[公告中]石柱县党政信息化办公平台等保测评服务项目

采购目录：信息技术服务-其他信息技术服务-测试评估认证服务

需求描述：（一）等级保护测评服务
测评指标和对象选择须符合《GB/T 28448-2019 信息安全技术 网络安全等级保护测评要求》标准的相关要求。根据《信息安全等级保护管理办法》《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）等法规和标准，对石柱县党政信息化办公平台（含移动端）开展第三级网络安全等级保护测评服务，全面核查系统安全防护措施落实情况，排查安全风险隐患，验证系统安全保护能力是否达到网络安全等级保护第三级要求。
1. 测评技术要求
本项目网络安全等级保护测评目的******部门发布的最新网络安全等级保护要求的基本安全控制要求相一致，即等级保护2.0制度，测评人员应依据测评目的和测评内容实施测评。
根据《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）、《信息安全技术网络安全等级保护安全设计技术要求》（GB/T 25070）等相关标准要求，进行网络安全等级保护测评，对比国家信息系统网络安全保护等级的各项要求，针对服务中发现的安全问题，供应商需通过专业的技术手段进行合理分析，切实评估风险，完成测评服务工作。
（1）供应商针对本项目提供的测评机构应为国家网络安全等级测评与检测评估机构，****研究所颁发的《网络安全服务认证证书等级保护测评服务认证》，并提供网络安全等级保护网（http://www.****.net）上的查询截图并加盖投标人公章。
（2）供应商针对本项目提供的测评机构具备中国****委员会颁发的在有效期范围内的检验机构认可证书（CNAS），认可的检验能力含网络安全等级测评服务，并提供官方网站查询截图并加盖投标人公章。
（3）项目服务周期内向采购人提供专业数据安全咨询服务，配合采购人有序推进后续数据安全合规建设，切实落地国家数据安全统筹协调机制各项规定，依法依规履行采购人主体数据安全保护责任。供应商应为**市数据****办公室认定的第三方评估机构。（提供证明文件并加盖投标人公章）
（4）在项目服务周期内为采购人提供网络安全事件应急处置机制建设咨询服务，保障采购人规范开展网络安全应急处置、事件上报等相关工作，严格落实网络安全相关法律法规、应急预案及网络安全信息通报管理工作要求，依法依规履行采购人网络安全保护主体责任。供应商应为**市网络与****中心支撑单位。（提供证明文件并加盖投标人公章）
本次测评项目为石柱县党政信息化办公平台（含移动端），本项目网络安全等级测评服务主要包括以下内容：
（1）技术测评
1）安全物理环境测评（物理位置的选择、物理访问控制、防盗窃和防破坏、防雷击、防火、防水和防潮、防静电、温湿度控制、电力供应、电磁防护）；
2）安全通信网络测评（网络架构、通信传输、可信验证）；
3）安全区域边界测评（边界防护、访问控制、入侵防范、恶意代码和垃圾邮件防范、安全审计、可信验证）；
4）安全计算环境测评（身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、可信验证、数据完整性、数据保密性、数据备份恢复、剩余信息保护、个人信息保护）；
5****中心测评（系统管理、审计管理、安全管理、集中管控）。
（2）管理测评
1）安全管理制度测评（安全策略、管理制度的制定和发布、评审和修订管理制度）；
2）安全管理机构测评（岗位设置、人员配备、授权和审批、沟通与**、审核和检查）；
3）安全管理人员测评（人员录用、人员离岗、安全意识教育和培训、外部人员访问管理）；
4）安全建设管理测评（定级和备案、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付、等级测评、服务供应商管理）；
5）安全运维管理测评（环境管理、资产管理、介质管理、设备维护管理、漏洞和风险管理、网络和系统安全管理、恶意代码防范管理、配置管理、密码管理、变更管理、备份与恢复管理、安全事件处置、应急预案管理、外包运维管理）。
（3）移动互联扩展测评
1）安全物理环境测评（无线接入点的物理位置）；
2）安全区域边界测评（边界防护、访问控制、入侵防范）；
3）安全计算环境测评（移动应用管控）；
4）安全建设管理测评（移动应用软件采购、移动应用软件开发）；
5）安全运维管理测评（配置管理）。
2. 验证测试
使用专业的安全分析工具（至少包含专业的主机网络安全分析、应用系统安全分析工具）对本系统进行漏洞扫描、渗透测试，对采用的工具、方法、过程进行记录，发现系统存在的安全问题，消除安全隐患。
实施要求：
（1）保密要求
为保障采购人利益，供应商不得在测评工作中获取非采购人提供以外的任何商业秘密、技术资料、客户信息等相关信息（以上统称“保密信息”）。供应商不得将采购人的保密信息透露给任何第三方，参与项目测评人员需要签订保密协议，供应商及测评人员应负有保密义务，否则供应商应承担相关违约责任。
（2）质量保证
为保证项目质量，供应商需在项目控制、项目监督、结果验证等方面严格按照国家相关标准要求执行；测评应严格按照GB/T 28448-2019 《信息安全技术网络安全等级保护测评要求》、GB/T 28449-2018 《信息安全技术网络安全等级保护测评过程指南》标准的要求实施，加强质量监督和复查，确保测评工作质量。
（3）实施要求
协助采购人进行网络安全事件应急处置机制建设工作和网络安全应急处置通报工作。在项目实施过程中，供应商应做好计划与安排，确保项目实施不影响系统的正常运行。
（4）人员要求
供应商作为采购人等级保护测评及安全技术咨询支撑单位，须组建不少于4人的****小组，针对等级测评发现的安全问题，为采购人提供整改技术咨询服务，为采购人整改工作提供技术指导。供应商须委派至少1名信息安全专家担任本****小组组长，在服务期内兼任采购人信息安全技术顾问，通过现场方式提供信息安全咨询、风险研判、整改技术指导服务。该专家须同时满足以下条件：持有初级及以上等级保护测评师资质、注册威胁响应工程师CISP-TRE（或原注册应急响应工程师CISP-IRE）、注册网络安全渗透评估专业人员（NSATP-A）证书，且具备不少于3年信息安全行业从业经历。供应商投标时须提供本项目团队人员近半年有效的社保缴纳证明、相关资质证书复印件，全部材料须加盖投标人公章。
（二）阻断型隔离控制工具（服务工具）
1、专用导轨式设备，单电源；标配5000兆固化接口；
2、整机吞吐量≥4Gbps，采用三系统架构；
3、支持攻击链分析功能，支持以一条攻击事件为线索，以源目的IP为条件，排查所有相关的攻击事件，进行攻击链还原，有效发现攻击者的所有攻击行为。
4、支持主要防护功能的统一化模版设置，模版分为高、中、低三个级别，分别对应不同的安全防护等级进行配置，包括入侵防护策略、病毒防护策略、协议控制策略、流量控制等，可通过Web界面进行安全等级切换及通过外置按键一键切换。（提供具有CNAS、CMA、ilac-MRA认证的权威检测机构出具的检测报告复印件并加盖投标人公章）
5、支持IPv4、6一体化安全策略配置，可以通过一条策略实现源地址/目的地址、源端口、源MAC/目的MAC、服务、时间调度、安全域、VLAN、用户/用户组、应用对象、URL对象、内容过滤、文件过滤、协议控制、病毒防护、入侵防护、威胁情报、SSL协议、数据防泄漏、审计、垃圾邮件过滤、邮件延迟审计、流量控制、流量异常检测、长连接等条件进行安全访问规则的设置。（提供具有CNAS、CMA、ilac-MRA认证的权威检测机构出具的检测报告复印件并加盖投标人公章）
6、支持抗地址欺骗攻击、抗源路由攻击、抗Smurf攻击、抗LAND攻击、抗Winnuke攻击、抗Queso扫描、抗SYN/FIN扫描、抗NULL扫描、抗圣诞树攻击、抗FIN扫描、抗Fraggle攻击、抗Teardrop攻击、Ping of death、抗Jolt2攻击、抗Targa3攻击、抗TCP Split Handshake攻击、抗记录路由攻击。（提供具有CNAS、CMA、ilac-MRA认证的权威检测机构出具的检测报告复印件并加盖投标人公章）
7、支持应急响应功能，支持自动响应和手动响应两种模式，可以对异常IP以及对应的异常事件进行一键处置。
8、为保障病毒防护能力，要求设备制造商参与《GB/T 35277-2017 信息安全技术 防病毒网关安全技术要求和测试评价方法》的起草；提供对应标准中含起草单位的关键页截图证明，并加盖厂商公章；
9、提供阻断型隔离控制工具，原厂授权文件并加盖公章。

展开