德清县第三人民医院MSS安全托管服务项目询标公告

序号

服务名称

服务型号

续保时间

价格（元）

备注

1

MSS安全托管服务

深信服MSS

一年

88000

本次安全托管服务需与原有的服务平台无缝对接，围绕我院此前的安全服务体系，对接原本服务资产，提供不少于10个IP资产的7*24小时的延续性资产防护1年。详见招标参数。

类型

内容及要求

规格数量

▲本次安全托管服务需与原有的服务平台无缝对接，围绕我院此前的安全服务体系，对接原本服务资产，提供不少于10个IP资产的7*24小时的延续性资产防护1年。投标时须提供原厂授权函，合同签订前须提供原厂质保函。

首次安全评估

暴露面梳理：投标方应使用安全工具对招标方服务资产开展互联网暴露面探测，以梳理资产面向互联网的开放情况，快速发现违规暴露在互联网中的资产及存在的风险并进行处置，实现对暴露面资产可管可控，降低暴露面资产的风险。

脆弱性管理

★高危可利用漏洞防护：针对服务范围内资产扫描到的高危可利用漏洞，投标方应当为招标方做好每一个高危可利用漏洞的防护工作，包括但不限于为招标方提供漏洞修复方案和安全设备防护策略，以及帮助招标方配置防护规则，保证招标方不因此出现重大事件和损失；（要求招标方可以对服务范围内发现的每一个高危可利用漏洞提供防护规则，并且承诺防护率达到99%）

威胁管理

7*24小时威胁鉴定：投标方应当具备云端检测和分析平台，通过采集招标方安全设备和工具的安全告警和安全日志，结合大数据分析、人工智能等技术手段，为招标方提供7*24小时持续不间断的安全威胁分析鉴定，同时在用户界面进行展示

分析研判包括但不限于对脆弱性、异常流量、攻击日志、病毒日志等数据进行采集和实时分析研判，支持将同一资产的多个告警进行聚合分析发现各类安全事件并生成工单，并在告警详情中展示告警的基本信息，涉及的业务信息、攻击趋势、威胁详情、攻击原理、处置建议等内容，并支持根据客户情况提供备注；

个性化的检测规则定制：为了保证安全监测的准确率和服务质量，投标方应当支持为招标方自定义配置安全规则，以满足日益复杂的安全趋势所带来的安全监测需求；

★受影响资产排查与加固：安全专家应当结合威胁情报主动排查是否对服务资产造成影响并通知用户，及时协助进行安全加固。(提供一个威胁情报的安全通报工单，工单内容包含威胁情报的基本信息和推送信息以及跟进记录，要求明确说明关联资产信息的排查情况)

安全策略检查：投标方安全专家每月对招标方的安全设备的防护策略进行检查，确保安全设备上的安全策略始终处于最优水平，针对威胁能起到最好的防护效果。投标方云端服务平台应当具备丰富的策略检查工具（要求不少于40种策略检查的工具），支持排查安全设备防护策略配置的合理性。（提供投标方云端服务平台策略检查工具的截图证明，证明具备上述能力)

7*24H的服务团队

为了保障服务质量和加强投标方与招标方的沟通，投标方应当承诺为招标方配置一名经验丰富的安全专家作为专属服务经理，并且实时响应投标方咨询的网络安全相关问题；

投标方应当为招标方提供7*24小时的安全守护，不论是白天、黑夜、节假日投标方都应该能做到7*24H在线服务，并且在节假日期间应当每日为招标方提供《节假日值守总结》，投标方应当向招标方承诺，不论白天、黑夜、节假日投标方都能为招标方提供7*24H在线服务，并且在节假日期间能为招标方提供每日的《节假日值守报告》

★为了降低招标方因网络安全事件造成的损失和影响，投标方应当按照以下服务指标和要求为招标方提供服务：（要求投标方对标以下服务指标进行应答，并向招标方提供对应的未达标处罚措施）

（1）从安全日志产生到事件通告给招标方的时间方面，按照国家标准对安全事件的分类分级指南，重**全事件通告时间小于30分钟，一般事件的通告时间少于1小时；

（2）安全事件经过服务人员的确认后，通告给招标方的各类安全事件的准确率不低于99%（即误报不能超过1%）；

（3）投标方应当承诺，服务范围内的所有安全事件的闭环处置比例达到100%。

（4）投标方应当满足重大事故应启动应急响应机制，工作时间15分钟之内云端专家进行响应，非工作时间30分钟之内云端专家进行响应，省会2小时上门处置，省内8小时上门处置。

（6）招标方可以对服务范围内发现的每一个高危可利用漏洞提供防护规则，并且承诺防护率达到99%。

用户portal参数

★服务质量监控：

投标方需为招标方提供的服务成果展示门户（或用户Portal）应具备服务质量可视化展示，投标方能通过可视化的数据，清晰的了解安全专家的服务水平，至少包括脆弱性闭环率、脆弱性平均响应时长、脆弱性平均闭环时长、威胁闭环率、威胁平均响应时长、威胁平均闭环时长、事件闭环率、事件平均闭环时长，以验证投标方所承诺的服务指标（或称为服务SLA）。（提供服务成果展示门户中服务质量监控相关的截图证明）

服务交付物管理：

投标方需为招标方提供的服务成果展示门户（或用户Portal），可以直观的管理服务过程中生产的服务报告和交付物，包括但不限于《准备阶段文件》、《特殊时期值守报告》、《运营周报》、《运营月报》、《运营季报》、《威胁情报》、《年度汇报》、《事件总结报告》；

云端服务平台要求

投标方应当具备云端7*24小时运行的服务平台，并具备以下能力为招标方提供专属的安全托管服务：

安全设备对接与数据采集

★投标方云端服务平台应当支持对接的主要安全设备：下一代防火墙支持实时接收安全设备检测到的安全事件信息、安全日志数据提供7*24小时的安全托管服务；（提供云端服务平台支持对接的上述安全设备的能力证明，展示详细的对接步骤）

投标方云端服务平台应当支持对接我院现有安全组件：终端数据遥测组件，支持对组件进行命令通道的下发，如清除一些异常计划任务（提供演示视频）

投标方应当基于最小原则详细说明云端服务需要采集的数据类型和内容，并说明其用途和信息存储方案及保护方案；（要求投标方提供上述内容的详细说明）

服务流程引擎

了保障服务效率和质量，投标方的云端服务平台应当具备一套完善的流程编排引擎，能够为客户灵活编排、定义服务流程，并且定义服务的SLA，将服务过程中的各个关键环节按照一定的顺序和规则进行组织和安排，以达到高效、优质的服务目标；

安全服务人员及厂商资质

服务人员资质

项目服务经理需同时具备CISSP信息系统安全专业认证证书和COBIT5 Foundation企业IT治理与管理证书，需提供证书及身份证复印件。

项目服务技术负责人需同时具备CCIE思科认证互联网专家和NISP国家信息安全水平证书（一），需提供证书及身份证复印件。

投标人或产品厂商资质要求

要求服务方参与过国家重大项目或者事件的网络安全防护，每提供一个给1分，最高3分。

投标方或产品厂商具备CCRC信息安全服务资质认证证书 信息系统安全运维服务一级资质，需提供有效证明材料。

投标方或产品厂商具备CCRC信息安全服务资质认证证书 信息系统安全集成服务一级资质，需提供有效证明材料。

投标方或产品厂商具备国家信息安全测评信息安全服务资质证书 云计算安全类一级，需提供有效证明材料。

投标方或产品厂****应急中心网络安全应急服务支撑单位（国家级），需提供有效证明材料。

投标方或产品厂商具备中国网****认证中心的信息安全软件开发服务资质，提供有效证书复印件。

获得SaaS服务模式下的 增强级 安全能力级别认证。提供中央****委员会办公室、****办公室官方网站发布的《通过云计算服务安全评估的云平台》入选名单作为证明（名单截图并加盖厂商公章）

实施说明

对接现有服务平台

由于安全服务要求对我院现网存在网络环境、问题比较理解，要求投标方录制5分钟左右的视频，讲解当前网络风险、待改进内容，方案规划。

服务组件要求

安全态势分析组件

将我院现有的安全态势感知平台接入云端运营平台进行7*24小时在线化管理，或在服务周期内提供一台可以接入云端的安全态势感知硬件设备部署于我院机房，并且接入云端进行7*24小时在线化管理。提供资产梳理，威胁深度检测，威胁统一分析，多产品日志收集与对接等功能。

★支持基于流量实时漏洞功能，漏洞分析类型包含配置错误漏洞、OpenSSH漏洞、目录遍历漏洞、OpenLDAP等操作系统、数据库、Web应用等，页面上支持展示业务脆弱性风险分布、漏洞类型分析、漏洞态势与危害和处置建议，并支持导出脆弱性感知报告。（需提供截图证明）。

支持大屏展示业务脆弱性态势，包括漏洞风险态势、漏洞类型TOP5、高危漏洞TOP5、业务总览、脆弱性业务TOP5、实时脆弱性监测；

平台具备独立文件威胁鉴定模块，支持基于HTTP、邮件、FTB、SMB等协议的文件检测，平台内置病毒检测引擎、人工智能检测引擎等，支持记录恶意文件TOP5、文件名、病毒病毒、发现次数、传播协议、感染源等信息，并支持导出分析结果。

流量采集服务

将我院现有的威胁潜伏探针介入云端运营平台进行7*24小时在线化管理，或在服务周期内提供一台可以接入云端的威胁潜伏探针硬件设备部署于外网出口，并且接入云端进行7*24小时在线化管理。

支持5种类型日志传输模式,包含标准模式、精简模式、高级模式、局域网模式、自定义模式，适应不同应用场景需求；

可提供网络流量的会话级视图,根据网络流量的正常行为轮廓特征建立正常流量模型,判别流量是否出现异常,对原始流记录进行异常检测,可发现网络蠕虫、网络水平扫描、网络垂直扫描、IP地址扫描，端口扫描，ARP欺骗，IP协议异常报文检测和TCP协议异常报文等常见网络异常流量事件类型;

★支持针对B/S架构应用抵御SQL注入、XSS、系统命令等注入型攻击；支持跨站请求伪造CSRF攻击检测；支持对ASP,PHP,JSP等主流脚本语言编写的webshell后门脚本上传的检测；支持其他类型的Web攻击，如文件包含，目录遍历，信息泄露攻击等的检测；（要求对以上列出的攻击类型进行逐条响应并提供相应的功能界面截图）

序号

评审标准

分值

1

企业资质：投标人具有ISO9001质量管理体系认证，ISO14001环境管理体系认证，ISO20000信息技术服务管理体系认证，ISO27001信息安全管理体系认证，每提供一项得2分，最高得8分。需提供认证证书复印件以及在**认证认可信息公共服务平台(cx.****.cn)上证书状态为 有效 的查询结果网页或截图扫描件（包含证书编号、证书状态、证书到期日期、发证机构）；不满足的不得分。

投标人具有ITSS信息技术服务标准符合性证书得2分，需提供认证证书复印件。

10

2

同类业绩：投标人自2023年1月1日以来（以合同签订时间为准）具有信息化类项目业绩的，每提供1个得1分，最高得2分。

2

3

重要指标：标注▲的核心技术条款；如未响应或不满足（负偏离）直接废标；标注★的重要技术条款：提供有技术证明材料且全部满足招标要求的，得30分；如未明确响应或不满足(负偏离)的每1条扣5分，直至本项扣完；未提供相关设备功能操作视频予以佐证的，视为负偏离。

35

4

技术解决方案：

4.1

项目理解分析：针对投标人关于本项目采购需求的理解，包括重点难点分析、专业有效的技术路线或解决方法，以及技术架构、功能设计，包括建设目标、任务计划等内容满足采购需求的情况进行打分（分值0-5）。

5

4.1

信息安全方案：根据本项目信息安全，包括物理安全要求、网络安全要求、系统安全要求、应用安全要求等，针对投标响应的信息安全方案及其可行性、科学性进行打分（分值0-5）。

5

5

服务质量方案及承诺：

5.1

评议服务质量管理方案，针对质量目标、质控计划、风险管控的情况进行打分（分值0-5）。

5

5.2

评议安全管理方案，针对信息安全、数据保护、安全保障及保密措施的情况进行打分（分值0-5）。

5

5.3

根据投标人结合项目实际并针对各类突发事件编制的应急预案，包括风险识别、应急管理、响应时间、沟通协调、处理措施、售后承诺优惠条款等进行打分（分值0-8）。

8

6

项目负责人：投标人针对本项目安排的项目经理具备信息系统管理工程师（高级）资质得3分，技术负责人具备系统集成项目管理工程师（中级）得3分。最高6分。（需提供相关证书复印件及投标单位近三个月内任意一期的社保缴纳证明，未提供不得分）

6

7

服务团队：技术服务团队人员具备HCIE证书、CISP证书,每提供一个得3分，最高得9分。（需提供相关证书复印件及投标单位近三个月内任意一期的社保缴纳证明，未提供不得分）。

9

8

价格分：有效最后报价的最低价作为评审基准价，其最低报价为满分；其他报价得分计算公式为：［最后报价得分=（评审基准价/最后报价）*10］。

10