【医院公告】网络安全等保测评及网络安全服务市场调研公告

网络安全等保测评及网络安全服务市场调研公告
******网络安全建设发展需要，本着“公平、公开、公正”的原则，现针对等保测评******市场调研，欢迎符合条件的潜在供应商报名参加。
*、服务需求：
网络安全等级保护测评与安全运维服务。
*、项目预算：
本项目预算总金额为**.**元整，各潜在供应商应提供最具性价比的方案且总价不得高于该预算总金额。
*、服务项目内容和技术服务要求
（*）、网络安全等级保护测评服务
*.总体要求：
（*）提供为期*年的网络安全等级保护测评服务，按照国家有关管理规范和标准要求，结合采购人实际安全******HIS、LIS、PACS、EMR，*******级等保测评，编制所服务系统《定级报告》和《备案表》，配合做好备案审批，使采购人顺利获得监管机关颁发的《信息系统安全等级保护备案证明》,定级与备案工作中所需的各种费用均已包含在本项目预算费用中，所有相关费用均由中标人支付，采购人不再支付任何相关费用。
（*）工作过程文件及项目交付成果（包括但不限于）：系统定级报告、备案材料。
（*）服务时间要求：完成等保测评、出具等保测评报告、备案。
*。测评服务内容包括但不限于以下内容：
（*）本次项目应依据国家《中华人民共和国计算机信息系统安全************标准、《信息安全等级保护************标准、《信息安全技术 网络安全等级保护基本要求GB/T *****-**** 》、《信息安全技术 网络安全等级保护测评要求GB/T *****-*********信息系统安全等级测评。
（*）技术层：本次项目的等保测评机构须把测评指标和测评方式等结合到被测系统的具体测评对象上，构成*个个可以具体测评实施的工作单元。从技术*个方面以及扩展项内容，分别描述单元测评实施的主要内容；管理层：本次项目的等保测评机构须把测评指标和测评方式等结合到被测系统的具体测评对象上，构成*个个可以具体测评实施的工作单元。从管理*个方面以及扩展项内容，分别描述单元测评实施的主要内容。
（*）安全控制间安全测评主要对同*区域内、同*层面上的不同安全控制间存在的功能增强、补充或******测评，同时，也包括对《信息安全技术 网络安全等级保护基本要求》GB/T *****-****的要求项与同*区域、同*层面上的非《信息安全技术 网络安全等级保护基本要求》GB/T *****-****要求的安全控制之间的安全测评。依据******划分，分类分析各个层面中安全控制间存在的关联作用，从系统层面上分析考察单元测评中确定的不符合项对系统整体安全保护能力的影响，及不符合项整改的必要性。
（*）层面间安全测评主要考虑同*区域内的不同层面之间存在的功能增强、补充和削弱******层面间安全测评时，可以考虑不同层面的两个不同安全控制，也可以同时考虑两个以上不同安全控制的相互作用。对于系统不同层面间相配合的保护措施，需要结合不同层面的安全控制点分析其相互之间存在的关联作用，从而确定某些不符合项对系统整体安全保护能力的影响。
（*）区域间安全测评主要考虑互连互通（包括物理上和逻辑上的互连互通等）的不同区域之间存在的安全功能增强、补充和削弱等关联作用，特别是有数据交换的两个不同区域。*般******某个或某些区域之间******不同区域之间也可能因为业务的需要而发生数据交换，需要重点测评这些区域之间的关联作用。
******分测评须涉及安全通信网络、安全区域边界、安全计******、安全物理环境*个方面，须通过访谈、配置检查和工具测试的方式测评信息系统的技术安全保障情况。
（*）物理安全测评须通过访谈、文档审查和实地察看的方式测评信息系统的物理安全保障情况。主要涉及对象为机房。
（*）安全通信网络测评须通过访谈、配置检查和工具测试的方式测评信息系统的安全通信网络保障情况；安全区域边界测评须通过访谈、配置检查和工具测试的方式测评信息系统的安全区域边界保障情况；安全计算环境须通过访谈、配置检查和工具测试的方式测评信息系统的安全计算环境保******测评须通过访谈、配置检查的方式测评信******保障情况。
******分测评须涉及安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理等*个方面，管理要求方面的测评对象主要为安全主管人员、安全管理人员等。
(**)安全管理制度：须针对管理制度、制定和发布、评******核查。
(**)安全管理机构：须针对岗位设置、人员配备、授权和审批、沟通和协作、审******审核。
(**)安全人员管理：须针对人员录用、人员离岗、人员考核、安全意************核查。
(**)安全建设管理：须针对系统建设的全过程，系统定级、安全方案设 计、产******软件开发、******核查。
(**)安全运维管理：须针对资产管理、介质管理、设备管理、监控管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢******置******核查。
(**)安全扩展项：若涉及扩展项测评，须对扩展******检查与记录，明确扩展项的问题。
*.实施人员要求：
为了保证项目的顺利实施，保障测评现******理能力，确保项目质量达到预期目标，要求本次项目的等保测评机构成立项目实施组，至少配备*名高级测评师及*名中级测评师）。
（*）、安全运维服务
*.服务期限：自合同签定之日起，提供为期*年的安全运维服务。
*.具体安全运维服务内容如下：

序号	服务名称	服务项目	服务内容	服务 频次	服务年限
*	安全运维服务	安全巡检	对网络范围内******安全巡查，巡查******状态、安全日志信息、设备配置规范性、防护策略有效性等。 提交：《安全巡检报告》	*次/年	*年
*		资产梳理	调查和统计服务范围内的信息资产，包括但不限于网络设备、主机、应用软件、业务系统、数据、人员、标准流程等，明确其现有状况、配置情况和管理情况。 提交：资产调研表	*次/年
*		漏洞扫描	每季度开展全面的漏洞检测，利用专业的脆弱性扫描工具主动发现平台存在的脆弱性，能够发现设备、服务器、数据库等对象中存在的安全风险、漏洞，并根据扫描结果提供合理的解决建议。 提交：《漏洞扫描报告》	*次/年
*		安全加固	针对安全巡检、安全配置检测、安全评估、渗透测试服务发现的安全问题，提供针对性的安全加固，制定合理的安全加固方案，实施安全加固服务，提升系统自身的抗攻击能力。 提交：《安全加固报告》	*次/年
*		渗透测试	安全专家手工模拟攻击者的入侵手段，通过信息收集、端口扫描、远程溢出检测、口令猜测、本地溢出、脚本测试、漏洞扫描等多种渗透测试方******多角度的业务系统渗透测试。对渗透测试过程中发现的安全问******的安全修******漏洞修复。 提交：《渗透测试报告》	*次/年
*		恶意代码排查	通过安全工具扫描检测，结合人工对可能存在被恶意******排查检测，包括排查************中的攻击、查找和清理病毒、蠕虫、木马等恶意程序，以及清理Web站点中的WebShell、暗链、挂马页面等。最终清除恶意代码，并提出安全修复建议。 提交******置》	*次/年
*		应急响应	全天候****响应客户紧急安全事件，即刻提供远程技术支持，如远程支持无法解决问题则须在*小时内到达现场，分析解决问题。每******置报告，******解决及防范方案。 ******置报告》	按需
*		应急演练	通过模拟系统受到入侵攻击的场景，检验与系统相关的应急管理有关的组织架构、管理程序、指挥体系、应急报告机制和协调机制的有效性，提高各级人员的应急意识、应急响应人员的应急操作******理实战能力。 提交：《应急演练方案》、《应急演练记录》	*次/年
*		新系统上线风险评估	针对新上线的业务系统和功能模块，开展全面的上线前安全评估工作，通过渗透测试、漏洞检测、配置核查，后门检测等手段，及时发现安全问题，避免系统带病工作。 提交：《新业务上线评估报告》	按需
**.		安全规划咨询	为网络软硬件平台建设安全************性研究、方案制定、产品选型等准备工作；为网络软硬件平台建设提供安全咨询，提供网络安全建设中涉及到******操作、网络信息系统策略优化问题的专业咨询。 提交：《安全建议方案》	*次/年
**.		安全培训	每年提供*次安全培训服务，有资深的安全专家提供包括但不限于安全意识、安全法律法规、安全技术、安全管理等方面的专业培训。 提交：培训ppt	*次/年
**.		安全检查支撑	在监管单位（网安、******安全检查时，协助我反编制安全检查需要的相关材料，需要时在检查现场提供技术支持。 提交：安全检查需要的材料	按需
**.		等保服务	提供对HIS、LIS、PACS、EMR系统的等级保护咨询服务，包括资产调研、定级备案、安全评估、差距评估、安全整改加固、管理制度补充服务、现场测评辅助服务等服务，直到系统通过等级保护测评。	*次/年
**.		重保服务	在具有重大政治、经济影响的活动期间提供专人的安全保障服务，在需要时到现场提供安全保障技术支持。包括“数字中国”建设峰会、“两会”、护网等重要时期的安全保障服务。 提交：《安全保障报告》	按需
		攻防演练	提供攻击队（红队）攻击服务，提供由*个安全渗透专家组成的红队，需根据我方要求在规定时间内参加攻防演练中红队攻击。	按需
**		互联网暴露梳理服务	对用******暴露面梳理，通过对IP，站点，站点指纹和banner信息，端口服务，域名，子域名，微信公众号，小程序，暗网情报，github仓库泄露，文档泄露，******暴露面梳理，确认用户互联网资产******置建议。 提交：《互联网暴露面梳理报告》	按需
**		互联网主机SAAS攻击监测服务	通过安装saas攻击监测轻量级Agent，收集主机实时数************主机发现、资产清点、风险探测、入侵检测、安全基线检测以及网络微隔离，实现对主机安全的精准发现，入侵实时感知，威胁快速响应以及全面感知主机资产情况。 提交：《互联网主机saas攻击监测报告》	按需
**		数据分类分级服务	******分级分类，并建立相关管理制度	*次/年

*、其他要求
*. 为了保障服务能力，本次调研的服务提供商须为宁德市网信系统****年度信息安全技术支撑单位。
*. 各潜在供应商提供的方案须针对安全******服务内容和服务成果的完善。
*、需提交的材料
*. 供应商有效期内的营业执照复印件。
*. 企业法人身份证复印件和委托代理人身份证复印件、法人授权委托书。
*. 服务详细清单、报价单。
*. 其他佐证材料：近*年福建******案例（需提供中标通知书、合同关键页、验收文档、相关材料）、第*点其他要求中第*小点的技术支撑单位证明。
*、报名时间
****年**月**日至****年**月**日
*、报名方式
请有意向的合格供应商，按提交材料的要求以信封密封（带封条）、封面备注本项目名称、加盖公章形式将材料邮寄到：寿宁县东区景泰******信息科。
收件人：吴举， 联系电话： ****-*******
总编辑：刘志勇 赵桂斌
******编辑：吴春容
编 辑：钟梓华
供 稿：信息科