内江市卫生健康委员会等保测评服务采购项目（第二次）竞争性磋商公告

竞争性磋商公告
项目概况：
（略）卫生健康委员会等保测评服务采购项目（第二次）（略）获取：（略）
一、（略）：NJRH-（略）
项目名称：（略）
采购方式：（略）
预算金额：280,000.00元
最高限价：260,000.00元
采购保证金：人民币4,000.00元（大写：肆仟元整）。
采购需求：
前提：本章带“★”的条款为实质性要求，不允许负偏离，如有负偏离作无效响应处理。
一、项目概述
根据《（略）络安全法》、《信息安全等级保护管理办法》、为进一步贯彻落实国家信息安全等级保护制度，按照国家信息安全等级保护有关政策和标准规范，（略）等级保护定级、备案、安全整改和等级保护测评工作，进一步完善信息安全管理体系和技术防范体系、（略）整体安全保护能力。现（略）卫生健康委员会拟通过竞争性磋商采购方式：（略）
★二、项目清单
（略）（平台）包括：
（略）
（略）名称：（略）
安全保护等级
1
（略）
三级
2
（略）（略）
三级
3
（略）
三级
4
（略）
二级
5
（略）（略）
二级
★三、技术、服务要求
（一）等级保护测评服务要求
1、服务范围
（略）
（略）
标的名称：（略）
备注
1
1-01
（略）（平台）技术安全性测评
包括但不限于：物理安全、网络安全、主机安全、应用安全、数据安全。
1-02
（略）（平台）管理安全测评
包括但不限于：安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理。
2、依据标准
《（略）络安全法》
GB/T（略）《（略）络安全等级保护基本要求》
GB/T（略）《（略）络安全等级保护测评要求》
GB/T（略）《（略）络安全等级保护测评过程指南》
GB/T（略）《（略）络安全等级保护测试评估技术指南》
《信息安全等级保护管理办法》公通字[2007]43号
《网络安全等级保护测评机构管理办法》公信安[2018]765号）
3、测评原则
3.1客观性和公正性原则：
虽然测评工作不能完全摆脱个人主张或判断，但测评人员应当没有偏见，在最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方式：（略）
3.2经济性和可重用性原则：
基于测评成本和工作复杂性考虑，鼓励测评工作重用以前的测评结果，（略）先前的安全测评结果。所有重用的结果，（略），（略）的安全状态基础之上。
3.2可重复性和可再现性原则：
不论谁执行测评，依照同样的要求，使用同样的测评方式：（略）
3.4结果完善性原则：
测评所产生的结果应当证明是良好的判断和对测评项的正确理解。测评过程和结果应当服从正确的测评方法以确保其满足了测评项的要求。
4、测评要求（以下包含11条技术服务要求）
4.1安全物理环境
（略）
工作单元名称：（略）
工作单元描述
1
物理位置选择
通过访谈、（略）物理场所在位置上是否具有防雷、防风和防雨等多方面的安全防范能力。
2
物理访问控制
通过访谈、检查主机房出入口、机（略）域情况等过程，（略）在物理访问控制方面的安全防范能力。
3
防盗窃和
防破坏
通过访谈、检查机房的主要设备、（略）等过程，（略）是否采取必要的措施预防设备、介质等丢失和被破坏。
4
防雷击
通过访谈、检查机房的设计/验收文档，（略）是否采取相应的措施预防雷击。
5
防火
通过访谈、检查机房的设计/验收文档，检查机房防火设备等过程，（略）是否采取必要的措施防止火灾的发生。
6
防水和防潮
通过访谈、检查机房的除潮设备等过程，（略）是否采取必要措施来防止水灾和机房潮湿。
7
防静电
通过访谈、检查机房是否采取必要措施防止静电的产生。
8
温湿度控制
通过访谈、检查机房温、湿度情况，是否采取必要措施对机房内的温湿度进行控制。
9
电力供应
通过访谈、（略）、设备等过程，是否具备提供一定的电力供应的能力。
10
电磁防护
通过访谈、检查是否具备一定的电磁防护能力。
4.2（略）络
（略）
工作单元名称：（略）
工作单元描述
1
（略）络架构
通过访谈、检查、（略）络拓扑情况、抽查核心交换机、（略）络互联设备，（略）络宽带分配情况等过程，（略）段划分、隔离等情况的合理性和有效性，（略）、关键设备硬件冗余，系统可用性保证情况。
2
通信传输
通过访谈、检查、测试通信传输过程的数据完整性和保密性保护情况。
3
可信验证
通过访谈、（略）引导、系统程序、重要配置参数和通信应用程序等进行可信验证及应用程序的关键执行环节进行动态可信验证的保护情况。
4.3（略）域边界
（略）
工作单元名称：（略）
工作单元描述
1
边界防护
通过访谈、检查、测试边界完整性检查设备，测评分析跨域边界的访问控制和数据流通过边界设备的控制措施，非法内联、外联、无线准入控制的监测、阻断等能力。
2
访问控制
通过访谈、检查、（略）络访问控制设备策略部署，（略）对外暴露安全漏洞情况等过程，（略）络的数据流量控制以及基于应用协议和应用内容的访问控制能力。
3
入侵防范
通过访谈、检查、（略）络边界处、（略）络节点检测、（略）络攻击行为的防护能力，（略）络行为分析、监测、报警能力，（略）络攻击行为的分析，对攻击行为的检测是否涉及攻击源、攻击类型、攻击目标、攻击事件、入侵报警等方面的防范能力。
4
恶意代码和防垃圾邮件
通过访谈、检查、（略）络节点处对恶意代码、垃圾邮件进行检测、防护和清除、恶意代码防护机制的升级和更新维护等情况。
5
安全审计
通过访谈、（略）络边界、（略）络节点安全审计情况等，（略）审计配置和审计记录保护，审计内容等情况。
6
可信验证
通过访谈、（略）引导、系统程序、重要配置参数和边界防护应用程序等进行可信验证及应用程序的关键执行环节进行动态可信验证的保护情况。
4.4安全计算环境
（略）
工作单元名称：（略）
工作单元描述
1
身份鉴别
通过访谈、检查、测试对登录的用户进行身份标识和鉴别，是否具有不易被冒用的特点，口令应有复杂度要求并定期更换，以及远程管理安全、双因素鉴别等内容。
2
访问控制
通过访谈、检查、测试是否启用访问控制功能，依据安全策略控制用户对资源的访问；是否根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限等内容。
3
安全审计
通过访谈、检查安全审计范围及内容。
4
入侵防范
通过访谈、检查、测试是否能够检测到对重要节点进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警，是否遵循最小化安全装原则、系统服务、默认共享和高危端口、终端接入限制、数据有效性检验、已知漏洞防护等内容。
5
恶意代码防范
通过访谈、检查、测试是否具有防恶意代码攻击的技术措施或主动免疫可信验证机制，能否及时识别入侵和病毒行为并将其有效阻断等内容。
6
可信验证
通过访谈、通过访谈安全员，（略）引导、系统程序、重要配置参数和应用程序等进行可信验证及应用程序的关键执行环节进行动态可信验证的保护情况。
7
数据完整性
通过访谈、检查、测试重要数据在传输和存储过程中的完整性保护情况，包括鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
8
数据保密性
通过访谈、检查、测试重要数据在传输和存储过程中的保密性保护情况，包括鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等。
9
数据备份恢复
通过访谈、检查、测试重要数据本地备份与恢复功能，异地实时备份功能，（略）的热冗余和高可用性保证等。
10
剩余信息保护
通过访谈、检查、测试边界信息在存储空间被释放或重新分配前是否有效清除，存有敏感数据的存储空间被释放或重新分配前是否有效清除等。
11
个人信息保护
通过访谈、检查、测试是否仅采集和保存业务必须的用户个人信息，对用户个人信息的访问和使用等。
4.（略）
（略）
工作单元名称：（略）
工作单元描述
1
（略）管理
通过访谈、检查、（略）管理员身份鉴别、命令或操作管理、操作审计，（略）资源和运行进行配置、控制和管理等。
2
审计管理
通过访谈、检查、测试对审计管理员身份鉴别、命令或操作管理、操作审计，以及是否通过审计管理员对审计策略、审计记录进行分析、处理等。
3
安全管理
通过访谈、检查、测试对安全管理员身份鉴别、命令或操作管理、操作审计，以及是否通过安全管理员对安全策略、参数进行配置等。
4
集中管控
通过访谈、检查、测试是否具有特定的（略）域，（略）络中的安全设备或安全组件进行集中管控，（略）、安全设备、网络设备和服务的运行进行集中监测，对分散在各设备上的审计数据进行收集汇总和集中分析，并确保记录留存符合法律法规要求，对安全策略、恶意代码、升级补丁等安全相关事项进行集中管理，对网络中发生的各类安全事件进行识别、报警和分析等。
4.6安全管理制度
（略）
工作单元名称：（略）
工作单元描述
1
安全策略
通过访谈、（略）络安全工作的总体方针我安全策略是否全面、完善。
2
管理制度
通过访谈、检查管理制度的制定和发布过程是否遵循一定的流程。
3
制度和发布
通过访谈、检查管理制度定期评审和修订情况。
4
评审和修订
通过访谈、检查管理制度在内容覆盖上是否全面、完善。
4.7安全管理机构
（略）
工作单元名称：（略）
工作单元描述
1
岗位设置
通过访谈、检查安全主管部门设置情况以及各岗位设置和岗位职责情况。
2
人员配备
通过访谈、检查各个岗位人员配备情况。
3
授权和审批
通过访谈、检查对关键活动的授权和审批情况。
4
沟通和合作
通过访谈、检查内部部门间、与外部单位：（略）
5
审核和检查
通过访谈、检查安全工作的审核和检查情况。
4.8安全管理人员
（略）
工作单元名称：（略）
工作单元描述
1
人员录用
通过访谈、检查录用人员时是否对人员提出要求以及是否对其进行各种审查和考核。
2
人员离岗
通过访谈、检查人员离岗时是否按照一定的手续办理。
3
安全意识教育和培训
通过访谈、检查是否对人员进行安全方面的教育和培训。
4
外部人员访问管理
通过访谈、检查对第三方人员访问（物理、逻辑）系统是否采取必要控制措施。
4.9安全建设管理
（略）
工作单元名称：（略）
工作单元描述
1
定级和备案
通过访谈、（略）的安全等级。
2
安全方案设计
通过访谈、检查整体的安全规划设计是否按照一定流程进行。
3
产品采购和使用
通过访谈、（略）的产品采购。
4
自行软件开发
通过访谈、检查自行开发的软件是否采取必要的措施保证开发过程的安全性。
5
外包软件开发
通过访谈、检查外包开发的软件是否采取必要的措施保证开发过程的安全性和日后的维护工作能够正常开展。
6
工程实施
通过访谈、检查建设的实施过程是否采取必要的措施使其在机构可控的范围内进行。
7
测试验收
通过访谈、（略）运行前是否对其进行测试验收工作。
8
（略）交付
通过访谈、（略）交付过程进行有效控制。
9
等级测评
通过访谈、检查等级测评、整改情况。
10
服务商选择
通过访谈、检查是否选择符合国家有关规定的安全服务单位：（略）
4.10安全运维管理
（略）
工作单元名称：（略）
工作单元描述
1
环境管理
通过访谈、检查是否采取必要的措施对机房的出入控制以及办公环境的人员行为等方面进行安全管理。
2
资产管理
通过访谈、（略）的资产进行分类标识管理。
3
介质管理
通过访谈、检查是否采取必要的措施对介质存放环境、使用、维护和销毁等方面进行管理。
4
设备维护管理
通过访谈、检查是否采取必要的措施确保设备在使用、维护和销毁等过程安全。
5
漏洞和风险管理
通过访谈、检查安全漏洞和隐患识别、处理情况，以及是否定期开展安全测评以及安全问题的应对措施。
6
（略）安全管理
通过访谈、（略）的安全配置、系统账户、漏洞扫描和审计日志等方面进行有效的管理。（略）络的安全配置、网络用户权限和审计日志等方面进行有效的管理，（略）络安全运行。
7
恶意代码防范管理
通过访谈、检查是否采取必要的措施对恶意代码进行有效管理，（略）具有恶意代码防范能力。
8
配置管理
通过访谈、检查基本配置信息管理情况
9
密码管理
通过访谈、（略）中密码算法和密钥的使用符合国家密码管理规定。
10
变更管理
通过访谈、（略）发生的变更进行有效管理。
11
备份与恢复管理
通过访谈、检查是否采取必要的措施对重要业务信息，（略）软件进行备份，并确保必要时能够对这些数据有效地恢复。
12
安全事件处置
通过访谈、检查是否采取必要的措施对安全事件进行等级划分和对安全事件的报告、处理过程进行有效的管理。
13
应急预案管理
通过访谈、检查是否针对不同安全事件制定相应的应急预案，是否对应急预案展开培训、演练和审查等。
14
外包运维管理
通过访谈、检查外包运维服务商选择是否符合国家要求，外包运维保密、服务内容管理等。
4.11验证测试相关要求
按照等级保护测评要求，测评过程中应配备必要的工具、仪器/（略）进行验证测试，采用的测评工具的生产商应为正规厂商，具有一定的研发和服务能力，能够对产品进行持续更新并提供质量和安全保障。
验证测试内容包括但不限于以下内容：
①渗透测试
验证安全策略正确性；保证用户登录窗体身份验证的安全性；非授权用户不能浏览到未授权内容；不存在跨站点脚本攻击漏洞；脚本不存在SQL、Cookie注入漏洞；安全的处理异常，（略）信息；（略）漏洞及其他，并提出整改建议。验证内容包括（但不限于）以下几个方面：
注入
失效的身份认证
敏感信息泄露
XML外部实体（XXE）
失效的访问控制
安全配置错误
跨站脚本（XSS）
不安全的反序列化
使用含有已知漏洞的组件
不足的日志记录和监控
②性能测试
（略）络（包括丢包、时延、带宽等）、（略）（包括负载、响应）、负载下硬件占用（包含CPU、内存）（略）的可靠性、可用性，通过对测试结果的分析，给出相应的整改建议。
③漏洞扫描
据相关标准、（略）的安全漏洞进行测评。（略）中存在的主要安全漏洞，（略）中可能被利用的安全漏洞、系统配置错误等缺陷以及相应的安全加固意见、建议。
（二）测评工作步骤
受委托测评机构对等级保护测评各阶段具体工作内容进行描述。
（三）项目管理与实施保障
对项目进行科学严格的管理，（略）计划、有序组织、科学指导和有效控制，促进项目全面顺利实施，供应商必须提供完整的项目管理方案，并符合以下要求：
1.供应商及其测评人员应当严格执行有关国家信息安全等级保护相关标准和有关规定，提供客观、公平、公正、有效的等级保护测评服务，并承担相应的法律责任；
2.应具备能够保证其公正性、独立性的质量体系，确保测评活动不受任何可能影响测评结果的商业、财务、健康、环境等方面的压力；
3.供应商在对被测评单位：（略）
5.测评人员要求
参与此次等级保护测评的供应商其测评人员应具备并符合以下要求：
（1）开展此次等级保护测评工作的人员仅限于中华人民共和国境内的中国公民，且无犯罪记录；
（2）测评项目组人员在对开展等级保护测评工作之前需签订保密协议。
6．测评工具要求
（1）采用的测评工具在功能、性能等满足使用要求前提下，应优先采用具有国内自主知识产权的同类产品；
（2）采用的测评工具的生产商应为正规厂商，具有一定的研发和服务能力，能够对产品进行持续更新并提供质量和安全保障；
（3）（略）产生破坏或负面影响。
7．由于测评工作存在一定的风险，包括但不限于：数据丢失、配置参数丢失、网络中断、服务中断等隐患，供应商应当充分识别测评工作可能带来的风险并告知委托方，委托方应当就测评工作存在潜在风险采取必要措施进行确认后方可开展测评。
★四、攻防演练服务
1、（略）进行攻防演练1次。
2、服务时间：为期3天。
3、（略）络攻击手段及方法，对采购人：（略）
4、以获取：（略）
5、负责演练导演、全程指导、应急处置、演习总结、技术措施与策略优化建议等技术咨询工作。
6、通过复盘、凝练，输出相关的演习总结报告，（略）径、获得的成果、经验以及需要改进的问题进行总结。
7、对攻防对抗演练提交相关成果报告，成果以报告文档形式提交。需包括攻击手法、攻击截图、过程描述、上传文件位置、解决建议等内容。
★五、商务要求
1、服务完成时间：合同签订后60个日历天内。
2、服务地点：（略）
3、过程成果要求：
（1）系统梳理
（略）梳理工作，出具相应安全保护等级定级建议。
（2）初测
（略）进行现场测评，初次测评完成后提交正式的初评的整改意见报告，作为整改提升的目标依据。
（3）整改提升加固协助
供应商协助采购人：（略）
（4）成果递交
供应商整理测评结果，（略）安全等级保护测评报告以及相应文档。
4、付款方式：（略）
5、其他要求
当测评结果不满足国家规范的评定标准要求时，供应商应向采购人：（略）
6、严格按照相关法律法规、采购文件的质量要求和技术指标、成交供应商的响应文件及承诺以及合同约定标准进行验收。
合同履行期限：合同签订后60个日历天内
本项目不接受联合体。
二、申请人的资格要求：1、基本条件：
（1）具有独立承担民事责任的能力；
（2）具有良好的商业信誉和健全的财务会计制度；
（3）具有履行合同所必需的设备和专业技术能力；
（4）具有依法缴纳税收和社会保障资金的良好记录；
（5）参加本次采购活动前三年内，在经营活动中没有重大违法记录；
（6）符合法律、行政法规规定的其他条件。
2、特定资格要求：供应商具有有效期内的《网络安全等级测评与检测评估机构服务认证证书》。
3、其他类似效力要求：
（1）按本项目规定获取：（略）
（2）授权参加本次投标活动的供应商代表证明材料。
三、获取：（略）
2、报名方式：（略）
（1）供应商报名登记表（附件1）；
（2）供应商为法人或者其他组织的，须提供单位：（略）
上传后请致电（略），报名成功后，方可获取：（略）
3、本项目磋商文件有偿获取：（略）
四、响应文件提交截止时间：2023年4月3日14点30分（北京时间）
地点：（略）
五、开启时间：2023年4月3日14点30分（北京时间）。
地点：（略）
六、公告期限自本公告发布之日起3个工作日。
七、其他补充事宜：无。八、凡对本次采购提出询问，请按以下方式：（略）
地址：（略）
联系人：（略）
联系方式：（略）
2.采购代理机构：（略）
地  址：（略）47幢
联系人：（略）
联系方式：（略）
3.项目联系方式：（略）
电  话：（略）       
附件1供应商报名登记表
供应商报名登记表
（略）（必填）
项目名称：（略）
单位：（略）
（加盖公章）
单位：（略）
购买文件时间（必填）
联系人：（略）
单位：（略）
经办人移动电话（必填）
单位：（略）
电子邮箱：（略）
备注