项目概况
宜宾市妇幼保健计划生育服务中心等保测评服务采购 采购项目的潜在供应商应在在宜宾市翠屏区岷江北路68号正和花园A幢2楼2号（四川融创标合招标代理有限公司）（地址）获取。获取采购文件，并于2023年07月03日 14点00分（北京时间）前提交响应文件。
一、项目基本情况
项目编号：RCBH〔2023〕-06129
项目名称：宜宾市妇幼保健计划生育服务中心等保测评服务采购
采购方式：竞争性磋商
预算金额：26.0000000 万元（人民币）
最高限价（如有）：26.0000000 万元（人民币）
采购需求：
(一)测评内容
| 系统名称
| 安全等级
|
| HIS 系统
| 三级
|
| LIS 系统
| 三级
|
| PACS 系统
| 三级
|
| 门户网站系统
| 三级
|
| EMR系统
| 三级
|
(二)据《GBT 28448-2019 信息安全技术网络安全等级保护测评要求》，按照《信息安全技术 网络安全等级保护测评过程指南》GB-T 28449-2018 要求，采取相应的测评方法(包括： 访谈、检查、测试)，按照相应的测评规程对测评对象(包括：制度文档、各类设备、安全配置、相关人员)进行相应力度(包括：广度、深度)的单元测评、整体测评，对测评发现的风险项进行分析评估，提出合理化整改建议，最终得到相应的信息系统等级测评报告。
(三)对采购人要求的信息系统进行完整的攻防演练及渗透测试，并提供相应的纸质报告。
三、服务标准及要求
(一)服务标准及总体要求
1.供应商提供的服务应符合或优于国家相关标准、行业标准、地方标准或者其他标准、规范要求。
2.供应商应保证所提供的服务或其任何一部分均不会侵犯任何第三方的专利权、商标权或著作权。
3.接受项目行业管理部门及政府有关部门的指导，接受采购人的监督。
4.供应商定期及时向采购人通告本项目服务范围内有关服务的重大事项及其进度。
(二)具体要求
1.建设测评依据
此次依据的标准包括但不限于以下内容：
1.2《中华人民共和国网络安全法》
1.3《信息安全技术 网络安全等级保护基本要求》GB/T 22239-2019
1.4《信息安全技术 网络安全等级保护定级指南》GB/T 22240-2018
1.5《信息安全等级保护管理办法》(公通字[2007]43 号)
1.6《国务院办公厅关于印发国家政务信息化项目建设管理办法的通知》(国办发〔2019〕57 号)
2.测评要求
根据项目需求，为保障信息安全现场测评过程安全可控，明确测评人员职责分配、规范测评人员操作，保障测评结果有效，至少包括以下几个流程：
| 序号
| 关键实施阶段
| 工作要求
|
| 1
| 确定测评范围
| 明确本次被测评信息系统的范围，包括每个信息系统的范围、信息系统的边界等。
|
| 2
| 获得信息系统的信息
| 通过调查或查阅资料的方式，了解被测评信息系统的构成，包括网络拓扑、业务应用、 业务流程、设备信息、安全措施状况等。
|
| 3
| 确定具体的测评对象
| 初步确定每个信息系统的被测评对象，包括整体对象，如机房、办公环境、网络等， 也包括具体对象，如边界设备、网关设备、服务器设备、工作站、应用系统等。
|
4
| 确定测评工作的方法
|
根据信息系统安全等级情况、系统规模大小等，明确本次测评的方法。
|
5
| 制定测评工作计划
| 制定测评工作计划或方案，说明测评范围、测评对象、工作方法、人员组成、角色职责、时间计划等。
|
6
| 实施等级保护
测评
|
实施测评，包括人工检查、工具扫描等方式。
|
| 7
| 项目总结
| 对测评结果进行总结、汇报
|
▲3.测评内容
按照信息系统等级保护测评依据开展测评工作(包括不限于以下项目)
3.1物理安全
物理安全检查主要是了解信息系统的物理安全保障情况。涉及对象为机房。在内容上，物理安全层面测评实施过程涉及的工作单元，具体如下表：
表 1 物理安全测评内容：
| 序号
| 工作单元名称
| 工作单元描述
|
| 1
| 物理位置的选择
| 检查机房，测评机房物理场所在位置上是否具有防震、防风和防雨等多方面的安全防范能力。
|
| 2
| 物理访问控制
| 检查机房出入口等过程，测评信息系统在物理访问控制方面的安全防范能力。
|
| 3
| 防盗窃和防破坏
| 检查机房内的主要设备、介质和防盗报警设施等过程，测评信息系统是否采取必要的措 施预防设备、介质等丢失和被破坏。
|
| 4
| 防雷击
| 检查机房设计/验收文档，测评信息系统是否采取相应的措施预防雷击。
|
| 5
| 防火
| 检查机房防火方面的安全管理制度，检查机房防火设备等过程，测评信息系统是否采取 必要的措施防止火灾的发生。
|
| 6
| 防水和防潮
| 检查机房及其除潮设备等过程，测评信息系统是否采取必要措施来防止水灾和机房潮湿。
|
| 7
| 防静电
| 检查机房等过程，测评信息系统是否采取必要措施防止静电的产生。
|
| 8
| 温湿度控
制
| 检查机房的温湿度自动调节系统，测评信息系统是否采取必要措施对机房内的温湿度进
行控制。
|
| 9
| 电力供应
| 检查机房供电线路、设备等过程，测评是否具备为信息系统提供一定电力供应的能力。
|
| 10
| 电磁防护
| 检查主要设备等过程，测评信息系统是否具备一定的电磁防护能力。
|
▲3.2网络安全
网络设备、网络安全设备以及网络拓扑结构等三大类对象。在内容上，网络安全层面测评过程涉及的工作单元，具体如下表：
表 2 网络安全测评内容
| 序号
| 工作单元名称
| 工作单元描述
|
| 1
| 网络结构安全
| 检查网络拓扑情况、核查核心交换机、路由器，测评分析网络架构与网段划分、隔离等 情况的合理性和有效性。
|
| 2
| 网络访问控制
| 检查防火墙等网络访问控制设备，测试系统对外暴露安全漏洞情况等，测评分析信息系 统对网络区域边界相关的网络隔离与访问控制能力。
|
| 3
| 网络安全审计
| 检查核心交换机、路由器等网络互联设备的安全审计情况，测评分析信息系统审计配置 和审计记录保护情况。
|
| 4
| 边界完整性检查
| 检查边界完整性检查设备，测评分析信息系统违规联到外部网络的行为。
|
| 5
| 网络入侵防范
| 测评分析信息系统对攻击行为的识别和处理情况。
|
| 6
| 恶意代码防
范
| 检查网络防恶意代码产品等过程，测评分析信息系统网络边界和核心网段对病毒等恶意
代码的防护情况。
|
| 7
| 网络设备防护
| 检查交换机、路由器等网络互联设备以及防火墙等网络安全设备，查看它们的安全配置 情况，包括身份鉴别、登录失败处理、限制非法登录和登录连接超时等，考察网络设备 自身的安全防范情况。
|
▲3.3主机安全
主机系统安全检查是为了了解评测目标系统的主机系统安全保障情况。在内容上，主机系统安全层面测评实施过程涉及的工作单元，具体如下表：
表 3 主机安全测评内容
| 序号
| 工作单元名称
| 工作单元描述
|
| 1
| 身份鉴别
| 检查服务器的身份标识与鉴别和用户登录的配置情况。
|
| 2
| 访问控制
| 检查服务器的访问控制设置情况，包括安全策略覆盖、控制粒度以及权限设置情况等。
|
| 3
| 安全审计
| 检查服务器的安全审计的配置情况，如覆盖范围、记录的项目和内容等；检查安全审计
进程和记录的保护情况。
|
| 4
| 入侵防范
| 检查服务器在运行过程中的入侵防范措施，如关闭不需要的端口和服务、最小化安装、
部署入侵防范产品等。
|
| 5
| 剩余信息保护
| 检查服务器鉴别信息的存储空间，被释放或再分配给其他用户前得到完全清除。
|
| 6
| 恶意代码防范
| 检查服务器的恶意代码防范情况。
|
| 7
| 资源控制
| 检查服务器对单个用户的登录方式、网络地址范围、会话数量等的限制情况。
|
▲3.4应用系统安全
应用安全检查是为了了解业务应用系统的应用安全保障情况。在内容上，应用安全层面测评实施过程涉及的工作单元，具体如下表：
表4
| 序号
| 工作单元名称
| 作单元描述
|
| 1
| 身份鉴别
| 检查应用系统的身份标识与鉴别功能设置和使用配置情况；
|
| 检查应用系统对用户登录各种情况的处理，如登录失败处理、登录连接超时等。
|
| 2
| 访问控制
| 检查应用系统的访问控制功能设置情况，如访问控制的策略、访问控制粒度、权限设置
情况等。
|
| 3
| 安全审计
| 检查应用系统的安全审计配置情况，如覆盖范围、记录的项目和内容等；
|
| 检查应用系统安全审计进程和记录的保护情况。
|
| 4
| 剩余信息保护
| 检查应用系统的剩余信息保护情况，如将用户鉴别信息以及文件、目录和数据库记录等 资源所在的存储空间再分配时的处理情况。
|
| 5
| 通信完整性
|
检查应用系统客户端和服务器端之间的通信完整性保护情况。
|
| 6
| 通信保密性
|
检查应用系统客户端和服务器端之间的通信保密性保护情况。
|
| 7
| 抗抵赖
| 检查应用系统对原发方和接收方的抗抵赖实现情况。
|
▲3.5数据安全及备份恢复
数据安全及备份恢复评估是为了了解评测系统的数据安全及备份恢复保障情况。本次测评重点检查系统的数据在采集、传输、处理和存储过程中的安全及安全备份恢复情况。在内容上， 实施过程涉及的工作单元，具体如下表：
表 5 数据安全及备份恢复测评内容
| 序号
| 工作单元名称
| 工作单元描述
|
| 1
| 数据完整性
| 检查操作系统、数据库管理系统的管理数据、鉴别信息和用户数据在传输和保存过程
中的完整性保护情况。
|
| 2
| 数据保密性
| 检查操作系统和数据库管理系统的管理数据、鉴别信息和用户数据在传输和保存过程 中的保密性保护情况。
|
| 3
| 安全备份和恢复
| 检查信息系统的安全备份情况，如重要信息的备份、硬件和线路的冗余等。
|
▲3.6安全管理制度
安全管理制度测评是为了了解评测安全管理制度的制定、发布、评审和修订等情况。主要涉及安全主管人员、安全管理人员、各类其它人员、各类管理制度、各类操作规程文件等对象。在内容上，安全管理制度测评实施过程涉及的工作单元，具体如下表：
表 6 安全管理制度测评内容
| 序号
| 工作单元名称
|
|
|
|
|
更多
