疾病预防控制中心信息系统安全等级保护测评招标公告

各有关公司：

我中心拟对超融合平台扩容项目进行询价采购,请你公司在2020年8月21日前以书面密封形式（加盖骑缝章）将本单所列项目报送我中心（不得拆标）。询价小组将根据采购需求，符合要求，报价最低的原则确定成交供应商（若报价相同的，则按技术指标或服务承诺择优确定）。

一、采购组织类型：自行采购

二、采购方式：询价采购

三、采购编号：hzcdc2020-005

四、预算金额：人民币50000元

五、采购内容：

1、项目背景

为贯彻落实国家信息安全等级保护制度，进一步完善信息系统安全管理体系和技术防护体系,增强信息安全保护意识,明确信息安全保障重点,落实信息安全责任,切实提高系统信息安全防护能力, 杭州市疾病预防控制中心决定对其业务平台进行信息安全等级测评工作。

2、项目描述

根据相关文件及标准要求，对信息资源进行分类和梳理、等级测评。其中包含以下信息系统：

1、业务系统分类及梳理：

对以上信息系统进行分析、梳理、确定范围和分类。

2、等级保护测评服务

（1）测评应满足的原则

本次安全保护等级保护测评实施方案设计与具体实施应满足以下原则：

a、保密原则：对测评的过程数据和结果数据严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据进行任何侵害招标人的行为，否则招标人有权追究测评公司的责任。

b、标准性原则：测评方案的设计与实施应依据国家等级保护的相关标准进行。

c、规范性原则：测评公司的工作中的过程和文档，具有很好的规范性，可以便于项目的跟踪和控制。

d、可控性原则：测评服务的进度要跟上进度表的安排，保证招标人对于测评工作的可控性。

e、整体性原则：测评的范围和内容应当整体全面，包括国家等级保护相关要求涉及的各个层面。

f、最小影响原则：测评工作应尽可能小的影响系统和网络，并在可控范围内；测评工作不能对现有信息系统的正常运行、业务的正常开展产生任何影响。

（2）测评的内容

根据国家等级保护相关标准，测评公司对招标方的各个信息系统完成等级保护测评工作。要求对以上业务信息系统进行摸底、分析和梳理，提出测评方案。逐一对信息系统进行安全等级保护测评，信息系统安全等级保护测评的内容包括但不限于以下内容：

●安全技术测评：包括物理安全、网络安全、主机系统安全、应用安全和数据安全等五个方面的安全测评；

●安全管理测评：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全控制测评；完成测评工作后，提出整改意见并配合实施整改，最后出具符合公安机关要求的信息系统安全保护等级测评报告，并协助招标方完成信息系统安全保护等级备案工作。

（3）安全测评报告

a、测评公司应对招标人的信息系统进行等级保护测评，形成相应的报告。

b、测评公司在测评后出具符合浙江省公安厅要求的系统安全保护等级测评报告；

c、对上述系统不符合信息安全等级保护有关管理规范和技术标准的，测评公司出具可行整改方案并协助招标人整改和整改项的再次测评服务。

d、测评公司协助招标人办理信息系统安全保护等级备案手续。

（4）本次等级保护测评的整体要求

A、测评公司应详细描述本次等级保护测评的整体实施方案，包括项目概述、等保测评方案、项目实施方案、测试过程中需使用测试设备清单、时间安排、阶段性文档提交和验收标准等。

B、为保证此次等级保护测评工作的顺利实施和测评成果的质量，报价单位应保证现场测评的人员为等保测评的专业工程师，需提供相应证书。

C、本次等级保护测评实施过程中所使用到的各种工具软件由测评公司推荐，经招标人确认后由测评公司提供并在测评中使用。在投标文件中应详细描述所使用的安全测评工具（软硬件型号、功能和性能描述）、使用的方式和时间、对环境和平台的要求。

D、安全测评工具软件运行可能需要的硬件平台（如笔记本电脑、PC、工作站等）和操作系统软件等由测评公司推荐，经招标人确认后由测评公司提供并在测评中使用。

E、安全测评需要的运行环境（如场地、网络环境等）由招标人提供，测评公司应详细描述需要的运行环境的具体要求。

（1）本项目的目标是输出等级保护测评报告，并配合办理信息系统安全保护等级备案手续，该项目将产生一定数量的文档。

（2）测评公司应对所有正式交付件的综合质量审查负责，指定各交付件的相关责任人，明确相关职责。

（3）测评公司应提交验收方案，供招标人参考。

（4）招标人将依据本项目的要求，组织相关部门或单位的技术专家对测评公司提交的项目成果进行验收。

（1）测评公司应满足招标人提出的标准性、规范性、可控性、整体性、最小影响性及保密性原则，做到守时、保质。

（2）保密性要求：测评公司必须和招标人签订保密协议和非侵害性协议，测评公司必须要与参加此次测评项目的所有项目组成员签订保密协议和非侵害性协议，在合同签定时一并提供给招标人。

（3）测评公司具体测评工作和等级保护测评报告的编写，必须在招标人的指定地点进行。对于测评中的重要资料和结果，在测评期间和测评结束后，测评公司不得带离该地点。

（4）测评公司对本规范书中的内容及在应标过程中接触的设备信息、数据资料等负有保密责任，不得泄露给任何第三方。无论测评公司中标与否，其对上述内容的保密责任将长期存在。

（5）等级保护测评的品质保证：测评公司应承诺指派工作经验丰富、技术实力雄厚的安全顾问，结合技术领先、结论可靠的测评工具为客户作全面等级保护测评。承诺测评过程按照国家标准进行，并保证对客户的资料严格保密。

（1）测评公司在测评方案书中，对能提供的信息系统安全等级保护测评进行详细说明，可根据具体情况在项目方案中提出建议，并附详细资料和说明。

（2）测评公司应对提供测评服务时所使用的设备及软件保证拥有设备软硬件的知识产权和所有权，并对所涉及的专利、知识产权等法律条款承担义务，招标人以上问题不承担任何法律责任。

（3）若测评公司的设备和系统包含自己的专用标准，应在建议书中具体说明，并附上相应的详细技术资料。

(六)培训及服务

（1）测评完成之后，协助本单位完成信息系统整改，测评公司所提供的整改建议科学、合理、有效、并承诺及时跟进。

（2）提供信息安全相关培训，提供的培训内容满足本单位需求。

六、合格供应商的资格要求：

1、在中华人民共和国境内注册，具有独立法人资格，符合《中华人民共和国政府采购法》第二十二条的规定，且符合、承认并承诺履行本招标文件各项规定。

七、供应商须提供的资料：

1、企业营业执照副本（复印件加盖公章）；

2、法定代表人授权委托书（原件）；

3、报名人身份证及复印件。

八、联系方式

联系人：陈先生

地址：杭州市江干区明石路568号杭州市公共卫生中心4号楼216室

联系电话（传真）：0571-85176948

杭州市疾病预防控制中心

2020.8.14