重庆市精神卫生中心为了保障信息系统的安全运行，并符合国家信息系统安全等级保护政策的相关要求，现需要对“重庆市精神卫生中心信息系统”信息安全等级保护测评，欢迎有资格的投标人参加投标。
一、采购内容
“重庆市精神卫生中心信息系统”安全等级保护测评。（含金紫山、歌乐山两个院区）
二、资金来源
业主自筹。
三、工作内容
（一）安全等级测评工作（三级）
序号 | 工作项目 |
物理安全 | |
1 | 7.1.1.1物理位置的选择（G3） |
2 | 7.1.1.2物理访问控制（G3） |
3 | 7.1.1.3防盗窃和防破坏（G3） |
4 | 7.1.1.4防雷击（G3） |
5 | 7.1.1.5防火（G3） |
6 | 7.1.1.6防水和防潮（G3） |
7 | 7.1.1.7防静电（G3） |
8 | 7.1.1.8温湿度控制（G3） |
9 | 7.1.1.9电力供应（A3） |
10 | 7.1.1.10电磁防护（S3） |
网络安全 | |
11 | 7.1.2.1结构安全（G3） |
12 | 7.1.2.2访问控制（G3） |
13 | 7.1.2.3安全审计（G3） |
14 | 7.1.2.4边界完整性检查（S3） |
15 | 7.1.2.5入侵防范（G3） |
16 | 7.1.2.6恶意代码防范（G3） |
17 | 7.1.2.7网络设备防护（G3） |
主机安全 | |
18 | 7.1.3.1身份鉴别（S3） |
19 | 7.1.3.2访问控制（S3） |
20 | 7.1.3.3安全审计（G3） |
21 | 7.1.3.4剩余信息保护（S3） |
22 | 7.1.3.5入侵防范（G3） |
23 | 7.1.3.6恶意代码防范（G3） |
24 | 6.1.3.6资源控制（A3） |
应用安全 | |
25 | 7.1.4.1身份鉴别（S3） |
26 | 7.1.4.2访问控制（S3） |
27 | 7.1.4.3安全审计（G3） |
28 | 7.1.4.4剩余信息保护（S3） |
29 | 7.1.4.5通信完整性（S3） |
30 | 7.1.4.6通信保密性（S3） |
31 | 7.1.4.7抗抵赖（G3） |
32 | 6.1.4.6软件容错（A3） |
33 | 6.1.4.7资源控制（A3） |
数据安全及备份恢复 | |
34 | 7.1.5.1数据完整性（S3） |
35 | 7.1.5.2数据保密性（S3） |
36 | 6.1.5.3备份和恢复（A3） |
安全管理制度 | |
37 | 7.2.1.1 管理制度（G3） |
38 | 7.2.1.2 制定和发布（G3） |
39 | 7.2.1.3 评审和修订（G3） |
安全管理机构 | |
40 | 7.2.2.1 岗位设置（G3） |
41 | 7.2.2.2 人员配备（G3） |
42 | 7.2.2.3 授权和审批（G3） |
43 | 7.2.2.4 沟通和合作（G3） |
44 | 7.2.2.5 审核和检查（G3） |
人员安全管理 | |
45 | 7.2.3.1 人员录用（G3） |
46 | 7.2.3.2 人员离岗（G3） |
47 | 7.2.3.3 人员考核（G3） |
48 | 7.2.3.4 安全意识教育和培训（G3） |
49 | 7.2.3.5 外部人员访问管理（G3） |
系统建设管理 | |
50 | 7.2.4.1 系统定级（G3） |
51 | 7.2.4.2 安全方案设计（G3） |
52 | 7.2.4.3 产品采购和使用（G3） |
53 | 7.2.4.4 自行软件开发（G3） |
54 | 7.2.4.5 外包软件开发（G3） |
55 | 7.2.4.6 工程实施（G3） |
56 | 7.2.4.7 测试验收（G3） |
57 | 7.2.4.8 系统交付（G3） |
58 | 7.2.4.9 系统备案（G3） |
59 | 7.2.4.10 等级测评（G3） |
60 | 7.2.4.11 安全服务商选择（G3） |
系统运维管理 | |
61 | 7.2.5.1 环境管理（G3） |
62 | 7.2.5.2 资产管理（G3） |
63 | 7.2.5.3 介质管理（G3） |
64 | 7.2.5.4 设备管理（G3） |
65 | 7.2.5.5 监控管理和安全管理中心（G3） |
66 | 7.2.5.6 网络安全管理（G3） |
67 | 7.2.5.7 系统安全管理（G3） |
68 | 7.2.5.8 恶意代码防范管理（G3） |
69 | 7.2.5.9 密码管理（G3） |
70 | 7.2.5.10 变更管理（G3） |
71 | 7.2.5.11 备份与恢复管理（G3） |
72 | 7.2.5.12 安全事件处置（G3） |
73 | 7.2.5.13 应急预案管理（G3） |
（二）基础渗透测试
针对本次招标的系统，完成相应的渗透测试，并出具渗透测试报告，并配合甲方完成相应的整改。
按照符合“PTES（渗透测试执行标准）”、“OWASP Top 10”等标准化方法与规范的要求，对正在运行的信息系统收集开展远程和本地扫描，利用系统安全漏洞信息模拟黑客的真实攻击方法，实施对系统进行非破坏性质的攻击性测试，对安全测试过程中发现的问题进行分析，通过揭示危害后果或防护效果检验安全措施有效性及水平，提出切实可行的安全防护意见和方案。
1[2]
