阆中市中医医院信息系统等保测评服务询价采购文件
项目名称:阆中市中医医院信息系统等保测评服务项目询价采购项目(采购编号;阆中医院询2022004号)
采购单位:阆中市中医医院
项目控制价:12万元
根据等级保护测评的工作要求,我院拟对安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等方面服务以院内询价采购方式组织招标采购,一次性报价,欢迎合格的供应商(卖方)做出对采购人(买方)最为有利的投标报价文件,并将该文件密封好于2022年4月18日10点0 0分之前递送至阆中市中医医院采购办公室(联系电话0817-6270839),过期将拒绝接收。
一、采购需求
根据等级保护测评的工作要求,测评范围覆盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等方面。
(一) 具体服务内容包括:
(1)协助业主单位进行信息系统的信息安全等级定级和备案工作。
(2)差距测评,至少包括:
安全技术测评。包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等五个方面的安全测评。
安全管理测评。包括安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理等五个方面的安全测评。
形成问题汇总及整改意见报告。依据测评结果,对等级测评结果进行汇总统计;通过对信息系统基本安全保护状态的分析给出初步测评结论。根据测评结果制定《系统等级保护测评问题汇总及整改意见报告》,列出被测信息系统中存在的主要问题以及整改意见。
(3)协助完成整改工作。依据整改方案,为安全整改的各项工作提供技术咨询服务。
(4)等级测评,至少包括:
按照等级保护相关标准对系统从技术、管理等方面进行安全等级测评工作。
编制测评报告,制定并提交《系统信息安全等级测评报告》。
三级系统十类测评指标
分类 | 子类 | 基本要求 |
安全物理环境 | 物理位置选择 | a) 机房场地应选择在具有防震、防风和防雨等能力的建筑内; |
物理访问控制 | 机房出入口应配置电子门禁系统,控制、鉴别和记录进入的人员。 | |
防盗窃和防破坏 | a) 应将设备或主要部件进行固定,并设置明显的不易除去的标识; | |
防雷击 | a)应将各类机柜、设施和设备等通过接地系统安全接地。 | |
防火 | a) 机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火; | |
防水和防潮 | a) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透; | |
防静电 | a) 应采用防静电地板或地面并采用必要的接地防静电措施; | |
温湿度控制 | 应设置温湿度自动调节设施,使机房温湿度的变化在设备运行所允许的范围之内。 | |
电力供应 | a) 应在机房供电线路上配置稳压器和过电压防护设备; | |
电磁防护 | a) 电源线和通信线缆应隔离铺设,避免互相干扰; | |
安全通信网络 | 网络架构 | a) 应保证网络设备的业务处理能力满足业务高峰期需要; |
通信传输 | a) 应采用校验技术或密码技术保证通信过程中数据的完整性; | |
可信验证 | 可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证,应用程序的关键执行环节进行动态可信验证,在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心。 | |
安全区域边界 | 边界防护 | a) 应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信; |
访问控制 | a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则,默认情况下除允许通信外受控接口拒绝所有通信; | |
入侵防范 | a) 应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为; | |
恶意代码和垃圾邮件防范 | a) 应在关键网络节点处对恶意代码进行检测和清除,并维护恶意代码防护机制的升级和更新; | |
安全审计 | a) 应在网络边界、重要网络节点进行安全审计,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计; | |
可信验证 | 可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证,并在应用程序的关键执行环节进行动态可信验证,在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心。 | |
安全计算环境 | 身份鉴别 | a) 应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换; |
访问控制 | a) 应对登录的用户分配账户和权限; | |
安全审计 | a) 应启用安全审计功能,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计; | |
入侵防范 | a) 应遵循最小安装的原则,仅安装需要的组件和应用程序; | |
恶意代码防范 | 应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为,并将其有效阻断。 | |
可信验证 | 可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证, 并在应用程序的关键执行环节进行动态可信验证,在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心。 | |
数据完整性 | a) 应采用校验技术保证重要数据在传输过程中的完整性,包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等; | |
数据保密性 | a)应采用密码技术保证重要数据在传输过程中的保密性,包括但不限于鉴别数据、重要业务数据和重要个人信息等; | |
数据备份恢复 | a) 应提供重要数据的本地数据备份与恢复功能; | |
剩余信息保护 | a)应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除; | |
个人信息保护 | a) 应仅采集和保存业务必需的用户个人信息; | |
安全管理中心 | 系统管理 | a) 应对系统管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行系统管理操作,并对这些操作进行审计; |
审计管理 | a) 应对审计管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行安全审计操作,并对这些操作进行审计; | |
安全管理 | a)应对安全管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行安全管理操作,并对这些操作进行审计; | |
集中管控 | a)应划分出特定的管理区域,对分布在网络中的安全设备或安全组件进行管控; | |
安全管理制度 | 安全策略 | 应制定网络安全工作的总体方针和安全策略,阐明机构安全工作的总体目标、范围、原则和安全框架等。 |
管理制度 | a) 应对安全管理活动中的主要管理内容建立安全管理制度; | |
制定和发布 | a) 应指定或授权专门的部门或人员负责安全管理制度的制定; | |
评审和修订 | 应定期对安全管理制度的合理性和适用性进行论证和审定,对存在不足或需要改进的安全管理制度进行修订。 | |
安全管理机构 | 岗位设置 | a)应成立指导和管理网络安全工作的委员会或领导小组,其最高领导由单位主管领导担任或授权; |
人员配备 | a)应配备一定数量的系统管理员、审计管理员和安全管理员等; | |
授权和审批 | a)应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等; | |
沟通和合作 | a) 应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作与沟通,定期召开协调会议,共同协作处理网络安全问题; | |
审核和检查 | a) 应定期进行常规安全检查,检查内容包括系统日常运行、系统漏洞和数据备份等情况; | |
安全管理人员 | 人员录用 | a) 应指定或授权专门的部门或人员负责人员录用; |
人员离岗 | a)应及时终止离岗人员的所有访问权限,取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备; | |
安全意识教育和培训 | a)应对各类人员进行安全意识教育和岗位技能培训,并告知相关的安全责任和惩戒措施; | |
外部人员访问管理 | a) 应在外部人员物理访问受控区域前先提出书面申请,批准后由专人全程陪同,并登记备案; | |
安全建设管理 | 定级和备案 | a) 应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由; |
安全方案设计 | a)应根据安全保护等级选择基本安全措施,依据风险分析的结果补充和调整安全措施; | |
产品采购和使用 | a) 应确保网络安全产品采购和使用符合国家的有关规定; | |
自行软件开发 | a)应将开发环境与实际运行环境物理分开,测试数据和测试结果受到控制; | |
外包软件开发 | a) 应在软件交付前检测其中可能存在的恶意代码; | |
工程实施 | a) 应指定或授权专门的部门或人员负责工程实施过程的管理; | |
测试验收 | a) 应制订测试验收方案,并依据测试验收方案实施测试验收,形成测试验收报告; | |
系统交付 | a) 应制定交付清单,并根据交付清单对所交接的设备、软件和文档等进行清点; | |
等级测评 | a) 应定期进行等级测评,发现不符合相应等级保护标准要求的及时整改; | |
服务供应商选择 | a) 应确保服务供应商的选择符合国家的有关规定; | |
安全运维管理 | 环境管理 | a) 应指定专门的部门或人员负责机房安全,对机房出入进行管理,定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理; |
资产管理 | a) 应编制并保存与保护对象相关的资产清单,包括资产责任部门、重要程度和所处位置等内容; | |
介质管理 | a) 应将介质存放在安全的环境中,对各类介质进行控制和保护,实行存储环境专人管理,并根据存档介质的目录清单定期盘点; | |
设备维护管理 | a) 应对各种设备(包括备份和冗余设备)、线路等指定专门的部门或人员定期进行维护管理; | |
漏洞和风险管理 | a) 应采取必要的措施识别安全漏洞和隐患,对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补; | |
网络和系统安全管理 | a) 应划分不同的管理员角色进行网络和系统的运维管理,明确各个角色的责任和权限; | |
恶意代码防范管理 | a) 应提高所有用户的防恶意代码意识,对外来计算机或存储设备接入系统前进行恶意代码检查等; | |
配置管理 | a) 应记录和保存基本配置信息,包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和 补丁信息、各个设备或软件组件的配置参数等; | |
密码管理 | a) 应遵循密码相关国家标准和行业标准; | |
变更管理 | a)应明确变更需求,变更前根据变更需求制定变更方案,变更方案经过评审、审批后方可实施; | |
备份与恢复管理 | a) 应识别需要定期备份的重要业务信息、系统数据及软件系统等; | |
安全事件处置 | a) 应及时向安全管理部门报告所发现的安全弱点和可疑事件; | |
应急预案管理 | a)应规定统一的应急预案框架,包括启动预案的条件、应急组织构成、应急资源保障、事后教育和培训等内容; | |
外包运维管理 | a) 应确保外包运维服务商的选择符合国家的有关规定; |
(二)完成项目所需提交的文档清单
在本项目完成后,服务方须提供以下文档资料:
ü 《信息系统安全问题汇总及整改建议》
ü 《信息系统等保测评报告》及过程资料
(三)技术标准和规范
《中华人民共和国计算机信息系统安全保护条例》(国务院令147号)
《信息安全等级保护管理办法》
《计算机信息系统安全保护等级划分准则》(GB17859-1999)
《信息系统安全等级保护实施指南》(GB/T25058-2019)
《信息安全技术 网络安全等级保护定级指南》(GB/T22240-2020)
《网络安全等级保护基本要求》(GB/T22239-2019)
《网络安全等级保护测评要求》(GB/T28448-2019)
《信息系统安全等级保护测评过程指南》(GB/T28449-2018)
《信息安全风险评估规范》(GB/T20984-2007)
《信息安全技术 信息安全风险评估实施指南》(GB/T 31509-2015)
(四)安全要求
成交供应商在项目实施过程中,必须遵守以下技术原则:
1 保密原则:对测评的过程数据和结果数据严格保密,未经授权不得泄露给任何单位和个人,不得利用此数据进行任何侵害采购方的行为,否则采购方有权追究供应商的责任。
2 标准性原则:测评方案的设计与实施应依据国家等级保护的相关标准进行。
3 规范性原则:供应商的工作中的过程和文档,具有很好的规范性,可以便于项目的跟踪和控制,测评出具的报告须符合公安部颁布的《信息系统安全等级测评报告模板》。
4 可控性原则:等保测评服务的进度要按照招标文件 的要求,保证采购方对于测评工作的可控性。
5 整体性原则:等保测评服务的范围和内容应当整体全面,包括国家等级保护相关要求测评要求涉及的各个层面。
6安全性原则:等保测评服务工作应不得影响系统和网络的正常运行;测评工作不得对现有信息系统的正常运行、业务的正常开展产生任何影响。
7.测评机构资质及人员要求:
从事信息系统检测评估相关工作人员无违法记录。
工作人员仅限于中华人民共和国境内的中国公民,且无犯罪记录。
测评期间需遵守被测单位相关管理规定,禁止利用测评工作从事危害被测单位利益、安全的活动。
5、测评对象
序号 | 系统名称 | 等级 |
1 | HIS系统 | 三级 |
6、付款方式
签订合同后10个工作日支付60%的合同款项,出具整改建议10个工作日支付20%的合同款项,出具等保测评报告10个工作日支付20%的合同款项
7、评分细则
序号 | 评分因素 及权重 | 分 值 | 评分标准 | 说 明 | |
1 | 报价30% | 30分 | 1. 以本次有效的最低投标报价为基准价,投标报价得分=(基准价/投标报价)* 30分*100%(保留小数点后两位,第三位四舍五入)
| ||
2 | 服务5% | 投标人企业资质及服务支撑 | 5分 | 11.投标人通过ISO 9001质量体系认证,且认证范围包括“信息安全等级保护测试评估服务”得1分; 2.投标人通过ISO 27001信息安全管理系统认证,且认证范围包括“信息安全等级保护测试评估服务”得1分; 3.投标人通过ISO 14001环境管理体系认证,且认证范围包括“信息安全等级保护测试评估服务”得1分; 4.投标人通过OHSAS 18001职业健康安全管理系统认证,且认证范围包括“信息安全等级保护测试评估服务”得1分; 5.投标人具有AAA信用认证,得1分; | 资质或资格证书加盖投标人公章 |
3 | 履约能力39% | 39分 | 1.项目组负责人具有以下资格的: 1.1项目负责人具有信息安全等级测评师高级证书的得3分,其它不得分,此项最多得3分; 1.2项目负责人具有互联网安全评估师高级证书(CIISA)、信息安全工程师证书(软考类)、国际软件测试工程师(ISTQB)证书、商用密码应用安全性评估人员能力合格证书、注册云安全系统认证专家(CCSSP)证书的,每项得3分,最多得15分。 2.项目组除负责人外的其它测评人员具有以下资格的: 2.1现场测评经理同时具有等级保护测评师高级证书,涉密人员资格证和注册信息安全专业人员证书(CISP),得5分,其他不得分; 2.2其余测评人员具有IT服务工程师(ITSE)证书、互联网安全评估师证书(CIISA)、商用密码应用安全性评估人员能力合格证书、中国网络安全审查技术与认证中心(CISAW)证书,每项得4分(每项证书不能重复得分),没有的不得分,此项最多得16分;
| 提供相关人员证书证明材料和复印件,加盖投标人公章 | |
4 | 测评方案15% | 15分 | 1、安全技术测评:包括安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心五个方面; 2、安全管理测评:包括安全管理制度、安全管理机构、安全管理人员、安全系统建设和安全系统运维管理等五个方面; 以上共有十大测评项,全部满足得15分,缺少一项扣1.5分 | ||
5 | 业绩10% | 10分 | 投标人2019年-至今每具有一个业绩得1分,最多得10分,没有不得分。 | ||
6 | 投标文件的规范性1% | 1分 | 投标文件制作规范,技术方案没有细微偏差情形的得1分;有一项细微偏差扣0.5分,直至该项分值扣完为止。 | 共同评分因素 |
二、投标文件的构成
(注意:投标文件至少应包括以下几项,以A4纸为标准装订成册,否则将有导致投标文件被拒绝的风险)
1、投标报价表(【附件一】大小写一致并加盖鲜章)
2、营业执照复印件(加盖鲜章)
3、税务登记证副本复印件(三证合一无需提供)(加盖鲜章)
4、法人身份证明(加盖鲜章)
5、承诺书(【附件二】加盖鲜章)
三、供货与验收
卖方根据买卖双方签订的采购合同中规定的时间、地点、品种及数量等,按时送货上门,负责安装到位,调试合格。买方在卖方送货、安装、调试后对货物进行检查验收,验收合格后,买方签署验收意见。
地址:四川省阆中市张飞大道北段33号阆中市中医医院
联系电话:0817-6270837
联系人: 何金涛
邮 编: 637400