采購(gòu)技術(shù)要求

1、采購(gòu)技術(shù)要求項(xiàng)目目標(biāo) 網(wǎng)絡(luò)安全等級(jí)保護(hù)是國(guó)家在國(guó)民經(jīng)濟(jì)和社會(huì)信息化的發(fā)展過(guò)程中提高網(wǎng)絡(luò)安全保障能力和水平，維護(hù)國(guó)家安全、社會(huì)穩(wěn)定和公共利益，保障和促進(jìn)信息化健康發(fā)展的基本策略，恩施州統(tǒng)計(jì)局信息發(fā)布信息系統(tǒng)開展等級(jí)保護(hù)測(cè)評(píng)工作，測(cè)評(píng)機(jī)構(gòu)需要提供切實(shí)有效的整改方案、并提供整改咨詢方案；對(duì)整改后的信息系統(tǒng)進(jìn)行回歸測(cè)評(píng)，并出具正式等級(jí)保護(hù)測(cè)評(píng)報(bào)告，并對(duì)后續(xù)網(wǎng)絡(luò)安全提供相關(guān)保障服務(wù)。最終達(dá)到國(guó)家等級(jí)保護(hù)2.0相關(guān)要求,通過(guò)公安機(jī)關(guān)備案手續(xù)，滿足公安部門等級(jí)保護(hù)檢查要求。1.安全等級(jí)保護(hù)測(cè)評(píng)1.1定級(jí)備案服務(wù)由中標(biāo)方協(xié)助采購(gòu)方完成本次項(xiàng)目中需要進(jìn)行測(cè)評(píng)的信息系統(tǒng)的定級(jí)、備案材料的編寫工作，協(xié)助采購(gòu)方到公安

2、監(jiān)管部門辦理備案手續(xù)，確保信息系統(tǒng)安全保護(hù)等級(jí)定級(jí)準(zhǔn)確、備案完整。1.2信息系統(tǒng)安全等級(jí)保護(hù)測(cè)評(píng)服務(wù)依據(jù)GB/T 22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求、GB/T 28448-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求、GB/T 20984-2007 信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范、GB/T 22080-2008 信息技術(shù)安全技術(shù)信息安全管理體系要求、GB/T 22081-2008 信息技術(shù)安全技術(shù)信息安全管理實(shí)用規(guī)則等標(biāo)準(zhǔn)的要求，供應(yīng)商在服務(wù)期內(nèi)對(duì)采購(gòu)人采購(gòu)范圍內(nèi)的信息系統(tǒng)(見(jiàn)附表1)，提供測(cè)評(píng)服務(wù)，并出具符合國(guó)家等級(jí)保護(hù)格式要求的等級(jí)測(cè)評(píng)報(bào)告。附表一：系統(tǒng)名稱級(jí)別信息

3、發(fā)布信息系統(tǒng)二級(jí)測(cè)評(píng)內(nèi)容應(yīng)包括但不限于以下內(nèi)容：（1）安全技術(shù)測(cè)評(píng)：包括安全物理環(huán)境、安全通信網(wǎng)絡(luò)、安全區(qū)域邊界、安全計(jì)算環(huán)境的安全測(cè)評(píng)；（2）安全管理測(cè)評(píng)：安全管理中心、安全管理制度、安全管理人員、安全建設(shè)管理和安全運(yùn)維管理五個(gè)方面的安全測(cè)評(píng)； （3）系統(tǒng)整體測(cè)評(píng)：安全控制點(diǎn)測(cè)評(píng)、安全控制點(diǎn)間測(cè)評(píng)。1.3制定等級(jí)保護(hù)建設(shè)方案參照GB/T 22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求、GB/T 28448-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求、GB/T 20984-2007 信息安全技術(shù)信息安全風(fēng)險(xiǎn)評(píng)估規(guī)范、GB/T 22080-2008 信息技術(shù)安全技術(shù)信息安全管理體系要

4、求、GB/T 22081-2008 信息技術(shù)安全技術(shù)信息安全管理實(shí)用規(guī)則等國(guó)家標(biāo)準(zhǔn)規(guī)范，為安全整改提供咨詢服務(wù)，協(xié)助完成測(cè)評(píng)信息系統(tǒng)的安全整改，協(xié)助完善信息系統(tǒng)安全防護(hù)措施，規(guī)劃整體安全架構(gòu)，完善安全管理相關(guān)制度，使信息系統(tǒng)基本符合等級(jí)保護(hù)的要求。服務(wù)要求1. 實(shí)施要求 本次項(xiàng)目安全服務(wù)必須滿足以下要求：1)最小影響要求：供應(yīng)商在安全服務(wù)過(guò)程中必須保證系統(tǒng)的正常運(yùn)行，不得導(dǎo)致系統(tǒng)運(yùn)行中斷或服務(wù)性能明顯下降，盡可能降低對(duì)系統(tǒng)的負(fù)面影響。在進(jìn)行有風(fēng)險(xiǎn)的操作前必須出具書面材料，明確風(fēng)險(xiǎn)提示，指導(dǎo)采購(gòu)人做好應(yīng)急措施，征得采購(gòu)人書面許可后并選擇業(yè)務(wù)低峰期進(jìn)行下一步操作。 2)保密要求：對(duì)等級(jí)測(cè)評(píng)或技術(shù)服

5、務(wù)過(guò)程中獲取的信息嚴(yán)格保密，包括但不限于采購(gòu)人網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、IP地址、業(yè)務(wù)流程、業(yè)務(wù)數(shù)據(jù)、安全隱患等，未經(jīng)授權(quán)不得泄露給任何單位和個(gè)人，不得利用保密信息進(jìn)行任何侵害采購(gòu)人的合法權(quán)益。 3)客觀公正性要求：項(xiàng)目實(shí)施過(guò)程中，必須接受采購(gòu)人的監(jiān)督，每個(gè)服務(wù)環(huán)節(jié)完成后均由采購(gòu)人進(jìn)行審核確認(rèn)，確保測(cè)評(píng)工作客觀公正性。不得指定或限制采購(gòu)人購(gòu)買相關(guān)產(chǎn)品，所提出的安全方案和建議必須有充分的依據(jù)。 4)規(guī)范性要求：安全方案編制等必須嚴(yán)格按照國(guó)家相關(guān)標(biāo)準(zhǔn)進(jìn)行。 5)可控性要求：項(xiàng)目實(shí)施必須制定嚴(yán)格的實(shí)施計(jì)劃及進(jìn)度安排，經(jīng)采購(gòu)人審核確認(rèn)后執(zhí)行，確保項(xiàng)目實(shí)施的可控性。 2. 安全管理要求 為做好項(xiàng)目的安全實(shí)施工作，確

6、保不因安全服務(wù)給系統(tǒng)帶來(lái)新的安全風(fēng)險(xiǎn)，在安全服務(wù)前、中、后三個(gè)階段都要做好安全管理工作。 （1）安全服務(wù)實(shí)施前1）對(duì)參與項(xiàng)目實(shí)施的安全服務(wù)人員要進(jìn)行安全和保密教育，制定安全服務(wù)和保密措施；2）簽訂安全責(zé)任書和保密協(xié)議。（2）安全服務(wù)實(shí)施中1）測(cè)試工具應(yīng)經(jīng)過(guò)嚴(yán)格測(cè)試和檢驗(yàn)，確保不對(duì)系統(tǒng)造成影響，工作結(jié)束后不駐留任何程序； 2）實(shí)施過(guò)程中接受采購(gòu)人的嚴(yán)格監(jiān)督，特別是調(diào)閱系統(tǒng)配置、接觸系統(tǒng)數(shù)據(jù)等，不得刪除、轉(zhuǎn)移、復(fù)制采購(gòu)人系統(tǒng)中的信息和數(shù)據(jù)，不得擅自關(guān)停、終止、影響采購(gòu)人信息系統(tǒng)的正常運(yùn)行； 3）對(duì)被測(cè)單位信息系統(tǒng)的信息資產(chǎn)、發(fā)現(xiàn)的脆弱性和發(fā)生過(guò)的安全事件等威脅情況要控制知情范圍；4）對(duì)測(cè)評(píng)設(shè)備、介

7、質(zhì)進(jìn)行嚴(yán)格的保密管理； 5）對(duì)進(jìn)場(chǎng)人員遵守采購(gòu)人的相關(guān)管理規(guī)定。（3）安全服務(wù)實(shí)施后1）認(rèn)真清退各種文檔、資料和數(shù)據(jù)并予以銷毀，確保工作過(guò)程中敏感數(shù)據(jù)不被泄漏；2）現(xiàn)場(chǎng)工作結(jié)束后，按被測(cè)單位的要求及時(shí)還原系統(tǒng)，確保系統(tǒng)中不遺留任何代碼或可執(zhí)行程序；3）在其他宣傳材料中不涉及被測(cè)單位的秘密、敏感信息。3. 其他要求 （1）專業(yè)工具要求：項(xiàng)目實(shí)施所需測(cè)試工具由供應(yīng)商負(fù)責(zé)提供。用于安全服務(wù)的工具主要包括網(wǎng)絡(luò)、主機(jī)、應(yīng)用系統(tǒng)檢測(cè)工具、弱口令檢測(cè)工具等。在使用前，應(yīng)對(duì)工具進(jìn)行檢查，以保持軟件或代碼是最新版本。 （2）方案要求：供應(yīng)商應(yīng)詳細(xì)描述安全服務(wù)的整體實(shí)施方案，包括但不限于項(xiàng)目概述、實(shí)施方案、測(cè)試過(guò)程中需使用測(cè)試設(shè)備清單、時(shí)間安排、階段性文檔提交等。 （3）人員要求：參與安全服務(wù)人員需具備測(cè)評(píng)師證書或程序員證書，需具備極強(qiáng)的系統(tǒng)安全整改咨詢能力。 （4）項(xiàng)目經(jīng)理要求：項(xiàng)目經(jīng)理需具備中