设备漏洞检测采购项目意向公开(第二次)(*****************)

设备漏洞检测采购项目意向公开（二次)

为便于供应商及时了解采购信息，现将设备漏洞检测项目采购意向公开如下：

项目名称：设备漏洞检测

项目概况及参数：

一、、技术要求

主要针对医疗设备的剩余信息保护、个人信息保护、固件安全等功能进行安全保密评判完成检测后需出具技术检测报告。

★*.检测原则：遵循国家信息安全相关标准及技术规范要求，不能对设备产生不可逆损坏或引入额外的安全风险。

★*.结果形式：相关设备产品安全性检测报告。检测报告包含检测内容中发现的安全漏洞、安全薄弱环节，并提供对应的解决方案、相应的检测指标项和整改建议。

★*.无线安全：主要包括：无线通信传输。具体评估在检查被测设备本身内部是否含有无线通信传输模块。

★*.数据安全：主要包括：*）系统数据、*）用户个人数据、*）本地数据备份与恢复功能等。具体评估设备系统数据泄露、非授权访问个人数据和数据备份等安全隐患。

★*.系统安全：主要包括：*）系统数据、*）用户个人数据、*）本地数据备份与恢复功能。具体通过渗透测试等方法评估服务端和客户端系统、软硬件补丁及其相关固件是否有明显可被利用的安全漏洞。

★*.安全查杀：安全查杀具体评估客户端运行环境、常规使用杀毒软件是否有已知的木马、病毒等恶意程序。

★*.管理安全：管理安全主要包括：*）用户标识、*）用户鉴别、*）口令策略、*）鉴别失败机制、*）权限分离、*）会话超时、*）可靠时间戳、*）管理制度规范、*）日常使用中的安全防范措施等。具体：检测被检设备应对所有登录终端的用户进行身份标识；检测被测设备应具备一定的用户鉴别能力，以保证操作前需用户认证；检测用户鉴别的口令应具有一定的复杂度要求；检测被检设备在多次鉴别失败时，应采取一定的措施避免连续的鉴别尝试；检测在管理被测设备涉及到重要数据和不同权限的操作时，应提供权限分离的功能，只有授权的用户角色才能执行相关操作；检测被检设备支持会话锁定功能；检测被检设备应支持接入可靠的时间源；检测被检设备安装、升级、使用和检修流程是否存在安全隐患。

★*.网络扫描：主要包括：*）通信协议安全和*）数据传输安全。具体评估被测设备应采用安全加密的通信协议和被测设备在数据传输全流程应具有完整性和保密性的安全措施。

★*.存储安全检测

★**.通信安全：通信安全主要包括：*）***端口扫描、*）***端口扫描，具体评估被检设备是否开放了可被利用的的网络端口、尝试进行未被许可的网络通信行为并提供测试报告。

★**.接入认证：接入认证的检测点包括：*）接入认证机制测试、*）物理接口标识安全测试、*)操作配置信息测试、*)配置信息文件权限能力测试和*)支持**/***地址绑定。明确需要保护的数据，具体：检测设备是否有进行管理的外部通信接口，应提供接入认证机制；检测设备应标识每一个物理接口，并说明其功能，不应预留未标识的物理接口；检测设备允许用户通过指定的应用和方式对系统配置信息进行备份和恢复，防范用户通过非指定方式操作配置信息；检测设备在设定配置信息文件权限，防范未经授权的下载、篡改、删除等操作；检测设备应支持**/***绑定功能。

★**.审计安全：主要包括*）包括审计日志生成、*）审计日志存储、*）审计日志要素、*）审计日志管理、*）审计日志导出。具体评估设备应能提供安全审计事件追溯能力。

★**.电磁安全检测：主要包括*）设备电磁安全检测、*）设备周边电磁检测。

★**.检测过程中，检测设备不能对被检设备（电脑）的软硬件造成损伤。

★**.检测过程中不能对被检设备植入任何病毒和其他插件等。

★**.不能泄露和导出被检设备（电脑）的数据。

★**.软件容错：软件容错具体评估数据有效性验证，检测被测设备针对人机应具有一定的输入限制，保证输入数据的有效性。

★**.漏洞扫描：针对漏扫设备和漏扫软件的检测。

★**.剩余信息保护：包括鉴别信息剩余保护、敏感信息剩余保护。

★**.抗拒绝服务攻击：包括**** *****攻击等。

注：*.供应商需具备涉密信息系统集成资质乙级（含）以上或武器装备科研生产单位二级（含）及以上的保密资质

*.本次公开的采购意向仅作为供应商了解初步采购安排的参考，采购项目具体情况以最终发布的采购公告和采购文件为准；

• 公示时间：自本公告发布之日起*个工作日
• 其他说明：

*.本项目处于意向公示阶段，技术要求、采购方式均为初步意向，可能不充分、不完善。现诚挚征求供应商的科学合理意见建议；

*.本次公开的采购意向对供应商提出的意见不做书面回复。所有产生的费用由潜在供应商自行解决。供应商须在公示期内将意见和建议反馈我单位，逾期不予接受。

• 意见反馈方式：

供应商须在公示期内按照下列递交要求将意见建议书反馈我单位，逾期不予接受。

（一）需提供以下加盖单位公章的扫描件*套；

1. 营业执照、税务登记证、组织机构代码证（或可以为三证合一的“统一社会信用代码”的营业执照）；
2. 法定代表人授权书（含法定代表人和被授权人身份证复印件）；
3. 供应商登记表：详见附件*

（二）提交方式：在公示期内，将上述材料（每页加盖公章）扫描制成一个***格式(文件命名：设备漏洞检测+公司名称），以附件形式将***文件发送至指定邮箱：***********@***.***。

• 联系方式：

联系人：王助理

联系电话：************ ***********

联系时间：*:*****:**；**:*****:**(北京时间）