毕节市中医医院市场询价公告（毕节市中医医院机房软件硬件维保服务）

2.询价联系人：顾女士0857—****336

3.地址：**省**市七****医院行政楼508

4.询价内容：相关要求及参数见附件1，附件2为指定格式

5.供应商资格要求：参加报价的单位必须具有独立的企业法人资格、独立承担民事责任能力且从事相关行业；投标人经营范围符合本项目要求，具有良好的商业信誉和健全的财务会计制度；具有履行合同所必需的设备和专业技术能力；有依法缴纳税收和社会保障资金的良好记录；参加本次招标活动前三年内，在经营活动中没有重大违法记录。公司在行业内有良好的服务信誉。

6.供应商须提交文件资料：****公司法人营业执照复印件、不是法人报价的需要提供法人授权委托书及被授权人的身份证明、供应商资格要求文件（第5条内容）、产品报价单、产品参数等。所有复印件均应加盖公章，按顺序装订成册，****公司名称及联系电话，送到或邮寄我院采购科。（资料不完整视为无效报价资料）

7.时间：2026年1月27日至1月29日（三个工作日，早上09：00—11:30、下午15:00—17:30），逾期不再受理。

特别说明：本次询价工作仅为对拟采购项目进行市场询价，我院不对参与报送的产品、价格及方案作任何承诺。

2026年1月27日

****

附件1

一、项目背景

随着我院信息化建设的不断深入，各类诊疗、管理与服务业务均高度与信息技术紧密关联，****数据中心、HIS、LIS、PACS、HRP等数十个业务应用系统，****数据中心十百台计算、存储、网络、安全等设备共同支撑运行。这****医院三个不同机房中，且涉及数十个不同品牌、不同型号设备及管理软件系统，目前缺乏统一的运行维护保障机制，****管理部门人手有限，一旦遭遇设备故障、人工误操作、病毒感染、网络攻击等事件发生，由于运维效率较低，严重影响前端业务应用系统运行，从而影响前端业务科室诊疗工作开展；如发生数据丢失事件，不仅导致业务应用处于长时间不可控的计划外停机，****医院前端诊疗业务瘫痪，为医院带来不可预估的经济损失及不良社会影响。

因此，医院计划将机房、网络、应用软件、数据库、计算及存储、安全等信息化基础支撑平台运维服务整体委托第三方专业服务机构，完善医院整体信息化基础平台的运维管理体系，规范医院信息化运维管理，提升运维效率，****医院诊疗业务正常开展。

二、采购目标

通过本次采购，实现医院信息化技术运维外包后，至少可达到如下效果:

(1****医院信息系统的可用性和可靠性，保障医院关键医疗服务的连续性；

(2****医院****中心硬件**配置，提高**利用率，降低信息化综合运维成本；

(3)医院信息化应用系统及网络、数据库、计算、存储的基础支撑环境能获得及时、专业的技术支持，快速响应各类故障和问题，提高医院信息系统故障应急处置能力及响应效率，****医院业务系统运行连续性；

(4)能****医院信息系统、网络安全、数据安全等信息安全管理体系建设，提升医院应对不断增加的各类信息化及信息安全方面的监管、考核等指标的应对能力。

三、商务需求

本项目（机房及应用软件****医院信息化机房、软件、硬件的打包运维，内容包含：硬件维保（原厂维保）、原厂授权升级、原厂特征库升级、应用软件运维、应用软件数据库运维、三名驻场运维人员（一名开发人员、一名软件运维人员、一名硬件桌面支持人员）等，服务商需在充分了解项目需求的前****服务所需配套软硬件、软件（工单软件），包括但不限于各种软件、硬件设备数量、接口费、现有网络设施等数量和要求，投标人的报价及方案须充分考虑项目所需一切软硬件费用、人员驻场费用、安装费用、集成费用、接口费用、调试费用及材料费用，确认所****医院有任何额外投入即可以满足全部运维要求。

四、采购需求

（一）机房硬件运维包括：保障医院正常的所有基本设施设备，且进场后****医院机房进行标注啊改造优化。硬件现场驻场人员1名。

（二）软件运维包括：保障医院运行的所有软件数据库，软件数据库优化运维、数据需求统计，报表开发统计、软件接口开发、软件需求处理、软件日常故障处理。软件现场驻场人员2名。

运维服务包含但不限于如下内容：

第一部分应用系统软件运维服务

应用系统软件运维服务范围：保障医院正常运行的系统基础运行维护、数据库运维、需求处理、表报开发、接口开发等。并制定详细的可行性应急预案。

****中心硬件平台运维服务

（1）系统/设备梳理及调整服务

****中心现用网络、ICT设备、系统的整体梳理报告，****医院ICT资产清单，并在服务期内随资产变动情况实时更新资产清单；并提出合理的整体优化配置建议方案，医院信息科审核并确认后，进行整体硬件**优化配置，并出具**优化价值评估报告。

服务成果交付：服务开始后，初期提供并迭代《医院信息化资产梳理报告》、《**优化配置报告》，**优化完成后提供《**优化价值评估报告》。

（2）基础运维服务

针对软硬件设备常规故障，提供365天×7天×24小时（含节假日）技术支持服务。

服务成果交付：提供《故障处置报告》（含处置后潜在风险隐患评估，如有）。

（3）设备修复服务

服务期内，当合同所涉及的硬件设备发生故障，负责免费维修（包括配件更换）。针对关键设备，提供维修期间临时替用设备。

服务成果交付：提供《设备维修报告》（含维修后潜在风险隐患评估，如有）。

（4）业务配合服务

医院业务系统（业务软件）需求发生变化，需重新调整软硬件配置时，提供365天×7天×24小时（含节假日）电话、线上及现场技术支持服务。

服务成果交付：提供《硬件配置调整日志》、业务软件需求变化后可能产生的《扩容建议报告》等。

（5）主动巡检服务

服务期内每月提供一次主动现场全面巡检服务，根据巡检结果出具巡检报告提交给客户信息管理相关部门负责人；如巡检过程中发现隐患，则出具相应的风险评估及解决方案提交给客户信息管理相关部门负责人。

服务成果交付：提供《巡检报告》、《安全隐患评估及建议解决方案报告》等。

（6）突发事件应急响应服务

当医院出现突发紧急事件（如意外事件导致数据丢失、关键业务底层宕机导致生产系统瘫痪、遭遇网络攻击或勒索病毒感染等），提供365天×7天×24小时（含节假日）电话、线上及现场技术支持服务，急需时提供备用设备支持、提供（有偿）第三方专业紧急数据恢复服务等。

服务成果交付：提供《突发事件处置报告》以及相关《整改建议报告》等。

（7）非合同范围故障响应服务

对非合同范围的设备/系统提供免费电话及线上技术支持服务，针对必须现场提供技术处理的问题，根据具体工作量协商单次运维费用。

服务成果交付：免费提供《建议处置报告》等。

（8）信息化与安全规划咨询服务

医院进行相关评级建设过程中，免费提供关于ICT及安全信息化基础建设、**分配、业务安全、数据安全、网络和终端安全等咨询规划，并出具规划报告。

服务成果交付：免费提供《咨询规划建议方案或报告》、《可行性研究报告》等。

第三部分网络安全运维服务方案

（1） 常态化安全运维服务

ü资产梳理服务

（1）物理资产梳理：绘制采购人网络现状拓扑图，如有设备增加或网络现状变动需要及时更新，服务器设备、网络设备、安全设备、其他设备精准统计与标签标签注明，终端设备统计及终端设备带宽测试等；

（2）网络资产梳理：IP地址、端口、应用服务、权限口令管理等统计，如是高危端口及存在的风险需加固；

（3）业务资产梳理：云**、业务系统、应用系统、操作系统、数据库等全类型资产，形成动态更新的资产清单，形成资产画像，标注责任人、地理位置、业务归属等；

（4）风险资产分析：将资产清单导入漏洞扫描系统，标记存在高危漏洞的资产。

服务成果交付：服务完成后交付包含但不限于《网络拓扑图》、《信息资产和设备统计清单》、《台账管理文档》、《终端带宽记录》等。

ü安全监测运营服务

每月定期通过安全感知平台、终端安全管理平台等安全设备呈现的日志进行脆弱性分析、尝试入侵行为分析、潜在威胁分析，研判对漏洞利用攻击事件、Webshell上传事件、SQL注入攻击、恶意代码、系统命令注入攻击、信息泄露攻击深度、口令暴力破解、Web明文传输、弱密码、勒索病毒事件、挖矿病毒事件、蠕虫病毒事件、僵尸网络攻击事件、SMB扫描事件、RDP暴破 SMB暴破事件等，动响应对内网脆弱性、入侵行为、潜伏威胁等安全问题进行主动响应，在授权情况下调整相关设备策略，对于终端病毒问题提供实际可行的病毒解决方案，形**全运营月报等；

服务成果交付：服务完成后交付包含但不限于《安全运营月报记录》、《安全事件及处置情况报告》等。

ü月度巡检服务

对整个内网、互联网是否存在信息安全风险。如：网络设备配置的安全策略及主机的安全配置是否有安全隐患，路由策略、访问控制、通信协议是否有安全隐患等。通过现有的安全设备巡检，扫描是否存在有勒索病毒事件、挖矿病毒事件、蠕虫病毒事件等，并提出建议及处理方式。

设备巡检包含但不限于:

（1）CPU、内存、指示灯等使用情况；

（2）安全性检查:包含配置备份，规则库更新，软件升级，预警补丁更新情况等；

（3）设备流量负载情况分析，系统运行日志分析，及时发现潜在风险。

服务成果交付：服务完成后交付包含但不限于《月度巡检报告》、《潜在风险建议处置方案报告》等。

ü合规性及配置加固服务

配合等保测评合规要求，调整优化安全配置以满足相关检查要求。

（1）定期复核：业务系统及网络安全设备等的弱密码需要复杂度优化合规性整改，对网络及安全设备的管理员需要分级管理，对网络和安全设备的登录帐号进行加固，权限访问，授权身份认证等优化。日志合规性要求、操作性审计及溯源等；

（2）定期演练数据恢复：通过现有的备份系统每个季度做数据恢复演练，保障数据安全。

服务成果交付：服务完成后交付包含但不限于《配置变更记录》、《数据恢复演练记录》等。

ü资料编制与管理

（1）配合完善等保2.0相关要求制度，如有新增或变更需要及时更新；

（2）配合相关检查需要的资料编写与修改；

（3）配合测评需要整改的资料；

（4）相关网络安全的资料整理与编写；

（5）采购人内部要求的资料整理与编写。

ü应急响应

提供365×7×24小时无节假日分钟级响应时效，针对勒索攻击、数据泄露、APT入侵等安全事件提供全流程闭环处置的专业服务，涵盖：快速遏制、深度溯源、数据恢复、漏洞根除、合规支撑；同时输出《事件复盘报告》与《防御优化方案》，实现“止血-溯源-根治-免疫”四步闭环，典型成效包括安全事件平均处置时间≤2小时、业务恢复RTO≤4小时，显著降低单位经济损失与监管处罚风险，推动安全防御体系从被动应对转向主动免疫。

服务成果交付：服务完成后交付包含但不限于《应急处置报告》、《事件复盘报告》、《防御优化方案》等。

üWEB检测服务

通过工具运用爬虫技术、内容匹配、沙箱环境及漏洞扫描等手段，全面检测网站的可用性、安全性和合规性。针对漏洞，篡改等提供专业修补建议，有效降低安全风险，实现预防为主。服务利用工具监测节点模拟真实用户访问行为，持续跟踪网站的关键指标，包括HTTP/HTTPS响应状态、页面加载速度、服务器延迟、SSL证书有效性、第三方服务依赖等，并通过多通道告警即时通知异常情况。其功能涵盖多层次监测：从基础的可用性检查、到性能深度分析、安全防护以及内容验证，并满足行业合规要求。

服务标准要求：每年不低于两次，组织≥2名相关工程师及修复工程师实施，需在1月内完成所有项目。

服务成果交付：服务完成后交付包含但不限于《WEB检测报告》、《WEB复测报告》等。

ü渗透测试服务

通过模拟外部攻击者（黑盒测试）或内部威胁（白盒测试）的技术手段，针对医疗信息系统进行授权化的安全评估，在发现并验证系统漏洞（如弱口令、未授权访问、文件上传缺陷等），评估患者隐私数据泄露、医疗业务中断等风险。测试过程涵盖资产探测（如全端口扫描识别Weblogic、SpringBoot服务）、漏洞利用（如绕过强制跳转植入Webshell）、内网横向渗透（如通过Linux跳板机访问数据库服务器）等阶段，辅助医院构建符合《数据安全法》和医疗行业规范的安全防护体系。

服务标准要求：每年不低于一次，组织≥3名相关工程师及修复工程师实施，需在1月内完成所有项目。

服务成果交付：服务完成后交付包含但不限于《业务渗透测试报告》、《业务渗透复测报告》等。

ü漏洞扫描服务

使用漏洞扫描工具对硬件设备及业务系统进行扫描，并分类扫描硬件及软件漏洞、WEB漏洞、弱口令扫描等，扫描完成后，实现风险统计，报告导出等。输出包含漏洞修复建议与业务影响分析的报告。下发漏洞报告整改通知，组织系统厂家完成漏洞修复，并验证漏洞整改结果，做好安全漏洞风险管理工作。

服务标准要求：每个季度不低于一次，组织≥2名相关工程师及修复工程师实施，每次需在1月内完成所有项目。

服务成果交付：服务完成后交付包含但不限于《漏洞扫描报告》、《漏洞扫描复测报告》等。

ü风险评估服务

通过系统性方法识别、****医疗机构数字环境中潜在威胁的综合性流程，涵盖网络设备、应用系统、医疗设备及数据安全等核心维度。具体包括：针对网络设备的默认配置漏洞、安全补丁滞后问题，建立固件版本库与访问控制基线，强化密码策略及异常登录监控；通过渗透测试与漏洞扫描识别电子病历、权限管理缺陷，依据CVSS4.0评分优先修复高危漏洞；评估联网医疗设备的远程控制漏洞与数据泄露风险，完善固件更新机制及入侵检测系统；依据《数据安全法》加密敏感数据，审计第三方云服务接口，构建异常访问行为模型实现实时告警。同时需建立多部门协同的“识别-整改-复验”闭环机制。

服务标准要求：每年不低于一次，组织≥3名相关工程师及修复工程师实施，需在1月内完成所有项目。

服务成果交付：服务完成后交付包含但不限于《风险评估报告》、《建议处置方案报告》等。

ü基线核查服务

通****医院的网络设备、应用系统及设备符合预设安全配置标准的流程，涵盖资产清点、基线制定、自动化核查、漏洞修复及长效管理等环节。全面梳理安全设备、HIS、EMR等核心资产，依据《网络安全法》等行业规范制定访问控制、授权管理、日志审计等维度的基线标准；其次采用自动化工具检测弱密码、冗余端口等配置漏洞，并人工复核远程管理链路加密缺失等高危风险；针对CVSS评分较高的协议缺陷（如HTTP未升级HTTPS）、入侵防范漏洞（如设备管理IP未限制）实施优先级修复，并建立“识别-整改-复验”闭环机制；同时加密患者敏感数据、审计第三方接口，并限制联网设备的非授权远程访问；最终通过周期性核查、威胁建模及员工培训动态优化基线标准，以应对新型攻击手段。

服务标准要求：每年不低于一次，组织≥2名相关工程师及修复工程师实施，需在10天内完成所有项目。

服务成果交付：服务完成后交付《基线核查报告》。

ü应急演练服务

根据国家及相关单位标准，提供对应的应急演练场景专项应急预案模板，组织应急响应团队应对与处置安全事件，提高应对安全事件的处置能力，预防和减少安全事件造成的危害和损失。

1.加强工作人员对突发安全事件的紧急处理能力；

2.检验应急处理人员对信息安全事件、应急处理相关制度掌握情况；

3.验证应急处置方案的有效性与可行性；

服务标准要求：每年不低于一次，组织≥2名相关工程师团队实施，需在5天内完成所有应急演练项目。

服务成果交付：服务完成后交付包含但不限于《应急演练方案》、《应急处置报告》等。

ü重保期间保障服务

重要会议或重大活动（如国庆、两会等）期间从网络层面、服务器层面、数据层面为用户构建全方面的重要敏感时期的安全保障服务。在重要时期提供实时保障服务，包括但不限于远程技术支持、远程值守服务、现场值守服务。

（1）重保前期

通过资产发现和自动化远程检查等手段为重保提供基础数据和攻击面总体安全态势，为后续重保工作提供决策依据，保证重保工作有序进行。通过现场检查复核和协助清除已发现风险，主要包括一轮或多轮的现场安全检查、专项安全检查及提供整改建议。确认应急预案与演练各应急场景，组织开展实战攻防演习等工作，来检验前期工作成效，查缺补漏。

（2）重保期间

安排技术人员现场监测值守，并配备应急响应队伍应急处置，防止对单位造成影响。若出现安全事件，及时响应开展溯源分析，努力减小事件影响范围。

（3）重保后期

重保结束后，及时汇总分析重保处置内容，总结经验提交重保处置报告。

服务成果交付：服务完成后交付包含但不限于《重保处置报告》、《重保值班记录》等。

ü安全培训服务

普及网络安全知识，完善参加培训人员的网络信息安全知识，增强网络信息安全意识和防骗意识，为网络安全工作奠定良好基础，促进信息的健康传播，减少信息泄露不良等事件的发生。

认识网络信息安全的重要性、网络攻击的方式、典型案例及应急处置方案等内容，覆盖较为全面。培训采用案例与理论相结合的方式，案例贴合生活，形象生动，通俗易懂，具有借鉴意义，给人以警醒。

服务标准要求：每年至少提供一次院级安全意识培训，一次信息科安全技术培训服务，提供不低于100份网络安全意识防范手册。

（2）情报网关服务

（1）服务期内提供一套网络安全检测服务系统 ，支持旁路部署、网桥部署、虚拟网线部署多种部署方式；

（2）平台服务包含APT、挖矿、钓鱼、勒索、木马远控、DNSLOg、可疑等IOC情报和重保攻击队IP、IP信誉情报，并支持情报、检测规则、应用识别库、IP信誉库、地理位置库联网自动更新，更新频率≤10mins；

（3）支持对多种类型的入侵攻击进行检测和防护，包括侦查、漏洞利用、病毒攻击、建立通信隧道、网站后门 shell、连接远控地址、木马远控、远控工具流量、挖矿、僵尸网络行为、蠕虫攻击、勒索攻击、数据窃取、尝试下载恶意文件、钓鱼、对外攻击、攻击持久化操作等；

（4）勒索攻击防护：支持针对勒索攻击的网络威胁进行专项防护，对勒索病毒挂马的各类主机反连行为进行实时检测和自动化防护，具备勒索攻击防护场景下的安全策略设置、检测防护效果专项页面；

（5）钓鱼攻击防护：支持针对钓鱼攻击的网络威胁进行专项防护，对通过各类钓鱼链接发起的主机反连行为进行实时检测和自动化防护，具备钓鱼攻击防护场景下的安全策略设置、检测防护效果专项页面；

（6）APT攻击防护：支持针对APT攻击的网络威胁进行专项防护，支持对APT组织攻击行为的检测和拦截，具备APT攻击防护场景的安全策略设置、检测防护效果专项页面；（提供产品功能截图并加盖投标人公章）

（7）恶意软件防护：支持对于各类木马远控、挖矿、DNSlog等恶意软件引发的失陷威胁进行防护，对各类型失陷主机的反连行为进行实时检测和自动化防护；

（8）0day防护：设备需要支持高危0day漏洞攻击防护能力和高精准情报，支持0day漏洞防护数量不少于120个，情报数量不低于200万条。

第四部分物理机房运维服务方案

（1）日常管理：每月定期巡检物理环境，恒温恒湿、电力供应及后备电源、气体消防、机房监控监测系统等；

（2）设备管理：负责机房设备安装位置规划，网络接入规划与权限控制，入网前核实符合网络安全相关规定，操作过程合规要求，保障业务系统运行和数据安全等。

具体物理环境服务及设备巡检要求：

Φ初期提****医院三个物理机房的资产梳理、关键设备运行情况排查等工作；

Φ环境保护定期清扫机房保证无明显灰尘沉积，设备及其他物品摆放整齐无杂物堆放，保证机房通道畅通等工作；

Φ设备线路标签标识定期更新，符合最新情况；

Φ符合B级机房标准要求；

Φ每季度提供一次（两个物理机房）全面的机房运行情况排查，检查潜在的安全隐患，并进行处置，对于无法处置的****医院信息管理部门负责人。

服务成果交付：服务完成后交付包含但不限于《机房出入登记表》、《机房设备维护记录》、《物理机房巡查报告》等。

附件：