竞争性磋商文件

　　项目名称：大数据中心等保咨询和测评服务采购项目

　　采 购 人：：龙岩市大数据中心

　　采购包*：综合评分法

　　（*）投标文件满足招标文件全部实质性要求，且按照评审因素的量化指标评审得分（即评标总得分）最高的投标人为中标候选人。

　　（*）每个投标人的评标总得分**＝**×**＋**×**＋**×**＋**×**（若有），其中：**指价格项评审因素得分、**指技术项评审因素得分、**指商务项评审因素得分，**指价格项评审因素所占的权重、**指技术项评审因素所占的权重、**指商务项评审因素所占的权重，**+**+**=*、**×**＋**×**＋**×**=***分（满分时），**×**为加分项（即优先类节能产品、环境标志产品在采购活动中可享有的加分优惠）。

　　各项评审因素的设置如下：

　　价格项（**×**）满分为**.**分

　　**指价格项评审因素得分＝（评标基准价/投标报价）×***×价格项评审因素所占的权重（注：满足招标文件要求且投标价格最低的投标报价为评标基准价。）最低报价不是中标的唯一依据。因落实政府采购政策进行价格调整的，以调整后的价格计算评标基准价和投标报价。

　　技术项（**×**）满分为**.**分

　　商务项（**×**）满分为**.**分

　　加分项（**×**）

　　优先类节能产品、环境标志产品：无

　　（*）中标候选人排列规则顺序如下：

　　*.按照评标总得分（**）由高到低顺序排列。

　　*.评标总得分（**）相同的，按照评标价（即价格扣除后的投标报价）由低到高顺序排列。

　　*.评标总得分（**）且评标价（即价格扣除后的投标报价）相同的并列。

采购内容及要求

　　一、项目概况

　　为贯彻落实《网络安全法》、《网络安全等级保护条例》中对网络安全等级保护测评工作要求，拟对龙岩市大数据中心“龙岩市可信电子文件管理平台”、“政务外网视频图像信息交换平台”、“网上公共服务平台（*龙岩）”等*个信息系统开展等保测评与整改咨询工作，评估以上的应用是否合规、正确、有效，并通过测评发现其存在的安全隐患和风险，编制被测评系统的等保测评报告。

　　二、技术和服务要求

　　（一）、等保测评技术与服务要求

　　【技术评分项*】*.服务内容

　　完成龙岩市大数据中心“龙岩市可信电子文件管理平台”、“政务外网视频图像信息交换平台”、“网上公共服务平台（*龙岩）”等*个信息系统等保测评与咨询整改服务工作。

　　系统的详细名称、等级如下表所示。

　　*.网络安全等保咨询服务

　　【技术评分项*】*.*等保资产分析服务

　　根据等级保护范围内的资产组成，对服务范围内各个测评对象整理的网络结构拓扑以及相关联的资产，开展安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心以及安全管理制度进行调研和梳理，编制《信息系统等级保护基本情况调研表》。

　　【技术评分项*】*.*等保风险分析服务

　　根据等级保护基本要求，开展安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心的现状分析，对现有的安全资产进行全方位的风险评估，结合信息资产属性、威胁、脆弱性等基本要素，分析信息系统安全风险评估分析，编制《等级保护安全评估与整改建议报告》。

　　【技术评分项*】*.*等保差距评估服务

　　在安全评估和信息系统定级的基础上，根据《**/***********信息安全技术网络安全等级保护基本要求》将测评对象对应等级的等级保护的各项基本要求与信息安全现状进行比较分析。

　　*.*等保加固辅导服务

　　*.*.*根据等级保护基本要求以及风险和差距分析结果，对服务范围内信息系统的关键资产编制安全整改实施方案，实施方案中应包括加固风险分析及风险规避说明。派遣专业工程师到现场根据安全整改实施方案实施边界防护安全策略优化辅导、服务器病毒检查与清理，提供主机安全加固建议、数据库安全加固建议以及应用安全加固建议。

　　★*.*.*投标人为本项目测评投入使用的测评工具须同时具备以下功能：*.包含系统漏洞扫描、***应用漏洞扫描、数据库漏洞扫描、基线配置核查以及弱口令检测等安全检测能力，并支持无限制**数的授权；*.***应用漏洞扫描应支持主动与被动扫描，解决复杂逻辑业务系统的漏洞检测；*.产品应支持漏洞一键验证功能，便于漏洞验证；*.产品应支持渗透测试功能与检查工具联动；*.投标人需承诺提供的检查工具能够按投标人要求随时更新漏洞库。【报价文件中须以上功能截图证明，并于中标后签订合同时可提供演示功能复查】

　　*.*.*对于需要增加投资，部署新的信息安全产品和技术的整改措施，双方根据整改方案另行协商和实施。

　　【技术评分项*】（*）基于主机安全考虑，投标人投入使用的主机安全工具具备如下功能：*.具备安全基线扫描功能*.支持内核级的强制访问控制功能，支持基于敏感标记(安全等级)控制文件读写权限*.支持白名单功能，只有属于白名单的进程可以运行。*.支持基于***的识别技术的文件完整性检查功能。*.本次提供的安全加固工具支持服务器的非法外联管控。（以上功能须提供相关截图证明）

　　【技术评分项*】（*）投标人投入使用的主机安全工具所使用数据库为国产数据库，为保证兼容性需为工具厂商自研，提供所使用的的国产数据库具备有效的《中国国家信息安全产品认证证书》复印件证明。

　　【技术评分项*】（*）投标人投入使用的主机安全工具具有国家网络与信息系统安全产品质量监督检验中心颁发的《信息技术产品安全测试证书》，提供有效的证书复印件证明。

　　【技术评分项*】*.*等保制度建设服务

　　协助客户建设安全管理制度，为测评对象建立起信息安全策略、方针、各项安全管理制度、安全操作规范以及各类操作记录文档体系。提供涵盖等级保护基本要求所涉及的安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理*大类安全管理要求的方针、制度、各类记录表格模板，达到等级保护测评要求。提交《等级保护安全管理制度》。

　　【技术评分项*】*.*等保测评辅助服务

　　协助用户准备测评材料，指导用户单位配合测评机构开展等级测评工作，组织测评整改，并保障顺利通过等保测评获得测评报告。在测评阶段进行等级测评管理，展示本单位各定级对象测评情况，包括定级对象测评状态、测评报告及测评相关文档信息，辅助等级测评工作。

　　【技术评分项**】*.*等保台账管理服务

　　提供等保台账管理服务，服务过程中提供各个定级对象等保咨询服务涉及到的各个环节产生的资料归档，支持对单个定级对象的定级、备案、自评、测评、管理制度五大维度的单独归档文件管理。

　　*.*等级保护测评服务内容

　　根据信息系统的保护等级，并依据**/* **********《信息安全技术 网络安全等级保护基本要求》、《信息系统安全等级保护测评准则》等相关标准的条款要求，对信息系统的安全保护等级进行测评，测评的内容包括但不限于以下内容：

　　【技术评分项**】(*)安全技术测评：包括安全物理环境、安全通信网络、安全区域边界、安全计算环境和安全管理中心等五个方面的安全测评；

　　【技术评分项**】(*)安全管理测评：安全管理制度、安全管理机构、安全管理人员、安全建设管理和安全运维管理等五个方面的安全测评。

　　①安全物理环境

　　根据信息系统机房和现场安全测评记录，针对机房和现场在“物理位置选择”、“物理访问控制”、“防盗窃和防破坏”、“防雷击”、“防火”、“防水和防潮”、“防静电”、“温湿度控制”、“电力供应”和“电磁防护”等安全物理环境方面所采取的措施进行，判断出与其相对应的各测评项的测评结果。

　　②安全通信网络

　　根据信息系统安全通信网络现场测评记录，针对安全通讯网络方面在“网络结构”、“通信传输”、“可信验证”等安全通信网络方面所采取的措施进行检查，判断出与其相对应的各测评项的测评结果。

　　③安全区域边界

　　根据信息系统安全区域边界现场测评记录，针对安全区域边界方面在“边界防护”、“访问控制”、“入侵防范”、“恶意代码和垃圾邮件防范”、“安全审计”、“可信验证”等安全区域边界方面所采取的措施进行检查，判断出与其相对应的各测评项的测评结果。

　　④安全计算环境

　　根据信息系统安全计算环境现场测评记录，针对安全计算环境方面在“身份鉴别”、“访问控制”、“安全审计”、“入侵防范”、“恶意代码防范”、“可信验证”、“数据完整性”、“数据保密性”、“数据备份恢复”、“剩余信息保护”、“个人信息保护”等安全计算环境方面所采取的措施进行检查，判断出与其相对应的各测评项的测评结果。

　　⑤安全管理中心

　　安全管理中心现场测评包括“系统管理”、“审计管理”、“安全管理”、“集中管控”几个方面的测评。

　　⑥安全管理制度

　　根据现场安全测评记录，针对信息系统在安全管理制度方面的“安全策略”、“管理制度”、“制定和发布”以及“评审和修订”等测评指标，判断出与其相对应的各测评项的测评结果。

　　⑦安全管理机构

　　根据现场安全测评记录，针对信息系统在安全管理机构方面的“岗位设置”、“人员配备”、“授权和审批”、“沟通和合作”以及“审核和检查”等测评指标，判断出与其相对应的各测评项的测评结果。

　　⑧安全管理人员

　　根据现场安全测评记录，针对信息系统在人员安全管理方面的“人员录用”、“人员离岗”、“安全意识教育和培训”以及“外部人员访问管理”等测评指标，判断出与其相对应的各测评项的测评结果。

　　⑨安全建设管理

　　根据现场安全测评记录，针对信息系统在系统建设管理方面的“定级和备案”、“人员配备”、“安全方案设计”、“产品采购和使用”、“自行软件开发”、“外包软件开发”、“工程实施”、“测试验收”、“系统交付”、“等级测评”以及“安全服务商选择”等测评指标，判断出与其相对应的各测评项的测评结果。

　　⑩安全运维管理

　　根据现场安全测评记录，针对信息系统在系统运维管理方面的“环境管理”、“资产管理”、“介质管理”、“设备维护管理”、 “漏洞和风险管理”、“网络和系统安全管理”、“恶意代码防范管理”、“配置管理”、“密码管理”、“变更管理”、“备份与恢复管理”、“安全事件处置”、“应急预案管理”以及“外包运维管理”等测评指标，判断出与其相对应的各测评项的测评结果。

　　★(*)服务交付物

　　等级保护测评提交的文档至少包括如下文件：《网络安全等级保护测评报告》、《系统安全整改建议书》。

　　【技术评分项**】（二）、供应商公司要求

　　*.供应商在项目实施过程中应配合采购人的统一领导和协调，协助采购解决测评过程中可能发生的问题；

　　*.供应商应根据采购人工作需求、进度要求、实际情况制定详细的项目实施管理规范和项目实施计划，对项目目标、阶段性工作、项目组织机构、职责分工、项目进度、质量控制等内容进行详细的说明，以确保项目实施按时保质的完成；

　　【技术评分项**】（三）、安全原则

　　等保测评实施方案设计与具体实施应满足以下原则：

　　标准性原则：测评方案的设计与实施应依据国家等级保护的相关标准进行。

　　规范性原则：供应商的工作中的过程和文档，具有很好的规范性，可以便于项目的跟踪和控制。

　　可控性原则：测评服务的进度要跟上进度表的安排，保证谈判人对于测评工作的可控性。

　　整体性原则：测评的范围和内容应当整体全面，包括国家等级保护相关要求涉及的各个层面。

　　最小影响原则：测评工作应尽可能小的影响系统和网络，并在可控范围内；测评工作不能对现有信息系统的正常运行、业务的正常开展产生任何影响。供应商应严格依照上述原则和国家等级保护相关标准开展项目实施工作。

　　【技术评分项**】（四）、安全保密要求

　　*.供应商必须和采购人签订保密协议，在合同签订时一并提

　　供给采购人。

　　*.供应商对本规范书中的内容及在应标过程中接触的设备信息、数据资料等负有保密责任，不得泄露给任何第三方；无论供应商成交与否，其对上述内容的保密责任将长期存在。

　　三、商务条件

　　备注：上述“二、技术和服务要求、三、商务条件、要求均为重要要求，任一项不符合要求的，响应无效，视为未通过符合性审查。完全满足上述所有要求的，可提供承诺函，承诺函范本详见响应文件格式。

　　四、材料递交时间和地点

　　本项目自发布之日起，公示期为*个工作日，投标单位应于****年**月**日**:**前将报价文件、营业执照及其他必须提供的相关材料密封后邮寄（以收件时间为准）或送至龙岩市新罗区龙岩大道*号市行政办公中心***室。逾期视为无效报价。联系人:郑先生，联系电话：************，***********。