一、项目概述

　　依据《中华人民共和国个人信息保护法》《中华人民共和国数据安全法》《关于组织开展网络数据安全风险评估和个人信息保护专项治理工作的通知》等法律法规要求，我院将采购数据安全风险评估服务，服务商应以包括服务过程中所涉及的有关项目的所有费用进行报价。项目限价：*万元。

　　二、技术和服务要求

　　为采购人的综合信息系统和公众版***系统提供数据安全风险评估服务，服务内容如下：

　　*.数据安全制度梳理服务 *.*数据安全管理制度

　　严格对标国家《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》《数据安全风险评估实施指引》《网络数据安全管理条例》等法律法规、行业监管规范及内部数字化运营管控要求，搭建覆盖顶层总则、流程细则、操作规范、责任划分、考核追责、落地支撑台账的完整、闭环、可落地执行的数据安全制度体系，成套输出标准化制度模板，完整覆盖内部数据运营全场景合规管控需求，包括：《数据安全管理制度》、《外包服务安全管理制度》、《个人信息保护管理制度》等。

　　*.*数据安全台账构建

　　本项目将结合医疗卫生机构数据安全管理实际需求，系统性构建数据安全台账配套制度样例，涵盖特权账号使用申请表、运维账号申请单、访问敏感数据审批单、数据对外提供审批表、数据安全培训签到表等核心台账表单，每类表单均设计涵盖申请人信息、申请事由、审批流程、使用记录及责任签字等完整字段，确保各类数据操作行为均有据可查、有章可循。在制度样例输出完成后，需进一步指导采购人结合自身组织架构与业务场景，对各类台账表单进行本地化定制与适配，明确台账填报责任部门、审批层级与存档规范，建立"申请—审批—使用—归档"全流程闭环管理机制，推动数据安全台账从"有制度"向"制度真正落地"转变，为后续监管检查与内部审计提供完整、合规的数据安全管理记录支撑。

　　*.***安全情况评估服务 *.*应用资产调研

　　需对采购人单位涉及个人信息收集、存储及应用处理的所有信息系统资产开展全面、细致的专项调研工作，调研范围覆盖采购人单位的个人信息收集存储的应用系统资产，包括***、小程序等应用的系统功能、网络安全等级保护备案和测评结论、入口地址、系统连接关系、数据接口、***及小程序名称和版本等。

　　*.*个人信息收集合规性评估

　　根据***、小程序等对个人信息数据的采集范围、采集目的、采集数据类型、采集频率等，评估数据采集是否遵循最小化、必要性原则，是否履行采集目的、方式、保存期限等告知义务，处理个人信息前是否取得个人同意。通过合法性、正当性、必要性完成对个人信息的处理行为进行合规性评估。

　　*.数据资产梳理服务 *.*数据资产采集

　　利用专业的数据安全评估工具对服务范围中的*个数据库的数据资产开展全面、自动化的数据资产采集工作，构建以业务系统为对象的数据资产台账，与此同时，在数据资产采集过程中，工具将同步对字段内容进行敏感数据识别，重点识别出姓名、身份证号码、手机号码、电子邮箱地址、住址信息、银行卡号等典型个人信息及敏感数据字段，最终输出包含数据资产清单、敏感数据分布图及重要个人信息识别结果的数据资产采集报告，为采购人后续开展数据分类分级保护、个人信息影响评估及合规整改工作提供准确、翔实的基础数据支撑。

　　*.*数据资产台账输出

　　根据扫描结果，结合人工梳理出数据资产底账形成数据资产清单和个人信息清单，包含数据资产类型、存储位置、数据记录数等信息，为采购人单位构建了完整的数据资产底账，进行风险评估服务的同时也帮助采购人梳理数据价值，为数据资产管理与保护提供数据支撑。

　　数据安全风险评估工具应具备数据库资产管理功能，支持对数据库资产的查看、新增、编辑、导入、删除功能。支持配置数据库资产的资产名称、数据库类型、**、端口、实例名、关联对象、用途、重要程度信息。（须提供承诺函，承诺所投产品满足以上功能并具备带有“****或***”标识的第三方检测机构出具的有效检测报告，承诺函格式自拟）

　　*.数据安全扫描服务

　　解析政策发文要求的评估指标项，制定符合标准的风险评估的指标项，通过预设的基础性评估、数据生命周期评估和技术能力等内容，利用数据安全评估工具对目标系统数据库进行弱口令、安全配置、数据库自身脆弱性等数据安全风险进行扫描，输出扫描报告。

　　数据安全评估工具应具备应用系统接口风险检查能力，至少包含敏感数据未脱敏、密码明文传输、弱口令风险。（须提供承诺函，承诺所投产品满足以上功能并具备带有“****或***”标识的第三方检测机构出具的有效检测报告，承诺函格式自拟）

　　*.数据安全风险评估服务 *.*.数据安全风险评估

　　根据数据安全风险评估指标项，对指定的*个系统进行人工评估。评估内容包括数据安全管理方面，如安全策略的制定和执行、安全组织的运作等；数据安全技术方面，如访问控制、加密技术、安全监测等；数据处理活动方面，如数据的收集、存储、使用、共享等环节的合规性；以及个人信息保护方面，如个人信息的收集授权、存储使用、安全保障等。

　　*.*.数据安全风险评估报告

　　评估完成后，为采购人提供网络数据安全风险评估报告，梳理出采购人存在的数据安全问题和风险点，并提出针对性地整改建议。同时，开展现场培训，提高采购人在评估过程中的沟通能力和问题应对能力。

　　*.现场支撑服务 *.*.现场调研值守

　　调研实施期间，安排专业技术服务人员现场值守，协助需求单位对接调研工作组相关问询工作，针对相关业务内容提供详实、规范的说明阐释，保障双方业务对接交流高效有序，减少信息传递偏差，保障各项调研工作平稳推进。

　　*.*.现场协调与支持

　　项目实地走访阶段安排专人协同需求单位开展现场统筹对接，按需梳理并提供配套资料、业务台账及相关佐证信息，协同调研工作组同步推进各项资料核验与综合研判事宜。全程同步归集现场沟通产生的各类事项，即时做好登记梳理与闭环处置，保障整体研判工作有序落地。（须提供承诺函，承诺在服务过程中服务人员应签署保密承诺函，并将对服务过程中涉及的材料进行保密，如因服务人员违反保密规定造成数据被窃取、泄露等安全事件，服务商应承担相应的法律责任，采购人保留解除合同权利）。

　　*.跟踪整改服务 *.*.文件材料编制服务

　　对接采购人需上报出具的工作情况汇总材料，依托专业团队梳理相关工作优化需求，协助采购单位拟定完整回应材料，清晰列明优化实施细则、时间节点及归口负责人，保障上报材料满足相关工作规范。

　　*.*.整改跟踪与辅导

　　针对工作情况汇总材料中明确的优化提升事项，定期跟踪采购人落地推进进度，全程提供专业技术辅导与配套支撑。对采购人实施推进过程中遇到的各类难点问题及时答疑、提供落地指导，确保采购人相关优化工作按期高标准落地执行，持续提升数据安全保障能力。

　　三、真实性要求

　　针对本项目所用服务工具进行真实确认核查。服务承接方在中选后*个工作日内需携带响应文件中承诺具备国家检验检测机构资质的机构出具的有效合格检验检测报告复印件（检测报告上须体现“***或****”标志）供采购人进行现场核查。如未能满足本项目要求，采购人有权追究其虚假应标相关法律责任。

　　四、服务商应具备的资格条件 

　　*.在中华人民共和国境内注册的具有独立承担民事责任能力的法人或其他经济实体。

　　*.具有相应的经营范围。

　　*.符合《中华人民共和国政府采购法》第二十二条的规定。

　　五、报价要求 

　　*.报价服务商须提供包括：法定代表人身份证明书；法定代表人授权委托书；报价函；营业执照；以上复印件均须加盖单位公章。

　　*.本次询价只允许有一个报价，多次报价的将不被接受。  　

　　*.报价服务商的报价为一次性报价，即在报价有效期内价格固定不变，其报价均包括产品运输、税费等交付采购人使用前所有可能发生的费用。 

　　*.报价书须密封在密封袋内，密封袋上应标注项目名称、封口处须加盖单位公章。未按要求密封的报价书将被拒绝接收。

　　六、材料提交要求

　　*.以上要求所需材料提交截止时间：****年*月*日**时**分，逾期不再接收。

　　*.提交地点：屏南县古峰镇长汾社区梨园路***号*#楼*层监察室。

　　*.联系人：张女士，联系电话: ************

　　七、确定成交服务商的原则和要求

　　我院采购小组将对所有报价服务商的提交材料进行评审。根据采购需求、质量和服务相等且报价最低的原则确定成交服务商。该服务商的报价即为该项目成交的合同价。

屏南县总医院（屏南县医院）

****年*月*日