内蒙古自治区国际蒙医医院数据安全风险评估及数据分级分类项目市场调研公告

一、本次数据安全风险评估及数据分级分类项目包含一下内容：

1.项目名称：数据安全风险评估及数据分级分类项目

2.项目服务地点：****

3.项目服务周期：1年

4.服务内容： 对HIS系统进行数据安全风险评估及数据分级分类，主要围绕数据和数据处理活动，聚焦可能影响数据的保密性、完整性、可用性和数据处理活动合理性的安全风险，掌握数据安全总体状况，发现数据安全隐患，提出数据安全管理和技术防护措施建议，提升数据安全防攻击、防破坏、防窃取、防泄露、防滥用能力。首先通过信息调研识别数据处理者、业务和信息系统、数据、数据处理活动、安全措施等相关要素，然后从数据安全管理、数据处理活动、数据安全技术、个人信息保护等方面识别风险，最后梳理风险源清单，分析数据安全风险、视情评价数据安全风险，并给出整改建议，出具数据安全风险评估报告。注意：本次仅是对该项目进行市场价格询价调研。

5.服务范围：HIS系统。

报名材料及要求：

1.报名时间：即日起至2026年7月13日下午17:00。

2.提交调研材料方式：请将全部调研资料扫描整理为单份PDF****公司公章），登录熙云医采平台”（http://116.****.38:9999/#/）报名并提交项目调研资料（逾期系统将关闭入口）（调研报名操作流程见附件）

3.报名流程：登录熙软平台线上报名、线上递交以下报名材料：

（1）《营业执照》复印件、报价单加盖公章。

（2）报名时需在资料上留下联系人姓名、联系电话、邮箱等联系方式。

（3）报名人需提供****测评中心颁发的国家信息安全测评信息安全服务资质证书（数据安全类）。

（4）报名人需提供具备检验检测机构资质认定证书（CMA证书）（CMA附表内容应包含等保测评、密码测评）。

（5）报名人需提供具备供应链安全管理体系认证证书，并在****管理委员会（www.****.cn）官网可查询。

注：以上材料需合并成一个文件。

4.联系人及联系方式：董老师 0471-****040

备注：本次仅为市场调研。最终**单位将通过正式采购方式确定。我院保留对该公告的最终解释权。

“熙软平台”技术支持：

杨智慧 177****5125

张** 181****0038

兰 鑫 158****6696

二、技术要求

（一）总体要求

运用科学的方法和手段，系统的分析数据及相关系统所面临的威胁及其存在的脆弱性，评估数据安全事件一旦发生可能造成的危害程度，并提出有针对性的抵御威胁的防护对策和安全措施，防范和化解数据及相关系统安全风险，将风险控制在可接受的水平，为最大限度的保障数据及相关系统的安全提供科学依据并出具评估报告。

（二）具体要求

1.技术要求

（1）具体评估内容应包含但不限于：在信息调研基础上，围绕数据安全管理、数据处理活动安全、数据安全技术、个人信息保护等方面开展评估。

（2）评估报告

评估完成后，HIS系统出具正式、合法、合规的数据安全风险评估报告及数据分级分类明细表。

HIS系统数据安全风险评估报告内容具体要求如下：

①评估报告格式应符合国家及招标方的所有要求的评估概述、评估工作开展情况、信息调研情况、数据安全风险识别、风险分析与评价等内容。

②评估报告内容，a) 风险识别：基于信息调研情况，从数据安全管理、数据处理活动安全、数据安全技术、个人信息保护等方面进行数据安全风险识别，识别评估对象现有安全措施完备性并对其有效性进行验证，形成数据安全风险识别工作记录（也称为“评估底稿”）。

b) 风险分析：基于风险识别情况，通过对数据安全风险归类分析，梳理数据安全风险源清单，并开展数据安全风险危害程度、数据安全风险发生可能性分析；结合数据安全识别工作记录，分析梳理风险源清单，进行数据安全风险归类分析。归类分析时，可基于一项风险源，也可综合多项风险源分析可能引发的数据安全风险；结合数据价值和风险源严重程度，分析数据安全风险危害程度。分析风险可能对国家、社会公共利益、组织或个人合法权益造成的危害；结合风险源发生频率、安全措施有效性和完备性，分析数据安全风险发生可能性。

c) 风险评价：针对风险源清单，结合风险危害程度和风险发生可能性，逐项评价数据安全风险级别，梳理形成数据安全风险清单，并针对数据安全风险清单发现的问题隐患，分析数据安全风险，视情进行风险评价，提出整改建议。

报告除对国家法律法规、标准规范和行业标准规范符合性的评估外，****公司、省公司和相关被评估单位内部数据安全管理规定的合法、合规、合理以及执行情况的评估。

③报告中所列“存在的问题”中，对于扣分项或问题项，应说明所扣分项或问题项实际现状，详细列出具体的不符合条款。如确实无条款对应的，应从合理性角度进行说明。

④报告应从数据安全风险类别角度，对发现的问题分析产生的原因和存在的法律责任风险。

⑤报告形式方面：每个系统数据安全风险评估报告一式两份。

（3）评估过程中，投标方应派遣相应的技术人员参与和指导招标方的数据安全风险评估工作，应对现行的国网内部数据安全管理制度、文件的合法性、合规性、适用性、科学性、合理性、完整性进行审查。所派遣技术人员应至少有两人具有数据安全工程师证书。

（4）评估工作结束后，投标方应按招标方时限要求提供数据安全风险评估报告。

2.质量要求

评估工作开始前，投标方应制定详细、可行的评估方案。方案中应包含：

（1）项目组织体系：项目实施组织形式和项目管理措施。

（2）评估内容：从数据安全管理、数据处理活动、数据安全技术、个人信息保护等方面进行数据安全风险识别，发现可能存在的数据安全风险源。具体实施时可按照以下步骤开展。

a) 针对被评估对象的特点，选择适用的评估内容进行评估，评估内容选择方法如下：

1) 数据处理者均应识别数据安全管理、数据处理活动、数据安全技术等风险情况；

2) 个人信息处理者还应在1）的基础上，识别个人信息保护风险情况；

3) 被评估对象涉及数据出境的，应按照国家相关法规、国家标准要求进行数据出境安全保护工作，若存在未按要求开展相关工作的，直接判定存在安全风险，并进行风险分析与评价；

4) 梳理各评估项的风险识别结果，形成数据安全风险识别工作记录。

（3）评估成员：参与项目评估的技术负责人履历和人员组成。

（4）评估方法：包括但不限于人员访谈、文档查验、安全核查、技术测试等方式。

（5）技术力量：投标方对本项目的技术力量支撑。保证人员配备相对固定的措施、保证人员到岗履行服务措施等技术力量支撑措施。

（6）重难点分析：对本项目的重点、难点和疑点问题分析、关键点诊断；

（7）质量保证：项目的质量保证体系和项目实施工作中的质量保证措施情况；

（8）安全保证：项目的安全保证体系和项目实施工作中的安全保证措施情况；

（9）合理化建议：项目实施的预期成果和创新性可行建议。

具体评估方案需经招标方审核同意后，方可开展现场评估。

（10）投标方所参与的数据安全评估监督中，应勇于提出现场的不符合项，不得出现现场问题招标方发现而投标方无法发现或指出确认的情况。

（11）评估完成后应在15个工作日内向招标方提供正式评估报告。

三、项目实施结果

（一）验收标准

顺利完成本规范服务内容中所列的技术支持服务，由招标方进行验收。

（二）项目资料要求

1.数据安全风险评估报告；

2.数据分级分类明细表；

五、质保要求

项目结束提交成果后12个月。