招标公告 信息系统网络安全等保测评竞采公告

(一)服务内容：

重庆市沙坪坝区精神卫生中心 HIS系统网络安全等级保护测评服务。

(二)资质条件：

1 .基本条件

( 1 )具有独立承担民事责任的能力；

( 2 )具有良好的商业信誉和健全的财务会计制度；

( 3 )具有履行合同所必需的设备和专业技术能力；

( 4 )有依法缴纳税收和社会保障资金的良好记录；

( 5 )参加政府询价活动前三年内，在经营活动中无重大违法记录。

2 .特定资格条件

(1) 1、投标方应在《全国网络安全等级测评与检测评估机构目录》中，（提供网络安全等级保护网查询截图并加盖投标人鲜章）。 2、 具有 公安部 第三研究所颁发的《 网络 安全等级测评与检测评估机构 服务 认证证书》 。 3、供应商需具有应急服务团队（团队成员必须为供应商单位正式员工并具备信息安全相关专业资质和测评师资质），当发生突发网络安全公共事件时，能及时 派出技术团队到达现场协助处置突发事件。 4、供应商具备中国合格评定国家认可委员会颁发的检验机构认可证书（ CNAS），认可的检验能力范围为“网络安全等级保护测评” 。

5 、供应商应为重庆市网络与信息安全信息通报机制成员单位或重庆市网络与信息安全信息通报中心支撑单位，依照渝网通 [2***16]11号文《重庆市网络与信息安全信息通报工作规范》之要求，协助采购人进行网络安全事件应急处置机制建设工作和网络安全应急处置通报工作。

(2)测评方必须为本项目成立等级保护测评小组，测评人员均具有公安部认证的测评师证书，持证上岗。测评小组至少3-4人构成，持证上岗。

(三)测评要求

1 .项目依据

本项目信息安全等级保护测评目的和测评内容，必须与信息安全等级保护要求相一致。测评中应 严格按照 GB/T 28449-2***18 《 网络安全等级保护测评过程指南》标准的要求实施，加强质量监督和复查，保证测评工作质量。

本项目测评人员应依据测评目的和测评内容，选取、实施特定测评操作的方式方法。除按照现行国家和行业信息安全相关规定进行外，主要规范性文件依据有：

《中华人民共和国网络安全法》

《中华人民共和国计算机信息系统安全保护条例》（国务院 147号令）

《信息安全等级保护管理办法》（公通字 [2******7]43号）

《 GB/T 17859-1999 计算机信息系统安全保护等级划分准则》

《 GB/T 22239-2***19 信息安全技术 网络安全等级保护基本要求》

《 GB/T 28448-2***19 信息安全技术 网络安全等级保护测评要求》

《 GB/T 28449-2***18 信息安全技术 网络安全等级保护测评过程指南》

《 GB/T 2***984-2******7信息安全技术 信息安全风险评估规范》 2 .具体测评内容

( 1 )安全技术测评

主机安全测评：身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、资源控制等；

应用安全测评：身份鉴别、访问控制、安全审计、通信完整性、通信保密性、抗抵赖、软件容错、资源控制等；

数据备份与恢复测评：数据完整性、数据保密性、备份和恢复等；

物理安全测评：物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护等；

网络安全测评：结构安全、访问控制、安全审计、边界完整性检测、入侵防范、网络恶意代码防范、网络设备防护等；

( 2 )安全管理测评

安全管理制度评估：管理制度、制定和发布、评审和修订等；

安全管理机构评估：岗位设置、人员配备、授权和审批、沟通和合作、审核和检查等；

人员安全管理评估：人员录用、人员离岗、人员考核、安全意识教育和培训、外部人员访问管理等；

系统建设管理评估：系统定级、安全方案设计、产品询价和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、系统交付、安全服务商选择等；

系统运维管理评估：环境管理、资产管理、介质管理、设备管理、网络安全管理、系统安全管理、恶意代码防范管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理等。

3 .工具扫描

使用 web 安全扫描工具、主机系统漏洞扫描工具对待测系统进行安全检测和分析。

4 .技术支持及售后服务

( 1 ) 供应商为询价方提供信息安全规划、方针、策略和管理制度体系咨询服务，配合询价方，为被测信息系统安全整改和加固提供咨询和技术服务。

( 2 )测评过程中，应针对关键设备、重点网段和高危漏洞进行渗透测试，形成相应的实施和分析报告。

( 3 )提供网络安全技术咨询服务。

( 4 )签署保密协议，对测评工作相关的业务数据、商业信息、客户信息和被测信息系统不可分割的组成部分的相关信息等进行保护。

( 5 )应将测评工作对被测信息系统及相关业务的影响告知询价方，双方协商确定测评工作时间安排以减小对询价方正常业务和工作的影响