******医院(以下简称“采购人”)对下列采购项目进行院内竞争性谈判，欢迎符合资格条件的经销商、厂商投标，现将采购事项公告如下。

一、采购项目信息

1、项目名称：三级等保测评

2、项目编号：******7024

3、采购项目内容与数量：

4、付款方式：先服务后付款，服务期满一年后，根据考核结果扣款后，开具符合采购人财务要求的发票，按年无息付清合同年度服务款。

二、项目采购人式：院内竞争性谈判。

三、项目技术要求：见附件一。

五、投标人需提供的相关材料和标书要

1、投标人资格要求

(1)具备《中华人民共和国政府采购求：

法》第二十二条资格条件，未列入严重失信行为名单和其他不良信用记录；

(2)具备有独立承担民事责任能力的，在中华人民共和国境内注册的法人或其他组织；

(3本项目不接受联合体投标；

(4)法定代表人或者负责人为同一人或者存在控股、管理关系的两个以上供应商，不得参加同一采购项目投标。

2、投标人特定资格条件

投标人须具有公安部第三研究所颁发的网络安全等级测评与检测评估机构服务认证证书。

2、投标文件需要的相关材料

(1)投标函加盖单位公章

(2)投标报价一览表

(3)项目服务要求响应/偏离表(供应商未写入投标文件响应偏离表的技术、商务参数条款均视作偏离项，供应商自行承担一切责任)。

(4)投标人认为需提供的其他资料

①投标公司的营业执照复印件加盖单位公章；

②法定代表人身份证明书或法人授权委托书、授权代表的身份证复印件加盖单位公章；

③投标人信用信息查询记录、查询网页截图、打印、盖章材料；

④投标人提交《资格证明材料承诺函》（格式见附件三）。

(6)报名时需单独提供(5)①-④条款资格性报名审核材料及投标人特定资格条件证明材料(复印件)，未通过报名审核的投标人不进入评标程序。

(7)投标文件的编写：

投标文件要求一正两副，标书必须“A4规格纸张胶制(非打孔或夹装)装订成册，并编制总目录”,要求密封。投标报价函单独密封。否则视为符合性审查不合格，作无效投标处理。

★六、投标公司须提供真实、合法的投标材料，并应如实响应采购需************医院采购项目投标。

七、中标单位需入驻湖南省政府采购电子卖场。

八、其他事项：本项目采购需求未尽事宜，合同签订时双方约定。

九、投标人对以上采购文件的内容有质疑的，应当在本采购公告报名截止时间前以书面形式向采购人提交，逾期将不予受理。

十、报名时间：2025年4月22日至2025年4月28日17：30

开标时间:2025年4月29日15：20

******医院评标室(教学楼9楼)

联系电话：王老师******151

******医院招标与管理科(第三住院楼413)

******医院

2025年4月22日

附件一：项目要求

三级等保测评项目要求

一、建设内容

合同签订后60个日历天完成5个三级系统的测评工作并出具测评报告（投标人提供承诺函），合同期内完成规定二级系统的备案测评工作和指定系统的备案工作************医院采购项目投标。

二、项目概况

1.1 本技术需求书条款所提出的各项要求，是本次信息系统安全等级保护测评依据，投标人应根据本文件中的相关说明和要求，提供方案。

1.2 投标人在测评方案书中，对能提供的信息系统安全等级保护测评进行说明，可根据具体情况在项目方案中提出建议，并附详细资料和说明。

1.3 投标人应对提供信息系统安全等级保护测评时所使用的设备及软件保证拥有设备软硬件的知识产权和所有权，并对所涉及的专利、知识产权等法律条款承担义务，采购人对以上问题不承担任何法律责任。

1.4投标人：

******办公室警告、处罚、整改，提供证明材料或承诺函。

投标人提供本次项目经理具有公安部第三研究所颁发中级及以上信息安全等级测评师证书复印件，项目成员信息安全等级测评师证书复印件。

投标人提供近三年同类别项目完整合同复印件1份。

2．依据政策及标准

投标人应依据国家相关政策标准开展工作，依据标准包括但不限于如下国家政策标准：

●《中华人民共和国网络安全法》

●《计算机信息系统安全保护等级划分准则》（GB 17859-1999）；

●《信息安全等级保护管理办法》（公通字〔2007〕43号）；

●《信息安全技术 信息系统安全等级保护实施指南》(GB/T 36627-2018)；

●《信息安全技术 信息系统安全等级保护定级指南》（GBT 22240-2020）；

●《信息安全技术 网络安全等级保护基本要求》（GBT 22239-2019）；

●《信息安全技术 网络安全等级保护测评要求》（GBT 28448-2019）；

●《信息安全技术 信息安全风险评估规范》（GB/T 20984—2007）；

3.测评范围

******医院信息系统进行等保测评服务。

3.1信息系统安全等级保护测评包含以下系统：

3.2协助完成院方完成其他系统备案工作（数量不少于10个）。

三、技术要求

依据《信息安全技术网络安全等级保护基本要求》（GB/T 22239-2019）三级/二级要求，对信息系统进行等级测评，找出系统与国家标准要求之间的差距，对存在的风险进行评估，并出具《信息安全等级测评报告》和《安全建设整改方案》。测评内容涵盖：

1、安全物理环境

安全物理环境测评将通过访谈和检查的方式评测信息系统的物理安全保障情况。主要涉及对象为机房。

在内容上，物理安全层面测评实施过程涉及10个安全子类，具体如下表：

2、安全通信网络

安全通信网络测评将通过访谈、检查和测试的方式评测信息系统的网络安全保障情况。主要涉及对象机房的网络设备、网络安全设备以及网络拓扑结构等三大类对象。在内容上，通信网络安全层面测评过程涉及个工作单元。

3、安全区域边界

安全区域边界测评将通过访谈、检查和测试的方式评测信息系统的边界防护，在内容上，安全区域边界测评实施过程涉及6个安全子类。

4、安全计算环境

安全计算环境测评将通过访谈、检查和测试的方式评测信息系统的应用安全保障情况。在内容上，安全计算环境测评实施过程涉及11个工作单元，具体如下表：

******管理中心

******管理中心层面测评实施过程涉及4个工作单元，具体如下表：

6、安全管理制度

安全策略和管理制度测评将通过访谈和检查的形式评测安全管理制度的制定、发布、评审和修订等情况。主要涉及安全主管人员、安全管理人员、各类其它人员、各类管理制度、各类操作规程文件等对象。

在内容上，安全管理制度测评实施过程涉及4个工作单元，具体如下表：

7、安全管理机构

安全管理机构测评将通过访谈和检查的形式评测安全管理机构的组成情况和机构工作组织情况。主要涉及安全主管人员、安全管理人员、相关的文件资料和工作记录等对象。

8、安全管理人员

安全管理人员测评将通过访谈和检查的形式评测机构人员安全控制方面的情况。主要涉及安全主管人员、人事管理人员、相关管理制度、相关工作记录等对象。

在内容上，人员安全管理测评实施过程涉及4个工作单元，具体如下表：

9、安全建设管理

安全建设管理测评将通过访谈和检查的形式评测系统建设管理过程中的安全控制情况。主要涉及安全主管人员、系统建设负责人、各类管理制度、操作规程文件、执行过程记录等对象。

在内容上，系统建设管理测评实施过程涉及10个工作单元，具体如下表：

10、安全运维管理测评及工具测试

安全运维管理测评将通过访谈和检查的形式评测系统运维管理过程中的安全控制情况。主要涉及安全主管人员、安全管理人员、各类运维人员、各类管理制度、操作规程文件、执行过程记录等对象。

在内容上，系统运维管理测评实施过程涉及14个工作单元，具体如下表：

工具测试

根据工具测试过程管理表单，使用漏洞扫描工具对信息系统的设备进行扫描，扫描结束后，根据目标设备的具体情况，判断漏洞验证的风险程度。

11.实施流程

（1）测评准备活动：测评准备活动中，投标人主要完成启动测评项目，组建测评项目组；通过收集和分析被测系统的相关资料信息，掌握被测系统的大体情况；并准备测评工具和表单等测评所需的相关资料。

（2）方案编制活动：方案编制活动中，投标人主要完成确定测评对象和测评指标，选择测试工具接入点，从而进一步确定测评实施内容，并从已有的测评指导书中选择本次需要用到的测评指导书，最后根据上述情况编制测评方案。

（3）现场测评活动：现场测评活动中，投标人在与测评委托单位就测评方案达成一致意见，并进一步确定测评配合人员，完成测评指导书各项测评内容，获取足够的测评证据。

（4）分析与报告编制活动：分析与报告编制活动中，测评人员通过分析现场测评获得的测评证据和资料，判定单项测评结果及单元测评结果，进行整体测评和风险分析，形成等级测评结论，并编制测评报告。

三、服务要求

1、本次等级测评应满足的原则

投标人应严格依据下列原则和国家等级保护相关标准开展项目实施工作。

（1）保密原则：对测评的过程数据和结果数据严格保密，未经授权不得泄露给任何单位和个人，不得利用此数据进行任何侵害采购人的行为，否则采购人有权追究投标人的责任。

（2）标准性原则：测评方案的设计与实施应依据国家等级保护的相关标准进行。

（3）规范性原则：投标人的工作中的过程和文档，具有很好的规范性，可以便于项目的跟踪和控制。

（4）可控性原则：测评服务的进度要跟上进度表的安排，保证采购人对于测评工作的可控性。

（5）整体性原则：测评的范围和内容应当整体全面，包括国家等级保护相关要求涉及的各个层面。

（6）最小影响原则：测评工作应尽可能小的影响系统和网络，并在可控范围内；测评工作不能对现有信息系统的的正常运行、业务的正常开展产生任何影响。

2、本次等级测评的整体要求

（1）投标人应详细描述本次信息系统安全等级保护测评的整体实施方案，包括项目概述、等级保护测评方案、测试过程中需使用测试设备清单、时间安排、阶段性文档提交等。

（2）投标人应详细描述测评人员的组成、资质及各自职责的划分。投标人应配置有测评资质的专业人员进行本次信息安全等级保护测评工作。

（3）本次信息系统安全等级保护测评实施过程中所使用到的各种工具软件由投标人推荐，经采购人确认后由投标人提供并在信息系统等级保护测评中使用。

（4）信息系统安全等级保护测评需要的运行环境（如场地、网络环境等）由采购人提供，投标人应详细描述需要的运行环境的具体要求。

************医院完成漏洞威胁的修复。

3、网络安全培训要求

（1）针对全院职工提供网络安全培训，提供安全相关资料，通过安全培训加强全院职工整体安全意识。

******医院专业技术人员提供专业技术培训，通过网络安全专项培训提高专业技术人员水平，通过实战化的攻防演练、攻击溯源等技能方法的学习，加强专业技术人员网络安全攻防技能；对日常安全维护内容进行培训，如日常安全巡检工作、月度安全检查工作、安全加固工作，使系统管理员了解日常安全工作如何开展；通过培训使管理人员能够掌握操作系统、网络设备、应用的安全问题及解决方法。

4、网络安全防护服务要求

******医院的互联网的暴露面资产开展以下安全防护服务。

（1）互联网暴露面资产扫描：全面清查单位/企业在互联网上直接可见、可访问的资产信息，包括但不局限于：各类网络设备（如服务器、路由器等）、网站域名、云服务实例、移动应用后端接口等。

（2）互联网暴露面漏洞扫描：聚焦于已发现的暴露面资产，利用专业漏洞扫描工具，检测资产所运行服务、软件中的安全漏洞。例如检查网站是否存在SQL 注入漏洞、操作系统层面的高危漏洞、应用程序框架漏洞等。

（3）互联网暴露面弱口令专项检查：专门针对暴露资产设置的用户账号口令强度进行检测，检查是否存在常见弱口令组合。

（4）互联网暴露面自动化工具对抗测试：模拟黑客攻击手法，采用自动化对抗测试工具对暴露面资产发动有限度、可控的“攻击”，主动寻找发现暴露面资产的脆弱点。

******医院的所有安全要素可视化，如单位资产情况、合规情况， 漏洞扫描、弱口令、工具检测等安全风险情况；通知公告等信息传输管理；待办服务 /待处理风险的工作进展等，形成交互管理闭环，使安全服务可视、可控、可管。

四、商务要求

************医院的整体验收。

备注：以上所有项目要求必须满足，不允许偏离，否则视为无效投标

附件二：投标报价一览表

核心交换机、防火墙、全网行为管理、终端防病毒

等软硬件维保

(第      轮)

供应商名称(盖单位公章)：

法定代表人(单位负责人)或其授权的代理人(签字或印章)：                   

                                      日期：        年    月   日

报价说明：

1、投标人应根据采购人要求，在投标文件中提供完整的《投标报价一览表》。

2、所报的价格应包含所有费用(含税费等)。其他表外内容，不得再额外收费。

3、报价采取两轮报价，第一轮报价单需单独密封******委员会采取随机抽取方式确定排名入选。

附件三：

资格证明材料承诺函

一、我方在此声明：

（一）我方与采购人或采购代理机构不存在隶属关系或者其他利害关系。

（二）我方与参加本项目的其他供应商不存在控股、关联关系，或者与其他供应商法定代表人（或者负责人）为同一人。

（三）我方未为本项目前期准备提供设计或咨询服务。

二、我方承诺（承诺期：成立三年以上的，为提交首次响应文件截止时间前三年内；成立不足三年的，为实际时间）：

（一）我方依法缴纳了各项税费及各项社会保障资金，没有偷税、漏税及欠缴行为。

（二）我方在经营活动中没有存在下列重大违法记录：

1、受到刑事处罚：

2、受到三万元以上的罚款、责令停产停业、在一至三年内禁止参加政府采购活动、暂扣或者吊销许、暂扣或者吊销执照的行政处罚。

我们已经认真核对和检查所提交的所有资料，全部内容真实、合法、准确和完整，我们对此负责，并愿承担由此引起的法律责任。

供应商名称（盖单位章）：    

法定代表人（签名）：        

日期：   年    月    日