信息管理部****年网络安全关基检查专项加固项目

介绍会会议公告

一、项目需求

本项目严格依照****年度网络安全专项检查要求开展，依据《中华人民共和国网络安全法》《中华人民共和国数据安全法》《中华人民共和国个人信息保护法》相关规定，从网络安全、数据安全、个人信息保护、商用密码应用安全性评估等多个维度进行全面排查建设，旨在通过系统化安全保障服务，全方位提升我院的网络安全防御水平与专项检查迎检准备能力，保障我院顺利通过本次专项检查，并协助我院建立长效网络安全防护机制。

第一章 技术参数要求

*、差距分析及迎检检查咨询

（*）投标人需提供全过程差距分析及迎检专项咨询服务，服务范围贯穿前期自查、问题整改、资料梳理、现场迎检、问题答疑及后续复核整改全流程。

（*）服务商需针对本次市级网络安全专项检查所有核查条目、检查要点、评分标准及合规细则进行逐条拆解、专业解读，结合医院现有网络安全建设现状开展全面差距对标分析，精准识别制度、运维、技术、管理等各维度存在的合规缺口与潜在检查风险点。

（*）▲服务商需结合行业规范与检查标准，制定科学可行的风险规避及整改优化策略，通过标准化、规范化的管控手段，最大限度压降本次网络安全专项检查的合规风险、失分风险及整改风险。同时须派遣持有信息安全工程师证书的专项迎检技术人员提供全程配合服务，负责迎检资料梳理汇总、现场检查配合、专家问询答疑、问题即时解释、临时整改协同等全过程支撑工作，全方位保障医院顺利通过本次网络安全专项检查。

（*）交付物：《差距分析及迎检检查报告》

*、代码审计

通过人工和工具相结合的方式，对医院应用系统的源代码进行分析，发现开发过程中存在的源代码层面的安全缺陷，提供源代码审计报告和改进建议。

通过分析应用系统的源代码，熟悉业务系统，从应用系统结构方面检查其各模块和功能之间的关联、权限验证等内容，从安全性方面检查其脆弱性和缺陷；利用一定的编程规范和标准，针对应用程序源代码，从结构、脆弱性以及缺陷等方面进行审查，以发现当前应用程序中存在的安全缺陷以及代码的规范性缺陷；并出具审计报告，报告包含审计结论及安全建议。

（*）支持语言：代码审计服务应涵盖多种应用程序的类型， *、*++、*#、****、***、***、******等主流编程语言开发的软件源代码的检测并可支持*/*、*/*、移动端等各类应用程序。

（*）支持服务器、第三方组件：支持不同的***、文件、**服务器以及各类第三方附件、开发库，有着各不相同的架构和技术特点和独特的潜在安全风险。

（*）支持系统架构、模块、安全措施：熟悉和研究整个系统的架构、模块划分，以及当前已有的安全措施，指导具体的代码审计工作。

（*）支持代码、逻辑、数据流“最终落地到对目标系统的代码的自动扫描和人工阅读，从中获得系统的逻辑流和数据流信息，以识别潜在的安全漏洞。

（*）代码审计应遵从***、*****、*** **、***/**** 、**** */*++/****安全编程标准等国际主流标准与规范。

（*）代码审计应遵循****安全编码标准 (*/*++/****/*******)。

（*）代码审计服务应采用工具+人工审计的方式，应着重于业务逻辑、复杂数据流、敏感数据及功能模块的安全审查，弥补自动化扫描的缺陷。人工审计结果的报告格式和自动化审计相同，都包含问题类型、代码路径、方法名、行号、控制流、数据流，以及问题根本原因、解决方法等信息。

（*）▲投标人需提供详细说明代码审计的检查内容及检查清单。

（*）交付物：《代码审计报告》

*、个人信息安全影响评估

严格依据卫健委****年本市卫生健康行业网络安全专项检查相关通知要求，结合《个人信息保护法》相关规范标准，开展个人信息安全影响评估相关工作并合规输出对应评估报告，具体技术及服务要求如下：

（*）合规评估工作开展要求：服务商需对照卫健委专项检查通知及《个人信息保护法》相关规定，全面开展医院个人信息安全影响评估工作，全面核查院内个人信息处理活动的合规性，精准排查梳理个人信息处理环节存在的各类安全风险，完成全流程合规评估工作。

（*）多维度评估核查要求：服务商需采用多元化评估方式开展专项评估工作，通过数据映射梳理、多维度合规差距分析、安全技术测试、个人权益影响评估等方式完成风险核查。其中安全技术测试需包含渗透测试、漏洞扫描、数据流向监测等核心测试内容，全方位核查个人信息处理全流程安全状况。

（*）风险研判与优化建议要求：服务商需结合各项核查、测试、分析结果，精准判定各类个人信息安全风险的风险等级，针对排查出的合规问题、安全风险逐一梳理，对应提出切实可行的整改优化、安全完善改进建议，助力补齐个人信息安全管理短板。

（*）评估成果输出要求：服务商需整合全部评估过程数据、核查结果、风险等级判定及整改建议，按照行业规范及检查标准，编制并正式出具合规完整、内容规范的《个人信息保护影响评估报告》，满足卫健行业网络安全专项检查合规验收要求。

（*）交付物：《个人信息保护影响评估报告》。

*、个人信息保护合规检测

对小程序个人信息安全风险开展专项合规检测工作，全面排查个人信息处理全流程安全与合规问题，实现应用合规自查整改，具体技术及服务要求如下：

（*）全流程信息处理环节检测：针对个人信息现存各类安全问题，对小程序个人信息收集、存储、使用、共享、转让、公开披露等全流程信息处理环节的相关行为开展专项检测，排查应用存在的个人信息非法收集、滥用、泄漏等违规乱象。

（*）应用合规深度检测：需开展小程序全方位深度合规检测，检测范围包含应用隐私政策合规性、产品功能整体设置合规性、用户账户注销管理规范性、用户权利响应机制完整性。同时核查个人信息处理所使用的各类技术模块，涵盖***、***、******等，核查摄像头、存储读写、麦克风、位置、系统日志等重要系统权限的调用行为是否符合合规要求。

（*）风险排查与合规自查服务要求：通过全方位合规检测，精准排查应用存在的各类潜在安全风险与不合规问题，聚焦***及小程序隐私违规、过度收集信息、信息滥用等违规行为，为单位提供高效、低成本的应用合规自查支撑能力，助力完成***及小程序个人信息合规自查工作。

（*）交付物：《个人信息保护合规检测报告》

*、数据安全风险评估

根据《数据安全法》要求结合《数据安全技术 数据安全风险评估方法》对用户关键系统开展数据安全风险评估，对数据资产进行分析，识别风险源评估数据资产面临的风险，并提供整改建议，最终交付《数据安全风险评估报告》。

数据安全风险评估主要包括信息调研、 风险识别、 风险分析与评价等， 数据安全风险评估的主要内容包括：

（*）信息调研

对可能影响数据安全风险的要素的情况调研，包括数据处理者、业务和信息系统、数据资产、数据处理活动、数据安全防护措施。掌握数据处理者、业务和信息系统基本情况，梳理涉及的数据资产和数据处理活动了解采取的数据安全防护措施情况，掌握被评估对象或同行业相关数据安全事件历史发生情况。

（*）风险识别

基于信息调研情况，从数据安全管理、数据处理活动安全、数据安全技术、 个人信息保护等方面进行数据安全风险识别，识别评估对象现有安全措施完备性并对其有效性进行验证，识别可能存在的风险源。

（*）风险分析与评价

通过分析风险类型、风险危害程度和可能性，评价风险等级。

*) 数据安全风险分析，包括数据安全风险归类、风险危害程度分析、风险发生可能性分析。

*) 风险归类分析，结合风险源可能引发的风险类型，对风险源进行归类。

*) 风险危害程度分析，从数据价值、数据重要性、风险源危害程度等方面，综合评价风险可能对国家安全、公共利益或者个人、组织合法权益造成的危害程度。

*) 风险发生可能性，从风险源发生频率、安全措施有效性和完备性、风险源关联性等方面，综合评价风险发生的可能性。

*) 风险评价过程，根据风险危害程度和风险发生可能性评价数据安全风险，得到数据安全风险级别，梳理形成数据安全风险清单。

*）报告输出，针对分析出的没想风险给出风险评价与等级，针对发现的数据安全问题与风险给出管理、技术等方面的问题整改与风险处置建议。

（*）交付物：《数据安全风险评估报告》

*、专项风险评估报告

针对医院核心系统每年开展一次风险评估，提供满足市网安和卫健委检查标准的防病毒检查、两高一弱检查、业务连续性评估服务。

▲为保证服务能力，供应商应具备中国网络安全审查认证和市场监管大数据中心（原中国网络安全审查技术与认证中心）颁发有效期内的信息安全风险评估资质认证证书。

▲为保证服务质量，供应商派遣的评估工程师需具备数据安全官证书资质证书。

交付物：满足市网安和卫健委检查标准的《网络安全风险评估报告》。

*、管理制度优化

（*）根据检查要求完善现有供应链管理制度，并优化供应链准入、考核、背景调查规范材料；

（*）完善大屏管理制度，建立大屏分类制度，并根据大屏控制方式建立不同规程，同时完善大屏安全评估模板；

（*）业务连续性管理，根据上级要求加强供应链管理以及评估，完善供应链评估报告模板；

（*）年度安全检查制度优化，建立年度检查制度并编制年度安全检查报告。

（*）交付物：《年度安全检查报告》

*、数据分类分级服务

参照《数据安全技术 数据分类分级规则**/* **********》、《卫生健康数据分类分级要求****/* ****—****》并结合单位实际业务场景，开展数据分类分级体系建设、数据资产梳理及合规管理建设工作，并配套提供专业工具软件，具体技术要求如下：

数据分类分级制度策略建设：服务商需严格参考《数据安全技术 数据分类分级规则**/* **********》、《卫生健康数据分类分级要求****/* ****—****》规范要求，结合单位实际业务开展情况，协助建立适配本单位的数据分类分级管理制度及配套管理策略，保障数据分类分级工作规范化、常态化落地运行。

数据资产梳理分析与清单建设：对单位现有数据资产进行全面梳理、核查与分析，全面摸清数据资产底数，厘清完整、准确的数据资产清单，为后续数据分类分级管理、数据安全防护工作提供基础支撑。

数据架构建设与标准化管理：通过标准化的数据分类、分级管控机制，协助单位搭建统一、准确、完善的数据整体架构，实现单位数据资产集中化、专业化、标准化管理，全面提升数据治理能力，保障单位数据整体安全性与合规性。

配套工具软件要求：服务商需配套提供数据分类分级采集与分析工具软件，支撑数据资产梳理、分类分级识别、数据分析及常态化合规管理工作落地实施。

交付物：《数据分类分级报告》

*、终端安全管理系统

终端安全管理系统，院内终端数****+，现有授权***个，新增***个授权，系统具备远程协助、日志审计、移动存储管理、外设管理、补丁管理、运维管理、水印管理、软件分发、系统盘还原保护、安全检测等功能，支持对于*******终端、安卓终端、信创终端的同平台管理，信创屏幕录像。具体系统参数如下：

**、电子屏安全管理服务

根据电子屏安全管理标准依托安全管理平台，为电子屏提供实时安全监测、定期现场巡检、应急重保、风险预警及电子屏安全管理制度编制修订等全链条服务，实现统一纳管院内各类联网电子屏内容安全验证、电子屏网络攻击、非法篡改、信息误发等各类场景的安全管控；实现“一键关屏”“一键锁屏”应急管控功能措施，实现对关键区域、重要部位电子屏的“秒级管控”，包含***个电子屏授权。本次服务周期为*年，电子屏安全管理工具参数如下：

可信程序监控：产品应支持自定义可信程序白名单，抵御各类恶意程序的篡改与侵扰。

一键安全加固：产品应支持*******电子屏一键安全加固，安全防护措施至少包括开启防火墙、禁用控制台、关闭高危端口、禁用屏幕边缘触控。

多角色审核：产品应支持“编辑*审核*发布”三角色全流程角色管控机制。

▲异常告警与处置：产品应具备实时监控能力，检测到内容篡改或校验失败时，触发秒级告警（短信/站内信），并自动执行一键关屏/锁屏操作。

双向加密传输：产品需采用国密加密算法，支持端到端加密，确保数据传输安全。

内容安全验证：产品支持的多媒体文件内容安全验证至少包含视频、音频、图片、文本等，防止文件篡改风险。

▲内容合规审核：产品应符合国家相关法律法规合规性要求支持文本、图片、视频等文件内容进行自动化敏感信息识别与合规性筛查。

延时播放策略：产品应支持自定义延时播放规则（至少覆盖****秒可调），确保内容在安全时间窗内完成二次校验。

此次会议为项目的方案介绍沟通会议，后期会进行公开招标。

二、项目预算

限价***.*万元

三、报名材料

*、提供项目的报价及详细方案

*、提供企业法人营业执照复印件

*、提供法人授权委托书原件及企业法人、代理人（当天参会人员）身份证复印件

*、提供项目相关资格证明

*、提供相关业绩（上海单位、医疗行业优先）

四、报名要求

*、介绍当天准备报名材料纸质版至少*份，均需加盖公章。

*、报名材料按照要求顺序准备，并扫成***格式备档。

五、介绍会议

时间：****年*月**日 上午**：**

地点：上海市金山区漕廊公路****号库房二楼会议室

六、供应商报名

*、报名：有意参加的供应商将报名信息以邮件形式发送到*******@******.***，邮件标题以项目名称+公司名称，内容格式如下（无需附件，直接填写发送）：

①.供应商名称：

②.项目名称：

③.联系人：

④.联系电话：

未按照要求填写视为报名无效。

*、报名时间：****年*月**日至****年*月**日，

*、联系人方式：

报名咨询： 俞老师

电话： *****************

地址： 上海市金山区漕廊公路****号采购部

项目内容咨询：王老师，李老师

电话： *****************

地址： 上海市金山区漕廊公路****号信息管理部

联系时间：工作日**:******:**

****年*月**日