关于2027年度渗透测试服务的市场调查公告

一、调查背景与目的

为检验我院互联网侧应用系统的安全防护水平，主动发现并消除潜在安全风险，我院拟于2027年度开展补充渗透测试服务。现面向社会公开开展市场调查，****医院场景渗透测试能力的服务方案与计费方案。****医院2027年度安全托管服务单位配合协调测试时间及业务影响控制事宜，该单位不参与本项服务。

二、调查范围与内容

（一）供应商资质与经验要求

1. 能够深刻理解医疗行业互联网应用系统的业务特点与安全要求，具备成熟的技术方案；我院互联网侧系统承载在线诊疗、预约挂号、报告查询等业务，须７×２４小时连续运行，测试活动不得影响业务连续性；

2. 具备完善的本地化服务能力与快速响应机制，能够长期**；

3. 提供技术服务团队架构、人员配置及人员资质情况（含单次测试可投入的人天数），以及测试方法与工具说明。

三、调研需求

1. 项目预算：本项目按次结算，不设年度总预算。单次服务固定保底总费用10000元（每次邀请2支队伍，单支队伍保底费用5000元），单次服务费用封顶25000元/次，具体以正式采购公告为准。

2. 服务内容：

（1）互联网侧模拟攻击服务。对医院互联网侧关键系统进行渗透测试，运用常见的黑客攻击技术进行模拟攻击，提前发现潜在的安全风险，并提供相应的加固方案；攻击手段不限。所有测****医院业务连续性的前提下进行；涉及压力测试、批量爆破、高并发扫描等可能影响业务可用性的测试手段，****医院书面同意，并在双方约定的时间窗口内执行。渗透测试的攻击深度为互联网应用系统，未经授权不得私自横向攻击医疗系统内部网络。

（2）交付物与成果有效性要求。交付《渗透测试报告及修复建议》。出具的报告中须包含至少一条从互联网入口到敏感数据或系统权限的完整攻击路径验证，涵盖每一步的请求/响应证据、利用条件与影响范围说明；仅有漏洞列表和扫描器截图，或未能交付完整攻击链验证的报告，均视为本次服务未达标；****医院完成整改与复测。

（3）漏洞有效性认定。成果报告中的漏洞利用过程须完整、可复现，并包含风险点位置、请求/响应截图、利用工具或视频等佐证材料，同时明确说明漏洞的利用条件、影响范围及修复或缓解措施，方可视为有效。通过多种漏洞组合利用获取权限或敏感数据的，按同一完整攻击链原则视为一个漏洞；同一应用系统内，弱口令类成果仅计算拥有管理员权限的一个，不重复计算；内网或专网资产的漏洞按50%折扣结算，同一类漏洞不重复计算（如交换机、路由器等数通设备的弱口令按类型仅计算一次，由医院运营团队酌情判断），测试期间应避免重复进行横向攻击；0day漏洞可单独协商价格，但不超过单次费用封顶的50%，总额亦受费用封顶限制；未经验证或未利用成功的漏洞扫描报告，以及缺少关键步骤和佐证材料的漏洞利用，均视为无效。

（4）测试深度与过程管控。单次服务投入的人工测试工时不少于10人天；服务方须提前签订互联网攻击测试授权书与网络安全承诺书，并在交付报告时附测试期间的工作日志或工时记录；服务方可在服务期间单独申请横向攻击内部网络的授权，经与业主及运营团队沟通并约定测试资产与时间范围后方可开展，内网攻击须全程开启录屏，确保在受控范围内进行测试；对报告中列出的每个严重、高危漏洞须提供可利用性验证证据（请求/响应记录、利用步骤、影响范围说明），仅有扫描器告警截图的不计入有效漏洞、不予计费；违规横向攻击的服务方视情节轻重予以警告、约谈、扣罚等措施（利用SSRF对内网系统进行攻击时，以不影响内网系统稳定性为前提的，原则上不视为违规）。

（5）服务质量与激励。服务方达到单次费用封顶后，若仍有大量有效漏洞提交，由业主及运营团队视情况对质量和数量排名前列的服务商给予1000—5000元的额外激励；对于大模型、人工智能类安全风险（非传统网络安全漏洞），如提示注入、模型侧信息泄露、不当输出处理、劫持等，经验证有效的，按严重等级结算；服务方在测试期间完整提交攻击视频、报告质量完整、整改配合到位的，列入下一年度补充测试邀请对象。

（6）其他服务要求。①漏洞定级争议仲裁：服务方对甲方认定的漏洞等级有异议的，可在收到定级反馈后2个工作日内提交书面申诉及补充证据，甲方在3个工作日内组织技术仲裁，可邀请其他参与的服务方或甲方指定的裁判人员参与仲裁。②漏洞可修复性建议：服务方提供的建议，尤其是针对多种漏洞组合的攻击链，应提供详细修复方案；仅提供“升级版本”“访问控制”“修改漏洞”等笼统字眼的，视为低质量报告。③工时记录：采取轻量化日志方式，以按日汇总为最小单位，日志应包含日期、起止时间、当日测试对象/IP、主要操作类型（信息收集/漏洞验证/攻击链构建/报告编写）、成果摘要；未产出成果但进行测试的资产也应记录范围，甲方对工时记录有异议的可进行追问。

3. 服务地点：****医院。

4. 服务期限：1年（2027年度），具体起止时间在采购后双方协商确定。

5. 服务组织方式：本项目按次组织，每次邀请2支队伍同时开展，单次测试周期为5个自然日，各队伍须在该时间窗口内完成测试、证据提交与报告初稿，超时提交的成果不予计费；测试时间可提前协商确定，由2027年度医院安全托管服务单位配合协调攻击时间及业务影响控制事宜。

6. 费用计算与结算规则：

①漏洞计件单价：严重1200元/个、高危800元/个、中危300元/个，低危漏洞不计费。

②未触发超额时：各队按漏洞计件单价结算，单队费用＝本队保底费用（满足条件）＋本队漏洞计件费；同一个漏洞，由先发现的团队获得对应费用。

③触发超额时（各队按漏洞计件单价计算的漏洞费合计＞15000元）：不再按单价逐队计件，改为将漏洞奖金15000元按各队伍漏洞系数总分占全体队伍漏洞系数总分的比例分配，单队本次费用＝本队保底费用（满足条件）＋本队分配所得奖金，单队封顶25000元，本次项目全体队伍费用合计不超过25000元。

④漏洞系数与计分：严重漏洞系数1.2、高危漏洞系数0.8、中危漏洞系数0.3，低危漏洞不计费、不计入系数总分；某队伍漏洞系数总分＝Σ（该队伍各类有效漏洞数量×对应系数）；同一攻击链内多个漏洞组合利用，仅按该攻击链最高等级漏洞计1个成果并取对应系数计分；同一应用系统内同一类弱口令仅计算拥有管理员权限的1个；内网/专网资产漏洞不再执行折扣结算，按相同系数计分，但须为已获授权范围内发现的有效漏洞；全体队伍漏洞系数总分＝Σ各队伍漏洞系数总分，触发奖金池分配时，某队伍奖金分配金额＝15000元×（该队伍漏洞系数总分÷全体队伍漏洞系数总分）。

⑤单次费用达到封顶后，服务方仍应按约定完成全部已发现漏洞的验证、报告交付及整改复测，不得因封顶而缩减测试深度、遗漏已验证漏洞的记录或降低交付标准。

四、供应商资质要求

1. 满足《****政府采购法》第二十二条规定；未被“信用中国”（www.****.cn）、中国政府采购网（www.****.cn）列入失信被执行人、重大税收违法案件当事人名单、政府采购严重违法失信行为记录名单。

2. 落实政府采购政策需满足的资格要求：本项目面向中小企业/小微企业采购，行业类别为软件和信息技术服务业；监狱企业、残疾人福利性单位视同小微企业。

3. 特定资格条件：

（1）具备承担互联网侧渗透测试服务的专业技术能力与稳定团队，能够独立完成信息收集、漏洞验证、攻击链构建、报告编制及整改复测配合；

（2）近三年（2023年11月1日以来****医院****医疗机构渗透测试服务业绩，可提供合同关键页复印件作为佐证；

（3）医院2027年度中标的安全托管服务商不得参与本项服务；

（4）本项目不接受联合体参加。

4. 供应商自2023年11月1日至本次调查响应截止时间前无行贿犯罪记录（以中国裁判文书网查询结果为准）。

5. 单位负责人为同一人或者存在直接控股、管理关系的不同供应商，不得参加同一合同项下的采购活动。为本项目提供整体设计、规范编制、项目管理、监理、检测等服务的供应商，不得再参加本项目的其他采购活动。

五、供应商须知

1. 需求沟通：****医院互联网侧应用系统，具体系统范围、测试时间窗口及业务影响控制要求，意向供应商可提前与信息科预约沟通确认。

2. 反馈文件：请于2026年11月4日前将以下材料发送至邮箱：****@pyhosp.com

（1）参加调查人员信息及联系方式；

（2）有效的营业执照副本（或法人证书）等扫描件（加盖单位公章）；

（3）被授权人身份证扫描件；

（4）针对本次调查的简要服务方案及报价测算（含团队人员配置与资质、单次可投入人天、测试方法与工具、报告模板样例、同类项目业绩）；

（5）服务承诺。

3. 现场调研：时间另行通知。

4. 联系方式：信息科 0577-****0045