广州中医药大学第一附属医院应用接口安全监测系统设备采购项目招标公告

****应用接口安全监测系统设备采购项目招标公告

采购单位：****

项目名称：应用接口安全监测系统设备采购项目

项目编号：****

一、 项目概况：根据《网络安全法》《数据安全法》《个人信息保护法》及《医疗卫生机构网络安全管理办法》等法律法规要求，满足医疗行业数据安全合规标准，医院需建设两套应用接口安全监测系统设备，实现对内外网业务资产的自动发现与管理、敏感数据访问审计、数据流动风险监测及全链路溯源反演。该设备系统建设能提升数据安全防护能力，对涉敏数据的访问行为、流转路径进行全面监测，降低数据泄露、非法访问等风险，助力医院实现数据安全与业务发展的协同推进，符合国家医疗行业信息化建设与安全管理的整体要求。

二、 招标限价（人民币）：413，500元（大写：肆拾壹万叁仟伍佰元整），包括完成本项目工作所需的全部费用，包括但不限于评测费、监控费、维保费、检查费、评估费、系统调试费、标配工具费用、办公设备及物耗费用、培训费、咨询费、质保期服务费、人员工资（包括应交的五险一金等费用）、加班费、风险金和税费、利润、不可预见费等在项目实施过程中的全部费用。

三、 报价形式：报总价，包括本项目完成所需全部费用及维保期内产生的相关费用。

四、 资金性质：财政性资金（非预算指标资金）。

五、 项目需求书：

（一） 项目概况

序号	产品名称	产品描述	数量
1	内网应用接口安全监测系统设备	功能参数：支持资产备案，流转审计，监测分析，全链路溯源。支持镜像口、探针等部署方式。含三年的软硬件维保服务，以及不少于三年的特征库、规则库升级服务。 性能参数：提供内网≥4Gbps流量监测能力; 国产CPU: ≥64核; 内存: ≥256GB; 硬盘: ≥固态硬盘960GB+HDD 8T; 接口: ≥4个千兆电口、2个万兆光口;	1套
2	外网应用接口安全监测系统设备	功能参数：支持资产备案，流转审计，监测分析，全链路溯源。支持镜像口、探针等部署方式。含三年的软硬件维保服务，以及不少于三年的特征库、规则库升级服务。 性能参数：外网≥1Gbps流量监测能力； 国产CPU: ≥16核; 内存: ≥64GB; 硬盘: ≥固态硬盘480GB+HDD 4T; 接口: ≥4个千兆电口、2个万兆光口;	1套

（二） 服务年限：自合同签订之日起6个月内完成本项目交付使用。自验收合格之日起，免费维保期不少于三年。

（三） 应用接口安全监测系统设备产品功能要求：

序号	功能项	指标项	功能参数要求
1.	账号识别	账号提取	▲通过流量自动识别提取应用/数据库账号，关联访问日志，并根据用户访问内容进行涉敏的数据标签标记账号，支持自定义账号提取规则。（需提供功能截图并加盖产品原厂公章）
2.		账号清单	支持对识别到的账号进行统一梳理形成清单，包括账号信息、所属用户、账号类型、所属**、敏感访问次数、访问IP、风险系数、访问的数据类型、最近访问时间、发现时间等。
3.		账号画像	支持账号的安全指数分析，包括访问敏感数据的行为趋势、账号存在的风险分布、行为风险趋势、账号访问的数据类型、访问数据的分类分级统计结果。
4.		账号详情	▲支持对账号的访问信息进行统计，梳理出账号的访问源IP及常用终端，基于账号名识别实际自然人，并对账号的访问行为进行分类标记，包括上传文件、跨境访问等，能够对账号的日均访问数据、上传数据量做统计。（需提供功能截图并加盖产品原厂公章）
5.	IP识别	IP识别	支持请求源IP的自动识别，包括IP的地理信息、所属网段、访问的敏感类型、使用的账号、日均访问/上传的敏感数据量、常用终端等
6.		IP分类	能够根据IP的访问行为对IP做出分类，包括境外IP、活跃IP等
7.		画像分析	支持IP的安全指数分析，包括访问敏感数据的行为趋势、IP存在的风险分布、行为风险趋势、IP访问的数据类型、访问数据的分类分级统计结果
8.	接口识别	识别展示	支持接口数据识别，展示学习中的API数量、已识别API数量、新增API数量以及活跃API数量
9.		识别配置	支持配置接口识别规则，包括但不限于接口过滤、识别类型、状态码、特征相似度、数据阈值。
10.		接口合并	▲支持通过树状图展示接口数据，并能够基于交接点进行手动点击合并。（需提供功能截图并加盖产品原厂公章）
11.		特征替换	支持配置接口特征规则，包括但不限于特征名称、替换符、识别规则。
12.		接口视图	支持展示学习中、基线化的接口视图。
13.		接口分类	支持展示接口名称、接口分类情况、接口描述、匹配方法、启用状态等，对分类接口可进行编辑和删除操作。
14.	风险识别	风险分析	支持对系统发现的风险进行多维度分析统计，例如：风险类型分布，风险事件趋势，风险级别分布，并能够对最新发生的风险进行推荐展示。
15.		风险场景	▲支持内置风险场景，至少包含“蚂蚁搬家”式数据窃取场景、数据异常流动场景。（需提供功能截图并加盖产品原厂公章）
16.		风险策略	▲支持以IP、账号、API的多种指标组合自定义配置新增风险策略，例如：密码明文透出、账号暴力破解、单IP高频撞库、数据库过量访问等。（需提供功能截图并加盖产品原厂公章）
17.	审计溯源	实时检索	▲支持通过多个关键词对流量进行实时百科式检索。检索结果支持展示命中结果，并能够展示包括但不限于命中流量的访问时间、访问主体、目的**、业务系统、访问信息、命中的数据类型、关联的风险事件。（需提供功能截图并加盖产品原厂公章）
18.		访问分析	支持对不同的访问行为进行分类统计，例如：人机访问，文件上传，文件外发等。
			支持对流量中的敏感类型及流动数量进行词云分析
19.		数据脱敏	支持对审计中的敏感数据进行脱敏或去标识化展示，可通过二级鉴权后查看明文数据。
20.		日志查询	支持通过访问主体、数据类型、接口、访问url、协议类型、访问用户、应用域名、源目IP、UA、Referer、源目mac等对日志进行查询。支持日志查询结果批量化导出。
21.		▲智能溯源	支持对敏感数据进行溯源，并对溯源结果进行智能分析，包括但不限于：访问情况、流转标签、传输接口、数据**、访问主体、线索访问趋势、线索访问地图、访问溯源（需提供功能截图并加盖产品原厂公章）
22.		▲数据流转测绘	支持展示数据流转地图、数据流向分布、数据访问链路、数据共享地图信息。（需提供功能截图并加盖产品原厂公章）
23.	安全报告	报告模板	支持资产统计、风险统计等多个报告模板，且支持自定义报告模板。
24.		定制报告	支持通过报告模板、时间范围、业务系统定向生**全报告。
25.		报告订阅	支持通过订阅周期性生成报告，周期包括日报、周报、月报，订阅任务支持增删改查，启用停用。
26.	产品能力	▲数据安全专利	生产厂商在数据安全领域的专利获取情况： 类型1.专利名称包含有“数据流转” 类型2.专利名称包含有“访问敏感数据” 类型3.专利名称包含有“数据集质量评估”或“数据质量评估” 类型4.专利名称包含有“数据接口爬虫” 需提供:加盖产品原厂公章的专****产权局https://cpquery.****.cn/chinesepatent/index的查询截图）

（四） 项目实施要求：

1. 安装与调试：①中标人必须按项目进度安排计划，派出适当的技术人员到安装现场负责安装和调试工作。包括硬件、网络和电源线路、软件部署等。全部设备和软件安装完成且连接完毕进行系统测试，应严格按测试计划进行，做好各项原始记录。在安装调试期间，严格遵守采购人的有关规定。

2. 培训要求：提供软件管理、配置、使用等相关培训，给出培训内容和计划，总体培训时间不少于1天。提供完整的产品技术手册、用户手册等文档。技术文档应该全面、完整、详细。

3. 售后服务：①维保期内非因采购人的人为原因而出现系统或服务问题，由中标人负责完善、优化或解决，并承担因此而产生的一切费用。中标人应在收到采购人通知后1小时内响应，4小时内派员到现场排障(采购需求要求另有规定除外)。 ②因工作内容的交付质量问题而发生争议，由**省或**市相关质检部门进行质量鉴定。交付内容符合质量标准的，鉴定费用由采购人承担；交付内容不符合质量标准的，鉴定费用由中标人承担。 ③本项目的售后服务涉及到软件系统的调试测试、优化调整、权限配置等相关的售后工作。

（五）项目团队成员要求：

1. 投标人应为本项目提供专业服务团队，该团队包括项目经理和至少三名技术人员。团队所有人员均具有不少于三年网络或信息安全从事经验，同时，技术人员必须对相关安全设备型号具有一定的维护和实施经验，如：熟悉防火墙、安全设备参数配置、性能优化调整等。

2. 项目经理负责对该项目整体开展、实施、售后服务工作的统筹协调和管理，****医院协调沟通，保证服务质量。具备系统集成项目管理工程师（中级或以上）、信息安全保障人员认证证书、数据库管理师（高级）、网络与信息安全管理员证书等资质要求, 且须具备5年以上从业经验。

3. 技术人员能力要求，具备注册信息安全工程师(CISE)、注册渗透测试工程师（CISP-PTE)、软件测试师（高级）、DSO数据安全官认证证书、系统集成项目管理工程师证书（中级或以上）、信息安全保障人员认证证书（CISAW）、网络与信息安全管理员证书等资质。

4. 投标人须保证队伍稳定，并由医院审核，审核通过后才能参与实施工作；****医院内部各项规章制度和内部操作规程，履行保密义务，签署保密协议，未经批准不得以任何理由泄露任何保密信息和内部资料。

（六）验收要求：

1. 履约验收主体：****。

2. 履约验收时间：采购人收到中标人项目验收建议之日起7日内按照合同的约定对履约情况进行验收，对每一项技术、服务、安全标准的履约情况进行确认。

3. 履约验收方式：由采购人和中标人共同进行。

4. 履约验收程序：①双方依据规定的程序和条件确认合同项下的产品符合技术规范的要求，由采购人对当次服务质量进行检验。如发现质量等任何一项与采购要求规定不符，采购人有权拒绝接受。②验收合格后，采购人、中标人双方在验收合格单上签字确认。验收时，中标人应交付一切采购内容及交付成果，确保采购人管理、运维人员具备软件、硬件、数据上的一切使用和管理权限。

5. 履约验收内容：满足采购需求的要求、投标文件中的相关承诺及合同约定要求。

6. 验收标准：按照国家相关行业要求、招标文件要求及响应文件的响应情况进行验收。

（七）付款方式：

1. 合同签订后1个月内，支付合同价款的30%作为预付款；

2. 项目按照合同约定的验收标准和程序完成验收后1个月内，支付合同价款的65%作为验收款；

3. 合同价款的5%在验收合格（按照合同约定的验收标准和程序），且在正常履行服务（未出现合同中约定的重大违约情形，且服务质量符合合同约定）的情况下，自验收合格之日起一年后无息付清。

（八）其他要求：

1. 为了确保本项目顺利完成，需要投标人具备一定技术实力及本地服务团队，****医院应用接口安全监测设备项目有序、可行开展；且应该具备良好的安全服务资质，经过国家或者国际相关认证的为优。投标人应该在信息安全领域有着丰富的经验与先进的技术，具备信息安全管理\技术研发能力的为优（需提供相关软件著作权为证明文件）。

2. 为了保障服务质量，投标人应具有但不限于以下资质及能力：①中国网络安全审查****数据中心信息安全风险评估服务资质；②中国网络安全审查****数据中心信息安全应急处理服务资质；③信息技术服务管理体系认证证书（ISO20000）；④信息安全管理体系认证证书（ISO27001）；⑤质量管理体系认证证书（ISO9001）；⑥职业健康安全管理体系认证证书（ISO45001）。

3. 投标人投标时需提供原厂项目授权函及售后服务承诺函（需加盖原厂公章）。

4. 投标人应保证，采购人在中华人民**国使用该货物、服务或货物、服务的任何一部分时，免受第三方提出的侵犯其专利权、商标权、著作权或其它知识产权的起诉。

（九）提供详细的整体服务方案：包括技术方案和实施方案。技术方案包括整体流程、技术方法和服务方案设计等；实施方案包括人员组织、时间安排、阶段性文档提交、验收标准、质量保证和风险规避措施等。要求方案表述内容清晰、完整、合理、详细、科学、可行。

（十）提供近三年（2023年至今）相关同类项目业绩，需提供证明文件（附合同复印件等）。

（十一）开标会只允许各投标单位安排一名投标人员参加，且该人员必须与投标报名登记表登记的人员一致，若临时更换投标****采购中心工作人员联系。标书代写

（十二）投标文件要求：7份（1正6副），开标前需密封，每份文件均需按序页码。双面打印。标书代写

（十三）项目需求书条款响应情况：投标人必须对项目需求书的内容逐条响应。标有“★”的条款为必须完全满足的项目，任何未响应或负偏离将导致无效响应；标有“▲”的条款和为重要项目，任何未响应或负偏离将被严重扣分。响应供应商应对需求书中的技术指标在响应详细内容中列出具体数值或具体承诺。如果响应供应商只注明“正偏离”或“无偏离”，将被视为“负偏离”，从而可能导致严重影响评审结果。响应供应商没有在响应文件中注明偏离（文字说明或在响应表注明）的参数、配置、条款视为被响应供应商完全接受。

六、 投标人资格

1. 投标人应是来自中华人民**国的独立法人企业或其他组织或自然人，营业执照有相关的营业范围.

2. 投标人应具备良好的信用记录，未被列入“信用中国”网站中“记录失信被执行人或重大税收违法****政府采购严重违法失信行为”的记录名单；不处于“中国政府采购网”中“政府采购严重违法失信行为信息记录”****政府采购活动期间。投标人投标时需提供相关证明资料。如在上述网站查询结果均显示没有相关记录，视为没有上述不良信用记录，同时对信用信息查询记录和证据进行截图。

3. 本项目不接受联合体投标，不得转包、分包、外包投标的主体。

七、述标、答辩：

1. 述标部分：述标时间不超过3分钟。述标着重介绍对项目的理解，特别是关键技术层面，述标无需使用PPT。

2. 答辩部分：述标之后，****小组提问，投标人如实作答。

3. 投标人应完整、真实、准确的填写招标文件中规定的所有内容，对投标文件所提供的全部资料的真实性承担法律责任，并无条件接受招****管理部门等对其中任何资料及招****管理部门认为有必要的资料进行核实的要求。

八、评标办法：综合评标法

九、报名时间及地点

1. 报名时间：2025年11月20日至2025年11月26日17:00；

2. 报名方式：本项目只接受电子报名，报名邮箱为：gztcm_zbzx@gzucm.****.cn。请各投标人将报名需要提交资料加盖公章后扫描，将扫描件发至报名邮箱，邮件名称：项目名称+单位名称；

3. 报名需提交资料（需加盖公章）

（1）有效的营业执照复印件。投标人在经营范围内投标，如营业执照未记载经营范围，同时提供在**企业信用信息公示系统查询的单位“登记信息”的打印页面；

（2）企业法人代表证明书、具有法人签名或盖章的被委托人有效授权书（详见附件）；

（3）投标报名登记表（详见附件）；

4. 报名所需的资料原件请于开标日当****采购中心工作人员处。报名是否成功，以邮件回复为准。标书代写

5. 报名成功本项目的投标人，若决定不参与投标，请于2025年11月26日下午17:30前电话或邮件通知招标人。

十、开标时间及地点标书代写

1. 开标时间：2025年11月27日上午 9:30标书代写

2. 开标地点：**市**区机场路16号****行政楼102室标书代写

3. 投标人员应为报名登记表上登记的负责投标的人员，该人员凭身份证进入开标地点。标书代写

十一、本招标文件所涉及的时间一律为**时间。

十二、联系人：李老师:020-****1289；（项目咨询）

黄老师/陈老师：020-****5829；（招标流程咨询）

十三、咨询时间：工作日上午 8:00-12:00，下午14:30-17:30

****

2025年11月19日

附件：

法定代表人授权书

致：****

本授权书声明：注册于 （国家或地区）的 （投标人名称）的在下面签字的 （法定代表人的姓名、****公司授权在下面签字的 （被授权人的姓名、****公司的合法代表人，就“****应用接口安全监测系统设备采购项目（项目编号：****）”招标的 （可选“报名”），以我方的名义处理一切与之有关的事宜。

本授权书于 年 月 日签字生效，特此证明。

随附《法定代表人证明书》

附件

1、代理人(被授权人)身份证或其他有效的身份证明

注：投标人必须在上述附件上加盖公章。

投标人（法人公章）：

地 址：

法定代表人（签字或盖章）：

职 务：

被授权人（签字或盖章）：

被授权人身份证号码：

职 务：

日期：

法定代表人证明书

现任我单位 职务，为法定代表人，特此证明。

有效期限：

附：代表人性别： 年龄： 身份证号码：_________

企业注册号码： 企业类型：_____________________________________

经营范围：

。

注：投标人必须在上述附件上加盖公章。

投 标 人（法人公章）：

日 期：

投标报名登记表
招标项目编号			报名日期	年 月 日
项目名称
报名单位名称
地址(营业执照)			邮编
报名人	姓名	身份证号码	手机	传真
投标人（负责投标的人员）	姓名	身份证号码	手机	电子邮箱