협력고객사는 스타벅스와 체결하는 계약(구매, 용역 등 이에 국한하지 않음, 이하 계약)의 수행과 관련하여 스타벅스로부터 취득한 업무정보, 영업정보, 개인정보 등(총칭하여 ‘기밀정보’)을 보호하기 위하여 다음의 규정을 준수할 것을 동의합니다.
제 1 조 (목 적)
본 정보보호준수 동의는 스타벅스의 기밀 정보를 협력 고객사가 인가 받은 목적 및 용도 안에서 필요 최소 범위 내에서만 활용하고, 제3자에게 임의로 제공하거나 공개하지 않음을 규정하기 위한 목적이다.
제 2 조 (준수 기간)
본 동의는 동의 또는 계약이 체결되는 시점부터 사업수행 중은 물론 사업 완료 후에도 계속되며 스타벅스의 기밀정보를 사전에 스타벅스의 승인없이 제3자에게 제공하지 않음을 확인합니다.
제 3 조 (기밀정보)
본 동의에서 ‘기밀정보’란 계약과 관련하여 양 당사자가 업무를 진행하는 과정에서 스타벅스가 협력 고객사에게 서면, 구두, 전자적 방법에 의한 전송 또는 기타의 방법으로 제공하는 모든 기술, 문서, 파일, 데이터, 계정정보, 업무정보, 고객정보(개인정보) 등 일체의 정보로서 유∙무형의 여부 및 그 기록 형태를 불문한다. 기밀정보는 [별표2]누출금지대상 정보를 포함한다.
제 4 조 (기밀정보의 사용 제한)
협력 고객사는 스타벅스의 사전 서면 승인이 없는 한 ‘기밀정보’를 용역 외에 다른 목적이나 용도로 사용할 수 없으며, 용역과 관련하여 사용할 경우에도 필요한 업무 수행의 범위를 초과하여 ‘기밀정보’를 임의로 복제, 수정, 저장, 변형 또는 분석하는 등의 행위를 할 수 없다.
제 5 조 (기밀정보의 제외 사유)
다음 각 호에 해당하는 정보임이 객관적인 증거에 의하여 입증되는 경우에는 ‘기밀정보’에 해당하지 아니한 것으로 본다.
1. 협력 고객사의 귀책 사유에 의하지 아니하고 공지의 사실로 된 정보
2. 협력 고객사가 적법하게 제3자로부터 제공받은 정보
3. 협력 고객사가 ‘기밀정보’를 이용하지 아니하고 독자적으로 개발한 정보
4. 스타벅스가 기밀유지의 의무를 사전에 고지하지 않고 제공한 정보
제 6 조 (보 증)
① 스타벅스는 ‘기밀정보’의 현상태 그대로 제공하며, ‘기밀정보’의 정확성 및 완전성이나 사업 목적에 대한 적합성 및 제3자의 권리침해 여부에 대한 어떠한 보증도 하지 않는다.
② 스타벅스는 협력 고객사가 ‘기밀정보’를 사용함에 따른 결과에 대하여 어떠한 책임도 지지 아니한다.
제 7 조 (권리 의무의 양도 금지)
스타벅스와 협력 고객사는 상대방의 서면 동의없이 본 협약서의 약정상의 권리 및 의무 전부 또는 일부를 제3자에게 양도 또는 대여할 수 없다.
제 8 조 (기밀정보에 대한 권리귀속)
① 공동소유 소프트웨어를 제외한 ‘기밀정보’는 스타벅스에게 소유권 및 지적재산권 등 일체의 권리가 있으며, 본 첨부계약이 기밀정보(공동소유 소프트웨어 포함)에 대하여 협력 고객사에게 이러한 권리를 양도하거나 권리의 사용을 허락하는 것으로 해석되지 아니한다.
② 스타벅스의 ‘기밀정보’를 통하여 특허출원 등이 가능할 경우 특허 등을 출원할 권리는 스타벅스에게 있으며, 협력 고객사가 스타벅스로부터 제공받은 ‘기밀정보’를 개량 기타 지적활동을 통하여 새로운 기술, 정보 및 지적재산권을 형성하고자 하는 경우 스타벅스의 사전 서면 동의를 얻어야 한다.
제 9 조 (기밀정보의 반환 및 확인)
협력 고객사는 계약기간의 만료 등의 사유로 본 계약이 종료된 경우, 용역이 종료 또는 중지된 경우, 스타벅스가 언제라도 서면에 의하여 요구하는 경우에는 지체없이 스타벅스에게 ‘기밀정보’의 원본, 사본 및 ‘기밀정보’를 이용하여 생성한 서면, 자료, 데이터 등을 스타벅스의 선택에 따라 반환하거나 폐기하여야 하며, 폐기한 경우에는 그때로부터 10일 내에 스타벅스에게 서면에 의한 확인서를 제출하여야 한다.
제 10 조 (보안관리계획 제출)
협력 고객사는 용역 수행에 사용되는 문서, 인원, 장비 등에 대하여 보안대책 및 ‘기밀정보’에 대한 보안관리계획을 사업수행계획서에 기재하여야 하며, [별표2]누출금지 대상 정보 누출 시 스타벅스는 협력 고객사를 [별표3]사업자 보안위규 처리기준에 따라 보안 위약금을 스타벅스에게 납부한다.
제 11 조 (보안정책의 준수)
① 협력 고객사는 정보보호 관련 법률 및 스타벅스의 보안정책을 준수하여야 한다.
② 협력 고객사는 스타벅스의 용역을 위한 업무 시작 시 “보안서약서”를 작성한 후 서명 또는 날인하여 스타벅스에게 제출하여야 하며, 스타벅스의 용역 종료 시 “비밀유지서약서”를 작성한 후 서명 또는 날인하여 스타벅스에게 제출하여야 한다.
③ 협력 고객사는 스타벅스의 용역 수행 인력 대상으로 기밀정보가 분실∙도난∙유출∙변조 또는 훼손되지 아니하도록 정보보호 교육을 시행하여야 한다.
④ 협력 고객사는 스타벅스가 제공하고 지정한 장소에서 스타벅스의 시스템에 대한 용역을 위한 업무를 수행하여야 한다.
⑤ 협력 고객사가 정보시스템 소프트웨어 개발 용역을 수행할 경우, 스타벅스의 “개발보안지침”에 명시한 ‘소프트웨어 개발보안 활동’을 적용 및 이행하여야 한다.
제 12 조 (보안 점검)
협력 고객사는 보안 사고의 예방을 위해 계약기간 중 월 1회 이상 자체적으로 보안 점검을 실시하고 점검 결과물을 스타벅스에게 제출하여야 한다. 단, 스타벅스의 보안정책에 따른 스타벅스의 협력 고객사에 대한 보안 점검 시 협조로 갈음할 수 있다. 스타벅스는 기밀정보가 유출되었다는 근거가 있을 경우 협력 고객사에게 사전에 통보하고 협력 고객사의 사업장을 방문하여 사실 확인을 위한 조사를 10일 이내(필요시 연장 가능)로 실시하고 필요한 조치를 취할 수 있다.
제 13 조(보안 위약금)
협력 고객사는 스타벅스의 보안정책을 위반하였을 경우 [별표3]의 위규처리 기준에 따라 위규자 및 관리자를 행정조치하고 [별표1]의 보안 위약금을 스타벅스에게 납부한다.
[별표1] 보안위약금 부과 기준
1. 위규 수준별로 A~D등급으로 차등 부과
| 구분 |
위규 수준 |
| A급 |
B급 |
C급 |
D급 |
| 위규 |
심각 1건 |
중대 1건 |
보통 2건 이상 |
경미 3건 이상 |
| 위약금 비중 |
발생한 손해 전부 배상 |
계약금액의 2% 이하 |
계약금액의 1% 이하 |
계약금액의 0.5% 이하 |
※ 위규 수준은 [별표 사업자 보안위규 처리기준] 참고
※ 장기계속계약의 경우 계약금액은 당해연도 계약금액을 말함
2. 보안 위약금은 다른 요인에 의해 상쇄, 삭감이 되지 않도록 부과
3. 사업 종료 시 지출금액 조정을 통해 위약금을 정산할 수 있음
[별표2] 누출금지 대상 정보
1. 회사 소유 정보시스템의 내∙외부 IP주소 현황
2. 세부 정보시스템 구성현황 및 정보통신망 구성도
3. 사용자계정∙비밀번호 등 정보시스템 접근권한 정보
4. 정보통신망 취약점 분석∙평가 결과물
5. 용역사업 결과물
6. 정보보호시스템 도입 현황(단, 계약상 필요하다고 인정되는 불가피한 정보는 사전승인을 득하여 제외할 수 있음)
7. 침입차단시스템∙방지시스템(IPS) 등 정보보호제품 및 라우터∙스위치 등 네트워크 장비 설정 정보
8. 「개인정보보호법」제2조 제1호의 개인정보
9. 「정보보호업무지침」제15조의 1급, 2급 대상 정보
10. 그 밖에 스타벅스에서 사전에 공문 등을 통해 공개가 불가능하다고 지정한 자료
[별표3] 사업자 보안위규 처리기준
| 구분 |
위규 사항 |
처리 기준 |
| 심각 |
1. 비밀(1급) 및 대외비(2급) 급 정보 유출 및 유출시도
가. 정보시스템에 대한 구조, 데이터베이스 등 관련된 일체의 정보 유출
나. 개인정보 등의 유출
2. 정보시스템에 대한 불법적 행위
가. 관련 시스템에 대한 해킹 및 해킹시도
나. 시스템 구축 결과물에 대한 외부 유출
단, 협력 고객사가 외부 반출을 스타벅스에게 사전 승인을 득한 결과물은 제외
다. 시스템 내 인위적인 악성코드 유포
|
-스타벅스에 발생한 손해 전부 배상
-협력 고객사에게 위규자 및 감독자의 징계를 요청하고 협력 고객사는 해당 결과를 통보
-재발 방지를 위한 조치계획 제출
-위규자 대상 특별 보안교육 실시
|
| 중대 |
1. 기밀정보 관리 소홀
가. 기밀정보의 방지
나. 기밀정보를 휴지통∙폐지함 등에 유기 또는 이면지 활용
다. 개인정보∙신상정보 목록을 책상 위 등에 방치
라. 기타 기밀정보에 대한 관리소홀
2. 통제∙제한구역의 보안관리 허술
가. 통제∙제한구역 출입문을 개방한 채 퇴근
나. 인가되지 않은 작업자의 내부 시스템 접근
다. 통제제한구역 내 장비∙시설 등 무단 사진촬영
3. 전산정보 보호대책 부실
가. 업무망 인터넷망 혼용사용, 보안 USB 사용규정 위반
나. 웹하드∙P2P 등 인터넷 자료공유사이트를 활용하여 용역사업 관련 자료 수발신
다. 인가되지 않은 원격작업 사용
라. 저장된 기밀정보의 보안대책 미적용(패스워드 또는 암호화)
마. 인터넷망 연결 PC 하드디스크에 기밀정보를 저장
바. 외부용 PC를 업무망에 무단 연결 사요
사. 보안관련 프로그램 강제 삭제
아. 사용자 계정관리 미흡 및 오남용(시스템 불법접근 시도 등)
**가, 마 항은 스타벅스가 환경 구축을 완료한 시점부터 적용
|
-협력 고객사에게 위규자 및 감독자의 징계를 요청하고 협력 고객사는 해당 결과를 통보
-재발 방지를 위한 조치계획 제출
-위규자 대상 특별 보안교육 실시
|
| 보통 |
1. 기관 제공 중요 정책∙민감 자료 관리 소홀
가. 주요 현안 자료를 책상 위 등에 방치
나. 정책∙현안 자료를 휴지통∙폐지함 등에 유기 또는 이면지 활용
2. 사무실 보안관리 부실
가. 사무실 출입문을 개방한 채 퇴근
나. 캐비닛∙서류함∙책상 등을 개방한 채 퇴근
3. 보호구역 관리 소홀
가. 통제∙제한구역 출입문을 개방한 채 근무
나. 보호구역 내 비인가자 출입허용 등 통제 미실시
4. 전산정보 보호대책 부실
가. 휴대용 저장매체를 책상 위 등에 방치한 채 퇴근
나. 비인가 메신저 무단 사용
다. 인가받지 않은 PC를 켜 놓거나 보조기억 매체(CD, USB 등)를 꽂아 놓고 퇴근(인가받은 경우라도 ‘라’, ‘마’항을 위반한 경우 제외)
라. 부팅∙화면보호 패스워드 미부여 또는 “1111” 등 단순숫자 부여
마. PC 비밀번호를 모니터옆 등 외부에 노출
바. 비인가 보조기억매체 무단 사용
|
-협력 고객사에게 위규자 및 감독자의 징계를 요청하고 협력 고객사는 해당 결과를 통보
-위규자 및 직속 감독자 사유서 / 경위서 징구
-위규자 대상 특별보안교육 실시
|
| 경미 |
1. 사무실 보안 및 스타벅스의 업무 관련서류 관리 소홀
가. 진행중인 업무자료를 책상 등에 방치, 퇴근
나. 복사기∙인쇄기 위에 서류 방치
다. 출입키를 책상 위 등에 방치
2. 근무자 근무상태 불량
가. 각종 보안장비 운용 미숙
나. 경보∙보안장치 작동 불량
3. 전산정보 보호대책 부실
가. PC내 보안성이 검증되지 않은 프로그램 사용
나. 보안관련 소프트웨어의 주기적 점검 위반
|
-위규자 서면∙구두 경고 등 문책
-위규자 사유서 / 경위서 징구
|
