招标公告 保山市人民医院信息系统等级保护测评采购项目院内比选公告

根据保山市人民医院采购内控制度相关规定，近期将对本项目进行院内公开 比选 ，请潜在 比选申请人 认真阅读本文公告内容，并按要求准备好相关材料。本次公告在 “保山市人民医院官网 h ttp://www.ynbsyy.com/”上发布，请各申请人留意，采购人对其他网站或媒体转载的公告及公告内容不承担任何责任，公告如有变更，将在以上网站或以书面形式发布。

一、项目基本情况及 比选 要求

1.项目名称：保山市人民医院信息系统等级保护测评 采购项目

2.采购方式：院内 比选

3. 采购预算： 29************.******元/年。

4.采购需求：

4.1 采购 内容 ：

名称	服务项	描述	服务次数
保山市人民医院网络安全三级等保测评及安全保障服务项目	网络安全等级保护测评服务	三级等保测评服务 :对医院指定的6个三级系统开展三级等保测评服务，输出可信的安全评估结果，出具《网络安全等级测评报告》，并到属地网安备案，达到监管部门要求。	6个/年
	资产测绘服务	通过人工 +工具的形式对内部终端资产进行测绘，全面梳理终端资产相关信息，包含IP地址、操作系统、MAC地址、端口、服务、组件等相关信息。	2次/年
	网络安全巡检服务	通过对单位网络、安全设备、重要服务器等设备进行专业性检查，排查检查对象可能存在的重大隐患，并提出整改建议，检查内容主要包括设备状态、安全策略配置、安全日志分析等相关内容。	4次/年
	安全漏洞扫描及验证服务	通过人工 +工具的形式对内外部资产进行漏洞扫描，并对扫描的结果进行分析及验证，出具漏洞扫描报告。	4次/年
	渗透测试服务	通过人工 +工具的形式模拟黑客攻击、扫描等，对内外部重要业务系统进行渗透测试，提出整改建议。	4次/年
	应急响应服务	每年按需提供现场应急支持服务，对安全事件进行应急响应，协助处理安全事故，减少或降低安全事件带来的损失，并分析事故的原因，提出加固建议。	按 需
	网络攻防渗透技能培训服务	每年提供 4次网络攻防渗透技能培训，如黑客技术培训、CTF比赛技能培训等。	4次/年

5. 服务期限：本项目服务周期 1年，合同签订后，按照甲方要求时间节点出具等保测评报告。

6. 质量要求：符合国家及行业现行执行标准并满足采购人需求 （采购需求及服务质量要求详见附表一） 。

7 . 报价要求：本项目报价须包含所有服务的人工费、 安装费 、 调试费、 税费等与本采购项目相关的一切费用，除上述费用外，采购方无需向 比选 申请人支付其他任何费用。

8 .付款方式：甲乙双方合同约定。

9 .资格审查方式：资格后审。

1*** .本项目不接受联合体比选。

二、比选申请人资格要求

1.基本资格要求：

1.1 具有独立承担民事责任的能力 ： 提供有效期内 的营业执照副本、税务登记证、组织机构代码证或 “三证合一”营业执照。

1.2 具有良好的商业信誉和健全的 ：

（ 1）近年内（ 2***24年或 2***2 5 年度）财务报表 （须包含资产负债表、利润表、现金流量表） 或审计报告，新成立不足一年的 比选申请人 可提供成立至今自身出具的财务报表 ( 须 包含资产负债表、利润表、现金流量表 )，非营利性单位或者社会团体或者其他机关事业单位以符合财务会计制度为准；

（ 2） 比选 截止时间前三个月内基本账户银行出具的资信证明；

（ 3） 财政部门认可的政府采购专业担保机构出具的 比选 担保函（须同时提供专业担保机构经财政部门认可的证明文件）。

注： 比选申请人 根据自身情况提供以上任意一种证明材料即可。

1.3 具有依法缴纳税收的良好记录：提供 比选申请人 2***25年1月 至本项目 响应 文 件提交截止时间前任意 1个月依法缴纳税收如税务局税收通用缴款书复印件或银行电子缴税（费）凭证复印件或税务局出具纳税情况的相关证明复印件（依法免税的，应提供依法免税的相关证明文件；新成立不足三个月的 比选申请人 提供情况说明）。

1.4 具有依法缴纳 的良好记录：提供 比选申请人 2***25年1月 至本项目 响应 文件提交截止时间前任意 1个月社会保险费缴款书复印件或银行电子缴税（费）凭证复印件或社保管理部门出具的有效的缴款情况证明复印件（依法 免缴的，应提供依法免缴的相关证明文件；新成立不足三个月的还未办理社保的 比选申请人 提供情况说明）。

1.5具有履行合同所必需的设备和专业技术能力 ： 提供具备履行合同所必需的设备和专业技术能力的证明材料或承诺。

1.6 参加政府采购活动前三年内，在经营活动中没有重大违法记录 ： 提供参加政府采购活动前三年内在经营活动中没有重大违法记录的书面声明 。

2. 落实政府采购政策需满足的资格要求：无，本项目不属于专门面向中小企业采购的项目。

3.特定资格要求： 提供公安部第三研究所颁发的《网络安全服务认证证书等级保护测评服务认证》（复印件或扫描件加盖公章） 。

4.其他资格要求：

4.1 比选申请人 在 比选 之日前未被列入 “信用中国”网站“失信被执行人”、“重大税收违法失信主体”、“政府采购严重违法失信行为记录名单”，未被列入中国政府采购网“政府采购严重违法失信行为信息记录名单”，采购人将按照以上条款对参与各 比选申请人 的信用信息进行查询，有不良记录的其 比选 将被拒绝。

4.2 单位负责人为同一人或者存在直接控股、管理关系的不同比选申请人，不得参加同一合同项下的政府采购活动。为 本 采购项目提供整体设计、规范编制或者项目管理、监理、检测等服务的供应商，不得再参加该采购项目的其他采购活动。

三 、报名要求及相关安排

1.报名时间： 2***2 6 年 ***7 月 21 日 ***8时******分至2***2 6 年 ***7 月 23 日 17时 ****** 分 （ 3个工作日），逾期视为无效报名，采购人不予受理。

2.报名方式： 请各 比选申请人 填写下表并加盖公章，发送至指定邮箱（ bssrmyy_cgb@126.com）。

序号	项目名称	联系人	联系方式

3.联系电话：***875-2128999；如 比选申请人 未按公告内容、时限要求填写而影响报名的，后果由申请人自行承担。

4.若报名成功后，因特殊原因不能参加 比选 的，需提前电话 告知采购人 。

四、响应材料要求

1. 比选申请人 法人身份证复印件、经办人身份证复印件、经办人授权书 。

2.资格审查部分：

2.1提供有效期内 的营业执照副本、税务登记证、组织机构代码证或 “三证合一”营业执照。

2.2 比选申请人 根据自身情况提供以 下 任意一种 财务状况 证明材料即可。

（ 1）近年内（ 2***24年或 2***2 5 年度）财务报表 （须包含资产负债表、利润表、现金流量表） 或审计报告，新成立不足一年的 比选申请人 可提供成立至今自身出具的财务报表 ( 须 包含资产负债表、利润表、现金流量表 )，非营利性单位或者社会团体或者其他机关事业单位以符合财务会计制度为准；

（ 2） 比选 截止时间前三个月内基本账户银行出具的资信证明；

（ 3） 财政部门认可的政府采购专业担保机构出具的 比选 担保函（须同时提供专业担保机构经财政部门认可的证明文件）。

2.3 提供 比选申请人 2***25年1月 至本项目 响应 文件提交截止时间前任意 1个月依法缴纳税收如税务局税收通用缴款书复印件或银行电子缴税（费）凭证复印件或税务局出具纳税情况的相关证明复印件（依法免税的，应提供依法免税的相关证明文件；新成立不足三个月的 比选申请人 提供情况说明）。

2.4 提供 比选申请人 2***25年1月 至本项目 响应 文件提交截止时间前任意 1个月社会保险费缴款书复印件或银行电子缴税（费）凭证复印件或社保管理部门出具的有效的缴款情况证明复印件（依法免缴的，应提供依法免缴的相关证明文件；新成立不足三个月的还未办理社保的 比选申请人 提供情况说明）。

2.5提供具备履行合同所必需的设备和专业技术能力的证明材料或承诺（格式自拟）。

2.6 提供参加政府采购活动前三年内在经营活动中没有重大违法记录的书面声明 （格式自拟）；

2. 7比选申请人 在 比选 之日前未被列入 “信用中国”网站“失信被执行人”、“重大税收违法失信主体”、“政府采购严重违法失信行为记录名单”，未被列入中国政府采购网“政府采购严重违法失信行为信息记录名单”，采购人将按照以上条款对参与各 比选申请人 的信用信息进行查询，有不良记录的其 比选 将被拒绝。

2.8单位负责人为同一人或者存在直接控股、管理关系的不同比选申请人，不得参加同一合同项下的政府采购活动。为本采购项目提供整体设计、规范编制或者项目管理、监理、检测等服务的供应商，不得再参加该采购项目的其他采购活动，提供相关承诺函 （格式自拟） ；

2.9提供公安部第三研究所颁发的《网络安全服务认证证书等级保护测评服务认证》（复印件或扫描件加盖公章）

3.非联合体 比选 声明（格式自拟）。

4.比选申请人认为须提供的其他资格证明材料（若有）。

5.商务 部分：

5 .1 商务 偏离表：

序号	比选文件的商务条款内容	比选申请文件的商务条款响应情况	偏离情况	说明
1	服务期限 ：本项目服务周期 1年，合同签订后，按照甲方要求时间节点出具等保测评报告 。
2	质量 要求 ：符合国家及行业现行执行标准并满足采购人需求 。
3	比选有效期 ： 9***日历天(从递交比选申请文件的截止之日起算) 。

6.比选申请人 认为须提供的其他材料。

7. 首轮报价表 （ 格式自拟）。

8 .《中小企业声明函》或《残疾人福利性单位声明函》或《监狱企业声明函》（如有）。

9 .无串通行为的承诺函及申请人在职人员情况表 ：

承诺函

保山市人民医院：

我公司 （ 比选申请人 名称 ） 参加 （ 项目名称 ） 的 比选 活动，我公司承诺不存在以下情形：

（一） 比选申请人 直接或者间接从采购人或者采购代理机构处获得其他 比选申请人 的相关情况并修改其 响应 文件；

（二） 比选申请人 按照采购人或者采购代理机构的授意撤换 、 修改响应文件；

（三） 比选申请人 之间协商报价 、 技术方案等响应文件的实质性内容；

（四）属于同一集团 、 协会 、 商会等组织成员的 比选申请人 按照该组织要求协同参加政府采购活动；

（五） 比选申请人 之间事先约定由某一特定 比选申请人成交 ；

（六） 比选申请人 之间商定部分 比选申请人 放弃参加政府采购活动或者放弃 成交 ；

（七） 比选申请人 与采购人或者采购代理机构之间 、 比选申请人 相互之间，为谋求特定 比选申请人成交 或者排斥其他 比选申请人 的其他串通行为。

（ 八 ）不同 比选申请人 的 响应 文件由同一单位或者个人编制；

（ 九 ）不同 比选申请人 委托同一单位或者个人办理 比选 事宜；

（ 十 ）不同 比选申请人 的 响应 文件载明的项目管理成员或者联系人员为同一人；

（ 十一 ）不同 比选申请人 的 响应 文件异常一致或者 比选 报价呈规律性差异；

（ 十二 ）不同 比选申请人 的 响应 文件相互混装；

（ 十三 ）不同 比选申请人 的 比选 保证金从同一单位或者个人的账户转出。

若我公司 存在上 述情形，按无效 响应 文件处理；贵单位有权 依照政府采购法 及相关法律法规追究我公司 法律责任， 由此造成的经济损失由我公司承担。我公司在职人员情况表详见 附表。

比选申请人 （ 盖单位公章 ） ：

法定代表人（负责人）或委托代理人 （签字或 个人印章 ） ：

日期： 年 月 日

（附表） 比选 申请人在职人员情况表

序号	姓名	性别	职务	身份证号
1
2
3
…

注： 1、申请人须如实填写公司所有在职人员。

★2、 比选 小组如发现申请人提供的在职人员与其他申请人所提供的在职 人

员 存在重复的， 按无效 响应 文件处理 。

申请人 （加盖公章） ： ______________

法定 代表人（负责人）或委托代理人 （签字或 个人印章 ） ：

日期： ________年_____月_____日

1***.技术部分：

1***.1技术需求

1***.2服务方案

1***.3项目人员服务能力

1***.4服务质量保证方案

1***.5企业能力

1***.6类似业绩

11.比选申请人认为须提供的其他材料。

★ 注 ： 以上材料必须签字、盖章并按顺序排版，并提交一份 PDF格式的电子版响应文件（现场微信或U盘方式提交）。投标文件中提供的资料（扫描件或复印件），内容必须清晰可辨，若内容模糊，无法辨识，均视为未提供 。

五、 比选 相关要求：

1.时间、地点及联系方式：

1.1时间： 2***2 6 年 ***7 月 3*** 日 下 午 15 :****** （ 比选申请人 必须提前 15分钟到场签到，未按时签到的视为自动放弃，不予受理）。

1.2地点：保山市隆阳区青阳路与龙泉路交叉口（保山市人民医院东院区后勤 综合 楼 41***室）。

1.3.联系方式：保山市人民医院采购办 郑 老师： ***875-2128999

2比选要求：

2.1比选时，采购人将对本项目相关事宜进行详细咨询，比选申请人须派业务熟悉的人员参会，以免影响比选结果。

3 . 比选 规则：

3 .1各潜在 比选 申请人按抽签顺序进行报价和答疑；

3 .2 比选 小组：院内专家组成；

3 .3本次以院内公开 比选 方式进行，在 比选 申请人 通过资格及符合性审查 且完全满足采购人需求（质量和服务均能满足采购公告实质性响应要求），按照 综合评审得分 由 高 到 低 的顺序确定成交 比选 申请人。

3.4比选办法：详见附表二。

3 . 5 院内 比选 采购实施过程中，接收响应文件截止时间过后，如递交响应文件的 比选申请人 不足三家，终止院 内比选 采购活动，审核采购文件、采购公告的合理性及可行性后，发布二次公告。二次公告后，提交响应文件或者经评审实质性响应采购文件要求的 比选申请人 只有两家时，采购继续进行；提交响应文件或者经评审实质性响应采购文件要求的 比选申请人 只有一家时，报请分管院领导批准后，采购继续进行。

六 、监督

本次 比选 全程由审计科监督，参与 本 项目 的比选申请人 对成交结果如有异议，可在成交结果发布后三个工作日内以书面方式提出。

审计科电话： ***875-2149256       纪检监察室：***875-213******5***

重要备注：

1.本次 比选 会材料无需提交纸质版，只需提交一份电子版（ PDF格式）响应文件（现场微信/U盘方式提交）；

2.最终成交 比选申请人 需提供与电子版相同的纸质版响应（ 比选 ）文件正、副本各一份。

3.根据相关法律规定，禁止 比选申请人 相互串通。 比选申请人 相互串通构成犯罪的，由司法机关依法追究刑事责任；尚不构成犯罪的，根据情节交 由 医院纪检监察室进行处理。

附表一：采购需求及服务质量要求

服务内容及要求 ：

（一）网络安全等级保护测评服务

1.测评对象 ： 依据《信息安全技术 网络安全等级保护定级指南》，结合医院实际网络及信息系统现状，对指定的 6个三级系统实施测评。

2.测评方式 ： 严格遵循《信息安全技术网络安全等级保护测评要求》，综合采用 访谈、检查、测试三类方式

2.1 访谈：与系统负责人、机房管理员、系统管理员、网络管理员、开发人员、业务人员等交流，重点覆盖安全物理环境、安全管理等内容。

2.2 检查：包含配置检查（上机验证服务器、数据库、网络 /安全设备、应用系统配置）、文档审查（制度、策略、记录、系统设计文件等完整性审查）及实地查看（物理环境、机房部署、网络节点连接等）。

2.3 测试：包括漏洞扫描和案例验证测试（对安全策略、应用功能、漏洞等进行人工验证）。

3. 测评工具要求

现场使用的单台漏洞扫描工具须具备以下功能（ 须按要求提供功能截图证明 ） ：

3.1 任务扫描：支持自定义规则，支持资产扫描及漏洞扫描任务；支持 Treck协议栈指纹检测、域名解析扫描；任务可暂停/删除；可查看本任务资产及漏洞数据，可设置扫描速率、协议并发数等参数。

3.2 指定资产范围漏洞专扫：可选定自定义资产范围和 POC进行专扫；可罗列每个POC可能影响的资产，支持识别并标记APT组织曾使用过的漏洞。

3.3 风险识别：可通过规则识别资产存在的可疑风险（木马后门、集成工具、远程运维等），并在报告中展示统计结果。

3.4 协议识别数：支持不少于 3******种主流协议识别，包括但不限于ancp(6***68)、bitcoin(8333)、ceph(1311|13***2|1314)、dgraph_grpc(5***8***|7***8***|9***8***)、hikvision(8*********)、git(9418)。

3.5 端口识别数：可识别目标开放端口不少于 7******种，包括23（crestron-ctp，telnetOld，ztelnet）、113（isakmp，isakmp-udp，identd）、2628（dictionary）、6******1（x11，ncacn_http，jt8***8，http，acti-control）等特殊端口识别。

3.6 规则及 POC数量：总规则集超35万条，POC数量超42******条。

4. 系统测评指标 ： 测评覆盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理共十大类，按等级保护标准逐项实施测评。

5. 成果输出 ： 《网络安全等级保护测评报告》 。

（二）资产测绘服务

1. 服务范围 ： 院内网络设备、安全设备、服务器、业务系统、数据库，以及连网办公终端、摄像头、打印机等。

2. 服务内容 ： 通过人工 +工具方式，全面梳理终端资产的IP地址、操作系统、MAC地址、端口、服务、组件等信息。

3. 成果输出 ：

3.1 《保山市人民医院系统资产安全测绘分析报告》

3.2 《网络设备资产清单》

3.3 《资产位置结构图》

3.4 《网络拓扑图》

（三）网络安全巡检服务

1. 巡检范围 ： 医院网络设备、安全设备、服务器。

2. 服务内容 ：

2.1 运行状况检查：检查设备性能指标、功能状态、 license状态、更新状态等。

2.2 策略配置检查：验证设备及系统的策略配置是否符合安全要求。

2.3 安全日志分析：分析防火墙、 IPS、防病毒系统等日志，排查攻击痕迹、异常流量、病毒及上网行为等可疑事件。

2.4 服务器威胁检测：本地检查软件安装、补丁更新、安全策略、病毒及日志审计情况，排查攻击痕迹。

3. 成果输出 ： 《系统运行威胁检测报告》 。

（四）安全漏洞扫描及验证服务

1. 服务内容

使用经 CVE认证的漏洞扫描工具，结合人工审核分析，对以下对象进行漏洞扫描并编制报告： 1.1 服务器操作系统漏洞扫描 ； 1.2 数据库漏洞扫描 ； 1.3 WEB应用系统漏洞扫描 。

2. 成果输出 ： 《系统漏洞扫描报告》 。

（五）渗透测试服务

1. 测试对象 ： 医院所有测评系统。

2. 测试依据 ： 《信息安全技术 信息系统安全等级保护基本要求》、 OSSTMM、ISSAF、OWASP、PTES等。

3. 测试内容 ： 检测系统是否存在以下漏洞：

3.1 高危漏洞： SQL注入、XSS跨站、文件上传、命令执行、文件包含、任意文件下载、CSRF、解析漏洞、逻辑漏洞、历史遗留后门、远程部署漏洞及其他高危漏洞。

3.2 中危漏洞：列目录漏洞、 CGI信息泄露、IIS短文件名泄露、环境探针、日志文件泄露、示例文件等。

3.3 低危漏洞：网站调试信息、服务端统计信息、敏感目录、内容泄露等。

4. 成果输出 ： 《保山市人民医院渗透测试报告》 。

（六）应急响应服务

1. 服务方式 ： 提供 7×24小时应急响应，发生安全事件时可远程或现场处置，协助降低损失；事后分析原因并提供加固建议。

2. 成果输出 ： 《安全事件应急响应报告》 。

（七）网络攻防渗透技能培训服务

1. 服务频次 ： 每年提供 4次培训。

2. 培训内容 ： 网络攻防渗透技能、渗透测试技术、黑客技术、 CTF比赛技能等。

附表二：评分标准