앞으로 행정·공공기관의 정보보호서비스 계약시 특수한 과업을 명확히하고, 세부 수행 내용을 규정해야 한다. 또 발주자와 수급사업자간 계약 관계에서 발생하는 권리와 의무사항 등을 명시하는 방안이 추진된다.

5일 과학기술정보통신부에 따르면 이 같은 내용이 담긴 '행정·공공기관용 정보보호서비스 표준계약서'를 마련했다. 그간 공공부문에서는 용역계약 일반조건에 따라 계약을 맺으면서 발생되던 부당한 추가 과업지시 관행을 개선하는 것을 골자로 한다.

표준계약서는 총 4장 32개 조문으로 구성됐으며 △정보보안컨설팅서비스 △보안성지속서비스 △보안관제서비스 3개 유형으로 각 서비스별 계약의 세부 내용을 규정했다.

구체적으로 정보보안컨설팅서비스는 주요정보통신·전자금융 기반시설 취약점 분석·평가, 정보보호 관리체계 인증, 개인정보 영향평가, 취약점 진단 및 모의해킹, 개발보안 및 보안강화 컨설팅 등의 내용이 담겨 있다. 보안성지속서비스는 보안업데이트, 보안정책관리, 위험·사고분석, 보안성 인증효력유지, 보안기술 자문을 명시했다. 보안관제서비스 부문에는 보안위협 모니터링 및 사이버위협 징후 실시간 대응조치, 기획·진단·분석·운영서비스, 기타 발주자와 수급사업자가 합의한 개별 서비스 등을 규정했다.

세부 수행범위는 수급사업자와 발주자가 협의를 통해 결정하기로 했다. 시스템 변경 시 사전통지, 서비스 제공에 필요한 관련자료 제공 및 현장실사 협조 등 발주자 협력도 의무화 했다. 해킹 등 침해사고 발생 시에는 긴급조치 등 수급자 의무를 세부적으로 규정했으며, 계약 내용에 대해 양 당사자 간 분쟁이 발생한 경우 정보보호산업 분쟁조정위원회에 조정을 신청할 수 있도록 해결 방안을 제시했다. 

정부는 향후 행정·공공기관에 표준계약서 사용을 권고하고, 실태를 점검해 표준계약서 사용을 촉진한다는 계획이다. 행정·공공기관의 계약담당자는 정보보호서비스의 세부 유형에 따라 표준계약서 중 필요한 조항을 차용(붙임)해 계약서를 작성할 수 있다.

송정수 과기정통부 정보보호정책관은 "본 표준계약서를 통해 정보보호서비스 계약의 과업 범위를 명확히 함으로써 부당한 추가 과업지시 관행을 개선하게 될 것"이라며 "합리적인 거래질서가 정착돼 선순환적인 정보보호 산업 생태계 조성에 기여하길 바란다"고 말했다.