피해 방지 및 대응체계 점검  

   - (DDoS) 공격 장비를 활용한 실제 공격상황을 재연하고 대량의 트래픽을 발생시켜 보안장비를 통한 탐지·차단 훈련 및 취약점 보완 

�� 공통 사항 

  지자체·주요기반시설 보안담당자 수준별 정보보호 교육 

   - (권역별·온라인 교육 추진) 권역별 집합 교육과 온라인 교육을 통해 비수도권 정보보안 담당자의 이동 편의성 및 접근성 향상 

   - (전문 교육과정 개설‧운영) 정보보호 관련 분야별‧수준별 교육 및 유관기관(상위･우수기관)의 사례를 공유할 수 있는 과정 개설 

   - (맞춤형 교육 추진) 교육 기회 확대를 위해 기관 요청사항 등을반영하여 현장(방문) 중심의 맞춤형 교육 추진 

    ※ 사이버위협 동향 및 기관의 환경･특성을 고려한 분야별･수준별 교육과정 마련 

   - 기반시설 담당자의 이해 향상을 위해 상세히 기술된 정보보호 교육 교안(재)을 작성하여 인쇄물, 파일로 제공 

   - 교육 수행 후 수강자를 대상으로 만족도 조사, 의견 수렴 및 개선사항 반영 

�� 요구사항 정의 및 목록 

 ○ 요구사항 총괄표 

구 분	세부내용	개수	관련  페이지
컨설팅 수행 요구사항  (CSR, Consulting Requirement)	컨설팅 수행을 위한 방법론, 범위, 전략, 각 과업 상세내용, 업무 프로세스, 진단에 필요한 도구 및 적정성 등에 대한 요구사항을 기술함	27	P.17
컨설팅 인력 요구사항  (CHR, Consulting HR  Requirement)	컨설팅 수행을 위한 조직의 구성/운영/관리 방안과 투입인력의 자격기준, 담당업무 및 역할과 책임, 교체 등에 대한 요구사항을 기술함	5	P.37
프로젝트관리 요구사항  (PMR, Project Management Requirement)	수행장소 환경 및 기자재, 일정관리, 산출물의 종류/관리/작성/제출방안 작성 요구사항, 통제/위험관리에 관한 요구사항을 기술함	5	P.44
프로젝트지원 요구사항  (PSR, Project Support Requirement)	컨설팅 수행 간 교육훈련 및 기술이전, 하자보수, 위험관리방안 등에 대한 요구사항 등을 기술함	4	P.49
보안요구사항  (SER, Security Requirement)	컨설팅 수행 간 획득 정보, 문서 등의 정보유출 방지  및 보안관련 법규 준수 등에 대한 종합적인 보안대책에 대한 요구사항을 기술함	9	P.51
품질요구사항  (QUR, Quality Requirement)	컨설팅 산출물 및 사업 수행에 대한 품질 보증방법, 절차, 내용, 조직 등에 대한 요구사항을 기술함	2	P.60
제약사항  (COR, Constraints)	컨설팅 수행과 관련하여 사전에 파악된 기술·표준·법,계약 조건 등을 파악하여 기술함	10	P.62
합   계		62

 ○ 요구사항 목록 

�� 상세요구사항 

 1. 컨설팅 수행 요구사항 

 ○ 공통 분야 

요구사항 분류		컨설팅 수행 요구사항
요구사항 고유번호		CSR-001
요구사항 명칭		사업대상
요구사항 상세설명	정의	본 사업의 대상을 명시
	세부내용	○ 행안부 소관 주요기반시설 취약점 분석·평가 : 94개 주요기반시설     ※ [별첨5] 지자체 주요기반시설 취약점 분석·평가 사업 대상 참고  ○ 행안부 소관 주요기반시설 취약점 분석·평가 : 1개(주민등록시스템)  ○ 기초지자체 정보보호체계진단 : 기초지자체, 지방공기업 등 24개 기관     ※ [별첨6] 지자체 등 정보보호체계 진단 대상 및 서비스 참고  ○ 지자체 정보보안 역량 강화 : 17개 시·도 및 228개 시·군·구  ○ 본 사업은 발주기관↔각 위탁기관간 매년 위·수탁 계약에 의해 수행하는 사업으로, 연중 사업 대상기관, 발주 예산의 변경가능성이 있으며, 이에 따른 계약변경이 발생할 수 있음.    ※ 사업 대상(예산, 과업 포함) 변경시 발주기관 및 수행사, 조달청간 처리방법을 협의 후 진행함.
산출정보		○ 사업수행계획서
관련 요구사항

요구사항 분류		컨설팅 수행 요구사항
요구사항 고유번호		CSR-002
요구사항 명칭		사업수행 방법론
요구사항 상세설명	정의	본 사업 수행에 적합한 수행 방법론 제시
	세부내용	○ 본 사업에 적합한 방법론을 제시하고, 체계적 추진을 위한 업무수행 절차 및 산출물의 적정성 등 수행 방법론의 타당성을 제시    - 취약점 분석·평가, 모의훈련, 모의해킹, 교육 등 각 업무별 수행 절차 표준화 및 산출물에 대한 적정성(적합성) 검토 절차 제시    - 병렬식 사업수행(다수 기관 동시수행) 특성을 고려한 산출물 품질 향상 방법론 제시  ○ 주요정보통신기반시설 취약점 분석·평가 기준(과학기술정보통신부) 등 관련 법·제도·기준·가이드에 대한 변경 발생시 주요기반시설 등의 업무 혼란을 최소화하기 위한 조속한 적용 방안(계획 포함) 제시.
산출정보		○ 사업수행계획서(사업수행방안)
관련 요구사항

요구사항 분류		컨설팅 수행 요구사항
요구사항 고유번호		CSR-003
요구사항 명칭		컨설팅 종합 계획 수립
요구사항 상세설명	정의	컨설팅 범위, 내용 등에 대한 상세 사항 계획 수립·제출
	세부내용	○ 컨설팅 종합계획(안) 수립 및 제출    - 구분     �� 지자체 주요정보통신기반시설 취약점 분석·평가 사업 추진 계획     �� 지자체 등 정보보호체계 진단 컨설팅 사업 추진 계획     �� 지자체 정보보안 역량강화(교육, 훈련 분야) 추진 계획    - 내용     �� 표준 수행 절차, 대상기관별 기간 및 일정, 범위, 중점사항     �� 산출물 정보(시기, 종류, 품질 강화 방안 포함)     ※ 각 사업별 명시과업(침투모의해킹, 취약점 조치 지원, 업무·기술지원, 모의해킹(침투, 웹), 모의훈련(DDoS, 해킹메일), 정보보호 교육, 현장지원 컨설팅 등을 포함하여 종합계획 작성    - 필수 고려사항     �� 사전 취합된 대상기관의 희망 일정을 반영토록 하고, 2개 이상 사업에 참여하는 기관은 일정이 중첩되지 않도록 조정    ※ 대상기관 희망일정 및 비상연락망은 수요기관에서 초안 제시하며, 수행사에서는 연중 현행화 관리  ○ 종합계획(안)에는 사업수행 보안관리 사항 관련 표준서식 등을 함께 제시    ※ 표준 서식은 발주기관과 사전 협의(스크립트 삭제 확인서, 보안점검표, 침투 모의해킹 위험 사항 확인서 등)  ○ 사업 수행 일정 공유를 위한 현황판 제작 및 제출 (사업 착수 후 30일 이내)    ※ 관계기관 현황 공유에 활용 예정이며, 형태 및 규격에 대해서는 발주기관과 협의
산출정보		○ 취약점 분석·평가 계획서(주요기반시설별),  ○ WBS, 컨설팅 수행일정 현황판
관련 요구사항		CSR-002 취약점 분석‧평가 수행 방법론, PMR-002 산출물(취약점 진단 계획서)

요구사항 분류		정기 보고사항 요구사항
요구사항 고유번호		CSR-006
요구사항 명칭		월간 보안 리포트 제공
요구사항 상세설명	정의	최신 사이버위협 동향정보
	세부내용	○ 월간 보안 리포트 제작 및 배포(정기)    - 최신 사이버 보안 정책, 대내·외 동향, 전문가 칼럼, 보안권고 등 보안 동향을 정기적으로 제작, 배포하여 주요기반시설 및 자치단체 대상 정보 공유    - 사이버 보안 동향 가이드 제작시 의도적인 특정 사업자 홍보 등 대내·외 이해관계자에게 오해의 소지가 없도록 하여야 함  ○ 주요 SW 및 보안솔루션의 EoS 및 인증 만료 정보 업데이트 정보 주기적 제공    - OS 등 주요 Application 주요 취약점 및 보안패치 정보를 월 단위 보고서 제공  ○ 최신 사이버위협 관련 동향 및 분석보고서, 조치 가이드 작성(수시)    - 취약점 조치 가이드 제작 및 배포 전 발주기관 대상 상세 교육 제공  ○ 정보보호 카드뉴스(뉴스레터 등) 형태로 제공(수시)  ○ 주요기반시설 대상 침해시도(침해사고) 상세 분석 결과 보고서 제출(발생 시)
산출정보		○ 월간 보안 리포트
관련 요구사항

요구사항 분류		컨설팅 수행 요구사항
요구사항 고유번호		CSR-007
요구사항 명칭		정보보호 실무자 협의회 개최 지원
요구사항 상세설명	정의	행안부, 기초자치단체 등 이해 관계자 대상 정보보호 실무자 협의회 개최 기획 및 지원
	세부내용	○ 개최 횟수 : 연 3회(착수, 중간, 종료) 이상 ※ 발주기관과 협의 후 추진  ○ 제도개선, 자치단체 정보보호 개선 등 정보보호 업무에 대한 이해관계자(행안부, 지자체, 개발원, 유관기관 등)간 토의를 위한 실무자 협의회 개최 및 운영 지원   - 실무자 협의회 발표 자료(PPT) 등 관련자료 작성·제출 ※ 콘텐츠는 발주기관과 협의   - 행사 진행을 위한 인력지원(전문강사, 행사지원인력 등)을 포함함   - 기념품 제작 기획(※ 기념품 제작에 필요한 비용은 발주기관과 협의하여 추진)  ○ 정보보호 실무자 협의회 토의 결과에 대한 분석, 중·장기 추진 방향 수립 지원
산출정보		○ 정보보호 실무자 협의회 추진 계획서 및 결과서  ○ 실무자 협의회 발표자료(PPT) 등
관련 요구사항

 ○ 주요정보통신기반시설 분야 

요구사항 분류		컨설팅 수행 요구사항
요구사항 고유번호		CSR-010
요구사항 명칭		[주요기반시설] 취약점 개선 대책 도출
요구사항 상세설명	정의	위험평가 후 조치 가능한 취약점에 대한 세부 개선대책 제시
	세부내용	○ 실효성 있는 종합적인 개선대책 구체적으로 제시    - 취약점 조치 이력 관리대장 등 장기(연속) 미조치 취약점에 대한 개선방안 검토 및 제시  ○ 개선대책은 해당 기관의 현황/특성 등을 고려하여 위탁기관 담당자의 의견 반영 후 실현 가능한 방안을 조치 기간(단기 : 6개월 이내, 중기 : 1년 이내, 장기: 1년∼3년 이내) 포함하여 구체적으로 제시       ※ 1년 이상 동일한 내용이 반복해서 발생할 경우 미조치 원인을 분석하고 재발 방지 대책 마련 및 추가 개선방안을 도출하여 실제 개선될 수 있도록 방안 제시  ○ 취약점 개선 방향 수립 시 위험등급 ‘상’은 조기, ‘중’, ‘하’는 중기 또는 장기로 구분하고, 기한 내 완료가 가능한 개선계획을 수립·실행     - ‘장기’ 개선 취약점에 대한 적절성, 타당성을 검토하여 객관적 사유를 확보 후 의견 제시  ○ 전년도 “취약점 관리 대장”의 잔존 취약점에 대한 조치방안 강구 및 결과 수요기관 안내  ○ 분야별* 취약점을 분석하여 공통 취약점에 대한 공동대응 방안 마련       * 인터넷 및 업무, 긴급구조, 철도운영, 스마트도시, 교통신호, 정수·물재생       ※ 필요시 분야별 보안담당자 협의회를 통해 대응방안 등 안내
산출정보		○ 개선대책 결과 보고서(시설별·분야별)
관련 요구사항		CSR-009 취약점 분석·평가 수행, PMR-002 산출물(개선 대책 보고서)

요구사항 분류		컨설팅 수행 요구사항
요구사항 고유번호		CSR-011
요구사항 명칭		[주요기반시설] 주요기반시설 분야별 실무자 협의회 개최
요구사항 상세설명	정의	주요기반시설 분야별 취약점 개선방안 및 협력체계 마련
	세부내용	○ 주요기반시설 분야별* 시스템 구성 등 운영환경이 동일·유사한 시스템 현황 분석       * 주요기반시설 분야 : 인터넷 및 업무, 긴급구조, 철도운영, 스마트도시, 교통신호, 정수·물재생  ○ 주요기반시설 분야별 동일·유사 시스템의 공통 취약점을 도출하고 취약점 조치·개선을 위한 대응 방안 마련  ○ 주요기반시설 분야별 도출된 취약점 및 조치현황을 분석하여 보안관리 우수사례(취약점 조치 사례 등) 도출  ○ 주요기반시설 분야별 담당자 협의회 개최       ※ 담당자 협의회 개최 분야는 위탁기관과 협의 후 결정
산출정보		○ 주요기반시설 분야별 취약점 개선 방안
관련 요구사항		CSR-010 취약점 개선대책 도출

요구사항 분류		컨설팅 수행 요구사항
요구사항 고유번호		CSR-017
요구사항 명칭		[주요기반시설] 취약점 조치지원 및 조치 이행점검
요구사항 상세설명	정의	취약점 분석·평가 결과에 따른 조치지원 및 조치 결과 이행 확인
	세부내용	○ 취약점 조치지원은 아래 내용을 포함하여 3단계로 구분하여 지원   - (1차) 진단 기간 중 즉시 조치가 가능한 취약점에 대해서는 현장에서 개선 조치   - (2차) 이행확인 점검 기간(8~11월) 중 단기 취약점 조치지원     ※ 중기·장기 개선 취약점으로 분류된 항목에 대한 타당성 재검토 및 조치 가능 여부 확인, 조치지원   - (3차) 주요기반시설에서 추가 조치지원 요청 시 지원(3개 기관 이내)  ○ 발견된 취약점 제거를 위한 보안가이드 제시   - 동종 분야의 취약점 조치 내용, 결과, 고려사항 등의 사례공유   - 미흡사항에 대한 규정, 지침, 매뉴얼, 서식 등 개선방안 마련 지원   - 기술적 취약점 조치는 관리기관이 조치하고 수행사의 취약점 점검 담당자는 조치 기술지원
산출정보		○ 취약점 조치지원 및 이행확인 결과 보고서
관련 요구사항		CSR-009 취약점 분석·평가 수행, CSR-012 `27년도 보호대책서 수립 지원  PMR-002 산출물(취약점 조치지원 및 이행확인 계획 /결과 보고서)

요구사항 분류		컨설팅 수행 요구사항
요구사항 고유번호		CSR-018
요구사항 명칭		[주요기반시설] ’27년도 행안부 주요기반시설 보호계획(안) 수립 지원
요구사항 상세설명	정의	2027년도 행안부 주요기반시설 보호대책 검토, 보호계획(안) 수립 지원
	세부내용	○ 2027년 행안부 소관 주요기반시설 보호대책 검토    - 외부전문가를 통한 보호대책 검토(~9월  ※ 단, 수행대상 제외 기반시설)   - 행안부 소관 기반시설별 차년도 보호대책 수립 적정성 검토 지원   - 행안부 ｢주요정보통신기반시설 보호대책·계획 수립 지침｣(매년 5월)에 따라 시설별 정부중점과제 및 기관대표/기타과제 수립 적정성 검토 등  ○ 2027년 행안부 주요기반시설 보호계획 수립 지원(10월)   - 보호계획 수립을 위한 외부평가반 구성, 작업환경 마련 등 제반사항 지원   - 중점 추진과제 발굴 등 차년도 행안부 보호계획 수립을 위한 기초데이터 작성·취합   - 작성 양식에 따른 보호계획(안) 데이터 및 작성 내용 검수 지원  ○ 행안부 소관 주요기반시설 전체(104개) 취약점 조치 강화를 위한 개선방안 마련 지원   - ‘취약점 조치 이력 관리대장’ 취합, 통계 작성·분석 지원 (과거 결과 환류 포함)   - 시설 분야·항목별 미조치 및 조치불가 원인분석, 동일 분야의 조치 가능 항목 도출 등
산출정보		○ 2027년도 주요기반시설 보호 대책 검토의견, 기초데이터  ○ 2027년도 주요기반시설 보호 계획(案)(종합·공공·민간)  ○ 행안부 소관 주요기반시설 취약점 조치 현황 및 분석 결과보고서
관련 요구사항