정보보호 서비스 대가산정 가이드

2015. 6.

Contents

Ⅰ. 보안성 지속 서비스 대가산정	1

Ⅱ. 정보보안컨설팅 대가산정	8

Ⅲ. 보안관제 서비스 대가산정	9

[붙임]

1. 정보보안컨설팅 및 보안관제 서비스 대가산정 참고사항	10

2. SW제품과 정보보호 솔루션 가격 정책 비교	11

3. 보안성 지속 서비스 대가 해외 사례	12

4. 보안성 지속 서비스와 유지관리 항목 비교	14

5. 정보보호 제품과 일반 SW의 공급비용 비교	15

정보보호 서비스 대가산정 가이드

본 가이드는 정보보호 서비스의 특징을 고려하여, 정보보호 서비스의 범위와 대가 기준을 명확히 하고, 서비스 구매 시 필요한 서비스의 항목, 내용 등을 표준화함으로써 발주자의 예산편성 및 집행 용이성을 도모하고 안정적인 정보보호 서비스 제공을 촉진하는데 그 목적이 있다.

< 정보보호서비스의 특징>

- 정보시스템에 대한 해킹, 신규 악성코드 감염, 정보유출 등 내․외부 보안 위협에 대한 사후 대응 중심의 서비스

- 무장애, 성능 업그레이드 외에 보안 위협에 대비 대응하기 위한 수시적 업그레이드 등 보안 조치가 수반되는 서비스

- 무결성․기밀성․가용성이 담보되어야 하는 서비스

- 발전소, 항공 관제 해킹 등 사회적 안전과 긴밀한 관련이 있는 서비스

정보보호 서비스에는 보안성 지속 서비스, 보안컨설팅, 보안관제, 교육훈련, 인증(공인/사설인증, CC평가인증)서비스 등이 포함되는데, 본 가이드에서는 보안성 지속 서비스, 정보보안컨설팅, 보안관제 서비스의 대가산정을 다룬다.

본 가이드가 제공된 정보보호 서비스에 대한 적정한 대가 지급을 유도하여 지속적인 정보보호 강화를 통한 정보자산 안정성을 확보하고, 정보보호 서비스의 품질 향상과 신기술 개발을 촉진하는 등 국가 정보보호 수준 제고와 정보보호 산업의 국제 경쟁력을 강화하는 선순환 효과를 이끌어 낼 것으로 예상된다.

Ⅰ. 보안성 지속 서비스 대가산정

1. 보안성 지속 서비스의 정의

보안성 지속 서비스란 정보보호제품을 활용하여 정보의 훼손, 변조, 유출 등을 방지하기 위한 기술 기반의 서비스를 말한다.

보안성 지속 서비스의 종류는 보안업데이트 서비스, 보안정책관리 서비스, 위협/사고분석 서비스, 보안성 인증효력 유지 서비스, 보안기술 자문 서비스 등이 있다.

2. 정보보호 솔루션의 특징

정보보호 솔루션은 정보보호 제품, 그 제품의 기능 유지를 위한 일반적 유지관리, 외부 위협요인(공격)으로부터 보안성 유지를 위한 보안성 지속 서비스로 구성된다.

<정보보호 솔루션의 구성>

구 분	정의	비고
정보보호 제품	정보의 수집・가공・저장・검색・송신・수신 중에 정보의 훼손・변조・유출 등을 방지하기 위한 관리적・기술적 수단	보안성지속서비스 적용 제품은 형태에 따라 SW와 일체형(SW+HW)로 구분
유지관리	구매한 제품을 최적의 상태에서 활용・유지하기 위해 제공되는 활동	예) 제품지원, 기술지원, 사용자지원 등
보안성 지속 서비스	정보보호제품을 활용하여 정보의 훼손, 변조, 유출 등을 방지하기 위한 기술 기반의 서비스	예) 보안업데이트, 보안정책관리, 위협/사고분석, 보안성 인증효력 유지, 보안기술자문 등

정보보호 제품은 신규 취약점에 대응하기 위한 패턴/시그니쳐 등의 적시 업데이트가 필요하며, 해당 업데이트 패턴을 사용자 상황에 맞추어 유효한 정책으로 반영하는 과정도 지속적으로 요구된다.

정보보호 제품은 국가정보화기본법 제38조(정보보호시스템에 관한 기준 고시 등)와 미래창조과학부고시 제2013-52호(정보보호시스템 평가․인증 지침), 전자정부법에 따라 국내용 CC인증 또는 암호모듈인증(KCMVP) 획득이 필수조건으로 적용되고 있기 때문에 서비스를 위해 추가적인 비용이 소요된다.

3. 적용 범위 및 원칙

본 가이드라인은 ‘보안성 지속 서비스’ 구매에 적용한다.

* 도입하려는 기능을 갖춘 정보보호 솔루션과 보안성 지속 서비스 제공이 가능한 기업 정보는 지식정보보안산업협회(www.kisia.or.kr)에서 확인 가능

o 보안성 지속 서비스는 반드시 대가 지급

보안성 지속 서비스(보안업데이트 서비스, 보안정책관리 서비스, 위협/사고분석 서비스, 보안성 인증효력 유지 서비스, 보안기술자문 서비스 등)에 대해서는 반드시 대가를 지급해야 한다.

o 보안성 지속 서비스 구매

보안성 지속 서비스는 제품공급과 동시에 제공되어야 하며, 도입된 정보보호 제품이 폐기 또는 변경되기 전까지 제공되어야 지속적인 보안성 확보와 유지가 가능하다.

o 보안성 지속 서비스 예산의 별도 편성

보안성 지속 서비스 예산은 유지관리와 별도로 편성하여야 하며, 보안성 지속 서비스 예산은 보안성 유지에 직접적인 영향을 줄 수 있기 때문에 다른 예산으로 전용해서는 안 된다.

4. 보안성 지속 서비스의 내용

보안성 지속 서비스에는 일반적으로 다음과 같은 항목들이 포함된다.

<보안성 지속 서비스 항목 및 내용>

서비스 항목	서비스 내용
보안업데이트	패턴 업데이트(룰패턴 및 시그니쳐), IT환경변화(신규 OS/시스템 및 단말/표준 등)에 대한 패치
보안정책관리	사용자 환경에 따른 보안정책 수립/변경
위협/사고분석	침해사고대응(사전/사후), 제품군별 위협분석보고서 등
보안성 인증효력 유지	CC인증, 보안적합성 검증, KCMVP 등 각종 보안성 인증 유지
보안기술자문	모의훈련대응, 정보보호 교육, 원격문의 대응, 보안감사 지원 등

o 보안 업데이트

대부분의 보안시스템은 지속적으로 발견되는 공격기법을 시그니쳐로 변환하여 공격패턴 비교방식의 메커니즘을 사용하므로 보안 시그니쳐 업데이트를 지속적으로 관리함으로써 보안성을 향상시킬 수 있다.
또한, 신규 OS나 시스템 및 단말, 신규 표준이나 프로토콜 반영 등 IT환경변화에 대한 패치도 보안 업데이트에 포함되는 사항이다.

제품의 특성과 공급업체의 관리기준에 따라, 정기 또는 수시로 시그니쳐 업데이트 시기를 결정할 수 있으며, 업데이트 방식은 온라인 또는 USB를 이용한 방식, 혼합 선택방식 등을 제공한다.

o 보안정책관리

보안정책 변경관리는 일반적으로 보안강화 또는 완화 등과 같이 보안 룰셋의 변경관리 업무와 납품된 보안시스템 자체에 대한 정책 변경관리가 있다. 보안정책 변경은 기업이나 기관의 변경사항이 발생하거나 보호해야 할 정보시스템에 변화가 있을 경우에 발생한다.

웹방화벽의 경우 보호할 웹 어플리케이션의 소스 또는 구조가 변경되었을 경우 보안정책의 변경이 필요하게 된다.

o 위협/사고분석

해킹이나 악성코드, 최신 정보보안 기술에 대한 정보를 제공하는 것으로, 제공 시기에 따라 정기적인 정보제공과 수시 정보제공 형태로 나눠진다. 수시 정보제공 형태는 침해사고 발생 시 그 원인과 대응방안 등을 제공하는 것이 일반적이며, 침해사고 대응 보고서, 침해사고 분석 보고서 제공 등도 해당된다. 이 서비스를 통해 대내외 서비스의 위협요소들에 대한 잠재적 취약점 분석과 침투경로에 대한 점검, 고객의 정보시스템을 가장 안전하게 보호할 수 있는 최적의 해결 방안 및 대응 방안을 제시할 수 있다.

o 보안성 인증효력 유지

IT 정보보호 제품 보안성 평가/인증 정책에 따라 정보보호 제품에 특화된 인증이 필수요건으로 적용되는데, 해당하는 인증에는 국제공통평가기준(CC:Common Criteria) 인증, 보안적합성 검증, 암호검증 등이 포함된다. 이는 정보보호 제품 최초 개발단계부터 폐기시까지 전 주기에 걸쳐 지속적으로 관리되어야 하는 부분이다.

o 보안기술자문

발주기관의 침해사고 모의훈련대응, 정보보호 교육(제품관련 교육 外) 지원, 원격문의 대응, 보안감사 지원, 등 발주기관이 긴급한 문제 해결을 요청한 경우, 온라인과 전화를 이용하거나 전문인력의 방문지원 등을 통해 문제를 해결하는 서비스를 말한다.(제품에 대한 일반적 지원사항은 해당되지 않음)

5. 보안성 지속 서비스의 계약

보안성 지속 서비스는 제품공급과 동시에 계약이 이루어져야 하며, 도입된 정보보호 제품이 폐기 또는 변경되기 전까지 계약이 유효하도록 관리해야 한다.

o 보안성 지속 서비스의 계약 방식

① 제품공급가에 일정 비율(예 10% 이상)을 적용하여 보안성 지속 서비스 대가를 별도로 산정

보안성 지속 서비스 대가 = 제품공급가 * 비율

- 기업의 서비스 정책에 따라 보안성 지속 서비스의 비율이 다를 수 있으므로, 해당 정보보호제품 및 서비스의 특성을 검토하여 지급  (주로 일체형 정보보호 제품군에 적용)

② 보안성 지속 서비스 제공 기업은 안티바이러스(백신), 스팸차단 솔루션 등과 같이 라이센스 형태로도 계약 가능

③ 사고시 긴급 대응 등 고객의 특정 요구에 따라 추가로 제공되는 서비스의 경우, 서비스 투여시간 및 인건비 등에 따라 별도로 책정 가능

o 보안성 지속 서비스 계약 예시

- 1차년도부터 정보보호 제품 도입 및 구축비(공급가)와 별도로 일정비율(예 10% 이상)을 보안성 지속 서비스 대가로 산정하여 계약

<보안성 지속 서비스 계약 예시>

구분	1차 년도	2차 년도 이후	비고
제품도입 및 구축비	10,000천원		공급가
유지관리	1,000천원	1,000천원	공급가의 10%
보안성 지속 서비스	1,500천원	1,500천원	공급가의 10%
합계	12,500천원	2,500천원

o 단계별 검토사항

발주자는 보안성 지속 서비스를 적용하기 위해 예산 확보단계부터 사업관리단계까지 다음의 사항을 검토하여 추진하여야 한다.

<계약 단계별 검토사항 예시>

단계	검토 사항
(1) 예산 확보단계	보안성 지속 서비스는 제품군별 특성에 따라 요율을 정하여(예 10% 이상) 서비스 대가 예산을 편성
(2) 발주단계	보안성 지속 서비스 발주를 구분하여 명기
(3) 계약단계	1차 년도 이후 연간(또는 일정 기간) 단위로 계약 체결
(4) 사업관리단계	발주기관은 원/하도급자 간 보안성 지속 서비스 계약 체결 및 지급여부 확인

Ⅱ. 정보보안컨설팅 대가산정

1. 정보보안컨설팅의 정의

“정보보안 컨설팅”이란 정보통신시설 및 시스템을 안전하게 보호하기 위하여 보호대책 수립, 위협 요인평가, 모의해킹, 마스터플랜 수립 등을 수행하는 일련의 과정을 의미한다.

정보보안 컨설팅에는 인증, 기반보호, 진단 및 모의해킹, 개인정보보호컨설팅, 종합보안컨설팅, 내부정보유출방지컨설팅 서비스 등이 있다.

- 인증(ISO, ISMS)은 조직이 수립 및 운영하는 관리체계가 정보보호 측면에서 적합한지를 판단하는 제도로 인증을 통해 정보보호 관리에 대한 인식을 제고해 보호해야할 정보통신망 및 정보자산의 안전성과 신뢰성을 향상시키는 것이 목적

- 기반보호는 주요정보통신서비스제공자(ISP), 집적정보통신시설사업자(IDC), 쇼핑몰 등의 정보통신서비스제공자의 정보통신망에 대한 침해사고 예방을 위하여 도입한 제도로서, 안전진단 대상자는 [정보보호조치 및 안전진단방법/절차/수수료에관한지침]에 대한 이행 여부를 지식정보보안 컨설팅 전문업체로부터 매년 확인 받도록 의무화 하고 있음

- 진단 및 모의해킹은 인가 받은 해킹 전담 컨설턴트에 의해 외부 또는 내부 네트워크상에서 실제 해커가 사용하는 최신 해킹기법 및 도구를 이용하여 네트워크, 서버 및 응용 프로그램의 취약점을 통해 정보 시스템으로의 침투 가능성을 진단하는 ‘Ethical Hacking’이며, 모의해킹을 통해 서버, 네트워크, 어플리케이션 상에 존재하는 취약점들을 심층적으로 분석함으로써 현재의 보안수준을 평가하고 이에 대한 종합적인 대응책과 권고안을 제시하여 보안성을 강화하는 것이 목적

- 개인정보보호컨설팅이란 온라인상에서 개인의 신용정보 등 중요한 개인정보를 보호하는 것을 목적으로 개인의 허락 없이 개인의 정보가 유출되어 도용되는 것을 방지하기 위한 서비스이며, 개인의 명의가 도용되어 사용하는 것을 막고 주민번호를 이용한 사이트 이용이나 계좌거래 등을 방지하기 위해 개인신상정보가 노출되지 않도록 차단 및 진단, 관리기능을 수행

- 종합보안컨설팅이란 조직의 목적을 달성하는데 있어 전산시스템과 네트워크 등 모든 IT 자산과 조직에 일어날 수 있는 위험을 분석하고 이에 대한 대책을 수립함으로써 관리자와 조직이 그 대책을 실현할 수 있도록 지원하는 독립적인 자문 서비스

- 내부정보유출방지컨설팅이란 고객정보, 핵심기술, 영업정보 등 기업의 내부 중요정보가 전산시스템, 사람 등에 의해 유출 될 수 있는 위협을 분석하고 이에 대한 대책을 수립하여 지원하는 자문 서비스

2. 적용 범위 및 원칙

정보보안컨설팅 서비스에 대한 별도의 대가산정 기준이 마련되기 전까지 ‘SW사업 대가산정 가이드라인’ 중 정보보안컨설팅 항목을 참고하여 산정한다.

Ⅲ. 보안관제 서비스 대가산정

1. 보안관제 서비스의 정의

보안관제서비스(MSS : Managed Security Service)는 고객의 IT자원 및 보안시스템에 대한 운영 및 관리를 전문적으로 아웃소싱(outsourcing)하여 각종 침입에 대체 중앙 관제센터에서 365일 실시간으로 감시 및 분석, 대응하는 활동이다. 정보자산에 대한 보안은 전문 보안업체에 아웃소싱하고, 고객은 자신의 핵심 역량에 집중 할 수 있는 선진화된 보안 서비스로 고객이 보유한 정보자산을 보호해주는 보안관리 대행 서비스를 의미한다.

2. 적용 범위 및 원칙

보안관제서비스에 대한 별도의 대가산정 기준이 마련되기 전까지‘SW사업 대가산정 가이드라인’ 중 소프트웨어 운영비 항목을 참고하여 산정한다.

[붙임 1] 정보보안컨설팅 및 보안관제 서비스 대가산정 참고사항

수명주기	대상 사업유형	대가산정 모형	적용가능시점
			예산확보단계	사업발주단계	사후정산단계
기획단계	정보전략계획(ISP)	컨설팅지수방식 정보전략계획수립비	O	O	X
		투입공수방식 정보전략계획수립비	O	O	O
	정보전략계획 및 업무재설계(ISP/BPR)	정보전략계획 및 업무재설계 수립비	O	O	O
	전사적아키텍처 (EA/ITA)	전사적아키텍처 수립비	O	O	O
	정보시스템마스터플랜(ISMP)	정보시스템 마스터플랜 수립비	O	O	O
	정보보안컨설팅	정보보안컨설팅 수립비	O	O	O
구현단계	소프트웨어 개발	기능점수방식 소프트웨어개발비(정통법)	O	O	O
		기능점수방식 소프트웨어개발비(간이법)	O	O	O
		투입공수방식 소프트웨어개발비	O	O	O
운영단계	소프트웨어 유지관리	요율제 유지관리비	O	O	X
	소프트웨어 운영	투입공수방식 운영비	O	O	O
	보안관제서비스	투입공수방식 운영비	O	O	O
	소프트웨어 유지관리 및 운영	고정비/변동비방식 유지관리 및 운영비	O	O	O
		SLA기반 유지관리 및 운영비 정산법	△	△	O
	상용소프트웨어 유지관리	상용소프트웨어 유지관리비	O	O	X
	소프트웨어 재개발	재개발비	O	O	O

[붙임 2] SW제품과 정보보호 솔루션 가격 정책 비교

□ 해외 업체의 일반 SW와 정보보호 솔루션의 서비스 정책을 비교한 결과 정보보호 솔루션에 10%~20% 이상의 추가적인 대가가 편성

ㅇ 일체형 정보보호 솔루션은 10%이상의 서비스 대가를 적용하고,  SW기반 정보보호 솔루션은 20% 이상의 서비스 대가 적용

<정보보호 솔루션(일체형) 서비스 대가>

[단위: 달러]

구분		네트워크제품*	정보보호솔루션**	비고
도입비		1,424	4,749	도입년도
서비스비	엔진업데이트	236(16%)	1,281(27%)	도입 2년째 부터
	즉시교체	331(23%)	1,044(22%)
요율		39%	49%	10% 차이

* 네트워크제품: 부하분산장치(Load Balancer), http://www.ntsecurity.com/barracuda-products.html

** 정보보호솔루션: 웹방화벽(Web App Firewall), http://www.ntsecurity.com/barracuda-products.html

<정보보호 솔루션(SW) 서비스 대가>

[단위: 달러]

구분	일반SW*	정보보호솔루션**	비고
도입비	2,000	7,000	도입년도
서비스비	438	3,000	도입 2년째 부터
요율	22%	43%	20% 차이

* 일반SW: 이메일보관SW(email archiving SW), http://www.altn.com/Purchase/Software/MailStore/

** 정보보호솔루션: 통합PC보안, http://usa.kaspersky.com/renewal/home-user-renewals

[붙임 3] 보안성 지속 서비스 대가 해외 사례

□ (미국) 제품의 하자보수를 중심으로 하는 기본적인 유지보수 업무 외에 보안성 지속 서비스 업무를 패키지화하여 적용

ㅇ 사용자와 공급자간 SLA(Service Level Agreement)를 통해 도입가의 평균 20-30%에 해당하는 서비스 계약을 체결

<미국 정보보호 제품 도입 사례 1(일체형)>

[단위: 달러]

제품명	FortiGate-310B(UTM)
제품구입비	25,520(12,759 x 2 대)	구입비
SI비용(설정변경포함 기본구성의 20% 적용)	5,104	설치비
연간 서비스 요금(기본구성의 28% 적용)	7,145	서비스비
첫 해 도입 시 필요한 금액(합계)	37,769

* FortiReporter Security Analyzer: 계약기간 중 SW Update 무료, 2년째부터 서비스 비용 20%

<미국 정보보호 제품 도입 사례 2(보안SW)>

[단위: 달러]

제품명	Network-DLP
첫해 라이선스 및 구축 비용	10,000	구입비
연간 서비스 요금(도입비용의 30% 적용)	3,000	서비스비

* 도입 2년째부터 서비스 비용 30% 적용

□ (일본) 비용보다는 보안 수준을 우선시 하는 SLA 중심의 정책을 전개하고 있으며, 업무 특성별 서비스 제공 기준에 따른 비용을 책정

ㅇ 사용자가 필요로 하는 보안성 지속 서비스 명시 및 소요비용을 개별적으로 체결하도록 개선

※ 일본은 정보보호 제품의 유지관리에 대해서 통상 20%이상의 대가 적용을 발주요건에 명시

<일본의 유지보수 서비스 항목 예시>

구분	서비스 종류	세부 내용
기본서비스	어플라이언스	전화지원
		메일지원
		원격지원
		시간: Office Time
		장비 센드백서비스(택배 교체)
	소프트웨어	전화지원
		메일지원
		원격지원
		시간: Office Time
옵션서비스	오피스타임 방문서비스	별도 계약
	365일24시간 방문서비스	별도 계약
기타서비스	케이스별 방문 서비스	교통비, 숙박비등 실비 청구

<일본의 서비스 대가 적용 사례>

[단위:엔]
구분	공급가	도입 후 1년	2년차 후 연간	요율	특이사항
어플라이언스	1,000,000	기본유지보수 무상	300,000	30%	HW/SW 포함
소프트웨어	1,000,000	기본유지보수 무상	250,000~300,000	25~30%
방문서비스 일반	150,000	첫해부터 유상			HW 교체 한정
방문서비스 356/24	400,000	첫해부터 유상			HW 교체 한정
방문서비스 SW		Case별 청구

* 위 예시는 일반SW 기준이며, 정보보호 제품은 30%에서 최고50%의 서비스 요율 형성

[붙임 4] 보안성 지속 서비스와 유지관리 항목 비교

구분		서비스		서비스 내용
보안성지속 서비스		보안업데이트		보안업데이트: 패턴 업데이트(룰패턴 및 시그니쳐), IT환경변화(신규 OS/시스템 및 단말/표준 등)에 대한 패치
		보안정책관리		사용자 환경에 따른 보안정책 수립/변경
		위협/사고분석		침해사고대응(사전/사후), 제품군별 위협분석보고서 등
		보안성 인증효력 유지		CC인증, 보안적합성 검증, KCMVP 등 각종 보안성 인증 유지
		보안기술자문		모의훈련대응, 정보보호 교육, 원격문의 대응, 보안감사 지원 등
유지관리	제품 관련	제품 수정 및 보완	패치 서비스	새로운 기술의 적용이나 운영체제의 변화 등으로 발생하는 불일치 조정
			업데이트	기존 SW 제품의 기능을 보완하기 위하여 추가되는 서비스
		기능 향상	업그레이드	기존 SW 제품을 향상시키기 위하여 새로운 버전으로 교체하는 서비스
	기술 지원	일상지원		전화/email, 온라인 지원 등을 통한 질의 응답
		(긴급)장애처리		사용자가 긴급한 문제를 해결하기 위해 장애처리 및 정비 서비스를 요청한 경우에 온라인으로 혹은 고객 사이트를 방문하여 문제를 해결하는 서비스
		예방/예측지원		시스템의 장애를 사전에 예방하기 위하여 현장방문이나 온라인을 통해 정기적으로 지원하는 정기 점검, 정기 성능 조율 서비스
		고객 맞춤지원		주변 환경에 적합하도록 맞추는 커스터마이제이션, 마이그레이션 서비스
	교육	운영자 교육		제품 운영을 위한 운영자 교육
		사용자 교육		제품 사용을 위한 사용자 교육

[붙임 5] 정보보호 제품과 일반 SW의  공급비용 비교

구분	항목	정보보호 제품			일반 SW			비고
		투입인원	단가	비용	투입인원	단가	비용
정보 보호 서비스	보안업데이트	2	45,000	90,000				패턴, 시그니쳐 업데이트, 신규 모바일OS/디바이스 연구 대응 등
	보안정책관리	1	45,000	45,000				보안정책 수립/변경
	위협/사고분석	3	60,000	180,000				침해사고, 신규 악성코드/스팸 수집 및 분석
	보안성 인증효력유지	1	60,000	60,000				CC인증, 보안적합성 검증 및 효력유지 등
	보안기술자문	1	60,000	60,000				모의훈련대응, 정보보호 교육, 사고 시 대기 및 기술자문 등
유지 관리	제품지원	3	70,000	210,000	3	70,000	210,000	보완개발
	기술지원	3	45,000	135,000	3	45,000	135,000	QA
	사용자지원	3	45,000	135,000	3	45,000	135,000	교육 등
합계		-		915,000	-		480,000	1.9배 이상의 추가지출 발생

■제ㆍ개정이력

일자	내용	비고
‘15. 6.	정보보호 서비스 대가산정 가이드 제정	Ver 1.0