信息安全等級保護測評工作采購需求

信息安全等級保護測評工作采購需求一、項目概況根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》二十一條“國家實行網(wǎng)絡(luò)安全等級保護制度。網(wǎng)絡(luò)運營者應(yīng)當(dāng)按照網(wǎng)絡(luò)安全等級保護制度的要求，履行下列安全保護義務(wù)，保障網(wǎng)絡(luò)免受干擾、破壞或者未經(jīng)授權(quán)的訪問，防止網(wǎng)絡(luò)數(shù)據(jù)泄露或者被竊取、篡改”規(guī)定，為了落實國家網(wǎng)絡(luò)安全等級保護制度，履行網(wǎng)絡(luò)安全保護義務(wù)，廣西醫(yī)科大學(xué)附屬腫瘤醫(yī)院計劃采購一家有網(wǎng)絡(luò)安全等級測評與檢測評估機構(gòu)服務(wù)認(rèn)證證書資質(zhì)的機構(gòu)對相關(guān)等級保護對象開展等級測評工作，衡量等級保護對象是否達到相應(yīng)等級的安全保護能力。二、需求一覽表項號服務(wù)名稱數(shù)量單位技術(shù)參數(shù)及性能配置要求1網(wǎng)絡(luò)安全等級保護測評服務(wù)1項★1、總的要求依據(jù)《網(wǎng)絡(luò)安全等級保護基本要求》（GB/T22239-2019）對基礎(chǔ)醫(yī)療支持系統(tǒng)（HIS、LIS、PACS等）（三級）廣西醫(yī)科大學(xué)附屬腫瘤醫(yī)院互聯(lián)網(wǎng)醫(yī)院系統(tǒng)（三級）信息集成平臺與數(shù)據(jù)中心系統(tǒng)（三級）開展網(wǎng)絡(luò)安全等級保護測評工作，并對相應(yīng)信息系統(tǒng)分別出具網(wǎng)絡(luò)安全等級保護測評報告。2、標(biāo)準(zhǔn)依據(jù)《計算機信息系統(tǒng)安全保護等級劃分準(zhǔn)則》（GB17859-1999)《網(wǎng)絡(luò)安全等級保護基本要求》（GB/T22239-2019）《網(wǎng)絡(luò)安全等級保護測評要求》（GB/T28448-2019）《網(wǎng)絡(luò)安全等級保護測評過程指南》（GB/T28449-2018)《網(wǎng)絡(luò)安全等級保護設(shè)計技術(shù)要求》（GB/T25070-2019）《網(wǎng)絡(luò)安全等級保護測試評估技術(shù)指南》（GB/T36627-2018）★3、測評內(nèi)容（1）安全通用要求安全通用要求測評內(nèi)容應(yīng)包括安全技術(shù)和安全管理兩大類，其中技術(shù)類應(yīng)包括對安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計算環(huán)境、安全管理中心五個方面的測評，安全管理類測評應(yīng)包括對安全管理制度、安全管理機構(gòu)、安全管理人員、安全建設(shè)管理、安全運維管理五個方面的測評。安全擴展要求本項目涉及等級保護對象涉及測評標(biāo)準(zhǔn)安全擴展要求（云計算、移動互聯(lián)網(wǎng)、物聯(lián)網(wǎng)、大數(shù)據(jù)、工業(yè)控制）方面內(nèi)容的，投標(biāo)人應(yīng)該滿足對被測評系統(tǒng)兩個或以上網(wǎng)絡(luò)環(huán)境的測評，需根據(jù)實際情況選定適用的安全擴展要求測評內(nèi)容開展本項目測評工作。4、測評方法在測評實施過程中，應(yīng)采用訪談、檢查和測試、滲透測試等測評方法進行，并與國家相關(guān)規(guī)范及標(biāo)準(zhǔn)的要求相符。

訪談是指測評人員通過引導(dǎo)信息系統(tǒng)相關(guān)人員進行有目的的（有針對性的）交流以幫助測評人員理解、分析或取得證據(jù)的過程；

檢查是指測評人員通過對測評對象（如管理制度、操作記錄、安全配置等）進行觀察、查驗、分析以幫助測評人員理解、分析或取得證據(jù)的過程；測試是測評人員使用預(yù)定的方法/工具使測評對象產(chǎn)生特定的行為，通過查看和分析結(jié)果以幫助測評人員獲取證據(jù)的過程；滲透測試是模擬黑客的攻擊方法，對受保護對象的應(yīng)用系統(tǒng)、主機、網(wǎng)絡(luò)進行攻擊，從而驗證測評對象的弱點、技術(shù)缺陷或漏洞的一種評估方法。5、服務(wù)成果測評完成后，對相應(yīng)信息系統(tǒng)分別出具符合等保2.0相關(guān)技術(shù)標(biāo)準(zhǔn)要求、國家網(wǎng)絡(luò)安全等級保護管理部門規(guī)范要求且公安機關(guān)認(rèn)可的的網(wǎng)絡(luò)安全等級保護測評報告。商務(wù)要求表★投標(biāo)人資質(zhì)要求投標(biāo)人必須具備公安部第三研究所認(rèn)證發(fā)放的《網(wǎng)絡(luò)安全等級測評與檢測評估機構(gòu)服務(wù)認(rèn)證證書》；完成期限及服務(wù)地點：1、完成期限：2022年12月30日前出具相應(yīng)信息系統(tǒng)的網(wǎng)絡(luò)安全等級保護測評報告。2、服務(wù)地點：南寧市內(nèi)采購人指定地點。其他要求★1、投標(biāo)人提供的測評人員必須具有公安部信息安全等級保護評估中心（或中關(guān)村信息安全測評聯(lián)盟）頒發(fā)的《信息/網(wǎng)絡(luò)安全等級測評師證書》，項目組成至少包括五名測評師，分別為一名高級測評師、一名中級測評師和兩名初級測評師，一名質(zhì)量監(jiān)督人員；現(xiàn)場測評人員不少于四名測評師，至少包括一名高級測評師，一名中級測評師，兩名初級測評師。2、投標(biāo)人如在南寧設(shè)有常駐的機構(gòu)提供本地化服務(wù)，請?zhí)峁?/p>