福建省武夷山监狱信息系统等级保护测评及网络安全运维服务项目市场调查函

序号

货物名称

技术参数

服务期限

备注

1

测评要求

一、测评服务及要求

1.1供应商应在对采购人系统详细了解的基础上，编制针对性的等级保护测评整体实施方案，包括项目概述、等保测评范围和内容、项目实施流程、测试过程中需使用测试设备清单、时间安排、阶段性文档提交和验收标准等。

1.2供应商需配备具有相关资质的人员组成测评团队，应详细描述测评人员的组成、资质及各自职责的划分。配置有经验的测评人员进行本次等级保护测评工作。

1.3对于在测评过程中采用的测评方法、测评所使用的工具、测评所覆盖的各方面，需要符合信息安全等级保护主管部门要求，包括但不限于网络隐患检测工具、数据库漏洞检测工具、应用安全检测工具、网站安全检测工具等。

1.4本次测评项目包含采购人现有的安全产品（包括防火墙、入侵检测、堡垒机等），供应商承诺免费提供采购人已有安全设备的系统集成、策略设置、制度建设、测评资料整理。

1.5项目完成后必须提交完整的技术过程文档、测评报告等。

1.6******部推荐的测评机构测评，****监狱会见系统、监狱罪犯一卡通系统、监狱亲情帮教视频电话系统、监狱安防系统等系统测评报告（其中三级系统3次[2026、2027、2028]，二级系统各1次[2027]，共计6次）。

1.7供应商所提供《信息安全等级保护等级测评报告》****机关网安部门的认可，确保采购人顺利完成等保备案工作。

1.8为保证测评过程系统运行安全，本项目测评机构应具有**网络安全应急技术处理能力。供应商须承诺在用户现场完成测评报告的出具工作，相关实施测试的工具所产生的测评数据，须留在本地，经采购人签字确认后，供应商方可将相关测评工具、存储设备等收回。

2年

2

技术服务要求

二、信息系统安全等级保护评测及运维服务

取得资质的测评机构基于国家标准《GB/T22239-2019网络安全等级保护基本要求》项目清单范围内所有系统的等级保护测评服务，测评内容包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、****中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理，在测评过程中应使用符合等级保护相关标准要求的测评方法，并按照等级保护行业主管部门指定的报告模版要求，为信息系统安全等级保护测评报告，提交《信息安全等级保护测评报告》。同时在测评过程需满足如下要求：

1.1 组织协调人员并配合测评机构完成现场测评，提供测评全过程服务；

1.2 梳理测评项目，提供测评所需策略文件、制度文件及相关表单报告；

1.3 更**升级的网络安全产品部署及配置服务；

1.4 组织人员对评测评机构出具的报告进行相关配合整改；

2网络安全运维服务

2.1 预计服务时间：2027年2月至2029年1月。

2.2资产信息收集

派遣具有相关资质的工程师到现场整理系统的网络结构拓扑以及相关联的资产，编制信息系统资产清单及资产报告；对服务范围内信息系统开展物理环境、网络结构、设备配置、应用系统以及管理制度进行调研和梳理，编制信息系统详细描述文档，服务实施完成后需提供《资产调研表》、《网络拓扑图》。

2.3 定期安全巡检服务(每月/1次）

每月派遣具有相关资质工程师到现场对网络和安全设备进行巡检。发现是否存在安全隐患和可疑事件，运行是否正常。巡检内容包括但不限于设备的运行状态、策略、配置、日志分析等。巡检完毕后提供设备巡检报告和加固建议，并协助采购人对信息系统进行加固。

2.4安全漏洞扫描服务(每周/1次）

每周派遣具有相关资质工程师到现场通过评估工具以本地扫描的方式对安全检查范围内的系统和网络进行安全扫描，将信息资产与风险漏洞相结合，尽可能准确发现网络应用系统和主机的安全漏洞，从网络内部和外部两个角度查找网络结构、网络设备、服务器主机、数据和用户账号/口令等安全对象目标存在的安全风险、漏洞和威胁，及时进行整改，并提供巡检报告。

2.5安全应急演练服务（每年/1次）

遵循（GB/T 24363-2009）《信息安全技术信息安全应急响应计划规范》、《网络安全法》等国家、各行业相关文件设计的安全应急演练实施方案，制定出适应本单位的信息安全应急预案，每年组织一次模拟应急事件的处置演练，确保信息系统的安全、稳定、持续运行，防止造成重大的损失和影响，进一步提高信息系统的应急保障能力。

每次服务实施完成后需提供《应急预案》和《演练报告》。

2.6等保差距评估服务（每年/1次）

每年在安全评估和信息系统定级的基础上，根据《信息系统安全保护等级基本要求》将定级信息系统等级保护的各项基本要求与信息安全现状进行比较分析，从管理和技术两个层面找出存在的问题并进行差距分析。

服务实施完成后需提供《信息系统等级保护差距评估报告》。

2.7安全培训服务（每半年/1次）

每半年需邀请具有网络安全等级保护相关经验的人员开展网络安全培训服务，传授从一般性的安全意识、到具体的安全操作、再到高级的信息安全管理在内的全方位的安全知识和技能。提供安全意识教育、安全保障体系培训和信息安全防护技术培训。

2.8 日志分析服务（每月/1次）

每月对安全设备产生的海量日志进行深度挖掘和分析，从IP分布、时间分布、事件分布，行为分布、告警趋势五个维度对用户信息系统内安全设备产生的日志进行梳理，发现潜在的风险点，得出安全现状结论，并提供极具参考价值的分析报告。通过提供日志分析报告，及时掌握网络运行状态和安全隐患。

每次服务实施完成后需提供《日志分析报告》。

2.9 安全设备、网络设备的加固操作、优化改善（每月/1次）

每月对防火墙、日志审计系统、入侵系统、网络设备进行加固操作、优化改善，包括但不限于设备系统配置、设备核查、网络配置、数据备份等。

每次服务实施完成后需提供《等保整改及加固报告》。

2.10 等保测评辅助服务（每年/1次）

在服务期2年内，委托具备网络安全等级保护测评机构推荐证书的测评机构为本项目提供等保测评服务，配合测评队伍完成现场测评和整改，从而通过等级测评并获得测评机构出具的等级测评报告。通过等级保护测评后，进行等级保护安全服务，将等级保护规范、要求等相关工作落地。

每次测评过程中配合提供测评相关材料。

2.11 重保服务

每次在重要活动期间（包括且不限于两会、国庆等重点安保时期，以采购人需求为准）提供安全保障服务。重要活动前开展细致的资产梳理、隐患排查和安全检查；重要活动期间开展安全预警、安全巡检和可用性监测；重要活动结束后进行总结分析，提出安全整改建议。并随时提供上门服务。

2.12 安全通告（每年/1次）

每次根据目前的信息安全形势，实时提供应用安全相关漏洞的安全通告以及解决方案。

2.13 渗透测试（每年/1次）

每次经采购人授权，对信息系统进行渗透测试，出具《渗透测试报告》，报告内容应至少包括漏洞名称、漏洞利用过程、漏洞修复建议等。

二、驻场网络运维服务

服务期间需供应商至少每周派驻1名具有相关资质的工程师到采购人现场进行网络及安全设施设备运维服务1天以上（采购人如有其他特殊情况需要工程师到现场提供技术服务的，以采购人需求为准），每周驻点期间对采购人所有网络设备、安全设备、主机运行情况进行全面巡检，及时修复各类网络漏洞，处置采购人各类网络故障，如驻点人员无法解决的各类故障，供应商需及时另行派驻或外聘技术人员协助解决。

2年