丽水市中心医院信息安全服务采购项目的市场调研公告

丽水市中心医院因业务发展需要，需采购信息安全服务，现进行市场调研，欢迎有意向且符合资质要求的供应商前来参加。

项目名称

序号	项目名称	单位	数量
*	信息安全服务	套	*

项目需求

*.信息安全服务技术参数要求

序号	服务名称	服务内容	服务频次	服务输出
*	资产梳理	结合用户现有资产台账信息，提供深度资产梳理以及录入服务，资产全面发现包括目标范围内全部活动、端口、服务等，进行资产管理清晰掌握当前资产情况。梳理包括：“存活、设备厂商、操作系统、端口、应用、数据库、中间件、服务版本”等资产指纹特征。可查看资产的风险信息、变更记录、资产详情，同时可对资产的信息进行修改和删除操作。可根据**地址或域名进行资产探测任务下发，可指定端口号或全端口号探测。对新录入资产基本信息和配置信息，基本信息包括但不限于资产名称、资产类别、资产编号、使用人员等基本信息。配置信息包括但不限于操作系统、操作系统版本、软件、软件版本、物理位置等。	一年*次	服务器资产清单
*	渗透测试	渗透测试通过模拟黑客思维及行动模式，使用主流的攻击技术对我院指定的互联网应用进行模拟攻击测试,提前发现系统潜在的各种高危漏洞。检验当前防护体系健壮性。管理员可通过导引视图分步骤创建测试方案，包括但不限于方案基本信息、测试的目的、范围和要求、测试授权函上传、测评场景，并支持关联执行人员及设置任务起止时间。	一年*次	渗透测试报告
*	应急演练	通过提前制定应急演练预案，并协助医院开展预案演练，提高应对安全事件的处置能力，预防和减少安全事件造成的危害和损失。检测人员以攻击者视角对业务系统进行入侵模拟检查，录入的风险会汇总到平台风险列表中。演练过程中可以让业务管理员、检测人员可在风险列表里新增和同步录入风险；演练过程中可以查看本地风险以及关联资产情况，对未入库资产支持补充信息后加入资产库，已加入资产库的资产支持查看本次任务关联的风险。	一年*次	应急演练方案
*	应急响应	当发生外部黑客入侵、数据泄露、木马病毒等突发安全事件时，安全服务人员*小时内到达医院，能够协助院方快速止损，业务恢复，定位问题根源，最大化降低安全事件带来的影响。对上级主管部门下发的漏洞通报、其他通报下来的问题，协助整改。	一年不限次数	提供**小时电话支持服务，电话立即响应，小时内到达现场*
*	安全培训	针对全员提供安全意识培训，宣讲信息安全重要性。提升全员安全意识，营造安全氛围，助力安全政策落地，规模由院方组织，供应商提供安全培训服务。	每年*次	安全培训***
*	重保值守	在国家、省、市级重大活动或会议期间，为确保关键信息系统与网络稳定安全运行而提供的专项、高强度的网络安全保障服务，在重保期间，提供 ×*小时的持续监控和响应能力。	按需进行	值守报告
*	安全巡检	每月提供一次周期性的巡检，对网络安全设备资产逐一进行安全巡检，巡检的内容包括硬件安全设备、平台环境、系统的检查，结合等保.环境的要求，查看是否合规等内容。基于行为模型，识别流量风险资产，匹配弱口令账号、手机号、身份证号数据泄露，识别易被漏洞攻击的高危风险资产。	一年**次	巡检报告
*	安全威胁分析	通过对院方环境进行检测、分析等服务；综合数据源进行深度分析，提供安全团队尽量多的技术工具对安全事件进行识别，完成内网流量异常威胁状态识别，完成内网地址欺骗威胁状态识别，完成外网边界攻击威胁状态识别等，并协助用户进行安全通告。可通过监测中心可统一展现关联蜜罐告警事件、主机威胁事件、流量检测告警，事件及告警结果自动刷新。支持根据攻击行为自动研判，对攻击**进行自动分类并打上对应的攻击者标签。	一年*次
*	其他	一体化安全运营服务：是一项一体化资产安全运维服务，集成主机资产探测、漏洞扫描、边界威胁监测、内网与互联网威胁诱捕四大核心能力服务，通过统一管理界面实现安全运维任务配置与数据可视化，适用于医院级网络安全防护体系。具体包括资产自动发现梳理服务、无限制漏洞扫描服务、全流量分析服务、智能旁路阻断服务、敏感数据识别服务、内网侵入监测服务、互联网蜜罐仿真服务、集中监测服务。漏洞库漏洞信息大于****+条，集成+对内网资产进行自动漏洞验证与渗透，提供详细的漏洞描述和对应的解决方案描述。支持各类应用资产的弱口令扫描，可扫描的应用包括“、、、**、、*、、*、***、****、*、*、**”支持自定义字典，支持设置弱口令扫描白名单，可以指定某个某个应用不执行弱口令扫描。不需要设备串联、不需要配置策略路由，就能通过监测中心流量监测告警处，对单个*进行手工阻断。也可自动关联流量告警，根据智能研判标签，就会自动触发旁路阻断，包括但不限于非法外联拦截域名解析的（高风险）、外网恶意攻击（高风险）、利用成功（高风险）、暴力破解（高风险）、外网可疑访问（中风险）等标签，可灵活针对国内/国外进行灵活封禁，可灵活指定封禁时间间隔。可选择进行筛选显示全局或某个探针的数据，支持蜜罐、主机威胁与流量告警的关联分析，提升告警可信度。支持根据攻击行为自动研判，对攻击进行自动分类并打上对应的攻击者标签。无需在用户服务器上安装*，可通过*方式将诱捕能力发布到全内网各网段，实现在全内网中部署大量高交互病毒监测诱饵，无侵入式部署不影响用户业务运行，同时极大提高黑客攻击病毒监测诱饵的概率。支持至少种可自定义**和公司名称的仿真蜜罐，仿真蜜罐类型包括但不限于：“齐治堡垒机、启明堡垒机、深信服、泛微、通达、**、、***、论坛、订单管理系统”。可灵活指定对某个攻击源*地址发起威慑反制，比如灌输国家网络安全法、告知已获得相关溯源信息，发挥互联网攻击监测诱饵威慑作用，使攻击者放弃后续的攻击行为。	一项
**	年终报告	年度总结服务期内工作。	按服务内容要求	安全工作总结报告

*.资质及相关要求：

信息系统安全集成服务资质证书、信息系统安全运维服务资质证书；

为保障项目合规平稳落地交付，需组建一支稳定可靠、高效协同的服务团队，团队成员需具备与项目需求精准匹配的专业能力和要求：

中标单位需要在服务期内安排（或承诺安排）不少于**名专业技术人员的技术服务团队，包括高级信息系统项目管理师、**服务项目经理专职对接人员、中国信息安全测评中心注册信息安全专业人员（****）网络安全人员、****数据安全评估师、网络高级技术人员、****信息安全保障（渗透测试方向）技术人员、数据库工程师、信息安全保障渗透技术人员、存储高级技术人员、****数据安全治理专业技术人员等。

（*）.以上技术服务人员应具备计算机等相关专业或相关资格证书、运维服务工作所需专业能力和技术素养以及良好的服务意识。

（*）.技术服务团队的整体技术水平、沟通及协调能力需获业主单位认可，业主单位若不满意可随时要求更换团队。

三、请有意向的公司按以下要求制作投标资料（一正）

*.公司营业执照复印件

*.授权书

*.合理的建设方案

*.投标单位认为需要提供的其他材料（包括服务承诺和经营业绩以及相关证明材料等）

*.报价单

以上所有资料均须加盖公司红章，装订成册密封包装，包装袋上注明联系人信息。请有意向的公司于****年*月**日**：** 前将调研资料邮寄或送至丽水市中心医院采购中心。

四、考核办法

*.中标单位应按照国家相关安全规定及《浙江省信息技术服务外包安全管理规范》做好安全管理，提供有关采购清单、涉及产品的认证证书及服务承接相应能力资格证书。

*.中标单位在向采购人提供服务期间，因未能发现被通报时间的*个月前的已知漏洞和弱口令，导致医院被网信、公安、政数办、卫健等安全监管部门发现互联网侧资产的安全问题，从而被通报或收到告知书要求整改的，从第*次开始，根据严重程度调整，首次扣除合同金额的*%，再次通报扣除合同金额的*%，以此类推，直至达到合同总价的**%时终止合同，采购人有权终止合同执行，并不支付任何服务费。

*.中标单位未能按照招标文件、投标文件及合同的要求提供网络安全服务的，每次扣除合同金额的*%。当累计扣除金额到合同总价的**%时，采购人有权终止合同执行，并不支付任何服务费。

*.因采购人内部人员恶意或擅自更改了安全配置、未配合安装中标单位提供的安全防护工具、新业务上线未通知中标人等医院内部管理问题而造成被通报或收到告知书要求整改的，不做扣款。

*.扣款金额在应支付服务费中直接扣除；如扣款金额超过应支付服务费的，中标人应将差额部分支付给采购人。

五、公司相关资质要求参考

序号	资质因素	资质内容
*	供应商业绩	供应商自***年月日（以合同签订时间为准）至截止日止，承担过的类似项目业绩，每提供一个得.分，最高为分。 *注：、须将合同复印件（合同首页、服务内容页、服务金额、落款盖章页等关键页面）加盖供应商公章装入商务技术文件中。**
*	企业资质	、供应商具有******信息安全管理体系认证资质证书；、供应商具有*******信息技术服务管理体系认证资质证书； . 供应商具有*******质量管理体系认证资质证书；注：须提供相应资质证书及认证扫描件。
*	企业能力	. 供应商参与过市级及以上由当地网信、网安等部门组织的《网络护网演练》并获得过较好排名. .响应人具有国家信息安全漏洞库（****）技术支撑单位三级及以上。 . 供应商提供具有新型、高危漏洞发现、分析和挖掘能力，并且在“国家信息安全漏洞共享平台（***://.*..）”中提交过原创漏洞并且获得“原创漏洞证明”。 . 供应商自****年以来连续三年作为市级及以上网络与信息安全信息通报中心支持单位；注：须提供相应证明材料扫描件。
*	项目人员配备情况	项目负责人：同时具有**服务项目经理、信息技术应用创新服务经理、信息安全保障人员认证证书。注：提供有效期内的相关证书复印件及承诺为供应正式员工的承诺函（格式自拟）或其他证明（劳动合同或社保证明）装入商务技术文件。
*		项目技术负责人：具有信息系统项目管理师(高级)及信息技术高级工程师证书。注：提供有效期内的相关证书复印件及承诺为供应正式员工的承诺函（格式自拟）或其他证明（劳动合同或社保证明）装入商务技术文件，。
*		安全服务人员（除项目负责人及项目技术负责人外）：具有注册数据安全治理专业人员证书；，具有**数据安全评估师；具有信息安全保障人员（渗透测试方向）；具有注册数据安全治理专业人员；具有*信息安全保障人员（应急服务方向）；具有*信息安全保障人员（安全集成）；具有网络工程师（中级）；具有注册信息安全工程师（**）；注：提供有效期内的相关证书复印件及承诺为供应正式员工的承诺函（格式自拟）或其他证明（劳动合同或社保证明）装入商务技术文件。

六、其他说明

*.洽谈时间另行通知。

*.商务咨询：采购中心苏老师电话:************

技术咨询：信息中心王老师电话:************

邮编：******

联系地址：浙江省丽水市括苍路***号丽水市中心医院采购中心

****年*月**日

相关文章