广州中医药大学第一附属医院2026-2027年度网络安全运营保障服务项目招标公告

****2026-2027年度网络安全运营保障服务项目招标公告

采购单位：****

项目编号：****

一、项目概况

依据《网络安全法》《数据安全法》《个人信息保护法》《医疗卫生机构网络安全管理办法》等法律法规及行业监管要求，为落实我院网络安全主体责任，规范医疗数据与信息系统安全管理，全面提升网络安全主动防御与合规治理能力，保障核心业务系统稳定运行，切实保护患者隐私和医疗数据安全，我院将通过引入第三方网络安全服务团队，重点开展网络安全运营保障工作。项目围绕安全管理、安全文化、安全合规、安全规划、风险管控、安全保障六大维度，建立常态化、闭环式网络安全运营体系，持续排查化解安全风险，补齐安全运维短板，全面提升我院整体网络安全防护和治理水平，为医院信息化安全、稳定、合规运行提供有力支撑。

二、招标限价（人民币）：798，000元（大写：柒拾玖万捌仟元整）

三、资金性质：财政性资金（非预算指标资金）。

四、项目需求书

（一）需求清单：

（二）服务年限：自合同签订之日起1年。

（三） 服务要求：

1）安全运营驻场：★派驻不少于1名高级网络安全运营工程师（5*8小时），协助我院监督、协调与推进日常安全运营工作，推动我院网络安全运行效能的提升，协助我院完善网络安全运行组织管理体系。

2）周期性总结与规划：跟踪我院网络安全工作完成情况，结合我院网络安全态势和相关法律法规要求，每季度、半年度及年度输出《网络安全工作总结报告》，协助我院识别工作重点、明确安全目标，并按需协助制定或调整阶段性安全实施方案与工作计划。

3）月度评价与改进:每月对我院网络安全态势与安全工作成效进行系统性分析，输出《网络安全运营工作月报》，并按需协助组织网络安全工作会议，推动PDCA闭环管理。

4）周度跟踪与协同:每周跟踪、汇总安全工作落实情况，监督工作完成质量与进度，输出《安全运营周报》，协同处置紧急状况，确保任务无滞后。

5）安全运营体系完善:跟踪我院安全运营管理制度、流程的落地执行情况，结合我院安全管理现状与实际工作机制，协助完善网络安全运行相关制度流程、岗责分工、沟通汇报及协同机制。

6）工作监督与改进:监督我院安全管理完善、安全文化建设、风险管控、应急响应等各项安全工作落实情况，识别工作背后安全管理、流程、技术、服务等层面的问题，输出解决方案，及时上报并推动体系完善。

7）综合管理支持:按需为我院安全管理提供支持，支持工作内容包括但不限于：政策解读、工作计划编制、方案支持、制度和流程编制、规范完善、专项工作规划等。

交付包括但不限于《季度/半年度/年度网络安全工作总结报告》、《安全运营工作月报》、《安全运营周报》、《安全工作方案》、《安全工作计划》、《沟通记录》（按需）、按需修订后的制度流程模板等。

根据国家和行业标准，对我院业务系统开展数据分类分级工作，全面梳理数据资产，开展数据分级分类标识及记录管理工作，为数据分级分类应用提供应用支撑。包括数据资产调查、梳理、数据字段分级分类规则制定。

综合人工和数据分级分类安全技术工具按数据所属的业务类型实施数据分级分类，包括软件部署、规则导入、编制数据分类分级目录。同时保障数据分类分级工作过程中我院相关信息系统的数据安全。

l 服务范围：按需

l 服务方式：现场服务及远程技术支持。

l 数据分类分级服务工具要求

功能项	指标项	指标参数/指标要求	备注
平台架构与部署方式	平台架构	B/S架构、旁路部署，无需改变现有网络结构，也不需要安装客户端软件，只需确保数据安全产品与数据库之间网络可达，通过WEB方式登录，执行策略任务的配置和管理操作。
	扩展性	支持处理器横向扩展、并发控制：通过设置处理器数量，控制每次程序运行总个数，使系统**合理利用，支持横向扩展。
	国产化支持	支持海光CPU+Bc-Linux操作系统+达梦数据库+**通中间价适配组合，海光CPU+Bc-linux操作系统适配组合和鲲鹏CPU+**操作系统适配组合
	部署方式	支持旁路部署、分布式部署、支持云环境部署
支持数据资产类型	资产类型	▲支持不同的数据资产，产品支持以下类型数据，包括：关系型数据库，分析型数据库，半结构化数据库，大数据数据库组件，结构化文件，非结构化文件；且支持数据资产管理，支持主动添加数据资产，支持导入数据资产，支持扫描发现资产、支持用户查询。（提供相关证明截图并加盖厂家公章）
	数据库	redis、mysql、Oracle、mariadb、Antdb、DB2、kingbase人大金仓、SYBASE、DM、MongoDB、Vertica、TIDB、TELEPG、Teradata、ClickHouse、PostgreSQL、HANA、OceanBase、Trino、Cache、SQLServer、Greenplum、Impala、Hive、Doris、StarRocks、Gbase、TELEDB、ADB(MySQL)、GaussDB、ShenTong、RDS(MySQL)、DRDS(MySQL)、TimeDB（MYSQL）、SparkSql(hive),es(6.1.2),hbase
	文件源	FTP、SFTP
资产管理	数据资产管理	数据库自动发现，支持通过IP和端口进行扫描。
		手动添加或按照模板文件导入数据资产信息
		对接资产管理系统导入数据资产信息
		支持导出数据资产信息
	数据库自动发现	自动发现的数据库类型：Oracle、MySQL、DB2、SQL Server、PostgreSQL、DM、 MongoDB等
		创建自定义定时任务自动发现数据库
	数据资产展示	分级展示数据资产的情况，数据资产级、数据表级/文件级、表/文件详情级、字段级等四个维度展示不同的内容
敏感发现	支持敏感数据自动发现	产品内置智能识别算法自动精准识别数据表中的手机号码、银行卡、固定电话、电子邮箱、营业执照号码等字段属性，不需要人工配置
	AES解密	支持对数据库内AES加密的数据进行解密以进行敏感数据发现和识别
	识别自定义	支持用户自定义敏感类型进行识别扩展、支持自定义发现规则（正则表达式/数据字典/内容匹配等）
	丰富的敏感数据发现方式	按批次：实行任务管理模式，分批次执行数据扫描，敏感数据发现； 按周期：支持设置固定周期执行敏感数据发现； 按时间：支持立即执行或设置指定时间执行敏感数据发现； 按范围：支持全量发现、样本发现、增量发现 按照操作方式：支持手动、自动执行敏感数据发现。
数据分级分类	按照模板将行业的分类分级策略进行整理，作为敏感类型定义的基础和后续进行分析的基础：	1、支持不同行业对敏感信息类型、级别进行不同的定义，内置默认敏感类型和级别，支持自定义
		2、支持数据分级分类文件一键导入
		3、支持根据关键字方式一键式查询指定对应分级与分类类型，并查看对应关联分析
		4、行业模板：可以将用户制定的敏感数据划分级别导出成某行业标准，进行复制推广使用。
		5、敏感数据匹配分类分级：支持配置的分类分级结构与数据库进行关联，发现的敏感数据能够自动匹配对应分类分级规则。
		6、支持自动分类分级，完成打标
		7、支持手动核查、修改分类分级结果
		8、支持根据**粒度创建分类分级任务
		▲9、AI大模型，支持对已完成任务进行AI大模型二次识别。
		▲10、数据知识库，通过创建数据知识库，在进行分类分级任务执行时，优先匹配数据知识库内存储的数据字段，如未在数据知识库内，则通过规则引擎进行正常流程识别。（提供相关证明截图并加盖厂家公章）
报告中心	敏感发现报告、分类分级报告、合规检查报告	1、内置数据资产分布情况、敏感数据分布情况、资产分类分级情况、数据安全风险分布情况和数据安全风险整改情况报表模板。
		2、支持查看、下载。转发其他用户可设置单次转发或周期性转发。
		3、支持手工导出报表，导出格式：PDF
		4、支持**合规任务
用户管理	用户管理	管理权限三权分立，支持自定义用户，默认角色包括但不限于：系统管理员、审计员、操作员等。
系统管理	为增加系统管理的安全性、适应性、可维护性，产品需要具备以下的功能	1、具备应急机制：Processor启停
		2、保证业务稳定性，各个处理节点之间独立运行并且保证各个组件之间均有安全保护机制，当组件挂起后均有第一时间修复。
		3、用户可上传数据字典=，用于配置发现规则
		4、支持资产分组设置。
		5、支持多维指标引擎。
		6、支持智能向量引擎。
		7、支持使用OCR对图片内容进行敏感数据发现。
		8、支持智能反馈引擎。
		9、支持中英文双语版本管理界面。
		10、支持系统自检，自动化监控系统状态，快速提取异常日志。
	双因素认证	支持在登录阶段选择是否启用双因素认证。
日志管理	日志管理	1、具备详细的日志功能，包括敏感数据发现任务的执行等日志、系统用户的登录和注销日志、安全策略变更、对用户及角色进行增加、删除和修改等操作日志。
		2、支持对历史审计日志查询和导出。
业务优先模式	优先模式	▲为了不影响业务的正常运行，合理运用服务器**，提供业务优先模式选择，支持设置指**期，停止敏感数据发现等任务。（提供相关证明截图并加盖厂家公章）
发现性能	发现性能	▲支持对发现任务进行暂停、继续、中止，并且支持多Processor并发，充分利用系统**，提高发现效率。（提供相关证明截图并加盖厂家公章）

交付包括但不限于《数据分类分级报告》、《分类分级模板》以及《数据安全分类分级管理办法》。

1）诊断并完善我院安全管理体系

梳理我院安全管理体系存在的问题，形成我院管理体系修订计划，协助我院完善安全管理体系制度，确保我院的安全管理体系制度始终保持有效和高效，****医院网络安全水平。

2）我院安全管理制度和流程协同优化

引入PDCA机制，根据我院阶段安全工作总结建议，按需针对我院相关网络安全管理制度和流程存在的问题进行分析，并协助我院优化相关制度和流程，确保相关制度和流程实际满足我院网络安全管理需求。

3）填补制度和流程空白

根据合规要求、迎检要求和我院实际管理需求，帮助我院建立和完善安全相关制度和流程，填补我院管理体系中的空白。

交付包括但不限于新增或修订后的制度、流程与工作记录模板。

序号	类别	功能项	详细描述
1	基础能力	功能模块	至少具备整体规划、资产中心、合规管理、脆弱性管理、安全意识、迎检自查、安全知识库、系统管理、管理态势（整体合规态势、合规管理动作、整体脆弱性态势）等功能。
2	管理态势	管理大屏	▲合规总体态势(合规系统数量、分数走势与排名、遗留问题、合规工作进度、临期监测、整改跟踪、合规动态等)。 合规管理动作统计(钓鱼演练、漏洞管理、弱口令扫描、教育培训、合规检测、漏洞修复、组织架构、规章制度、合规自查等)。 支持自定义大屏显示内容，并且能够对主菜单自定义显示名称与调整位置，以支持不同汇报或迎检场景的需求（提供相关证明截图并加盖厂家公章）
3	资产中心	资产管理	▲支持按正式资产、待完善资产、无主资产、已报废资产等多维度资产管理能力。正式资产需包含资产名称、资产地址、资产类型、资产信息完整度、资产状态、维保状态、所属系统、资产组、责任部门、责任人及资产标签等能力，支持对资产信息的增删改查，安全设备需关联规则库升级记录，威胁信息、漏洞信息、弱口令信息。因资产较多，同时还需支持按类型看、按系统看、按资产组看、按责任归属、按部署位置看等几个维度查阅资产信息，便于开展日常的安全维护工作。（提供相关证明截图并加盖厂家公章）
		信息系统管理	支持对全院信息系统进行统一管理，每个业务系统需包含系统名称、责任部门、责任人、部署位置、运行状态、网络性质、资产信息完整度、资产数量、系统标签、备案级别、商密安全等信息的管理并支持网络拓扑的查看，系统自动关联未闭环漏洞、处置中事件及待优化合规项，通过信息系统看板快速了解相关的风险情况、基础信息、业务入口信息、供应商信息。
4	合规管理	多维合规管理	支持等级保护、商用密码应用安全性评估、数据安全和供应链安全等合规领域的应用场景进行集中展示可视化呈现单位合规管理工作成果并针对相关安全问题进行风险闭环追踪，包含安全问题、风险等级、优化状态、优化结果、原始责任人、协同处置人、完成时间、关联资产、问题详情、优化结果。并支持安全问题指派给协同处置人及完成期限要求、协同处置人收到风险处置任务，支持在线填写优化说明、优化结果、优化时间、优化材料并记录历史优化信息，便于协助单位降低网络安全主体责任风险，达到尽职履责的目标
		合规自查	▲通过服务的方式，按照测评机构的标准要求，辅助我院针对未做备案的系统按照等保二级的要求开展自评估服务，确保系统按照国家要求开展防护能力建设。支持除在等保基本要求以外不低于7项行业标准、不低于7项的扩展标准，供我院进行自查的选择。提供系统自查自检功能，显示系统自检进度，自检完成后输出风险内容、完成情况等多维度管理展示（提供相关证明截图并加盖厂家公章）
		合规知识管理	支持合规知识管理功能，可将我院所需遵循的各方面安全合规要求形成法律法规库并进行单独分类和管理。包括但不限于“国家”、“地方”、“行业’适用的安全法律法规和标准规范。
5	安全制度管理	合规文档库管理	支持制度文档管理能力，协助我院构建制度台账，文档类型包括但不限整体方针、管理规范、操作规程、清单协议、记录表单等，文档的集中存储与标签化分类管理，通过自定义标签，实现文档视图导航和快速索引，轻松应对各类监管的迎检工作。
		制度图谱	多层级文档库构建，并直观展示文档父子关系，批量调用与临期文档预警，提升制度补充效率及迎检材料整理速度。
		检查指标库	支持安全指标管理功能，按照我院的安全管理要求，开展常态化的主动合规(包括行业检查、主体责任检查、执法检查、数据安全、重**保检查、国产化等指标),并且根据不同监管单位的要求，自定**全检查指标开展专项自查工作，及时发现安全风险问题
		迎检管理	▲支持根据**、网信、卫健委的专项检查要求自定义迎检任务，不限检查内容和格式。同时在迎检自查的过程中，能够拆分单项任务指派给不同人员协同配合，快速做好迎检准备工作。在线引用各类佐证材料，监管到现场检查时，支持逐项核对检查内容并预览佐证材料，提升配合监管的效率和迎检的满意度。支持迎检指标与佐证文件一键打包下载。迎检工作结束后，支持针对迎检自查中产生的结果转到统一的整改列表中进行闭环跟踪管理。（提供相关证明截图并加盖厂家公章）
6	风险闭环管理	漏洞闭环管理	▲协助我院构建漏洞治理闭环流程，支持多源漏洞闭环管理，漏洞类型包括但不限于安全通报、攻防演练、漏洞扫描、渗透测试、热点自查、安全事件。支持下发定时任务及导入第三方漏洞扫描报告，至少支持绿盟、启明、网神、天融信、安恒、奇安信、长亭等厂商的漏扫报告一键导入；漏洞支持主机漏洞和应用漏洞视角查看当前漏洞状态，可查看该漏洞的漏洞名称、风险等级、发现渠道、漏洞地址、管理进度、漏洞状态、管理责任人、协同处置人、影响系统等内容，可在漏洞管理页面直接将漏洞发起协同处置流程，相关人员协同处置，支持查阅漏洞发现、漏洞确认、漏洞处置、漏洞复测、漏洞闭环等时间轴，漏洞闭环须由管理员审批后才完成漏洞闭环工作，自动输出漏洞闭环的处置时间线及漏洞处置耗时，确保漏洞管理规范，让整个漏洞闭环可看、可控、可查、可追责。自动统计单个漏洞的闭环时间及全局漏洞的闭环时间。支持以业务系统维度查看当前漏洞及历史漏洞情况，便于清晰了解当前业务系统的脆弱性情况，并以图形图表的方式呈现（提供相关证明截图并加盖厂家公章）
		合规优化	▲等保测评、商密评估、数据安全风险评估、个人信息安全影响评估、风险评估等合规评估后的风险以业务系统为维度进行统一的风险管理和跟进处置，支持风险协同优化，登记风险原始责任人并记录历史优化情况。针对等保还需支持重大风险隐患视角，快速筛选相关重大风险隐患并做协同闭环工作，满足**部对等保风险闭环跟进的新要求，便于后续编写保护工作方案。（提供相关证明截图并加盖厂家公章）

1）安全预警通报服务：采集网络与数据安全相关政策和安全态势资讯，及时向我院通报业界安全动态及重**全事件，对我院的网络及信息系统面临的安全隐患、安全风险及时提出预警、整改建议。

2）预警风险闭环管理服务：针对预警通报的问题，建立台账，并为我院相关问题整改提供技术支持，协助我院实现问题闭环管理。

交付包括但不限于《安全告警》、《沟通记录》、《解决方案》、《服务工作记录单》（按需）。

1)安全基线检查服务

根据GB/T 39680-2020、GB/T 20272-2019等国家相关标准和****安全基线规范标准对操作系统、数据库、中间件、网络设备、网络安全设备、网络边界进行分析和配置核查，评估是否符合标准规范，以及存在潜在的隐患和风险，在评估完成后，输出详细的评估报告和加固建议。

2)基线风险闭环管理服务

针对发现的安全风险隐患，建立风险隐患台账，按需提供技术支持，协助进行安全加固工作，协助我院实现风险隐患闭环管理。

3)安全基线管理工作持续改进服务

根据相关标准和最佳实践，按需协助我院完善相关安全基线规范标准和加固操作规范，帮助我院完善相关流程和规范。交付包括但不限于《安全基线评估报告》、《风险隐患台账》、《服务工作记录单》（按需）、《沟通记录》（按需）。

4）主机漏洞检测及闭环管理服务

l 主机漏洞扫描服务

采用通过国家网络安全专用产品安全认证的漏洞扫描工具，每季度对我院现网服务器资产进行细致全面的漏洞扫描（包括但不限于：系统漏洞、中间件漏洞、数据库漏洞等），并输出安全评估报告，包含漏洞整改建议。

l 主机漏洞闭环管理服务

对发现的安全缺陷漏洞进行评估和梳理，形成台账，跟踪处置情况，为漏洞修复和整改提供技术支持，协助我院实现漏洞闭环管理。

l 主机漏洞管理工作持续改进服务

对我院主机漏洞检测和修复情况进行总结，分析管理、流程、技术、服务等方面存在的问题，输出解决方案，并协助我院做好PDCA持续改进。

l 漏洞管理制度流程优化服务

根据等保等相关要求，按需协助我院漏洞管理相关流程和要求的有效性，帮助我院完善漏洞管理相关制度和流程。

交付包括但不限于《主机漏洞检测报告》、《风险隐患台账》、《服务工作记录单》、《整改通知书》、《沟通记录》（按需）。

5）WEB应用漏洞检测及闭环管理服务

l WEB漏洞扫描服务

采用通过国家网络安全专用产品安全认证的漏洞扫描工具，每季度对我院WEB业务系统进行应用漏洞检测，出具WEB应用扫描报告和加固建议。

l WEB漏洞闭环管理服务

对发现的安全缺陷漏洞进行评估和梳理，形成台账，跟踪处置情况，为漏洞修复和整改提供技术支持，对修复结果进行验证，协助我院实现漏洞闭环管理。

l WEB漏洞管理工作持续改进服务

对我院WEB应用漏洞检测和修复情况进行总结，分析管理、流程、技术、服务等方面存在的问题，输出解决方案，并协助我院做好PDCA持续改进。

l 漏洞管理制度流程优化服务

根据等保等相关要求，按需协助我院漏洞管理相关流程和要求的有效性，帮助我院完善漏洞管理相关制度和流程。交付包括但不限于《WEB应用漏洞检测报告》、《风险隐患台账》、《服务工作记录单》（按需）、《整改通知书》、《沟通记录》（按需）。

6）数据安全风险评估服务

依据《数据安全技术 数据安全风险评估方法》（GB/T 45577-2025）围绕医疗数据采集、存储、传输、使用、共享、销毁全生命周期，开展系统性风险评估。形成包含风险清单、风险等级、整改建议的评估报告，协助我院制定风险应对策略。交付包括但不限于《风险评估报告》等。

7）渗透测试服务

供应商需模拟黑客攻击手段对我院指定信息系统进行探测攻击，从而发现黑客入侵信息系统的潜在可能途径。渗透测试方法包括：信息收集、端口扫描、远程溢出、口令猜测、本地溢出、客户端攻击、中间人攻击、web脚本渗透、B/S或C/S应用程序测试、社会工程等。

工作内容要求如下：

a、渗透测试范围必需包括以下内容：

Web安全：Web安全测试范围包括SQL注入、XSS、XXE、CSRF、RFI、上传漏洞、信息泄露、远程命令执行、反序列化漏洞等。

业务逻辑安全：业务逻辑安全测试范围包括用户或口令枚举、弱口令测试、平行/垂直越权、未授权访问、验证缺陷、业务逻辑限制缺陷等。

中间件安全：中间件安全测试范围包括配置缺陷、中间件弱口令、反序列化漏洞、代码执行漏洞等。

服务器安全：服务器安全测试范围包括域传送漏洞、弱口令漏洞、未授权访问漏洞、脚本密码检查、本地提权漏洞、应用防护软硬件缺陷等。

b、方案应详尽涵盖了测试方法、时间、人员及工具等关键要素，确保我院对测试细节及潜在风险有充分认知，并全程控制测试进程。

c、需向我院提供渗透测试授权文件申请，待我院同意或盖章后，方能开展渗透测试相关工作。

d、在渗透测试过程中发现异常问题，需及时告知我院。

e、渗透测试完成后，需编制详尽的测试报告，全面记录测试过程中收集的数据、发现的漏洞及执行的所有操作。

交付包括但不限于《XXX系统渗透测试报告》、《安全缺陷及漏洞跟踪记录等》。

8）新系统上线安全评估服务

l 系统风险检测服务

根据GB-T 20984-2022等国家相关标准要求，对我院指定的相关业务系统进行安全风险检测，评估的内容包括但不限于漏洞扫描、渗透测试和入网安全评估等，评估安全风险、提出整改建议，并按需生成对应的安全检测报告，如《渗透测试报告》、《入网安全评估报告》等。

l 风险隐患闭环管理服务

对发现的安全缺陷漏洞和风险隐患进行评估和梳理，形成台账，跟踪处置情况，为漏洞修复和整改提供技术支持，对修复结果进行验证，协助我院实现风险隐患的闭环管理。

l 系统风险隐患管理工作持续改进服务

对我院系统风险检测和风险隐患整改情况进行总结，分析管理、流程、技术、服务等方面存在的问题，输出解决方案，并协助我院做好PDCA持续改进。

根据不同的风险检测类型输出不同的检测包括类型包括但不限于《渗透测试报告》、《入网安全评估报告》，并输出《风险隐患台账》、《服务工作记录单》、《整改通知书》、《沟通记录》（按需）。

l 安全巡检服务

每月对我院指定的现有网络及安全设备进行检查，保障设备安全运行，安全检查完成后提交安全检查报告。检查内容如下：

-设备特征库/病毒库/规则库等更新情况；

-策略的有效性或是否存在僵尸策略；

-安全设备日志备份的有效性；

-灾备系统备份的有效性；

-根据合规和安全管理要求需要检查的其他内容。

l 问题闭环管理服务

对检查过程中发现的问题，建立台账，并为我院相关问题整改提供技术支持，协助我院实现问题闭环管理。

交付包括但不限于《安全巡检报告》、《风险隐患台账》、《服务工作记录单》、《整改通知书》（按需）、《沟通记录》（按需）。

需指派一名中级网络安全工程师，驻场我院现场提供网络安全日常维护服务，帮助我院管理日益复杂的系统和应用平台，****中心的压力。以及提供安全运营服务工具部署到我院网络内，对我院网络进行安全监控，提供7*24小时网络安全监控与响应，每天输出日报、每月输出月报。

主要工作内容要求如下：

1）指派安全工程师

★指派一名具备中级水平的网络安全工程师，确保其具备我院网络安全维护所需的专业技能和经验。网络安全工程师进行日常运维任务说明和沟通，明确其职责、工作时间（5*8小时驻场）及工作地点（我院现场）。

2）提供7*24小时网络安全监控与处置协同服务

应围绕我院的全部资产提供7*24小时全方位威胁监控与处置协同服务，包括威胁监控、风险研判、风险协同处置、复盘分析与持续改进等，并提供服务日报、月报和阶段复盘报告。

安全运营服务工具要求如下：

a、安全运营平台服务工具要求：

b、全流量探针服务工具要求：

C、XDR可拓展威胁检测与响应平台工具要求：

3）定期总结

每季度或年度对安全维护服务进行总结，梳理服务成果、经验总结和改进措施。编写总结报告，****中心进行汇报。

全面梳理我院业务和承载数据的信息系统所涵盖的数据资产类型，对我院进行拉网式清查盘点，以系统级、表级、字段级的颗粒度构建数据资产目录，绘制数据资产地图，直观形象地描绘数据资产的分布、数量、大小、归属等详细信息，对我院数据资产进行全面梳理，并免费提供1年的数据资产盘点工具。

数据资产梳理服务工具要求如下

交付但不限于《资产台账》等。

在重大活动或迎检等特殊通过在我院网络部署安全运营工具，具备全网IT资产发现、资产脆弱性感知、入侵检测、失陷事件检测等多维度综合实时检测能力，实现24小时监控分析、应急事件响应处置。

重点时期，以“事前准备、事中保障（值守、监控、应急、处置）、事后总结（复盘、提升）”的思路来保障我院信息系统的安全。包括但不限于：

1）春节7天远程在线支撑7*24小时；

2）国家重要会议7天现场值守7*8小时，远程在线支撑7*24小时；

3）五一假期5天现场值守5*8小时，远程在线支撑5*24小时；

4）国庆假期7天现场值守7*8小时，远程在线支撑7*24小时；

5）攻防演练和其他值守要求。

交付包括但不限于《重保安全保障值班表》、《网络安全保障工作方案》、《网络安全保障工作计划》（按需）、《网络安全保障日报》、《网络安全保障工作总结》（按需）。

l 应急响应及处置

当我院发生安全事件时（如：感染病毒事件、恶意攻击事件等），迅速响应并进行安全事件处理及溯源。在事件处理结束后，根据实际情况编写应急总结报告。依据《测评问题清单》提供专项整改技术支撑，协助完成网络设备、服务器、主机、安全设备策略配置与基线加固。

l 应急工作持续改进

根据应急演练和我院实际应急工作开展情况，****中心对我院应急相关管理制度、应急流程、应急预案等落实情况进行分析和完善提供支持，协助我院做好应急机制的PDCA持续改进。

根据不同的应急情况输出不同的报告，报告类型包括但不限于《应急事件分析报告》、《应急事件处置报告》、《应急事件总结报告》，并输出其他过程记录如《沟通记录》等。

l 安全加固服务

根据安全基线核查、风险评估、渗透测试等安全性测评报告中存在的问题清单和实际安全需求，对我院网络设备、安全产品、操作系统、应用系统、数据库等信息资产的安全配置策略和漏洞实施安全加固。

l 服务器操作系统镜像版本管理

对服务器操作系统镜像存在安全漏洞和安全配置进行检查，为安全漏洞整改和安全配置加固提供技术支持，协助我院落实服务器操作系统镜像版本管理。

交付包括但不限于《加固记录》、《沟通记录》（按需）、《服务工作记录单》（按需）。

依据第三方等级保护测评出具的《测评问题清单》，针对我院11个等保三级系统提供专项整改技术支撑服务；协助完成网络设备、服务器、业务主机、安全设备的安全策略优化、安全基线配置与安全加固实施，****中心落实整改、配合测评机构复测验收，确保整改项符合等保三级规范要求。

交付包括但不限于《整改记录表》等。

（四） 实施要求

1、质量保证：①中标人保证交付内容是完整且完全符合要求的，其质量、技术特征和服务级别符合招标要求。

2、售后服务：

①服务期内非因采购人的人为原因而出现服务问题，由中标人负责完善、优化或解决，并承担因此而产生的一切费用。要求15分钟内响应，2小时到达现场，4小时内恢复系统正常运行。

②因工作内容的交付质量问题而发生争议，由**省或**市相关质检部门进行质量鉴定。交付内容符合质量标准的，鉴定费用由采购人承担；交付内容不符合质量标准的，鉴定费用由中标人承担。

3、服务工具安装与调试：①中标人必须按项目进度安排计划，派出适当的技术人员到安装现场负责服务工具的安装和调试工作。

（五） 验收要求：

1、履约验收时间：采购人收到中标人项目验收建议之日起7日内按照合同的约定对履约情况进行验收，对每一项技术、服务、安全标准的履约情况进行确认。

2、履约验收程序：①双方依据规定的程序和条件确认合同项下的服务符合技术规范的要求，由采购人对当次服务质量进行检验。如发现质量等任何一项与采购要求规定不符，采购人有权拒绝接受。②验收合格后，采购人、中标人双方在验收合格单上签字确认。验收时，中标人应交付一切采购内容及交付成果，确保采购人管理、运维人员具备服务工具上的一切使用和管理权限。

3、履约验收内容：满足采购需求的要求、投标文件中的相关承诺及合同约定要求。

4、验收标准：按照国家相关行业要求、招标文件要求及响应文件的响应情况进行验收。

（六） 项目团队要求：

1、为本项目提供专业服务团队，该团队包括项目经理和至少三名技术人员。团队所有人员均具有不少于三年网络或信息安全从事经验；在信息安全领域有着丰富的经验与先进的技术。

2、★项目经理负责对该项目整体开展、实施、售后服务工作的统筹协调和管理，并定期与我院协调沟通，保证服务质量。相关技术类或管理类硕士及以上学历，且具备10年以上信息或网络安全工作经验（以社保缴纳年限为主）。

3、一共需安排两名驻场工程师：

（1）★高级网络安全工程师，需同时具备CISP、CISP-A、CISP-DSG、大数据分析师（高级）、信息安全管理（高级）资质证书，且具备8年及以上信息或网络安全工作经验。（以社保缴纳年限为主）

（2）★中级安全运营工程师，需具备PMP、CompTIA Security+、信息安全工程师（中级）、CISAW等资质证书，且需具备5年信息或网络安全工作经验（以社保缴纳年限为主）

5必须遵守我院内部各项规章制度和内部操作规程，履行保密义务，签署保密协议，未经批准不得以任何理由泄露任何保密信息和内部资料。

6为了保障服务质量，需具有但不限于以下资质及能力（需提供有效期内的资质证书复印件,并加盖公章）：

1 具备质量管理体系认证证书（ISO9001）

2 具备信息安全管理体系证书（ISO27001)

3 具备信息技术服务管理体系证书（ISO20000)

4 职业健康安全管理体系证书（ISO45001)

5 CCRC信息安全风险评估服务资质

6 CCRC信息系统安全集成服务资质

7 CCRC信息安全应急处理服务资质

8 CCRC信息系统安全运维服务资质

（七）考核要求

招标人对中标人的维护服务按年度及考核指标进行考核，具体方案（《维护服务考核方案》）如下：

（1）考核概述

1.维护服务考核按年度进行。

2.维护年度结束后10个工作日内，中标人提供年度考核材料，招标人根据中标人的服务情况，结合实际调查和用户信息反馈，按照合同及各项服务要求，对服务管理各个流程的执行情况和成效、故障处理的完成时间、服务质量和成效进行考核。

（2）考核依据

考核内容依据招标书、投标书、合同、相关承诺及相关补充文件（包括但不限于日常报修记录表、定期巡检报告、需求记录单、信息安全相关记录文件及年度满意度调查表等）进行。

（3）考核文件签署

服务期满后，中标人需撰写服务完成考核报告，由招标人委派的负责人在审核后签署。

（4）具体考核指标

具体服务考核指标参见下表。考核采用扣分制，招标人根据被考核单位的工作情况及事件实时记录，

（5）考核结果与费用扣除

考核采用扣分制。招标人依据中标人工作情况及事件实时记录，于服务期满向中标人通报扣分详情。

1）若中标人年度考核总扣分不超过10分（含10分），则视为服务优秀，招标人不扣减中标人服务费用。

2）若中标人年度考核总扣分超过10分，则每扣1分，招标人将扣减中标人合同总金额的1%。

（八）付款方式：

1）合同签订后1个月内，支付合同价款的50%作为预付款；

2）项目按照合同约定的验收标准和程序完成验收后1个月内，支付合同价款的50%作为验收款。

（九）提供近三年（2023年至今）相关类似项目业绩，需提供证明文件（附合同复印件等）。

（十）开标会原则上只允许各投标单位安排一名投标人员参加，且该人员必须与投标报名登记表登记的人员一致，若临时更换投标****采购中心工作人员联系。标书代写

（十一）投标文件要求：7份（1正6副），开标前需密封，每份文件均需按序页码。双面打印。标书代写

（十二）项目需求书条款响应情况：投标人必须对项目需求书的内容逐条响应。“★”号的条款为关键条款，必须实质性响应，负偏离（不满足要求）将导致投标无效（若有）；带“▲”号条款为重点条款，不作为无效投标条款（若有）。

（十三）述标、答辩：

1、述标部分：述标时间不超过3分钟。述标着重介绍对项目的理解，特别是关键技术层面，述标无需使用PPT。

2、答辩部分：述标之后，****小组提问，投标人如实作答。

（十四）投标人应完整、真实、准确的填写招标文件中规定的所有内容，对投标文件所提供的全部资料的真实性承担法律责任，并无条件接受招****管理部门等对其中任何资料及招****管理部门认为有必要的资料进行核实的要求。

五、投标人资格

1、投标人应是来自中华人民**国的独立法人企业或其他组织。

2、本项目不接受联合体投标，不得转包、分包、外包投标标的主体。

六、评标办法：综合评标法

七、报名时间及地点

1、报名时间： 2026年6月22日至 2026年6月26日17:00；

2、报名方式：本项目只接受电子报名，报名邮箱为：gztcm_zbzx@gzucm.****.cn。请各投标人将报名需要提交资料加盖公章后扫描，将扫描件发至报名邮箱，邮件名称：项目名称+单位名称；

3、报名需提交资料（需加盖公章）

（1）有效的营业执照复印件。投标人在经营范围内投标，如营业执照未记载经营范围，同时提供在**企业信用信息公示系统查询的单位“登记信息”的打印页面；

（2）企业法人代表证明书、具有法人签名或盖章的被委托人有效授权书（详见附件）；

（3）投标报名登记表（详见附件）；

4、报名所需的资料原件请于开标日当****采购中心工作人员处。报名是否成功，以邮件回复为准。标书代写

5、报名成功本项目的投标人，若决定不参与投标，请于 2026 年6月26日下午17:00前电话或邮件通知招标人。

八、开标时间及地点标书代写

1、开标时间： 2026年6月30日上午9:00标书代写

2、开标地点：**市**区机场路16号****行政楼1楼102室。标书代写

3、投标人员应为报名登记表上登记的负责投标的人员，该人员凭身份证进入开标地点。标书代写

九、本招标文件所涉及的时间一律为**时间

九、联系人：李工: 020-****1289；020-****1854（项目咨询）

黄老师：020-****5829；（招标流程咨询）

十、咨询时间：（工作日）上午 8:30-12:00，下午14:30-17:30

****

2026年 6月18 日

附件：

法定代表人授权书

致：****

本授权书声明：注册于 （国家或地区）的 （投标人名称）的在下面签字的 （法定代表人的姓名、****公司授权在下面签字的 （被授权人的姓名、****公司的合法代表人，就“****2026-2027年度网络安全运营保障服务项目 ****”招标的 （可选“报名”），以我方的名义处理一切与之有关的事宜。

本授权书于 年 月 日签字生效，特此证明。

随附《法定代表人证明书》

附件：

1、代理人(被授权人)身份证或其他有效的身份证明

注：投标人必须在上述附件上加盖公章。

投标人（法人公章）：

地 址：

法定代表人（签字或盖章）：

职 务：

被授权人（签字或盖章）：

被授权人身份证号码：

职 务：

日期：

（投标人可使用下述格式，****商行政管理局统一印制的法定代表人证明书格式）

法定代表人证明书

现任我单位 职务，为法定代表人，特此证明。

有效期限：

附：代表人性别： 年龄： 身份证号码：_________

企业注册号码： 企业类型：_____________________________________

经营范围：

。

注：投标人必须在上述附件上加盖公章。

投 标 人（法人公章）：

日 期：

投标报名登记表
项目名称			报名日期	年 月 日
报名单位名称
地址(营业执照)			邮编
报名人	姓名	身份证号码	手机	传真
投标人（负责投标的人员）	姓名	身份证号码	手机	电子邮箱