昆山农村商业银行计算机项目
招标编号：KJGLBZB*******查看详情
江苏昆山农村商业银行股份有限公司
招标书
江苏昆山农村商业银行股份有限公司
二○一七年八月
声明
本招标文件专用于江苏昆山农村商业银行股份有限公司本次采购全网安全评估项目进行招标，江苏昆山农村商业银行股份有限公司对本招标文件及招标文件内容享有解释权。参加投标单位即视为无条件同意本声明并保证对本招标文件可能涉及的江苏昆山农村商业银行股份有限公司商业秘密予以保密，除经江苏昆山农村商业银行股份有限公司书面同意外，任何单位和个人不得为参与本产品投标以外的目的而出版、复制、传播、销售及使用本招标文件。
第一部分投标函
根据江苏昆山农村商业银行股份有限公司业务发展的需求，现就江苏昆山农村商业银行股份有限公司采购全网安全评估项目进行招标：
1、招标编号：KJGLBZB*******查看详情
2、招标人：江苏昆山农村商业银行股份有限公司
3、招标内容：昆山农村商业银行全网安全评估等（详见招标书“第三部分 招标说明”）。
4、项目实施地点：昆山
5、投标者对投标文件须准备正、副本两种，并分别标以“正本”和“副本”，要求提供壹份正本、贰份副本(不含报价单)；另装一份密封投标报价单。投标文件中须附有各投标设备的产品说明，“正本”和“副本”相同，如果它们之间有任何差异，则以正本为准。
6、发放标书时间：北京时间2017年8月2日
7、投标截止时间：投标人应于北京时间2017年8月11日17：00前将密封的投标文件寄（送）至昆山农村商业银行（以我行收到日戳为准），逾期送达的投标文件将不予接受。
8、请投标者同时提供一份投标文件的电子版（不含报价部分），并发至招标方的邮箱：zbcgzx@ksrcb.com。投标文件如果电子版与纸质版有任何差异，则以纸质正本为准。
9、凡对此次招标提出询问，请与昆山农村商业银行联系。
10、招标人联系方式：江苏昆山农村商业银行股份有限公司
地址：江苏省昆山市前进东路828号1510室招标采购中心
邮编：215301
招标中心联系人：翟应红
联系电话：****-********查看详情 ，180*****998
技术联系人：项新生
联系电话：****-********查看详情， 188*****039
第二部分招标说明
一、总体说明
（一）适用范围
本招标文件仅适用于江苏昆山农村商业银行股份有限公司（以下简称“昆山农商银行”）全网安全评估而进行的公开招标。
（二）定义
1、“招标人”系指组织本次招标的招标机构：昆山农村商业银行；
2、“投标人”系指遵守招标文件要求并向招标人提交投标文件的法人单位；
3、“设备（系统）”系指投标人按招标文件规定，须向招标人提供的设备、软件系统、备品备件、工具、手册及其他有关技术资料和材料；
4、“服务”系指招标文件规定投标人须承担的技术服务、运输、安装调试、人员培训、售后服务和其他类似的义务；
5、“招标文件”系指本文件及其附件，如招标人对招标文件及其附件进行有效的修改或澄清，则该修改和澄清构成招标文件不可分割的一部分；
6、“投标文件”系指投标人按照招标文件要求编写，并向招标人递交的有效的文字说明、表格、图表等文件，如投标人对投标文件进行有效的补充、修改、澄清或说明，则该补充、修改、澄清和说明构成投标文件不可分割的一部分；
7、“无效的投标文件”系指属于下列情况之一者，将作为无效处理：
1）投标文件未按招标文件的要求密封；
2）投标文件未盖公章或未经法定代表人（或授权代理人）签字；
3）投标文件未按招标文件规定的格式、内容和要求填写；
4）在投标文件截止期后送达或是通过电报、电话、电传、传真投标文件；
5）投标文件字迹模糊不清无法辨认的；
6）投标人在投标文件中提供虚假信息的；
7）投标文件未送达指定地点，指定接收人。
（三）对投标人的要求
1、投标方必须为具有独立企业法人资格，具有合法名称、组织机构、固定的办公场所，注册资本要求不少于500万元人民币（或等值外币），注册时间不少于3年，并具有良好的技术力量、商业信誉和售后服务体系；
2、需要具备国家信息安全认证中心信息安全风险评估一级服务资质；国家信息安全认证中心信息安全应急处理二级服务资质；
3、投标方近三年来签署过类似合同、承担过金融行业类似项目及成功案例，案例数不少于5个，且能提供已有成功案例的合同扫描件（涉及商业机密处可隐去）；
4、投标人必须具有良好的经济和技术实力，能够按时提交招标人要求的交付件，并能够及时地提供招标人要求的优质服务；
5、投标人必须具有良好的银行资信和商业信誉，没有违法、违约记录，不处于被责令停业，财产被接管、冻结、破产等非正常经营状态；
6、投标人不得联合第三方共同投标，否则取消投标资格，且不允许中标后将本招标进行分包、转包；
7、对标的物中包含的第三方产品和服务，要求投标方出具第三方授权书（包括产品、服务功能和价格），招标人保留对该第三方资格认定及与其直接签署合同的权利。
8、投标人应为增值税一般纳税人，应开具增值税专用发票，不得代开增值税发票。
（四）投标费用
投标人应自行承担与参加投标有关的全部费用，招标人在任何情况下无义务和责任承担上述费用。
（五）招标文件的解释及咨询
本招标文件的解释权属招标人，对本次招标有任何询问，请与昆山农村商业银行本次招标联系人联系。
二、投标文件说明
（一）要求
1、投标人应仔细阅读招标文件的所有内容，按招标文件的要求提供投标文件，并保证所提供的全部资料的真实性，以使其投标对招标文件作出实质性响应，否则其投标可能被拒绝；
2、除非有特殊要求，招标文件不单独提供招标设备（系统）或服务使用地的自然环境、气候条件、公用设施等情况，投标人被视为熟悉上述情况。
（二）投标文件的组成
投标文件应包括但不限于下列所列文件：
1、法定代表人身份证明或法定代表人授权委托书（法定代表人参加投标，不用此委托书）
2、投标书
必须按照本招标文件第四部分附件的格式要求制作，未经招标人书面同意，该格式不允许作任何修改；
3、投标价格一览表
应包括投标报价、维护承诺、其他重要补充事项等内容。
4、服务内容描述
投标人必须对“招标项目要求”逐个或分块地作出实质性响应，其响应要与招标文件内容采用相同的顺序，对每个需求的响应必须遵循如下规则：
1）重复该需求；
2）用“是/否”来表明该需求是否被满足；
3）简要描述如何满足该需求，如果该响应在投标文件其他部分有详述，可在该处简单应答，但必须给出确切的位置索引；
4）解释投标文件或投标方案与招标项目需求之间的偏差，用数量来表示的需求，必须用确切的数量单位来响应。
5、项目实施计划
应根据对项目需求的理解，提出详细、切实可行的项目实施计划及方案。
6、售后服务计划
应说明售后服务的内容、形式、收费标准；维护单位名称、地点、人员；服务响应时间等，并应包含免费维护期及期外的售后服务计划。
7、投标人情况简介
应包含投标人基本情况与背景资料、业务经营情况、最近三年类似相关项目实施情况、及投标人最新的经过审计的财务报表、相关内控制度及连续性方案等。
8、投标人资格证明文件
1）投标人营业执照复印件；
2）若分公司参加投标的，需总公司的正式授权书（即签订合同只与有法人资格的公司签订）。
9、其他
1）投标方实施其它银行此产品案例的合同复印件或加盖单位公章的产品定单；
2）投标人自愿提供的其他全部文件；
3）优惠条款的说明等。
（三）投标文件的签署及规定
1.投标人应准备壹份正本、贰份副本（不含报价单）、一份电子档；另装一份密封投标报价单。在每一份投标文件上要明确注明“正本”、“副本”“报价单”字样，若正本和副本有差异以正本为准；
2. 投标文件正本、副本、报价单须统一用A4纸打印装订并由投标人法定代表人或授权代理人在正本封面上签章处签字并加盖公章、骑缝章；
3.除投标人对错漏处作必要修改外，投标文件中不许有加行、涂抹或改写。如有修改错漏处，必须由投标人法定代表人或授权代理人签字并加盖公章。
三、投标文件的递交
（一）投标文件的密封和递交
1、投标人应将投标文件的正本、副本和报价单分别用非透明文件袋密封，在封签处加盖公章，并标明投标人名称、正本或副本、招标编号、投标产品名称；
2、每一密封信封上注明“于开标前不准启封”的字样；
3、投标价格表及其它各种承诺均须有法定代表人（或其委托的全权代表人）的签字、日期并加盖公章；
4、投标文件须标注页码：封面后的第一页为标书的目录，整本标书须标注统一的页码，成功案例合同等复印件可以手工填上统一的页码；
（二）投标文件的修改和撤回
1、投标人在提交投标文件后可对其投标文件进行补充、修改或撤回，但招标人须在投标截止时间之前收到该补充、修改或撤回的书面通知，该通知须经投标人的法定代表人或授权代理人签字并加盖公章；
2、投标人对投标文件进行补充、修改的书面材料或撤回的通知应按本招标文件规定进行编写、密封、标注和递送，并注明“补充/修改投标文件”或“撤回投标”字样；
3、投标截止时间以后不得对投标文件进行修改或补充。
四、开标和评标
（一）开标
此次招标采用：本行评标专家组进行现场开标、评标。
（二）评标因素
1、招标人根据具体招标项目分类对每一个投标条件进行比较。对其内容进行分析比较：
1）投标价格；
2）投标方整体实力及成功案例总数；
3）投标方技术方案、成功案例分析及产品特制设计；
4）投标方技术实力（研发人员、售后服务能力）；
5）投标方的资信情况和履约能力；
6）投标方提供的其他优惠条件。
（三）投标文件的审查
l.开标后，招标人将组织审查投标文件是否完整，是否有计算错误，文件是否恰当地签署；
2.在对投标文件进行详细评估之前，招标人将依据投标人提供的资格证明文件审查投标人的财务、技术和生产能力。如果确定投标人无能力提供设备（系统）和技术支持，其投标将被拒绝；
3.招标人将确定每一投标是否对招标文件的要求作出了实质性的响应，而没有明显的偏离或保留；
4.招标人判断投标文件的响应性仅基于投标文件本身而不靠外部证据；
5.招标人将拒绝被确定为非实质性响应的投标，投标人不能通过修正或撤销不符之处而使其投标成为实质性响应的投标。
（四）投标文件的澄清
1、为有助于对投标文件进行审查、评估和比较，评标期间，投标人法定代表人或授权代理人及其他有关人员应当等候质疑。招标人有权向投标人质疑并请投标人澄清其投标内容。投标人有责任按照招标人通知的时间、地点、方式指派专人进行答疑和澄清；
2、澄清应是书面的，并由法定代表人或其授权代理人签字；
3、投标人的澄清文件是投标文件的组成部分，并取代投标文件中被澄清的部分；
4、投标文件的澄清不得对投标内容进行实质性修改。
（五）评标工作
1、招标人将按照公开、公平、公正的原则对待所有投标方；
2、评标是招标工作的重要环节，评标工作在招标人内独立进行；
3、招标人不承诺报价最低者为中标者；
4、在投标、开标期间，投标人不得向招标人询问情况，不得进行旨在影响评标结果的活动，招标人保留对投标人进行疑问咨询的权力；
5、在投标、评标过程中，如有投标人联合故意抬高报价或其他不正当行为，招标人有权中止投标或评标；
6、江苏昆山农村商业银行股份有限公司保留对本次招标的最终解释权。
五、中标与签署合同
（一）定标原则
招标人不承诺向投标方披露招标过程中任何细节，包括中标或落标原因。
（二）中标通知
1.定标后，招标人将发出中标通知；
2.对落标的投标人不再另行发出落标通知；
3.中标通知将作为招标人与中标人签订合同的依据之一。
（三）签订合同
1、招标人将按照招标文件和投标人的投标文件与中标人签订书面合同，签订合同之前，双方需对合同的具体细节进行商谈；
2、招标人对有关内容有权作出必要的细化和补充，但有关细化和补充不得背离招标文件和投标文件的实质性内容；
3、招标文件、中标方的投标文件及其澄清文件等，均为签订合同的依据。
第三部分招标内容及要求
一、服务内容
本次全网安全评估要求进行测评，最终出具信息安全风险评估技术报告。测评内容包括但不限于：
序号服务类型服务内容
1银监会57号文要求的风险评估内容网络攻击威胁（包括高级持续性威胁、精准式网络攻击）评估；软硬件缺陷与漏洞威胁；信息泄露、篡改、破坏风险；新技术运用带来的安全挑战；全面分析当前网络和信息安全的脆弱点等，分别从管理和技术两个层面进行评估，并给出整改建议（具体要求见附件5）。
1基础安全评估内容系统安全性评估；网络安全性评估；应用安全性评估；安全策略评估；内控制度建设评估；风险管理评估；其他重要安全环节和机制评估，给出加固整改建议，并出具监管机构认可的安全评估报告。
3网络安全层面的专项风险评估包括全网网络架构评估；边界安全防护评估、网络系统安全评估、网络权限安全评估；网络脆弱性检查（网络结构分析、网络设备及安全设备配置分析），给出加固整改建议，并出具监管机构认可的安全评估报告。
4渗透测试内容网上银行系统渗透测试；
手机银行系统渗透测试；
微信银行系统渗透测试；
官方网站系统渗透测试；
移动办公系统渗透测试；
邮件系统渗透测试；
收单系统渗透测试；
移动金融系统渗透测试。
5安全技术措施实施规划服务根据上述1、2、3、4项工作内容的安全评估和渗透测试结果，制订为期一年的安全技术措施加固实施计划，将控制安全风险的技术措施的实施建设进行合理有序的安排。
6人员培训服务实现我行相关人员培养和成果知识转移
7售后服务在服务期间，响应客户的服务要求，就监管机构可能推出的新监管要求，提供合规咨询和维护服务。就外部威胁情报涉及昆山农商行的内容，提供技术支持和应急响应。
二、服务要求
2.1评估标准遵从国家和行业监管规范，包括但不限于：银监办发【2017】57号文、《电子银行业务管理办法》、《电子银行安全评估指引》、《网上银行信息安全通用规范》、《信息安全技术 网上银行系统信息安全保障评估准则》、ISO/IEC 27001系列、《信息安全风险评估指南》、《信息安全风险管理指南》、《金融行业信息系统信息安全等级保护实施指引》、《金融行业信息系统信息安全等级保护测评指南》。
2.2评估工作遵从最佳实践，包括但不限于：总体框架、安全风险模型、风险计算模型、安全体系框架。评估流程在满足《信息安全风险评估指南》要求基础上，做好加固后的二次评估，清晰呈现当前信息安全风险。
2.3评估报告要清晰呈现标准对照、评估框架和最终结果，报告内容要达到苏州银行和监管机构认可。
2.4项目实施团队不少于4人，现场团队负责人需具备5年及以上信息安全工作经验，必须持有CISP或CISSP证书；现场团队成员需具备3年及以上信息安全工作经验，必须持有CISP或CISSP证书；团队所有成员必须有银行系统评估经验、渗透经验、咨询经验；现场项目团队成员在投标文件中列明，入场后核对人员，未得到昆山农商银行同意，不可擅自调离。
详细团队成员按下列表格列出：
序号姓名身份证号主要研究方向技能资质
三、服务期限
合同签订后一周内相关项目组人员到位，并提供整个项目实施计划，整个项目周期不超过45天。
四、报价总则
1、投标人必须对本次测评服务内容进行完整报价。
2、所有报价均应已包含国家规定的所有税费；
3、付款方式
合同签订后5个工作日内支付合同总额20％；中标方项目实施完成并经招标方验收合格后7个工作日内支付至合同总价的90%；合同约定的项目实施并验收合格之日起一年后7个工作日内支付至合同总价的100％。
五、合同要求
投标方同意按招标方的要求签定相关合同。
第四部分投标文件格式
附件1：《投标书》
投标书
致：江苏昆山农村商业银行股份有限公司
根据贵方 招标书，投标人 （投标人名称）提供相关文件并做出以下承诺：
一、招标文件规定的全部文件正本壹份，副本贰份，电子文档壹份。
二、投标人同意如下：
1．投标人完全接受招标文件中的内容，并将按招标文件的规定履行义务，按相关法律法规履行我方的全部责任；
2.投标人己详细审查全部招标文件，包括修改文件以及全部参考资料和有关附件，无其他不明事项；
3.投标人同意招标人要求的相关数据或资料，完全理解招标人在招标文件中确定的评标原则和程序，理解贵方不一定要接受最低报价的投标。
三、投标方保证投标文件中所有关于投标资格的文件，证明陈述均是真实的、准确的。若有违背，投标方愿意承担由此而产生的一切后果。
与本投标有关的一切正式信函请使用以下地址：
地址：
邮编：
电话：
传真：
投标人法定代表人姓名、职务（印刷体）：
投标人名称：
单位公章：
法定代表人或授权代理人签字：
日期： 年 月 日
附件2：《投标人情况简介》
1.投标人情况简介
名称和概况
投标人名称：
地址： 邮编：
传真／电话：
成立日期或注册日期：
法定代表人或主要负责人姓名：
（附投标代理人及法定代表人身份证复印件）
2.财务数据
注册资本：
（附营业执照、税务登记证、组织机构代码证、上一会计年度资产负债表、利润表等复印件）
3.代理商资质体系认证情况
（附ISO质量体系认证书或其他相关证书复印件）
4.投标产品原厂商介绍及产品说明
（1）原厂商介绍说明：
（附原厂商情况简介，产品市场占有率、销售额等说明材料）
（2）本次投标产品或服务在国内金融行业的应用情况：
（附本次投标产品以往案例的合同复印件）
5.原厂授权函或授权说明
（附原厂授权函或授权说明材料）
6.厂商业绩及成功案例情况
（附近3年厂商成功实施案例说明及相应合同复印件）
7.投标人项目实施技术人员介绍
（附投标人项目实施人员联系方式、资质认证书、简历、相关实施经验等）
8.售后服务情况说明
（1）上海、苏州等地办事处及人员组成介绍
（2）售后联系方式、服务模式、故障处理流程、客户服务流程等
（3）原厂维保说明书（电子档）
附件3：《法定代表人委托书》
江苏昆山农村商业银行股份有限公司：
兹委托 (代理人姓名)参加贵单位组织的 招标活动，全权代表我单位处理投标的有关事宜。中国采招网（~bidcenter.c om.cn）
附全权代表情况：
姓名： 性别： 年龄： 职务：
身份证号码：
详细通讯地址：
电话： 传真：
邮政编码：
单位名称（公章） 法定代表人（签字）
年 月 日 年 月 日
（说明：法定代表人参加投标，不用此委托书）
附件4：《投标价格一览表》
投标价格一览表
投标价格一览表由以下几个部分组成：
项目总报价：（大写）人民币
（小写）￥
法定代表人或其授权的代表签字：
日 期：
附件5：《监管文件要求评估内容》
针对银监会57号文的要求，以及我行当前系统部署情况，制定满足监管要求的相关检查项。主要从以下五点进行评估：
1、我行面临的网络攻击威胁，需从管理和技术两个层面进行评估
管理层面需评估我行的组织结构合理性，安全策略的完备性，机密数据能够达到保密要求，是否有检测APT攻击的技术手段或设备，信息安全入侵事件的应急响应流程是否完备，员工的安全意识哪些方面需要加强及如何加强等。
技术层面包括网络漏洞威胁检测，特种木马威胁检测，组合攻击威胁检测，敏感流量威胁检测，内部攻击诱捕服务等。
2、软硬件缺陷或漏洞威胁检查应包括操作系统、网络设备、数据库、中间件、虚拟化平台等
主要检查内容包括配置核查和系统漏扫，是否存在最新框架型通用漏洞，是否存在典型的配置漏洞，对漏扫结果进行分析，并给出漏合理化整改建议，之后需从应用层面展开渗透测试，对数据边界进行检查，验证是否存在常见OWASPTOP10类型漏洞，业务流程是否存在逻辑漏洞等。
3、我行哪些方面存在信息泄露、篡改、破坏风险，以及整改建议
数据防泄漏手段或设备是否完备，如何加强终端管控和桌面管控，文档传输的来源和去向是否可控可知，数据或文档进行分类是否合理，如何保护数据的完整性，是否有防篡改手段或设备，如何保护数据可用性，重要数据的备份、恢复策略是否有效，如何进行数据安全的灾备演练等。
4、对我行运用的新技进行全面风险评估
熟悉我行新技术的应用场景，具体应用场景存在的安全威胁，准入控制能否全面覆盖，应急措施是否合理，具体责任分工是否合理，在哪些薄弱环节上还有待提升。
5、从管理和技术层面分析我行当前网络和信息安全的脆弱点
管理层面应包括现有安全管理机制的合理性、技术防护措施的完备性和有效性、应急保障能力的针对性和有效性等。
技术层面包括检查网络结构的安全性，访问控制有效性，是否具备安全审计和日志功能，边界完整性检查，入侵防范手段，恶意代码防范手段，网络设备防护情况检查（包括交换机、路由器、IDS/IPS、WAF等）以此来论证重要基础设施的安全可靠性。
