首頁
點擊加入供采通，創(chuàng)建供應(yīng)商名片
第一部分?項目要求
一、項目概況
- ******醫(yī)院2026年網(wǎng)絡(luò)安全等級保護測評項目。
- ******醫(yī)院2026年度網(wǎng)絡(luò)安全等級保護測評服務(wù)工作。
- 項目預(yù)算：15萬。
二、供應(yīng)商資格要求
- 提供供應(yīng)商營業(yè)執(zhí)照副本、稅務(wù)登記證副本、組織機構(gòu)代碼證副本或者統(tǒng)一社會信用代碼證（三證合一）；
- 供應(yīng)商是法定代表人投標提供法人代表證明書及身份證復(fù)印件；授權(quán)代表投標需提供法人代表人授權(quán)委托書及授權(quán)代表身份證復(fù)印件；
- 具有公安部第三研究所頒發(fā)的《網(wǎng)絡(luò)安全服務(wù)認證證書等級保護測評服務(wù)認證》；
- 本項目不接受聯(lián)合體投標。
備注：以上資質(zhì)文件現(xiàn)場提供復(fù)印件加蓋公章查驗。
?
第二部分?技術(shù)內(nèi)容與要求
一、項目目標
根據(jù)《中華人民共和國網(wǎng)絡(luò)安全法》《信息安全等級保護管理辦法》(公通字[2007******醫(yī)院信息系統(tǒng)實施網(wǎng)絡(luò)安全等級保護測評服務(wù)工作，找出信息系統(tǒng)存在的安全漏洞及隱患，為后續(xù)建設(shè)和整改工作提供建議和決策依據(jù)，進一步提高單位信息系統(tǒng)整體安全防護水平。
按照國標《信息安全技術(shù) 網(wǎng)絡(luò)安全等************管理中心測評，以及安全管理制度、安全管理機構(gòu)、安全管理人員、安全建設(shè)管理、安全運維管理10個方面開展測評。具體服務(wù)內(nèi)容如下：
① 定級備案：協(xié)助整理初次備案的信息系統(tǒng)相關(guān)備案材料，并提交屬地網(wǎng)安部門，協(xié)助取得《信息系統(tǒng)安全等級備案證明》。
② 系統(tǒng)調(diào)研：在系統(tǒng)相關(guān)人員的協(xié)助下，對信息系統(tǒng)進行調(diào)研和梳理，了解系統(tǒng)當(dāng)前信息系統(tǒng)資產(chǎn)現(xiàn)狀。
③ 現(xiàn)場測評：根據(jù)國家等級測評的相關(guān)標準及已編制的相關(guān)等級保護測評指導(dǎo)書對信息系統(tǒng)中的相關(guān)資產(chǎn)進行測評項的檢查、記錄檢查結(jié)果。
④ 分析整改：根據(jù)前述工作內(nèi)容，分析信息系統(tǒng)安全情況與等級保護基本要求的差距,提供差異化測評服務(wù)，并進行風(fēng)險分析，可根據(jù)現(xiàn)場情況出具科學(xué)合理的整改建議及整改方案，配合采購單位安全整改工作。
⑤ 結(jié)論報告：根據(jù)前述工作內(nèi)容，分析當(dāng)前信息系統(tǒng)安全保護能力是否符合相應(yīng)等級的安全要求，針對整改項進行再次測評,提供安全等級符合性測評服務(wù)，出具相關(guān)系統(tǒng)《網(wǎng)絡(luò)安全等級保護測評報告》。
⑥ 配合驗收：整理項目過程中所有相關(guān)的過程文檔，提交系統(tǒng)相關(guān)人員。
?
2、項目范圍
根據(jù)國家及地方相關(guān)網(wǎng)絡(luò)安全等級保護管理法律法規(guī)要求，本次對以下信息系統(tǒng)開展網(wǎng)絡(luò)安全等級保護測評工作。
|
序號 |
系統(tǒng)名稱 |
擬定級 |
|
HIS 系統(tǒng) |
第三級 |
|
電子病例系統(tǒng) |
第三級 |
|
LIS/PACS系統(tǒng) |
第三級 |
3、工作依據(jù)
① 《中華人民共和國網(wǎng)絡(luò)安全法》
② 《中華人民共和國數(shù)據(jù)安全法》
③ 《信息安全等級保護管理辦法》（公通字[2007]43號）
④ 《關(guān)于進一步做好全省網(wǎng)絡(luò)安全等級保護有關(guān)工作的函》公網(wǎng)安【2025】1001號
⑤ 《貫徹落實網(wǎng)絡(luò)安全等級保護制度和關(guān)鍵信息基礎(chǔ)設(shè)施安全保護制度的指導(dǎo)意見》（公網(wǎng)安〔2020〕）
⑥ 《中華人民共和國計算機信息系統(tǒng)安全保護條例》（國務(wù)院令第147號）
⑦ 《計算機信息系統(tǒng)安全保護等級劃分準則》（GB 17859-1999）
⑧ 《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護定級指南》（GB/T 22240-2020）
⑨ 《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護基本要求》（GB/T 22239-2019）
⑩ 《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護測評要求》（GB/T 28448-2019）
? 《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護測評過程指南》（GB/T 28449-2018）
? 《信息安全技術(shù)網(wǎng)絡(luò)安全等級保護測試評估技術(shù)指南》（GB/T 36627-2018）
******管理中心技術(shù)要求》（GB/T 36958-2018）
? 《信息安全技術(shù) 信息安全風(fēng)險評估方法》（GB/T 20984—2022 ）
? ?《網(wǎng)絡(luò)安全等級保護測評高風(fēng)險判定實施指引（試行）》公網(wǎng)安【2025】2391號
4、測評指標
三級系統(tǒng)測評指標
|
安全層面 |
安全控制點 |
測評項數(shù) |
|
安全物理環(huán)境 |
物理位置的選擇 |
2 |
|
物理訪問控制 |
1 |
|
|
防盜竊和防破壞 |
3 |
|
|
防雷擊 |
2 |
|
|
防火 |
3 |
|
|
防水防潮 |
3 |
|
|
防靜電 |
2 |
|
|
溫濕度控制 |
1 |
|
|
電力供應(yīng) |
3 |
|
|
電磁防護 |
2 |
|
|
安全通信網(wǎng)絡(luò) |
網(wǎng)絡(luò)架構(gòu) |
5 |
|
通信傳輸 |
2 |
|
|
可信驗證 |
1 |
|
|
安全區(qū)域邊界 |
邊界防護 |
4 |
|
訪問控制 |
5 |
|
|
入侵防范 |
4 |
|
|
惡意代碼防范 |
2 |
|
|
安全審計 |
4 |
|
|
可信驗證 |
1 |
|
|
安全計算環(huán)境 |
身份鑒別 |
4 |
|
訪問控制 |
7 |
|
|
安全審計 |
4 |
|
|
入侵防范 |
6 |
|
|
惡意代碼防范 |
1 |
|
|
可信驗證 |
1 |
|
|
數(shù)據(jù)完整性 |
2 |
|
|
數(shù)據(jù)保密性 |
2 |
|
|
數(shù)據(jù)備份恢復(fù) |
3 |
|
|
剩余信息保護 |
2 |
|
|
個人信息保護 |
2 |
|
|
******管理中心 |
系統(tǒng)管理 |
2 |
|
審計管理 |
2 |
|
|
安全管理 |
2 |
|
|
集中管控 |
6 |
|
|
安全管理制度 |
安全策略 |
1 |
|
管理制度 |
3 |
|
|
制定和發(fā)布 |
2 |
|
|
評審和修訂 |
1 |
|
|
安全管理機構(gòu) |
崗位設(shè)置 |
3 |
|
人員配備 |
2 |
|
|
授權(quán)和審批 |
3 |
|
|
溝通和合作 |
3 |
|
|
審核和檢查 |
3 |
|
|
安全管理人員 |
人員錄用 |
3 |
|
人員離崗 |
2 |
|
|
安全意識和教育培訓(xùn) |
3 |
|
|
外部人員訪問管理 |
4 |
|
|
安全建設(shè)管理 |
定級和備案 |
4 |
|
安全方案設(shè)計 |
3 |
|
|
產(chǎn)品采購和使用 |
3 |
|
|
自行軟件開發(fā) |
7 |
|
|
外包軟件開發(fā) |
3 |
|
|
工程實施 |
3 |
|
|
測試驗收 |
2 |
|
|
系統(tǒng)交付 |
3 |
|
|
等級測評 |
3 |
|
|
服務(wù)供應(yīng)商管理 |
3 |
|
|
安全運維管理 |
環(huán)境管理 |
3 |
|
資產(chǎn)管理 |
3 |
|
|
介質(zhì)管理 |
2 |
|
|
設(shè)備維護管理 |
4 |
|
|
漏洞和風(fēng)險管理 |
2 |
|
|
網(wǎng)絡(luò)和系統(tǒng)安全管理 |
10 |
|
|
惡意代碼防范管理 |
2 |
|
|
配置管理 |
2 |
|
|
密碼管理 |
2 |
|
|
變更管理 |
3 |
|
|
備份與恢復(fù)管理 |
3 |
|
|
安全事件處置 |
4 |
|
|
應(yīng)急預(yù)案管理 |
4 |
|
|
外包運維管理 |
4 |
|
|
總計 |
211 |
|
?
5、測評流程
在開展網(wǎng)絡(luò)安全等級保護測評工作過程中要求嚴格遵循如下流程：
（1）測評準備活動：是開展等級測評工作的前提和基礎(chǔ)，是整個等級測評過程有效性的保證。測評準備工作是否充分直接關(guān)系到后續(xù)工作能否順利開展。本活動的主要任務(wù)是掌握被測系統(tǒng)的詳細情況，準備測試工具，為編制測評方案做好準備。
（2）方案編制活動：是開展等級測評工作的關(guān)鍵活動，為現(xiàn)場測評提供最基本的文檔和指導(dǎo)方案。本活動的主要任務(wù)是確定與被測信息系統(tǒng)相適應(yīng)的測評對象、測評指標及測評內(nèi)容等，并根據(jù)需要重用或開發(fā)測評指導(dǎo)書，形成測評方案。
（3）現(xiàn)場測評活動：是開展等級測評工作的核心活動。本活動的主要任務(wù)是按照測評方案的總體要求，嚴格按照測評指導(dǎo)書執(zhí)行，分步實施所有測評項目，以了解系統(tǒng)的真實保護情況，獲取足夠證據(jù)，發(fā)現(xiàn)系統(tǒng)存在的安全問題。
（4）分析與報告編制活動：是給出等級測評工作結(jié)果的活動，是總結(jié)被測系統(tǒng)整體安全保護能力的綜合評價活動。本活動的主要任務(wù)是根據(jù)現(xiàn)場測評結(jié)果和《等級測評過程指南》的有關(guān)要求，通過單項測評結(jié)果判定、單元測評結(jié)果判定、整體測評和風(fēng)險分析等方法，找出整個系統(tǒng)的安全保護現(xiàn)狀與相應(yīng)等級的保護要求之間的差距，并分析這些差距導(dǎo)致被測系統(tǒng)面臨的風(fēng)險，從而給出等級測評結(jié)論，形成《網(wǎng)絡(luò)安全等級保護測評報告》。
6、實施要求
本項目測評駐場人員要求：承擔(dān)本次測評工作的供應(yīng)商至少安排2名高級測評師，3名中級測評師；其中包含1名項目經(jīng)理和1名質(zhì)量負責(zé)人。所有駐場測評師必須持證上崗，響應(yīng)文件中應(yīng)提供項目組駐場人員名單以及社保主管部門出具的響應(yīng)單位為其繳納社保的證明、駐場人員網(wǎng)絡(luò)安全等級測評師證書復(fù)印件，未經(jīng)采購方同意，項目組成員不得更改。
實施原則要求：
① 規(guī)范性原則：成交服務(wù)商工作中的過程和文檔，具有很好的規(guī)范性，可以便于項目的跟蹤和控制；
② 整體性原則：測評和分析的范圍和內(nèi)容應(yīng)當(dāng)整體全面，包括安全涉及的各個層面，避免由于遺漏造成未來的安全隱患；
③ 最小影響原則：測評工作應(yīng)盡可能小的影響系統(tǒng)和網(wǎng)絡(luò)的正常運行，不能對現(xiàn)網(wǎng)的運行和業(yè)務(wù)的正常提供產(chǎn)生顯著影響(包括系統(tǒng)性能明顯下降、網(wǎng)絡(luò)擁塞、服務(wù)中斷，如無法避免出現(xiàn)這些情況應(yīng)在應(yīng)答書上詳細描述)；
④ 保密原則：對測評的過程數(shù)據(jù)和結(jié)果數(shù)據(jù)嚴格保密，未經(jīng)授權(quán)不得泄露給任何單位和個人，不得利用此數(shù)據(jù)進行任何侵害采購人網(wǎng)絡(luò)的行為，否則采購人有權(quán)追究責(zé)任。
7、項目驗收與交付
在本次等級保護測評項目中，服務(wù)商須提交的主要成果文檔包含如下：
① 《網(wǎng)絡(luò)安全等級保護測評報告》；
② 《網(wǎng)絡(luò)安全等級測評整改建議報告》。
?
?
第三部分?評分辦法
|
評分項目 |
評分因素 |
分值 |
評分標準 |
|
報價 （10分） |
報價 （10分） |
10分 |
綜合評分法中的價格分采用平均價優(yōu)先法計算，即滿足采購文件要求的投標價格，取其平均值作為評標基準價，其價格分為滿分10分。 投標報價每偏離基準價5%扣1分，計算公式如下：投標得分=10-【（投標報價-基準價）】/（基準價*5%）。 |
|
技術(shù)部分 （45分） |
具體服務(wù)方案的完整性、合理性 （33分） |
10分 |
服務(wù)方案思路清晰、對測評準備、方案編制、現(xiàn)場測評、報告編制等內(nèi)容進行了詳細描述，方案完整、思路清晰、完全符合本項目的實際且具有可操作性計7.1-10分；方案較完整、思路較清晰、能滿足本次采購需求計3.1-7分；服務(wù)內(nèi)容不詳細、服務(wù)方案思路不清晰計1-3分；未提供不計分。 |
|
8分 |
有明確合理的項目實施周期進度計劃表，并有相應(yīng)的進度保障措施，根據(jù)其合理程度經(jīng)橫向比較，項目周期及進度計劃安排合理、保障措施完善計4.1-8分；項目周期及進度計劃安排不合理、保障措施不明確計1-4分；未提供不計分。 |
||
|
6分 |
依據(jù)供應(yīng)商的服務(wù)質(zhì)量目標及保障措施開展綜合評審。若供應(yīng)商具備詳盡的質(zhì)量過程控制與監(jiān)控手段、質(zhì)量管控措施，且能夠通過網(wǎng)絡(luò)安全等級保護測評項目管理系統(tǒng)對項目進度與質(zhì)量實施有效跟蹤和管理的，計3.1- 6分；若僅具備基本的質(zhì)量控制措施，但細節(jié)描述不夠充分或系統(tǒng)性欠佳的，計?1-3 分；若未提供相關(guān)內(nèi)容或所提措施不具可行性的，則不予計分。 |
||
|
5分 |
對整個測評項目實施過程中的風(fēng)險有相應(yīng)的防范及規(guī)避措施，有完善的信息安全保密管理措施，保證客戶信息資料的安全性，并明確保密責(zé)任與賠償承諾，根據(jù)本項目實際需求及切實可行程度橫向比較，防范及保密措施完善可行，保密責(zé)任與承諾明確計3.1-5分；防范及保密措施不完善可行，保密責(zé)任與承諾不明確計1-3分；未提供不計分。 |
||
|
3分 |
針對本項目提出合理化建議，合理化建議切實可行、貼合實際易操作計2.1-3分；合理化建議不切實際不具有可行性計1-2分；未提供不計分。 |
||
|
擬投入人員（12分） |
12分 |
針對本項目的測評團隊中至少包含2名高級測評師，3名中級測評師，滿足條件的計2分；不滿足不計分。 擬派項目經(jīng)理至少具備五年的網(wǎng)絡(luò)安全項目管理經(jīng)驗，在具備高級網(wǎng)絡(luò)安全等級測評師證書基礎(chǔ)上，還需具備：中國電子技術(shù)標準化研究院頒發(fā)的IT服務(wù)項目經(jīng)理證書、風(fēng)險管理專業(yè)人士資格認證（PMI-RMP)證書、人力資源和社會保障廳頒發(fā)的網(wǎng)絡(luò)工程師職稱資格證書、注冊網(wǎng)絡(luò)安全滲透評估專業(yè)人員NSATP-A證書、注冊信息系統(tǒng)審計師CISA證書。每缺一項 扣1分，缺兩項及以上不得分，滿分5分。 擬派滲透測試團隊需具有5人及以上的成員，且人員均需具備CISP-PTE證書。滿足條件的計3分；不滿足不計分。滲透組長需具有較強的滲透組織能力，需具有PMP證書且具有CISP-PTE證書。滿足條件的計2分；不滿足不計分。 備注：供應(yīng)商須提供以上人員開標前連續(xù)6個月社保證明材料，未提供或提供不全不計分。 |
|
|
商務(wù)部分（25分） |
能力證書（25分） |
12分 |
供應(yīng)商提供《信息安全風(fēng)險評估服務(wù)資質(zhì)》、《信息安全應(yīng)急處理服務(wù)資質(zhì)》、《國家信息安全漏洞庫（CNNVD）技術(shù)支撐單位等級證書》，每提供1個證書計2分，最高計6分。 為保證網(wǎng)絡(luò)安全檢測流程規(guī)范，質(zhì)量控制嚴謹，供應(yīng)商需具備三體系認證證書，包含“ISO 9001質(zhì)量管理體系認證證書、ISO 45001職業(yè)健康安全管理體系認證證書、ISO 14001環(huán)境管理體系認證證書”。每提供1個證書計1分，最高計3分。 為保證項目服務(wù)過程中管理可靠、檢測服務(wù)的連續(xù)性，供應(yīng)商需提供ISO 22301業(yè)務(wù)連續(xù)性管理體系認證證書、ISO 20000-1服務(wù)管理體系認證證書，ISO 27001信息安全管理體系認證證書。每提供1個證書計1分，最高計3分。 |
|
8分 |
信息對抗與網(wǎng)絡(luò)攻防是等級保護測評的核心能力，供應(yīng)商具有“網(wǎng)絡(luò)安全技術(shù)聯(lián)合實驗室”，能夠針對本項目涉及的信息系統(tǒng)以安全攻防技術(shù)為核心，提供網(wǎng)絡(luò)空間創(chuàng)新實驗環(huán)境及網(wǎng)絡(luò)攻防對抗實戰(zhàn)環(huán)境得3分； ******委員會國家互聯(lián)網(wǎng)應(yīng)急中心頒發(fā)的CNVD國家信息安全漏洞共享平臺原創(chuàng)漏洞證明得5分，其他不得分。 |
||
|
5分 |
為體現(xiàn)供應(yīng)商在網(wǎng)絡(luò)安全等級保護測評方面的綜合技術(shù)能力，若供應(yīng)商網(wǎng)絡(luò)安全相關(guān)軟件著作權(quán)，具備40項及以上得5分，30項及以上得3分，20項及以上得2分，其他不得分。 |
||
|
售后服務(wù) （10 分） |
售后服務(wù)（10 分） |
10分 |
供應(yīng)商對本項目的整體安排及策劃作出承諾，服務(wù)承為保障采購人在測評項目結(jié)束后的網(wǎng)絡(luò)安全工作正常運行，要求供應(yīng)商提供完善的售后服務(wù)，包括安全咨詢服務(wù)、配合檢查、安全培訓(xùn)、應(yīng)急響應(yīng)等，根據(jù)響應(yīng)程度計1-8分；若供應(yīng)商應(yīng)具備中國電子工業(yè)標準化技術(shù)協(xié)會信息技術(shù)服務(wù)分會頒發(fā)的ITSS運行維護證書得2分。 |
|
同類業(yè)績 （10分） |
同類業(yè)績（10分） |
10分 |
供應(yīng)商每提供一份自2023年1月1日（以合同簽訂時間為準） 至今，簽訂的網(wǎng)絡(luò)安全等級保護測評類項目業(yè)績合同，得2分，最多得10分。 |
本項目評審使用綜合評分法，評審小組將按照客觀、公正、科學(xué)、擇優(yōu)的原則，結(jié)合項目實際情況，依據(jù)評審辦法，進行分項評審，評審得分計入總得分。
