当前位置: 资料中心 > 公告信息
现我单位“青年大学习”系统等级保护测评采购项目需要进行比选,特以公告形式邀请合格的比选申请人参加该项目的比选。
一、项目名称
“青年大学习”信息系统等级保护测评采购项目。
二、服务费用及服务周期
(一)服务费用:最高限价12万(费用标准参考此前四川省政府采购网公示的四川省市场监督管理局、四川省教育管理信息中心、四川省经济和信息化厅信息中心等单位信息安全登记保护测评项目公开采购信息)。
(二)服务周期:2022年6月1日—2022年10月31日。
三、比选申请时间、地点及响应文件要求
(一)递交比选响应文件时间:自公告之日起至2022年5月24日下午18:00止。
(二)比选响应文件要求:比选响应文件须规范装订成册,密封,用中文书写,需盖鲜章,1正本2副本共3份,并统一采用A4纸打印、装订。
(三)递交比选响应文件邮寄地址及联系人:
采购单位:共青团四川省委
地 址:成都市青羊区多子巷2号305办公室
联 系 人:向廷光
联系电话:028-86247010
四、比选申请人资格要求
等保测评机构应满足以下条件:
(一)具有独立承担民事责任的能力。
(二)具有良好的商业信誉和健全的财务会计制度。
(三)具有履行合同所需的设备和专业技术能力。
(四)具有依法纳税和社会保障资金的良好记录。
(五)前三年内无重大违法记录未被列入经营异常名录或者严重违法企业名单。
(六)法律、法规规定的其他条件。
(七)测评机构具备公安部第三研究所签发的《网络安全等级测评与检测评估机构服务认证证书》。
五、比选申请人技术人员要求
(一)应答人须有负责本项目的专职项目经理1名和技术员3名,提供授权文件、社保和身份证证明。
(二)项目经理要求:须具有网络安全等级测评师高级证书,同时应具有CIISA证书、信息安全管理体系认证证书中任意一种证书。
(三)技术员要求:须具有网络安全等级测评师中级及以上证书。
六、技术标准和规范
1.测评依据:
(1)《信息安全等级保护管理办法》(公通字[2007]43号)
(2)《信息安全技术网络安全等级保护基本要求》GB/T 22239-2019
(3)《信息安全技术信息系统安全等级保护定级指南》GB/T 22240-2008
(4)《信息安全技术网络安全等级保护实施指南》GB/T 25058-2019
(5)《信息安全技术信息安全风险评估规范》GB/T 20984-2015
(6)《信息安全技术网络安全等级保护测评要求》GB/T 28448-2019
(7)《信息安全技术网络安全等级保护测评过程指南》GB/T 28449-2018
(8)《中华人民共和国网络安全法》
(9)国家其他相关法律法规。
七、服务需求(项目内容)
序号 |
系统名称 |
本次拟定级备案等级 |
1 |
青年大学习 |
第三级 |
根据等级保护测评的工作要求,测评范围覆盖安全管理中心、安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理制度,以及云计算安全、移动互联安全、物联网安全、工控制系统安全等扩展方面的要求。
具体服务内容包括:
(1)协助业主单位进行信息系统的信息安全等级定级和备案工作。
(2)差距测评,至少包括:
安全技术测评。包括安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心方面的安全测评。
安全管理测评。包括安全管理制度、安全管理机构、安全管理人员、安全系统建设和安全系统运维五个方面的安全测评。
形成问题汇总及整改意见报告。依据测评结果,对等级测评结果进行汇总统计(测评项符合情况及比例、单元测评结果符合情况比例以及整体测评结果);通过对信息系统基本安全保护状态的分析给出初步测评结论。根据测评结果制定《系统等级保护测评问题汇总及整改意见报告》,列出被测信息系统中存在的主要问题及整改意见。
(3)协助完成整改工作。依据整改方案,为安全整改的各项工作提供技术咨询服务。
(4)等级测评,至少包括:
按照等级保护相关标准对系统从安全技术、安全管理等方面进行等级测评工作。
编制测评报告,制定并提交《网络安全等级测评报告》,报告需提交公安机关有关部门备案,且能满足合规性要求。
三级系统指标要求
分类 |
子类 |
基本要求 |
安全物理环境 |
物理位置选择 |
a)
机房场地应选择在具有防震、防风和防雨等能力的建筑内; |
物理访问控制 |
机房出入口应配置电子门禁系统,控制、鉴别和记录进入的人员。 |
|
防盗窃和防破坏 |
a)
应将设备或主要部件进行固定,并设置明显的不易除去的标识; |
|
防雷击 |
a)
应将各类机柜、设施和设备等通过接地系统安全接地。 |
|
防火 |
a)
机房应设置火灾自动消防系统,能够自动检测火情、自动报警,并自动灭火; |
|
防水和防潮 |
a)
应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透; |
|
防静电 |
a)
应采用防静电地板或地面并采用必要的接地防静电措施; |
|
温湿度控制 |
应设置温湿度自动调节设施,使机房温湿度的变化在设备运行所允许的范围之内。 |
|
电力供应 |
a)
应在机房供电线路上配置稳压器和过电压防护设备; |
|
电磁防护 |
a)
电源线和通信线缆应隔离铺设,避免互相干扰; |
|
安全通信网络 |
网络架构 |
a)
应保证网络设备的业务处理能力满足业务高峰期需要; |
通信传输 |
a)
应采用校验技术或密码技术保证通信过程中数据的完整性; |
|
可信验证 |
可基于可信根对通信设备的系统引导程序、系统程序、重要配置参数和通信应用程序等进行可信验证,应用程序的关键执行环节进行动态可信验证,在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心。 |
|
安全区域边界 |
边界防护 |
a)
应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信; |
访问控制 |
a)
应在网络边界或区域之间根据访问控制策略设置访问控制规则,默认情况下除允许通信外受控接口拒绝所有通信; |
|
入侵防范 |
a)
应在关键网络节点处检测、防止或限制从外部发起的网络攻击行为; |
|
恶意代码和垃圾邮件防范 |
a)
应在关键网络节点处对恶意代码进行检测和清除,并维护恶意代码防护机制的升级和更新; |
|
安全审计 |
a)
应在网络边界、重要网络节点进行安全审计,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计; |
|
可信验证 |
可基于可信根对边界设备的系统引导程序、系统程序、重要配置参数和边界防护应用程序等进行可信验证,并在应用程序的关键执行环节进行动态可信验证,在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心。 |
|
安全计算环境 |
身份鉴别 |
a)
应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并定期更换; |
访问控制 |
a)
应对登录的用户分配账户和权限; |
|
安全审计 |
a)
应启用安全审计功能,审计覆盖到每个用户,对重要的用户行为和重要安全事件进行审计; |
|
入侵防范 |
a)
应遵循最小安装的原则,仅安装需要的组件和应用程序; |
|
恶意代码防范 |
应采用免受恶意代码攻击的技术措施或主动免疫可信验证机制及时识别入侵和病毒行为,并将其有效阻断。 |
|
可信验证 |
可基于可信根对计算设备的系统引导程序、系统程序、重要配置参数和应用程序等进行可信验证, 并在应用程序的关键执行环节进行动态可信验证,在检测到其可信性受到破坏后进行报警,并将验证结果形成审计记录送至安全管理中心。 |
|
数据完整性 |
a)
应采用校验技术保证重要数据在传输过程中的完整性,包括但不限于鉴别数据、重要业务数据、重要审计数据、重要配置数据、重要视频数据和重要个人信息等; |
|
数据保密性 |
a)应采用密码技术保证重要数据在传输过程中的保密性,包括但不限于鉴别数据、重要业务数据和重要个人信息等; |
|
数据备份恢复 |
a)
应提供重要数据的本地数据备份与恢复功能; |
|
剩余信息保护 |
a)应保证鉴别信息所在的存储空间被释放或重新分配前得到完全清除; |
|
个人信息保护 |
a)
应仅采集和保存业务必需的用户个人信息; |
|
安全管理中心 |
系统管理 |
a)
应对系统管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行系统管理操作,并对这些操作进行审计; |
审计管理 |
a)
应对审计管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行安全审计操作,并对这些操作进行审计; |
|
安全管理 |
a)应对安全管理员进行身份鉴别,只允许其通过特定的命令或操作界面进行安全管理操作,并对这些操作进行审计; |
|
集中管控 |
a)应划分出特定的管理区域,对分布在网络中的安全设备或安全组件进行管控; |
|
安全管理制度 |
安全策略 |
应制定网络安全工作的总体方针和安全策略,阐明机构安全工作的总体目标、范围、原则和安全框架等。 |
管理制度 |
a)
应对安全管理活动中的主要管理内容建立安全管理制度; |
|
制定和发布 |
a)
应指定或授权专门的部门或人员负责安全管理制度的制定; |
|
评审和修订 |
应定期对安全管理制度的合理性和适用性进行论证和审定,对存在不足或需要改进的安全管理制度进行修订。 |
|
安全管理机构 |
岗位设置 |
a)应成立指导和管理网络安全工作的委员会或领导小组,其最高领导由单位主管领导担任或授权; |
人员配备 |
a)应配备一定数量的系统管理员、审计管理员和安全管理员等; |
|
授权和审批 |
a)应根据各个部门和岗位的职责明确授权审批事项、审批部门和批准人等; |
|
沟通和合作 |
a)
应加强各类管理人员、组织内部机构和网络安全管理部门之间的合作与沟通,定期召开协调会议,共同协作处理网络安全问题; |
|
审核和检查 |
a)
应定期进行常规安全检查,检查内容包括系统日常运行、系统漏洞和数据备份等情况; |
|
安全管理人员 |
人员录用 |
a)
应指定或授权专门的部门或人员负责人员录用; |
人员离岗 |
a)应及时终止离岗人员的所有访问权限,取回各种身份证件、钥匙、徽章等以及机构提供的软硬件设备; |
|
安全意识教育和培训 |
a)应对各类人员进行安全意识教育和岗位技能培训,并告知相关的安全责任和惩戒措施; |
|
外部人员访问管理 |
a)
应在外部人员物理访问受控区域前先提出书面申请,批准后由专人全程陪同,并登记备案; |
|
安全建设管理 |
定级和备案 |
a)
应以书面的形式说明保护对象的安全保护等级及确定等级的方法和理由; |
安全方案设计 |
a)应根据安全保护等级选择基本安全措施,依据风险分析的结果补充和调整安全措施; |
|
产品采购和使用 |
a)
应确保网络安全产品采购和使用符合国家的有关规定; |
|
自行软件开发 |
a)应将开发环境与实际运行环境物理分开,测试数据和测试结果受到控制; |
|
外包软件开发 |
a)
应在软件交付前检测其中可能存在的恶意代码; |
|
工程实施 |
a)
应指定或授权专门的部门或人员负责工程实施过程的管理; |
|
测试验收 |
a)
应制订测试验收方案,并依据测试验收方案实施测试验收,形成测试验收报告; |
|
系统交付 |
a)
应制定交付清单,并根据交付清单对所交接的设备、软件和文档等进行清点; |
|
等级测评 |
a)
应定期进行等级测评,发现不符合相应等级保护标准要求的及时整改; |
|
服务供应商选择 |
a)
应确保服务供应商的选择符合国家的有关规定; |
|
安全运维管理 |
环境管理 |
a)
应指定专门的部门或人员负责机房安全,对机房出入进行管理,定期对机房供配电、空调、温湿度控制、消防等设施进行维护管理; |
资产管理 |
a)
应编制并保存与保护对象相关的资产清单,包括资产责任部门、重要程度和所处位置等内容; |
|
介质管理 |
a)
应将介质存放在安全的环境中,对各类介质进行控制和保护,实行存储环境专人管理,并根据存档介质的目录清单定期盘点; |
|
设备维护管理 |
a)
应对各种设备(包括备份和冗余设备)、线路等指定专门的部门或人员定期进行维护管理; |
|
漏洞和风险管理 |
a)
应采取必要的措施识别安全漏洞和隐患,对发现的安全漏洞和隐患及时进行修补或评估可能的影响后进行修补; |
|
网络和系统安全管理 |
a)
应划分不同的管理员角色进行网络和系统的运维管理,明确各个角色的责任和权限; |
|
恶意代码防范管理 |
a)
应提高所有用户的防恶意代码意识,对外来计算机或存储设备接入系统前进行恶意代码检查等; |
|
配置管理 |
a)
应记录和保存基本配置信息,包括网络拓扑结构、各个设备安装的软件组件、软件组件的版本和 补丁信息、各个设备或软件组件的配置参数等; |
|
密码管理 |
a)
应遵循密码相关国家标准和行业标准; |
|
变更管理 |
a)应明确变更需求,变更前根据变更需求制定变更方案,变更方案经过评审、审批后方可实施; |
|
备份与恢复管理 |
a)
应识别需要定期备份的重要业务信息、系统数据及软件系统等; |
|
安全事件处置 |
a)
应及时向安全管理部门报告所发现的安全弱点和可疑事件; |
|
应急预案管理 |
a)应规定统一的应急预案框架,包括启动预案的条件、应急组织构成、应急资源保障、事后教育和培训等内容; |
|
外包运维管理 |
a)
应确保外包运维服务商的选择符合国家的有关规定; |
八、测评原则
中选对象在项目实施过程中,必须遵守以下技术原则:
(一)保密原则:对测评的过程数据和结果数据严格保密,未经授权不得泄露给任何单位和个人,不得利用此数据进行任何侵害采购方的行为,否则采购方有权追究中选对象的责任。
(二)标准性原则:测评方案的设计与实施应依据国家等级保护的相关标准进行。
(三)规范性原则:中选对象工作中的过程和文档,具有很好的规范性,可以便于项目的跟踪和控制,测评出具的报告须符合公安部颁布的《信息系统安全等级测评报告模板》规范要求。
(四)可控性原则:等保测评服务的进度要按照比选文件的要求,保证采购方对于测评工作的可控性。
(五)整体性原则:等保测评服务的范围和内容应当整体全面,包括国家等级保护相关要求和测评涉及的各个层面要求。
(六)安全性原则:等保测评服务工作应不得影响系统和网络的正常运行;测评工作不得对现有信息系统的正常运行、业务的正常开展产生任何影响。
九、测评人员资质及要求:
1.从事信息系统检测评估相关工作人员无违法记录。
2.工作人员仅限于中华人民共和国境内的中国公民,且无犯罪记录。
3.测评期间需遵守被测单位相关管理规定,禁止利用测评工作从事危害被测单位利益、安全的活动。
4.项目经理须具有网络安全等级测评师高级证书,同时应具有CIISA证书、信息安全管理体系认证证书中任意一种证书。
5.现场技术员须具有网络安全等级测评师中级及以上证书。
十、文档资料要求
在本项目完成后,中选对象须提供以下文档资料:
(一)《信息系统安全问题汇总及整改建议》;
(二)《网络安全等级保护等级测评报告》及过程资料。
十一、选聘程序
(一)组织比选评审。
(二)确定中选对象,发出中选通知书。
(三)与中选对象签订购买服务合同。
十二、评审方法和标准
本次评审采用最低价中选法。
Copyright © 2006 Scgqt.gov.cn,All Right Reserved
共青团四川省委员会
地址:成都市东城根街多子巷2号
蜀ICP备05014943号 川公网安备 51010502010578号
值班电话:028-86634858 86269016 传真:86250152 社会联络部(志工部):028-86245113 信息中心:028-86247010