信息系统安全服务招标公告

项目编号: YNJJ ***

项目名称: 信息系统安全服务项目

项目预算: * 0. * 元

报名开始日期: *** * : *

报名截止日期: *** * : *

竞价开始日期: *** * : *

竞价截止日期: *** * : *

联系人：陈晓丽

联系电话： ***

邮箱： * ***

采购代理机构： (略) 绿 (略)

联系人：孙硕、隋元皎

联系电话： ***

邮箱： * * .com

投标人资格要求:1.具有独立承担民事责任能力的法人。 2.招标公告发布之日前 * 年内无违法记录。3.通过“信用中国”网站（www.credi *** ）、中 (略) （www.ccg *** ）查询，未被列 (略) 人、重大税收违法案件当事人、政府采购严 (略) 为记录名单。4. 本项目不接受联合体投标，不允许转包。
资质审查：事后审查，即报价完成后，投标人提供 (略) 资质审查； 时间： * 年 9月 * 日 * 时 * 分 地点： (略) 市 (略) 区钱塘江路 * 号青 (略) 综合实训楼 *

项目需求:

1. 总体要求

1）按照国家信息安全等级保护定级的相关 (略) 办公厅关于印发《 (略) 业信息系统安全等级保护定级工作指南（试行）》的通知，依据国标《GB-T *** 8 信息安全技术信息系统安全等级保护定级指南》 (略) 财务信 (略) 质量诊断与改进平台信息安全等级保护定级与备案工作。

2）按照国家信息系统安全等级测评的相关要求，依据国标《GB-T *** 8 信息安全技术信息系统安全等级保护基本要求》 (略) 财务信 (略) 质量诊断与 (略) 信息安全等级测评，系统安全等级为 * 级，出具《信息系统安全等级测评报告》，报告须加盖CNAS及CMA检验机构章。

3）根据《中华 (略) 络安全法》第 * 十 * 条中的规定，网络运营者应采取防范计 (略) 络攻击、网络 (略) (略) 为的技术措施； (略) 财务信 (略) 质量诊断与改进 (略) 安全测试，评估业 (略) 络攻击的防护能力，根据测试结果制定安全加固、防范措施，降低系统安全隐患。并出具《信息系统业务应用风险分析报告》。为保证测试的权威性,要求项目实施方为国家信息安全漏洞库 * 级及以上技术支撑单位。

4）等级保护专业培训。

2. 服务依据

1）《GB/T *** 8 信息安全技术 信息系统安全等级保护基本要求》

2）《GB/T *** 8 信息安全技术 信息系统安全等级保护定级指南》

3）《GB/T *** 0 信息安全技术 信息系统安全等级保护实施指南》

4）《GB/T *** 2 信息安全技术 信息系统安全等级保护测评要求》

5）《GB/T *** 2 信息安全技术 信息系统安全等级保护测评过程指南》

6）《GB *** 9 计算机信息系统安全保护等级划分准则》

7）《GBT *** 7 信息安全技术 信息安全风险评估规范》

8）《 (略) 业信息系统安全等级保护定级工作指南（试行）》

3. 服务原则

1）符合性原则：符合国家、 (略) 等信息安全等级测评、风险分析有关规范，指出防范的方针和保护的原则；

2）标准性原则：等级测评及风险分析发现的安全风险及差距的整改、设计与 (略) 业、国内、国际的 (略) ；

3）规范性原则：安全服务提供商在项目实施工作中的过程和文档，应具有很好的规范性，可以便于项目的跟踪和控制；

4）可控性原则：安全服务的方法和过程要在双方认可的范围之内，保证对于服务工作的可控性；

5）整体性原则：等级测评及整改建议的范围和内容应当整体全面，包括安全涉及的各个层面，避免由于遗漏造成未来的安全隐患；

6）最小影响原则：测评及扫描工作应尽可能小的 (略) (略) ，不能对 (略) 和业务产生显著影响；

7）保密原则：应对服务过程中获得的数据和结果严格保密，未经授权不得泄露给任何单位和个人，不得利 (略) 任何 (略) 为，否则有权追究其责任。

4. 服务内容

1）等级测评服务：依据信息系统安全等级保护测评相关管理规范和技术标准，检测评估信息系统安全等级保护状况是否达到相应等级基本要求，通过 (略) 现状分析，确定系统的安全保护现状和存在的安全问题，并在此基础上确定系统的整改安全需求。

包括安全技术测评和安全管理测评，其中安全技术测评包括物理安全、网络安全、主机系统安全、应用安全和数据安全等 * 个方面的安全测评；安全管理测评包括安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等 * 个方面的安全测评。

（1）物理安全

针对物理安全方面的“物理位置选择”、“物理访问控制”、“防盗窃和防破坏”、“防雷击”、“防火”、“防水和防潮”、“防静电”、“温湿度控制”、“电力供应”和“电磁防护”等测评指标，判断出与其相对应的各测评项的测评结果。

（2）网络安全

(略) 络安全方面的“结构安全”、“访问控制”、“安全审计”、“边界完整性检查”、“入侵防范”、“恶意代码防范”、“网络设备防护”等测评指标，判断出与其相对应的各测评项的测评结果。

（3）主机安全

针对主机安全方面的“身份鉴别”、“访问控制”、“安全审计”、“剩余信息保护”、“入侵防护”、“恶意代码防护”、“资源控制”等测评指标，判断出与其相对应的各测评项的测评结果。

（4）应用安全

针对应用安全方面的“身份鉴别”、“访问控制”、“安全审计”、“剩余信息保护”、“通信完整性”、“通信保密性”、“抗抵赖”、“软件容错”、“资源控制”等测评指标，判断出与其相对应的各测评项的测评结果。

（5）数据安全及备份恢复

针对数据安全方面的“数据完整性”、“数据保密性”、“备份和恢复”等测评指标，判断出与其相对应的各测评项的测评结果。。

（6）安全管理制度

针对安全管理制度方面的“管理制度”、“制定和发布”以及“评审和修订”等测评指标，判断出与其相对应的各测评项的测评结果。

（7）安全管理机构

针对安全管理机构方面的“岗位设置”、“人员配备”、“授权和审批”、“沟通和 (略) ”以及“审核和检查”等测评指标，判断出与其相对应的各测评项的测评结果。

（8）人员安全管理

针对人员安全管理方面的“人员录用”、“人员离岗”、“人员考核”、“安全意识教育和培训”以及“外部人员访问管理”等测评指标，判断出与其相对应的各测评项的测评结果。

（9）系统建设管理

针对系统建设管理方面的“系统定级”、“安全方案设计”、“产品采购和使用”、“自行软件开发”、“外包软件开发”、“工程实施”、“测试验收”、“系统交付”、“系统备案”、“等级测评”以及“安全服务商选择”等测评指标，判断出与其相对应的各测评项的测评结果。

（ * ）系统运维管理

针对系统运维管理方面的“环境管理”、“资产管理”、“介质管理”、“设备管理”、 “网络安全管理”、“系统安全管理”、“恶意代码防范管理”、“密码管理”、“变更管理”、“备份与恢复管理”、“ (略) 置”以及“应急预案管理”等测评指标，判断出与其相对应的各测评项的测评结果。

2）风险分析服务：在实施渗透测试工作前，技术人员和采购人对渗透测试服务相关的 (略) 详细沟通。由此确认渗透测试的方案，方案内容主要包括确认的渗透测试范围、最终对象、测试方式、测试要求的时间等内容，根据收集的各类信 (略) 人工的进 * 步渗透测试深入。结合人工测试的结果，测试人员需整理渗透测试服务的输出结果并编制渗透测试报告，最终提交采购人。经整改或加固后， (略) 回归测试，即 * 次复测。复测结束后提交给采购人复测报告。工作成果中应至少应包括分析评估方法、过程及必要的举证、存在问题的定性、定量分析，以及结论及详细的解决建议。

3）信息安全培训服务: 网络安全法明确规定, (略) 网络安全等级保护制度,信息安全等级保护制度需要信息系统的相关人员来实施。因此，人员培训是信息安全各项措施能否落实的关键,为了能够更好的落实等级保护工作,要求本次项目的投标方 (略) 信息安全等 (略) 颁发的CIIPT重要信息系统安全保护人员培训资质,为校方提供2名重要信息系统人员培训并颁发结业证书。同时， (略) 要求， (略) 师生开 (略) (略) 络信息安全培训服务。

* .其他条件

3.1服务期限：自合同签订之日起 * 日内完成基本服务工作。

3.2服务地点：采购人指定地点。

3.3付款方式：完成相关工作并通过验收，中标人向采购人支付合同金额的5%作为质保金，收到质保金后采购人向中标人支付合同总额的 * %；自验收通过之日起，质保期满，验收合格，返还5%的质保金。如果招标确定的质量保证期延长，5%质保金顺延至质量保证期满支付。

3.4质量维护期

3.4.1自验收合格之日起1年。 (略) (略) 业标准对服务本身有更 (略) 求的，从其规定并在合同中约定，成交人亦可提报更长的质保期。

3.4.2质量维护期内，如果证实服务成果是有缺陷的，包括潜在的缺陷或者使用不符合要求等，成交人应立即免费维修或者更换，保证达到合同规定的服务要求。如果成交人在收到通知后5天内未能免费维修或者弥补缺陷， (略) 采取必要的补救措施，但风险和费用由成交人承担，采购人同时保留通过 (略) 索赔的权利。

3.5服务成果验收

完成基本工作后，采购人应对 (略) 详细而全面的检验。采购人有权根据检验结果要求成交人立即更换或者提出索赔要求。检验合格后，由采购人组成的验收小组签署验收报告，作为付款凭据之 * 。

3.6售后服务

3.6.1售后服务从系统验收通过之日起计算。

3.6.2成交供应商必须提供7× * 小时的售后服务，应保证每季度至少 * 次上门回访、检修。

3.6.3成交供应商在接到采购人通知半小时内做出响应，2小 (略) 处理应用系统出现的故障， * 小时内维修完毕，不能在规定时间内修复的，必须提供应急措施，保证 (略) 。

招标文件:  (略) 文件