오픈소스 검사도구 규격서

2022. 3.

Ⅰ	일반사항

1. 개요

□ 계 약 명 : 오픈소스 검사도구 및 사용 라이센스 구매

□ 사용기간 : 계약체결일로부터 1년

2. 활용 목적

□ 「5G 기반 조선해양 스마트 통신 플랫폼 및 응용서비스 개발 사업」의 개발SW에 활용되는 오픈소스 점검 및 분석

□ 오픈소스 점검 및 분석을 통한 활용 가능 오픈소스 선별 및 취약점 보완을 통한 SW품질 개선 및 제품경쟁력 확보

3. 주요 사양

□ 제품명/제조사 : Whitesource/Whitesourcesoftware

□ 유연한 클라우드 시스템

- 실시간 업데이트 되는 대용량 데이터베이스에 대한 효율적 관리 가능

- 클라우드를 통해 최신 보안 정보 자동 업데이트되어 기존 분석 결과에 반영

- 국제표준 정보보호 인증(ISO 27001)인증으로 안전한 클라우드 프로세스 제공

□ 정확한 디지털 시그니쳐 탐지

- 파일 해시값 추출 기술과 암호화 통신을 통해 소스코드 외부 유출 위험 없이 신속하고 정확한 탐지 가능

- 수정된 오픈소스도 오탐 없는 정확한 식별로 담당자의 추가적인 오탐 선별 작업 업무 불필요

□ DevOps에 최적화된 개발 편의 기능

- 저장소에서 오픈소스 선택 시 저장소 및 웹브라우저에서 해당 오픈소스 관련 정보를 제공하여 올바른 오픈소스 선택 가능

- 개발 IDE 플러그인 연동 및 다양한 개발 지원 도구와의 연동으로 자동화된 DevSecOps 제공

Ⅱ	제품 상세 기능

구 분	요구사항 상세 설명
제품 운영	○ 오픈소스 운영자가 사용 가능한 라이선스 제공 ○ 분석 대상 소스코드 용량은 제한이 없어야 함 ○ 오픈소스 점검 요청 및 점검 현황을 관리하고 모니터링 할 수 있는 오픈소스 관리 기능 제공 ○ 외부망으로 데이터 통신 시 통신 구간 암호화 적용 ○ 고객 관련 데이터 암호화 저장 ○ 보안설계, 보안성 심의, 취약점 점검 등 제품의 체계적인 보안활동을 검증할 수 있는 인증 자료 제출 - ISO 27001 인증 등(국제표준 정보보호 인증) ○ 프로덕트별로 관리자를 각각 지정할 수 있는 기능 제공 ○ 유저 단위의 접근 제어 기능 제공 ○ 조직별, 프로덕트별, 프로젝트별 통계 화면 제공 ○ 오픈소스 라이브러리 검색 기능 제공 ○ 관리자가 중앙에서 점검정책 관리할 수 있는 기능 제공 ○ 라이선스 종류에 따른 정책 설정 기능 제공 ○ 보안 취약점 수준에 따른 정책 설정 기능 제공 ○ 품질에 따른 정책 설정 기능 제공 ○ 새로운 보안 취약점에 대한 실시간 알림 제공 ○ 오픈소스 점검 결과에 대한 종합적인 분석 결과물 제공 ○ 다양한 형태와 다양한 파일 형식 보고서 지원 (엑셀, XML, PDF 등)
점검 엔진	○ 디지털 시그니쳐 방식의 빠르고 정확한 오픈소스 점검 ○ 다양한 프로그래밍 언어 지원 - 200가지 이상: C, CP, CPP, CXX, C++, JAVA, JavaScript, PHP, C#, .NET, Go, Perl, SQL, Swift, Python, Nuget, Ruby, Debian, RPM, Arch Linux, Alpine, Action Script, Misc. 등 ○ 오픈소스 관리시스템 정보 DB 최신으로 자동 업데이트 ○ 소스 파일 및 바이너리 형태 파일 분석 가능 - jar, war, ear, aar, dll, exe, msi, nupkg, egg, whl, tar.gz, gem, deb, udeb, dmg, drpm, rpm, pkg.tar.xz, apk, zip, gzip, tar.bz2, tgz 등
점검 지원	○ 오픈소스 라이선스, 보안취약점, 품질에 대한 통합 점검 제공 ○ 오픈소스 선택 단계(저장소)에서 웹 플러그인 통한 오픈소스 정보 확인 기능 제공 - 보안 취약점, 라이선스, 품질, 버전, 내부 정책 위반 사항 등 ○ 탐지 된 보안 취약점에 대한 개선방안 제공 ○ 탐지 된 버그의 해결 방안 제시 ○ 취약점이 존재하는 오픈소스 라이브러리 위치 정보 제공 ○ 오프라인 스캐닝 도구 제공
라이선스 점검	○ 라이선스 정보 및 위험 평가 수치 제공 ○ 다중 라이선스 식별 지원 ○ 다양한 형태의 대시보드 제공 ○ 특허권 및 저작권 정보 제공 ○ 라이선스 확인이 필요한 경우 도구 제조사에 확인 요청 기능
보안취약점 점검	○ 다양한 오픈소스 보안 저장소 기반의 취약점 DB - NVD, GitHub 이슈트래커, 오픈소스 프로젝트의 버그트래커, 12가지 이상의 보안 권고 등 ○ CVE(Common Vulnerabilities and Exposures) 지원 ○ 취약점 평가 점수 CVSS 2.0, CVSS 3.0 제공 - Base Metric, Temporal Metric, Enviromental Metric을 반영해 점수 산정 ○ 보안 취약점 영향 분석 지원 - 프로젝트에 실제 영향을 줄 수 있는 보안취약점만을 식별 (Java, Scala, Kotlin, Java Script 지원)
품질 점검	○ 심각도에 따른 소프트웨어 버그 추적 ○ 오픈소스 Activity와 유지보수 수준 추적 ○ 버전별 품질 점수 평가 제공
도구 연동	○ Legacy 시스템 및 보안 포털과의 원활한 연동 위한 상세 API 기능 제공 - 취약점 세부 항목 (이름, 점수, 위험도, 개수, 권고 수정사항, 라이브러리 이름, 라이브러리 버전, 라이브러리 설명 등) - 인벤토리 세부 항목 (라이브러리 MatchType, 타입, 개수, 라이선스명, 멀티 라이선스 목록 및 개수 등) - 프로덕트/프로젝트 항목 (목록, 개수, 생성, 삭제) - 조직 정책 위반 항목 (위반 라이브러리 개수, 조직/프로덕트/프로젝트 정책 목록 및 개수) ○ 다양한 CI서버 연동 - Azure Pipelines, Jenkins, Atlassian Bamboo, TeamCity, Visual Studio Team Services, Circleci, Travis CI 등 ○ 다양한 빌드 툴 연동 - Apache Maven, Bundler, Gradle, SBT, Apache ANT, Bower, Setuptools, NAnt, AWS CodeBuild, Google Cloud Build 등 ○ 다양한 저장소 연동 - GitHub, JFrog Artifactory, JFrog Xray, Docker, inedo, GitLab, AMAZON ECR, Google Container Registry, Azure Container Registry, Bitbucket 등 ○ 다양한 이슈 트래커 연동 - Microsoft TFS / VSTS, Jira 등

Ⅲ	계약조건

□ 유지관리의 내용

- (최신상태 유지) 계약업체는 납품 대상 장비의 운영체제 및 S/W에 대해서 업그레이드(Minor Version) 및 패치작업 요청 시 지체 없이 일괄 무상으로 제공, 설치하여야 한다.

- (정품 인증) 납품하는 라이선스는 제조사로부터 공급받은 정품이여야 하며, 정품여부 및 라이선스 기간을 확인할 수 있도록 인증서류를 제공하여야 한다.

- (예방 정비보수) 계약업체는 대상 장비 및 S/W 가동을 양호한 상태로 유지하기 위하여 분기별 1회 이상 정기점검을 실시하여야 하며 장애 발생 시 원격 또는 방문하여 정비보수를 하여야 한다.

- (공식 공급사) 계약업체는 제조사의 공식 공급사(파트너)이여야 하며, 이를 증빙할 수 있는 서류를 제공하여야 한다.

- (물품 규격) 계약업체가 공급하는 계약 물품은 제품 상세규격의 기능과 성능을 모두 충족시키는 동등 규격 이상을 납품하여야 한다.

- (기술 지원) 계약업체는 유지관리 계약기간 중 수요기관이 요청한 기술 및 운영 지원에 대해서 적극 지원하여야 한다.

□ 납품 및 설치

- (설치) 계약자는 계약체결일로부터 15일 이내에 발주처가 지정하는 장소에 물품을 납품 및 설치하고 정상 가동을 완료하여야 한다.

- (규격) 납품되는 물품은 요구규격과 요구조건을 충족하는 것이어야 하며, 납품 검사 시 이를 만족하지 못하면 재납품하여야 하며 이로 인해 발생되는 지체상금은 계약자가 책임진다.

- (검사) 계약자는 납품일정을 고려하여 최소한 납품일로부터 3근무일 전에 “수요자”의 검사관에게 검사의뢰를 하여야 하며, 납기 전에 납품물량을 검사관에게 납품하여 검사를 받아야 한다.

- (추가 비용) 계약자는 계약기간 이내에 물품 일체를 일괄납품, 설치 및 검사를 완료하여야 하며, 정상적인 운영과 관련되어 발생하는 제반 추가비용은 “공급자”가 부담한다.

- (추가 비용) 장비운영을 위해 부수 물품이 필요한 경우에는 계약자는 부수 물품을 포함하여 납품하여야 하며, 발주처는 장비운영 관련 최신기술 및 교육 자료, 운영매뉴얼(한글 원칙, 불가시 발주처의 승인 하에 영문 가능)을 발주처의 요구 시 제공한다.

□ 기술, 교육 및 운영지원

- 계약업체는 운영 및 장애조치 등에 필요한 기술이전을 발주처 담당자에게 충실히 이행하여야 함.

- 계약업체는 납품된 제품과 관련된 제반기술에 대한 사용자 매뉴얼을 작성하여 발주처의 승인을 받은 후 “사용자 매뉴얼”을 최종 검수․검사시에 제출해야 함.

- 교육과 관련 추가 요청이 있을 때에는 상호 협의 하에 적극 지원하여야 함.

- 검수 완료일로부터 유지보수 계약 만료일까지 추가되는 운전 및 운용에 대한 교육비용은 납품업체가 부담 함.

- 추후, 납품된 제품와 연동이 필요한 장비가 입고될 경우 해당 장비와 연동 및 비교 검사에 필요한 기술지원을 하여야 함

□ 검사 및 검수

- (증비 제출) 계약자는 계약 후 5근무일 전까지 다음 각 호의 서류를 발주처에게 제출하여야 한다.

· 제조사의 물품 납품 상세 명세서 1부

· SW 라이선스(SMS) 갱신 증빙서류 각 1부

· 동글키, 매뉴얼 등 기타 필요 물품

- (검사의 범위) 검사의 범위는 납품된 SW의 설치에 따른 정상 가동여부에 대한 확인과정을 포함한다.

- (현장 시험) 계약자는 발주처의 담당자 입회하에 각종 현장시험을 실시하여 정상작동 여부를 입증하고, 시험 시 발견되는 장애나 불합리한 문제점, 보완요구사항 등에 대해서는 즉시 조치하여야 한다.

- (시험 생략) 현장 시험 및 확인 시 규격표시를 인증 받은 제품 및 특수규격이 필요 없는 시중 상용성 물자는 검수관의 판단 하에 별도의 시험을 생략할 수 있다. 이때 계약자는 발주처가 인정할 수 있는 “시험성적 보고서” 등의 관련 증빙서류의 제출 및 기타 확인 과정을 통하여 이를 입증하여야 한다.

- (검사결과) 검사결과는 합격 또는 불합격으로 판정하고, 불합격 시 계약자는 제반 불합격 사항을 보완하여 재검사를 요청하여야 하고 발주처는 재검사를 실시한다.

- (검수) 검수관은 계약서의 내용대로 납품되었는지, 납품된 증명서, 운영SW 라이센스 등에 대한 검사 결과가 합격으로 판정되었는지 등을 종합하여 검수를 실시한다.

□ 변상의 의무

- (현물 배상 원칙) 계약업체의 과실로 인한 장비의 파손이나 훼손 등은 계약업체가 변상하여야 하며, 현물 배상을 원칙으로 한다. 현물 배상이 어려울 시 수요기관과 상호 협의하여 원상복구 조치를 취하여야 한다.

□ 대가의 지급

- 대가 지급은 계약 후 일괄 지급하며, 계약일로부터 14일 이내에 지급하여야 한다. 다만, 계약상대자가 계약일 후에 대가의 지급을 청구하였을 때에는 그 청구를 받은 날부터 5일 이내에 지급하여야 한다.

□ 안전관리 및 재해관리

- (안전관리 교육) 계약업체는 작업요원의 정기적인 안전관리 교육을 이행해 안전재해를 예방하여야 한다.

- (민·형사상 책임) 계약업체는 안전관리 소홀로 인하여 발생되는 재해에 대한 민·형사상의 모든 책임을 지며 손해를 입혔을 경우는 즉시 원상복구 및 변상하여야 한다.

Ⅳ	기타사항

1. 기타사항

□ (장애 발생에 대한 책임한계) 계약업체는 대상 도구의 사용기간 중 계약업체의 과오, 부주의로 인해 발생한 인명피해, 재산피해, 기타 제3자에 대한 피해 등의 모든 책임을 부담한다.

단, 다음의 사유로 인한 장비의 장애는 제외한다.

1) 천재지변, 전쟁 또는 소요사태

2) 감독원의 고의 또는 과실

3) 감독원의 임의에 의한 기기의 개조 또는 규격이 상이한 부품을 교체사용

4) 계약업체 직원 외 제3자의 임의의 보수

□ (계약의 해지) 발주자는 다음과 같은 사유가 발생 시 계약을 해지할 수 있다.

1) 계약업체의 자격 미달

2) 긴급보수 호출 시 도착 시간(48시간) 2회 이상 지연 시

3) 용역수행 불성실로 인한 2회 이상 용역 수행 요청 공문 발송 시

4) 기밀유지를 못한 경우

별첨 1. 정기점검 보고서 및 장애 보고서서식 1부.

2. 보안서약서 서식 각 1부.

[별첨1]

정기점검 보고서 서식

1. 정기점검 내용

점검대상	오픈소스 검사도구	점검일시
제조사(공급사)
점 검 결 과
구 분	점검내역	조치내역 및 결과
기타조치내역

2. 장애조치

장애발생시간		조치완료시간
장 애 유 형		동일유형 장애발생여부 및 건수
장 애 내 용
조 치 사 항
특이 및 기타사항

※ 계약 업체와 협의에 따라 변경될 수 있음

[별첨2]

보안 서약서

서   약   서

본인은 2022년   월   일부로 「오픈소스 검사도구 납품」과 관련한 업무(입찰, 설치, 유지보수 등 그 밖의 관련업무)를 수행함에 있어 다음 사항을 준수할 것을 엄숙히 서약합니다.

1. 나는 이 기밀을 누설함이 범법행위가 됨을 명심하고 재직 중은 물론 퇴직 후에도 알게 된 모든 기밀사항을 일절 타인에게 누설하지 아니한다.

2. 나는 기밀을 누설한 때에는 아래의 관계법규에 따라 엄중한 처벌을 받을 것을 서약한다.

가.「형법」제99조(일반이적) 및 제127조(공무상 비밀의 누설)

2022년   월    일

서약자      소속

직급   대표     주민번호(앞)

직위   대표     성명       인

서  약      소속      직급

집행자                직위