我中心拟对OA系统进行信息安全等级保护测评，请各潜在供应商前来报名，预算价格5万元。现将相关事项公布如下，欢迎符合条件的供应商参与竞争。报名截止时间：2019年10月15日下午5点。

一、供应商应具备的资格条件：

1、具有独立承担民事责任的能力（营业执照复印件）；

2、具有良好的商业信誉和健全的财务会计制度(承诺函)；

3、具有履行合同所必须的设备和专业技术能力；

4、具有依法缴纳税收和社会保障资金的良好记录(承诺函)；

4、供应商及其现任法定代表人/主要负责人不得具有行贿犯罪记录(承诺函)；

5、参加本次采购活动前三年内，在经营活动中没有重大违法记录(承诺函)；

6、具有有效的国家网络安全等级保护工作协调小组颁发的“网络安全等级保护测评机构推荐证书”；

7、报价清单（此为一次报价，最终报价以现场二次报价为准）

8、法律、行政法规规定的其他条件；

9、相关业绩证明。

以上提供材料装订成册一式五份，需加盖鲜章。

报名供应商如提供虚假承诺或证明，一经发现，将取销其投标资格或中标资格。

二、评审

符合上述条件的供应商可以参与价格竞争，经绵阳市疾病预防控制中心评审，最后确定中标供应商。

三、报名联系方式

资料邮寄地址：绵阳市高新区绵兴东路50号后勤科516室张老师收，联系电话6037286，报名资料外包装袋上请注明报名供应商联系人电话号码，邮编：621000

咨询电话：黄老师  13980137855

附件1

项目技术、商务及其他要求

项目需求

按照《中华人民共和国网络安全法》要求“国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。”以及《信息安全等级保护管理办法》要求“信息系统建设完成后，运营、使用单位或者其主管部门应当选择符合本办法规定条件的测评机构，依据《信息系统安全等级保护测评要求》等技术标准，定期对信息系统安全等级状况开展等级测评。第三级信息系统应当每年至少进行一次等级测评”。

绵阳市疾病预防控制中心拟对中心OA系统进行信息安全等级保护测评，测评内容包括信息系统技术安全性测评及信息系统管理安全测评：

1．信息系统技术安全性测评包括但不限于：物理安全、网络安全、主机安全、应用安全、数据安全。

2．信息系统管理安全测评包括但不限于：安全管理机构、安全管理制度、人员安全管理、系统建设管理、系统运维管理。

测评对象及范围

本次等级保护测评系统包括：

序号	系统名称	安全保护等级
1	OA系统	二级

依据标准

[1]      《中华人民共和国网络安全法》

[2]      GB/T 22239-2008《信息安全技术 信息系统安全等级保护基本要求》

[3]      GB/T28448-2012《信息安全技术 信息系统安全等级保护测评要求》

[4]      GB/T28449-2012《信息系统安全等级保护测评过程指南》

[5]      《信息安全等级保护管理办法》公通字 2007 [43]号

资质要求

公司具有国家网络安全等级保护工作协调小组办公室颁发的网络安全等级保护测评机构推荐证书。

测评原则

客观性和公正性原则：

虽然测评工作不能完全摆脱个人主张或判断，但测评人员应当没有偏见，在最小主观判断情形下，按照测评双方相互认可的测评方案，基于明确定义的测评方式和解释，实施测评活动。

经济性和可重用性原则：

基于测评成本和工作复杂性考虑，鼓励测评工作重用以前的测评结果，包括商业安全产品测评结果和信息系统先前的安全测评结果。所有重用的结果，都应基于结果适用于目前的系统，并且能够反映出目前系统的安全状态基础之上。

可重复性和可再现性原则：

不论谁执行测评，依照同样的要求，使用同样的测评方式，对每个测评实施过程的重复执行应该得到同样的结果。可再现性和可重复性的区别在于，前者与不同测评者测评结果的一致性有关，后者与同一测评者测评结果的一致性有关。

结果完善性原则：

测评所产生的结果应当证明是良好的判断和对测评项的正确理解。测评过程和结果应当服从正确的测评方法以确保其满足了测评项的要求。

项目具体要求

对信息系统安全等级保护状况进行测试评估，应包括两个方面的内容：一是安全控制测评，主要测评信息安全等级保护要求的基本安全控制在信息系统中的实施配置情况；二是系统整体测评，主要测评分析信息系统的整体安全性。其中，安全控制测评是信息系统整体安全测评的基础。

对安全控制测评的描述，使用工作单元方式组织。工作单元分为安全技术测评和安全管理测评两大类。安全技术测评包括：物理安全、网络安全、主机系统安全、应用安全和数据安全等五个层面上的安全控制测评；安全管理测评包括：安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统运维管理等五个方面的安全控制测评。

系统整体测评涉及到信息系统的整体拓扑、局部结构，也关系到信息系统的具体安全功能实现和安全控制配置，与特定信息系统的实际情况紧密相关，内容复杂且充满系统个性。因此，全面地给出系统整体测评要求的完整内容、具体实施方法和明确的结果判定方法是很困难的。测评人员应根据特定信息系统的具体情况，结合本标准要求，确定系统整体测评的具体内容，在安全控制测评的基础上，重点考虑安全控制间、层面间以及区域间的相互关联关系，测评安全控制间、层面间和区域间是否存在安全功能上的增强、补充和削弱作用以及信息系统整体结构安全性、不同信息系统之间整体安全性等。

投标方根据国家对信息安全等级保护工作的相关法律和技术标准要求，结合本项目的系统保护等级开展实施与之相应的检查、访谈、测试工作。

测评要求

（1）物理安全

（2）网络安全

（3）主机安全

（4）应用安全

（5）数据安全与备份恢复

（6）安全管理机构

测评内容主要包括：安全管理机构设置、人员配备及职责、安全授权和审批、安全沟通和合作、安全审核和检查等。

（7）安全管理制度

测评内容主要包括：安全管理制度内容、制度的制定与发布、制度的评审和修订等。

（8）人员安全管理

测评内容主要包括：人员岗位管理、人员培训与考核、人员安全意识教育、外部人员访问管理等。

（9）系统建设管理

测评内容主要包括：安全设计管理、产品采购使用管理、自行软件开发管理、外包软件开发管理、安全工程实施管理、安全测试验收管理、安全系统交付管理、安全服务选择管理等。

（10）系统运维管理

测评内容主要包括：运行环境管理、资产管理、存储介质管理、设备管理、安全审计管理、入侵防范管理、网络安全管理、主机系统安全管理、用户授权管理、备份与恢复管理、恶意代码防范管理、安全事件处置管理、应急响应管理等。

（11）其他相关要求：

按照等级保护测评要求，测评过程中应配备必要的工具、仪器/设备对信息系统进行验证测试，采用的测评工具的生产商应为正规厂商，具有一定的研发和服务能力，能够对产品进行持续更新并提供质量和安全保障。

验证测试内容包括但不限于以下内：

1．验证安全策略正确性；保证用户登录窗体身份验证的安全性；非授权用户不能浏览到未授权内容；不存在跨站点脚本攻击漏洞；脚本不存在SQL、Cookie注入漏洞；安全的处理异常，没有出错页面泄露系统信息；应用和系统漏洞及其他，并提出整改建议。验证内容包括（但不限于）以下几个方面：

注入	失效的身份认证
敏感信息泄露	XML外部实体（XXE）
失效的访问控制	安全配置错误
跨站脚本（XSS）	不安全的反序列化
使用含有已知漏洞的组件	不足的日志记录和监控

2．性能测试

通过模拟手段对网络（包括丢包、时延、带宽等）、软件系统（包括负载、响应）、负载下硬件占用（包含CPU、内存）等进行全面的测评评估验证系统的可靠性、可用性，通过对测试结果的分析，给出相应的整改建议。

3．漏洞扫描

据相关标准、规范要求对我单位重要信息系统的安全漏洞进行测评。分析总结系统中存在的主要安全漏洞，指出系统中可能被利用的安全漏洞、系统配置错误等缺陷以及相应的安全加固意见、建议。

测评工作步骤

等级保护测评工作流程，受委托测评机构实施的等级测评工作活动及流程与运营、使用单位的自查活动及流程会有所差异，初次等级测评和再次等级测评的工作活动及流程也不完全相同，而且针对不同等级信息系统实施的等级测评工作活动及流程也不相同。受委托测评机构对信息系统的初次等级测评可以分为四项活动：测评准备活动、方案编制活动、现场测评活动、分析与报告编制活动。投标方应对等级保护测评各阶段具体工作内容进行描述。

1.准备活动阶段：对被测系统进行调研分析，明确测评对象、测评方法等工作。

2.方案编制阶段：制定信息安全等级保护测评项目计划书、测评实施方案，并提交委托方确认。

3.现场测评阶段：按照等级保护相关标准规范要求从访谈、检查、测试几方面进行测试评估并出具《整改意见》，并在整改过程中提供技术咨询服务。

4.分析与报告编制：向委托方提交被测信息系统安全等级保护测评报告以及相应文档。

实施要求

1．系统梳理

协助绵阳市疾病预防控制中心完成待测信息系统梳理工作，出具相应安全保护等级定级建议。

2．初测

对本项目所涉及信息系统进行现场测评，初次测评完成后提交初评的整改意见报告。

3．整改加固协助

协助绵阳市疾病预防控制中心对测评过程中发现的安全问题进行技术整改加固工作，并进行整改后的回归测评。

4．成果递交

整理测评结果，提交被测信息系统安全等级保护测评报告以及相应文档。

5．工期要求

项目计划工期为：5个工作日

项目管理与实施保障

对项目进行科学严格的管理，通过系统计划、有序组织、科学指导和有效控制，促进项目全面顺利实施，供应商必须提供完整的项目管理方案，并符合以下要求：

1．供应商及其测评人员应当严格执行有关国家信息安全等级保护相关标准和有关规定，提供客观、公平、公正、有效的等级保护测评服务，并承担相应的法律责任；

2．应具备能够保证其公正性、独立性的质量体系，确保测评活动不受任何可能影响测评结果的商业、财务、健康、环境等方面的压力；

3．供应商在对被测评单位开展等级保护测评服务之前需与被测评单位签订保密协议，测评过程中向被测评单位借阅的文档资料应在测评工作结束后全部归还被测评单位，未经被测评单位允许，不得擅自复制、保留；

4．供应商的岗位配置要至少配置测评技术员、项目经理（总测评工程师）、技术主管、质量主管、保密安全员和档案管理员，其中项目经理、技术主管、质量主管、保密安全员和档案管理员应独立配置，不能有兼任的情况；

5．测评人员要求

参与此次等级保护测评的供应商其测评人员应具备并符合以下要求：

（1）开展此次等级保护测评工作的人员仅限于中华人民共和国境内的中国公民，且无犯罪记录；

（2）开展此次等级保护测评工作的人员应由取得等级测评师证书（等级测评人员应由初级、中级和高级）的人员组成；

（3）开展此次等级保护测评工作的人员应具备从事信息系统安全测评相关工作三年以上工作经验，开展等级保护测评工作不少于一年，参与同类行业信息安全测评项目；

（4）针对软件、网络、安全等方面的测评技术人员除具有信息安全等级保护测评师证书以外，还应该持有相关技术资格证书；

（5）测评项目组人员在对开展等级保护测评工作之前需签订保密协议。

6．测评工具要求

（1） 采用的测评工具必须获得正版授权，并在有效期内，不得使用盗版软件；

（2）采用的测评工具在功能、性能等满足使用要求前提下，应优先采用具有国内自主知识产权的同类产品；

（3）采用的测评工具的生产商应为正规厂商，具有一定的研发和服务能力，能够对产品进行持续更新并提供质量和安全保障；

（4）测评机构所使用的测评工具不会对系统产生破坏或负面影响。

7．由于测评工作存在一定的风险，包括但不限于：数据丢失、配置参数丢失、网络中断、服务中断等隐患，供应商应当充分识别测评工作可能带来的风险并告知委托方，委托方应当就测评工作存在潜在风险采取必要措施进行确认后方可开展测评。

附件2

评分要求