遵义市播州区人民医院关于等保测评及网络安全运维服务采购项目的院内竞争性谈判采购公告

项目编号

项目名称

服务期

限价（元）

****

等保测评及网络安全运维服务采购项目

1年

144000

一、技术参数及服务要求

序号

服务项

服务内容要求

数量

单位

备注

1

等保测评

按照《信息安全技术 网络安全等级保护基本要求》(GB/T《信息安全技术 网络安全等级保护测评要求22239-2019)(GB/T28448-2019)要求，对被测系统从安全物理环境、安全通信网络、安全区域边界、安全计算环境、****中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理安全运维管理10个安全控制层面进行等级保护测评，包含初次

测评和验收测评。按照《网络安全等级保护测评过程指南》进行测评准备、方案编制、现场测评、分析及报告编制工作，通过单项测评结果判定、单元测评结果判定、整体测评和风险分析等方法，找出信息系统的安全保护现状与相应等级的保护要求之间的差距，分析这些差距导致被测系统面临的风险，从而给出等级测评结论，形成测评报告。

3

个

3个三级

2

网络安全巡检服务

1、安全设备运行状态:定期对安全设备运行状态检查，评估设备的工作状态，排除设备潜在的故障，防范于未然。

2、安全设备日志分析:定期对安全设备日志开展分析，从海量日志中发现未知攻击，APT攻击以及以后攻击信息，梳理相关建议，提供安全策略。

4

次

3

漏洞扫描服务

通过定制的扫描规则，形**全扫描策略文档，对服务器、网络设备、安全设备、网站等进行自动化安全扫描，输出安全扫描报告及修复建议

4

次

4

安全基线配置核查服务

根据既定的检查规范及方去，采用人工检查用表(checklist)脚本程序或基线扫描工具对评估目标范围内的主机系统安全、数据库安全、中间件安全等进行系统的策略配置、服务配置、保护措施以及系统和软件升级、更新情况，是否存在后门等内容进行检查。

4

次

5

渗透测试服务

根据业务特点，采用可控制、非破坏性质的方法和手段，完全模拟黑客可能使用的攻击技术和漏洞发现技术，对目标系统的安全做模拟攻击操作，发现系统脆弱环节。按服务次数提供渗透测试报告。

4

次

6

网络安全风险评估服务

基于信息系统现状，参照国家信息安全风险评估规范，对资产、威胁、脆弱性、安全措施进行识别和分析，确定风险计算模型，从物理层、网络层、系统层和应用层进行评估，全面分析系统面临的信息安全风险。

2

次

7

网络安全事件响应

当发现各类安全威胁、安全攻击事件时，有针对性的提供安全事件协助处置服务，帮助管理部门合理应对安全事件，最小化负面影响。按响应次数提供应急响应处置报告。

1

年

8

安全培训服务

根据用户需求，提供网络安全意识形态、网络安全法、数据安全法、个人隐私保护法、网络安全漏洞原理等内容的安全培训。

2

次

9

应急演练服务——模拟平台场景演练

根据用户实际网络环境情况，提供多个场景下的模拟演练服务检验应急预案、应急流程的完整性、可行性，提高应急处理能力。按服务次数提供应急演练报告。

2

次

10

重保值守服务

在**性、行业性等视角的重大活动期间，提供重要保障值守服务。可选7*24h、5*8h现场或远程值守与响应服务包，开展安全检查、驻场保障以及应急值守等工作，对客户重要系统进行安全保障。

1

年

11

安全策略优化服务

一、服务概述

提供对网络和安全设备的安全策略优化服务，对客户当前部署的网络和安全设备进行等保合规性配置检查，并根据等保合规要求调整优化安全配置。

二、服务内容

1、帐号和口令管理:对网络设备的管理员进行分级管理，权限更高的管理员的帐号和口令的管理要求必须保证是最严格等级，同时对其他管理员的帐号和口令的复杂度进行优化;

2、认证和授权策略调整:对网络设备的登录帐号进行加固，使其满足一定强度的认证要求，并对不同级别的授权策略进行优化

3、网络与服务加固:网络安全设备的服务配置方面，必须遵循最小化服务原则，关闭网络安全设备不必要的所有服务，修复网络服务或网络协议自身存在的安全漏洞以降低网络的安全风险；

4、访问控制策略增强:针对网络安全设备管理设置访问安全限制策略，只允许特定主机访问网络设备;

5、日志审核策略增强:根据安全级别要求，开启网络设备必需监控日志记录，并支持一定周期的日志本地存储或外置存储;

6、安全设备价值实现:未使用安全设备上线使用，安全设备功能和策略优化启用等。

三、服务交付物

《安全策略优化报告》

1

年

二、商务要求

付款方式：合同签订后支付60%，维保结束后支付剩余40%。