标讯订阅网
标讯订阅网
我院拟对乐至县人民医院信息系统三级等保测评项目进行公开招标，诚邀具备合格资质、满足以下设备技术需求、售后服务能力、三年内无违法违纪记录的供应商前来参与。
一、项目名称：乐至县人民医院信息系统三级等保测评服务采购项目
项目编号：LRYGZ202311
项目最高限价：27万元
二、采购内容技术参数
（一）项目需求
根据等级保护测评的工作要求，测评范围覆盖安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等方面。
具体服务内容包括：
1、协助业主单位进行信息系统的信息安全等级定级和备案工作。
2、差距测评，至少包括：
安全技术测评。包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心等五个方面的安全测评。
安全管理测评。包括安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理等五个方面的安全测评。
形成问题汇总及整改意见报告。依据测评结果，对等级测评结果进行汇总统计；通过对信息系统基本安全保护状态的分析给出初步测评结论。根据测评结果制定《系统等级保护测评问题汇总及整改意见报告》，列出被测信息系统中存在的主要问题以及整改意见。
3、协助完成整改工作。依据整改方案，为安全整改的各项工作提供技术咨询服务。
4、等级测评，至少包括：
按照等级保护相关标准对系统从技术、管理等方面进行安全等级测评工作。
编制测评报告，制定并提交《系统信息安全等级测评报告》。
三级系统十类测评指标
分类 |
子类 |
基本要求 |
安全物理环境 |
物理位置选择 |
a) 机房场地应选择在具有防震、防风和防雨等能力的建筑内; |
物理访问控制 |
机房出入口应配置电子门禁系统，控制、鉴别和记录进入的人员。 |
|
防盗窃和防破坏 |
a) 应将设备或主要部件进行固定，并设置明显的不易除去的标识; |
|
防雷击 |
a) 应将各类机柜、设施和设备等通过接地系统安全接地。 |
|
防火 |
a) 机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火; |
|
防水和防潮 |
a) 应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透; |
|
防静电 |
a) 应采用防静电地板或地面并采用必要的接地防静电措施; |
|
温湿度控制 |
应设置温湿度自动调节设施，使机房温湿度的变化在设备运行所允许的范围之内。 |
|
电力供应 |
a) 应在机房供电线路上配置稳压器和过电压防护设备; |
|
电磁防护 |
a) 电源线和通信线缆应隔离铺设，避免互相干扰; |
|
安全通信网络 |
网络架构 |
a) 应保证网络设备的业务处理能力满足业务高峰期需要; |
通信传输 |
a) 应采用校验技术或密码技术保证通信过程中数据的完整性; |
|
可信验证 |
可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证，应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 |
|
安全区域边界 |
边界防护 |
a) 应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信; |
访问控制 |
a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信; |
|
入侵防范 |
a) 应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为; |
|
恶意代码和垃圾邮件防范 |
a) 应在关键网络节点处对恶意代码进行检测和清除，并维护恶意代码防护机制的升级和更新; |
|
安全审计 |
a) 应在网络边界、重要网络节点进行安全审计，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计; |
|
可信验证 |
可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证，并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 |
|
安全计算环境 |
身份鉴别 |
a) 应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换; |
访问控制 |
a) 应对登录的用户分配账户和权限; |
|
安全审计 |
a) 应启用安全审计功能，审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计; |
|
入侵防范 |
a) 应遵循最小安装的原则，仅安装需要的组件和应用程序; |
|
恶意代码防范 |
应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为，并将其有效阻断。 |
|
可信验证 |
可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证， 并在应用程序的关键执行环节进行动态可信验证，在检测到其可信性受到破坏后进行报警，并将验证结果形成审计记录送至安全管理中心。 |
|
数据完整性 |
a) 应采用校验技术保证重要数据在传输过程中的完整性，包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等; |
|
数据保密性 |
a）应采用密码技术保证重要数据在传输过程中的保密性，包括但不限于鉴别数据、重要业务数据和重要个人信息等; |
|
数据备份恢复 |
a) 应提供重要数据的本地数据备份与恢复功能; |
|
剩余信息保护 |
a）应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除; |
|
个人信息保护 |
a) 应仅采集和保存业务必需的用户个人信息; |
|
安全管理中心 |
系统管理 |
a) 应对系统管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行系统管理操作，并对这些操作进行审计; |
审计管理 |
a) 应对审计管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全审计操作，并对这些操作进行审计; |
|
安全管理 |
a）应对安全管理员进行身份鉴别，只允许其通过特定的命令或操作界面进行安全管理操作，并对这些操作进行审计; |
|
集中管控 |
a）应划分出特定的管理区域，对分布在网络中的安全设备或安全组件进行管控; |
|
安全管理制度 |
安全策略 |
应制定网络安全工作的总体方针和安全策略，阐明机构安全工作的总体目标、范围、原则和安全框架等。 |
管理制度 |
a) 应对安全管理活动中的主要管理内容建立安全管理制度; |
|
制定和发布 |
a) 应指定或授权专门的部门或人员负责安全管理制度的制定; |
|
评审和修订 |
应定期对安全管理制度的合理性和适用性进行论证和审定，对存在不足或需要改进的安全管理制度进行修订。 |
|
安全管理机构 |
岗位设置 |
a）应成立指导和管理网络安全工作的委员会或领导小组，其最高领导由单位主管领导担任或授权; |
人员配备 |
a）应配备一定数量的系统管理员、审计管理员和安全管理员等; |
|
授权和审批 |
a）应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等; |
|
沟通和合作 |
a) 应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作与沟通，定期召开协调会议，共同协作处理网络安全问题; |
|
审核和检查 |
a) 应定期进行常规安全检查，检查内容包括系统日常运行、系统漏洞和数据备份等情况; |
|
安全管理人员 |
人员录用 |
a) 应指定或授权专门的部门或人员负责人员录用; |
人员离岗 |
a）应及时终止离岗人员的所有访问权限，取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备; |
|
安全意识教育和培训 |
a）应对各类人员进行安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施; |
|
外部人员访问管理 |
a) 应在外部人员物理访问受控区域前先提出书面申请，批准后由专人全程陪同，并登记备案; |
|
安全建设管理 |
定级和备案 |
a) 应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由; |
安全方案设计 |
a）应根据安全保护等级选择基本安全措施，依据风险分析的结果补充和调整安全措施; |
|
产品采购和使用 |
a) 应确保网络安全产品采购和使用符合国家的有关规定; |
|
自行软件开发 |
a）应将开发环境与实际运行环境物理分开，测试数据和测试结果受到控制; |
|
外包软件开发 |
a) 应在软件交付前检测其中可能存在的恶意代码; |
|
工程实施 |
a) 应指定或授权专门的部门或人员负责工程实施过程的管理; |
|
测试验收 |
a) 应制订测试验收方案，并依据测试验收方案实施测试验收，形成测试验收报告; |
|
系统交付 |
a) 应制定交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点; |
|
等级测评 |
a) 应定期进行等级测评，发现不符合相应等级保护标准要求的及时整改; |
|
服务供应商选择 |
a) 应确保服务供应商的选择符合国家的有关规定; |
|
安全运维管理 |
环境管理 |
a) 应指定专门的部门或人员负责机房安全，对机房出入进行管理，定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理; |
资产管理 |
a) 应编制并保存与保护对象相关的资产清单，包括资产责任部门、重要程度和所处位置等内容; |
|
介质管理 |
a) 应将介质存放在安全的环境中，对各类介质进行控制和保护，实行存储环境专人管理，并根据存档介质的目录清单定期盘点; |
|
设备维护管理 |
a) 应对各种设备(包括备份和冗余设备)、线路等指定专门的部门或人员定期进行维护管理; |
|
漏洞和风险管理 |
a) 应采取必要的措施识别安全漏洞和隐患，对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补; |
|
网络和系统安全管理 |
a) 应划分不同的管理员角色进行网络和系统的运维管理，明确各个角色的责任和权限; |
|
恶意代码防范管理 |
a) 应提高所有用户的防恶意代码意识，对外来计算机或存储设备接入系统前进行恶意代码检查等; |
|
配置管理 |
a) 应记录和保存基本配置信息，包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和 补丁信息、各个设备或软件组件的配置参数等; |
|
密码管理 |
a) 应遵循密码相关国家标准和行业标准; |
|
变更管理 |
a）应明确变更需求，变更前根据变更需求制定变更方案，变更方案经过评审、审批后方可实施; |
|
备份与恢复管理 |
a) 应识别需要定期备份的重要业务信息、系统数据及软件系统等; |
|
安全事件处置 |
a) 应及时向安全管理部门报告所发现的安全弱点和可疑事件; |
|
应急预案管理 |
a）应规定统一的应急预案框架，包括启动预案的条件、应急组织构成、应急资源保障、事后教育和培训等内容; |
|
外包运维管理 |
a) 应确保外包运维服务商的选择符合国家的有关规定; |
5、验证测试相关要求
按照等级保护测评要求，测评过程中应配备必要的工具、仪器/设备对信息系统进行验证测试，采用的测评工具的生产商应为正规厂商，具有一定的研发和服务能力，能够对产品进行持续更新并提供质量和安全保障。验证测试内容包括但不限于以下内容：
（1） 渗透测试
验证安全策略正确性；保证用户登录窗体身份验证的安全性；非授权用户不能浏览到未授权内容；不存在跨站点脚本攻击漏洞；脚本不存在SQL、Cookie 注入漏洞；安全的处理异常，没有出错页面泄露系统信息；应用和系统漏洞及其他，并提出整改建议。验证内容包括（但不限于）以下几个方面：
注入 |
注入失效的身份认证 |
敏感信息泄露 |
XML 外部实体（XXE） |
失效的访问控制 |
安全配置错误 |
跨站脚本（XSS） |
不安全的反序列化 |
使用含有已知漏洞的组件 |
不足的日志记录和监控 |
（2）性能测试
通过模拟手段对网络（包括丢包、时延、带宽等）、软件系统（包括负载、响应）、负载下硬件占用（包含CPU、内存）等进行全面的测评评估验证系统的可靠性、可用性，通过
对测试结果的分析，给出相应的整改建议。
（3）漏洞扫描
据相关标准、规范要求对重要信息系统的安全漏洞进行测评。分析总结系统中存在的主要安全漏洞，指出系统中可能被利用的安全漏洞、系统配置错误等缺陷以及相应的安全加固
意见、建议。
（二）完成项目所需提交的文档清单
在本项目完成后，服务方须提供以下文档资料：
《信息系统安全问题汇总及整改建议》
《信息系统等保测评报告》及过程资料
（三）技术标准和规范
《中华人民共和国计算机信息系统安全保护条例》(国务院令147号)
《信息安全等级保护管理办法》
《计算机信息系统安全保护等级划分准则》（GB1略略略-略略略略略略）
《信息系统安全等级保护实施指南》（GB/T2略略略-略略略略略略）
《信息安全技术 网络安全等级保护定级指南》（GB/T2略略略-略略略略略略）
《网络安全等级保护基本要求》（GB/T2略略略-略略略略略略）
《网络安全等级保护测评要求》（GB/T2略略略-略略略略略略）
《信息系统安全等级保护测评过程指南》（GB/T2略略略-略略略略略略）
《信息安全风险评估规范》（GB/T2略略略-略略略略略略）
《信息安全技术 信息安全风险评估实施指南》(GB/T 3略略略-略略略略略略)
（四）安全要求
成交供应商在项目实施过程中，必须遵守以下技术原则：
1 保密原则：对测评的过程数据和结果数据严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据进行任何侵害采购方的行为，否则采购方有权追究供应商的责任。
2 标准性原则：测评方案的设计与实施应依据国家等级保护的相关标准进行。
3 规范性原则：供应商的工作中的过程和文档，具有很好的规范性，可以便于项目的跟踪和控制，测评出具的报告须符合公安部颁布的《信息系统安全等级测评报告模板》。
4 可控性原则：等保测评服务的进度要按照招标文件 的要求，保证采购方对于测评工作的可控性。
5 整体性原则：等保测评服务的范围和内容应当整体全面，包括国家等级保护相关要求测评要求涉及的各个层面。
6安全性原则：等保测评服务工作应不得影响系统和网络的正常运行；测评工作不得对现有信息系统的正常运行、业务的正常开展产生任何影响。
7.测评机构资质及人员要求：
从事信息系统检测评估相关工作人员无违法记录。
工作人员仅限于中华人民共和国境内的中国公民，且无犯罪记录。
测评期间需遵守被测单位相关管理规定，禁止利用测评工作从事危害被测单位利益、安全的活动。
（五）测评对象
序号 |
系统名称 |
等级 |
1 |
HIS系统 |
三级 |
2 |
LIS系统 |
三级 |
3 |
PACS系统 |
三级 |
4 |
EMR系统 |
三级 |
5 |
乐至县人民医院官网 |
三级 |
三、资格性要求
1.具有独立承担民事责任的能力。
2.具有良好的商业信誉和健全的财务会计制度。
3.具有履行合同所必须的设备和专业技术能力。
4.有依法缴纳税收和社会保障资金的良好记录。
5.参加本次采购活动前三年内，在经营活动中没有重大违法记录。
6.参加本次采购活动的投标人、法定代表人/主要负责人在参加本次采购活动前三年内不得具有行贿犯罪记录（公司成立不足三年的从成立之日起算）。
7.本次采购活动不接受联合体参加。
四、商务要求
（一）交货期及地点
交货期：在签订协议后，成交公司应从签订协议之日算起1个月内完成“信息系统等保测评”的建设，并能投入使用。
交货地点：乐至县人民医院指定交货地点。
（二）付款方式
签订合同后经入场测评完毕20个工作日支付50%的合同款项，出具等保测评报告30个工作日支付合同剩余款项的50%
（三）企业资质与服务支撑
具备公安部第三研究所颁发的《网络安全等级测评与检测评估机构服务认证证书》。
（四）服务能力
1.项目组负责人具有以下资格：
项目负责人具有信息安全等级测评师中级及以上证书、互联网安全评估师证书（CIISA）；
2.项目组除负责人外的其它测评人员具有以下资格：
现场测评经理同时具有等级保护测评师证书、商用密码应用安全性评估人员能力合格证书；
（五）售后服务
1、成交公司负责“信息系统等保测评”运行的运维工作，包括提供的软件、硬件以及网络等。
2、设置7*24小时技术支持热线电话（固话、手机）。若1小时内无法电话解决问题，成交公司维修工程师必须在接到故障报告后4小时内到达故障现场维护。
3、提供完善售后服务体系，有售后服务点，配置工程师负责产品的售后维修（须提供售后服务点地址、工程师姓名、联系方式等）。
4、成交公司需提供免费软件操作培训服务，包括培训内容、培训时间、培训地点、培训人员安排等。
（六）其他要求：
1、成交公司所投“信息系统等保测评”有1个及以上的成功案例，有相应证明材料。
2、签订协议后，“信息系统等保测评”的使用权归乐至县人民医院所有。
3、成交公司须与医院签订信息保密协议，对平台数据在未授权的情况下无处置权。
4、成交公司必须保证“信息系统等保测评”数据的安全性、完整性、可用性，须通过信息系统安全三级保护，且从签订合同之日起每年有效。
五、联系方式
报名截止时间：2023年7月3日16:00
开标时间：2023年7月4日15：00
开标地点：乐至县人民医院行政楼三楼第四会议室
六、报名时间、开标时间及开标地点
联系人：黄老师、唐老师、杨老师
联系电话：略略略-略略略略略略
邮箱：略略略略略略略略略略略略略略略@略略略
地址：乐至县迎宾大道405号行政楼3楼采购办
如需报名，请提前将信息加盖鲜章发至略略略略略略略略略略略略略略略@略略略邮箱中（包括供应商营业执照副本复印件/事业单位法人证书副本复印件/登记证书复印件; 法定代表人/单位负责人对销售代表的授权书原件（非法定代表人/单位负责人参与投标时适用）;法人/负责人及（或授权代表）身份证复印件及联系电话）。
七、响应文件要求
1.提供产品报价表（单独密封）
2.法定代表人参与投标的需提供本人身份证复印件；
3.非法定代表人参与投标的需提供法定代表人授权书原件、法定代表人身份证复印件及被授权人身份证复印件；
4.如投标人为法人单位，则提供有效的企业营业执照复印件；如投标人为事业单位，则提供事业单位法人证书复印件；若为其他组织，则提对应主管部门颁发的准许执业证明文件或营业执照复印件；若投标人为自然人，则提供自然人的身份证明复印件；
5.提供参数和商务要求的响应表；
6.提供参数的证明性材料；
7.提供公司认为需要的其他证明材料；
8.响应文件需制作目录，标注页码，制作一份，装订成册，逐页加盖公司的鲜章。
八、评审方法：
1.资格性评审。按照公告进行资格性审查。
2.符合性审查。包含技术性及商务性要求等。
3.资格性和符合性审查均符合要求的有效投标人不低于三家,设备根据供应商低价评分法，价格最低者确定为成交供应商。
| 日期 | 项目阶段 | 标题 |
|---|---|---|
| 9天前 | 中标 | |
| 05月15日 | 中标 | |
| 04月26日 | 中标 | |
| 04月25日 | 中标 | |
| 04月19日 | 公告 | |
| 03月28日 | 中标 | |
| 03月22日 | 中标 | |
| 03月20日 | 中标 | |
| 01月05日 | 中标 | |
| 2023年12月15日 | 中标 | |
| 2023年09月08日 | 公告 | |
| 2023年08月28日 | 公告 | |
| 2023年07月07日 | 公告 | |
| 2023年06月29日 | 公告 | |
| 2023年06月15日 | 公告 | |
| 2023年05月05日 | 公告 | |
| 2023年04月19日 | 公告 | |
| 2023年04月17日 | 公告 | |
| 2023年04月03日 | 公告 | |
| 2023年03月09日 | 公告 | |
| 2023年02月20日 | 公告 | |
| 2023年02月08日 | 公告 | |
| 2023年01月13日 | 公告 | |
| 2023年01月10日 | 公告 | |
| 2023年01月05日 | 公告 | |
| 2022年11月17日 | 公告 | |
| 2022年11月07日 | 公告 | |
| 2022年10月31日 | 公告 | |
| 2022年10月10日 | 公告 | |
| 2022年09月26日 | 公告 | |
| 2022年09月19日 | 公告 | |
| 2022年09月05日 | 公告 | |
| 2022年08月03日 | 公告 | |
| 2022年07月02日 | 公告 | |
| 2022年06月30日 | 公告 | |
| 2022年06月23日 | 公告 | |
| 2022年06月08日 | 公告 | |
| 2022年05月27日 | 公告 | |
| 2022年05月07日 | 公告 | |
| 2022年04月25日 | 公告 | |
| 2022年04月14日 | 公告 | |
| 2022年03月28日 | 公告 | |
| 2022年03月03日 | 公告 | |
| 2022年01月26日 | 公告 | |
| 2021年12月28日 | 公告 | |
| 2021年12月23日 | 公告 | |
| 2021年11月24日 | 公告 | |
| 2021年11月23日 | 公告 | |
| 2021年11月04日 | 公告 | |
| 2021年10月22日 | 公告 | |
| 2021年08月13日 | 公告 | |
| 2021年08月12日 | 公告 | |
| 2021年08月05日 | 公告 | |
| 2021年07月26日 | 公告 | |
| 2021年06月22日 | 公告 | |
| 2021年05月11日 | 公告 | |
| 2021年04月27日 | 公告 | |
| 2021年01月15日 | 公告 |
输入关键词，就可以随意搜索您想要的所属行业的最新招投标信息。
设置好地域和关键词，您就可以实时收到为您量身定制的行业招投标信息。
如果想第一时间了解项目的动态，可以盯住此项目，此后该项目的任何动态将第一时间推送给您。
