[부록 6 - 첨부 10]

협력사 보안관리 특수계약조건

○ 2019. 8. 27 제정

○ 2024. 10. 24 개정

① 본 특수계약은 한국전력공사(이하 “한전”이라 한다)가 발주하는 구매, 공사, 용역사업을 수주한 계약상대자가 한전의 ICT시스템 및 경영정보, 개인정보, 도면 등 주요자료 사용 시 정보보안 및 개인정보보호 정책 준수, 한전과 관련된 정보의 안전한 관리를 위한 정보보안 이행사항을 규정하고, 이를 위반하였을 경우 계약적 행정조치와 위약벌 부과기준을 정의한다.

② 계약상대자는 사업 수행과정에서 생산된 개인정보를 포함한 모든 산출물 및 한전으로부터 취득한 자료와 정보에 관하여 사업수행 중은 물론 사업 완료 후에도 이를 외부에 유출하거나, 제3자에게 제공 또는 누설하여서는 안 된다. 사업 종료 시 완전 폐기 또는 반납해야 한다.

③ ICT개발, 유지보수 역무의 계약상대자는 사업 수행에 사용되는 문서, 인원, 장비, 개인정보 등에 대하여 물리적, 관리적, 기술적 보안대책을 수립하여, 역무 착공전에 발주부서에 제출하여야 한다.

④ 한전 또는 정부기관에서 계약상대자에 대한 외부 보안위협을 탐지하였을 경우 계약상대자의 보안취약 개소 확인, 보안대책 강구를 위해 사업기간 중 한전 정보보안실을 통해 계약상대자에 대한 보안점검 및 컨설팅을 시행할 수 있으며, 계약상대자는 이에 성실히 응해야 한다.

⑤ 계약상대자는 보안수준 향상을 위한 정보보안 컨설팅, 홈페이지 위변조감시 등 기술지원서비스를 한전 정보보안실에 요청할 수 있다.

⑥ 계약상대자는 별첨#1 “보안위규 수준 정의”의 “위규사항”에서 정한 행위를 하여서는 아니된다. 이를 위반한 경우에는 별첨#2 “보안위규 수준별 조치사항”에 따라 조치요구 및 별첨#3 “보안위약벌 부과기준”을 적용하여 계약상대자에게 부정당업자 등록, 보안위약벌 부과 등을 할 수 있다. 다만, 계약상대자가 그 행위를 방지하기 위하여 상당한 주의와 감독을 게을리하지 아니한 경우에는 그러하지 아니할 수 있다.

⑦ 계약상대자가 계약이행과 관련하여 보안사고 발생 또는 별첨#1 “보안위규 수준 정의”의 “심각”에 해당하는 행위를 한 경우 한전 정보시스템의 중요정보 유출 또는 시스템 마비 등 심각한 문제를 야기할 수 있으므로 한전은 이에 대하여 당해 계약을 해제 또는 해지 할 수 있다. 다만, 보안준수의무를 이행하였음에도 불구하고 발생한 불가항력적인 보안사고 또는 당해 계약의 이행정도 등에 비추어 해지할 경우 한전이 계약의 목적을 달성하기가 어렵다고 인정하는 경우에는 그러하지 아니 할 수 있다.

- 한전은 계약해제 또는 해지를 하려는 경우 사고발생 경위, 계약상대자의 귀책 사유 등을 고려하며, 사전에 계약상대자에게 의견진술의 기회를 부여한다.

- 한전은 계약상대자에게 계약 해제 또는 해지 예정임을 사전에 문서로 통보하고, 계약상대자는 통보받은 날부터 15일 이내에 이의신청을 할 수 있다. 단, 이의신청이 없는 경우 한전은 계약 해제 또는 해지를 시행한다.

- 이의신청에 대하여 외부위원 과반수 이상이 참석한 계약기준심의위원회에서 계약 해제 또는 해지의 적정여부를 심의하고, 계약상대자에게 심의에 참석하여 의견을 제시할 기회를 부여한다.

- 계약해제 또는 해지는 보안사고 발생 또는 별첨#1 “보안위규 수준 정의”의 “심각”에 해당하는 행위로 계약상대자의 정상적인 사업수행이 객관적으로 어렵거나 계약 목적 달성에 중대한 장애를 초래한다고 판단되는 경우로서, 계약기준심의위원회 참석위원 2/3 이상이 찬성하는 경우에 할 수 있다.

⑧ 계약상대자는 본 사업에 대한 하도급 계약을 체결할 경우, 본 “협력사 보안관리 특수계약조건” 수준의 보안 준수사항을 포함하여 하도급계약에 포함하여야 하며, 한전은 하도급 계약업체에 의한 보안위규 사항 발생 시 계약상대자에게 연대책임을 부과할 수 있다.

[별첨 1] 보안위규 수준 정의

[별첨 2] 보안위규 수준별 조치사항

[별첨 3] 보안 위약벌 부과 기준

[별첨 4] 누출금지 대상 정보

별첨#1	보안위규 수준 정의

구 분	위 규 사 항	적용대상
심 각	1. 한전 정보보안정책을 위반한 정보시스템에 대한 불법적 행위 가. 정보시스템 해킹시도 또는 인위적인 악성코드 유포 나. 해킹에 악용될 수 있는 보안취약점 고의 생성 다. 정보시스템 접속 계정을 공유하여 사용하는 행위 2. 누출금지대상 정보를 외부, 인터넷 등에 고의로 노출	모든 역무
중 대	1. 한전에서 제공한 정보시스템 이용 및 네트워크 보안정책 위반 가. 무선기기, 특수 케이블 등을 이용한 망분리 우회 인터넷 접속 나. 휴대용 매체(USB, 스마트폰 등) 사용규정 위반 다. 웹하드·P2P 등 무단 프로그램 활용 자료 수발신 라. 개발·유지보수시 승인받지 않고 원격작업 사용 마. 인터넷 PC에 한전 정보 저장 바. 외부용 PC를 한전 네트워크에 무단 연결 사용 사. 보안프로그램 강제 삭제 등 한전 정보시스템의 보안정책을 우회하는 행위 아. 인가되지 않은 권한을 이용한 시스템 불법접근 시도 2. 누출금지 대상 정보 등 비공개 정보를 책상 등에 방치 또는 휴지통ㆍ폐지함 등에 유기 3. 통제구역 내 장비·시설 등 무단 사진촬영 4. 한전에서 제공한 개인정보, 도면, 경영정보 등을 블로그 등 인터넷 사이트에 공개하거나 제3자와 무단 공유
보 통	1. 한전 정보시스템 및 네트워크 보안정책 경미한 위반 가. 휴대용저장매체를 PC, 책상 등에 방치한 채 퇴근 나. 웹하드·P2P·메신저 등 비인가 S/W, 프로그램 설치 다. PC 비밀번호 미부여 또는 외부에 노출 라. 사옥내 핫스팟, 포켓 Wi-Fi 등 비인가 설비 반입 사용 2. 주요 현안, 보고 자료를 책상 등에 방치 또는 휴지통ㆍ폐지함 등에 유기 3. 캐비닛, 서류함, 책상 등을 개방한 채 퇴근 4. 한전에서 제공한 협력회사 공유시스템 계정/패스워드를 제3자와 무단 공유
경 미	1. 한전에서 제공한 개인정보, 도면, 경영정보 등을 계약상대자가 소유한 PC에 암호화하지 않고 보관

1) 정보시스템 : 「전자정부법」제2조제13호에 따른 정보의 수집ㆍ가공ㆍ저장ㆍ검색ㆍ송신ㆍ수신 및 그 활용과 관련되는 기기와 소프트웨어의 조직화된 체계를 말함

2) 한전 정보시스템(PC포함)을 이용하는 역무는 사내 규정에 따라 정보보안부서에서 정기 또는 불시 점검을 통해 보안위규 여부를 점검할 수 있음

3) 2)항 이외의 구매, 공사, 용역계약은 한전에서 보안점검이 필요하다고 판단되는 경우에 한하여 협력사의 사전 동의를 득한 후 현장 보안점검을 시행할 수 있음

4) 심각 1. 다 “정보시스템 접속 계정을 공유하여 사용하는 행위”에는 한전 사내 PC에서 계정을 공유하여 역무를 수행하는 모든 경우가 포함됨

별첨#2	보안위규 수준별 조치사항

구 분	계약상대자측 사업주	계약상대자측 근로자
심 각	․ 보안위약벌 부과 ․ 부정당업자 등록* * 부정당업자 등록 및 제재기간은 국가계약법 세부기준에 따름	․ 위규자 당사사업 참여 영구제한 ․ 사업 책임자 교체
중 대	․ 보안위약벌 부과 ․ 경고문 통지 ․ 경위서/재발방지 대책 제출	․ 사업 참여자 특별 보안교육
보 통	․ 보안위약벌 부과 (2건 발생시) ․ 경고문 통지 (2건 발생시) ․ 경위서/재발방지 대책 제출	․ 위규자 특별 보안교육
경 미	․ 보안위약벌 부과 (3건 발생시) ․ 재발방지 대책 제출

※ 계약상대자는 한전 정보보안부서의 상기 보안 위규에 따른 공통 조치사항(위규자 및 직속관리자 사유서/경위서 징구, 특별보안교육 등)에 성실히 임하여야 한다.

별첨#3	보안 위약벌 부과 기준

구 분	위규 수준
	A급	B급	C급	D급
위 규	심각 1건	중대 1건	보통 2건 이상	경미 3건 이상
위약벌 비중	부정당업자 지정 및 입찰참가자격 제한, 계약금액의 5%	계약금액의 3%	계약금액의 2%	계약금액의 1%

<위규 수준별 위약벌 세부 내용>

□ 협력사에 심각 수준의 위규 사항이 발생하여 민형사상 책임을 물을 필요가 있는 경우, 본 특수계약과 별도로 관련법에 따라 처리할 수 있음

□ 계약금액은 계약건별로 구분하며, VAT를 제외한 사업대가를 기준으로 함

□ 제재 및 보안 위약벌 부과는 해당 계약건에 한하여 적용되며, 업체별 누적관리 하지 않음

□ 부정당업자 등록 및 제재기간은 국가계약법 세부기준에 따름

별첨#4	누출금지 대상 정보

1. 한전 소유 정보시스템의 내․외부 IP주소 현황

2. 세부 정보시스템 구성현황 및 정보통신망 구성도

3. 사용자계정ㆍ비밀번호 등 정보시스템 접근권한 정보

4. 정보통신망 취약점 분석·평가 결과물

5. 용역사업 결과물 및 프로그램 소스코드

6. 암호자재, 암호가 주 기능인 제품 및 정보보호시스템 도입·운영 현황

7. 침입차단시스템ㆍ방지시스템(IPS) 등 정보보호제품 및 라우터ㆍ스위치 등

네트워크 장비 설정 정보

8.「공공기관의 정보공개에 관한 법률」제9조제1항에 따라 비공개 대상

정보로 분류된 회사(한전) 내부문서

9.「개인정보보호법」제2조 제1호의 개인정보

10.「보안업무규정」제4조의 비밀 및 동 시행규칙 제16조 제3항의 대외비

11. 역무 수행을 위하여 한전에서 계약상대자에게 제공한 자료

개인정보(전화번호, 이메일, 주소 등), 도면, 역무 관련 서류 등

12. 그 밖에 회사(한전)에서 공개가 불가하다고 판단한 자료