各經(jīng)營企業(yè)：

我院擬對以下項(xiàng)目開展市場信息征集工作,，請有相關(guān)產(chǎn)品及信息且有合法合格資質(zhì)的供應(yīng)商前來參加。

一,、調(diào)研項(xiàng)目內(nèi)容

二,、調(diào)研資料要求

1,、具有獨(dú)立承擔(dān)民事責(zé)任的能力,；2,、具有良好的商業(yè)信譽(yù)和健全的財(cái)務(wù)會計(jì)制度,；3、具有履行合同所必須的設(shè)備和專業(yè)技術(shù)能力,；4,、具有依法繳納稅收和社會保障資金的良好記錄；5,、企業(yè)財(cái)務(wù)和經(jīng)營狀況良好,，具備履行合同能力，無不良記錄,，無違法違紀(jì)記錄,；6、具備類似經(jīng)驗(yàn)或業(yè)績及服務(wù)能力,，并具備相關(guān)證明材料,；7、法律,、行政法規(guī)規(guī)定的其他條件,。本項(xiàng)目不接受聯(lián)合體參與。

（一）各企業(yè)需提供以下資料

1,、報(bào)名需提供資格證明文件：

* ①供應(yīng)商有效的企業(yè)法人營業(yè)執(zhí)照副本,、稅務(wù)登記證、組織機(jī)構(gòu)代碼證副本復(fù)印件（若供應(yīng)商已辦理三證合一的,，則只需提供有效的三證合一證書）,；有效期內(nèi)安全生產(chǎn)許可證以及公司相關(guān)資質(zhì)證（例：工程類分包資質(zhì)等）;

*②經(jīng)辦人員身份證復(fù)印件；

*③法定代表人授權(quán)書（原件）,，法人身份證復(fù)印件,；

④相關(guān)證明材料；

⑤ 國家對該行業(yè)要求的其他相關(guān)資質(zhì),；

⑥廠家資質(zhì)（營業(yè)執(zhí)照,、稅務(wù)登記證、組織機(jī)構(gòu)代碼證）復(fù)印件（物資類）,；⑦廠家授權(quán)（經(jīng)銷商需提供）（物資類）;

*⑧報(bào)名企業(yè)征信報(bào)告（信用中國上自行打印簡版）;

*⑨企業(yè)無犯罪證明承諾書自我承諾（加蓋鮮章）;

⑩特殊行業(yè)提供相關(guān)人員復(fù)印操作證件（加蓋鮮章）;

⑪產(chǎn)品或服務(wù)近期其他醫(yī)院政府采購中標(biāo)價(jià)格（中標(biāo)通知書復(fù)印件）,。

*⑫測評公司須符合公安部第三研究所（認(rèn)證中心）發(fā)布的《網(wǎng)絡(luò)安全等級保護(hù)測評機(jī)構(gòu)服務(wù)認(rèn)證獲證機(jī)構(gòu)名錄》

（二）注意事項(xiàng)

1.以上資料均需加蓋單位公章,；

2.以上資料需裝訂成冊,、密封并加蓋單位騎縫章；

3.以上資料需調(diào)研當(dāng)天現(xiàn)場遞交,；

4.星標(biāo)條款為必須提供資料,。

（三）特別說明

本次公示的項(xiàng)目調(diào)研需求,，僅為醫(yī)院對市場同類項(xiàng)目的調(diào)研了解，請各參與企業(yè)準(zhǔn)備調(diào)研報(bào)告并講解,，介紹貨物情況及對應(yīng)單價(jià),，給與合理報(bào)價(jià)。

三,、報(bào)名方式和時間

報(bào)名時間：2025年2月24日——2025年2月28日

報(bào)名方式：郵箱報(bào)名（需注明項(xiàng)目名稱+公司名稱+聯(lián)系人+電話+郵箱）相關(guān)資料掃描發(fā)送以下郵箱：至[email protected]）

四,、市場調(diào)研時間

2025年3月6日下午15:40

五、市場調(diào)研地點(diǎn)

四川省雅安市雨城區(qū)安康路9號雅安市人民醫(yī)院門診三樓信息科

六,、其他

方案資料隨授權(quán)人帶到現(xiàn)場進(jìn)行拆封,。

聯(lián)系電話：0835-5963108

聯(lián)系人：周老師

雅安市人民醫(yī)院

2025年2月21日

附件

一、項(xiàng)目名稱：雅安市人民醫(yī)院2025年等級保護(hù)測評服務(wù)項(xiàng)目

二,、項(xiàng)目簡介：

本次所需測評系統(tǒng)共計(jì)八個,，具體如下：

三、資格條件：

1,、測評公司須符合公安部第三研究所（認(rèn)證中心）發(fā)布的《網(wǎng)絡(luò)安全等級保護(hù)測評機(jī)構(gòu)服務(wù)認(rèn)證獲證機(jī)構(gòu)名錄》

2,、本項(xiàng)目的特定資格要求：

（1）參加本次政府采購活動的供應(yīng)商單位及其現(xiàn)任法定代表人、主要負(fù)責(zé)人在前三年內(nèi)無行賄犯罪記錄,；

（2）具備網(wǎng)絡(luò)安全等級測評與檢測評估機(jī)構(gòu)服務(wù)認(rèn)證證書,；

四、技術(shù)服務(wù)要求：

技術(shù)服務(wù)要求：

一,、等保測評：

按照《中華人民共和國網(wǎng)絡(luò)安全法》和《信息安全等級保護(hù)管理辦法》等相關(guān)要求,，采購網(wǎng)絡(luò)安全等級保護(hù)測評服務(wù)供應(yīng)商，對我單位相關(guān)信息系統(tǒng)安全等級狀況開展等級測評工作,，并出具等級保護(hù)測評報(bào)告,。根據(jù)采購人的要求，提供網(wǎng)絡(luò)安全保障等配套服務(wù),。

（1）測評內(nèi)容包括技術(shù)和管理測評：

1．技術(shù)安全性測評包括但不限于：安全物理環(huán)境,、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界,、安全計(jì)算環(huán)境,、安全管理中心。

2．管理安全測評包括但不限于：安全管理制度,、安全管理機(jī)構(gòu),、安全管理人員、安全建設(shè)管理,、安全運(yùn)維管理,。

（2）測評對象及范圍

本次等級保護(hù)測評系統(tǒng)包括：

（3）依據(jù)標(biāo)準(zhǔn)

①《中華人民共和國網(wǎng)絡(luò)安全法》

②GB/T 22239-2019《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)基本要求》

③GB/T28448-2019《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)測評要求》

④GB/T28449-2018《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)測評過程指南》

⑤GB/T36627-2018《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護(hù)測試評估技術(shù)指南》

⑥《信息安全等級保護(hù)管理辦法》公通字[2007] 43號

⑦《網(wǎng)絡(luò)安全等級保護(hù)測評機(jī)構(gòu)管理辦法》公信安[2018] 765號

注：以上標(biāo)準(zhǔn)以最新標(biāo)準(zhǔn)為準(zhǔn)。

（4）測評原則

客觀性和公正性原則：

雖然測評工作不能完全擺脫個人主張或判斷,，但測評人員應(yīng)當(dāng)沒有偏見,，在最小主觀判斷情形下,，按照測評雙方相互認(rèn)可的測評方案，基于明確定義的測評方式和解釋,，實(shí)施測評活動,。

經(jīng)濟(jì)性和可重用性原則：

基于測評成本和工作復(fù)雜性考慮，鼓勵測評工作重用以前的測評結(jié)果,，包括商業(yè)安全產(chǎn)品測評結(jié)果和信息系統(tǒng)先前的安全測評結(jié)果,。所有重用的結(jié)果，都應(yīng)基于結(jié)果適用于目前的系統(tǒng),，并且能夠反映出目前系統(tǒng)的安全狀態(tài)基礎(chǔ)之上,。

可重復(fù)性和可再現(xiàn)性原則：

不論誰執(zhí)行測評，依照同樣的要求,，使用同樣的測評方式,，對每個測評實(shí)施過程的重復(fù)執(zhí)行應(yīng)該得到同樣的結(jié)果�,？稍佻F(xiàn)性和可重復(fù)性的區(qū)別在于,，前者與不同測評者測評結(jié)果的一致性有關(guān)，后者與同一測評者測評結(jié)果的一致性有關(guān),。

結(jié)果完善性原則：

測評所產(chǎn)生的結(jié)果應(yīng)當(dāng)證明是良好的判斷和對測評項(xiàng)的正確理解,。測評過程和結(jié)果應(yīng)當(dāng)服從正確的測評方法以確保其滿足了測評項(xiàng)的要求。

（5）項(xiàng)目具體要求

對信息系統(tǒng)安全等級保護(hù)狀況進(jìn)行測試評估,，應(yīng)包括兩個方面的內(nèi)容：一是安全控制測評,，主要測評信息安全等級保護(hù)要求的基本安全控制在信息系統(tǒng)中的實(shí)施配置情況；二是系統(tǒng)整體測評,，主要測評分析信息系統(tǒng)的整體安全性,。其中，安全控制測評是信息系統(tǒng)整體安全測評的基礎(chǔ),。

對安全控制測評的描述,，使用工作單元方式組織。工作單元分為安全技術(shù)和安全管理兩大類,。安全技術(shù)測評包括：安全物理環(huán)境,、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界,、安全計(jì)算環(huán)境,、安全管理中心五個方面；安全管理測評包括：安全管理制度,、安全管理機(jī)構(gòu),、安全管理人員、安全建設(shè)管理、安全運(yùn)維管理五個方面,。

系統(tǒng)整體測評涉及到信息系統(tǒng)的整體拓?fù)�,、局部結(jié)構(gòu),，也關(guān)系到信息系統(tǒng)的具體安全功能實(shí)現(xiàn)和安全控制配置,，與特定信息系統(tǒng)的實(shí)際情況緊密相關(guān)，內(nèi)容復(fù)雜且充滿系統(tǒng)個性,。因此,，全面地給出系統(tǒng)整體測評要求的完整內(nèi)容、具體實(shí)施方法和明確的結(jié)果判定方法是很困難的,。測評人員應(yīng)根據(jù)特定信息系統(tǒng)的具體情況,，結(jié)合本標(biāo)準(zhǔn)要求，確定系統(tǒng)整體測評的具體內(nèi)容,，在安全控制測評的基礎(chǔ)上,，重點(diǎn)考慮安全控制間、層面間以及區(qū)域間的相互關(guān)聯(lián)關(guān)系,，測評安全控制間,、層面間和區(qū)域間是否存在安全功能上的增強(qiáng)、補(bǔ)充和削弱作用以及信息系統(tǒng)整體結(jié)構(gòu)安全性,、不同信息系統(tǒng)之間整體安全性等,。

供應(yīng)商根據(jù)國家對信息安全等級保護(hù)工作的相關(guān)法律和技術(shù)標(biāo)準(zhǔn)要求，結(jié)合本項(xiàng)目的系統(tǒng)保護(hù)等級開展實(shí)施與之相應(yīng)的檢查,、訪談,、測試工作。

供應(yīng)商根據(jù)采購人具體要求,，提供安全咨詢等配套服務(wù),，包括但不限于：提供專項(xiàng)檢查服務(wù)，如模擬黑客可能使用的攻擊技術(shù)和漏洞發(fā)現(xiàn)技術(shù)對的業(yè)務(wù)應(yīng)用系統(tǒng)實(shí)施非破壞性的攻擊測試,，從而發(fā)現(xiàn)目前所存在的安全漏洞和可侵入點(diǎn),，出具詳細(xì)的滲透測試報(bào)告。為業(yè)主提供最新的信息安全資訊,，解讀國家網(wǎng)絡(luò)安全法規(guī),、安全標(biāo)準(zhǔn)體系、信息系統(tǒng)安全規(guī)劃及建設(shè),，產(chǎn)品采購選型等咨詢服務(wù),。

二、測評要求

（1）安全物理環(huán)境

（2）安全通信網(wǎng)絡(luò)

（3）安全區(qū)域邊界

（4）安全計(jì)算環(huán)境

（5）安全管理中心

（6）安全管理制度

（7）安全管理機(jī)構(gòu)

（8）安全管理人員

（9）安全建設(shè)管理

（10）安全運(yùn)維管理

（11）安全擴(kuò)展要求

按照所測評系統(tǒng)的具體情況選用云計(jì)算安全擴(kuò)展要求,、移動互聯(lián)安全擴(kuò)展要求、物聯(lián)網(wǎng)安全擴(kuò)展要求,、工業(yè)控制系統(tǒng)安全擴(kuò)展要求,。

（12）驗(yàn)證測試相關(guān)要求

按照等級保護(hù)測評要求，測評過程中應(yīng)配備必要的工具,、儀器/設(shè)備對信息系統(tǒng)進(jìn)行驗(yàn)證測試,，采用的測評工具的生產(chǎn)商應(yīng)為正規(guī)廠商，具有一定的研發(fā)和服務(wù)能力,，能夠?qū)Ξa(chǎn)品進(jìn)行持續(xù)更新并提供質(zhì)量和安全保障,。

驗(yàn)證測試內(nèi)容包括但不限于以下內(nèi)：

1.滲透測試

驗(yàn)證安全策略正確性；保證用戶登錄窗體身份驗(yàn)證的安全性,；非授權(quán)用戶不能瀏覽到未授權(quán)內(nèi)容,；不存在跨站點(diǎn)腳本攻擊漏洞；腳本不存在SQL,、Cookie注入漏洞；安全的處理異常,，沒有出錯頁面泄露系統(tǒng)信息,；應(yīng)用和系統(tǒng)漏洞及其他，并提出整改建議,。驗(yàn)證內(nèi)容包括（但不限于）以下幾個方面：

2．性能測試

通過模擬手段對網(wǎng)絡(luò)（包括丟包,、時延、帶寬等）,、軟件系統(tǒng)（包括負(fù)載,、響應(yīng)）,、負(fù)載下硬件占用（包含CPU、內(nèi)存）等進(jìn)行全面的測評評估驗(yàn)證系統(tǒng)的可靠性,、可用性,，通過對測試結(jié)果的分析，給出相應(yīng)的整改建議,。

3．漏洞掃描

據(jù)相關(guān)標(biāo)準(zhǔn),、規(guī)范要求對重要信息系統(tǒng)的安全漏洞進(jìn)行測評。分析總結(jié)系統(tǒng)中存在的主要安全漏洞,，指出系統(tǒng)中可能被利用的安全漏洞,、系統(tǒng)配置錯誤等缺陷以及相應(yīng)的安全加固意見、建議,。

三,、測評工作步驟

供應(yīng)商對信息系統(tǒng)的初次等級測評應(yīng)至少包含以下四項(xiàng)活動：測評準(zhǔn)備活動、方案編制活動,、現(xiàn)場測評活動,、分析與報(bào)告編制活動。供應(yīng)商應(yīng)對等級保護(hù)測評各階段具體工作內(nèi)容進(jìn)行描述,。

1.準(zhǔn)備活動階段：對被測系統(tǒng)進(jìn)行調(diào)研分析,，明確測評對象、測評方法等工作,。

2.方案編制階段：制定信息安全等級保護(hù)測評項(xiàng)目計(jì)劃書,、測評實(shí)施方案，并提交委托方確認(rèn),。

3.現(xiàn)場測評階段：按照等級保護(hù)相關(guān)標(biāo)準(zhǔn)規(guī)范要求從訪談,、檢查、測試幾方面進(jìn)行測試評估并出具《整改意見》,，并在整改過程中提供技術(shù)咨詢服務(wù),。

4.分析與報(bào)告編制：向委托方提交被測信息系統(tǒng)安全等級保護(hù)測評報(bào)告以及相應(yīng)文檔。

四,、實(shí)施要求

1．系統(tǒng)梳理

協(xié)助完成待測信息系統(tǒng)梳理工作,。

2．初測

對本項(xiàng)目所涉及信息系統(tǒng)進(jìn)行現(xiàn)場測評，初次測評完成后提交初評的整改意見報(bào)告,。

3．整改加固協(xié)助

協(xié)助對測評過程中發(fā)現(xiàn)的安全問題進(jìn)行技術(shù)整改加固工作,，并進(jìn)行整改后的回歸測評。

4．成果遞交

整理測評結(jié)果,，提交被測信息系統(tǒng)安全等級保護(hù)測評報(bào)告以及相應(yīng)滲透測試報(bào)告稿文檔,。

5．現(xiàn)場測評

測評人員必須來我院固定辦公地點(diǎn)進(jìn)行現(xiàn)場測評和技術(shù)測試，不能通過遠(yuǎn)程或者邀請第三方人員進(jìn)行技術(shù)實(shí)施從而完成本項(xiàng)目測評工作。

五,、項(xiàng)目管理與實(shí)施保障

對項(xiàng)目進(jìn)行科學(xué)嚴(yán)格的管理,，通過系統(tǒng)計(jì)劃、有序組織,、科學(xué)指導(dǎo)和有效控制,，促進(jìn)項(xiàng)目全面順利實(shí)施，供應(yīng)商必須提供完整的項(xiàng)目管理方案,，并符合以下要求：

1．供應(yīng)商及其測評人員應(yīng)當(dāng)嚴(yán)格執(zhí)行有關(guān)國家信息安全等級保護(hù)相關(guān)標(biāo)準(zhǔn)和有關(guān)規(guī)定,，提供客觀、公平,、公正,、有效的等級保護(hù)測評服務(wù)，并承擔(dān)相應(yīng)的法律責(zé)任,。

2．應(yīng)具備能夠保證其公正性,、獨(dú)立性的質(zhì)量體系，確保測評活動不受任何可能影響測評結(jié)果的商業(yè),、財(cái)務(wù),、健康、環(huán)境等方面的壓力,。

3．供應(yīng)商在對被測評單位開展等級保護(hù)測評服務(wù)之前需與被測評單位簽訂保密協(xié)議,，測評過程中向被測評單位借閱的文檔資料應(yīng)在測評工作結(jié)束后全部歸還被測評單位，未經(jīng)被測評單位允許,，不得擅自復(fù)制,、保留。

4．供應(yīng)商的崗位配置要至少配置總測評工程師,、技術(shù)負(fù)責(zé)人,、質(zhì)量負(fù)責(zé)人以及團(tuán)隊(duì)人員，其中總測評工程師,、技術(shù)負(fù)責(zé)人和質(zhì)量負(fù)責(zé)人應(yīng)獨(dú)立配置,，不能有兼任的情況。

5．測評人員要求

參與此次等級保護(hù)測評的供應(yīng)商其測評人員應(yīng)具備并符合以下要求：

（1）開展此次等級保護(hù)測評工作的人員僅限于中華人民共和國境內(nèi)的中國公民,，且無犯罪記錄,。

（2）開展此次等級保護(hù)測評工作的人員應(yīng)具備從事信息系統(tǒng)安全測評相關(guān)工作的經(jīng)驗(yàn)，包含但不限于：總測評工程師,、項(xiàng)目負(fù)責(zé)人,、質(zhì)量負(fù)責(zé)人、項(xiàng)目測評師等,。

（3）測評項(xiàng)目組人員在對開展等級保護(hù)測評工作之前需簽訂保密協(xié)議。

（4）測評人員人數(shù)必須大于等于4人。

6．測評工具要求

（1） 采用的測評工具必須獲得正版授權(quán),，并在有效期內(nèi),，不得使用盜版軟件。

（2）采用的測評工具在功能,、性能等滿足使用要求前提下,，應(yīng)優(yōu)先采用具有國內(nèi)自主知識產(chǎn)權(quán)的同類產(chǎn)品。

（3）采用的測評工具的生產(chǎn)商應(yīng)為正規(guī)廠商,，具有一定的研發(fā)和服務(wù)能力,，能夠?qū)Ξa(chǎn)品進(jìn)行持續(xù)更新并提供質(zhì)量和安全保障。

（4）測評機(jī)構(gòu)所使用的測評工具不會對系統(tǒng)產(chǎn)生破壞或負(fù)面影響,。

7．由于測評工作存在一定的風(fēng)險(xiǎn),，包括但不限于：數(shù)據(jù)丟失、配置參數(shù)丟失,、網(wǎng)絡(luò)中斷,、服務(wù)中斷等隱患，供應(yīng)商應(yīng)當(dāng)充分識別測評工作可能帶來的風(fēng)險(xiǎn)并告知委托方,，委托方應(yīng)當(dāng)就測評工作存在潛在風(fēng)險(xiǎn)采取必要措施進(jìn)行確認(rèn)后方可開展測評,。

六、網(wǎng)絡(luò)安全保障服務(wù)

1,、重要信息系統(tǒng)滲透測試服務(wù)：服務(wù)團(tuán)隊(duì)在服務(wù)期內(nèi)至少1次利用網(wǎng)絡(luò)安全測試工具,，對重要系統(tǒng)進(jìn)行非破壞性模擬黑客攻擊，入侵目標(biāo)系統(tǒng)過程和細(xì)節(jié),，以書面報(bào)告呈現(xiàn),，真實(shí)、深入地找出當(dāng)前信息安全問題和隱患,，提出《滲透測試服務(wù)報(bào)告》以及《風(fēng)險(xiǎn)評估報(bào)告》,，報(bào)告包含解決和處理方案。

2,、服務(wù)人員及時間要求：服務(wù)期內(nèi)提供不低于30天的服務(wù)時間,，提供的專業(yè)滲透測試工程師從業(yè)經(jīng)驗(yàn)不低于3年。

3,、支持自動測試評估,，填入目標(biāo)網(wǎng)絡(luò)地址即可進(jìn)行自動測試評估。

3.1支持目標(biāo)系統(tǒng)信息收集,，包括不限于：系統(tǒng)配置文件,、帳號密碼、截屏,、系統(tǒng)等信息,。

3.2支持弱口令猜解，能夠?qū)�AFP、MYSQL,、SMB,、SSH、WinRM,、DB2,、POP3、SNMP,、Telnet,、FTP、MSSQL,、Postgresql,、VNC等服務(wù)進(jìn)行暴力破解。

3.3支持漏洞利用攻擊的重放,，重現(xiàn)滲透過程,。