肥东县中医医院网络安全等保测评服务项目

项目编号：****

采购需求

一、前注

为贯彻落实国家信息安全等级保护制度，满足国家和**省相关考核要求，进一步提高我院的整体安全防护水平，根据《中华人民**国网络安全法》（主席令第53号）、卫生部2011年印发（卫办发[2011]85号）《卫生行业信息安全等级保护工作的指导意见》、《**省卫生行业信息安全等级保护工作实施指南（试行）》等法律、文件的要求，依照等级保护2.0标准要求，依托有资质的第三方网络安全等级测评与检测评估机构对我院以下重要信息系统开展网络安全等级保护测评工作，通过项目实施，查找各信息系统和网络存在的安全漏洞及隐患，为后续建设和整改工作提供建议和决策依据，从而进一步完善重要信息系统的安全管理体系和技术防护体系，切实提高系统信息安全防护能力，为全面提高信息系统稳定运行提供安全保障。

二、采购清单（可根据项目需求楣栏自行编辑）

三、服务需求及技术规格要求

根据等保2.0相关标准及要求，为采购人提供网络安全等级保护测评服务：

1、确定测评范围

协助采购人确定本次待测信息系统的等保测评范围。

2、安全技术差距测评

对待测信息系统进行安全物理环境、安全通信网络、安全计算环境、安全区域边界、****中心等技术层面进行现场测评和差距分析，记录相关的测评结果。

3、安全管理差距测评

对采购人安全管理制度、安全管理机构、人员安全管理、安全建设管理、安全运维管理等管理层面进行现场测评和差距分析，记录相关的测评结果。

4、差距测评记录撰写、定稿

根据技术和管理测评结果，按照标准测评报告模板撰写测评记录，定稿后交采购人，为下阶段开展整改工作提供依据。

5、提供整改建议书

根据测评结果和整改建议，提出可行性整改方案，并提供相应的整改建议书。

6、协助完成等级保护整改

根据整改建议书中的建议，由测评机构协助采购人开展基于等保要求的差距项的整改。对涉及到安全管理差距部分的整改，由测评机构协助采购方完**全管理制度初稿编制。

7、形成等级测评结论及测评报告提交

由成交投标方编制《等级保护测评报告》，******局网安支队。

8、咨询服务

在服务期间，为采购人提供定级备案协助、对标差距分析、职位职责梳理、管理体系建设等咨询服务，服务期限从合同签订至项目验收通过。

9、定级备案

协助采购方待测信息系统在网安部门完成定级备案工作，交付定级报告、专家评审意见表和备案表等内容，并取得相应系统的备案证明。

10、等级保护测评

投标人须依据《信息安全技术 网络安全等级保护基本要求》（GB/T 22239-2019）、《信息安全技术网络安全等级保护测评要求》（GB/T 28448-2019）、《信息安全技术 网络安全等级保护测评过程指南》（GB/T 28449-2018）和《信息安全技术 网络安全等级保护定级指南》（GB/T 22240-2020）等国家等级保护相关标准对待测信息系统进行等级保护测评工作，内容包括：

（1）安全技术测评：包括安全物理环境、安全通信网络、安全区域边界、安****管理中心等五个方面的安全测评；

（2）安全管理测评：包括安全管理机构、安全管理制度、安全管理人员、安全建设管理和安全运维管理等五个方面的安全测评；

（3）工具测试：针对重要信息系统进行定期的漏洞扫描、渗透测试等安全服务工作；

（4）整改建议：投标人应根据现场测评中发现的问题，分析与GB/T 22239-2019、ISO/IEC 27001、ISO/IEC 20000、ISO 22301、ITIL和ITSS等行业最佳实践之间的差距，按照网络安全等级保护标准要求提出安全整改建议；

（5）编制测评报告：完成上述测评工作和整改加固实施后，投标人****机关要求的各信息系统网络安全等级保护测评报告。

11、网络安全意识培训

投标人需为采购方提供不少于2次/年的信息安全意识培训及考试，提高全院职工网络安全意识，并提供全套培训资料等。

12、信息安全专业人员培训

投标人每年需为采购方提供不少于1次/年信息安全专业人员培训及考试，确保管理人员和技术人员掌握关于信息系统等级保护相关规范、信息安全策略、信息保密制度，信息安全管理制度和相关流程，并提供全套培训资料等。

13、漏洞扫描服务

投标人对采购方待测信息系统提供漏洞扫描服务，指导信息科员工对设备进行漏扫，并出具漏洞扫描报告，服务周期一年四次。

14、渗透测试服务

投标人对采购方待测信息系统提供渗透测试服务，并出具渗透测试报告，服务周期内一年四次。

15、风险评估服务

投标人针对采购方待测信息系统出具安全风险评估报告，服务周期内一年一次。

16、应急演练

对采购人信息系统的机房供电可用性、网络可用性、应用系统安全性、应用系统可用性、容灾系统可用性进行调研并记录；针对采购人信息系统实际现状（机房基础软硬件设施/业务数据、组织机构与职责）进行调研确认，通过应急演练检验信息系统网络安全应急处置准备和应急能力建设情况，提高对安全事件的响应能力，须提供应急预案、演练方案、应急演练（包含演练过程中涉及到的指示牌、提醒标识等道具）、演练报告以及演练过程中发现的风险隐患和整改建议。服务周期内一年两次。

****

2025年4月21日